Uwindaji wa Tishio: Kuanzisha Dhana na Kutafuta Ishara kwa Akili Bandia

Faida:

• Elewa jinsi uwindaji wa vitisho unavyoanza na dhana inayoweza kujaribiwa, sio kengele, na jinsi akili ya bandia inavyosaidia katika kuunda nadharia na utayarishaji wa hoja.
• Uwezo wa kutumia kwamba mawimbi ya kinyume/adimu yanayoangaziwa na akili bandia haimaanishi kiotomatiki nia ovu, na kwamba nadharia lazima ithibitishwe kwa ushahidi mbichi.
• Uwezo wa kuthibitisha nambari za kiufundi za MITER ATT&CK na vitambulisho vya tukio vilivyotolewa na akili bandia na chanzo rasmi na kuondoa maelezo ya kiufundi yaliyobuniwa.

Ufuatiliaji wa kawaida wa usalama hufanya kazi na mantiki ya "subiri kengele, angalia inapokuja". Lakini washambuliaji hatari zaidi hujaribu kutoinua kengele: wanatumia zana halali (hii inaitwa "kunyonya" - yaani, kutumia vibaya zana ambazo tayari zipo kwenye mfumo, kama vile PowerShell, WMI), kusonga polepole, na kuingilia kati na trafiki ya kawaida. Ndiyo maana uwindaji wa tishio ulizaliwa: bila kusubiri kengele, "ikiwa kuna mshambuliaji asiyejulikana kwa sasa katika shirika langu, angekuwa wapi?" Kutafuta ufuatiliaji kwa bidii kwa swali: Uwindaji wa vitisho huanza na dhana, sio kengele.

Akili ya bandia ni muhimu sana katika maeneo mawili katika uwindaji wa vitisho. Ya kwanza ni kizazi cha nadharia: toa mbinu ya kushambulia na uulize "Ikiwa mbinu hii ilitumiwa katika taasisi yangu, ni kumbukumbu gani na kwa muundo gani ingeacha alama?" unaweza kuuliza. Ya pili ni uchimbaji wa ishara: inaweza kuonyesha nadra, nje, "tofauti na kawaida" katika data kubwa. Lakini AI haijui ni nini kawaida kwa shirika lako na inaweza kuanguka katika mtego wa kufikiria hypothesis "imethibitishwa." Katika uwindaji wa vitisho, AI ni mshirika wa akili na skana; Mwindaji (mchambuzi) anaamua ikiwa mawindo hupata tishio la kweli na ikiwa hii itaripotiwa.

Hatua za uwindaji wa vitisho

1. Hypothesise. Sentensi madhubuti, inayoweza kujaribiwa: "Mshambulizi anaweza kuwa anachanganua mtandao wa ndani wakati wa saa zisizo za kazi na akaunti iliyoathiriwa." Unaweza kutumia AI kuchangia mawazo hapa.
2. Tambua chanzo cha data. Ni logi gani inathibitisha/kukanusha dhana hiyo? (Kwa mfano, ngome za ngome na DNS za kuchanganua mtandao, kumbukumbu za utambulisho kwa upanuzi wa fursa.)
3. Tengeneza swali. Hoja ambayo itatafuta muundo unaolengwa (lugha ya maswali ya SIEM, KQL, SQL-kama). AI husaidia katika kuandaa maswali; lakini unakagua hoja na kuiendesha.
4. Dondoo matokeo. Chuja mawimbi halisi kutoka kwa mamia ya pato la mistari. Hapa AI hufanya nguzo na muhtasari.
5. Thibitisha au kataa. Thibitisha kwa uthibitisho ghafi na muktadha ikiwa ufuatiliaji uliopatikana ni mbaya au hauna hatia.
6. Andika matokeo na uifanye kuwa uamuzi. Badilisha muundo halisi unaopatikana kuwa sheria ya kudumu ya kugundua; Ikiwa nadharia haikufaulu, rekodi hiyo pia (matokeo hasi pia ni habari).

Masharti: TTP (Mbinu, Mbinu, Taratibu - muundo wa tabia ya mshambuliaji). MITER ATT&CK ni maktaba iliyoorodheshwa na kumbukumbu ya mbinu za washambulizi (k.m. T1078 "Akaunti Halali"); Inatoa lugha ya kawaida katika uwindaji wa vitisho. IOC (Kiashiria cha Ukiukaji - IP mbaya, hashi, kikoa). Kelele nyeupe (orodha ya watu walioidhinishwa) ni tabia ya kawaida inayojulikana kutoa dhabihu mawindo.

Jedwali la mbinu za uwindaji wa tishio

Mbinu

pa kuanzia

Mchango wa AI

Tahadhari

Hypothesis msingi uwindaji

"Ikiwa kulikuwa na mshambuliaji kama huyo ..."

Kizazi cha nadharia, maelezo ya muundo

Hypothesis sio ushahidi

Uwindaji wa msingi wa IOC

Kiashiria kibaya kinachojulikana

Kulinganisha IOC na kumbukumbu

IOC ya zamani/isiyo sahihi inapotosha

Uwindaji wa msingi wa TTP/ATT&CK

Mbinu (T-nambari)

Kubadilisha mbinu kwa muundo wa logi

Mbinu ≠ muundo mmoja

Uwindaji usio na msingi

Mkengeuko wa takwimu

Angazia nje

Kinyume ≠ imani mbaya

Uchambuzi wa marudio ya rafu

"Ni nadra gani?"

Kutafuta tukio adimu

Nadra ≠ hatari

kesi tatu ndogo

Kesi 1 - Kupata nadra. Mwindaji anaweza kuuliza, "Ni mchakato gani kwenye mtandao wa ndani unaofanya kazi kwenye kompyuta chache zaidi lakini huanzisha miunganisho mingi ya mtandao?" huweka dhana yake. AI huangazia muundo kutoka kwa data ya muunganisho wa mchakato usiojulikana: mchakato unaoitwa svchost32.exe, unaoonekana kwenye mashine 2 pekee, unaunganishwa kwa anwani 340 tofauti za nje. Mwindaji anachunguza hili; Hupata programu hasidi inayoiga svchost.exe halali. AI kuchujwa nadra; Mwindaji alifanya uchunguzi na kuingilia kati.

Kesi ya 2 - Uwindaji ulioshindwa (lakini wa thamani). Mwindaji mmoja aliuliza "kunaweza kuwa na upakuaji wa data nyingi wakati wa saa zisizo za biashara?" huanzisha hypothesis yake; AI huandika rasimu ya swali husika. Matokeo: Watumiaji 3 waliopakuliwa usiku, lakini wote watatu ni wafanyikazi wa ofisi ya ng'ambo na hufanya kazi wakati wa saa za kazi kwa sababu ya tofauti za eneo la saa. Nadharia hiyo imekanushwa. Mwindaji anaandika hili kama "matokeo hasi" na anabainisha watumiaji hawa 3 kama vighairi vya uwindaji wa siku zijazo. Hata uwindaji usio na mafanikio ulituwezesha kuifahamu vizuri taasisi hiyo.

Kesi ya 3 - Mtego wa kiufundi uliotengenezwa. Mwindaji anauliza AI "Je, ninatafutaje mbinu ya T1055 katika shirika langu?" anasema. AI huandika swali la kushawishi na madai kwamba "T1055 hutoa kitambulisho cha tukio kifuatacho"; lakini kitambulisho cha tukio alichotoa si sahihi na mwanamitindo huyo alitengeneza mbinu ndogo ya ATT&CK. Avcı hufungua rekodi ya MITER ATT&CK, inathibitisha maelezo ya kiufundi na vyanzo halisi vya kumbukumbu, na kusahihisha kitambulisho kisicho sahihi cha tukio. Somo: Thibitisha kila maelezo ya kiufundi ambayo AI inatoa (Kitambulisho cha tukio, nambari ya T, sehemu ya kumbukumbu) na chanzo rasmi.

Mwongozo dhaifu / Mwongozo thabiti

Agizo dhaifu:

Jua ikiwa kuna mshambuliaji kwenye mtandao wangu.

Dai hili halina dhana, halina data, halina kikomo na haliwezi kuthibitishwa. AI hutoa orodha ya jumla au iliyoundwa; haina faida.

Agizo lenye nguvu:

Jukumu lako: msaidizi ambaye hutoa mawazo na muhtasari kwa mwindaji tishio. Usiamue, usiseme "kuna tishio". Dhana yangu: "Akaunti iliyoathiriwa inaweza kuwa inachanganua bandari za ndani wakati wa saa zisizo za kazi." Tengeneza yafuatayo: (1) orodhesha vyanzo vya kumbukumbu ambavyo vitathibitisha na KUPINGA dhana hii, (2) eleza muundo thabiti utakaotafutwa (ni nyanja zipi, ni vizingiti vipi), (3) andika rasimu ya hoja ya mfano na utoe maoni kwa kila mstari, (4) andika ni maelezo gani yasiyo na hatia yataondolewa katika matokeo yanayotokana. Pendekeza mbinu husika ya MITER ATT&CK, lakini weka alama kwenye nambari ya T na kitambulisho cha tukio kama "[lazima ithibitishwe kutoka MITER]", usiifanye.

Dai kali huanza na dhana dhabiti, huweka usawa wa ushahidi/ukanuzi, hufafanuliwa swali, na huacha maelezo ya kiufundi kwa uthibitishaji.

Violezo vya haraka vinavyoweza kunakiliwa

HYPOTHESIS GENERATION TEMPLATEKwa taasisi yangu [chombo: k.m. Tengeneza nadharia tete zinazoweza kuthibitishwa za uwindaji katika muktadha wa [Active Directory/cloud/endpoint]5. Kwa kila dhana: (1) inalenga tabia gani ya mvamizi, (2) ni chanzo gani cha kumbukumbu kitatoa ushahidi/ukanusho, (3) muundo unaotarajiwa. Tunga sentensi zinazoweza kujaribiwa, sio za jumla.

MTINDO WA MBINU Nitatafuta mbinu ifuatayo ya kushambulia katika taasisi yangu ya [jina la mbinu]. Tengeneza: (1) maeneo ya logi ambapo mbinu kwa kawaida huacha alama yake, (2) ruwaza thabiti na vizingiti vya kutafuta, (3) hali zisizo na hatia (chanya za uwongo) ambazo zinaweza kusababisha muundo huu. Toa nambari ya T ya MITRE ATT&CK lakini kwa alama ya "[Lazima ithibitishwe kutoka MITER]"; usitoe kitambulisho/nambari ya tukio lililobuniwa.

QUERY DRAFT TEMPLATEAndika rasimu ya hoja ya [SIEM/KQL/SQL] ambayo inatafuta muundo ufuatao: [maelezo ya muundo]. Toa maoni kwa kila mstari, eleza ni sehemu gani unachuja na kwa nini, na uweke alama kwenye hatari za utendakazi. Nitakagua hoja na kuiendesha; usidhani utaiendesha. Acha majina ya sehemu yaliyowekwa alama "[sahihi kwa schema]" kulingana na mpango ninaoujua.

KIOLEZO CHA KUONDOA MATOKEOMatokeo ya uwindaji wangu yalitoa mistari ifuatayo (isiyojulikana): [bandika]. Vikundi, na kwa kila kikundi andika (1) hali mbaya, (2) angalau maelezo 2 yasiyo na hatia, na (3) ushahidi wa ziada wa kutafuta ili kutofautisha. Kufanya maamuzi; Usiniache niwatenganishe. Weka alama "[hakuna msingi]" kwa dai ambalo halina ushahidi.

Makosa ya kawaida

• Uwindaji bila hypotheses. Kusema "tafuta kitu" kunasukuma AI kukisia na kutengeneza; Uwindaji huanza na sentensi thabiti, inayoweza kujaribiwa.
• Kupotosha dhana ya ushahidi. Uwindaji hujaribu uwezekano; Ufuatiliaji uliopatikana sio "tishio" hadi uthibitishwe na ushahidi mbichi.
• Kuzingatia kinyume kiotomatiki kama mbaya. Nadra / outlier mara nyingi hawana hatia (matengenezo, programu mpya, kazi ya mara moja); Pepeta na muktadha.
• Haidhibitishi maelezo ya kiufundi. AI inaweza kulinganisha kitambulisho cha tukio, nambari ya T na uwanja wa kumbukumbu; Thibitisha kwa MITER ATT&CK na hati za bidhaa.
• Kutupa samaki waliopotea. Matokeo mabaya pia ni ujuzi: hupata kujua shirika vizuri zaidi, kupunguza chanya za uwongo za baadaye; hati.

Kidokezo: Dhana nzuri ya uwindaji tishio inapaswa kuwa "inayojaribiwa": dai thabiti ambalo linaweza kugeuka kuwa kweli au uongo. "Je, kuna kitu kibaya kwenye mtandao wangu?" haiwezi kupimwa; "Je, akaunti X iliunganishwa kwa zaidi ya IPs 50 za ndani wakati wa saa zisizo za kazi?" inaweza kujaribiwa.

Tahadhari: Uwindaji wa vitisho unafanywa tu kwenye mifumo ambayo umeidhinishwa kufanya. Kuomba AI "ichunguze" shirika lingine, mtu, au mtandao ambao huna ruhusa ni jaribio la kupata ufikiaji ambao haujaidhinishwa na uko nje ya sehemu hii.

Kwa muhtasari

Uwindaji wa vitisho ni kutafuta kwa dhati athari za mvamizi aliyefichwa bila kungoja kengele, na huanza na dhana, sio kengele. AI inatoa michango miwili yenye nguvu katika mchakato huu: kuzalisha dhahania zinazoweza kujaribiwa na rasimu za hoja, na kuchuja ishara adimu/za nje kutoka kwa data kubwa. Lakini AI haijui ni nini kawaida kwa shirika lako, inaweza kuunda maelezo ya kiufundi na kuanguka katika mtego wa kupotosha nadharia ya ushahidi. Kwa hiyo uwindaji una hatua sita (hypothesis, data, swala, dondoo, kuthibitisha, hati) na kwa kila hatua uamuzi ni kwa wawindaji. Kinyume ≠ mbaya, hypothesis ≠ ushahidi, maelezo ya kiufundi yaliyotolewa na AI ≠ sahihi; yote yamethibitishwa na ushahidi mbichi na MITER ATT&CK.

Jukumu la maombi

Pata nadharia 5 za uwindaji wa vitisho kutoka kwa AI ukitumia kiolezo cha "Kizazi cha Dhahania" cha shirika lako mwenyewe (au sampuli ya mazingira). Chagua kinachoweza kufanyiwa majaribio zaidi, andika swali ukitumia violezo vya "Mbinu Mwendo" na "Rasimu ya Hoji", thibitisha kila safu mlalo katika hoja na kila nambari ya T iliyopendekezwa katika MITER ATT&CK. Andika matokeo (dhahania ilithibitishwa, ikakataliwa, ulijifunza nini) katika maelezo mafupi ya uwindaji.

orodha ya ukaguzi

• [ ] Nilianza uwindaji wangu kwa nadharia thabiti, inayoweza kujaribiwa.
• [ ] Nimetambua vyanzo vya kumbukumbu ambavyo vitathibitisha na kukanusha dhana hiyo.
• [ ] Nilikagua kila mstari wa rasimu ya hoja na kuirekebisha kwa utaratibu wangu mwenyewe.
• [ ] Nilithibitisha mbinu iliyopendekezwa ya MITER ATT&CK na Vitambulisho vya tukio kwa chanzo rasmi.
• [ ] Nilithibitisha kila ishara kwa ushahidi mbichi na muktadha; Sikuona kinyume moja kwa moja kama mbaya.
• [ ] Pia niliandika dhahania ambayo haikufaulu (matokeo mabaya ni habari).
• [ ] Niliwinda tu kwenye mifumo niliyoidhinishwa kuwinda.