การรักษาความปลอดภัยและการป้องกัน: การใช้ปัญญาประดิษฐ์เพื่อวัตถุประสงค์ในการป้องกันและอยู่ภายในขอบเขตอำนาจ

กำไร:

• ความสามารถในการใช้ปัญญาประดิษฐ์ในงานป้องกัน เช่น การตรวจจับภัยคุกคามจากบันทึก การทำให้แข็งตัว การจัดลำดับความสำคัญของแพตช์ และการตอบสนองต่อเหตุการณ์
• ความสามารถในการกำจัดผลบวกลวงโดยการตรวจสอบความถูกต้องของการค้นพบในระบบจริงโดยใช้หลักการที่มีอำนาจน้อยที่สุดและการป้องกันในเชิงลึก
• ความสามารถในการทำความเข้าใจว่าปัญญาประดิษฐ์สามารถใช้ได้เฉพาะในระบบที่ได้รับอนุญาตและเพื่อวัตถุประสงค์ในการป้องกันเท่านั้น และการใช้ปัญญาประดิษฐ์เพื่อการเข้าถึงหรือโจมตีโดยไม่ได้รับอนุญาตถือเป็นอาชญากรรม

การรักษาความปลอดภัยและการป้องกัน: การใช้ AI เพื่อวัตถุประสงค์ในการป้องกัน ตามหลักจริยธรรมและภายในการอนุญาต

ผู้ดูแลระบบและผู้ดูแลระบบเครือข่ายก็เป็นแนวป้องกันแรกเช่นกัน เซิร์ฟเวอร์ เครือข่าย และบริการต่างๆ อยู่ภายใต้ภัยคุกคามอย่างต่อเนื่อง: ความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาต มัลแวร์ ช่องโหว่ที่ไม่ได้รับการติดตั้ง ข้อมูลประจำตัวที่รั่วไหล การดำเนินการรักษาความปลอดภัยถือเป็นวินัยในการป้องกัน ตรวจจับ และตอบสนองต่อภัยคุกคามเหล่านี้ ที่นี่ AI เป็นพันธมิตรที่ทรงพลังในด้านการป้องกัน: การสแกนบันทึกเพื่อหาสัญญาณภัยคุกคาม แสดงรายการช่องโหว่ที่เพิ่มขึ้นของระบบ ประเมินลำดับความสำคัญของแพตช์ แปลการแจ้งเตือนเกี่ยวกับช่องโหว่เป็นภาษาตุรกีธรรมดา ร่างแผนตอบสนองต่อเหตุการณ์ด้านความปลอดภัย แต่คำมั่นสัญญาของหน่วยนี้ชัดเจนกว่าหน่วยอื่น ๆ เนื่องจากธีมเป็นแบบใช้คู่: ใช้ AI เฉพาะกับระบบที่คุณมีอำนาจเหนือเท่านั้นเพื่อวัตถุประสงค์ในการป้องกันเท่านั้น นี่ไม่ใช่ทางเลือก แต่เป็นภาระผูกพันทางกฎหมายและจริยธรรม การใช้ AI เพื่อการเข้าถึง การสแกน หรือการแทรกซึมโดยไม่ได้รับอนุญาตถือเป็นอาชญากรรม และโมดูลนี้จะปฏิเสธอย่างยิ่ง

ในหน่วยนี้ คุณจะได้เรียนรู้การใช้ AI เชิงป้องกัน เช่น การตรวจจับภัยคุกคามบันทึก การเพิ่มความแข็งแกร่ง การจัดการแพตช์ หลักการสิทธิพิเศษขั้นต่ำ การตอบสนองต่อเหตุการณ์ และข้อจำกัดทางจริยธรรม กฎหมาย และเขตอำนาจศาลของอำนาจนี้

เส้นสีแดง: อำนาจและวัตถุประสงค์

ก่อนอื่นมาวาดเส้นให้ชัดเจนก่อน ถูกต้องตามกฎหมาย: ปกป้องระบบขององค์กรของคุณที่คุณได้อนุญาตเป็นลายลักษณ์อักษร — มองหาสัญญาณของการโจมตีในบันทึกของคุณเอง, ทำให้เซิร์ฟเวอร์ของคุณแข็งแกร่งขึ้น, ปิดช่องโหว่ในเครือข่ายของคุณเอง, ทำการทดสอบการเจาะระบบโดยได้รับอนุญาตเป็นลายลักษณ์อักษรและอยู่ในขอบเขต ผิดกฎหมายและผิดกฎหมาย: การสแกนระบบที่ไม่ได้เป็นของคุณ, พยายามถอดรหัสรหัสผ่านหรือการเข้าถึงของบุคคลอื่น, เข้าสู่เครือข่ายโดยไม่ได้รับอนุญาต, หาประโยชน์จากช่องโหว่ ตั้งกรอบคำถามของคุณไว้ที่ AI ในกรอบการป้องกันเสมอ: "ฉันจะปกป้องระบบของฉันจากการโจมตีนี้ได้อย่างไร", "มีสัญญาณของการโจมตีในบันทึกนี้หรือไม่", "ฉันจะทำให้บริการนี้แข็งแกร่งขึ้นได้อย่างไร" ไม่เคย "ฉันจะเข้าสู่ระบบนี้ได้อย่างไร" หากอำนาจของคุณไม่ได้รับการบันทึกไว้ ห้ามแตะต้องระบบนั้น

ข้อควรระวัง: การพยายามใช้เทคนิคการโจมตีบนระบบที่คุณไม่ได้รับอนุญาตถือเป็นอาชญากรรม แม้ว่าจะเป็นการ "เรียนรู้" หรือ "ทดสอบ" ก็ตาม หากคุณต้องการเรียนรู้ ให้ใช้สภาพแวดล้อมห้องปฏิบัติการแบบแยกที่คุณสร้างขึ้นเอง การส่ง AI เป็นเครื่องมือโจมตีไม่ได้ทำให้คุณสูญเสียความรับผิดชอบ เพิ่มขึ้น

การใช้ AI เพื่อการป้องกัน

ในด้านการป้องกัน AI จะช่วยเร่งการทำงานจริงได้มาก การตรวจจับภัยคุกคามบันทึก: ทำเครื่องหมายรูปแบบที่ผิดปกติในบันทึกการตรวจสอบสิทธิ์ (การเข้าสู่ระบบที่ล้มเหลวจำนวนมากในช่วงเวลาสั้น ๆ การเข้าถึงในเวลาที่ผิดปกติ การเชื่อมต่อจากแหล่งที่ไม่รู้จัก) การเสริมความแข็งแกร่ง: ตรวจสอบการกำหนดค่าเซิร์ฟเวอร์หรือบริการโดยเทียบกับหลักเกณฑ์ด้านความปลอดภัยทั่วไปและแสดงรายการช่องโหว่ — พอร์ตที่เปิดโดยไม่จำเป็น การตั้งค่าการเข้ารหัสที่ไม่รัดกุม สิทธิ์อนุญาตที่กว้างเกินไป การจัดการแพตช์: จับคู่ช่องโหว่ที่เผยแพร่กับระบบของคุณและประเมินว่าช่องโหว่ใดที่ส่งผลต่อคุณและลำดับความสำคัญ การตอบสนองต่อเหตุการณ์: การวางแผนขั้นตอนในการแยก รวบรวมหลักฐาน และกู้คืนเหตุการณ์ด้านความปลอดภัย ในแต่ละกรณี AI จะสร้างการวิเคราะห์และพิมพ์เขียว เจ้าหน้าที่รักษาความปลอดภัยเป็นผู้ตัดสินใจว่าจะดำเนินการอย่างไรและจะปกป้องหลักฐานอย่างไร

อำนาจและการป้องกันน้อยที่สุดในเชิงลึก

หลักการพื้นฐานสองประการคือกระดูกสันหลังของการป้องกันทั้งหมด สิทธิ์ขั้นต่ำ: ผู้ใช้ บริการ และสคริปต์แต่ละรายควรมีสิทธิ์ขั้นต่ำที่จำเป็นในการทำงานเท่านั้น ไม่มีอะไรเพิ่มเติม การอนุญาตมากเกินไปจะขยายความเสียหายหากบัญชีถูกบุกรุก การป้องกันเชิงลึก: แทนที่จะอาศัยการรักษาความปลอดภัยชั้นเดียว การซ้อนหลายชั้น — ไฟร์วอลล์ การรับรองความถูกต้อง การเข้ารหัส การตรวจสอบ การสำรองข้อมูล หากเกินอันหนึ่ง อีกอันจะหยุด ให้หลักการทั้งสองนี้เป็นเกณฑ์ในการให้ AI ตรวจสอบการกำหนดค่าและสถาปัตยกรรม: “การตั้งค่านี้สอดคล้องกับหลักการที่มีอำนาจน้อยที่สุด เลเยอร์ใดหายไป”

ทีละขั้นตอน: กระแส AI การป้องกัน

1. ตรวจสอบอำนาจและขอบเขต คุณมีอำนาจเป็นลายลักษณ์อักษรเกี่ยวกับระบบนี้หรือไม่? ขอบเขตคืออะไร? ทำให้มันชัดเจนก่อน
2. มาสก์ข้อมูล ปิดบัง IP ภายใน ผู้ใช้ โฮสต์ และข้อมูลประจำตัวที่รั่วไหลโดยเฉพาะในบันทึก หากคุณเห็นความลับให้หมุนมันก่อน
3. ถามคำถามเชิงป้องกัน. ขอให้ AI ตรวจจับ แข็งขัน จัดลำดับความสำคัญ หรือแทรกแซง — อยู่ในกรอบการป้องกันเสมอ
4. ตรวจสอบการค้นพบ ยืนยันภัยคุกคามหรือช่องโหว่ที่ AI ระบุในระบบจริง จัดการกับผลบวกลวง
5. ใช้การกระทำในลักษณะที่มีการควบคุม ดำเนินการเสริมความแข็งแกร่งหรือแพตช์ผ่านกระบวนการจัดการการเปลี่ยนแปลง (หน่วยก่อนหน้า) การป้องกันก็เป็นการเปลี่ยนแปลงเช่นกัน
6. จัดทำเอกสารและเรียนรู้ บันทึกเหตุการณ์และการเผชิญเหตุ เรียนรู้บทเรียนเพื่อป้องกันการเกิดซ้ำ

มินิเคสสามอัน

กรณีที่ 1 — การตรวจจับแบบ Brute-force ในบันทึก ผู้ดูแลระบบได้มอบบันทึกการตรวจสอบสิทธิ์ (IP และผู้ใช้ที่ปกปิด) ให้กับ AI และกำหนดให้ระบุรูปแบบการเข้าสู่ระบบที่ผิดปกติ AI ​​เน้นรูปแบบการพยายามเข้าสู่ระบบที่ล้มเหลว 380 ครั้งใน 4 นาทีจากแหล่งเดียว ซึ่งเป็นสัญญาณคลาสสิกของการโจมตีแบบดุร้าย ผู้ดูแลระบบยืนยันสิ่งนี้ในบันทึกจริง บล็อกทรัพยากรนั้น และใช้การรีเซ็ตรหัสผ่านและการจำกัดอัตราในบัญชีที่ได้รับผลกระทบ

กรณีที่ 2 — ปิดช่องว่างการแข็งตัว ทีมหนึ่งได้มอบการกำหนดค่า (ปกปิด) ของเซิร์ฟเวอร์ที่ติดตั้งใหม่ให้กับ AI และให้ตรวจสอบกับสิทธิ์ขั้นต่ำและเกณฑ์การทำให้แข็งทั่วไป AI แจ้งว่าพอร์ตการจัดการที่ไม่ได้ใช้เปิดอยู่ทั้งเครือข่าย และการเข้าสู่ระบบ SSH ที่ใช้รหัสผ่านยังคงเปิดใช้งานอยู่ ทีมปิดพอร์ต ทำให้ใช้คีย์ SSH เท่านั้น — ประตูสองบานปิดสำหรับผู้โจมตี

กรณีที่ 3 — ขอบเขตทางจริยธรรม: ถูกปฏิเสธ คนหนึ่งขอความช่วยเหลือจากวิศวกรที่ให้ช่วง IP สาธารณะของสถาบันใกล้เคียง และขอให้ AI "สแกนและเข้าสู่ช่องโหว่" วิศวกรปฏิเสธและอธิบายว่าทำไม: ไม่มีอำนาจเป็นลายลักษณ์อักษรเกี่ยวกับระบบนี้ สิ่งที่ต้องการคือการเข้าถึงโดยไม่ได้รับอนุญาต ซึ่งเป็นอาชญากรรม แต่เขาเสนอให้ประเมินพื้นผิวภายนอกของสถาบันของเขาโดยได้รับอนุญาตเป็นลายลักษณ์อักษรและขอบเขต AI ไม่ใช่เครื่องมือโจมตี แต่เป็นพันธมิตรในการป้องกัน

เทมเพลตที่สามารถคัดลอกได้สี่แบบ

1) บันทึกการตรวจจับภัยคุกคาม (การป้องกัน):

บทบาทของคุณ: นักวิเคราะห์ความปลอดภัยที่เน้นการป้องกัน ด้านล่างนี้คือบันทึกการตรวจสอบความถูกต้องแบบปกปิดของระบบที่ฉันอนุญาต เป้าหมายของฉันคือการป้องกัน: ทำเครื่องหมายรูปแบบที่ผิดปกติ (การเข้าสู่ระบบล้มเหลวจำนวนมาก เวลา/แหล่งที่มาที่ผิดปกติ อาจมีการใช้กำลังดุร้าย) ให้แต่ละข้อค้นพบเป็นสมมติฐาน ฉันจะตรวจสอบในระบบจริง ให้คำแนะนำในการป้องกัน ไม่ใช่ขั้นตอนการโจมตี บันทึก: [ปิดบัง]

2) การตรวจสอบการแข็งตัว:

บทบาทของคุณ: ผู้เชี่ยวชาญด้านการรักษาความปลอดภัย ตรวจสอบการกำหนดค่า [บริการ/เซิร์ฟเวอร์] ที่ปกปิดต่อไปนี้โดยเทียบกับสิทธิ์ขั้นต่ำและเกณฑ์การป้องกันทั่วไป: (1) พอร์ต/บริการที่เปิดโดยไม่จำเป็น (2) การตั้งค่าการเข้ารหัส/การรับรองความถูกต้องที่อ่อนแอ (3) การอนุญาตที่กว้างเกินไป (4) เลเยอร์ความปลอดภัยที่ขาดหายไป เสนอแนะการแก้ไขเชิงป้องกันสำหรับการค้นพบแต่ละครั้ง กำหนดค่า: [ปกปิด]

3) การจัดลำดับความสำคัญของแพตช์:

ด้านล่างนี้คือรายการ [ผลิตภัณฑ์/เวอร์ชัน] ที่ฉันใช้และหัวข้อข่าวเกี่ยวกับช่องโหว่ที่เผยแพร่เมื่อเร็วๆ นี้ (สวมหน้ากาก) บอกฉัน: (1) สิ่งใดบ้างที่อาจส่งผลกระทบต่อฉัน (2) ประเมินผลกระทบ (การเข้าถึง สิทธิพิเศษ ขอบเขต) และจัดอันดับตามลำดับความเร่งด่วน (3) ฉันควรทำการตรวจสอบใดก่อนสำหรับแต่ละรายการ CVSS ที่เข้มงวด/ข้อกล่าวหาเรื่องการละเมิดที่ถูกสร้างขึ้น หากคุณไม่แน่ใจ ให้พิมพ์ "ยืนยัน" รายการ: [สวมหน้ากาก]

4) กรอบการตอบสนองต่อเหตุการณ์ด้านความปลอดภัย:

บทบาทของคุณ: ผู้อำนวยความสะดวกในการตอบสนองต่อเหตุการณ์ เขียนกรอบการตอบสนองเชิงป้องกันสำหรับเหตุการณ์ความปลอดภัยที่น่าสงสัย [คำอธิบาย]: แยก (หยุดการแพร่กระจาย) เก็บหลักฐาน (บันทึก/รูปภาพ) วิเคราะห์ กู้คืน เรียนรู้บทเรียน ฉันควรใส่ใจอะไรเพื่อไม่ให้หลักฐานเสียหาย? ทำเครื่องหมายประเด็นที่อาจต้องมีการรายงานทางกฎหมาย/การปฏิบัติตามข้อกำหนด การตัดสินใจเป็นของฉัน

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

พรอมต์ที่อ่อนแอ:

ค้นหาช่องโหว่ของเซิร์ฟเวอร์ที่ IP นั้นและบอกฉันว่าจะเข้าอย่างไร

คำขอนี้ไม่เป็นที่ยอมรับทั้งทางจริยธรรมและกฎหมาย: ไม่ได้ระบุอำนาจ วัตถุประสงค์คือการโจมตี การตอบสนองที่ถูกต้องคือการปฏิเสธคำขอนี้และนำไปสู่ทางเลือกในการป้องกัน

พรอมต์อันทรงพลัง:

บทบาทของคุณ: นักวิเคราะห์ความปลอดภัยที่เน้นการป้องกัน ฉันต้องการทำให้เว็บเซิร์ฟเวอร์ของสถาบันของฉันแข็งแกร่งขึ้น ซึ่งฉันมีอำนาจเป็นลายลักษณ์อักษร ด้านล่างนี้คือการกำหนดค่าที่มาสก์ ด้วยอำนาจขั้นต่ำและความลึกในการป้องกัน: (1) แสดงรายการช่องโหว่ (2) แนะนำการแก้ไขเชิงป้องกันสำหรับแต่ละรายการ (3) ชี้ให้เห็นความเสี่ยงที่ฉันควรทราบเมื่อดำเนินการแก้ไขด้วยการจัดการการเปลี่ยนแปลง อยู่ป้องกันเท่านั้น กำหนดค่า: [ปกปิด]

การใช้งาน

มันถูกต้องตามกฎหมายหรือไม่?

ตัวอย่าง

การป้องกันในระบบที่ได้รับอนุญาตของตัวเอง

ใช่

บันทึกการตรวจจับภัยคุกคาม การทำให้แข็งตัว

การทดสอบการเจาะที่ครอบคลุมโดยได้รับอนุญาตเป็นลายลักษณ์อักษร

ใช่

การทำงานเป็นทีมสีแดงโดยยินยอม

การสแกน/การเจาะระบบโดยไม่ได้รับอนุญาต

ไม่ — อาชญากรรม

การเข้าสู่เครือข่ายของผู้อื่นโดยไม่ได้รับอนุญาต

การใช้ประโยชน์จากช่องโหว่

ไม่ — อาชญากรรม

การใช้ข้อมูลที่รั่วไหล

ข้อผิดพลาดทั่วไป

• การทำธุรกิจในระบบที่ไม่ได้รับอนุญาต การพยายามโจมตีระบบที่ไร้ความสามารถถือเป็นอาชญากรรม แม้แต่ "การเรียนรู้"; ใช้ห้องปฏิบัติการแยก
• การแชร์ข้อมูลประจำตัวที่รั่วไหลโดยไม่ปิดบัง หากคุณเห็นรหัสผ่าน/รหัส ให้เปลี่ยนก่อน จากนั้นจึงปิดบัง
• การดำเนินการโดยไม่เปิดเผยต่อผลบวกลวง การล็อคบัญชีโดยไม่ตรวจสอบ "ภัยคุกคาม" ที่ AI ทำเครื่องหมายไว้อาจขัดขวางการดำเนินการ
• การป้องกันนอกเหนือจากการจัดการการเปลี่ยนแปลง การแข็งตัวก็เป็นการเปลี่ยนแปลงเช่นกัน ต้องมีการทดสอบและย้อนกลับ ไม่เช่นนั้นอาจตัดการเข้าถึงได้
• ข้ามหลักการมีอำนาจน้อยที่สุด การอนุญาตมากเกินไปจะทำให้เกิดความเสียหายเป็นทวีคูณเมื่อบัญชีถูกบุกรุก

เคล็ดลับ: แม้ในขณะที่วิเคราะห์การค้นพบความปลอดภัยด้วย AI โปรดระวังอย่าทำให้หลักฐานจริงเสียหาย (บันทึก รูปภาพ) ในกรณีที่อาจต้องมีการสอบสวนทางนิติเวช ความสมบูรณ์ของหลักฐานเป็นสิ่งเดียวที่ไม่สามารถเรียกคืนได้ในภายหลัง ป้องกันไว้ก่อน วิเคราะห์ทีหลัง

โดยสรุป

ผู้ดูแลระบบเป็นแนวหน้าในการป้องกัน และ AI เป็นพันธมิตรที่ทรงพลังในการป้องกัน: การตรวจจับภัยคุกคามที่บันทึก การทำให้แข็งแกร่งขึ้น การจัดลำดับความสำคัญของแพตช์ และร่างการตอบสนองต่อเหตุการณ์ แต่การใช้อำนาจนี้อย่างถูกต้องตามกฎหมายเพียงอย่างเดียวคือในระบบที่คุณมีอำนาจและเพื่อวัตถุประสงค์ในการป้องกัน การใช้ AI เพื่อการเข้าถึงหรือโจมตีโดยไม่ได้รับอนุญาตถือเป็นอาชญากรรม และโมดูลนี้จะปฏิเสธการกระทำดังกล่าว ใช้หลักการที่มีอำนาจน้อยที่สุดและการป้องกันในเชิงลึกเป็นเกณฑ์ ตรวจสอบการค้นพบในระบบจริง เปลี่ยนความลับที่รั่วไหลก่อน ใช้การเปลี่ยนแปลงการป้องกันด้วยการจัดการการเปลี่ยนแปลง และปกป้องหลักฐาน การวิเคราะห์และร่าง AI การตัดสินใจ อำนาจ และความรับผิดชอบเป็นของคุณ

งานสมัคร

เลือกระบบที่คุณได้รับอนุญาตเป็นลายลักษณ์อักษร ปิดบังการกำหนดค่าและให้ AI ตรวจสอบเพื่อการอนุญาตและการป้องกันในเชิงลึกขั้นต่ำด้วยเทมเพลต "การตรวจสอบการแข็งตัว" ด้านบน แสดงรายการช่องโหว่ที่พบและตรวจสอบแต่ละจุดในระบบจริง แยกส่วนบันทึกการตรวจสอบสิทธิ์ของคุณออกจากกัน และมองหารูปแบบที่ผิดปกติด้วยเทมเพลต "การตรวจจับภัยคุกคามบันทึก" และยืนยันการค้นพบอย่างน้อยหนึ่งรายการ วางแผนว่าคุณจะเปลี่ยนแปลงอย่างไร จัดการการแก้ไขข้อใดข้อหนึ่งที่คุณพบ เขียนงานทั้งหมด 6 บทความ เน้นกรอบอำนาจและการป้องกันประเทศ

รายการตรวจสอบ

• [ ] ฉันเคยทำงานเฉพาะกับระบบที่ฉันได้รับอนุญาตเป็นลายลักษณ์อักษรและเพื่อวัตถุประสงค์ในการป้องกันหรือไม่?
• [ ] ฉันปกปิด IP, ผู้ใช้, โฮสต์ และความลับที่รั่วไหล (และเปลี่ยนความลับ) ในบันทึกและการกำหนดค่าหรือไม่
• [ ] ฉันได้ตรวจสอบการค้นพบภัยคุกคาม/ช่องโหว่ของ AI ในระบบจริงและกำจัดผลบวกลวงแล้วหรือยัง?
• [ ] ฉันได้ใช้หลักการของอำนาจขั้นต่ำและการป้องกันเชิงลึกเป็นเกณฑ์หรือไม่?
• [ ] ฉันยังใช้การเปลี่ยนแปลงการป้องกันด้วยการจัดการการเปลี่ยนแปลง (ทดสอบ + ย้อนกลับ) หรือไม่?
• [ ] ฉันได้รักษาความสมบูรณ์ของหลักฐานในสถานการณ์ที่อาจต้องมีการตรวจทางนิติเวชหรือไม่?