Jibu la Tukio: Uchambuzi wa Haraka, Kitabu cha kucheza na Uamuzi Unaodhibitiwa na Akili Bandia.

Faida:

• Kuelewa kwamba akili bandia huharakisha majibu ya tukio kwa muhtasari wa ushahidi, uwekaji wa rekodi ya matukio, kupanga sababu za msingi na kuandaa kitabu cha michezo, lakini uamuzi wa kutenga/kufunga/kufunga/kuarifu ni wa timu iliyoidhinishwa.
• Uwezo wa kutathmini chaguzi za kontena kulingana na athari za biashara na ugeuzaji nyuma na sio kutenga miundombinu muhimu bila kupima athari zake.
• Uwezo wa kuelewa kwamba kasi ya uokoaji haiwezi kushinda uhifadhi wa ushahidi (picha ya mahakama, mlolongo wa ushahidi) na kwamba hatua za uchunguzi haziwezi kuhamishiwa kwa akili ya bandia.

Wakati tukio la usalama linapovunjika, wakati ni adui. Ransomware inapoanza kuenea, inamaanisha kuwa mashine nyingi husimbwa kwa njia fiche kila dakika; Mara tu akaunti inapoingiliwa, mshambuliaji huchimba zaidi kila dakika. Mwitikio wa matukio (IR kwa kifupi) ni mchakato wa kugundua tukio la usalama, kuliweka kikomo, kulisafisha na kulirudisha katika hali ya kawaida. IR inahitaji kufanya maamuzi chini ya shinikizo, na taarifa zisizo kamili, na saa inayoyoma; Ndiyo maana inabidi iwe haraka na kwa nidhamu.

AI huleta kasi isiyoweza kutegemewa kwa IR: kwa haraka muhtasari wa ushahidi uliotawanyika (kumbukumbu, arifa, data ya EDR), huanzisha ratiba ya matukio, kuorodhesha chanzo kinachowezekana, hutoa rasimu ya kitabu cha kucheza (mwongozo wa hatua kwa hatua uliofafanuliwa mapema) na kuelezea ripoti ya baada ya kuingilia kati. Lakini maamuzi muhimu zaidi katika IR - kutenga mfumo kutoka kwa mtandao, kufunga akaunti, kuzima seva, kufuta au kuhifadhi ushahidi - ni maamuzi ambayo yanaweza kutenduliwa, kusababisha usumbufu wa biashara, na kuathiri michakato ya mahakama. Hizi haziwezi kukabidhiwa kwa AI. AI ni injini ya uchambuzi na kuandaa katika IR; Uamuzi wa kutengwa, kufunga, kufungwa na arifa ni wa timu ya majibu yenye uwezo.

Hatua za majibu ya tukio

Mfumo wa pamoja katika tasnia (kulingana na NIST) ni awamu sita. Katika kila hatua, msaada na kikomo cha AI ni tofauti:

1. Maandalizi: Vitabu vya kucheza, majukumu, mpango wa mawasiliano ni tayari mapema. AI husaidia kutengeneza vitabu vya kucheza na kuchimba visima - kabla ya tukio, badala ya wakati huu.
2. Ugunduzi na uchanganuzi: Tukio limethibitishwa na upeo wake umebainishwa. AI hufanya muhtasari wa ushahidi, huweka kalenda ya matukio, na kuorodhesha dhana za sababu za msingi. Uamuzi ni wa mchambuzi.
3. Yaliyomo: Kueneza kumesimamishwa (kutengwa, kufunga akaunti). Uamuzi huu muhimu ni wa wanadamu; AI huorodhesha chaguzi tu na athari zao.
4. Uondoaji: Akaunti mbaya, za nyuma na zilizoathiriwa zimeondolewa. AI hutoa orodha ya ukaguzi; utekelezaji na uhakiki ni binadamu.
5. Urejeshaji: Mifumo hurejeshwa na kufuatiliwa kwa njia iliyodhibitiwa. AI inapendekeza mpango wa ufuatiliaji.
6. Mambo tuliyojifunza: Chanzo kikuu, kalenda ya matukio, uboreshaji. AI hutoa ripoti za rasimu na mapendekezo ya uboreshaji; Yuko kwenye timu ya idhini.

Masharti: EDR (Endpoint Detection and Response — programu inayotumia sehemu za mwisho, yaani, kompyuta, na inaweza kutambua na kujibu tabia ya kutiliwa shaka). Chanzo kikuu ni mahali halisi pa kuanzia kwa tukio ("Waliingiaje hapo kwanza?"). Mlolongo wa ulinzi ni rekodi isiyokatizwa ya nani, jinsi gani na lini ushahidi wa kimahakama ulikusanywa; Ni muhimu katika mchakato wa kisheria. MTTR (Wastani wa Wakati wa Kujibu) ni kipimo cha utendaji wa timu ya IR.

Jedwali la mamlaka ya uamuzi

Kitendo cha IR

Jukumu la AI

Nani anaamua

Kwa nini

Muhtasari wa ushahidi, kalenda ya matukio

mtayarishaji, kiongeza kasi

Mchambuzi anathibitisha

Hatari ya hallucinations

Dhana ya sababu ya mizizi

Panga, pendekezo

mchambuzi

Muktadha na ushahidi unaohitajika

Rasimu ya kitabu cha kucheza (hapo awali)

jenereta ya mchoro

Kiongozi wa IR anathibitisha

Kutumika

Tenga mfumo

Orodhesha chaguzi pekee

mchambuzi aliyeidhinishwa

Usumbufu wa biashara, kurudi

Kufungiwa kwa akaunti

Inatoa uchambuzi wa athari

mchambuzi aliyeidhinishwa

Kufuli isiyo sahihi inasimamisha kazi

Kufuta/kuhifadhi ushahidi

Anaonya, mapendekezo

Kiongozi wa IR + sheria

Mchakato wa mahakama unaathiriwa

Notisi ya kisheria/kidhibiti

mwandishi wa rasimu

Sheria + usimamizi

Dhima ya kisheria

kesi tatu ndogo

Kesi ya 1 - Muhtasari wa haraka chini ya shinikizo. Arifa ya programu ya ukombozi inakuja saa 2:40 asubuhi. Mchambuzi anatoa kumbukumbu za EDR na ngome (kwa kutokutambulisha) kwa AI. AI huunda rekodi ya matukio kila baada ya sekunde 90: "01:55 kiambatisho cha hadaa kilifunguliwa, 02:10 PowerShell imepakuliwa, 02:30 harakati za upande zimeanza, mashine 3 zimeathirika." Mchambuzi anathibitisha msururu huu kwa rekodi mbichi ya EDR, hutenga mashine 3 zilizoathiriwa kwa hiari yake, na kukomesha kuenea. AI ilipunguza dakika 20 za usomaji wa ushahidi hadi sekunde 90; Mchambuzi alifanya uamuzi wa kutengwa.

Kesi ya 2 - Pendekezo lisilo sahihi la kutengwa. Katika hali moja, AI husema, "Trafiki kutoka IC_HOST_7 ni ya kutiliwa shaka, kutengwa." Mchanganuzi hukagua muktadha: IC_HOST_7 ndio seva kuu ya uthibitishaji ya shirika; Ikiwa imetengwa, wafanyikazi wote huacha kuingia. Aidha, sababu ya trafiki ni chelezo halali. Mchambuzi hajitenga, badala yake anafuatilia tu kiungo kinachotiliwa shaka. Somo: Pendekezo la kutengwa la AI haliwezi kutekelezwa bila kujua athari za biashara; Kwa miundombinu muhimu, uamuzi ni wa kibinadamu kwa uangalifu.

Kesi ya 3 - Kuharibu ushahidi kwa bahati mbaya. Timu, katika kukimbilia kusafisha, iliuliza AI "nitasafishaje mashine hii haraka?" anauliza; AI inatoa kusakinisha tena mfumo. Lakini mashine ina ushahidi wa kitaalamu (dampo la kumbukumbu, zana za washambuliaji) ambao bado haujakusanywa; kusakinisha tena kunaweza kuharibu mlolongo wa ushahidi. Mchambuzi mkuu kwanza anahakikisha kwamba picha (nakala ya uchunguzi) inachukuliwa na kisha kuisafisha. Somo: kasi ya kupona haiwezi kuhimili uhifadhi wa ushahidi; hatua za mahakama hazijakabidhiwa kwa AI.

Mwongozo dhaifu / Mwongozo thabiti

Agizo dhaifu:

Kuna shambulio la ransomware, nifanye nini? Je, ni lazima nizime mashine gani?

Kidokezo hiki kinauliza AI ​​ifanye uamuzi wa moja kwa moja wa uendeshaji (mashine gani itazima), haitoi muktadha, hakuna athari ya biashara, na hakuna ushahidi. AI inatoa maagizo ya jumla au hatari; Ikiwa itatumika kwa upofu, kazi itasimama au ushahidi utatoweka.

Agizo lenye nguvu:

Jukumu lako: msaidizi anayetoa UCHAMBUZI na CHAGUO kwa timu ya kukabiliana na tukio. Usifanye uamuzi; usiamuru "kuzima / kutenga mashine hiyo", orodhesha tu chaguzi na athari inayowezekana ya kila moja. Chunguza ushahidi ufuatao usiojulikana: [EDR/muhtasari wa kumbukumbu]. Kazi yako: (1) tengeneza kalenda ya matukio inayowezekana, onyesha ni ushahidi gani unaotegemea kila hatua, weka alama kwenye ile isiyo na msingi kuwa "[lazima ithibitishwe]", (2) orodhesha nadharia 3 za sababu kuu, andika jinsi ya kujaribu kila, (3) orodhesha Chaguzi za kuzuia (kutengwa, ufuatiliaji) na uandike athari ya kila biashara; niachie uamuzi,(4) nikumbushe ni hatua gani zinahitajika ili kuhifadhi ushahidi KABLA ya kutengwa.

Mahitaji makubwa yanaweka mipaka ya AI kama mtoaji chaguo, anaiunganisha na ushahidi, inasisitiza athari za biashara na uhifadhi wa ushahidi, na kuwaachia wanadamu uamuzi.

Violezo vya haraka vinavyoweza kunakiliwa

TUKIO TIMELINE TEMPLATEUnda ratiba ya matukio ya mfuatano kutoka kwa ushahidi huu wa IR usiojulikana. Kila mstari:[time] [tukio] [chanzo cha ushahidi]. Kuongeza hatua bila muhuri wa muda au uthibitisho; weka alama kwenye nafasi iliyo wazi kama "[haipo - lazima ikusanywe]". Uamuzi/pendekezo, cheo kulingana na ushahidi pekee. Ushahidi: [Bandika]

KIOLEZO CHA UDHANIFU WA SABABU YA MziziZalisha nadharia 3-5 zinazowezekana zaidi za sababu za tukio hili. Kwa kila dhana: (1) ushahidi ambao msingi wake ni, (2) ushahidi wa ziada unaopaswa kukusanywa ili kuithibitisha, (3) athari nyingine yoyote inayotarajiwa ikiwa ni kweli. Usimtangaze yeyote miongoni mwao hakika; Tumia lugha ya uwezekano. Muhtasari wa tukio: [bandika]

TEMPLATE CHAGUO LA MKATABAOrodhesha CHAGUO za kuzuia kwa hali ifuatayo (tenga / fuatilia / kufuli / sehemu). KWA KILA chaguo: athari za biashara, ugumu wa kurudi, athari kwenye ushahidi, hatari ya uchunguzi. Usinipe amri; Nitafanya uamuzi. Inafaa hasa ikiwa miundombinu muhimu (kitambulisho, DNS, chelezo) inahusika. Hali: [bandika]

KIOLEZO CHA RASIMU YA KITABU CHA PLAY (maandalizi ya kabla ya tukio)Kwa hali ifuatayo [k.m. maelewano ya barua pepe ya kazi] andika kitabu cha kucheza hatua kwa hatua RASIMU: kichochezi, majukumu, kuzuia, uharibifu, uokoaji, mawasiliano, hatua za arifa. Weka alama ya "[idhini ya kibinadamu]" karibu na kila uamuzi muhimu. Rasimu hii haifanyi kazi bila idhini ya kiongozi wa IR.

Makosa ya kawaida

• Acha AI ifanye maamuzi ya kiutendaji. Swali "Ninapaswa kuzima mashine gani" ni la timu inayojua athari za biashara, sio AI; AI inatoa tu chaguo na ushawishi.
• Kusafisha ushahidi bila kuukusanya. Kuharibu ushahidi wa mahakama kwa ajili ya kasi hauwezi kutenduliwa; Tupa picha na kumbukumbu kabla ya kutengwa/kusafisha.
• Kuingiza kalenda ya matukio kwenye ripoti bila kuithibitisha. AI inaweza kuunda mlolongo wa matukio; Thibitisha kila hatua kwa ushahidi mbichi.
• Kutenga miundombinu muhimu bila kufikiria. Kutenga utambulisho, DNS, seva mbadala inaweza kusimamisha shirika zima; pima athari kwanza.
• Kuandika Kitabu cha kucheza kwa mara ya kwanza wakati wa tukio. Kitabu cha kucheza kinafanywa wakati wa awamu ya maandalizi; Kujaribu kuandika kutoka mwanzo wakati wa tukio hutoa hofu na makosa.

Kidokezo: Katika IR, kila wakati iambie AI "orodhesha chaguzi na athari zao, wacha niamue." Sentensi hii moja inageuza AI kutoka "autopilot" hatari hadi "mshauri" salama.

Tahadhari: Kutenga mfumo, kufunga akaunti au kufuta ushahidi kunaweza kuwa na matokeo yasiyoweza kutenduliwa na kuathiri michakato ya mahakama/kisheria. Maamuzi haya yanafanywa kwa idhini ya timu ya majibu iliyoidhinishwa na, inapohitajika, kisheria na usimamizi; Matokeo ya AI ni pendekezo, sio agizo.

Kwa muhtasari

Mwitikio wa tukio unahitaji kufanya maamuzi ya haraka na yenye nidhamu chini ya shinikizo na saa inayoyoma. AI huongeza kasi hii sana kwa muhtasari wa ushahidi, ujenzi wa kalenda ya matukio, upangaji wa sababu kuu, na utayarishaji wa kitabu cha kucheza. Lakini hatua muhimu zaidi za IR—kutengwa, kufunga akaunti, kuzima kwa mfumo, kufuta/kuhifadhi ushahidi, notisi ya kisheria—ni maamuzi yasiyoweza kutenduliwa ambayo husababisha kukatizwa kwa biashara na matokeo ya kisheria na hayawezi kukabidhiwa kwa AI. Katika kila moja ya awamu sita (maandalizi, kugundua, kuzuia, uharibifu, uokoaji, somo), AI hutoa uchambuzi na mpango; Uamuzi ni wa timu iliyoidhinishwa. Sheria mbili za dhahabu: safisha ushahidi bila kuuhifadhi, tenga miundombinu muhimu bila kupima athari zake.

Jukumu la maombi

Chagua hali (k.m. kuchukua akaunti baada ya kuhadaa). Eleza uchanganuzi kutoka kwa AI ukitumia violezo vya "Rekodi ya Matukio" na "Nadharia ya Sababu ya Mizizi"; Andika ushahidi utakaotumia kuthibitisha kila hatua ya kalenda ya matukio. Kisha, ukitumia kiolezo cha "Chaguo la Kupunguza", ukishapata chaguo tatu za kuzuia, tathmini athari ya biashara ya kila mmoja wako na utambue ni ipi ambayo ungechagua na kwa nini (na ungefanya nini kwanza ili kuhifadhi ushahidi).

orodha ya ukaguzi

• [ ] Nilipunguza AI kama seva ya chaguo/uchambuzi; Nilifanya uamuzi wa uendeshaji.
• [ ] Nilithibitisha kila hatua ya ratiba kwa kutumia ushahidi mbichi, kuondoa upotoshaji.
• [ ] Nilipanga hatua ya kukusanya ushahidi (picha, utupaji kumbukumbu) kabla ya kutengwa/kusafisha.
• [ ] Nilipima kwanza athari ya biashara ya kutengwa kwa miundombinu muhimu.
• [ ] Nimeshughulikia dhahania za sababu za msingi kama uwezekano wa kujaribiwa, sio kama dhahiri.
• [ ] Nilitayarisha Playbook kabla ya tukio na kuwasilisha kwa kiongozi wa IR ili kuidhinishwa.
• [ ] Nimejumuisha idhini ya kisheria/ya kiutawala katika hali ambapo arifa ya kisheria inahitajika.