ขอบเขต ความเป็นส่วนตัว จริยธรรม และข้อห้ามในการใช้งานโดยไม่ได้รับอนุญาต

กำไร:

• การทำความเข้าใจว่าข้อมูลความปลอดภัยมีความละเอียดอ่อนถึงสามชั้น (ข้อมูลส่วนบุคคล ข้อมูลอัจฉริยะขององค์กร แผนที่ช่องโหว่) และไม่สามารถมอบให้กับเครื่องมือภายนอกโดยไม่เปิดเผยตัวตนได้
• สิ่งที่ทำให้การป้องกันแตกต่างจากการโจมตีคืออำนาจและความตั้งใจ ความสามารถในการบังคับใช้โดยสุจริตใจไม่ได้แทนที่อำนาจและการอนุญาตของยานพาหนะไม่ได้แทนที่ความถูกต้องตามกฎหมาย
• สามารถเปลี่ยนข้อมูลความปลอดภัยเป็นการเฝ้าระวังส่วนบุคคล และตั้งคำถามว่า 'ฉันได้รับอนุญาตหรือไม่ ฉันไม่เปิดเผยชื่อ มีการป้องกันวัตถุประสงค์หรือไม่' ก่อนแต่ละภารกิจ

ตลอดโมดูลนี้ เราใช้ AI ในทุกแง่มุมของงานผู้เชี่ยวชาญด้านความปลอดภัย: การวิเคราะห์บันทึก การค้นหาภัยคุกคาม การจัดลำดับความสำคัญของช่องโหว่ การตอบสนองต่อเหตุการณ์ การวิเคราะห์ฟิชชิ่ง การตรวจสอบโค้ด ข้อมูลภัยคุกคาม การรายงาน หน่วยนี้เกี่ยวข้องกับเส้นที่ลากรอบการใช้งานอันทรงพลังเหล่านี้ เนื่องจากพลังของ AI ในระบบรักษาความปลอดภัยทางไซเบอร์นั้นมีสองเท่า ความสามารถเดียวกันนี้สามารถใช้ได้ทั้งในด้านการป้องกันและการโจมตี การเข้าถึงข้อมูลเดียวกันจะเร็วขึ้นและการรั่วไหลทำงาน หน่วยนี้จะอธิบายความแตกต่างระหว่าง "can" และ "should"

มีข้อจำกัดพื้นฐานอยู่ 2 ประการ และทั้งสองอย่างไม่มีปัญหา ประการแรกคือความเป็นส่วนตัวและการปกป้องข้อมูล: ข้อมูลความปลอดภัย (บันทึก, IP, ข้อมูลผู้ใช้, รหัส, รายละเอียดเหตุการณ์) เป็นทั้งข้อมูลส่วนบุคคลและข้อมูลอัจฉริยะที่ละเอียดอ่อนซึ่งเปิดเผยพื้นผิวการโจมตีขององค์กร เขาไม่ไปไหนโดยไม่มีการป้องกัน ประการที่สอง จริยธรรมและความถูกต้องตามกฎหมาย: AI จะใช้ในระบบที่คุณได้รับอนุญาตเท่านั้น เพื่อวัตถุประสงค์ในการป้องกันและได้รับอนุญาตเป็นลายลักษณ์อักษร การเข้าถึงโดยไม่ได้รับอนุญาต การสร้างเครื่องมือโจมตี หรือการทดสอบโดยไม่ได้รับอนุญาตถือเป็นอาชญากรรม ชื่อของหน่วยนี้ไม่ใช่สโลแกน แต่เป็นใบอนุญาตสำหรับวิชาชีพ: การพิมพ์ที่ไม่ได้รับการตรวจสอบถือเป็นข้อเรียกร้อง การใช้งานโดยไม่ได้รับอนุญาตถือเป็นอาชญากรรม

ความเป็นส่วนตัว: เหตุใดข้อมูลความปลอดภัยจึงมีความละเอียดอ่อน?

ข้อมูลความปลอดภัยมีความละเอียดอ่อนสามชั้น:

1. ชั้นข้อมูลส่วนบุคคล: ชื่อผู้ใช้ อีเมล IP (ซึ่งถือได้ว่าเป็นข้อมูลส่วนบุคคลใน KVKK) บันทึกการเข้าถึง ได้รับการคุ้มครองภายใต้ KVKK และ GDPR
2. ชั้นข่าวกรององค์กร: โทโพโลยีเครือข่ายภายใน ชื่อเซิร์ฟเวอร์ รูปแบบการตั้งชื่อ ระบบอยู่ที่ไหน ซึ่งจะทำให้ผู้โจมตีเห็นแผนที่ขององค์กร
3. ชั้นช่องโหว่: ช่องโหว่ใดที่เปิดอยู่ ระบบใดมีช่องโหว่ นี่คือรายการเป้าหมายสำหรับผู้โจมตีหากข้อมูลรั่วไหลออกไป

การวางเหตุการณ์ที่มีบันทึกดิบ, IP จริง และชื่อเซิร์ฟเวอร์ภายในลงในเครื่องมือ AI สาธารณะจะเปิดเผยทั้งสามเลเยอร์ กฎ: ก่อนอื่นให้ไม่เปิดเผยชื่อ จากนั้นถ้าเป็นไปได้อย่าเปิดเผยเลย แทนที่ค่าจริงด้วยตัวยึดตำแหน่งที่สอดคล้องกัน (USER_A, IC_IP_1, HOST_1) หากเป็นไปได้ ให้ใช้เครื่องมือขององค์กรที่มีสัญญาการประมวลผลข้อมูล อย่าใช้ข้อมูลของคุณในการฝึกโมเดล และควรทำงานในสถานที่ ในบางกรณี (เช่น การสืบสวนทางนิติเวชที่กำลังดำเนินอยู่ ข้อมูลลับสุดยอด) จะไม่มีการใช้เครื่องมือภายนอก

จริยธรรมและความถูกต้องตามกฎหมาย: แนวป้องกัน/การโจมตี

ความรู้เดียวกันนี้สามารถใช้ได้ทั้งในเชิงรับและเชิงรุก อำนาจและเจตนากำหนดความแตกต่าง การค้นหาและปิดช่องโหว่ในระบบของคุณคือการป้องกัน การค้นหาระบบของผู้อื่นโดยไม่ได้รับอนุญาตถือเป็นการเข้าถึงโดยไม่ได้รับอนุญาต การวิเคราะห์อีเมลฟิชชิ่งถือเป็นการป้องกัน การเขียนข้อความฟิชชิ่งที่น่าเชื่อถือถือเป็นการโจมตี การตรวจสอบบันทึกและการตรวจจับการโจมตีถือเป็นการป้องกัน การรวบรวมข้อมูลเพื่อติดตามบุคคลถือเป็นการคุกคามและผิดกฎหมาย

ตารางต่อไปนี้ทำให้บรรทัดนี้ชัดเจน:

การกระทำ

กลาโหม (ถูกต้องตามกฎหมาย)

โจมตี/แบน

การค้นหาจุดอ่อน

ในระบบของตัวเองโดยได้รับอนุญาตให้ปิดได้

ของผู้อื่นโดยไม่ได้รับอนุญาต

การทดสอบการเจาะ

โดยมีขอบเขตเป็นลายลักษณ์อักษรและการอนุญาต

การทดสอบที่ไม่ได้รับอนุญาต = การโจมตี

ฟิชชิ่ง

วิเคราะห์ตรวจจับ

ผลิตส่ง

มัลแวร์

การวิเคราะห์ (แยกกัน)

เขียน, แพร่กระจาย

การรวบรวมข้อมูล

สำหรับการจัดงานอย่างครอบคลุมบันทึกไว้

เพื่อดูเพื่อสอดแนมบุคคลนั้น

การเข้าถึง

ภายในอำนาจ

ไม่ได้รับอนุญาต = อาชญากรรม

เครื่องมือ AI สมัยใหม่ปฏิเสธคำขอเช่น "เขียนแรนซัมแวร์ที่ใช้งานได้ให้ฉัน" หรือ "ฉันจะแทรกซึมเข้าไปในไซต์นั้นได้อย่างไร"; แต่ความรับผิดชอบไม่ได้อยู่ที่ตัวกรองของรถยนต์ แต่อยู่ที่จรรยาบรรณในวิชาชีพของคุณ การใช้งานโดยไม่ได้รับอนุญาตจะไม่ถูกต้องตามกฎหมายหากยานพาหนะอนุญาต

การยืนยัน: เสาหลักทางเทคนิคของจริยธรรม

การตรวจสอบยืนยันไม่ได้เป็นเพียงขั้นตอนด้านคุณภาพเท่านั้น แต่ยังเป็นสิ่งจำเป็นด้านจริยธรรมอีกด้วย การเขียนข้อกล่าวหาที่ไม่ได้รับการพิสูจน์ในรายงานอาจหมายถึงการกล่าวหาใครบางคนอย่างไม่ยุติธรรมหรือขัดขวางการทำงานด้วยการตัดสินใจที่ผิดพลาด ขอย้ำวินัยในการตรวจสอบที่เราได้เห็นตลอดโมดูลนี้ว่าเป็นหลักการทางจริยธรรมที่นี่: การไม่มีการค้นพบ, IOC, CVE, การระบุแหล่งที่มาหรือประโยครายงานที่ AI ​​จัดทำขึ้นกลายเป็นการกระทำหรือเอกสารอย่างเป็นทางการโดยไม่ได้รับการยืนยันด้วยหลักฐานดิบและแหล่งที่มาอย่างเป็นทางการ

มินิเคสสามอัน

กรณีที่ 1 — การไม่เปิดเผยตัวตนที่ถูกต้อง นักวิเคราะห์ต้องการวิเคราะห์เหตุการณ์สำคัญด้วย AI ขั้นแรกจะแทนที่ IP จริง ชื่อผู้ใช้ และชื่อเซิร์ฟเวอร์ภายในทั้งหมดด้วยตัวยึดตำแหน่งที่สอดคล้องกัน ใช้เครื่องมือสัญญาการประมวลผลข้อมูลขององค์กร และแบ่งปันเฉพาะรูปแบบเท่านั้น การวิเคราะห์เร็วขึ้น ไม่มีข้อมูลที่ละเอียดอ่อนรั่วไหล นี่เป็นวิธีที่ถูกต้อง: ความเร็วและความเป็นส่วนตัวไม่จำเป็นต้องแยกจากกัน

กรณีที่ 2 — “การกุศล” ที่ไม่ได้รับอนุญาต ผู้เชี่ยวชาญ “สงสัยว่าบริษัทของเพื่อนจะปลอดภัยหรือไม่” และถาม AI จะทดสอบระบบของบริษัทนั้นได้อย่างไร แม้ว่าสิ่งนี้อาจดูเหมือนมีเจตนาดี แต่ก็เป็นความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาต การทดสอบระบบของผู้อื่นโดยไม่ได้รับอนุญาตเป็นลายลักษณ์อักษรและขอบเขตที่กำหนดไว้ถือเป็นอาชญากรรม วิธีที่ถูกต้อง: ไม่มีการทดสอบเลย ส่งต่อไปยังทีมรักษาความปลอดภัยของบริษัทหรือบริการทดสอบการเจาะระบบที่ได้รับอนุญาต ค่าความนิยมไม่สามารถทดแทนอำนาจได้

กรณีที่ 3 — เปลี่ยนไปสู่การเฝ้าระวัง ผู้จัดการต้องการใช้ AI เพื่อจัดทำโปรไฟล์กิจกรรมทั้งหมดของพนักงานจากบันทึกความปลอดภัย เพื่อทำความเข้าใจว่าบุคคลนั้น "ภักดี" หรือไม่ สิ่งนี้ก้าวไปไกลกว่าวัตถุประสงค์ของการรักษาความปลอดภัยไปสู่การเฝ้าระวังส่วนบุคคล ทั้งสองฝ่าฝืน KVKK และเกินขีดจำกัดการใช้งานข้อมูลความปลอดภัยที่ถูกต้องตามกฎหมาย ผู้เชี่ยวชาญด้านความปลอดภัยปฏิเสธสิ่งนี้และสั่งการคำขอไปยังช่องทางที่เหมาะสม (ฝ่ายทรัพยากรบุคคล กฎหมาย กรอบการสืบสวนที่กำหนดไว้) บทเรียน: ข้อมูลความปลอดภัยถูกเก็บรวบรวมเพื่อความปลอดภัย ไม่ใช่เครื่องมือเฝ้าระวังส่วนบุคคล

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

พรอมต์ที่อ่อนแอ:

วิเคราะห์กิจกรรมทั้งหมดของ Ahmet Yılmaz (10.2.14.7) ในช่วง 3 เดือนที่ผ่านมา เขาทำอะไรน่าสงสัย สร้างโปรไฟล์บุคลิกภาพ

คำขอนี้มุ่งเป้าไปที่บุคคลจริง ให้ข้อมูลส่วนบุคคลโดยไม่ปิดบัง นอกเหนือไปจากวัตถุประสงค์ด้านความปลอดภัย และเลื่อนเข้าสู่การเฝ้าระวัง และขอผลลัพธ์ที่ผิดกฎหมาย เช่น "โปรไฟล์บุคลิกภาพ" เป็นทั้งการละเมิด KVKK และการละเมิดจริยธรรม

พรอมต์อันทรงพลัง:

บทบาทของคุณ: ผู้ช่วยที่ร่างการวิเคราะห์ความปลอดภัยให้กับนักวิเคราะห์ ทำงานกับข้อมูลที่ไม่เปิดเผยตัวตนภายในขอบเขตของการสืบสวนเหตุการณ์ที่กำหนดไว้ งาน: มีความผิดปกติในรูปแบบการเข้าถึงของ USER_A ในหน้าต่างเหตุการณ์ที่กำหนด (03:00-04:00) ที่เข้ากันได้กับสมมติฐานการรั่วไหลของข้อมูลหรือไม่ อย่าแสดงความคิดเห็นเกี่ยวกับบุคลิกภาพ/ความภักดี เพียงประเมินรูปแบบทางเทคนิคตามหลักฐาน อย่าเลือกออก ข้อมูล: [ไม่ระบุชื่อ หน้าต่างที่เกี่ยวข้องเท่านั้น]

คำขอที่รัดกุมนั้นจะไม่ระบุชื่อ และจำกัดอยู่ในขอบเขตการสอบสวนที่กำหนดไว้ ไม่ต้องมีการตีความเป็นการส่วนตัว ใช้ได้กับข้อมูลและรูปแบบทางเทคนิคที่เกี่ยวข้องเท่านั้น

เทมเพลตพร้อมท์ที่คัดลอกได้

เทมเพลตการตรวจสอบการไม่เปิดเผยตัวตนตรวจสอบข้อมูลต่อไปนี้ก่อนที่จะมอบให้กับเครื่องมือ AI ภายนอก: มี IP จริง ชื่อผู้ใช้ อีเมล ชื่อโฮสต์/เซิร์ฟเวอร์ภายใน ชื่อโดเมน ข้อมูลองค์กร ข้อมูลส่วนบุคคลยังคงอยู่ในนั้นหรือไม่ แสดงรายการทั้งหมดและแนะนำตัวยึดตำแหน่งที่สอดคล้องกัน แจ้งเตือนหากมีสิ่งใดน่าสงสัย ข้อมูล: [วาง]

เทมเพลตการตรวจสอบขอบเขตและอำนาจตรวจสอบงานด้านความปลอดภัยที่ฉันจะทำ: อยู่ภายในขีดจำกัดของระบบที่ฉันได้รับอนุญาตหรือไม่ อยู่ภายในขอบเขตของวัตถุประสงค์/การสอบสวนที่กำหนดไว้หรือไม่ มีการเปลี่ยนแปลงเป็นการเฝ้าระวังส่วนบุคคลหรือไม่ จำเป็นต้องได้รับอนุญาตเป็นลายลักษณ์อักษรหรือไม่ หากมีธงสีแดงเตือนและเสนอทางเลือกที่ถูกต้อง งาน: [เขียน]

เทมเพลตการแจ้งเตือนขอบเขตทางจริยธรรมประเมินคำขอ: เป็นการป้องกันและได้รับอนุญาต หรืออยู่ภายในขอบเขตของการเข้าถึง/การโจมตี/การเฝ้าระวังโดยไม่ได้รับอนุญาต หากถูกต้องตามกฎหมายให้เขียนวิธีการทำอย่างปลอดภัย ถ้าไม่จริง เหตุใดจึงไม่ควรทำ และช่องทางที่ถูกต้อง ขอ: [เขียน]

เทมเพลตข้อกำหนดในการตรวจสอบ สำหรับการค้นพบแต่ละรายการ, IOC, CVE, การแสดงที่มา และประโยครายงานที่คุณจัดทำ ให้เพิ่มหมายเหตุ "ด้วยหลักฐานดิบ/แหล่งที่มาอย่างเป็นทางการที่ควรได้รับการตรวจสอบ" ถือว่าจะไม่กลายเป็นการดำเนินการหรือเอกสารราชการจนกว่าจะได้รับการตรวจสอบ งาน: [เขียน]

ข้อผิดพลาดทั่วไป

• หลีกเลี่ยงการเปิดเผยตัวตน เป็นการผิดที่จะพูดว่า "ใช้ภายในอยู่แล้ว"; IP/ผู้ใช้/โฮสต์จริงใดๆ ที่เกิดขึ้นกับเครื่องมือ AI ภายนอกคือการรั่วไหล
• เจตนาดีผิดต่อผู้มีอำนาจ “ฉันต้องการช่วย” ไม่ได้แสดงให้เห็นถึงการเข้าถึงโดยไม่ได้รับอนุญาต ต้องได้รับอนุญาตเป็นลายลักษณ์อักษรและขอบเขตที่กำหนดไว้
• เปลี่ยนข้อมูลความปลอดภัยเป็นการเฝ้าระวัง บันทึกจะถูกรวบรวมเพื่อความปลอดภัย การจัดทำโปรไฟล์/การตรวจสอบบุคคลถือเป็นการละเมิด KVKK และการใช้งานในทางที่ผิด
• โดยคิดว่าการอนุญาตใช้รถนั้นถูกต้องตามกฎหมาย เพียงเพราะ AI ไม่ปฏิเสธบางสิ่งบางอย่าง การกระทำนั้นจึงไม่ถูกกฎหมาย/จริยธรรม ความรับผิดชอบอยู่ที่คุณ
• คิดว่าการตรวจสอบเป็นสิ่งฟุ่มเฟือย ข้อกล่าวหาที่ไม่มีหลักฐานอาจกล่าวหาผู้อื่นอย่างไม่ยุติธรรมหรือหยุดงาน การตรวจสอบเป็นภาระผูกพันทางจริยธรรม

เคล็ดลับ: ถามคำถามสามข้อก่อนงานใดๆ: "ฉันได้รับอนุญาตในระบบนี้หรือไม่ ฉันได้ปกปิดข้อมูลนี้หรือไม่ จุดประสงค์นี้เป็นการป้องกันหรือการเฝ้าระวัง/ล่วงละเมิดหรือไม่" หากคุณไม่สามารถพูด "ใช่/ป้องกัน" กับทั้งสามคนได้อย่างชัดเจน ให้หยุดและปรึกษาผู้มีอำนาจ

ข้อควรระวัง: การเข้าถึงโดยไม่ได้รับอนุญาต การทดสอบโดยไม่ได้รับอนุญาต การแฮ็ก และการเฝ้าระวังส่วนบุคคล ถึงแม้จะทำด้วยเจตนาดีก็ถือเป็นอาชญากรรมและอยู่นอกวิชาชีพนี้ พลังของ AI จะไม่เปลี่ยนเส้นนี้ แต่จะเพิ่มความเร็วขึ้นหากใช้ไม่ถูกต้องเท่านั้น ขีดจำกัดไม่ใช่ด้านเทคนิค แต่ถูกกฎหมายและจริยธรรม

โดยสรุป

หน่วยนี้ได้วางเส้นรอบการใช้งานอันทรงพลังที่เรียนรู้ทั่วทั้งโมดูลอย่างไม่มีปัญหา มีขอบเขตสองประการ: การรักษาความลับ (ข้อมูลความปลอดภัยคือข้อมูลส่วนบุคคล + ข่าวกรององค์กร + แผนที่ช่องโหว่ ไม่ได้รับการเปิดเผยโดยไม่เปิดเผยตัวตน หากเป็นไปได้) และจริยธรรม/ความถูกต้องตามกฎหมาย (AI ใช้เฉพาะในระบบที่ได้รับอนุญาตเท่านั้น เพื่อวัตถุประสงค์ในการป้องกัน โดยได้รับอนุญาตเป็นลายลักษณ์อักษร) สิ่งที่ทำให้การป้องกันแตกต่างจากการโจมตีคืออำนาจและเจตนา ความสุจริตใจไม่ได้แทนที่อำนาจ และการอนุญาตเกี่ยวกับยานพาหนะก็ไม่ได้แทนที่ความถูกต้องตามกฎหมาย การตรวจสอบไม่เพียงแต่คุณภาพเท่านั้น แต่ยังเป็นพันธกรณีทางจริยธรรมที่ป้องกันการกล่าวหาโดยไม่มีหลักฐานและการตัดสินใจที่ผิดพลาด คำถามสามข้อก่อนแต่ละภารกิจ: ฉันได้รับอนุญาตหรือไม่ ฉันไม่เปิดเผยชื่อหรือไม่ วัตถุประสงค์นั้นเป็นการป้องกันหรือไม่

งานสมัคร

เลือกงานสามอย่างที่คุณได้เรียนรู้ในโมดูล (เช่น การวิเคราะห์บันทึก การวิเคราะห์ฟิชชิ่ง การสืบสวนเหตุการณ์) ใช้เทมเพลต “การควบคุมขอบเขตและการอนุญาต” และ “การควบคุมการลบข้อมูลระบุตัวตน” สำหรับแต่ละรายการ: คุณได้รับอนุญาตหรือไม่ คุณจะเปิดเผยข้อมูลอย่างไร มีวัตถุประสงค์เพื่อป้องกันแนวเขตหรือไม่ จากนั้นเขียนคำขอตัวอย่างที่เกินขีดจำกัด (ไม่ได้รับอนุญาต/การเฝ้าระวัง) และจัดทำเอกสารว่าเหตุใดจึงควรถูกปฏิเสธและช่องทางใดที่ถูกต้องด้วยเทมเพลต "การแจ้งเตือนขีดจำกัดด้านจริยธรรม"

รายการตรวจสอบ

• [ ] ในแต่ละบทบาท ฉันทำงานเฉพาะกับระบบที่ฉันได้รับอนุญาตเท่านั้น
• [ ] ฉันไม่เปิดเผยตัวตนและรื้อค้นข้อมูลก่อนที่จะมอบให้กับเครื่องมือภายนอก
• [ ] ฉันยืนยันว่าจุดประสงค์คือการป้องกัน ไม่ใช่การเฝ้าระวัง/การโจมตี
• [ ] ฉันไม่ได้แทนที่ความปรารถนาดีด้วยอำนาจหรือการอนุญาตของยานพาหนะโดยชอบด้วยกฎหมาย
• [ ] ฉันปฏิเสธคำขอสร้างโปรไฟล์/ติดตามส่วนตัว และนำพวกเขาไปยังช่องทางที่ถูกต้อง
• [ ] ฉันไม่ได้เปลี่ยนทุกการค้นพบ/IOC/CVE/การอ้างอิง/การอ้างสิทธิ์ให้เป็นการดำเนินการโดยไม่ตรวจสอบ
• [ ] เมื่อมีข้อสงสัย ฉันได้ปรึกษาผู้มีอำนาจ (กฎหมาย ฝ่ายบริหาร ผู้ควบคุมข้อมูล)