Faida:
- Uwezo wa kusawazisha vyanzo vingi vya muhuri wa nyakati kwa marejeleo moja (UTC) na kuashiria hitilafu na mapengo katika ratiba bora ya matukio kwa kutumia akili ya bandia.
- Uwezo wa kutofautisha kati ya uwiano na sababu na kuthibitisha simulizi iliyoanzishwa na akili ya bandia kwa kuunganisha kila tukio na chanzo chake.
- Uwezo wa kutambua hatari kama vile kuruka wakati, kusogea kwa saa na mapengo ya kumbukumbu na kuyathibitisha kwa vyanzo vingi.
Kuna kitu kimoja tu kinachokuambia ni lini, vipi na kwa mpangilio gani tukio la mtandaoni hutokea: wakati. Wakati mshambulizi aliingia kwenye mfumo, ni faili gani aliyogusa na wakati, alipotoa data - yote haya yanahifadhiwa kwenye kumbukumbu tofauti (faili za kurekodi ambapo mfumo hurekodi matukio) na alama za nyakati tofauti (muda wa muda - rekodi ya tarehe na wakati tukio lililotokea). Uchanganuzi wa rekodi ya matukio hupanga alama hizi za nyakati zilizotawanyika kuwa simulizi moja la mpangilio wa matukio na kuuliza "nini kilifanyika?" Ni sanaa ya kujibu swali. Katika kitengo hiki, tutaona jinsi AI hutoa kasi kubwa katika kupanga data hii yenye fujo na ambapo inaweza kukupotosha.
Wingi na mitego ya alama za nyakati
Hata faili moja ina mihuri ya nyakati nyingi. Kwa mfano, mfumo wa faili una mihuri ya MACB: Iliyorekebishwa, Imepatikana, Iliyobadilishwa, Iliyozaliwa. Kwa kuongeza, kuna kumbukumbu za matukio ya mfumo wa uendeshaji (Logi ya Tukio la Windows), kumbukumbu za seva ya wavuti, kumbukumbu za firewall, kumbukumbu za programu na usajili (Usajili wa Windows - hifadhidata ya hierarchical ambapo mipangilio ya mfumo na programu huhifadhiwa) kumbukumbu.
Shida kubwa zaidi ni eneo la wakati na mzunguko wa wakati. Rekodi moja hurekodi UTC (wakati wa ulimwengu ulioratibiwa), nyingine wakati wa ndani; saa ya mfumo inaweza kuwekwa vibaya; Mshambulizi anaweza kuwa alidanganya kwa makusudi mihuri ya muda (timestomping - spoofing file timestamps). Kwa hivyo kabla ya kuweka rekodi ya matukio, saa za eneo na usahihi wa saa wa kila chanzo lazima ibainishwe, yote yakiwa ya kawaida kwa marejeleo ya kawaida (kwa kawaida UTC).
Tahadhari: Ni kosa la kawaida kuweka magogo mawili kando kwa nyakati tofauti na kusema "ilifanyika kwa wakati mmoja". Badilisha mihuri yote ya muda kuwa rejeleo moja kabla ya kuunganishwa; Vinginevyo, uhusiano wa sababu-athari ulioanzishwa na AI (na wewe) umeoza tangu mwanzo.
Ratiba bora ya matukio na AI
Katika uchunguzi wa kompyuta, muundo unaochanganya vyanzo hivi vyote unaitwa ratiba bora; Mara nyingi hutengenezwa kwa zana kama vile Plaso/log2timeline na inaweza kuwa makumi ya maelfu au hata mamilioni ya safu mlalo. Hapa ndipo AI inapoingia: kuashiria ruwaza za maana na hitilafu kwenye chati hii kubwa.
Michango salama ya AI:
- Kuripoti kwa njia isiyo ya kawaida: Ufikiaji nje ya saa, upandaji wa marupurupu wa ghafla, msururu wa mchakato usio wa kawaida, kuingia mara nyingi kwa kushindwa katika muda mfupi.
- Kukusanya matukio: Kupanga matukio ambayo hujikita katika wakati mmoja na kuyaweka alama kama "kitu kimetokea hapa."
- Muhtasari wa masimulizi: Kutafsiri matukio yaliyoidhinishwa kuwa hadithi ya mpangilio wa lugha rahisi (rasimu ya kwanza ya ripoti).
- Utambuzi wa pengo: "Hakuna kumbukumbu katika muda huu wa dakika 40 - je, zinaweza kufutwa?" Kuuliza juu ya mapungufu kama vile.
Katika kila, AI inazalisha hypotheses; Unathibitisha sababu na thamani ya ushahidi.
Kidokezo: Unapotoa kalenda ya matukio kwa AI, kwanza iambie kwa uwazi eneo la saa na umbizo: "Muhuri zote za muda ziko katika umbizo la UTC, ISO 8601." Rekebisha miundo mchanganyiko kwanza; Kuruhusu AI kukisia umbizo ni mwaliko wa makosa.
Uwiano sio sababu
Kosa la hatari zaidi la kimantiki katika uchanganuzi wa wakati ni kufikiria kuwa mfululizo ni sababu na athari. "USB iliingizwa saa 22:10, faili ilinakiliwa saa 22:12" matukio mawili yanaweza kutokea mfululizo, lakini hayathibitishi kwamba mtu huyo huyo alifanya hivyo kwa madhumuni sawa; Kunaweza kuwa na maelezo mengine. Ingawa AI hutengeneza simulizi fasaha, haioni pengo hili na inaweza kutoa sentensi kamili kama vile "Data iliibiwa kupitia USB." Kazi ya mtaalam ni kuondoa maelezo mbadala na kuunga mkono kila hatua kwa ushahidi wa kujitegemea.
kesi tatu ndogo
Kesi ya 1 - Mteremko wa saa umenaswa. Katika hali moja, logi ya seva ya wavuti na logi ya ngome zilionekana tofauti kwa masaa 3. Katika rasimu ya kwanza, AI ilizingatia haya "mashambulizi mawili tofauti." Mtaalam aligundua kuwa eneo la saa la seva liliwekwa vibaya; Inaporekebishwa, magogo hayo mawili yanafaa katika tukio moja. "Tofauti ya phantom" ya saa 3 imetoweka.
Kesi ya 2 - Pengo lilifichua ufutaji. Katika rekodi ya matukio bora ya mstari wa milioni 1.1, AI iliripoti kwamba hakukuwa na rekodi kati ya 02:30-03:10. Mtaalam alichunguza: Katika dirisha hili, kumbukumbu za usalama zilifutwa kwa makusudi (kufuta kumbukumbu). Utupu wenyewe ukawa moja ya ushahidi dhabiti wa shambulio hilo.
Kesi ya 3 - Udanganyifu ulibuni tukio. Wakati akifanya muhtasari, YZ alisema, "Akaunti ya Msimamizi iliundwa saa 03:45." Mtaalam aliangalia chanzo: hapakuwa na kitambulisho kama hicho cha Tukio - nambari katika kumbukumbu za Windows inayoonyesha aina ya tukio; AI ilichanganya mistari miwili tofauti na ikatoa tukio ambalo halikuwepo. Hatua ya kuunganisha kwa chanzo ilizuia simulizi ya uwongo.
Violezo vinne vinavyoweza kunakiliwa
1) Mpango wa kuhalalisha wakati:
Jukumu lako: mchambuzi wa kalenda ya matukio. Nitakupa mihuri ya muda kutoka kwa vyanzo tofauti (umbizo na vipindi vya wakati vinaweza kutofautiana). Kwanza bainisha umbizo na eneo la saa la kila chanzo, kisha uje na mpango wa kuzibadilisha zote hadi UTC/ISO 8601. Weka alama kwenye saa za eneo ambalo huna uhakika nalo kama "inahitaji uthibitisho".
2) Kuweka alama kwa njia isiyo ya kawaida:
Muktadha: seva ya biashara, saa za kazi za kawaida 08:00-18:00 (UTC+3).Nitakupa orodha ya matukio ya kawaida. Kulingana na rekodi ambazo KWELI zinaonekana kwenye orodha, tia alama zifuatazo: ufikiaji wa nje ya saa, upandaji wa fursa, kuingia kwa mara kwa mara kufeli, msururu wa mchakato usio wa kawaida. Kwa kila ishara, nukuu mstari husika. Kuongeza tafsiri/sababu; Nitaitathmini.
3) Muhtasari wa simulizi (kwa ripoti):
Hapo chini kuna matukio NILIYOTHIBITISHA (kila moja na chanzo chake). Zigeuze ziwe masimulizi rahisi, ya mpangilio wa matukio. Tumia tu matukio ninayotoa; kuongeza tukio jipya, utabiri au sababu. Andika miunganisho isiyoeleweka katika lugha inayowatambulisha kama "inawezekana."
4) Uchanganuzi wa pengo na kutofautiana:
Katika rekodi hii ya matukio iliyorekebishwa: (1) weka alama kwenye vipindi vya kumbukumbu vinavyotarajiwa lakini vinaonekana kuwa havipo, (2) rekodi ambazo hazijapangwa (baadaye hadi zamani), (3) miindo inayoonekana kwenye kundi/otomatiki. Onyesha kila moja ikiwa na nafasi inayolingana ya mstari. Onyesha kuwa hizi zinaweza kuwa ISHARA za kufutwa/udanganyifu lakini si uthibitisho.
Mwongozo dhaifu / Mwongozo thabiti
Agizo dhaifu:
Fanya muhtasari wa kumbukumbu hizi na ueleze kilichotokea.
Hakuna muda, chanzo au vikwazo vya "kurekodi halisi pekee"; AI inaweza kuunda hadithi fasaha lakini iliyotungwa.
Agizo lenye nguvu:
Jukumu lako: mchambuzi wa kumbukumbu za mahakama. Chanzo: kumbukumbu 3 (Usalama wa Windows, ufikiaji wa Apache, ngome), zote zimewekwa kawaida kuwa UTC, ISO 8601. Kazi: orodhesha matukio kwa kufuatana kuanzia Machi 14 21:00-23:00 kulingana na laini zilizotolewa pekee; nukuu kila mstari na chanzo chake na Kitambulisho/msimbo wa Tukio. Kuanzisha uwiano, kudai causality; Nitatoa maoni. Tia alama kwenye vipindi unavyoona kuwa havipo au visivyo vya kawaida kando.
Chanzo, marejeleo ya kawaida, "safu mlalo pekee" na vikwazo vya "anzisha sababu" hufanya matokeo kulindwa.
Jedwali la vyanzo vya muhuri wa muda
Chanzo
Mfano muhuri wa wakati
Tahadhari
Mfumo wa faili ( MACB )
Rekebisha/fikia/unda
Fungua kwa kukanyaga nyakati
Kumbukumbu ya Tukio la Windows
Ingia, mchakato, matukio ya huduma
Thibitisha Kitambulisho cha Tukio
logi ya seva ya wavuti
muda wa ombi
ukaguzi wa eneo la saa
firewall/mtandao
uhusiano, kukataliwa
Usawazishaji wa saa (NTP)
Usajili
Wakati wa mwisho wa kuandika
Maoni yanahitaji utaalamu
Programu/kivinjari
historia, kache
inaweza kuwa wakati wa ndani
Makosa ya kawaida
- Kuanzisha uunganisho bila kurekebisha kipindi cha muda. Vipande tofauti huunda "concurrency" ya uwongo.
- Kukosea kwa uunganisho wa sababu. Matukio yanayofuatana hayamaanishi mhalifu/kusudi sawa.
- Kuamini kabisa muhuri wa wakati. Kuweka wakati na wakati usio sahihi kunawezekana; Thibitisha na vyanzo vingi.
- Sio kuthibitisha tukio ambalo AI imekusanyika. Muungano wa mistari miwili unaweza kutoa tukio lisilokuwepo.
- Kupuuza mapungufu. Logi inayokosekana mara nyingi ni ushahidi muhimu zaidi.
Kwa muhtasari
Uchanganuzi wa rekodi ya maeneo uliyotembelea ni kitendo cha kuunganisha alama za nyakati zilizotawanyika katika mpangilio mmoja unaoweza kuthibitishwa. AI hutoa kasi kubwa katika kuripoti kwa hitilafu, kuunganisha, kutambua pengo, na utayarishaji wa masimulizi katika kalenda bora za nyakati za mistari milioni. Lakini urekebishaji wa kipindi cha muda, upambanuzi wa uwiano-sababu, na maelezo ya kila tukio kwenye chanzo ni vya wanadamu. AI inazalisha hypotheses; Wewe ndiye unayetetea mpangilio wa matukio mahakamani.
Jukumu la maombi
Andaa sampuli ya orodha ya matukio ya mistari 15-20 katika umbizo tofauti na eneo la saa (kwa makusudi ni pamoja na mabadiliko ya saa na nafasi). Kwanza zibadilishe zote ziwe UTC ukitumia kiolezo cha "Mpango wa kuhalalisha wakati". Kisha tumia violezo vya "Anomaly marking" na "Gap Scan" na uthibitishe mwendo wa saa na pengo lililorekodiwa na AI kwenye chanzo.
orodha ya ukaguzi
- [ ] Nilirekebisha mihuri yote ya muda kuwa marejeleo moja (UTC).
- [ ] Niliunganisha kila tukio na chanzo chake (faili/Kitambulisho cha Tukio/mstari).
- [ ] Nilitofautisha kati ya uwiano na sababu; Nilizingatia maelezo mbadala.
- [ ] Niliweka alama mapengo ya kumbukumbu na rekodi zisizo za kawaida.
- [ ] Nilithibitisha matukio ambayo AI iliunganisha/kufupisha katika rekodi asili.