Câștiguri:
- Înțelegeți cum începe vânătoarea de amenințări cu o ipoteză testabilă, nu cu o alarmă, și cum ajută inteligența artificială la generarea de ipoteze și la elaborarea interogărilor.
- Capacitatea de a aplica că semnalul contrar/rar evidențiat de inteligența artificială nu înseamnă automat intenție rău intenționată și că ipoteza trebuie confirmată cu dovezi brute.
- Abilitatea de a verifica numerele tehnice MITRE ATT&CK și ID-urile de eveniment date de inteligența artificială cu sursa oficială și de a elimina detaliile tehnice fabricate
Monitorizarea clasică a securității funcționează cu logica „așteaptă alarma, uită-te când vine”. Dar cei mai periculoși atacatori încearcă să nu tragă alarme: folosesc instrumente legitime (aceasta se numește „exploatare” – adică abuzează de instrumente care există deja pe sistem, cum ar fi PowerShell, WMI), se mișcă încet și interferează cu traficul normal. De aceea s-a născut vânătoarea de amenințări: fără a aștepta o alarmă, „dacă ar exista un atacator nedetectat în organizația mea, unde ar fi?” Căutarea proactivă a urmelor cu întrebarea: vânătoarea de amenințări începe cu o ipoteză, nu cu o alarmă.
Inteligența artificială este foarte utilă în două locuri în vânătoarea de amenințări. Prima este generarea de ipoteze: dați o tehnică de atac și întrebați „Dacă această tehnică a fost folosită în instituția mea, pe ce jurnale și în ce model ar lăsa urme?” poti intreba. A doua este extragerea semnalului: poate evidenția elementele rare, aberante, „diferite de cele normale” în big data. Dar AI nu știe ce este normal pentru organizația ta și poate cădea în capcana de a crede că o ipoteză este „dovedită”. În vânătoarea de amenințări, AI este un partener mental și un scaner; Vânătorul (analistul) decide dacă prada găsește o amenințare reală și dacă aceasta va fi raportată.
Etapele vânătorii de amenințări
- Ipoteza. O propoziție concretă, testabilă: „Un atacator poate scana rețeaua internă în timpul orelor de lucru fără a avea un cont compromis”. Puteți folosi AI pentru brainstorming aici.
- Identificați sursa de date. Care log dovedește/infirmă ipoteza? (De exemplu, firewall și jurnalele DNS pentru scanarea rețelei, jurnalele de identitate pentru escaladarea privilegiilor.)
- Proiectați interogarea. Interogarea care va căuta modelul vizat (limbaj de interogare SIEM, KQL, asemănător SQL). AI ajută la redactarea interogărilor; dar revizuiți interogarea și o rulați.
- Extrageți rezultatul. Filtrați semnalul real de la sute de linii de ieșire. Aici AI face gruparea și rezumatul.
- Confirmați sau infirmați. Confirmați cu dovezi brute și context dacă urma găsită este cu adevărat rău intenționată sau nevinovată.
- Documentează rezultatul și transformă-l într-o determinare. Convertiți modelul real găsit într-o regulă de detectare permanentă; Dacă ipoteza a eșuat, înregistrați și asta (un rezultat negativ este și informație).
Termeni: TTP (Tactics, Techniques, Procedures — modelul comportamental al atacatorului). MITRE ATT&CK este o bibliotecă enumerată și documentată de tehnici pentru atacatori (de exemplu, T1078 „Conturi valide”); Oferă un limbaj comun în vânătoarea de amenințări. IOC (Indicator de încălcare — IP prost, hash, domeniu). Zgomotul alb (lista albă/cunoscut-bun) este un comportament normal despre care se știe că sacrifică prada.
Tabelul abordărilor vânătorii de amenințări
Abordare
punct de plecare
Contribuția AI
Atenție
Vânătoarea bazată pe ipoteze
„Dacă ar exista un astfel de atacator...”
Generarea de ipoteze, descrierea modelului
Ipoteza nu este o dovadă
Vânătoare bazată pe IOC
Indicator defect cunoscut
Potrivirea IOC-urilor cu jurnalele
IOC vechi/incorecte induce în eroare
Vânătoare bazată pe TTP/ATT&CK
O tehnică (numărul T)
Conversia tehnicii în model de jurnal
Tehnica ≠ model unic
Vânătoare bazată pe anomalii
Abaterea statistică
Evidențiați excepția
Contrarian ≠ rea-credință
Analiza frecvenței stivei
— Care este cel mai rar?
Găsirea evenimentului rar
Rar ≠ periculos
trei mini cutii
Cazul 1 – Găsirea rarelor. Un vânător ar putea întreba: „Care proces din rețeaua internă rulează pe cele mai puține computere, dar stabilește cele mai multe conexiuni la rețea?” îşi stabileşte ipoteza. AI evidențiază un model din datele anonimizate de conectare la proces: un proces numit svchost32.exe, văzut pe doar 2 mașini, se conectează la 340 de adrese externe diferite. Vânătorul examinează acest lucru; Găsește un malware care imită svchost.exe legitim. AI a filtrat rarele; Vânătorul a pus diagnosticul și intervenția.
Cazul 2 — Vânătoarea eșuată (dar valoroasă). Un vânător a întrebat „ar putea exista descărcare de date în masă în timpul orelor de lucru în afara orelor de lucru?” își stabilește ipoteza; AI scrie schița de interogare relevantă. Rezultat: 3 utilizatori au descărcat noaptea, dar toți trei sunt lucrători de birou în străinătate și lucrează în timpul orelor de lucru din cauza diferențelor de fus orar. Ipoteza este infirmată. Vânătorul documentează acest lucru ca un „rezultat negativ” și notează acești 3 utilizatori ca excepții pentru vânătoare viitoare. Chiar și vânătoarea nereușită ne-a permis să cunoaștem mai bine instituția.
Cazul 3 – Capcană tehnică artificială. Un vânător întreabă AI „Cum caut tehnica T1055 în organizația mea?” spune. AI scrie o interogare convingătoare și o afirmație că „T1055 generează următorul ID de eveniment”; dar ID-ul evenimentului pe care l-a dat este greșit și modelul a alcătuit o subtehnică ATT&CK. Avcı deschide înregistrarea MITRE ATT&CK, confirmă descrierea tehnică și sursele reale de jurnal și corectează ID-ul evenimentului incorect. Lecție: Verificați fiecare detaliu tehnic oferit de AI (ID-ul evenimentului, numărul T, câmpul de jurnal) cu sursa oficială.
Prompt slab / Prompt puternic
Prompt slab:
Aflați dacă există un atacator în rețeaua mea.
Această afirmație este fără ipoteze, fără date, nelimitată și neverificabilă. AI produce o listă generală sau alcătuită; nu este de nici un folos.
Solicitare puternică:
Rolul tău: asistent care dă idei și schițe vânătorului de amenințări. Nu te decide, nu spune „există o amenințare”. Ipoteza mea: „Un cont compromis poate scana porturi interne în afara orelor de lucru.” Generați următoarele: (1) enumerați sursele de jurnal care vor dovedi și DISFUNDA această ipoteză, (2) descrieți modelul concret care trebuie căutat (ce câmpuri, ce praguri), (3) scrieți o schiță a unui exemplu de interogare și comentați fiecare rând, (4) notați ce explicații inocente vor fi eliminate în rezultatul rezultat. Sugerați tehnica MITRE ATT&CK relevantă, dar marcați numărul T și ID-ul evenimentului ca „[trebuie verificat de la MITRE]”, nu inventați.
Afirmația puternică începe cu o ipoteză concretă, stabilește echilibrul probe/infirmare, are interogarea explicată și lasă detaliul tehnic la verificare.
Șabloane de prompt copiabile
ȘABLAN DE GENERARE A IPOTEZELORPentru instituția mea [entitate: de ex. Generați ipoteze testabile de vânătoare de amenințări în contextul [Active Directory / cloud / endpoint]5. Pentru fiecare ipoteză: (1) ce comportament atacator vizează, (2) ce sursă de jurnal va furniza dovezi/infirmare, (3) modelul așteptat. Faceți propoziții testabile, nu generale.
MODEL DE TEHNICĂ PATTERN Voi căuta următoarea tehnică de atac în instituția mea [numele tehnicii]. Generați: (1) zone de jurnal în care tehnica își lasă de obicei amprenta, (2) modele și praguri concrete de căutat, (3) situații inocente (fals pozitive) care ar putea declanșa acest tipar. Oferiți un număr T MITRE ATT&CK relevant, dar cu indicatorul „[Trebuie să fie verificat de la MITRE]”; nu dați ID/numărul evenimentului fabricat.
Șablon de interogare [SIEM/KQL/SQL] care caută următorul model: [descrierea modelului].Comentați fiecare rând, explicați ce câmp filtrați și de ce și marcați riscurile de performanță. Voi examina interogarea și o voi rula; nu presupune că o vei rula. Lăsați numele câmpurilor marcate „[corect la schema]” conform schemei pe care o cunosc.
Șablon de eliminare a rezultatelorRezultatul vânătorii mele a dat următoarele rânduri (anonim): [paste]. Grupați-le și pentru fiecare grup scrieți (1) un scenariu rău intenționat, (2) cel puțin 2 explicații nevinovate și (3) dovezi suplimentare de căutat pentru a diferenția. Luarea deciziilor; Nu mă lăsa să te despart. Marcați „[fără bază]” pentru o afirmație care nu are dovezi.
Greșeli comune
- Vânătoare fără ipoteze. A spune „găsește ceva” împinge IA să ghicească și să se inventeze; Vânătoarea începe cu o propoziție concretă, testabilă.
- Confundarea unei ipoteze cu dovezi. Vânătoarea testează o posibilitate; Urma găsită nu este o „amenințare” până când nu este confirmată de dovezi brute.
- Considerând automat contrariul ca fiind rău. Rar/outlier este adesea inocent (întreținere, software nou, un loc de muncă); Cerneți cu contextul.
- Nu se verifică detaliile tehnice. AI poate potrivi ID-ul evenimentului, numărul T și câmpul de jurnal; Confirmați cu MITRE ATT&CK și documentația produsului.
- Aruncând captura irosită. Rezultatul negativ este și cunoașterea: cunoaște mai bine organizația, reducând fals pozitive viitoare; document.
Sfat: O ipoteză bună de vânătoare a amenințărilor ar trebui să fie „testabilă”: o afirmație concretă care se poate dovedi a fi adevărată sau falsă. „Este ceva rău în rețeaua mea?” nu poate fi testat; „Contul X s-a conectat la mai mult de 50 de IP-uri interne în timpul orelor care nu sunt de lucru?” poate fi testat.
Atenție: vânătoarea de amenințări se face numai pe sistemele pe care sunteți autorizat să le faceți. A cere AI să „sondeze” o altă organizație, o persoană sau o rețea pentru care nu aveți permisiunea este o încercare de a obține acces neautorizat și este în afara acestui modul.
În concluzie
Vânătoarea de amenințări este căutarea proactivă a urmelor unui atacator ascuns fără a aștepta o alarmă și începe cu o ipoteză, nu cu o alarmă. AI oferă două contribuții puternice în acest proces: generarea de ipoteze testabile și schițe de interogări și filtrarea semnalelor rare/outlier din big data. Dar AI nu știe ce este normal pentru organizația ta, poate inventa detalii tehnice și poate cădea în capcana de a confunda o ipoteză cu dovezi. Deci vânătoarea are șase pași (ipoteză, date, interogare, extragere, verificare, documentare) și la fiecare pas decizia este la latitudinea vânătorului. Contrarian ≠ rău, ipoteză ≠ dovezi, detaliu tehnic dat de AI ≠ corect; toate confirmate de dovezi brute și MITRE ATT&CK.
Sarcina de aplicare
Obțineți 5 ipoteze de vânătoare de amenințări de la AI cu șablonul „Generație de ipoteze” pentru propria organizație (sau un mediu de probă). Alegeți cea mai testabilă, redactați o interogare cu șabloanele „Tehnica modelului” și „Ciornă de interogare”, validați fiecare rând din interogare și fiecare număr T sugerat în MITRE ATT&CK. Notați rezultatul (ipoteza a fost confirmată, infirmată, ce ați învățat) într-un scurt bilet de vânătoare.
lista de verificare
- [ ] Mi-am început vânătoarea cu o ipoteză concretă, testabilă.
- [ ] Am identificat surse de jurnal care vor dovedi și infirma ipoteza.
- [ ] Am revizuit fiecare linie a schiței de interogare și am adaptat-o la propria mea schemă.
- [ ] Am verificat tehnica MITRE ATT&CK propusă și ID-urile evenimentului cu sursa oficială.
- [ ] Am confirmat fiecare semnal cu dovezi brute și context; Nu am considerat automat contrariul ca fiind rău.
- [ ] Am documentat și ipoteza care a eșuat (rezultatul negativ este informația).
- [ ] Am vânat doar pe sisteme pe care am fost autorizat să vânez.