การวิเคราะห์บันทึกและ SIEM: แยกเหตุการณ์ออกจากสัญญาณรบกวนด้วยปัญญาประดิษฐ์

กำไร:

• ทำความเข้าใจว่าปัญญาประดิษฐ์จะสรุปและจัดกลุ่มบันทึกบรรทัดนับพัน สร้างไทม์ไลน์และเน้นรูปแบบที่น่าสงสัย แต่นักวิเคราะห์ตัดสินใจว่าเหตุการณ์นั้นเป็นการโจมตีจริงด้วยบันทึกดิบ
• ความสามารถในการใช้พื้นฐาน (พฤติกรรมปกติ) เมื่อประเมินสัญญาณเตือน SIEM และวิธีการกำจัดผลบวกลวงโดยไม่มีบริบท และวิธีที่ไม่สามารถตีความความผิดปกติได้
• ความสามารถในการรับนิสัยในการตรวจสอบห่วงโซ่ของเหตุการณ์ที่สร้างขึ้นโดยปัญญาประดิษฐ์ในบันทึกดิบและกำจัดความสัมพันธ์ปลอม

นักวิเคราะห์ความปลอดภัยใช้เวลาส่วนใหญ่ในการอ่านบันทึก บันทึกคือบรรทัดข้อความที่ประทับเวลาสิ่งที่เกิดขึ้นบนระบบ ได้แก่ ใครเข้าสู่ระบบเมื่อใด มีการเข้าถึงไฟล์ใด การเชื่อมต่อใดถูกปฏิเสธ ปัญหาไม่ใช่ว่ามีท่อนไม้น้อยเกินไป แต่เป็นเพราะมีท่อนไม้มากเกินไปจนหายใจไม่ออก องค์กรขนาดกลางผลิตรายการบันทึกหลายร้อยล้านรายการต่อวัน ในกองนี้ ร่องรอยของการโจมตีที่แท้จริงคือเข็มในกองหญ้า SIEM (ข้อมูลความปลอดภัยและการจัดการเหตุการณ์ - ระบบที่รวบรวมและเชื่อมโยงบันทึกจากแหล่งต่างๆ ในศูนย์เดียวและสร้างการแจ้งเตือนตามกฎ) อยู่ที่นั่นเพื่อค้นหาเข็มนี้ แต่สัญญาณเตือนส่วนใหญ่ที่ SIEM สร้างนั้นเป็นผลบวกลวงเช่นกัน (สัญญาณเตือนที่ไร้ประโยชน์ซึ่งไม่ใช่ภัยคุกคามจริงๆ) งานที่แท้จริงของนักวิเคราะห์คือการแยกสัญญาณที่แท้จริงออกจากสัญญาณรบกวนนี้

ปัญญาประดิษฐ์เป็นตัวช่วยที่ทรงพลังในการจัดเรียงนี้ สามารถอ่านบรรทัดบันทึกได้หลายพันบรรทัดในไม่กี่วินาที และสรุปเป็นภาษามนุษย์ รูปแบบการเกิดซ้ำของคลัสเตอร์ อธิบายห่วงโซ่ของเหตุการณ์ว่า "สิ่งนี้เกิดขึ้นครั้งแรก จากนั้นจึงเกิดขึ้น" และอธิบายว่าทำไมสัญญาณเตือนจึงดูน่าสงสัย แต่ AI ไม่รู้ว่าบันทึกหมายถึงอะไรในบริบทของสถาบัน "การเข้าถึงเวลาตี 3" เป็นการโจมตีในสถาบันหนึ่ง เป็นกะกลางคืนตามปกติในอีกสถาบันหนึ่ง ดังนั้น AI จะสรุปและทำเครื่องหมายบันทึก แต่นักวิเคราะห์จะตัดสินใจว่าเหตุการณ์นั้นเป็นการโจมตีจริงหรือไม่ และตรวจสอบด้วยบันทึกดิบ

ขั้นตอนการวิเคราะห์บันทึก

ต่อไปนี้เป็นวิธีเรียกใช้บันทึกทีละขั้นตอน/การวิเคราะห์ SIEM ด้วย AI:

1. รวบรวมและไม่เปิดเผยชื่อ ลบส่วนบันทึกที่เกี่ยวข้อง แทนที่ IP จริง ชื่อผู้ใช้ ชื่อโฮสต์ภายในด้วยตัวยึดตำแหน่ง (USER_A, IC_IP_1) อย่าส่งออกข้อมูลดิบเช่นเดียวกับเครื่องมือภายนอก
2. ให้บริบท บอก AI ถึงแหล่งที่มาของบันทึก (ไฟร์วอลล์ บันทึกเหตุการณ์ Windows เว็บเซิร์ฟเวอร์) ลักษณะการทำงานปกติคืออะไร และสิ่งที่คุณกำลังมองหา การวิเคราะห์บันทึกโดยไม่มีบริบททำให้เข้าใจผิด
3. สรุปและรวบรวม ขอให้ AI จัดกลุ่มแถวหลายพันแถวตามประเภทเหตุการณ์ แยกจำนวนครั้งที่เกิดขึ้น และสร้างไทม์ไลน์
4. มีการตั้งค่าสถานะรูปแบบที่น่าสงสัย เน้นรูปแบบต่างๆ เช่น "การเข้าสู่ระบบสำเร็จหนึ่งครั้งหลังจากเข้าสู่ระบบไม่สำเร็จ", "การเข้าถึงไฟล์จำนวนมากในช่วงเวลาสั้น ๆ", "การเชื่อมต่อเครือข่ายที่เป็นของกระบวนการที่ไม่รู้จัก"
5. ตรวจสอบด้วยหลักฐานดิบ ค้นหาและยืนยันแต่ละรูปแบบที่ AI ทำเครื่องหมายในบรรทัดบันทึกจริง สแกนด้วยตัวคุณเองในส่วนที่ AI พลาด
6. การตัดสินใจและการลงทะเบียน แถลงเหตุการณ์จริงในฐานะนักวิเคราะห์ เปิดตั๋ว และเอกสารว่า AI เป็นเพียงตัวเร่งเท่านั้น

ข้อกำหนดบางประการ: แหล่งที่มาของบันทึกคือระบบที่สร้างบันทึก ความสัมพันธ์คือการนำเหตุการณ์จากแหล่งต่างๆ มารวมกันและทำความเข้าใจเหตุการณ์เหล่านั้น (การเข้าสู่ระบบ VPN + การเข้าถึงไฟล์ + การถ่ายโอนข้อมูล = การรั่วไหลที่อาจเกิดขึ้น) พื้นฐานคือการวัดพฤติกรรมปกติของระบบ ความผิดปกตินั้นสมเหตุสมผลเมื่อเทียบกับค่าพื้นฐานเท่านั้น UEBA (การวิเคราะห์พฤติกรรมผู้ใช้และเอนทิตี) เป็นแนวทางที่ใช้ AI ซึ่งเรียนรู้พฤติกรรมปกติของผู้ใช้แต่ละคนและแจ้งความเบี่ยงเบน

แผนภูมิเปรียบเทียบ

แนวทาง

มันทำงานอย่างไร

จุดแข็ง

ความอ่อนแอ

SIEM ตามกฎ

แก้ไขกฎ "ถ้า-แล้ว"

โปร่งใส อธิบายได้

พลาดการโจมตีที่ไม่ทราบสาเหตุ ผลบวกลวงมากมาย

การตรวจจับตามลายเซ็น

ตรงกับรูปแบบที่ไม่ดีที่ทราบ

รวดเร็วกับภัยคุกคามที่ทราบ

มองไม่เห็นการโจมตีใหม่/ที่เปลี่ยนแปลง

ความผิดปกติ/UEBA (AI)

พบความเบี่ยงเบนไปจากปกติ

สามารถจับสิ่งที่ไม่รู้จักได้

ความผิดปกติ = ไม่โจมตี; ความเสี่ยงของผลบวกลวง

สรุปด้วย AI

สรุปบันทึกในภาษา

ความเร็วความสามารถในการอ่าน

ไม่มีบริบท เสี่ยงต่ออาการประสาทหลอน

นักวิเคราะห์ (มนุษย์)

ความคิดเห็นที่มีบริบท

การตัดสินใจความรับผิดชอบ

ช้า เหนื่อย ไม่ขึ้นขนาด

การตั้งค่าที่ถูกต้องไม่ใช่การเลือกอย่างใดอย่างหนึ่ง แต่เป็นการวางเลเยอร์: SIEM และลายเซ็นจะกรองสัญญาณรบกวนออกโดยประมาณ AI จะสรุปและไฮไลต์ นักวิเคราะห์ตรวจสอบและตัดสินใจ

มินิเคสสามอัน

กรณีที่ 1 — 50,000 เส้น 6 นาที นักวิเคราะห์ลบข้อมูลบันทึกการเข้าถึง 50,000 บรรทัดจากเว็บเซิร์ฟเวอร์ไปยัง AI AI ​​อนุมานได้ว่า IP ภายนอกเดียวที่รวบรวมข้อมูล /admin กำหนดเส้นทางด้วยคำขอ 12,000 รายการใน 3 ชั่วโมง ลองใช้พารามิเตอร์ที่แตกต่างกัน 480 รายการ และได้รับการตอบกลับ 200 รายการ 3 ครั้ง นักวิเคราะห์พบคำขอที่สำเร็จทั้ง 3 รายการในบันทึกดิบ ตรวจสอบว่าเป็นการโจมตีแบบแจงนับพาธจริง และบล็อก IP การอ่านด้วยมือ 50,000 บรรทัดอาจใช้เวลาหลายชั่วโมง สรุปตัดเหลือ 6 นาที แต่เป็นการตัดสินใจของนักวิเคราะห์

กรณีที่ 2 — ความสัมพันธ์ที่วางแผนไว้ นักวิเคราะห์อีกคนบอกกับ AI ว่า “อธิบายห่วงโซ่การโจมตีในบันทึกนี้” AI ​​สร้างเรื่องราวที่ลื่นไหล: "เมื่อเวลา 02:11 น. USER_B ยกระดับสิทธิ์และส่งออกข้อมูล" นักวิเคราะห์เปิดบันทึกดิบก่อนที่จะเขียนลงในรายงาน ในขณะที่บันทึกไม่มีการยกระดับสิทธิ์หรือการถ่ายโอนข้อมูล โมเดลนี้เหมาะกับห่วงโซ่เหตุการณ์ทั่วไปใน "เรื่องราวการโจมตี" นักวิเคราะห์ดึงข้อเรียกร้องออกมา บทเรียน: ทุกเชนที่ AI บอกควรได้รับการตรวจสอบในบันทึก

กรณีที่ 3 — ผลบวกลวงกะกลางคืน โมเดล UEBA ตั้งค่าสถานะผู้ใช้ที่เข้าถึงไฟล์ 900 ไฟล์ในเวลา 03.00 น. ว่าเป็น "ความผิดปกติที่มีความเสี่ยงสูง" นักวิเคราะห์ตรวจสอบบริบท: ผู้ใช้เป็นผู้ดำเนินการสำรอง และงานนี้ทำงานเวลา 03:00 น. ทุกคืน; ไม่ได้ดูพื้นฐาน สัญญาณเตือนเป็นผลบวกลวง นักวิเคราะห์ตั้งค่ากฎและเพิ่มตัวดำเนินการนี้ลงในรายการข้อยกเว้น ความผิดปกติไม่ใช่การโจมตีเสมอไป หากไม่มีบริบท สัญญาณเตือนภัยก็จะดังขึ้น

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

พรอมต์ที่อ่อนแอ:

ตรวจสอบบันทึกนี้ บอกฉันว่ามีการโจมตีหรือไม่[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]

พรอมต์นี้ประกอบด้วย IP จริงและผู้ใช้ (การละเมิดความเป็นส่วนตัว) ไม่ได้บอกแหล่งที่มาของบันทึกและพฤติกรรมปกติ ไม่ขอหลักฐานจาก AI และการประเมินผลบวกลวง AI สามารถทำให้คุณเข้าใจผิดได้ด้วยประโยคเดียวว่า "ใช่ มีการโจมตี"

พรอมต์อันทรงพลัง:

บทบาทของคุณ: ผู้ช่วยนักวิเคราะห์ SOC กำลังเตรียมการวิเคราะห์ DRAFT อย่าตัดสินใจ อย่าประกาศโจมตี นี่คือบันทึกการเข้าถึงที่ไม่เปิดเผยตัวตนของเว็บเซิร์ฟเวอร์ (IP และผู้ใช้ถูกปิดบัง) การจราจรปกติ: 100-300 คำขอ/ชั่วโมงในช่วงเวลาทำการ ส่วนใหญ่เป็นเส้นทาง /product และ /cart งานของคุณ: (1) เหตุการณ์คลัสเตอร์ตามประเภทและแหล่งที่มา ระบุจำนวนครั้งที่เกิดขึ้น (2) รูปแบบแฟล็กที่เบี่ยงเบนไปจากพื้นฐาน (3) แสดงสำหรับแต่ละแฟล็กว่าบรรทัดบันทึกใดที่อิงตาม (4) เขียนความน่าจะเป็นของผลบวกลวงสำหรับแต่ละแฟล็กและเพราะเหตุใด สายข้อต่อ/การแทรก IOC; ทำเครื่องหมาย "[ตรวจสอบนักวิเคราะห์]" โดยที่คุณไม่แน่ใจ[บันทึกที่ไม่ระบุชื่อที่นี่]

คำกล่าวอ้างที่ชัดเจนจำกัดบทบาท ให้บริบทและบรรทัดฐาน และจำเป็นต้องมีส่วนร่วมกับหลักฐานและการประเมินผลบวกลวง

เทมเพลตพร้อมท์ที่คัดลอกได้

แม่แบบสรุปบันทึก ที่ไม่ระบุชื่อต่อไปนี้ [แหล่งที่มาของบันทึก: เช่น สรุปบันทึก [ไฟร์วอลล์]: (1) จัดกลุ่มตามประเภทเหตุการณ์และระบุจำนวนครั้งที่เกิดขึ้นของแต่ละกลุ่ม (2) แยกจำนวนแหล่งที่มา/เป้าหมายที่ไม่ซ้ำกัน (3) สร้างไทม์ไลน์ (เหตุการณ์แรก-สุดท้าย ชั่วโมงเร่งด่วน) (4) แสดงรายการความผิดปกติที่โดดเด่น 5 รายการพร้อมเส้นหลักฐาน การตัดสินใจ เพียงแค่สรุป บันทึก: [วาง]

เทมเพลตความสัมพันธ์ เชื่อมโยงเหตุการณ์ที่ไม่เปิดเผยตัวตนในช่วงเวลาและเอนทิตี และสร้างห่วงโซ่ของเหตุการณ์ที่เป็นไปได้ แต่สำหรับแต่ละขั้นตอน ให้ระบุว่าบรรทัดบันทึกใดเป็นไปตาม และทำเครื่องหมายขั้นตอนที่ไม่มีพื้นฐานเป็น "[ไม่มีพื้นฐาน - ต้องได้รับการตรวจสอบ]" เขียนคำอธิบายอื่นที่มีเจตนาดีเช่นกัน เหตุการณ์: [วาง]

เทมเพลตการกำจัดผลบวกที่ผิดพลาด สำหรับสัญญาณเตือนนี้ ให้สร้างคำอธิบายที่มีเจตนาดี (ผลบวกลวง) อย่างน้อย 3 คำอธิบายสำหรับการตีความการโจมตี และจดบันทึกไว้ว่าฉันต้องดูบันทึก/หลักฐานเพิ่มเติมใดบ้างเพื่อยืนยันแต่ละรายการ จากนั้นพิจารณาว่าหลักฐานเพิ่มเติมใดสนับสนุนการโจมตีและหลักฐานใดที่ต่อต้านการโจมตี สัญญาณเตือน: [วาง]

เทมเพลตการแยกไทม์ไลน์: ไทม์ไลน์ตามลำดับเหตุการณ์เดียวจะถูกแยกออกจากบันทึกที่ไม่ระบุชื่อเหล่านี้: แต่ละบรรทัดอยู่ในรูปแบบ [เวลา] [เอนทิตี] [เหตุการณ์] [บันทึกแหล่งที่มา] การเพิ่มเหตุการณ์โดยไม่มีการประทับเวลา อย่าสร้างช่องว่าง หากขาดหาย ให้เขียน "[missing]" บันทึก: [วาง]

ข้อผิดพลาดทั่วไป

• การวิเคราะห์โดยไม่มีบริบท ความคิดเห็นที่ทำโดยไม่กล่าวถึงแหล่งที่มาของบันทึกและพฤติกรรมปกติ (พื้นฐาน) ถือเป็นการทำให้เข้าใจผิด "ความผิดปกติ" ได้รับความหมายตามบริบท
• ไม่ตรวจสอบห่วงโซ่ที่ AI สร้างขึ้น โมเดลสามารถเชื่อมโยงเหตุการณ์ธรรมดาเข้ากับเรื่องราวการโจมตีได้ ยืนยันแต่ละขั้นตอนในบันทึกดิบ
• เข้าใจผิดว่าเป็นการโจมตี สัญลักษณ์ของ UEBA เป็นเพียงสมมติฐาน กำจัดสาเหตุที่ไม่บริสุทธิ์ เช่น การสำรองข้อมูล การบำรุงรักษา ซอฟต์แวร์ใหม่
• ส่งออกข้อมูลดิบโดยไม่ปิดบัง IP/ผู้ใช้/โฮสต์ที่แท้จริงนั้นเป็นทั้งการละเมิด KVKK และเป็นของขวัญแผนที่เครือข่ายแก่ผู้โจมตี
• อย่าเชื่อถือการสรุปเชิงลบและหยุดการเรียกดู เรียกใช้การสืบค้นอย่างเป็นระบบของคุณเอง (ประเภทเหตุการณ์ที่สำคัญ IOC ใหม่) แม้ว่า AI จะบอกว่า "ไม่มีอะไรสำคัญ" ก็ตาม

เคล็ดลับ: ขอให้ "แสดงเส้นหลักฐาน" ทุกครั้งเมื่อให้ AI สรุปบันทึก อย่าจริงจังกับการค้นพบใดๆ โดยไม่มีหลักฐาน กฎข้อเดียวนี้จะตัดภาพหลอนส่วนใหญ่ออกไป

ข้อควรระวัง: การปิดการแจ้งเตือน SIEM เพียงเพราะ AI บอกว่า "ผลบวกลวง" อาจปกปิดการโจมตีจริงได้ ตรวจสอบสัญญาณเตือนที่ AI เรียกว่า "ไม่สำคัญ" อย่างเป็นอิสระ การตัดสินใจปิดเป็นของนักวิเคราะห์และบันทึกไว้

โดยสรุป

สาระสำคัญของการวิเคราะห์บันทึกและ SIEM คือการดึงสัญญาณจริงออกจากกองสัญญาณรบกวนขนาดใหญ่ ในการจัดเรียงนี้ AI จะสรุปบันทึกในไม่กี่วินาที จัดกลุ่มรูปแบบ สร้างไทม์ไลน์ และเน้นผู้ต้องสงสัย แต่ไม่ทราบบริบทของสถาบันและสามารถสร้างเหตุการณ์ได้ ดังนั้นการตั้งค่าที่ถูกต้องจึงแบ่งเป็นหลายชั้น: กฎ/ลายเซ็นจะกรองคร่าวๆ, AI จะสรุปและทำเครื่องหมาย นักวิเคราะห์จะยืนยันด้วยบันทึกดิบและทำการตัดสินใจ หลักการสามประการช่วยปกป้องคุณ: บริบท (ไม่มีการตีความความผิดปกติโดยไม่มีพื้นฐาน), หลักฐาน (การค้นพบแต่ละครั้งจะเชื่อมโยงกับเส้นบันทึกดิบ), การควบคุมที่เป็นอิสระ (สิ่งที่ AI เรียกว่าพื้นที่ "สะอาด" ก็จะถูกสแกนเช่นกัน) และทำงานแบบไม่เปิดเผยตัวตนอยู่เสมอ

งานสมัคร

นำส่วนของบันทึกตัวอย่าง (โดยไม่ระบุชื่อจากระบบของคุณเองหรือจากชุดข้อมูลตัวอย่าง) ขั้นแรก สรุปให้เป็น AI ด้วยเทมเพลต "การสรุปบันทึก" จากนั้นใช้เทมเพลต “False Positive Elimination” สำหรับการค้นพบที่โดดเด่นที่สุดแต่ละรายการจากทั้งหมดสามรายการ และตรวจสอบความถูกต้องของการค้นพบแต่ละรายการในบันทึกดิบ สุดท้ายนี้ ให้สังเกตความแตกต่างระหว่างบทสรุปของ AI และการอ่านข้อมูลดิบของคุณ AI พลาดอะไรไป มันประกอบอะไร มันทำอะไรถูกต้อง?

รายการตรวจสอบ

• [ ] ฉันไม่เปิดเผยชื่อบันทึก; IP จริง/ผู้ใช้/โฮสต์ถูกปกปิด
• [ ] ฉันให้แหล่งที่มาของบันทึกและพฤติกรรมปกติแก่ AI (พื้นฐาน)
• [ ] ฉันขอบรรทัดบันทึกหลักฐานสำหรับการค้นพบแต่ละรายการและตรวจสอบในบันทึกดิบ
• [ ] ฉันยืนยันทุกขั้นตอนของเหตุการณ์ที่ AI สร้างขึ้น และกำจัดการประดิษฐ์ออกไป
• [ ] ฉันพิจารณาคำอธิบายเชิงบวกที่ผิดพลาดอย่างน้อยหนึ่งรายการสำหรับการเตือนแต่ละครั้ง
• [ ] ฉันยังสแกนบริเวณที่ AI เรียกว่า "สะอาด/ไม่สำคัญ" ด้วย
• [ ] ในฐานะนักวิเคราะห์ ฉันได้ตัดสินใจและบันทึกเหตุการณ์ ฉันบันทึก AI เป็นตัวเร่งความเร็ว