Fitimet:
- Aftësia për të normalizuar burime të shumta të vulave kohore në një referencë të vetme (UTC) dhe për të shënuar anomali dhe boshllëqe në afatin super kohor me inteligjencën artificiale
- Aftësia për të dalluar midis korrelacionit dhe kauzalitetit dhe për të verifikuar narrativën e krijuar nga inteligjenca artificiale duke lidhur çdo ngjarje me burimin e saj
- Aftësia për të njohur rreziqe të tilla si përcaktimi i kohës, zhvendosja e orës dhe boshllëqet e regjistrit dhe konfirmimi i tyre me burime të shumta
Është vetëm një gjë që ju tregon se kur, si dhe në çfarë rendi ndodh një ngjarje kibernetike: koha. Kur një sulmues hyn në sistem, cilin skedar ai preku dhe kur, kur ai hodhi të dhëna - e gjithë kjo ruhet në regjistra të ndryshëm (skedarë regjistrimi ku sistemi regjistron ngjarje) dhe vula kohore të ndryshme (vula kohore - një regjistrim i datës dhe orës kur ndodhi një ngjarje). Analiza e vijës kohore i rregullon këto vula kohore të shpërndara në një tregim të vetëm kronologjik dhe pyet "çfarë ndodhi?" Është arti për t'iu përgjigjur pyetjes. Në këtë njësi, ne do të shohim se si AI ofron shpejtësi të madhe në organizimin e këtyre të dhënave të çrregullta dhe ku mund t'ju mashtrojë.
Shumësia dhe kurthet e vulave kohore
Edhe një skedar i vetëm ka shumë vula kohore. Për shembull, një sistem skedari ka vula MACB: Modified, Accessed, Changed, Born. Përveç kësaj, ekzistojnë regjistrat e ngjarjeve të sistemit operativ (Regjistri i ngjarjeve të Windows), regjistrat e serverëve të uebit, regjistrat e murit të zjarrit, regjistrat e aplikacioneve dhe regjistrit (Regjistri i Windows - baza e të dhënave hierarkike ku ruhen cilësimet e sistemit dhe aplikacionit).
Gracka më e madhe është zona kohore dhe zhvendosja kohore. Njëri regjistër regjistron UTC (ora e koordinuar universale), tjetri kohën lokale; ora e sistemit mund të jetë vendosur gabimisht; Sulmuesi mund të ketë manipuluar qëllimisht vulat kohore (timestomping — spoofing file stamps). Pra, përpara se të vendosni një afat kohor, duhet të përcaktohet zona kohore dhe saktësia e orës së çdo burimi, të gjitha të normalizuara në një referencë të përbashkët (zakonisht UTC).
Kujdes: Është një gabim klasik të vendosësh dy trungje krah për krah në periudha të ndryshme kohore dhe të thuash "ka ndodhur në të njëjtën kohë". Konvertoni të gjitha vulat kohore në një referencë të vetme përpara se të ndërlidheni; Përndryshe, marrëdhënia shkak-pasojë e krijuar nga AI (dhe ju) është e kalbur që në fillim.
Super timeline dhe AI
Në forenzikën kompjuterike, struktura që kombinon të gjitha këto burime quhet super timeline; Shpesh gjenerohet me mjete si Plaso/log2timeline dhe mund të jetë dhjetëra mijëra apo edhe miliona rreshta. Këtu hyn AI: duke shënuar modele dhe anomali domethënëse në këtë tabelë të madhe.
Kontributet e sigurta të AI:
- Raportimi i anomalive: Qasje jashtë orarit, përshkallëzim i papritur i privilegjit, zinxhir i pazakontë i procesit, hyrje të shumta të dështuara në një interval të shkurtër.
- Grumbullimi i ngjarjeve: Grupimi i ngjarjeve që përqendrohen në të njëjtën dritare kohore dhe shënjimi i tyre si "diçka ka ndodhur këtu".
- Skica narrative: Përkthimi i ngjarjeve të verifikuara në një histori kronologjike në gjuhë të thjeshtë (drafti i parë për raportin).
- Zbulimi i boshllëqeve: "Nuk ka regjistra në këtë interval prej 40 minutash - a mund të ishin fshirë?" Pyetja për mangësitë si p.sh.
Në secilën prej tyre, AI gjeneron hipoteza; Ju vërtetoni kauzalitetin dhe vlerën dëshmuese.
Këshillë: Kur i jepni afatin kohor AI, fillimisht tregoni qartë zonën kohore dhe formatin: "Të gjitha vulat kohore janë në formatin UTC, ISO 8601." Së pari, normalizoni formatet e përziera; Lejimi i AI të hamendësojë formatin është një ftesë për gabim.
Korrelacioni nuk është shkakësi
Gabimi logjik më i rrezikshëm në analizën e kohës është të mendosh se vazhdimësia është shkak dhe pasojë. "Një USB u fut në orën 22:10, një skedar u kopjua në orën 22:12" dy ngjarje mund të ndodhin radhazi, por ato nuk vërtetojnë se i njëjti person e ka bërë për të njëjtin qëllim; Mund të ketë një shpjegim tjetër. Ndërsa AI ndërton një tregim të rrjedhshëm, ai nuk e sheh këtë boshllëk dhe mund të prodhojë një fjali të saktë si "Të dhënat u vodhën përmes USB". Detyra e ekspertit është të eliminojë shpjegimet alternative dhe të mbështesë çdo hap me prova të pavarura.
tre mini kuti
Rasti 1 - Zbatimi i orës u kap. Në një rast, regjistri i serverit të uebit dhe regjistri i murit të zjarrit dukeshin të ndryshëm për 3 orë. Në draftin e parë, AI i konsideroi këto "dy sulme të veçanta". Eksperti zbuloi se zona kohore e serverit ishte vendosur gabimisht; Kur normalizohen, dy regjistrat përshtaten në një ngjarje të vetme. Ka ikur “ndryshimi fantazmë” 3 orësh.
Rasti 2 - Një boshllëk zbuloi një fshirje. Në vijën kohore prej 1.1 milionë linjash, AI shënoi se nuk kishte regjistrime midis orës 02:30-03:10. Eksperti ekzaminoi: Në këtë dritare, regjistrat e sigurisë u pastruan qëllimisht (fshirja e regjistrave). Vetë boshllëku u bë një nga provat më të forta të sulmit.
Rasti 3 - Halucinacioni shpiku një ngjarje. Ndërsa bën një përmbledhje, YZ tha, "Llogaria e administratorit u krijua në 03:45." Eksperti shikoi burimin: nuk kishte një ID të tillë Ngjarje - numri në regjistrat e Windows që tregon llojin e ngjarjes; AI kombinoi dy linja të ndryshme dhe prodhoi një ngjarje që nuk ekzistonte. Hapi i lidhjes me burimin parandaloi tregimin e rremë.
Katër shabllone të kopjueshëm
1) Plani i normalizimit të kohës:
Roli juaj: analist i afatit kohor të mjekësisë ligjore. Unë do t'ju jap vula kohore nga burime të ndryshme (formatet dhe periudhat kohore mund të ndryshojnë). Së pari përcaktoni formatin dhe zonën kohore të secilit burim, më pas dilni me një plan për t'i konvertuar të gjitha në UTC / ISO 8601. Shënoni zonën kohore për të cilën nuk jeni të sigurt si "ka nevojë për konfirmim".
2) Shënimi i anomalive:
Konteksti: serveri i ndërmarrjes, orari normal i punës 08:00-18:00 (UTC+3). Unë do t'ju jap listën e normalizuar të ngjarjeve. Bazuar vetëm në të dhënat që AKTUALISHT shfaqen në listë, shënoni sa vijon: aksesi jashtë orarit, përshkallëzimi i privilegjeve, identifikimi i dështuar në mënyrë të përsëritur, zinxhiri i pazakontë i procesit. Për çdo shenjë, citoni rreshtin përkatës. Shtimi i interpretimit/shkakësisë; Unë do ta vlerësoj.
3) Skica narrative (për raportin):
Më poshtë janë ngjarjet që kam VERIFIKUAR (secila me burimin e saj). Shndërrojini ato në një tregim të thjeshtë, kronologjik. Përdorni vetëm ngjarjet që unë jap; duke shtuar një ngjarje, parashikim ose shkakësi të re. Shkruani lidhje të paqarta në gjuhën që i karakterizon ato si "të mundshme".
4) Skanimi i boshllëqeve dhe mospërputhjes:
Në këtë afat kohor të normalizuar: (1) shënoni periudhat e regjistrit që priten, por duken të munguara, (2) regjistrimet që nuk janë në rregull (nga e ardhmja në të kaluarën), (3) pikat që shfaqen grumbull/automatikisht. Trego secilin me hapësirën përkatëse të rreshtave. Vini në dukje se këto mund të jenë SHENJA fshirjeje/manipulimi, por nuk janë provë.
Prompt i dobët / Prompt i fortë
Njoftim i dobët:
Përmblidhni këto regjistra dhe shpjegoni se çfarë ndodhi.
Nuk ka kufizime të kornizës kohore, burimit ose "vetëm regjistrim real"; AI mund të ndërtojë një histori të rrjedhshme, por të sajuar.
Njoftim i fuqishëm:
Roli juaj: analist i regjistrave të mjekësisë ligjore. Burimi: 3 regjistra (Windows Security, Access Apache, firewall), të gjitha të normalizuara në UTC, ISO 8601. Detyrë: listoni në mënyrë kronologjike ngjarjet nga data 14 mars 21:00-23:00 bazuar vetëm në linjat e dhëna; citoni çdo rresht me burimin dhe ID/kodin e ngjarjes. Vendosja e korrelacionit, pretendimi i shkakësisë; Unë do të komentoj. Shënoni veçmas intervalet që shihni si të munguara ose të pazakonta.
Burimi, referenca e normalizuar, kufizimet "vetëm rreshti i dhënë" dhe "përcaktimi i shkakësisë" e bëjnë produktin të mbrojtur.
Tabela e burimeve të vulave kohore
Burimi
Shembull i vulës kohore
Kujdes
Sistemi i skedarëve (MACB)
Modifiko/akses/krijo
E hapur për vlerësimin e kohës
Regjistri i ngjarjeve të Windows
Hyrja, procesi, ngjarjet e shërbimit
Verifiko ID-në e ngjarjes
regjistri i ueb serverit
koha e kërkesës
kontrolli i zonës kohore
firewall/rrjet
lidhje, refuzim
Sinkronizimi i orës (NTP)
Regjistri
Koha e fundit e shkrimit
Komenti kërkon ekspertizë
Aplikacioni/shfletuesi
histori, cache
mund të jetë koha lokale
Gabimet e zakonshme
- Vendosja e korrelacionit pa normalizimin e periudhës kohore. Feta të ndryshme krijojnë "konkurrencë" të rreme.
- Gabimi i korrelacionit për shkakun. Ngjarjet e njëpasnjëshme nuk nënkuptojnë të njëjtin autor/qëllim.
- Besim absolut në vulën kohore. Kohëzgjatja dhe koha e gabuar janë të mundshme; Konfirmo me burime të shumta.
- Mos verifikimi i ngjarjes që AI ka mbledhur. Bashkimi i dy linjave mund të prodhojë një ngjarje joekzistente.
- Injorimi i boshllëqeve. Regjistri që mungon është shpesh prova më e rëndësishme.
Në përmbledhje
Analiza e vijës kohore është akti i bashkimit të vulave kohore të shpërndara në një kronologji të vetme të verifikueshme. Inteligjenca artificiale ofron shpejtësi të madhe në raportimin e anomalive, grupimin, zbulimin e boshllëqeve dhe hartimin e narrativës përgjatë afateve kohore me miliona rreshta. Por normalizimi i periudhës kohore, dallimi korrelacion-shkak, dhe atribuimi i secilës ngjarje në burim i përkasin njerëzve. AI gjeneron hipoteza; Ju jeni ai që mbron kronologjinë në gjykatë.
Detyra e aplikimit
Përgatitni një listë të ngjarjeve mostër prej 15-20 rreshtash në format dhe zonë kohore të ndryshme (përfshini qëllimisht një zhvendosje kohore dhe një hapësirë). Fillimisht konvertojini të gjitha në UTC me shabllonin "Plani i normalizimit të kohës". Më pas aplikoni shabllonet "Shënimi i anomalisë" dhe "Skanimi i boshllëqeve" dhe verifikoni lëvizjen dhe hendekun e orës të regjistruar nga AI në burim.
listë kontrolli
- [ ] I normalizova të gjitha vulat kohore në një referencë të vetme (UTC).
- [ ] Unë e lidha çdo ngjarje me burimin e saj (skedari/ID-ja e ngjarjes/linja).
- [ ] Kam bërë dallimin midis korrelacionit dhe shkakësisë; Mendova për shpjegime alternative.
- [ ] Kam shënuar boshllëqe në regjistrat dhe regjistrime të pazakonta.
- [ ] Unë konfirmova ngjarjet që AI i konsolidoi/përmblodhi në regjistrimin origjinal.