Добици:
- Могућност нормализације више извора временске ознаке на једну референцу (УТЦ) и означавање аномалија и празнина у супер временској линији помоћу вештачке интелигенције
- Способност да се направи разлика између корелације и узрочности и да се верификује наратив успостављен од стране вештачке интелигенције повезујући сваки догађај са његовим извором
- Способност да се препознају ризици као што су време, померање сата и празнине у евиденцији и потврди их са више извора
Постоји само једна ствар која вам говори када, како и којим редоследом се заиста дешава сајбер догађај: време. Када је нападач ушао у систем, који је фајл додирнуо и када, када је ексфилтрирао податке — све се то чува у различитим логовима (датотеке за снимање у којима систем бележи догађаје) и различитим временским ознакама (временска ознака — запис датума и времена када се догађај десио). Анализа временске линије распоређује ове разбацане временске ознаке у један хронолошки наратив и поставља питање „шта се догодило?“ То је уметност одговарања на питање. У овој јединици ћемо видети како вештачка интелигенција пружа велику брзину у организовању ових неуредних података и где може да вас обмане.
Мноштво и замке временских ознака
Чак и једна датотека има више временских ознака. На пример, систем датотека има МАЦБ печате: Модификовано, Приступљено, Промењено, Рођено. Поред тога, постоје евиденције догађаја оперативног система (Виндовс Евент Лог), евиденције веб сервера, евиденције заштитног зида, евиденције апликација и евиденције регистра (Виндовс регистар – хијерархијска база података у којој се чувају поставке система и апликације).
Највећа замка је временска зона и временски дрифт. Један дневник бележи УТЦ (координисано универзално време), други локално време; системски сат је можда погрешно подешен; Нападач је можда намерно манипулисао временским ознакама (тиместампинг — лажирање временских ознака датотеке). Дакле, пре успостављања временске линије, временска зона и тачност сата сваког извора морају бити одређени, све нормализовано на заједничку референцу (обично УТЦ).
Опрез: Класична је грешка ставити два дневника један поред другог у различитим временским периодима и рећи „догодило се у исто време“. Конвертујте све временске ознаке у једну референцу пре корелације; Иначе, узрочно-последична веза коју је успоставила АИ (и ви) је трула од почетка.
Супер временска линија и АИ
У компјутерској форензици, структура која комбинује све ове изворе назива се супер временска линија; Често се генерише помоћу алата као што је Пласо/лог2тимелине и може имати десетине хиљада или чак милионе редова. Овде долази АИ: обележавање значајних образаца и аномалија на овом огромном графикону.
Безбедни доприноси вештачке интелигенције:
- Означавање аномалија: приступ ван радног времена, изненадна ескалација привилегија, необичан ланац процеса, вишеструке неуспеле пријаве у кратком интервалу.
- Груписање догађаја: Груписање догађаја који се концентришу у истом временском прозору и означавање као „овде се нешто догодило“.
- Наративни нацрт: Превођење верификованих догађаја у хронолошку причу на једноставном језику (први нацрт за извештај).
- Откривање празнина: „Нема евиденције у овом интервалу од 40 минута — да ли су могли бити избрисани?“ Питајући о недостацима као нпр.
У сваком од њих АИ генерише хипотезе; Доказујете узрочност и доказну вредност.
Савет: Када дате временску линију АИ, прво му јасно реците временску зону и формат: „Све временске ознаке су у УТЦ, ИСО 8601 формату.“ Прво нормализујте мешовите формате; Пустити АИ да погоди формат је позив на грешку.
Корелација није узрочна веза
Најопаснија логичка грешка у анализи времена је мишљење да је сукцесија узрок и последица. „УСБ је убачен у 22:10, датотека је копирана у 22:12“ два догађаја се могу десити узастопно, али не доказују да је иста особа то урадила у исту сврху; Можда постоји још једно објашњење. Док АИ конструише течан наратив, он не види овај јаз и може произвести тачну реченицу као што је „Подаци су украдени преко УСБ-а“. Посао стручњака је да елиминише алтернативна објашњења и сваки корак поткрепи независним доказима.
три мини кофера
Случај 1 — Ухваћено померање сата. У једном случају, евиденција веб сервера и евиденција заштитног зида изгледали су другачије 3 сата. У првом нацрту, АИ је разматрала ова „два одвојена напада“. Стручњак је утврдио да је временска зона сервера погрешно подешена; Када се нормализују, два дневника се уклапају у један догађај. Нестала је 3-часовна „фантомска разлика“.
Случај 2 — празнина је открила брисање. У супер временској линији од 1,1 милион линија, АИ је означила да нема записа између 02:30-03:10. Експерт је прегледао: У овом прозору, безбедносни дневници су намерно очишћени (брисање дневника). Сама празнина постала је један од најјачих доказа напада.
Случај 3 — Халуцинација је измислила догађај. Док је правио резиме, ИЗ је рекао: „Администраторски налог је креиран у 03:45.“ Експерт је погледао извор: није постојао такав ИД догађаја — број у евиденцији Виндовса који означава тип догађаја; АИ је комбиновао две различите линије и произвео догађај који није постојао. Корак повезивања са извором спречио је лажну причу.
Четири шаблона за копирање
1) План нормализације времена:
Ваша улога: форензички аналитичар временске линије. Даћу вам временске ознаке из различитих извора (формати и временски периоди се могу разликовати). Прво одредите формат и временску зону сваког извора, а затим осмислите план да их све конвертујете у УТЦ/ИСО 8601. Означите временску зону за коју нисте сигурни као „потребна је потврда“.
2) Означавање аномалије:
Контекст: сервер предузећа, нормално радно време 08:00-18:00 (УТЦ+3). Даћу вам нормализовану листу догађаја. На основу само записа који се ЗАПРАВО појављују на листи, означите следеће: приступ ван радног времена, ескалација привилегија, више пута неуспешна пријава, необичан ланац процеса. За сваки знак наведите одговарајући ред. Додавање тумачења/узрочности; Ја ћу то проценити.
3) Наративни преглед (за извештај):
Испод су догађаји које сам ПРОВЕРИО (сваки са својим извором). Претворите их у једноставан, хронолошки наратив. Користите само догађаје које дајем; додавање новог догађаја, предвиђања или узрочности. Напишите нејасне везе на језику који их карактерише као „могуће“.
4) Скенирање празнина и недоследности:
У овој нормализованој временској линији: (1) означите периоде дневника који се очекују, али изгледа да недостају, (2) записи који нису у реду (од будућности до прошлости), (3) скокови који се појављују групно/аутоматски. Прикажи сваки са одговарајућим проредом. Истакните да то могу бити ЗНАЦИ брисања/манипулације, али нису доказ.
Слаби промпт / Јаки промпт
Слабо обавештење:
Сумирајте ове дневнике и објасните шта се догодило.
Нема ограничења временског оквира, извора или "само стварног снимања"; АИ може да направи течну, али измишљену причу.
Снажан упит:
Ваша улога: форензички аналитичар дневника. Извор: 3 евиденције (Виндовс безбедност, Апацхе приступ, заштитни зид), сви нормализовани на УТЦ, ИСО 8601. Задатак: хронолошки навести догађаје од 14. марта 21:00-23:00 само на основу датих редова; цитирајте сваки ред са извором и ИД-ом/кодом догађаја. Успостављање корелације, тврдња о узрочности; коментарисаћу. Засебно означите интервале које видите као недостајуће или необичне.
Извор, нормализована референца, „само дати ред“ и „успоставити узрочност“ ограничења чине излаз одбрањивим.
Табела извора временске ознаке
Извор
Пример временске ознаке
Пажња
Систем датотека (МАЦБ)
Измени/приступи/креирај
Отворено за временске мере
Виндовс дневник догађаја
Пријава, процес, сервисни догађаји
Потврдите ИД догађаја
дневник веб сервера
захтева време
провера временске зоне
заштитни зид/мрежа
веза, одбацивање
Синхронизација сата (НТП)
Регистри
Време последњег писања
Коментар захтева стручност
Апликација/претраживач
историја, кеш
може бити по локалном времену
Уобичајене грешке
- Успостављање корелације без нормализације временског периода. Различити делови стварају лажну „истовременост“.
- Погрешна корелација за узрочност. Узастопни догађаји не значе истог починиоца/сврху.
- Апсолутно поверење у временску ознаку. Могући су откуцаји времена и нетачно време; Потврдите са више извора.
- Не проверава догађај који је АИ сакупио. Унија две линије може произвести непостојећи догађај.
- Игноришући празнине. Дневник који недостаје је често најважнији доказ.
Укратко
Анализа временске линије је чин спајања разбацаних временских ознака у једну проверљиву хронологију. АИ пружа велику брзину у означавању аномалија, груписању, откривању празнина и писању нарације у супер временским линијама од милион линија. Али нормализација временског периода, разликовање корелације-узрочности и приписивање сваког догађаја извору припадају људима. АИ генерише хипотезе; Ви сте тај који браните хронологију на суду.
Задатак апликације
Припремите узорак листе догађаја од 15-20 редова у различитом формату и временској зони (намерно укључите временски помак и размак). Прво их све претворите у УТЦ помоћу шаблона „План нормализације времена“. Затим примените шаблоне „Означавање аномалија“ и „Скенирање празнина“ и проверите померање сата и јаз које је забележила АИ на извору.
контролна листа
- [ ] Нормализовао сам све временске ознаке на једну референцу (УТЦ).
- [ ] Повезао сам сваки догађај са његовим извором (датотека/ИД догађаја/ред).
- [ ] Разликовао сам корелацију и узрочност; Размишљао сам о алтернативним објашњењима.
- [ ] Означио сам празнине у дневнику и необичне записе.
- [ ] Потврдио сам догађаје које је АИ консолидовао/сумирао у оригиналном снимку.