Добици:
- Разумевање да вештачка интелигенција убрзава реаговање на инцидент са сумирањем доказа, утврђивањем временског оквира, сортирањем основних узрока и састављањем приручника, али одлука да се изолује/закључа/затвори/обавештава припада овлашћеном тиму.
- Способност да се процене опције задржавања у смислу пословног утицаја и реверзибилности и да се не изолује критична инфраструктура без мерења њеног утицаја
- Способност разумевања да брзина опоравка не може да превазиђе очување доказа (форензичка слика, ланац доказа) и да се форензички кораци не могу пренети на вештачку интелигенцију
Када дође до безбедносног инцидента, време је непријатељ. Како рансомваре почиње да се шири, то значи да се више машина шифрује сваког минута; Када је налог компромитован, нападач копа све дубље сваког минута. Одговор на инцидент (скраћено ИР) је процес откривања безбедносног инцидента, његовог ограничавања, чишћења и враћања у нормалу. ИР захтева доношење одлука под притиском, са непотпуним информацијама и са откуцавањем сата; Управо због тога мора бити и брзо и дисциплиновано.
АИ доноси непроцењиву брзину ИР-у: брзо сумира разбацане доказе (дневници, упозорења, ЕДР подаци), успоставља временску линију догађаја, набраја могући основни узрок, прави нацрт приручника (унапред дефинисани водич за интервенцију корак по корак) и скицира извештај након интервенције. Али најкритичније одлуке у ИР – изоловање система од мреже, закључавање налога, гашење сервера, брисање или очување доказа – су одлуке које могу бити реверзибилне, изазвати прекид пословања и утицати на судске процесе. Они се не могу делегирати на АИ. АИ је машина за анализу и израду нацрта у ИР; Одлука о изолацији, закључавању, затварању и обавештавању припада надлежном тиму за реаговање.
Фазе реаговања на инцидент
Уобичајени оквир у индустрији (заснован на НИСТ-у) је шест фаза. У свакој фази, помоћ и граница АИ су различити:
- Припрема: Приручници, улоге, комуникациони план су унапред спремни. АИ помаже у изради књига и сценарија - пре догађаја, а не у овом тренутку.
- Детекција и анализа: Догађај је верификован и одређен је његов обим. АИ сумира доказе, успоставља временску линију и наводи хипотезе о основном узроку. Одлука је на аналитичару.
- Задржавање: Ширење је заустављено (изолација, закључавање налога). Ова критична одлука припада људима; АИ само наводи опције и њихове ефекте.
- Искорењивање: Злонамерни, скривени, компромитовани налози се бришу. АИ производи контролну листу; имплементација и верификација су људски.
- Опоравак: Системи се обнављају и надгледају на контролисан начин. АИ препоручује план праћења.
- Научене лекције: Основни узрок, временски оквир, побољшање. АИ производи нацрте извештаја и предлоге за побољшање; Он је у тиму за одобравање.
Услови: ЕДР (Ендпоинт Детецтион анд Респонсе — софтвер који ради на крајњим тачкама, тј. рачунарима, и може да открије и реагује на сумњиво понашање). Основни узрок је стварна почетна тачка догађаја („Како су уопште ушли?“). Ланац чувања је непрекидна евиденција о томе ко, како и када је прикупљен форензички доказ; То је критично у правном процесу. МТТР (средње време за одговор) је мера учинка ИР тима.
Табела овлашћења за одлучивање
ИР акција
Улога АИ
Ко одлучује
Зашто
Сажетак доказа, временски оквир
продуцент, акцелератор
Аналитичар потврђује
Ризик од халуцинација
Хипотеза о основном узроку
Сортер, предлог
аналитичар
Потребан контекст и докази
Нацрт Плаибоок (претходно)
генератор скица
Лидер ИР потврђује
Применљивост
Изолујте систем
Наводи само опције
овлашћени аналитичар
Прекид пословања, повратак
Закључавање налога
Даје анализу утицаја
овлашћени аналитичар
Погрешна брава зауставља рад
Брисање/очување доказа
Упозорења, предлози
ИР лидер + закон
Судски процес је погођен
Правно/регулаторно обавештење
писац нацрта
Право + менаџмент
Правна одговорност
три мини кофера
Случај 1 — Кратки резиме под притиском. Упозорење о рансомваре-у стиже у 2:40 ујутро. Аналитичар даје ЕДР и евиденције заштитног зида (анонимизацијом) АИ. АИ прави временску линију сваких 90 секунди: „01:55 пхисхинг прилог је отворен, 02:10 ПоверСхелл преузет, 02:30 започело бочно померање, погођене су 3 машине.“ Аналитичар потврђује овај ланац са необрађеним ЕДР записом, изолује 3 погођене машине по свом нахођењу и зауставља ширење. АИ је смањио 20 минута читања доказа на 90 секунди; Аналитичар је донео одлуку о изолацији.
Случај 2 — Погрешна препорука за изолацију. У једном случају, АИ каже: „Саобраћај са ИЦ_ХОСТ_7 је сумњив, изолујте. Аналитичар проверава контекст: ИЦ_ХОСТ_7 је главни сервер за аутентификацију организације; Ако су изоловани, сви запослени престају да улазе. Штавише, разлог саобраћаја је легитимна резервна копија. Аналитичар не изолује, већ само прати сумњиву везу. Лекција: Препорука АИ за изолацију не може се применити без познавања утицаја на пословање; Што се тиче критичне инфраструктуре, одлука је пажљиво људска.
Случај 3 — Случајно уништавање доказа. Тим, у журби да очисти, упитао је АИ „како да брзо очистим ову машину?“ он пита; АИ нуди поновну инсталацију система. Али машина садржи форензичке доказе (складиште меморије, алатке за нападаче) који још нису прикупљени; поновна инсталација би уништила ланац доказа. Виши аналитичар прво осигурава да се слика (форензичка копија) сними, а затим је чисти. Поука: брзина опоравка не може надмашити очување доказа; судски кораци нису делегирани АИ.
Слаби промпт / Јаки промпт
Слабо обавештење:
Постоји напад рансомваре-а, шта да радим? Које машине треба да искључим?
Овај упит од АИ тражи директну оперативну одлуку (коју машину да искључи), не даје контекст, нема утицаја на пословање и нема доказа. АИ даје општа или ризична упутства; Ако се примени на слепо, рад ће престати или ће докази нестати.
Снажан упит:
Ваша улога: помоћник који пружа АНАЛИЗУ и ОПЦИЈЕ тиму за реаговање на инцидент. Немојте доносити одлуку; не наређујте „искључите/изолирајте ту машину“, само наведите опције и могући утицај сваке од њих. Обрадите следеће анонимне доказе: [ЕДР/резиме дневника]. Ваш задатак: (1) конструишите вероватну временску линију догађаја, покажите на којим доказима заснивате сваки корак, означите онај без основа као „[мора бити верификован]“, (2) наведите 3 хипотезе о основном узроку, напишите како да тестирате сваку, (3) наведите ОПЦИЈЕ задржавања (изолација ризика од повратка) и запишите сваки посао, запишите; оставите одлуку мени,(4) подсетите ме који кораци су потребни да би се очували докази ПРЕ изолације.
Јака потражња ограничава АИ као добављача опција, везује је за доказе, наглашава пословни утицај и очување доказа и препушта одлуку људима.
Шаблони упита који се могу копирати
ПРЕДЛОЖАК ВРЕМЕНСКОГ СЛОГА ДОГАЂАЈА Конструишите хронолошки временски оквир догађаја на основу овог анонимног ИР доказа. Сваки ред: [време] [догађај] [извор доказа]. Додавање корака без временске ознаке или доказа; означите празно као „[недостаје – мора се прикупити]“. Одлука/препорука, рангирање само на основу доказа. Доказ: [налепите]
ШАБЛОНА ЗА ХИПОТЕЗЕ О КОРИСНИЧКОМ УЗРОКУ Генеришите 3-5 хипотеза о основном узроку овог догађаја. За сваку хипотезу: (1) доказ на коме се заснива, (2) додатни докази који треба прикупити да би се потврдила, (3) сви други трагови који се очекују ако је тачна. Не проглашавајте ниједну од њих сигурним; Користите језик вероватноће. Резиме догађаја: [налепи]
ШАБЛОНА ОПЦИЈА КОНТРАКЦИЈЕ Наведите ОПЦИЈЕ задржавања за следећу ситуацију (изоловати / надгледати / закључати / сегментирати). За СВАКУ опцију: пословни утицај, тешкоћа поврата, утицај на доказе, форензички ризик. Немојте ми наређивати; Ја ћу донети одлуку. Посебно је погодан ако је укључена критична инфраструктура (идентитет, ДНС, резервна копија). Статус: [налепи]
ШАБЛОНА ЗА НАЦРТ ЗА ПЛАИБООК (припрема пре догађаја)За следећи сценарио [нпр. компромис посла е-поште] напишите корак-по-корак интервенциони приручник са игром НАЦРТ: окидач, улоге, задржавање, уништење, опоравак, контакт, кораци обавештења. Ставите квачицу „[људско одобрење]“ поред сваке критичне одлуке. Овај нацрт не ступа на снагу без одобрења лидера ИР.
Уобичајене грешке
- Нека АИ доноси оперативне одлуке. Питање „Коју машину треба да искључим“ припада тиму који познаје пословни утицај, а не вештачкој интелигенцији; АИ нуди само избор и утицај.
- Чишћење доказа без прикупљања. Уништавање форензичких доказа ради брзине је неповратно; Избаците слику и меморију пре изолације/чишћења.
- Увоз временске линије у извештај без његове валидације. АИ може да чини ланац догађаја; Потврдите сваки корак сировим доказима.
- Изоловање критичне инфраструктуре без размишљања. Изоловање идентитета, ДНС, резервни сервер може довести до заустављања целе организације; прво измерите ефекат.
- Писање Приручника по први пут у време инцидента. Приручник се прави током припремне фазе; Покушај писања од нуле у тренутку инцидента производи панику и грешке.
Савет: У ИР-у увек реците АИ „наведите опције и њихове ефекте, дозволите ми да одлучим“. Ова једина реченица претвара АИ из опасног „аутопилота“ у безбедног „саветника“.
Опрез: Изоловање система, закључавање налога или брисање доказа могу имати неповратне последице и утицати на судске/правне процесе. Ове одлуке се доносе уз одобрење овлашћеног тима за реаговање и, када је потребно, правног и руководства; АИ излаз је предлог, а не наређење.
Укратко
Реакција на инцидент захтева и брзо и дисциплиновано доношење одлука под притиском и са откуцавањем сата. АИ у великој мери повећава ову брзину са сумирањем доказа, изградњом временске линије, сортирањем основних узрока и састављањем приручника. Али најкритичније акције ИР-а — изолација, закључавање налога, гашење система, брисање/очување доказа, правно обавештење — су неповратне одлуке које доводе до прекида пословања и правних последица и не могу се пренети на АИ. У свакој од шест фаза (припрема, откривање, задржавање, уништавање, спасавање, лекција), АИ производи анализу и план; Одлука припада овлашћеном тиму. Два златна правила: очистите доказе без очувања, изолујте критичну инфраструктуру без мерења њеног утицаја.
Задатак апликације
Изаберите сценарио случаја (нпр. преузимање налога након „пецања“). Наведите анализу из АИ са шаблонима „Хронологија догађаја“ и „Хипотеза о основном узроку“; Запишите доказе које ћете користити за верификацију сваког корака временске линије. Затим, са шаблоном „Опција ограничавања“, када имате три ограничавајуће опције, сами процените пословни утицај сваке од њих и забележите коју бисте изабрали и зашто (и шта бисте прво урадили да сачувате доказе).
контролна листа
- [ ] Ограничио сам АИ као опцију/сервер за анализу; Ја сам донео оперативну одлуку.
- [ ] Проверио сам сваки корак временске линије сировим доказима, искорењивши измишљотине.
- [ ] Планирао сам корак прикупљања доказа (слика, депонија меморије) пре изолације/чишћења.
- [ ] Прво сам измерио пословни утицај изолације за критичну инфраструктуру.
- [ ] Хипотезе о основном узроку третирао сам као могућности које треба тестирати, а не као дефинитивне.
- [ ] Припремио сам Плаибоок пре догађаја и поднео га лидеру ИР на одобрење.
- [ ] Укључио сам правно/административно одобрење у случајевима када је потребно правно обавештење.