การตามล่าภัยคุกคาม: การสร้างสมมติฐานและการค้นหาสัญญาณด้วยปัญญาประดิษฐ์

กำไร:

• ทำความเข้าใจว่าการตามล่าภัยคุกคามเริ่มต้นด้วยสมมติฐานที่ทดสอบได้ ไม่ใช่สัญญาณเตือน และวิธีที่ปัญญาประดิษฐ์ช่วยสร้างสมมติฐานและร่างแบบสอบถามได้อย่างไร
• ความสามารถในการใช้สัญญาณที่ตรงกันข้าม/หายากที่ปัญญาประดิษฐ์เน้นย้ำไม่ได้หมายถึงเจตนาร้ายโดยอัตโนมัติ และสมมติฐานจะต้องได้รับการยืนยันด้วยหลักฐานดิบ
• ความสามารถในการตรวจสอบหมายเลขทางเทคนิคของ MITER ATT&CK และรหัสเหตุการณ์ที่ได้รับจากปัญญาประดิษฐ์กับแหล่งที่มาอย่างเป็นทางการ และกำจัดรายละเอียดทางเทคนิคที่ประดิษฐ์ขึ้น

การตรวจสอบความปลอดภัยแบบคลาสสิกทำงานโดยใช้ตรรกะ "รอสัญญาณเตือน ดูเมื่อถึงเวลา" แต่ผู้โจมตีที่อันตรายที่สุดพยายามที่จะไม่ส่งสัญญาณเตือน: พวกเขาใช้เครื่องมือที่ถูกต้องตามกฎหมาย (ซึ่งเรียกว่า “การหาประโยชน์” — นั่นคือการใช้เครื่องมือในทางที่ผิดที่มีอยู่ในระบบ เช่น PowerShell, WMI) เคลื่อนที่ช้าๆ และรบกวนการรับส่งข้อมูลปกติ นั่นเป็นสาเหตุที่การตามล่าภัยคุกคามเกิดขึ้น: โดยไม่ต้องรอสัญญาณเตือน "หากขณะนี้มีผู้โจมตีที่ตรวจไม่พบในองค์กรของฉัน เขาจะอยู่ที่ไหน" การค้นหาร่องรอยเชิงรุกด้วยคำถาม: การตามล่าภัยคุกคามเริ่มต้นด้วยสมมติฐาน ไม่ใช่สัญญาณเตือน

ปัญญาประดิษฐ์มีประโยชน์มากในสองด้านในการตามล่าหาภัยคุกคาม ประการแรกคือการสร้างสมมติฐาน: ให้เทคนิคการโจมตีแล้วถามว่า "หากเทคนิคนี้ถูกใช้ในสถาบันของฉัน บันทึกใดและจะทิ้งร่องรอยไว้ในรูปแบบใด" คุณสามารถถามได้ ประการที่สองคือการแยกสัญญาณ: มันสามารถเน้นสิ่งที่หายาก ผิดปกติ "แตกต่างจากปกติ" ในข้อมูลขนาดใหญ่ แต่ AI ไม่รู้ว่าอะไรเป็นเรื่องปกติสำหรับองค์กรของคุณ และอาจติดกับดักของการคิดว่าสมมติฐานนั้น "ได้รับการพิสูจน์แล้ว" ในการตามล่าภัยคุกคาม AI เป็นพันธมิตรทางความคิดและเครื่องสแกน นายพราน (นักวิเคราะห์) ตัดสินใจว่าเหยื่อพบภัยคุกคามจริงหรือไม่ และจะมีการรายงานเรื่องนี้หรือไม่

ขั้นตอนการตามล่าภัยคุกคาม

1. สมมติฐาน ประโยคที่เป็นรูปธรรมและทดสอบได้: "ผู้โจมตีอาจสแกนเครือข่ายภายในในช่วงเวลานอกเวลาทำการด้วยบัญชีที่ถูกบุกรุก" คุณสามารถใช้ AI เพื่อระดมความคิดได้ที่นี่
2. ระบุแหล่งข้อมูล บันทึกใดพิสูจน์/หักล้างสมมติฐาน (ตัวอย่างเช่น บันทึกไฟร์วอลล์และ DNS สำหรับการสแกนเครือข่าย บันทึกข้อมูลประจำตัวสำหรับการเพิ่มระดับสิทธิ์)
3. ออกแบบแบบสอบถาม แบบสอบถามที่จะค้นหารูปแบบเป้าหมาย (ภาษาแบบสอบถาม SIEM, KQL, SQL-like) AI ช่วยในการร่างคำถาม แต่คุณตรวจสอบแบบสอบถามและเรียกใช้
4. ดึงผลลัพธ์ออกมา กรองสัญญาณจริงจากเอาต์พุตหลายร้อยบรรทัด ที่นี่ AI ทำการจัดกลุ่มและการสรุป
5. ยืนยันหรือปฏิเสธ ยืนยันด้วยหลักฐานดิบและบริบทว่าร่องรอยที่พบนั้นเป็นอันตรายหรือไร้เดียงสาอย่างแท้จริง
6. บันทึกผลลัพธ์และเปลี่ยนเป็นการตัดสินใจ แปลงรูปแบบจริงที่พบเป็นกฎการตรวจจับถาวร หากสมมติฐานล้มเหลว ให้บันทึกสิ่งนั้นด้วย (ผลลัพธ์เชิงลบก็เป็นข้อมูลเช่นกัน)

เงื่อนไข: TTP (กลยุทธ์ เทคนิค ขั้นตอน — รูปแบบพฤติกรรมของผู้โจมตี) MITER ATT&CK เป็นคลังเทคนิคของผู้โจมตีที่แจกแจงและบันทึกไว้ (เช่น T1078 “บัญชีที่ถูกต้อง”); มีภาษากลางในการตามล่าหาภัยคุกคาม IOC (ตัวบ่งชี้การละเมิด — IP ที่ไม่ดี, แฮช, โดเมน) เสียงสีขาว (รายการที่อนุญาต/รู้ว่าดี) เป็นพฤติกรรมปกติที่รู้จักในการสังเวยเหยื่อ

ตารางแนวทางการตามล่าหาภัยคุกคาม

แนวทาง

จุดเริ่มต้น

การมีส่วนร่วมของเอไอ

ความสนใจ

การล่าสัตว์ตามสมมติฐาน

“ถ้ามีคนโจมตีแบบนั้น...”

การสร้างสมมติฐาน คำอธิบายรูปแบบ

สมมติฐานไม่ใช่หลักฐาน

การล่าสัตว์ตาม IOC

ตัวบ่งชี้ที่ไม่ดีที่ทราบ

จับคู่ IOC กับบันทึก

ความเข้าใจผิดของ IOC เก่า/ไม่ถูกต้อง

การล่าสัตว์ตาม TTP/ATT&CK

เทคนิค (T-number)

การแปลงเทคนิคเป็นรูปแบบบันทึก

เทคนิค ≠ ลายเดียว

การล่าสัตว์ที่มีความผิดปกติ

ส่วนเบี่ยงเบนทางสถิติ

เน้นค่าผิดปกติ

ตรงกันข้าม ≠ ศรัทธาที่ไม่ดี

การวิเคราะห์ความถี่สแต็ก

“อะไรหายากที่สุด?”

พบกับเหตุการณ์ที่หายาก

หายาก ≠ อันตราย

มินิเคสสามอัน

กรณีที่ 1 — การค้นหาของหายาก นักล่าอาจถามว่า "กระบวนการใดบนเครือข่ายภายในที่ทำงานบนคอมพิวเตอร์จำนวนน้อยที่สุดแต่สร้างการเชื่อมต่อเครือข่ายมากที่สุด" กำหนดสมมติฐานของเขา AI เน้นรูปแบบจากข้อมูลการเชื่อมต่อกระบวนการที่ไม่เปิดเผยชื่อ กระบวนการชื่อ svchost32.exe ซึ่งเห็นได้บนเครื่องเพียง 2 เครื่อง กำลังเชื่อมต่อกับที่อยู่ภายนอกที่แตกต่างกัน 340 แห่ง นายพรานตรวจดูสิ่งนี้ พบมัลแวร์ที่เลียนแบบ svchost.exe ที่ถูกต้องตามกฎหมาย AI กรองสิ่งที่หายาก นายพรานทำการวินิจฉัยและการแทรกแซง

กรณีที่ 2 — การตามล่าที่ล้มเหลว (แต่มีคุณค่า) นักล่าคนหนึ่งถามว่า "จะมีการดาวน์โหลดข้อมูลจำนวนมากในช่วงเวลานอกเวลาทำการหรือไม่" กำหนดสมมติฐานของเขา AI เขียนร่างแบบสอบถามที่เกี่ยวข้อง ผลลัพธ์: ผู้ใช้ 3 รายดาวน์โหลดในเวลากลางคืน แต่ทั้งสามคนเป็นพนักงานออฟฟิศในต่างประเทศและทำงานในช่วงเวลาทำการเนื่องจากความแตกต่างของเขตเวลา สมมติฐานถูกข้องแวะ นายพรานบันทึกสิ่งนี้ว่าเป็น "ผลลัพธ์เชิงลบ" และบันทึกผู้ใช้ทั้ง 3 รายนี้เป็นข้อยกเว้นสำหรับการล่าในอนาคต แม้แต่การตามล่าที่ไม่ประสบผลสำเร็จก็ทำให้เรารู้จักสถาบันได้ดีขึ้น

กรณีที่ 3 — กับดักทางเทคนิคที่สร้างสรรค์ พรานถาม AI "ฉันจะมองหาเทคนิค T1055 ในองค์กรของฉันได้อย่างไร" พูดว่า AI เขียนข้อความค้นหาที่น่าเชื่อถือและยืนยันว่า “T1055 สร้างรหัสเหตุการณ์ต่อไปนี้”; แต่รหัสเหตุการณ์ที่เขาให้นั้นผิด และโมเดลนั้นประกอบขึ้นเป็นเทคนิคย่อยของ ATT&CK Avcı เปิดบันทึก MITER ATT&CK ยืนยันคำอธิบายทางเทคนิคและแหล่งที่มาของบันทึกจริง และแก้ไข ID เหตุการณ์ที่ไม่ถูกต้อง บทเรียน: ตรวจสอบทุกรายละเอียดทางเทคนิคที่ AI ให้ (รหัสเหตุการณ์, หมายเลข T, ช่องบันทึก) ด้วยแหล่งที่มาอย่างเป็นทางการ

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

พรอมต์ที่อ่อนแอ:

ค้นหาว่ามีผู้โจมตีบนเครือข่ายของฉันหรือไม่

การกล่าวอ้างนี้ปราศจากสมมติฐาน ปราศจากข้อมูล ไม่จำกัด และไม่สามารถยืนยันได้ AI สร้างรายการทั่วไปหรือรายการที่สร้างขึ้น มันไม่มีประโยชน์

พรอมต์อันทรงพลัง:

บทบาทของคุณ: ผู้ช่วยที่ให้แนวคิดและโครงร่างแก่นักล่าภัยคุกคาม อย่าตัดสินใจ อย่าพูดว่า "มีภัยคุกคาม" สมมติฐานของฉัน: "บัญชีที่ถูกบุกรุกอาจสแกนพอร์ตภายในในช่วงเวลานอกเวลาทำการ" สร้างสิ่งต่อไปนี้: (1) แสดงรายการแหล่งที่มาของบันทึกที่จะพิสูจน์และโต้แย้งสมมติฐานนี้ (2) อธิบายรูปแบบที่เป็นรูปธรรมที่จะค้นหา (ช่องใด เกณฑ์ใด) (3) เขียนแบบร่างของการสืบค้นตัวอย่างและแสดงความคิดเห็นในแต่ละบรรทัด (4) เขียนว่าคำอธิบายที่ไร้เดียงสาส่วนใดจะถูกกำจัดในผลลัพธ์ที่ได้ แนะนำเทคนิค MITER ATT&CK ที่เกี่ยวข้อง แต่ทำเครื่องหมายหมายเลข T และรหัสเหตุการณ์เป็น "[ต้องตรวจสอบจาก MITER]" อย่าสร้างใหม่

คำกล่าวอ้างที่ชัดเจนเริ่มต้นด้วยสมมติฐานที่เป็นรูปธรรม สร้างความสมดุลของหลักฐาน/ข้อโต้แย้ง มีการอธิบายคำถาม และปล่อยให้รายละเอียดทางเทคนิคอยู่ในการตรวจสอบ

เทมเพลตพร้อมท์ที่คัดลอกได้

เทมเพลตการสร้างสมมติฐานสำหรับสถาบันของฉัน [เอนทิตี: เช่น สร้างสมมติฐานการตามล่าภัยคุกคามที่ทดสอบได้ในบริบทของ [Active Directory / คลาวด์ / จุดสิ้นสุด]5. สำหรับแต่ละสมมติฐาน: (1) พฤติกรรมของผู้โจมตีที่กำหนดเป้าหมาย (2) แหล่งที่มาของบันทึกจะให้หลักฐาน/ข้อโต้แย้ง (3) รูปแบบที่คาดหวัง สร้างประโยคทดสอบ ไม่ใช่ประโยคทั่วไป

รูปแบบรูปแบบเทคนิค ฉันจะค้นหาเทคนิคการโจมตีต่อไปนี้ในสถาบัน [ชื่อเทคนิค] ของฉัน สร้าง: (1) พื้นที่บันทึกที่เทคนิคมักจะทิ้งร่องรอยไว้ (2) รูปแบบที่เป็นรูปธรรมและเกณฑ์ในการค้นหา (3) สถานการณ์ที่บริสุทธิ์ (ผลบวกลวง) ที่อาจก่อให้เกิดรูปแบบนี้ เสนอหมายเลข T-number ของ MITRE ATT&CK ที่เกี่ยวข้อง แต่มีธง "[ต้องตรวจสอบจาก MITER]" อย่าให้ ID/หมายเลขเหตุการณ์ที่สร้างขึ้น

เทมเพลตแบบสอบถามแบบร่างเขียนแบบร่างแบบสอบถาม [SIEM/KQL/SQL] ที่มองหารูปแบบต่อไปนี้: [คำอธิบายรูปแบบ] แสดงความคิดเห็นในแต่ละบรรทัด อธิบายว่าคุณกำลังกรองช่องใดและเหตุผลใด และทำเครื่องหมายความเสี่ยงด้านประสิทธิภาพ ฉันจะตรวจสอบแบบสอบถามและดำเนินการ อย่าถือว่าคุณจะเรียกใช้มัน ปล่อยชื่อฟิลด์ที่ทำเครื่องหมาย "[แก้ไขเป็นสคีมา]" ตามแบบแผนที่ฉันรู้

เทมเพลตการกำจัดผลลัพธ์ผลลัพธ์ของการตามล่าของฉันทำให้ได้บรรทัดต่อไปนี้ (ไม่ระบุชื่อ): [วาง] จัดกลุ่มพวกเขา และสำหรับแต่ละกลุ่มให้เขียน (1) สถานการณ์ที่เป็นอันตราย (2) คำอธิบายที่ไร้เดียงสาอย่างน้อย 2 รายการ และ (3) หลักฐานเพิ่มเติมเพื่อค้นหาความแตกต่าง การตัดสินใจ อย่าให้ฉันแยกคุณออกจากกัน ทำเครื่องหมาย "[ไม่มีพื้นฐาน]" สำหรับการกล่าวอ้างที่ไม่มีหลักฐาน

ข้อผิดพลาดทั่วไป

• การล่าสัตว์โดยไม่มีสมมติฐาน การพูดว่า “ค้นหาบางสิ่ง” จะเป็นการผลักดันให้ AI เดาและแต่งขึ้น การตามล่าเริ่มต้นด้วยประโยคที่เป็นรูปธรรมและทดสอบได้
• เข้าใจผิดสมมุติฐานเป็นหลักฐาน การล่าทดสอบความเป็นไปได้ ร่องรอยที่พบไม่ใช่ "ภัยคุกคาม" จนกว่าจะได้รับการยืนยันจากหลักฐานดิบ
• พิจารณาสิ่งที่ตรงกันข้ามว่าไม่ดีโดยอัตโนมัติ สิ่งที่หายาก/ผิดปกติมักจะไร้เดียงสา (การบำรุงรักษา ซอฟต์แวร์ใหม่ งานที่ทำครั้งเดียว) กรองตามบริบท
• ไม่ตรวจสอบรายละเอียดทางเทคนิค AI สามารถจับคู่รหัสเหตุการณ์ หมายเลข T และฟิลด์บันทึกได้ ยืนยันกับ MITER ATT&CK และเอกสารประกอบผลิตภัณฑ์
• ทิ้งที่จับที่เสียไป ผลลัพธ์เชิงลบก็คือความรู้: รู้จักองค์กรดีขึ้น ลดผลบวกลวงในอนาคต เอกสาร.

เคล็ดลับ: สมมติฐานในการตามล่าภัยคุกคามที่ดีควร "ทดสอบได้": คำกล่าวอ้างที่เป็นรูปธรรมซึ่งอาจกลายเป็นจริงหรือเท็จ “มีอะไรไม่ดีในเครือข่ายของฉันหรือเปล่า?” ไม่สามารถทดสอบได้ “บัญชี X เชื่อมต่อกับ IP ภายในมากกว่า 50 รายการในช่วงเวลานอกเวลาทำการหรือไม่” สามารถทดสอบได้

ข้อควรสนใจ: การค้นหาภัยคุกคามจะดำเนินการบนระบบที่คุณได้รับอนุญาตให้ดำเนินการเท่านั้น การขอให้ AI "สอบสวน" องค์กร บุคคล หรือเครือข่ายอื่นที่คุณไม่ได้รับอนุญาตนั้นเป็นความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาตและอยู่นอกโมดูลนี้

โดยสรุป

การตามล่าภัยคุกคามเป็นการค้นหาร่องรอยของผู้โจมตีที่ซ่อนอยู่ในเชิงรุกโดยไม่ต้องรอสัญญาณเตือน และเริ่มต้นด้วยสมมติฐาน ไม่ใช่สัญญาณเตือน AI มีส่วนสนับสนุนที่ทรงพลังสองประการในกระบวนการนี้: การสร้างสมมติฐานที่ทดสอบได้และแบบร่างแบบสอบถาม และการกรองสัญญาณที่หายาก/ผิดปกติจากข้อมูลขนาดใหญ่ แต่ AI ไม่รู้ว่าอะไรเป็นเรื่องปกติสำหรับองค์กรของคุณ แต่ AI สามารถสร้างรายละเอียดทางเทคนิคและตกหลุมพรางของการเข้าใจผิดในการตั้งสมมติฐานเพื่อหาหลักฐาน ดังนั้นการล่ามีหกขั้นตอน (สมมติฐาน ข้อมูล การสืบค้น ดึงข้อมูล ตรวจสอบ เอกสาร) และในแต่ละขั้นตอนการตัดสินใจจะขึ้นอยู่กับผู้ล่า ตรงกันข้าม ≠ ไม่ดี สมมติฐาน ≠ หลักฐาน รายละเอียดทางเทคนิคที่กำหนดโดย AI ≠ ถูกต้อง ทั้งหมดได้รับการยืนยันจากหลักฐานดิบและ MITER ATT&CK

งานสมัคร

รับสมมติฐานการตามล่าภัยคุกคาม 5 ข้อจาก AI ด้วยเทมเพลต “การสร้างสมมติฐาน” สำหรับองค์กรของคุณ (หรือสภาพแวดล้อมตัวอย่าง) เลือกสิ่งที่ทดสอบได้มากที่สุด ร่างแบบสอบถามด้วยเทมเพลต "Pattern Technique" และ "Query Draft" ตรวจสอบแต่ละแถวในแบบสอบถามและ T-number ที่แนะนำแต่ละรายการใน MITER ATT&CK เขียนผลลัพธ์ (สมมติฐานที่ได้รับการยืนยัน หักล้าง คุณได้เรียนรู้อะไร) ลงในบันทึกการค้นหาสั้นๆ

รายการตรวจสอบ

• [ ] ฉันเริ่มการล่าสัตว์ด้วยสมมติฐานที่เป็นรูปธรรมและทดสอบได้
• [ ] ฉันได้ระบุแหล่งที่มาของบันทึกที่จะพิสูจน์และหักล้างสมมติฐาน
• [ ] ฉันได้ตรวจสอบร่างแบบสอบถามทุกบรรทัดและปรับให้เข้ากับสคีมาของฉันเอง
• [ ] ฉันตรวจสอบเทคนิค MITER ATT&CK ที่เสนอและรหัสเหตุการณ์กับแหล่งที่มาอย่างเป็นทางการ
• [ ] ฉันยืนยันแต่ละสัญญาณด้วยหลักฐานดิบและบริบท ฉันไม่ได้พิจารณาสิ่งที่ตรงกันข้ามว่าไม่ดีโดยอัตโนมัติ
• [ ] ฉันยังบันทึกสมมติฐานที่ล้มเหลวด้วย (ผลลัพธ์เชิงลบคือข้อมูล)
• [ ] ฉันล่าเฉพาะระบบที่ฉันได้รับอนุญาตให้ล่าเท่านั้น