பதிவு மற்றும் காலவரிசை பகுப்பாய்வு: நிகழ்வுகளை சரியான வரிசையில் வைத்தல்

ஆதாயங்கள்:

• பல நேர முத்திரை மூலங்களை ஒரே குறிப்புக்கு (UTC) இயல்பாக்கும் திறன் மற்றும் செயற்கை நுண்ணறிவு மூலம் சூப்பர் டைம்லைனில் முரண்பாடுகள் மற்றும் இடைவெளிகளைக் குறிக்கும் திறன்
• தொடர்பு மற்றும் காரணத்தை வேறுபடுத்தி, ஒவ்வொரு நிகழ்வையும் அதன் மூலத்துடன் இணைப்பதன் மூலம் செயற்கை நுண்ணறிவால் நிறுவப்பட்ட கதையை சரிபார்க்கும் திறன்
• டைம்ஸ்டாம்பிங், கடிகார சறுக்கல் மற்றும் பதிவு இடைவெளிகள் போன்ற அபாயங்களை அடையாளம் கண்டு அவற்றை பல ஆதாரங்களுடன் உறுதிப்படுத்தும் திறன்

இணைய நிகழ்வு உண்மையில் எப்போது, ​​எப்படி, எந்த வரிசையில் நிகழ்கிறது என்பதை உங்களுக்குச் சொல்லும் ஒரே ஒரு விஷயம் உள்ளது: நேரம். தாக்குபவர் கணினியில் நுழைந்தபோது, ​​அவர் எந்தக் கோப்பைத் தொட்டார், எப்போது, ​​அவர் தரவை வெளியேற்றினார் - இவை அனைத்தும் வெவ்வேறு பதிவுகளில் (கணினி நிகழ்வுகளைப் பதிவுசெய்யும் கோப்புகளைப் பதிவுசெய்தல்) மற்றும் வெவ்வேறு நேர முத்திரைகளில் (நேர முத்திரை - ஒரு நிகழ்வு நடந்த தேதி மற்றும் நேரத்தின் பதிவு) சேமிக்கப்படும். காலவரிசை பகுப்பாய்வு இந்த சிதறிய நேர முத்திரைகளை ஒரே காலவரிசை விவரிப்பாக ஒழுங்குபடுத்துகிறது மற்றும் "என்ன நடந்தது?" கேள்விக்கு பதில் சொல்லும் கலை அது. இந்த யூனிட்டில், இந்த குழப்பமான தரவை ஒழுங்கமைப்பதில் AI எவ்வாறு சிறந்த வேகத்தை வழங்குகிறது மற்றும் அது உங்களை எங்கு தவறாக வழிநடத்துகிறது என்பதைப் பார்ப்போம்.

நேர முத்திரைகளின் கூட்டம் மற்றும் ஆபத்துகள்

ஒரு கோப்பில் கூட பல நேர முத்திரைகள் இருக்கும். எடுத்துக்காட்டாக, ஒரு கோப்பு முறைமையில் MACB முத்திரைகள் உள்ளன: மாற்றப்பட்டது, அணுகப்பட்டது, மாற்றப்பட்டது, பிறந்தது. கூடுதலாக, இயக்க முறைமை நிகழ்வு பதிவுகள் (Windows Event Log), வலை சேவையக பதிவுகள், ஃபயர்வால் பதிவுகள், பயன்பாட்டு பதிவுகள் மற்றும் பதிவேடு (Windows registry - கணினி மற்றும் பயன்பாட்டு அமைப்புகள் சேமிக்கப்படும் படிநிலை தரவுத்தளம்) பதிவுகள் உள்ளன.

மிகப்பெரிய ஆபத்து நேர மண்டலம் மற்றும் நேர சறுக்கல். ஒரு பதிவு UTC (ஒருங்கிணைந்த உலகளாவிய நேரம்), மற்றொன்று உள்ளூர் நேரம்; கணினியின் கடிகாரம் தவறாக அமைக்கப்படலாம்; தாக்குபவர் வேண்டுமென்றே நேர முத்திரைகளைக் கையாண்டிருக்கலாம் (டைம்ஸ்டாம்பிங் - ஸ்பூஃபிங் கோப்பு நேர முத்திரைகள்). எனவே ஒரு காலவரிசையை நிறுவுவதற்கு முன், ஒவ்வொரு மூலத்தின் நேர மண்டலம் மற்றும் கடிகார துல்லியம் தீர்மானிக்கப்பட வேண்டும், அனைத்தும் பொதுவான குறிப்புக்கு (பொதுவாக UTC) இயல்பாக்கப்படும்.

எச்சரிக்கை: வெவ்வேறு காலகட்டங்களில் இரண்டு பதிவுகளை அருகருகே வைத்து "அது ஒரே நேரத்தில் நடந்தது" என்று சொல்வது ஒரு உன்னதமான தவறு. தொடர்புபடுத்தும் முன் அனைத்து நேர முத்திரைகளையும் ஒரே குறிப்புக்கு மாற்றவும்; இல்லையெனில், AI (மற்றும் நீங்கள்) நிறுவிய காரண-விளைவு உறவு ஆரம்பத்திலிருந்தே அழுகிவிட்டது.

சூப்பர் காலவரிசை மற்றும் AI

கணினி தடயவியலில், இந்த அனைத்து ஆதாரங்களையும் இணைக்கும் அமைப்பு சூப்பர் டைம்லைன் என்று அழைக்கப்படுகிறது; இது பெரும்பாலும் Plaso/log2timeline போன்ற கருவிகளைக் கொண்டு உருவாக்கப்படுகிறது மற்றும் பல்லாயிரக்கணக்கான அல்லது மில்லியன் கணக்கான வரிசைகளாக இருக்கலாம். இங்குதான் AI வருகிறது: இந்த பெரிய விளக்கப்படத்தில் அர்த்தமுள்ள வடிவங்கள் மற்றும் முரண்பாடுகளைக் குறிக்கும்.

AI இன் பாதுகாப்பான பங்களிப்புகள்:

• ஒழுங்கின்மை கொடியிடுதல்: மணிநேர அணுகல், திடீர் சலுகை அதிகரிப்பு, வழக்கத்திற்கு மாறான செயல்முறை சங்கிலி, குறுகிய இடைவெளியில் பல தோல்வியுற்ற உள்நுழைவுகள்.
• நிகழ்வு கிளஸ்டரிங்: ஒரே நேர சாளரத்தில் கவனம் செலுத்தும் நிகழ்வுகளை தொகுத்து "இங்கே ஏதோ நடந்தது" எனக் குறிக்கும்.
• விவரிப்பு அவுட்லைன்: சரிபார்க்கப்பட்ட நிகழ்வுகளை ஒரு எளிய மொழி காலவரிசைக் கதையாக மொழிபெயர்த்தல் (அறிக்கைக்கான முதல் வரைவு).
• இடைவெளி கண்டறிதல்: "இந்த 40 நிமிட இடைவெளியில் பதிவுகள் எதுவும் இல்லை — அவை நீக்கப்பட்டிருக்குமா?" போன்ற குறைபாடுகள் குறித்து கேட்கின்றனர்.

ஒவ்வொன்றிலும், AI கருதுகோள்களை உருவாக்குகிறது; நீங்கள் காரணத்தையும் ஆதார மதிப்பையும் நிரூபிக்கிறீர்கள்.

உதவிக்குறிப்பு: AIக்கு டைம்லைனைக் கொடுக்கும்போது, ​​முதலில் நேர மண்டலம் மற்றும் வடிவமைப்பை தெளிவாகக் கூறவும்: "எல்லா நேர முத்திரைகளும் UTC, ISO 8601 வடிவத்தில் உள்ளன." முதலில் கலப்பு வடிவங்களை இயல்பாக்குங்கள்; வடிவமைப்பை AI யூகிக்க அனுமதிப்பது பிழைக்கான அழைப்பாகும்.

தொடர்பு என்பது காரணமல்ல

காலப் பகுப்பாய்வில் மிகவும் ஆபத்தான தர்க்கப் பிழை, வாரிசு என்பது காரணமும் விளைவும் என்று நினைப்பது. "ஒரு USB 22:10 இல் செருகப்பட்டது, ஒரு கோப்பு 22:12 இல் நகலெடுக்கப்பட்டது" இரண்டு நிகழ்வுகள் தொடர்ச்சியாக நிகழலாம், ஆனால் ஒரே நபர் அதை ஒரே நோக்கத்திற்காக செய்தார் என்பதை அவை நிரூபிக்கவில்லை; வேறு விளக்கம் இருக்கலாம். AI ஒரு சரளமான கதையை உருவாக்கும்போது, ​​​​அது இந்த இடைவெளியைக் காணவில்லை மற்றும் "USB வழியாக தரவு திருடப்பட்டது" போன்ற சரியான வாக்கியத்தை உருவாக்க முடியும். நிபுணரின் பணி மாற்று விளக்கங்களை அகற்றுவது மற்றும் ஒவ்வொரு அடியையும் சுயாதீனமான ஆதாரங்களுடன் ஆதரிப்பதாகும்.

மூன்று சிறிய வழக்குகள்

வழக்கு 1 - கடிகார சறுக்கல் பிடிபட்டது. ஒரு சந்தர்ப்பத்தில், வெப் சர்வர் லாக் மற்றும் ஃபயர்வால் லாக் 3 மணி நேரம் வித்தியாசமாகத் தெரிந்தது. முதல் வரைவில், AI இந்த "இரண்டு தனித்தனி தாக்குதல்களை" கருதியது. சேவையகத்தின் நேர மண்டலம் தவறாக அமைக்கப்பட்டிருப்பதை நிபுணர் கண்டறிந்தார்; இயல்பாக்கப்படும்போது, ​​இரண்டு பதிவுகளும் ஒரே நிகழ்வில் பொருந்துகின்றன. 3 மணி நேர "பாண்டம் வித்தியாசம்" போய்விட்டது.

வழக்கு 2 - ஒரு இடைவெளி நீக்கப்பட்டதை வெளிப்படுத்தியது. 1.1 மில்லியன் வரி சூப்பர் டைம்லைனில், 02:30-03:10 க்கு இடையில் எந்த பதிவுகளும் இல்லை என்று AI கொடியிட்டது. நிபுணர் ஆய்வு செய்தார்: இந்த சாளரத்தில், பாதுகாப்பு பதிவுகள் வேண்டுமென்றே அழிக்கப்பட்டன (பதிவு துடைத்தல்). வெற்றிடமே தாக்குதலின் வலுவான ஆதாரங்களில் ஒன்றாக மாறியது.

வழக்கு 3 - மாயத்தோற்றம் ஒரு நிகழ்வை உருவாக்கியது. சுருக்கத்தை உருவாக்கும் போது, ​​"நிர்வாகி கணக்கு 03:45 இல் உருவாக்கப்பட்டது" என்று YZ கூறினார். நிபுணர் மூலத்தைப் பார்த்தார்: அத்தகைய நிகழ்வு ஐடி இல்லை - நிகழ்வு வகையைக் குறிக்கும் விண்டோஸ் பதிவுகளில் உள்ள எண்; AI இரண்டு வெவ்வேறு வரிகளை இணைத்து, இல்லாத ஒரு நிகழ்வை உருவாக்கியது. ஆதாரத்துடன் இணைக்கும் படி தவறான கதையைத் தடுத்தது.

நகலெடுக்கக்கூடிய நான்கு வார்ப்புருக்கள்

1) நேரத்தை இயல்பாக்கும் திட்டம்:

உங்கள் பங்கு: தடயவியல் காலவரிசை ஆய்வாளர். வெவ்வேறு மூலங்களிலிருந்து நேர முத்திரைகளை உங்களுக்கு வழங்குவேன் (வடிவங்கள் மற்றும் காலங்கள் வேறுபடலாம்). முதலில் ஒவ்வொரு மூலத்தின் வடிவம் மற்றும் நேர மண்டலத்தை தீர்மானிக்கவும், பின்னர் அனைத்தையும் UTC / ISO 8601 க்கு மாற்றும் திட்டத்தை கொண்டு வாருங்கள். நீங்கள் உறுதியாக தெரியாத நேர மண்டலத்தை "உறுதிப்படுத்தல் தேவை" எனக் குறிக்கவும்.

2) ஒழுங்கின்மை குறித்தல்:

சூழல்: நிறுவன சேவையகம், சாதாரண வேலை நேரம் 08:00-18:00 (UTC+3).நான் உங்களுக்கு இயல்பாக்கப்பட்ட நிகழ்வுப் பட்டியலைத் தருகிறேன். பட்டியலில் தோன்றும் பதிவுகளின் அடிப்படையில் மட்டுமே, பின்வருவனவற்றைக் கொடியிடவும்: மணிநேரத்திற்கு வெளியே அணுகல், சிறப்புரிமை அதிகரிப்பு, மீண்டும் மீண்டும் தோல்வியடைந்த உள்நுழைவு, வழக்கத்திற்கு மாறான செயல்முறை சங்கிலி. ஒவ்வொரு அடையாளத்திற்கும், தொடர்புடைய வரியை மேற்கோள் காட்டவும். விளக்கம்/காரணத்தைச் சேர்த்தல்; நான் அதை மதிப்பிடுவேன்.

3) விவரிப்பு அவுட்லைன் (அறிக்கைக்கு):

நான் சரிபார்த்த நிகழ்வுகள் கீழே உள்ளன (ஒவ்வொன்றும் அதன் மூலத்துடன்). அவற்றை ஒரு எளிய, காலவரிசைக் கதையாக மாற்றவும். நான் கொடுக்கும் நிகழ்வுகளை மட்டும் பயன்படுத்துங்கள்; ஒரு புதிய நிகழ்வு, கணிப்பு அல்லது காரணத்தைச் சேர்த்தல். தெளிவற்ற இணைப்புகளை "சாத்தியம்" என்று வகைப்படுத்தும் மொழியில் எழுதவும்.

4) இடைவெளி மற்றும் சீரற்ற ஸ்கேனிங்:

இந்த இயல்பாக்கப்பட்ட காலவரிசையில்: (1) எதிர்பார்க்கப்படும் ஆனால் விடுபட்டதாகத் தோன்றும் பதிவு காலங்களைக் குறிக்கவும், (2) ஒழுங்கற்ற பதிவுகள் (எதிர்காலத்திலிருந்து கடந்த காலத்திற்கு), (3) தொகுதி/தானாகத் தோன்றும் ஸ்பைக்குகள். ஒவ்வொன்றையும் தொடர்புடைய வரி இடைவெளியுடன் காட்டு. இவை நீக்குதல்/கையாளுதல் ஆகியவற்றின் அடையாளங்களாக இருக்கலாம் ஆனால் அவை ஆதாரம் அல்ல என்பதைச் சுட்டிக்காட்டவும்.

பலவீனமான வரியில் / வலுவான வரியில்

பலவீனமான உடனடி:

இந்த பதிவுகளை சுருக்கி என்ன நடந்தது என்பதை விளக்குங்கள்.

கால அளவு, ஆதாரம் அல்லது "உண்மையான பதிவு மட்டும்" கட்டுப்பாடுகள் இல்லை; AI ஒரு சரளமான ஆனால் புனையப்பட்ட கதையை உருவாக்க முடியும்.

சக்திவாய்ந்த தூண்டுதல்:

உங்கள் பங்கு: தடயவியல் பதிவு ஆய்வாளர். ஆதாரம்: 3 பதிவுகள் (விண்டோஸ் செக்யூரிட்டி, அப்பாச்சி அணுகல், ஃபயர்வால்), அனைத்தும் யுடிசி, ஐஎஸ்ஓ 8601 க்கு இயல்பாக்கப்பட்டன. பணி: மார்ச் 14 முதல் 21:00-23:00 வரை கொடுக்கப்பட்ட வரிகளின் அடிப்படையில் மட்டுமே நிகழ்வுகளை காலவரிசைப்படி பட்டியலிடவும்; ஒவ்வொரு வரியையும் அதன் ஆதாரம் மற்றும் நிகழ்வு ஐடி/குறியீட்டுடன் மேற்கோள் காட்டவும். தொடர்புகளை நிறுவுதல், காரணத்தைக் கூறி; நான் கருத்து சொல்கிறேன். நீங்கள் காணும் இடைவெளிகளை காணவில்லை அல்லது அசாதாரணமானது என தனித்தனியாகக் குறிக்கவும்.

மூல, இயல்பாக்கப்பட்ட குறிப்பு, "கொடுக்கப்பட்ட வரிசை மட்டும்" மற்றும் "காரணத்தை நிறுவுதல்" கட்டுப்பாடுகள் வெளியீட்டை பாதுகாக்கக்கூடியதாக ஆக்குகின்றன.

நேர முத்திரை ஆதாரங்களின் அட்டவணை

ஆதாரம்

எடுத்துக்காட்டு நேர முத்திரை

கவனம்

கோப்பு முறைமை (MACB)

மாற்றவும் / அணுகவும் / உருவாக்கவும்

டைம்ஸ்டாம்பிங்கிற்கு திறந்திருக்கும்

விண்டோஸ் நிகழ்வு பதிவு

உள்நுழைவு, செயல்முறை, சேவை நிகழ்வுகள்

நிகழ்வு ஐடியைச் சரிபார்க்கவும்

இணைய சேவையக பதிவு

கோரிக்கை நேரம்

நேர மண்டல சோதனை

ஃபயர்வால்/நெட்வொர்க்

இணைப்பு, நிராகரிப்பு

கடிகார ஒத்திசைவு (NTP)

பதிவுத்துறை

கடைசியாக எழுதும் நேரம்

கருத்துக்கு நிபுணத்துவம் தேவை

பயன்பாடு/உலாவி

வரலாறு, தற்காலிக சேமிப்பு

உள்ளூர் நேரமாக இருக்கலாம்

பொதுவான தவறுகள்

• காலத்தை இயல்பாக்காமல் தொடர்புகளை நிறுவுதல். வெவ்வேறு துண்டுகள் தவறான "ஒத்திசைவை" உருவாக்குகின்றன.
• காரணத்திற்கான தவறான தொடர்பு. அடுத்தடுத்த நிகழ்வுகள் ஒரே குற்றவாளி/நோக்கத்தைக் குறிக்காது.
• நேர முத்திரையில் முழுமையான நம்பிக்கை. டைம்ஸ்டாம்பிங் மற்றும் தவறான நேரம் சாத்தியம்; பல ஆதாரங்களுடன் உறுதிப்படுத்தவும்.
• AI அசெம்பிள் செய்த நிகழ்வை சரிபார்க்கவில்லை. இரண்டு கோடுகள் ஒன்றிணைவது இல்லாத நிகழ்வை உருவாக்கலாம்.
• இடைவெளிகளைப் புறக்கணித்தல். காணாமல் போன பதிவு பெரும்பாலும் மிக முக்கியமான ஆதாரமாகும்.

சுருக்கமாக

காலவரிசை பகுப்பாய்வு என்பது சிதறிய நேர முத்திரைகளை ஒரு ஒற்றை சரிபார்க்கக்கூடிய காலவரிசையில் இணைக்கும் செயலாகும். மில்லியன் வரி சூப்பர் டைம்லைன்களில் ஒழுங்கின்மை கொடியிடல், கிளஸ்டரிங், இடைவெளி கண்டறிதல் மற்றும் விவரிப்பு வரைவு ஆகியவற்றில் AI சிறந்த வேகத்தை வழங்குகிறது. ஆனால் காலக் காலத்தை இயல்பாக்குதல், தொடர்பு-காரண வேறுபாடு மற்றும் ஒவ்வொரு நிகழ்வின் மூலத்திற்கான பண்புகளும் மனிதர்களுக்கு சொந்தமானது. AI கருதுகோள்களை உருவாக்குகிறது; நீங்கள் நீதிமன்றத்தில் காலவரிசையைப் பாதுகாப்பவர்.

விண்ணப்ப பணி

வெவ்வேறு வடிவம் மற்றும் நேர மண்டலத்தில் 15-20 வரிகளின் மாதிரி நிகழ்வுப் பட்டியலைத் தயாரிக்கவும் (வேண்டுமென்றே நேர மாற்றம் மற்றும் இடத்தைச் சேர்க்கவும்). முதலில் "நேரத்தை இயல்பாக்குதல் திட்டம்" டெம்ப்ளேட் மூலம் UTC க்கு அனைத்தையும் மாற்றவும். பின்னர் "அனோமலி மார்க்கிங்" மற்றும் "கேப் ஸ்கேன்" டெம்ப்ளேட்களைப் பயன்படுத்தவும் மற்றும் மூலத்தில் AI ஆல் பதிவுசெய்யப்பட்ட கடிகார சறுக்கல் மற்றும் இடைவெளியை சரிபார்க்கவும்.

சரிபார்ப்பு பட்டியல்

• [ ] நான் எல்லா நேர முத்திரைகளையும் ஒரே குறிப்புக்கு (UTC) இயல்பாக்கினேன்.
• [ ] ஒவ்வொரு நிகழ்வையும் அதன் மூலத்துடன் இணைத்துள்ளேன் (கோப்பு/நிகழ்வு ஐடி/வரி).
• [ ] நான் தொடர்பு மற்றும் காரணத்தை வேறுபடுத்தினேன்; மாற்று விளக்கங்களைக் கருத்தில் கொண்டேன்.
• [ ] நான் பதிவு இடைவெளிகளையும் அசாதாரண பதிவுகளையும் குறித்தேன்.
• [ ] அசல் பதிவில் AI ஒருங்கிணைத்த / சுருக்கப்பட்ட நிகழ்வுகளை நான் உறுதிப்படுத்தினேன்.