ขั้นตอนการทำงาน SOC แบบครบวงจร ระบบอัตโนมัติ (SOAR) การจัดการคุณภาพ และการตรวจสอบตนเอง

กำไร:

• ความสามารถในการออกแบบเวิร์กโฟลว์ SOC แบบ end-to-end ซึ่งประกอบด้วยการรวบรวม การตรวจจับ การคัดเลือก การสอบสวน การแทรกแซง การปรับปรุง การรายงาน และข้อเสนอแนะ การระบุตำแหน่งของปัญญาประดิษฐ์และประตูมนุษย์
• ความสามารถในการแยกระบบอัตโนมัติตามระดับความเสี่ยง (ขั้นตอนที่มีความเสี่ยงต่ำ/ย้อนกลับได้เป็นแบบอัตโนมัติ ขั้นตอนที่มีความเสี่ยงสูง/ย้อนกลับไม่ได้นั้นควบคุมโดยมนุษย์) และออกแบบเส้นทางการย้อนกลับสำหรับการดำเนินการอัตโนมัติแต่ละรายการ
• ความสามารถในการสร้างวงจรการตรวจสอบตนเองและฟีดแบ็กที่ตรวจวัดอัตราบวก/ลบลวง, MTTD/MTTR, ความแม่นยำของเอาท์พุต และดริฟท์แบบจำลองเป็นประจำ

หน่วยสุดท้ายนี้รวมส่วนต่างๆ ที่เราเรียนรู้แยกกันในโมดูล ได้แก่ การวิเคราะห์บันทึก การค้นหาภัยคุกคาม การจัดการช่องโหว่ การตอบสนองต่อเหตุการณ์ ฟิชชิ่ง การตรวจสอบโค้ด ข้อมูลอัจฉริยะ การรายงาน ไว้ในเวิร์กโฟลว์ตั้งแต่ต้นทางถึงปลายทางเดียว ในศูนย์ปฏิบัติการรักษาความปลอดภัยที่แท้จริง (SOC) ขั้นตอนเหล่านี้จะไม่ถูกตัดการเชื่อมต่อ สัญญาณเตือนจะกระตุ้นให้เกิดการตรวจสอบ ซึ่งจะกระตุ้นให้เกิดการตอบสนอง ซึ่งจะทำให้เกิดรายงาน ซึ่งกระตุ้นให้มีการแก้ไข ปัญญาประดิษฐ์มีส่วนเกี่ยวข้องกับทุกการเชื่อมโยงของห่วงโซ่นี้ แต่มนุษย์เป็นผู้กุมห่วงโซ่และตัดสินใจในทุกประตูที่สำคัญ

นอกจากนี้ หน่วยนี้ยังครอบคลุมหัวข้อสำคัญสองหัวข้อ สิ่งแรกคือระบบอัตโนมัติ: เมื่อ SOAR (Security Orchestration, Automation and Response - แพลตฟอร์มที่ทำงานและจัดระเบียบกระบวนการรักษาความปลอดภัยโดยอัตโนมัติ) และ AI รวมกัน ทั้งพลังและความเสี่ยงก็เพิ่มขึ้น จำเป็นต้องแยกแยะระหว่างสิ่งที่สามารถทำได้โดยอัตโนมัติและสิ่งที่ไม่สามารถลบออกจากการอนุมัติของมนุษย์ได้ ประการที่สอง การจัดการคุณภาพและการกำกับดูแลตนเอง: การดำเนินการรักษาความปลอดภัยที่ใช้ AI ไม่ได้ถูกตั้งค่าและละทิ้งเพียงครั้งเดียว มีการตรวจสอบ วัดผล ป้อนกลับ และแก้ไขอย่างต่อเนื่อง ระบบอัตโนมัติเพิ่มความเร็วแต่ไม่ได้ขจัดความรับผิดชอบ โปรแกรมรักษาความปลอดภัยจะยังคงปลอดภัยโดยการตรวจสอบตนเองเป็นประจำเท่านั้น

เวิร์กโฟลว์ SOC แบบครบวงจร

มาดูกันว่า AI มีบทบาทอย่างไร และใครเป็นผู้อนุมัติในวงจรเหตุการณ์ทั่วไป:

1. การรวบรวมและการตรวจสอบ: บันทึกจะไหลไปยัง SIEM; AI ลดเสียงรบกวน สรุป (อัตโนมัติความเสี่ยงต่ำ)
2. การตรวจจับและการเตือน: กฎ + ความผิดปกติ + การตรวจจับรูปแบบ AI (การผลิตอัตโนมัติ การแยกสารอยู่ในมนุษย์)
3. การคัดแยก: สัญญาณเตือนเป็นค่าบวกจริงหรือเท็จ AI แสดงเหตุผลและลำดับความสำคัญ นักวิเคราะห์ยืนยัน (ประตูมนุษย์)
4. การสืบสวน: AI รวบรวมหลักฐาน กำหนดไทม์ไลน์ แสดงรายการสาเหตุที่แท้จริง นักวิเคราะห์ยืนยันด้วยหลักฐานดิบ (ประตูมนุษย์)
5. การแทรกแซง: การแยก การล็อค การทำความสะอาด AI ให้ทางเลือก/อิทธิพล การตัดสินใจอยู่ในมือของนักวิเคราะห์ที่ได้รับอนุญาต (ประตูมนุษย์วิกฤต)
6. การแก้ไข: การปิดช่องโหว่ การกำจัดสาเหตุที่แท้จริง ร่างแผน AI การอนุมัติในการจัดการการเปลี่ยนแปลง (มนุษย์+กระบวนการ)
7. การรายงาน: AI เขียนร่าง ปรับให้เข้ากับผู้ชม ผู้เชี่ยวชาญตรวจสอบและลงนามหลักฐาน (ประตูมนุษย์)
8. การเรียนรู้บทเรียนและข้อเสนอแนะ: AI แยกรูปแบบ; อัปเดตกฎการตรวจจับทีมและ Playbooks (มนุษย์+กระบวนการ)

กฎของห่วงโซ่นี้: ขั้นตอนที่มีความเสี่ยงต่ำ ทำซ้ำ และย้อนกลับได้สามารถดำเนินการได้โดยอัตโนมัติ ขั้นตอนที่มีความเสี่ยงสูง ไม่สามารถย้อนกลับได้ และต้องอาศัยการตัดสินผ่านประตูของมนุษย์

ตารางการตัดสินใจอัตโนมัติ

ขั้นตอน

เป็นแบบอัตโนมัติได้ไหม

สภาพ

การอนุมัติของมนุษย์

การรวบรวมบันทึกการทำให้เป็นมาตรฐาน

ใช่แล้ว

—

ไม่จำเป็น

การเพิ่มคุณค่าสัญญาณเตือน (การค้นหา IOC)

ใช่

แหล่งที่มามีความน่าเชื่อถือ

มันถูกตรวจสอบ

การกำจัดผลบวกลวง (รู้ดี)

บางส่วน

กฎที่เข้มงวด

ตรวจสอบโดยการสุ่มตัวอย่าง

กักกันอีเมลฟิชชิ่ง

บางส่วน

ความแม่นยำสูง

ทบทวน + เส้นทางย้อนกลับ

ล็อคบัญชีโดยอัตโนมัติ

ระวัง

เกณฑ์ที่ชัดเจนเท่านั้น

การตรวจสอบโดยมนุษย์อย่างรวดเร็ว

แยกเซิร์ฟเวอร์

โดยทั่วไปไม่มี

ยกเว้นโครงสร้างพื้นฐานที่สำคัญ

บังคับการตัดสินใจของมนุษย์

การปะแก้ (การผลิต)

ไม่

—

การทดสอบ + การจัดการการเปลี่ยนแปลง

รายงาน/ประกาศอย่างเป็นทางการ

ไม่

—

ผู้เชี่ยวชาญ+กฎหมาย

การจัดการคุณภาพและการตรวจสอบตนเอง

การดำเนินการรักษาความปลอดภัยที่ขับเคลื่อนด้วย AI เป็นระบบที่มีชีวิต ประสิทธิภาพเปลี่ยนแปลงไปตามกาลเวลา (การโจมตีใหม่ สภาพแวดล้อมที่เปลี่ยนแปลง การอัปเดตโมเดล) จำเป็นต้องมีการวัดอย่างสม่ำเสมอเพื่อความปลอดภัย:

• อัตราบวกลวงและลบลวง: AI ส่งสัญญาณเตือนโดยเปล่าประโยชน์บ่อยแค่ไหน และพลาดภัยคุกคามที่แท้จริงบ่อยแค่ไหน มีการเฝ้าดูผลลบลวงเป็นพิเศษเพราะว่าสิ่งเหล่านี้ก่อให้เกิดอันตรายอย่างเงียบๆ
• MTTD/MTTR: ​​​​เวลาการตรวจจับและการตอบสนองโดยเฉลี่ยดีขึ้นหรือไม่
• ความแม่นยำของเอาท์พุต AI: จากการสุ่มตัวอย่าง สรุป/ข้อค้นพบ/การอ้างอิงของ AI ผ่านการตรวจสอบความถูกต้องมากน้อยเพียงใด
• ความปลอดภัยของระบบอัตโนมัติ: การดำเนินการอัตโนมัติทำงานตามที่คาดไว้ มีทริกเกอร์ที่ผิดพลาดหรือไม่ การย้อนกลับทำงานหรือไม่
• วงจรคำติชม: เหตุการณ์จริงที่พบจะกลายเป็นกฎการตรวจจับใหม่ และการเตือนที่เพิ่มขึ้นกลายเป็นรายการข้อยกเว้นหรือไม่

เงื่อนไข: MTTD (เวลาเฉลี่ยในการตรวจจับ) วงจรป้อนกลับคือเมื่อการดำเนินการเรียนรู้จากผลลัพธ์ของตัวเองและอัปเดตกฎของมัน Model drift คือเมื่อ AI ล้าสมัยและประสิทธิภาพลดลงเมื่อสภาพแวดล้อมเปลี่ยนแปลง การตรวจสอบตนเองเป็นการทบทวนกระบวนการของทีมอย่างมีวิจารณญาณและสม่ำเสมอ

มินิเคสสามอัน

กรณีที่ 1 — ระบบอัตโนมัติที่ถูกต้อง SOC ดำเนินการขั้นตอน "เพิ่มคุณค่าและจัดลำดับความสำคัญของการแจ้งเตือนโดยอัตโนมัติซึ่งตรงกับ IOC ที่เป็นอันตรายที่ทราบและอยู่ในประเภทที่มีความเสี่ยงต่ำ"; แต่จะคงขั้นตอน "การแยกเซิร์ฟเวอร์" ไว้สำหรับการอนุมัติจากมนุษย์เสมอ ผลลัพธ์: นักวิเคราะห์ไม่ต้องรับการแจ้งเตือนตามปกติ 400 รายการต่อวัน ทำให้มีเวลามากขึ้นสำหรับการสืบสวนจริง ปล่อยให้การตัดสินใจที่สำคัญขึ้นอยู่กับมนุษย์ ส่วนด้านขวาของโซ่เป็นแบบอัตโนมัติ ส่วนที่ถูกต้องคือมนุษย์

กรณีที่ 2 — ระบบอัตโนมัติส่งผลย้อนกลับ SOC อื่นกำหนดกฎ "ล็อคบัญชีอัตโนมัติในการเข้าสู่ระบบที่น่าสงสัย" อย่างกว้างๆ วันหนึ่ง เนื่องจากข้อผิดพลาดในการกำหนดค่า กฎจึงล็อกผู้ใช้ที่ถูกต้องตามกฎหมาย 1,200 รายในคราวเดียวและงานก็หยุดลง อีกทั้งไม่ได้กำหนดเส้นทางการกู้คืน บทเรียน: ระบบอัตโนมัติที่มีผลกระทบสูงต้องมีเกณฑ์ที่เข้มงวด การปรับใช้แบบค่อยเป็นค่อยไป และเส้นทางย้อนกลับ ระบบอัตโนมัติควรสามารถย้อนกลับได้และตรวจสอบผ่านการควบคุมตนเอง

กรณีที่ 3 — การเลื่อนหลุดที่เกิดจากการควบคุมตนเอง ในการตรวจสอบตนเองเป็นเวลาสามเดือน ทีมงานสังเกตเห็นว่าความแม่นยำในการตรวจจับฟิชชิ่งของ AI ลดลง: พลาดคลื่นฟิชชิ่งใหม่ เนื่องจากไม่เหมาะกับรูปแบบเก่า (การเลื่อนรูปแบบ) ทีมรวบรวมตัวอย่าง อัปเดตกฎการตรวจจับ และรีเฟรชบริบทที่กำหนดให้กับ AI หากปราศจากการควบคุมตนเองอย่างสม่ำเสมอ การหลีกเลี่ยงอย่างเงียบๆ นี้อาจดำเนินต่อไปเป็นเวลาหลายเดือน บทเรียน: เพียงเพราะว่าการแสดงดีเพียงครั้งเดียว มันก็ไม่ได้ดีเสมอไป การวัดผลและการตอบรับถือเป็นสิ่งสำคัญ

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

พรอมต์ที่อ่อนแอ:

ทำให้ SOC ของเราเป็นอัตโนมัติโดยสมบูรณ์ และปล่อยให้ AI จัดการทุกอย่าง

คำขอนี้ต้องการระบบอัตโนมัติโดยไม่มีการเลือกปฏิบัติต่อความเสี่ยง ไม่สนใจประตูของมนุษย์ และไม่พิจารณาการย้อนกลับและการควบคุม หากนำไปใช้ การตัดสินใจที่มีความเสี่ยงสูงจะกลายเป็นอัตโนมัติโดยไม่มีการควบคุมดูแล และกลายเป็นหายนะตั้งแต่ความผิดพลาดครั้งแรก

พรอมต์อันทรงพลัง:

บทบาทของคุณ: ที่ปรึกษาในการออกแบบกระบวนการ SOC [รายการ] ขั้นตอนวงจรชีวิตของเหตุการณ์เหล่านี้เป็นสามขั้นตอนตามระดับความเสี่ยง: (A) อัตโนมัติเต็มรูปแบบ (ความเสี่ยงต่ำ ย้อนกลับได้ ทำซ้ำได้) (B) AI แนะนำ + อนุมัติโดยมนุษย์ (C) การตัดสินใจโดยมนุษย์เสมอ (มีความเสี่ยงสูง ไม่สามารถย้อนกลับได้) แนะนำเส้นทางการย้อนกลับที่จำเป็นและตัวชี้วัดการติดตามสำหรับแต่ละ (A) และ (B) นอกจากนี้ ร่างรายการตรวจสอบการตรวจสอบตนเองรายไตรมาสด้วย: อัตราบวก/ลบลวง, MTTD/MTTR, การสุ่มตัวอย่างความแม่นยำเอาต์พุตของ AI, สัญญาณของการเบี่ยงเบนของรูปแบบ

ความต้องการที่แข็งแกร่งจะแยกระบบอัตโนมัติตามระดับความเสี่ยง จำเป็นต้องมีการย้อนกลับและการตรวจสอบ และสร้างกรอบการทำงานการควบคุมตนเอง

เทมเพลตพร้อมท์ที่คัดลอกได้

เทมเพลตการแยกความเสี่ยงแบบอัตโนมัติ แยกขั้นตอนเวิร์กโฟลว์ด้านความปลอดภัยเหล่านี้ออกเป็นสามขั้นตอน: (A) ความเหมาะสมแบบอัตโนมัติเต็มรูปแบบ (B) แนะนำให้มนุษย์อนุมัติ (C) การตัดสินใจโดยมนุษย์เสมอ เขียนเหตุผล การย้อนกลับได้ และผลกระทบทางธุรกิจสำหรับแต่ละขั้นตอน แนะนำเส้นทางย้อนกลับบังคับสำหรับขั้นตอนที่มีผลกระทบสูง ขั้นตอน: [รายการ]

เทมเพลตการออกแบบการย้อนกลับสำหรับการดำเนินการอัตโนมัติ [เช่น การล็อกบัญชี] เสนอการออกแบบที่ปลอดภัย: เกณฑ์ทริกเกอร์ (แคบลง) การใช้งานแบบค่อยเป็นค่อยไป ขั้นตอนการย้อนกลับทริกเกอร์ที่ผิดพลาด คำเตือน และจุดตรวจสอบโดยมนุษย์ การออกแบบเพื่อหลีกเลี่ยงระบบอัตโนมัติที่มองไม่เห็น การดำเนินการ: [เขียน]

เทมเพลตรายการตรวจสอบการตรวจสอบตนเอง ร่างรายการตรวจสอบการตรวจสอบตนเองรายไตรมาสสำหรับ SOC ที่ขับเคลื่อนด้วย AI: อัตราบวก/ลบลวง, อคติ MTTD/MTTR, การสุ่มตัวอย่างความแม่นยำเอาต์พุตของ AI, ทริกเกอร์เท็จอัตโนมัติ, สัญญาณของการเบี่ยงเบนของรูปแบบ, การดำเนินการวนความคิดเห็น, การปฏิบัติตามความเป็นส่วนตัว/การทำให้ไม่เปิดเผยตัวตน สำหรับแต่ละรายการ ให้เขียนว่าจะวัดอย่างไร

เทมเพลตลูปผลตอบรับวาดสิ่งที่เรียนรู้จากเหตุการณ์จริง / สัญญาณเตือนที่ล้มเหลว: (1) รูปแบบที่จะกลายเป็นกฎการตรวจจับใหม่ (2) ผลบวกลวงที่จะถูกเพิ่มลงในรายการข้อยกเว้น (3) ขั้นตอน Playbook ที่จะได้รับการอัปเดต (4) บริบทใหม่ที่จะมอบให้กับ AI สรุปเหตุการณ์/การเตือน: [วาง]

ข้อผิดพลาดทั่วไป

• ดำเนินการขั้นตอนที่มีความเสี่ยงสูงโดยอัตโนมัติ ขั้นตอนที่ไม่สามารถย้อนกลับได้ เช่น การแยกเซิร์ฟเวอร์ การแพตช์การผลิต การแจ้งเตือนอย่างเป็นทางการ จะไม่ถูกลบออกจากประตูของมนุษย์
• ไม่คิดหาทางเอาคืน เป็นไปได้ที่การดำเนินการอัตโนมัติใดๆ จะทริกเกอร์ไม่ถูกต้อง ระบบอัตโนมัติโดยไม่ต้องเลิกทำและยืนยันถือเป็นอันตราย
• ตั้งค่าและลืม ประสิทธิภาพของ AI เปลี่ยนไปตามสภาพแวดล้อมที่เปลี่ยนแปลง หากไม่มีการตรวจสอบและวัดผลด้วยตนเองอย่างสม่ำเสมอ การหลีกเลี่ยงอย่างเงียบๆ ก็จะสะสม
• เพียงติดตามผลบวกลวง ผลลบลวง (ภัยคุกคามที่แท้จริงที่พลาดไป) มีอันตรายมากกว่าแต่มองเห็นได้ยากกว่า ดูเป็นการส่วนตัวครับ.
• ละเลยข้อเสนอแนะ หากเหตุการณ์ที่ตรวจพบไม่กลายเป็นกฎใหม่ และการเตือนที่ล้มเหลวไม่กลายเป็นข้อยกเว้น การดำเนินการจะไม่เรียนรู้และทำข้อผิดพลาดเดิมซ้ำ

คำแนะนำ: คำถามสำคัญในการตัดสินใจเกี่ยวกับระบบอัตโนมัติ: “การดำเนินการนี้สามารถยกเลิกได้หรือไม่ หากถูกกระตุ้นอย่างไม่ถูกต้อง และผลกระทบทางธุรกิจคืออะไร” หากคำตอบคือ “ยกเลิกได้ง่าย มีผลกระทบน้อย” ให้ดำเนินการโดยอัตโนมัติ หาก "ไม่สามารถย้อนกลับได้หรือมีผลกระทบสูง" ให้เก็บไว้ที่ประตูมนุษย์

ข้อควรระวัง: ระบบอัตโนมัติไม่ได้ขจัดความรับผิดชอบ แต่เพียงเพิ่มความเร็วเท่านั้น การกระทำอัตโนมัติที่คิดไม่ถึงทำให้เกิดความเสียหายได้รวดเร็วและกว้างขวางเกินกว่าที่มนุษย์จะทำได้ ระบบอัตโนมัติทุกเครื่องล้อมรอบด้วยเกณฑ์ที่แคบ เส้นทางการย้อนกลับ และการตรวจสอบอย่างสม่ำเสมอ ความรับผิดชอบสูงสุดอยู่ที่มนุษย์เสมอ

โดยสรุป

หน่วยนี้รวมทุกส่วนของโมดูลไว้ในเวิร์กโฟลว์ SOC แบบ end-to-end: การรวบรวม การตรวจจับ การคัดเลือก การสอบสวน การตอบสนอง การแก้ไข การรายงาน และข้อเสนอแนะ AI มีส่วนเกี่ยวข้องในทุกการเชื่อมโยง แต่เป็นมนุษย์ที่กุมห่วงโซ่และตัดสินใจในทุกประตูที่สำคัญ ระบบอัตโนมัติ (SOAR + AI) เพิ่มพลัง กฎมีความชัดเจน: ขั้นตอนที่มีความเสี่ยงต่ำ ย้อนกลับได้ และทำซ้ำๆ จะกลายเป็นขั้นตอนอัตโนมัติ ขั้นตอนที่มีความเสี่ยงสูง และไม่สามารถย้อนกลับได้ผ่านประตูของมนุษย์ และระบบอัตโนมัติทุกรายการมีวิธีที่จะเลิกทำ ในที่สุด โปรแกรมความปลอดภัยที่ขับเคลื่อนด้วย AI ก็ใช้งานได้จริง: ผลบวกลวง/ผลลบ MTTD/MTTR ความแม่นยำของเอาท์พุต และดริฟท์ของรูปแบบจะถูกวัดเป็นประจำ สิ่งที่ค้นพบจะกลายเป็นกฎเกณฑ์และคู่มือการเล่นในลูปคำติชม ระบบอัตโนมัติช่วยเร่งความรับผิดชอบ ไม่ใช่เอาความรับผิดชอบออกไป การควบคุมตนเองทำให้ความปลอดภัยยังคงอยู่

งานสมัคร

เขียนวงจรเหตุการณ์ขององค์กรของคุณเอง (หรือ SOC ตัวอย่าง) จำแนกแต่ละขั้นตอนเป็น A/B/C ด้วยเทมเพลต “การแยกความเสี่ยงอัตโนมัติ” และรับการออกแบบอัตโนมัติที่ปลอดภัยด้วยเทมเพลต “การออกแบบย้อนกลับ” สำหรับขั้นตอน “ผลกระทบสูง” อย่างน้อยหนึ่งขั้นตอน จากนั้นสร้างรายการตรวจสอบรายไตรมาสด้วยเทมเพลต "รายการตรวจสอบการตรวจสอบตนเอง" และกำหนดวิธีที่คุณจะวัดผลแต่ละเมตริกในสภาพแวดล้อมของคุณ

รายการตรวจสอบ

• [ ] ฉันแบ่งแต่ละขั้นตอนของวงจรชีวิตของเหตุการณ์ออกเป็นระดับความเสี่ยง A/B/C
• [ ] ฉันก้าวที่มีความเสี่ยงสูงและไม่อาจย้อนกลับได้ไว้ที่ประตูของมนุษย์
• [ ] ฉันออกแบบเกณฑ์ที่แคบและเลิกทำเส้นทางสำหรับการดำเนินการอัตโนมัติแต่ละรายการ
• [ ] ฉันได้วางแผนที่จะติดตามอัตราผลบวกลวงและโดยเฉพาะอย่างยิ่งผลลบลวง
• [ ] ฉันวางแผนที่จะวัดความแม่นยำเอาต์พุต MTTD/MTTR และ AI เป็นประจำ
• [ ] ฉันจัดทำรายการตรวจสอบการติดตามตนเองรายไตรมาสสำหรับการเบี่ยงเบนของรูปแบบ
• [ ] ฉันเชื่อมโยงเหตุการณ์ที่พบและส่งสัญญาณเตือนไปยังวงจรป้อนกลับ

การสอบโมดูล

1. AI คัดแยก SIEM ตั้งค่าสถานะสัญญาณเตือนว่า 'มีลำดับความสำคัญต่ำ มีแนวโน้มเป็นผลบวกลวง' และเลื่อนไปอยู่ด้านล่างสุดของรายการ นักวิเคราะห์ควรทำอย่างไรเกี่ยวกับสัญญาณเตือนนี้

• A) ยังคงตรวจสอบสัญญาณเตือนอย่างอิสระและยืนยันด้วยหลักฐานดิบ นักวิเคราะห์ทำการตัดสินใจปิดและบันทึก✔
• B) ปัญญาประดิษฐ์จะปิดการเตือนโดยอัตโนมัติโดยไม่ต้องตรวจสอบ เพราะมันบอกว่ามีลำดับความสำคัญต่ำ
• C) โอนสัญญาณเตือนไปยังกะถัดไปตามที่เป็นอยู่
• D) เพียงดูบทสรุปที่ได้รับจากปัญญาประดิษฐ์และส่งรายงาน

คำอธิบาย: การจัดลำดับความสำคัญของ AI เป็นเพียงคำแนะนำ ไม่ใช่การวินิจฉัย ธง 'ลำดับความสำคัญต่ำ' อาจครอบคลุมการโจมตีจริง (ผลลบลวง) นักวิเคราะห์ยังต้องตรวจสอบการแจ้งเตือนอย่างอิสระ ตรวจสอบด้วยหลักฐานดิบ และตัดสินใจปิดการแจ้งเตือนด้วยตนเอง เอาต์พุต AI เชิงลบไม่ได้รับประกันว่า 'ไม่มีภัยคุกคาม'

2. AI ระบุว่าการโจมตีจริงเป็น 'ปกติ' มีความเสี่ยงอะไรบ้าง และนักวิเคราะห์เชื่อถือสิ่งนี้และผ่อนคลายการวิเคราะห์ของเขาเอง

• A) ผลบวกลวงและความล้าของสัญญาณเตือนเท่านั้น
• B) อคติเชิงลบและอัตโนมัติ (พึ่งพา AI มากเกินไป) ✔
• C) ขาดแหล่งบันทึกเท่านั้น
• D) ข้อผิดพลาดกฎ SIEM เท่านั้น

คำอธิบาย: มันเป็นผลลบลวงหากโมเดลพลาดภัยคุกคามที่แท้จริง อคติของระบบอัตโนมัติเกิดขึ้นเมื่อนักวิเคราะห์เชื่อถือปัญญาประดิษฐ์มากเกินไป และละทิ้งการตรวจสอบโดยอิสระ เมื่อทั้งสองรวมกัน เหตุผลแห่งการควบคุมของมนุษย์จะหายไป และการโจมตีสามารถข้ามไปได้โดยสิ้นเชิง นั่นเป็นเหตุผลว่าทำไมจึงมีการตรวจสอบพื้นที่ที่ปัญญาประดิษฐ์เรียกว่า 'สะอาด' ด้วย

3. AI แจ้งว่า 'CVE-2024-88888, CVSS 9.8, แพทช์ทันที' ในระหว่างการคัดแยก นักวิเคราะห์ควรทำอะไรเป็นอันดับแรก?

• A) พิจารณา CVE ที่น่าเชื่อถือ และเริ่มแผนการแพตช์ทันที
• B) เนื่องจาก CVSS เป็นเวอร์ชัน 9.8 จึงให้ความสำคัญเป็นอันดับแรกโดยไม่ต้องพิจารณาช่องโหว่อื่นๆ
• C) ตรวจสอบหมายเลข CVE และคะแนนในบันทึก NVD/ผู้ขาย ✔ หากไม่มีบันทึกก็จะไม่ถูกระบุโดยรู้ว่าอาจเป็นของปลอม
• D) หากไม่มีการตรวจสอบ CVE ผู้ดูแลระบบจะเขียนลงในรายงานว่าเป็น 'ภัยคุกคามร้ายแรง'

คำอธิบาย: โมเดลภาษาสามารถใส่หมายเลขและคะแนน CVE ที่ไม่มีอยู่ได้อย่างคล่องแคล่ว (ภาพหลอน) นักวิเคราะห์จะต้องตรวจสอบ CVE ในบันทึก NVD/ผู้ขาย และยืนยันความถูกต้องและคะแนนก่อนที่จะดำเนินการตามกำหนดเวลาการแพตช์ CVE ที่ไม่ได้รับการยืนยันจะเชื่อมต่อกับทรัพยากรก่อน ไม่เช่นนั้นทีมงานจะเสียเวลาไล่ตามแพทช์ที่ไม่มีอยู่จริง

4. เพื่อเร่งการตรวจสอบเหตุการณ์ ผู้เชี่ยวชาญจะวางบันทึกไฟร์วอลล์ดิบพร้อมกับ IP ภายใน ชื่อผู้ใช้ และชื่อเซิร์ฟเวอร์ VPN จริงลงในเครื่องมือ AI ที่เปิดเผยต่อสาธารณะ ปัญหาหลักที่นี่คืออะไร?

• ก) AI ไม่สามารถอ่านรูปแบบบันทึกได้ ดังนั้นการวิเคราะห์จึงไม่มีประโยชน์
• B) หากบันทึกยาวเกินไป โมเดลจะทำให้โมเดลช้าลง
• C) บันทึกไฟร์วอลล์ไม่เหมาะสำหรับการวิเคราะห์อยู่แล้ว
• D) IP จริง ชื่อผู้ใช้ และชื่อเซิร์ฟเวอร์จะถูกแชร์โดยไม่มีการระบุชื่อ นี่เป็นทั้งการละเมิด KVKK และการรั่วไหลของแผนที่เครือข่ายขององค์กร ✔

คำอธิบาย: ข้อมูลความปลอดภัยเป็นทั้งข้อมูลส่วนบุคคล (ผู้ใช้, IP) และข้อมูลอัจฉริยะขององค์กรที่เปิดเผยพื้นผิวการโจมตีขององค์กร (โทโพโลยีเครือข่าย ชื่อเซิร์ฟเวอร์) การให้สิ่งนี้แก่เครื่องมือภายนอกโดยไม่เปิดเผยชื่อถือเป็นการละเมิด KVKK และเปิดเผยแผนที่เครือข่ายที่จะเป็นประโยชน์ต่อผู้โจมตี ขั้นแรก ค่าจริงจะถูกปกปิดด้วยตัวยึดตำแหน่งที่สอดคล้องกัน

5. อะไรที่ทำให้การล่าภัยคุกคามถือว่าได้รับการออกแบบมาอย่างดี

• A) เริ่มต้นด้วยสมมติฐานที่เป็นรูปธรรมและทดสอบได้ และร่องรอยที่พบได้รับการยืนยันจากหลักฐานดิบ ✔
• B) เริ่มต้นด้วยการบอกปัญญาประดิษฐ์ว่า 'ค้นหาว่ามีผู้โจมตีในเครือข่ายของฉันหรือไม่'
• C) ประกาศทุกเหตุการณ์ผิดปกติ/หายากที่พบโดยอัตโนมัติว่าเป็นการโจมตี
• D) ใช้งานได้เฉพาะเมื่อมีสัญญาณเตือนมาถึงเท่านั้น แต่จะไม่ทำงานเชิงรุก

คำอธิบาย: การตามล่าภัยคุกคามที่ดีไม่ได้เริ่มต้นด้วยการแจ้งเตือน แต่ด้วยสมมติฐานที่เป็นรูปธรรมและทดสอบได้ซึ่งอาจเป็นจริงหรือไม่ก็ได้ (เช่น 'บัญชี X เชื่อมต่อกับ IP ภายในมากกว่า 50 รายการในช่วงเวลานอกเวลาทำการหรือไม่') คำถามที่คลุมเครือ เช่น 'มีอะไรไม่ดีบนเครือข่ายของฉัน' ไม่สามารถทดสอบได้ และปล่อยให้ AI เดาไป ร่องรอยที่พบไม่ถือเป็นภัยคุกคามจนกว่าจะได้รับการตรวจสอบด้วยหลักฐานดิบ

6. ช่องโหว่มีคะแนน CVSS 9.1 บนเซิร์ฟเวอร์ทดสอบแบบแยกบนเครือข่ายภายใน ในรายการเดียวกัน CVSS 7.5 บนเซิร์ฟเวอร์ที่เปิดอินเทอร์เน็ต แต่มีช่องโหว่อื่นในรายการ KEV (ซึ่งถูกนำไปใช้จริง) การจัดลำดับความสำคัญที่ถูกต้องคืออะไร?

• A) อันที่มี CVSS สูงสุด (9.1) จะถูกแพทช์ก่อนเสมอ
• B) ช่องโหว่ของ 7.5 บนอินเทอร์เน็ตและรายการ KEV ถูกนำไปข้างหน้า CVSS ไม่ใช่เพียงเกณฑ์เดียว การเปิดเผย และการละเมิดที่เกิดขึ้นจริงเท่านั้นที่ถือเป็นปัจจัยชี้ขาด ✔
• C) ทั้งสองได้รับการแก้ไขในเวลาเดียวกัน และด้วยลำดับความสำคัญเท่ากัน จึงไม่จำเป็นต้องแยกแยะ
• D) ไม่มีการแก้ไขเนื่องจากมีช่องโหว่ในเซิร์ฟเวอร์ทดสอบ

คำอธิบาย: CVSS ไม่ได้ตั้งค่าลำดับความสำคัญเพียงอย่างเดียว ความเสี่ยงที่แท้จริงถูกกำหนดโดย EPSS (ความน่าจะเป็นของการแสวงหาผลประโยชน์), KEV (การแสวงหาผลประโยชน์จริง) และบริบทขององค์กร (การเปิดเผย การวิพากษ์วิจารณ์ การควบคุมการชดเชย) ช่องโหว่ที่เปิดเผยต่ออินเทอร์เน็ตและถูกเอารัดเอาเปรียบ (KEV) ช่วยป้องกันช่องโหว่ CVSS สูงที่แยกเดี่ยวและมีโอกาสต่ำ

7. ในการตอบสนองต่อเหตุการณ์ ปัญญาประดิษฐ์แจ้งว่า 'การรับส่งข้อมูลที่มาจาก IC_HOST_7 น่าสงสัย ให้แยกเซิร์ฟเวอร์นี้ออก' IC_HOST_7 เป็นเซิร์ฟเวอร์การตรวจสอบความถูกต้องหลักของสถาบัน นักวิเคราะห์ควรทำอย่างไร?

• ก) ปัญญาประดิษฐ์จะแยกเซิร์ฟเวอร์ทันทีเนื่องจากมีการระบุเช่นนั้น
• B) ปล่อยให้การตัดสินใจแยกเป็นหน้าที่ของปัญญาประดิษฐ์ทั้งหมด
• C) ขั้นแรกให้ประเมินผลกระทบทางธุรกิจและสาเหตุของการรับส่งข้อมูล มันไม่ได้แยกโครงสร้างพื้นฐานที่สำคัญโดยไม่วัดผลกระทบและทำการตัดสินใจในฐานะนักวิเคราะห์ ✔
• D) แยกเซิร์ฟเวอร์แล้วลบบันทึกทั้งหมด

คำอธิบาย: การแยกตัวเป็นการตัดสินใจที่สำคัญซึ่งยากจะย้อนกลับและอาจนำไปสู่การหยุดชะงักทางธุรกิจ ไม่สามารถถ่ายโอนไปยังปัญญาประดิษฐ์ได้ การแยกเซิร์ฟเวอร์การรับรองความถูกต้องสามารถหยุดพนักงานทั้งหมดจากการเข้าสู่ระบบได้ นักวิเคราะห์จะต้องประเมินผลกระทบทางธุรกิจและสาเหตุของการรับส่งข้อมูลก่อน (อาจเป็นธุรกรรมที่ถูกต้องตามกฎหมาย) ทำการตัดสินใจด้วยตนเอง ข้อเสนอแนะของปัญญาประดิษฐ์ไม่ควรถูกนำมาใช้เป็นคำสั่ง

8. ในเหตุการณ์แรนซัมแวร์ ทีมงานต้องการสร้างเครื่องที่ได้รับผลกระทบขึ้นมาใหม่เพื่อทำความสะอาดอย่างรวดเร็ว แต่มีหลักฐานทางนิติเวช (หน่วยความจำทิ้ง, เครื่องมือโจมตี) บนเครื่องที่ยังไม่ได้รวบรวม แนวทางที่ถูกต้องคืออะไร?

• A) ติดตั้งเครื่องใหม่ทันที หลักฐานไม่เกี่ยวข้อง
• B) ปัญญาประดิษฐ์ถูกขอให้ 'ทำความสะอาดเร็วที่สุด' และคำสั่งจะถูกนำไปใช้แบบสุ่มสี่สุ่มห้า
• ค) ปิดเครื่องแล้วทิ้งเพราะมีหลักฐานอยู่ในบันทึกอยู่แล้ว
• D) ขั้นแรก ให้ถ่ายภาพทางนิติเวชและการถ่ายโอนข้อมูลหน่วยความจำและหลักฐานจะถูกเก็บรักษาไว้ จากนั้นจึงดำเนินการทำความสะอาด/กู้คืน ✔

คำอธิบาย : ความเร็วของการกู้คืนไม่สามารถสำคัญกว่าการเก็บรักษาหลักฐาน การติดตั้งเครื่องใหม่โดยไม่รวบรวมหลักฐานจะทำลายห่วงโซ่การควบคุมตัวและทำให้กระบวนการพิจารณาคดีพิการ ขั้นแรก ให้ถ่ายภาพทางนิติเวชและการถ่ายโอนข้อมูลหน่วยความจำ จากนั้นจึงดำเนินการทำความสะอาด/กู้คืน ขั้นตอนทางนิติวิทยาศาสตร์ไม่ได้มอบหมายให้กับ AI

9. อะไรคือชั้นการตรวจสอบทางเทคนิคที่น่าเชื่อถือที่สุดเมื่อวิเคราะห์อีเมลฟิชชิ่งที่น่าสงสัย และควรได้รับการยืนยันอย่างไร

• A) SPF/DKIM/DMARC ส่งผลให้มีส่วนหัวของอีเมล ยืนยันจากชื่อเรื่องดิบ ไม่ใช่จากสรุป AI ✔
• B) สีและแบบอักษรของอีเมล ตัดสินใจโดยการออกแบบภาพ
• C) คลิกลิงก์ที่น่าสงสัยในระบบถ่ายทอดสดและดูหน้าที่เปิดขึ้นมา
• D) ปัญญาประดิษฐ์ที่บอกว่า 'ฟิชชิ่ง' เพียงอย่างเดียวก็เป็นหลักฐานที่เพียงพอ

คำอธิบาย: SPF/DKIM/DMARC ส่งผลให้ส่วนหัวของอีเมลเป็นตัวบ่งชี้ที่ชัดเจนว่าอีเมลมาจากโดเมนที่อ้างสิทธิ์จริงหรือไม่ หากทั้งสามล้มเหลวและผู้ส่งปลอมแปลงโดเมน ความสงสัยก็จะรุนแรงขึ้น อย่างไรก็ตาม สิ่งนี้ควรได้รับการยืนยันจากชื่อดิบ ไม่ใช่จากบทสรุปของ AI นอกจากนี้ ลิงก์ที่น่าสงสัยจะไม่ถูกคลิกบนระบบที่ใช้งานจริง

10. ในการตรวจสอบโค้ด AI แนะนำการแก้ไขช่องโหว่ XSS และบอกว่า 'ปิดช่องโหว่' นักวิเคราะห์/นักพัฒนาควรทำอย่างไร?

• A) พิจารณาการแก้ไขที่เชื่อถือได้และนำไปใช้จริงโดยตรง
• B) ตรวจสอบการแก้ไข ยืนยันว่าได้ปิดช่องโหว่จริง ๆ และไม่ทำให้เกิดช่องโหว่/จุดบกพร่องใหม่ และเขียนการทดสอบ จากนั้นจึงจะเข้าสู่การจัดเก็บ✔
• C) เนื่องจากเขาไม่แน่ใจ เขาจึงเขียนไฟล์ทั้งหมดใหม่เป็นปัญญาประดิษฐ์และใช้งานมัน
• D) ใช้การแก้ไขแต่ผ่านโดยไม่ต้องเขียนการทดสอบใดๆ

คำอธิบาย: การแก้ไขที่แนะนำโดย AI นั้นไม่ปลอดภัยโดยอัตโนมัติ อาจไม่สามารถปิดช่องโหว่ได้อย่างสมบูรณ์ อาจทำความสะอาดเลเยอร์ที่ไม่ถูกต้อง หรืออาจทำให้เกิดช่องโหว่/ข้อผิดพลาดในการทำงานใหม่ แต่ละแพตช์จะได้รับการตรวจสอบ ประเมินว่าปิดช่องโหว่ได้จริงหรือไม่ และจะทำให้เกิดปัญหาใหม่ ๆ หรือไม่ และมีการเขียนกรณีทดสอบทั้งเชิงบวกและเชิงลบ เท่านั้นจึงจะเข้าโกดังได้

11. เมื่อวิเคราะห์การโจมตี ปัญญาประดิษฐ์กล่าวว่า 'นี่เป็นผลงานของกลุ่ม APT-Dark Eagle แน่นอน' แนวทางที่ถูกต้องในแง่ของข่าวกรองภัยคุกคามคืออะไร?

• ก) ยอมรับการอ้างอิงตามที่เป็นอยู่และเขียนไว้ในรายงานว่าเป็น 'ผู้กระทำผิดที่ชัดเจน'
• B) เขาสร้างการป้องกันทั้งหมดโดยอิงจากกลุ่มนั้นโดยไม่ต้องตั้งคำถามกับชื่อกลุ่มเลย
• C) ใช้ภาษาที่ 'สอดคล้องกับเทคนิค' แทนที่จะระบุแหล่งที่มาที่แม่นยำ ตรวจสอบกลุ่มในแหล่งที่มาที่ทราบ และคำนึงถึงความเป็นไปได้ของการปลอมแปลง ✔
• D) การอ้างอิงไม่จำเป็นเสมอไป และไม่ได้นำมาพิจารณาเลย

คำอธิบาย: การระบุแหล่งที่มาแบบกลุ่มเป็นขอบเขตสติปัญญาที่ยากที่สุดและไม่ถูกต้องที่สุด AI สามารถสร้างชื่อวงดนตรีที่ไม่มีอยู่จริงได้ แทนที่จะใช้การอ้างอิงที่แน่นอน จะใช้ภาษา 'เข้ากันได้กับเทคนิคเหล่านี้' และชื่อกลุ่มได้รับการยืนยันในแหล่งข่าวกรองที่รู้จัก นอกจากนี้ การป้องกันไม่ได้ขึ้นอยู่กับ IOC ที่มีอายุสั้น แต่ขึ้นอยู่กับการตรวจจับ TTP แบบถาวร

12. ในร่างรายงานเหตุการณ์ AI ได้เขียนประโยคว่า 'ผู้โจมตีน่าจะอยู่ภายในเป็นเวลาสามสัปดาห์และขโมยข้อมูลลูกค้า' ในขณะที่ไม่มีหลักฐานบันทึกที่แน่ชัดที่จะสนับสนุนข้อเรียกร้องเหล่านี้ นักวิเคราะห์ควรทำอย่างไร?

• ก) ปล่อยประโยคไว้เหมือนเดิมเพราะมันน่าทึ่งและน่าประทับใจ
• B) ออกจากประโยคแต่เติม 'ปัญญาประดิษฐ์เขียน' ต่อท้าย
• C) พิมพ์รายงานทั้งหมดซ้ำไปยังปัญญาประดิษฐ์และลงนามโดยไม่ต้องตรวจสอบ
• D) แก้ไขข้อเรียกร้องตามหลักฐาน สร้างความแตกต่างระหว่าง 'เป็นไปได้/พิสูจน์แล้ว/อยู่ระหว่างการสอบสวน' และแยกคำแถลงขั้นสุดท้ายโดยไม่มีหลักฐาน ✔

ความคิดเห็น: ในรายงานความปลอดภัยอย่างเป็นทางการ การกล่าวอ้างทุกรายการควรได้รับการพิสูจน์ และไม่ควรสับสนระหว่าง "น่าจะเป็นไปได้" กับ "พิสูจน์แล้ว" การเรียกร้องโดยไม่มีหลักฐานจะมีผลกระทบทางกฎหมาย การเงิน และชื่อเสียง นักวิเคราะห์ควรแก้ไขประโยคตามหลักฐาน (เช่น เขียนวันที่ตรวจพบการเข้าถึงครั้งแรก และระบุว่า 'ไม่พบหลักฐานที่แน่ชัด การสอบสวนยังดำเนินอยู่' สำหรับข้อมูลรั่วไหล)

13. ผู้จัดการต้องการโปรไฟล์กิจกรรมทั้งหมดของพนักงานจากบันทึกความปลอดภัยด้วยปัญญาประดิษฐ์ เพื่อทำความเข้าใจว่าเขา 'ภักดี' หรือไม่ ผู้เชี่ยวชาญด้านความปลอดภัยควรทำอย่างไร?

• A) ปฏิเสธคำขอและส่งต่อไปยังช่องทางที่เหมาะสม (การสอบสวนด้านทรัพยากรบุคคล/กฎหมาย/ที่กำหนด) ข้อมูลความปลอดภัยไม่ใช่วิธีการเฝ้าระวังส่วนบุคคล ✔
• B) สร้างและส่งมอบโปรไฟล์เนื่องจากผู้จัดการร้องขอ
• C) แยกเฉพาะบันทึกบางส่วนและให้โปรไฟล์บางส่วนเท่านั้น
• D) มีโปรไฟล์ที่สร้างขึ้นโดยปัญญาประดิษฐ์เนื่องจากความรับผิดชอบส่งผ่านไปยังปัญญาประดิษฐ์

คำอธิบาย: ข้อมูลความปลอดภัยถูกรวบรวมเพื่อวัตถุประสงค์ด้านความปลอดภัย การติดตาม/การจัดทำโปรไฟล์บุคคลถือเป็นการใช้งานในทางที่ผิด กลายเป็นการเฝ้าระวังส่วนบุคคล และละเมิด KVKK ผู้เชี่ยวชาญควรปฏิเสธคำขอนี้และส่งต่อไปยังช่องทางที่เหมาะสม (ทรัพยากรบุคคล กฎหมาย กรอบการสืบสวนที่กำหนดและถูกต้องตามกฎหมาย) ค่าความนิยมหรือความปรารถนาของผู้จัดการไม่ได้แสดงให้เห็นถึงขีดจำกัดนี้

14. SOC จะตัดสินใจว่าขั้นตอนใดของเวิร์กโฟลว์การรักษาความปลอดภัยที่จะทำให้เป็นอัตโนมัติ ข้อใดเป็นหลักการที่ดีที่สุดสำหรับระบบอัตโนมัติ

• ก) การตัดสินใจที่มีความเสี่ยงสูงสุดควรเป็นไปโดยอัตโนมัติก่อน เพื่อไม่ให้มนุษย์เข้าไปเกี่ยวข้อง
• B) ขั้นตอนที่มีความเสี่ยงต่ำ/ย้อนกลับได้จะเป็นไปโดยอัตโนมัติ ขั้นตอนที่มีความเสี่ยงสูง/ไม่สามารถย้อนกลับได้ยังคงอยู่ที่ประตูของมนุษย์ และระบบอัตโนมัติทุกอย่างมีวิธีในการยกเลิก ✔
• C) SOC ทั้งหมดควรเป็นแบบอัตโนมัติเต็มรูปแบบและไม่จำเป็นต้องตรวจสอบด้วยตนเอง
• D) ไม่จำเป็นต้องยกเลิกการดำเนินการอัตโนมัติเนื่องจาก AI จะไม่ทำผิดพลาด

คำอธิบาย: ขั้นตอนที่มีความเสี่ยงต่ำ ทำซ้ำ และย้อนกลับได้ (การรวบรวมบันทึก การเพิ่มคุณค่าสัญญาณเตือน) สามารถทำงานอัตโนมัติได้ ขั้นตอนที่มีความเสี่ยงสูง ไม่สามารถย้อนกลับได้ และต้องมีการตัดสิน (การแยกเซิร์ฟเวอร์ การแพตช์การผลิต การแจ้งเตือนอย่างเป็นทางการ) ผ่านประตูของมนุษย์ นอกจากนี้ การดำเนินการอัตโนมัติทุกครั้งต้องมีเกณฑ์ที่แคบและมีวิธียกเลิก ระบบอัตโนมัติไม่ได้ขจัดความรับผิดชอบ แต่เพียงเพิ่มความเร็วขึ้นเท่านั้น