Faida:
- Uwezo wa kuelewa kuwa akili bandia ni muhtasari wa ripoti za tishio refu katika viwango vitatu (kimkakati, busara, kiufundi) na kuziweka kwenye MITER ATT&CK kwa kutoa IOC na TTP.
- Uwezo wa kuthibitisha kila IOC na chanzo cha sasa na cha pili huru, kila mbinu katika ATT&CK na kutoa IOC/mbinu/kikundi kilichobuniwa.
- Uwezo wa kuelewa kwamba sifa za kikundi ndio dai hatari zaidi, kwamba lugha 'inayooana na mbinu' inapaswa kutumika badala ya 'kundi halisi' na kwamba utetezi unapaswa kutegemea uamuzi wa kudumu wa TTP.
Timu ya usalama peke yake haipigani tu na mashambulizi inayoyaona; hujifunza kwa kushiriki ujuzi wa mashambulizi duniani kote. Ujasusi wa vitisho (TI kwa ufupi) ni habari inayokusanywa, kuchakatwa na kugeuzwa kuwa vitendo kuhusu washambuliaji, zana wanazotumia, shabaha na mbinu zao. "Ni programu hasidi gani inayoeneza sasa?", "Kikundi hiki cha washambuliaji kinalenga sekta gani na kinatendaje?", "Je, anwani hii ya IP imeonekana katika shambulizi hapo awali?" Majibu ya maswali kama haya yanatoka kwa akili ya tishio.
Tatizo ni kwamba akili tishio ni nyingi na kutawanywa: ripoti, blogs, milisho, vikao, maelfu ya IOCs. AI ina uwezo wa kuelewa mrundikano huu: inatoa muhtasari wa ripoti za vitisho ndefu, inatoa IOC na TTP iliyoundwa kutoka kwa simulizi la shambulio, kuziweka kwenye mfumo wa MITER ATT&CK, na kuuliza "je, hii inatuhusu?" hutayarisha rasimu ya kwanza ya swali. Lakini AI inaweza kukosea akili ya zamani, isiyo sahihi, au nje ya muktadha kuwa kweli, kuunda kundi la vitisho ambalo halipo au IOC, na isijue kama upelelezi ni halali kwa shirika lako. AI muhtasari, miundo na akili ramani; Ni juu ya mchambuzi kuorodhesha IOC, kutumia akili kwa wakala, na kutangaza ripoti "inaweza kutekelezeka."
Tabaka za akili tishio
Akili ya tishio inazingatiwa katika viwango vitatu:
- Kiufundi/uendeshaji (kiwango cha IOC): Viashiria vya zege — IPs mbaya, vikoa, heshi, URL. Ni ya muda mfupi (mshambulizi hubadilisha IP). AI ina haraka kutoa haya kutoka kwa ripoti na kuyapanga.
- Mbinu (kiwango cha TTP): Jinsi mshambuliaji anavyofanya - ni mbinu gani, zana, mbinu anazotumia. Ni ya kudumu zaidi (tabia ni ngumu kubadilika). MITER ATT&CK ndiyo lugha ya kawaida katika kiwango hiki.
- Mkakati: Nani analenga, kwa nini, sekta gani, kwa mwelekeo gani. Inalisha maamuzi ya usimamizi. AI hufanya muhtasari wa ripoti ndefu katika kiwango hiki.
Masharti: IOC (Kiashiria cha Maelewano - kiashiria cha ukiukaji, ufuatiliaji halisi wa kiufundi). TTP (Mbinu, Mbinu, Taratibu - muundo wa tabia). MITER ATT&CK, maktaba yenye nambari, iliyorekodiwa ya mbinu za washambulizi (k.m. T1566 "Phishing"). APT (Tishio la Advanced Persistent — kundi la washambulizi mahiri, endelevu, mara nyingi linalofadhiliwa na serikali). Lisha, ulisasisha kiotomatiki mtiririko wa IOC. Kupotosha, kuhusisha shambulio kwa kundi lisilo sahihi; Ni makosa ya kawaida ya akili.
Chati ya tathmini ya chanzo cha kijasusi
kigezo
swali la kuuliza
Kwa nini ni muhimu?
Hali ya sasa
Ilichapishwa lini? Je, bado ni halali?
IOC hupitwa na wakati haraka
Kuegemea kwa chanzo
Nani aliichapisha, sifa yake ni nini?
Akili nyingi za uongo/uzushi
Umuhimu
Je, inalenga sisi/tasnia yetu?
Sio kila tishio ni tishio lako
Uthibitisho
Je, chanzo cha pili kinathibitisha hili?
Chanzo kimoja hakitoshi
Uwezo wa kutenda
Ninaweza kufanya nini (kuzuia, kufuatilia, kupiga simu)
Ujuzi lazima ugeuke kuwa vitendo
Usahihi wa dondoo
Je, sifa za kikundi ni thabiti kwa kiasi gani?
Usambazaji mbaya hupotosha
kesi tatu ndogo
Kesi ya 1 - Kutoka ripoti ya kurasa 40 hadi hatua. Mchambuzi ana AI muhtasari wa ripoti ya tishio ya kurasa 40 kuhusu kampeni mpya ya ukombozi. AI inapunguza ripoti hadi ukurasa 1, inatoa 32 IOC (IP, hashi, kikoa) na mbinu 7 za MITER ATT&CK, na inabainisha "kikundi hiki kinalenga sekta yako." Mchanganuzi huthibitisha kila moja ya IOC na chanzo cha pili, anaongeza 21 ambazo bado ni halali kwa orodha ya kutazama, anathibitisha nambari za mbinu za ATT&CK, na kuzikuza kuwa nadharia ya uwindaji tishio. AI ilifanya kurasa 40 ziweze kuchakatwa; uhakiki na hatua zilikuwa za mchambuzi.
Kesi ya 2 - Kikundi cha APT kilichoundwa. Mchambuzi aliuliza AI "ni kikundi gani kilichofanya shambulio hili?" anauliza. AI inajibu kwa ujasiri: "Hii ndiyo mbinu inayojulikana ya kikundi cha 'APT-Dark Eagle'." Mchambuzi anatafuta kikundi hiki katika vyanzo vinavyojulikana vya kijasusi vya tishio - hakuna kikundi kama hicho, modeli ndiye aliyeunda jina. Kama asingeithibitisha, ripoti ingetoka na maelezo yasiyo sahihi. Somo: maelezo ya kikundi ni dai rahisi na hatari zaidi kufanya; Daima huthibitishwa na chanzo kinachojulikana na mara nyingi hujulikana kama "sambamba na mbinu zifuatazo" badala ya "sifa kamili".
Kesi ya 3 - Kuzuia kwa uwongo na IOC ya zamani. Timu moja iliuliza AI "Je, hatupaswi kuzuia" orodha ya IPs ilizopokea kutoka kwa ripoti miezi iliyopita? anauliza; AI inasema "ndio, ni mbaya." Lakini mchambuzi anaona kwamba moja ya IPs sasa ni ya mtoa huduma wa wingu halali (CDN); Kuzuia IP hiyo pia kutakatisha huduma halali ambazo shirika hufikia. IOCs ni za muda mfupi. Mchanganuzi huthibitisha usasa na huondoa zilizopitwa na wakati. Somo: Haiweki kwenye orodha ya waliozuiliwa hadi IOC ithibitishe uwepo wake.
Mwongozo dhaifu / Mwongozo thabiti
Agizo dhaifu:
Ni nani aliyefanya shambulio hili na ni IPs zipi ninapaswa kuzuia? [ripoti]
Ombi hili linauliza uwasilishaji sahihi na uamuzi wa kuzuia moja kwa moja kutoka kwa AI, hauulizi wakati na uthibitishaji, iko wazi kwa utengenezaji. AI inaweza kutoa maelezo ya kushawishi lakini yasiyo sahihi na orodha ya IOC iliyopitwa na wakati.
Agizo lenye nguvu:
Jukumu lako: msaidizi wa mchambuzi anayetayarisha mukhtasari wa taarifa za kiintelijensia za tishio na UWEKEZAJI. Kufanya maamuzi; Usiseme "zuia", usifanye marejeleo maalum ya kikundi. Mchakato wa ripoti ifuatayo:(1) toa muhtasari wa ukurasa 1 (nani, nini, lengo, mbinu),(2) orodha iliyopangwa ya IOCs (IP, kikoa, hashi, URL); alama "[sasa na chanzo cha pili lazima kuthibitishwa]" kwa kila; ongeza dummy IOC,(3) TTP za ramani kwa MITER ATT&CK lakini uweke alama kwa kila nambari ya T "[Thibitisha katika ATT&CK]",(4) usiseme "kundi kamili" kwa maelezo; Tumia lugha "inayooana na mbinu hizi" na ueleze nguvu ya ushahidi, (5) andika maswali kuhusu kwa nini akili hii inaweza kutumika kwa tasnia/usanifu wetu. Ripoti: [bandika]
Dai kali huuliza muhtasari + muundo, huacha kila IOC/TTP kwa uthibitishaji, hukataza maelezo mahususi, umuhimu wa maswali.
Violezo vya haraka vinavyoweza kunakiliwa
KIOLEZO CHA MUHTASARI WA RIPOTI Fupisha ripoti ya tishio ifuatayo katika viwango 3: (1) kimkakati (nani, kwa nini, sekta inayolengwa), (2) mbinu (TTPs zimetumika), (3) kiufundi (aina za IOC).Usizidi ukurasa 1. Usijumuishe madai yoyote ambayo haujaondoa kutoka kwa ripoti; uzushi.Ripoti: [bandika]
IOC EXTRACTION TEMPLATEInatoa IOC zilizoundwa kutoka kwa maandishi yafuatayo: aina (IP/kikoa/hash/URL/barua pepe),thamani, muktadha. Chukua tu kile ambacho kimesemwa KWA UWAZI katika maandishi; kufaa. Angalia "[chanzo cha sasa + cha upili lazima kithibitishwe]" kwa kila IOC. Thibitisha katika umbo la jedwali. Maandishi: [bandika]
ATT&CK MATCHING TEMPLATERamani ya tabia katika masimulizi ya shambulio kwa mbinu na mbinu za MITER ATT&CK. Kwa kila uchoraji ramani: nukuu ya tabia + jina la mbinu iliyopendekezwa +"[nambari ya T lazima ithibitishwe katika ATT&CK]". Usipe mbinu / nambari ya maandishi; kama huna uhakika, andika "[isiyo wazi]". Simulizi: [bandika]
KIOLEZO CHA TATHMINI YA UMUHIMUNisaidie kutathmini kama akili tishio ifuatayo inatumika kwa shirika letu: toa maswali ni kipengee gani kati ya bidhaa zetu zinazolingana na teknolojia/sekta inayolengwa. Kufanya maamuzi; Nipe orodha ya ukaguzi. Muhtasari wa akili: [bandika]
Makosa ya kawaida
- Kuunda sifa sahihi za kikundi. Utoaji ni eneo gumu zaidi na lisiloeleweka zaidi; Badala ya "kikundi hicho kabisa", sema "sambamba na mbinu hizi" na uthibitishe na chanzo.
- Kuzuia IOC bila kuthibitisha sarafu. IOCs ni za muda mfupi; IP ya zamani sasa inaweza kuwa ya huduma halali, angalia upya kwanza.
- Kuamini chanzo kimoja. Thibitisha akili na chanzo cha pili huru; Kuna akili nyingi za uongo/uzushi.
- Bila kuhoji umuhimu. Si kila tishio ni tishio lako; Angalia tasnia, teknolojia na usanifu mwingiliano.
- Kuunda IOC/mbinu/kikundi kufikiri kuwa ni kweli. AI inaweza kuzibadilisha kwa ufasaha; thibitisha kila moja kwenye chanzo kinachojulikana na MITER ATT&CK.
Kidokezo: Safu inayoendelea na muhimu zaidi ya akili tishio ni TTP, sio IOC. Mshambulizi hubadilisha IP yake kwa siku moja, lakini ni vigumu kubadili muundo wake wa tabia (TTP). Jenga ulinzi wako kwenye ugunduzi wa TTP, sio kuzuia IOC.
Tahadhari: Kuweka IOC kwenye orodha ya waliozuiliwa kunaweza pia kuzuia trafiki halali (uzuiaji chanya wa uwongo). Kunyooshea kikundi kidole kwa njia isiyo sahihi kunapoteza rasilimali katika mwelekeo mbaya. Akili ni pembejeo; Uamuzi wa kuzuia na maelezo hutegemea mchambuzi baada ya uthibitishaji.
Kwa muhtasari
Akili ya vitisho huwezesha shirika kupigana sio peke yake bali na uzoefu wa ulimwengu; lakini kwa sababu ni nyingi, zenye fujo, na za kutofautiana, zinahitaji tafsiri. AI hufanya muhtasari wa ripoti ndefu katika viwango vitatu (kimkakati, mbinu, kiufundi), hutoa IOC na TTP, ramani hadi MITER ATT&CK na kutoa muhtasari wa umuhimu. Hatari kubwa zaidi: IOC/mbinu/kikundi iliyoundwa, maelezo sahihi lakini ya uwongo, na IOC iliyopitwa na wakati. Ndio maana kila IOC inathibitishwa na usasa na chanzo cha pili, kila mbinu inathibitishwa katika ATT&CK; kumbukumbu inafanywa kwa lugha "sambamba na mbinu" na sio "kundi la uhakika"; na uamuzi wa kuzuia/kutekeleza ni wa mchambuzi. Moyo wa ulinzi ni ugunduzi wa kudumu wa TTP, sio IOC za muda mfupi.
Jukumu la maombi
Pata sampuli ya ripoti ya tishio la umma. Toa muhtasari na orodha iliyoundwa ya IOC kutoka kwa AI na violezo vya "Muhtasari wa Ripoti" na "Uchimbaji wa IOC". Angalia sarafu na uhalisi wa 5 wa IOCs kwenye chanzo kinachojulikana; Jaribu kupata angalau IOC moja iliyopitwa na wakati au yenye shaka. Thibitisha nambari za T za mbinu zilizotolewa kwa kiolezo cha "ATT&CK Kulingana" kwenye tovuti ya MITER ATT&CK na upate nambari ya uwongo/ya uwongo ikiwa ipo.
orodha ya ukaguzi
- [ ] Nilifupisha ripoti katika viwango vitatu (kimkakati, kimbinu, kiufundi).
- [ ] Nimethibitisha kila IOC kwa sarafu na chanzo huru cha pili.
- [ ] Nimethibitisha kila mbinu/ujanja wa MITER ATT&CK katika chanzo rasmi.
- [ ] Nimeshughulikia marejeleo ya kikundi katika lugha ya "kulingana na mbinu" badala ya "sawa".
- [ ] Nilihoji umuhimu wa akili kwa taasisi yangu (sekta, teknolojia, usanifu).
- [ ] Nimekagua ukweli wa kila dai, nikijua kuwa huenda limeundwa na IOC/technique/group.
- [ ] Nilifanya uamuzi wa kuzuia na kutekeleza kama mchambuzi baada ya uthibitishaji.