Faida:
- Kuelewa tabaka za uchanganuzi tuli na thabiti na uweze kutekeleza utatuzi wa kamba, ufafanuzi wa hati na uchimbaji wa IOC kwa akili ya bandia.
- Uwezo wa kuripoti mifumo kama vile hitilafu na kuangazia trafiki ya mtandao dhidi ya msingi na kuthibitisha kila IOC.
- Uwezo wa kuelewa kuwa utambuzi wa programu hasidi ni dhahania na kwamba maelezo haya yatatumika tu kwa uchunguzi wa utetezi na ulioidhinishwa na hayawezi kutumika kwa ufikiaji usioidhinishwa au uzalishaji wa mashambulizi.
Tukio mara nyingi huwa na programu hasidi katikati yake—programu iliyoundwa kuharibu mfumo, kuiba data au kudhibiti. "Hili faili linafanya nini, liliingiaje kwenye mfumo, liliiba nini, liliwasiliana wapi na nje?" Majibu ya maswali haya ni muhimu kwa kuelewa tukio na kuliwasilisha mahakamani. Vile vile, uchunguzi wa mtandao - kufuatilia tukio kutoka kwa rekodi za trafiki za mtandao - hufichua kuingia na kutoka kwa mvamizi. Katika kitengo hiki, tutashughulikia jinsi AI ni kiongeza kasi katika maeneo haya mawili na inapaswa tu kutumika kwa ulinzi, uthibitishaji, na madhumuni ya ukaguzi ulioidhinishwa.
Mpaka kwanza: matumizi ya kujihami
Sentensi muhimu zaidi ya kitengo hiki iko hapo mwanzoni: Habari hii ni kwa madhumuni ya pekee ya kutetea mfumo wako mwenyewe, kuchunguza kesi kwa mamlaka, na kuthibitisha ushahidi. Kutumia AI kutengeneza programu hasidi, kuingilia mfumo wa mtu mwingine, au kuunda shambulio ni kinyume cha sheria na sio maadili na ni nje ya upeo wa sehemu hii. Mchambuzi wa uchunguzi wa uchunguzi alibadilisha wahandisi kuelewa na kudhibitisha alichofanya mshambuliaji; kutorudia mashambulizi.
Tahadhari: Kuiambia AI "niandikie programu hasidi inayofanya kazi" au "nitawezaje kuingia kwenye mfumo huu" ni matumizi yasiyoidhinishwa. Matumizi sahihi: "eleza mfano huu uliopatikana hufanya nini", "trafiki hii inamaanisha nini kutoka kwa mtazamo wa utetezi", "nitawezaje kuthibitisha IOC hii". Lengo daima ni ulinzi na ushahidi.
Tabaka mbili za uchanganuzi wa programu hasidi
Uchambuzi wa programu hasidi umegawanywa katika sehemu mbili. Uchambuzi tuli - kukagua msimbo na muundo wa programu bila kuiendesha: aina ya faili, mifuatano - maandishi yanayosomeka ndani ya faili, URL zilizopachikwa, zinazoitwa kazi za mfumo. Uchanganuzi wa nguvu (uchambuzi wenye nguvu - kuendesha programu katika mazingira ya pekee na kuchunguza tabia yake): kwa kawaida hufanywa katika sanduku la mchanga (sandbox - mazingira yaliyotengwa salama ambapo programu hasidi inaendeshwa bila kuharibu mfumo halisi); Inafuatilia ni faili gani inaunda, ni funguo gani za usajili inagusa, na inaunganisha wapi.
AI inachangia maelezo na kipaumbele katika tabaka zote mbili:
- Kuweka alama kwenye URL zinazotiliwa shaka, amri na mifumo ya kiufundi katika saraka (mistari).
- Kuelezea kwa lugha nyepesi kile hati au jumla hufanya.
- Kufupisha kumbukumbu za tabia za kisanduku cha mchanga na kutoa IOC (Kiashiria cha Maelewano: ishara za kugundua kama vile IP hasidi, jina la kikoa, heshi ya faili, ufunguo wa usajili).
- Muhtasari wa kuchora mbinu za kushambulia zinazojulikana kwa mfumo (k.m., MITER ATT&CK - msingi wa maarifa wazi ambao huainisha mbinu na mbinu za kushambulia).
Kila pato ni dhana ya kuthibitishwa; Utambuzi wa uhakika unafanywa kwa kuthibitisha tabia katika sanduku la mchanga na kwenye magogo.
Uchunguzi wa uchunguzi wa mtandao na AI
Kwa upande wa mtandao, una PCAP (kunasa pakiti - faili ambapo trafiki ya mtandao inarekodiwa pakiti kwa pakiti), rekodi za NetFlow/session (nani alizungumza na nani, lini, kwa muda gani) na kumbukumbu za proksi/DNS. Data hii inaweza kuwa kubwa. AI:
- Inaashiria miunganisho isiyo ya kawaida (nchi isiyotarajiwa, bandari, muda).
- Hutambua na kuweka kipaumbele mifumo ya mara kwa mara kama vile kuangazia (programu hasidi kutuma mawimbi ya "Niko hapa" kwa seva ya amri mara kwa mara).
- Hualamisha ruwaza za majina ya kikoa zinazotiliwa shaka/zilizotungwa (majina ya vikoa yaliyotengenezwa kwa algoriti) katika kumbukumbu za DNS.
- Inabadilisha trafiki kuwa simulizi rahisi ya tukio na kutoa rasimu ya ripoti.
Kidokezo: Unapofanya AI kuchanganua trafiki, fafanua msingi wa kawaida - tabia ya kawaida ya mfumo: "Seva hii kwa kawaida huunganishwa tu na nchi zifuatazo kwenye mlango wa 443." Anomaly hupata maana tu kuhusiana na kawaida; Bila msingi kila kitu kinaonekana kuwa cha kutiliwa shaka na chanya za uwongo hulipuka.
Hatari ya hallucination na utambuzi
Katika uchanganuzi wa programu hasidi, uvumbuzi wa AI ni hatari sana: AI inaweza "kuona" simu ya utendaji ambayo haipo, au kutafsiri vibaya mfuatano na kusema "hii ni ransomware." Utambuzi, hata hivyo, unapaswa kuungwa mkono na uchanganuzi wa nguvu (tabia ya kuona), uthibitishaji wa IOCs, na sahihi zinazojulikana ikiwezekana. "AI ilisema hivyo" haitoshi kamwe kugundua familia hasidi.
kesi tatu ndogo
Kesi ya 1 - Uchambuzi wa jumla umeharakishwa. Hati ya jumla ya VBA katika Ofisi iliyopatikana katika tukio la kuhadaa ili kupata maelezo ya kibinafsi ilikuwa ngumu na isiyoeleweka. AI ilielezea hatua za jumla kwa lugha rahisi: iligundua amri ya PowerShell na kupakua mzigo wa malipo kutoka kwa anwani ya mbali. Mchambuzi alithibitisha dhana hii kwenye sanduku la mchanga; Anwani iliyopakuliwa ilizuiwa kama IOC. Uchambuzi ulipungua kutoka masaa 3 hadi dakika 40.
Kesi ya 2 - Mwangaza umekamatwa. Katika rekodi ya NetFlow ya saa 6, AI iliripoti miunganisho midogo, ya kawaida kwa IP sawa ya nje kila sekunde 300. Mchanganuzi huyo alithibitisha kuwa ilikuwa ni taa ya kuamuru na kudhibiti na kubaini mashine iliyoathiriwa. Mchoro wa kawaida ulikuwa kwamba jicho la mwanadamu lingekosa mamilioni ya mistari.
Kesi ya 3 - Rudi kutoka kwa utambuzi mbaya. AI ilitazama kamba za sampuli moja na kuitambulisha kama "ransomware ya X inayojulikana." Mchanganuzi aliiendesha kwenye kisanduku cha mchanga: hakukuwa na tabia ya usimbaji fiche, sampuli kwa kweli ilikuwa mwizi wa habari. Uthibitishaji wa nguvu ulizuia vitambulisho vya uwongo vya familia kuingia kwenye ripoti.
Violezo vinne vinavyoweza kunakiliwa
1) Ujazo wa kamba:
Jukumu lako: mchambuzi wa programu hasidi. Chini ni masharti yaliyotolewa kutoka kwa sare. Weka alama kwenye URL zinazotiliwa shaka, IPs, njia za faili, amri, funguo za usajili na viashirio vya kiufundi na uandike JUSTIFICATION. Hii ni dhana; sio uchunguzi. Kuzalisha kanuni ya kazi; toa maoni tu kwa mifuatano iliyopo.
2) Hati/maelezo ya jumla:
Eleza macro/script hii kwa kujilinda: hatua kwa hatua inafanya nini, ina ufikiaji wa faili/mtandao/rekodi gani, je kuna athari yoyote ya kuendelea au uchujaji wa data? Unganisha kila dai na mstari katika msimbo. Kufanya nambari itekelezwe au "kuiboresha"; eleza tu. Ikiwa huna uhakika, itie alama kama "thibitisha kwenye kisanduku cha mchanga".
3) Hitimisho la IOC:
Chini ni logi ya tabia ya sandbox. Chopoa waombaji wa IOC wanaoweza kuthibitishwa kutoka hapa: IP, jina la kikoa, reli ya faili, ufunguo wa usajili, faili iliyoundwa. Unganisha kila IOC kwenye mstari kwenye logi. Tamka kuwa hawa ni WATAHINIWA ili kugunduliwa/kuzuiwa na uthibitisho unahitajika.
4) Kuweka alama kwa mtandao usiofaa:
Msingi: seva hii kwa kawaida huzungumza na [nchi/huduma] pekee kutoka 443. Nitakupa rekodi za kipindi. Kulingana na kile ambacho KWA UKWELI kinatokea katika kurekodi: weka alama mahali unakoenda, lango, muda, na mifumo ya mara kwa mara (bikoni); Onyesha kila moja na mstari unaolingana. Usidai sababu; Maoni kutoka kwa mtazamo wa utetezi.
Mwongozo dhaifu / Mwongozo thabiti
Agizo dhaifu:
Niambie, faili hii ni virusi?
Hakuna muktadha, hakuna uthibitishaji; AI inaweza kuangalia kamba na kuja na utambuzi sahihi lakini usio sahihi.
Agizo lenye nguvu:
Jukumu lako: mchambuzi wa programu hasidi. Nitakupa viashiria tuli vya mfano (aina ya faili, kamba, API zinazoitwa) na muhtasari wa tabia ya sanduku la mchanga. Jukumu: pendekeza kategoria inayowezekana (k.m. kipakuzi, kidukuzi, programu ya kukomboa) kama HYPOTHESIS kulingana na tabia iliyozingatiwa; Unganisha kila dhana na kiashirio halisi. Kutoa utambuzi wa uhakika wa familia; Orodhesha hatua zinazobadilika za uthibitishaji. Toa maoni kwa kujitetea tu.
Kuegemea kwa uchunguzi, "dhahania," hatua ya uthibitishaji, na kizuizi cha ulinzi hufanya matokeo kuwa muhimu na ya kimaadili.
Jedwali la tabaka za uchambuzi
safu
nini kuona
Mchango wa AI
uthibitishaji
tuli
Strings, muundo, API
Kuashiria kwa kutiliwa shaka
ukaguzi wa mwongozo
Nguvu
tabia ya kazi
Muhtasari wa kumbukumbu, uelekezaji wa IOC
uchunguzi wa sanduku la mchanga
Mtandao (PCCAP/mtiririko)
mifumo ya trafiki
Alama isiyo ya kawaida/kinara
Uthibitisho wa msingi
uwiano
vyanzo vingi
muhtasari wa simulizi
ushahidi mtambuka
Makosa ya kawaida
- Kwa kudhani utambuzi tuli ni dhahiri. Uchunguzi wa familia unapaswa kuthibitishwa na tabia ya nguvu.
- Inatafuta hitilafu bila msingi. Bila kufafanua kawaida kila kitu kinakuwa chanya cha uwongo.
- Inazuia IOC bila uthibitishaji. IOC ya uwongo inakataza trafiki halali; thibitisha.
- Kuzalisha/kuomba shambulio kutoka kwa AI. Matumizi yasiyoidhinishwa; ulinzi na uthibitishaji pekee.
- Kuendesha wadudu bila insulation. Uchanganuzi wa nguvu kila wakati hufanywa katika kisanduku cha mchanga kilichotengwa.
Kwa muhtasari
Uchambuzi wa programu hasidi na uchunguzi wa mtandao unaonyesha kiini cha kiufundi cha tukio. AI; Inaharakisha sana utatuaji wa kamba, maelezo ya hati/jumla, uchimbaji wa IOC, na uwekaji alama kwenye mtandao. Lakini utambuzi ni dhana; uchambuzi wa nguvu, msingi na uthibitishaji wa IOC ni kazi ya binadamu. Na muhimu zaidi: maelezo haya ni ya utetezi, uchunguzi ulioidhinishwa, na uthibitishaji wa ushahidi pekee - kamwe sio kwa ufikiaji usioidhinishwa au ukuzaji wa shambulio.
Jukumu la maombi
Sanidi hali ya hati/ufafanuzi mkuu katika mazingira salama, yaliyotengwa (au kwa tukio la kuwaziwa). Tumia violezo vya "hati/maelezo ya jumla" na "maelekezo ya IOC"; Unganisha na uthibitishe kila IOC dondoo za AI kwa chanzo. Kisha jaribu kutafuta mchoro wa kinara na mchoro wa "Kuweka alama kwa njia isiyo ya kawaida ya Mtandao" katika sampuli ya kumbukumbu ya kipindi na uthibitishe na msingi.
orodha ya ukaguzi
- [ ] Nilifanya uchanganuzi kwa madhumuni ya utetezi/uhakiki ulioidhinishwa pekee.
- [ ] Nilichukulia utambuzi kama dhahania na nikauthibitisha kwa tabia inayobadilika.
- [ ] Niliendesha programu hasidi pekee kwenye kisanduku cha mchanga.
- [ ] Nilifasiri hitilafu za mtandao zinazohusiana na msingi.
- [ ] Niliunganisha kila IOC kwenye chanzo na kuthibitisha kabla ya kuzuia.