Girdeji:
- Statik we dinamiki derňew gatlaklaryna düşüniň we emeli intellekt bilen simli üçburçlygy, skript düşündirişini we IOC çykaryşyny ýerine ýetirip bilersiňiz
- Anomaliýa we tor trafiginde maýak ýaly nagyşlary bellemek we her IOK-ny barlamak ukyby
- Zyýanly programma üpjünçiliginiň diagnozynyň gipotezadygyna we bu maglumatlaryň diňe goranmak we ygtyýarly derňew üçin ulanyljakdygyna we rugsatsyz girmek ýa-da hüjüm etmek üçin ulanylyp bilinmejekdigine düşünmek.
Bir hadysanyň merkezinde köplenç zyýanly programma üpjünçiligi bar - ulgamy zaýalamak, maglumatlary ogurlamak ýa-da gözegçilik etmek üçin döredilen programma üpjünçiligi. "Bu faýl näme edýär, sistema nädip girdi, näme ogurlady, daşarda nirede habarlaşdy?" Bu soraglaryň jogaplary, waka düşünmek we kazyýete hödürlemek üçin möhümdir. Edil şonuň ýaly-da, ulgam kazyýet işi - bir hadysany tor trafik ýazgylaryndan yzarlamak hüjümçiniň girişini we çykandygyny görkezýär. Bu bölümde, AI-iň bu iki ugurda tizlendiriji bolup, diňe goranmak, barlamak we ygtyýarly gözden geçirmek maksatlary üçin ulanylmalydygyny öwreneris.
Ilki bilen serhet: gorag ulanylyşy
Bu bölümiň iň möhüm sözlemi başynda: Bu maglumatlar diňe öz ulgamyňyzy goramak, ygtyýarly kazyýet işini derňemek we subutnamalary barlamak üçin niýetlenendir. Işleýän zyýanly programma üpjünçiligini öndürmek, başga biriniň ulgamyna girmek ýa-da hüjüm döretmek üçin AI ulanmak bikanun we ahlaksyz we bu modulyň çäginden çykmaýar. Kazyýet seljerijisi hüjümçiniň edenine düşünmek we subut etmek üçin ters inersenerler; hüjümi gaýtalamazlyk.
Üns beriň: AI-e "maňa işleýän zyýanly programma üpjünçiligini ýazyň" ýa-da "bu sistema nädip girip bilerin" diýmek, rugsatsyz ulanmak. Dogry ulanylyşy: "bu tapylan mysalyň näme edýändigini düşündiriň", "goranyş nukdaýnazaryndan bu traffigiň nämäni aňladýandygyny", "bu Halkara olimpiýa komitetini nädip barlamaly". Maksat elmydama goranmak we subut etmekdir.
Zyýanly programma üpjünçiliginiň iki gatlagy
Zyýanly programma üpjünçiligi derňewi ikä bölünýär. Statik derňew - programmanyň koduny we gurluşyny işletmän barlamak: faýl görnüşi, setirler - faýlyň içindäki okalýan tekstler, ulgam funksiýalary diýlip atlandyrylýan URL-ler. Dinamiki derňew (dinamiki derňew - programmany izolirlenen gurşawda işletmek we özüni alyp barşyna syn etmek): adatça sandyk gutusynda ýerine ýetirilýär (sandbox - zyýanly programma üpjünçiligi hakyky sistema zeper ýetirmän işleýän izolirlenen howpsuz gurşaw); Haýsy faýllary döredýändigini, haýsy registr düwmelerine degýändigini we nirä birikýändigini gözegçilikde saklaýar.
AI iki gatlakda düşündiriş we ileri tutulmaga goşant goşýar:
- Şübheli URL-leri, buýruklary we tehniki nagyşlary kataloglarda (setirlerde) bellemek.
- Scriptazuwyň ýa-da makronyň näme edýändigini aç-açan dilde düşündirmek.
- Gum gutusynyň özüni alyp barş ýazgylaryny jemlemek we IOC-ni çykarmak (Ylalaşygyň görkezijisi: zyýanly IP, domen ady, faýl hasy, hasaba alyş açary) ýaly duýduryş signallary.
- Belli hüjüm usullaryny çarçuwada kartalaşdyrmagyň çyzgysy (meselem, MITER ATT & CK - hüjüm taktikalaryny we usullaryny klassifikasiýa edýän açyk bilim bazasy).
Her çykyş, barlanmaly gipoteza; Kesgitli diagnoz, sandyk gutusynda we surnallarda özüni alyp barşyny subut etmek arkaly edilýär.
Tor kazyýet seljermesi we AI
Tor tarapynda PCAP (paket almak - tor trafiginiň paket bilen ýazylan paket), NetFlow / sessiýa ýazgylary (kim bilen gürleşendigi, haçan, näçe wagt) we proksi / DNS ýazgylary bar. Bu maglumatlar ullakan bolup biler. AI:
- Adaty bolmadyk baglanyşyklary baýdaklar (garaşylmadyk ýurt, port, dowamlylyk).
- Maýaklamak (döwürleýin buýruk serwerine "Men geldim" signalyny iberýän zyýanly programma üpjünçiligi) ýaly döwürleýin nagyşlary kesgitleýär we ileri tutýar.
- DNS surnallarynda şübheli / ýasalan domen adynyň nagyşlaryny (algoritm döredilen domen atlary) baýdaklar.
- Trafigi ýönekeý waka kyssasyna öwürýär we hasabatyň taslamasyny taýýarlaýar.
Maslahat: AI traffigi seljerende, adaty binýady kesgitläň - ulgamyň adaty özüni alyp barşy: "Bu serwer adatça diňe 443-nji portda aşakdaky ýurtlara birikýär." Anomaliýa diňe adaty bilen baglanyşykly many alýar; Esasy zat bolmasa hemme zat şübheli görünýär we ýalan pozitiwler partlaýar.
Galýusinasiýa we diagnoz töwekgelçiligi
Zyýanly programma üpjünçiliginiň derňewinde AI galýusinasiýa aýratyn howply: AI ýok funksiýa jaňyny "görüp" ýa-da setiri ýalňyş düşündirip we "bu töleg programmasy" diýip biler. Diagnoz, dinamiki derňew (özüni alyp barşyny görmek), IOK-lary barlamak we mümkin bolsa belli gollar bilen goldanmalydyr. "AI şeýle diýdi" zyýanly programma üpjünçiligini anyklamak üçin hiç wagt ýeterlik däl.
üç sany kiçi halat
1-nji waka - Makro derňewi çaltlaşdyryldy. Fişing hadysasynda alnan Office resminamasyndaky VBA makrosy çylşyrymly we örtülen. AI makronyň ädimlerini ýönekeý dilde düşündirdi: PowerShell buýrugyny kesgitledi we ýük ýüküni uzak adrese göçürip aldy. Analitik bu çaklamany sandyk gutusynda tassyklady; Göçürilen salgy IOC hökmünde petiklendi. Derňew 3 sagatdan 40 minuta çenli azaldy.
2-nji waka - Beaconing tutuldy. 6 sagatlyk NetFlow ýazgysynda AI her 300 sekuntda şol bir daşarky IP-e kiçi, yzygiderli birikmeleri belledi. Analitik buýruk-gözegçilik maýagydygyny tassyklady we bozulan maşyny kesgitledi. Yzygiderli nagyş şeýle boldy welin, adamyň gözi millionlarça setiri sypdyrardy.
3-nji hadysa - Nädogry diagnozdan gaýdyp gelmek. AI bir nusganyň setirlerine seredip, ony “belli X töleg programmasy” diýip belledi. Analitik ony sandyk gutusyna geçirdi: şifrlemek häsiýeti ýokdy, nusga aslynda infostealerdi. Dinamiki barlamak, ýalan maşgala şahsyýetleriniň hasabata girmeginiň öňüni aldy.
Göçürip boljak dört şablon
1) Setir üçburçlygy:
Siziň roluňyz: goragly zyýanly programma analitigi. Aşakda formadan alnan setirler bar. Şübheli URL-leri, IP-leri, faýl ýollaryny, buýruklary, bellige alyş düwmelerini we tehniki görkezijileri belläň we JUSTIFICATION ýazyň. Bu çaklama; anyklaýyş däl. Iş kody döretmek; diňe bar bolan setirleri düşündiriň.
2) skript / makro düşündiriş:
Bu makrony / skripti goragly suratlandyryň: ädimme-ädim näme edýär, haýsy faýl / tora / ýazga girýär, tutanýerlilik ýa-da maglumatlaryň süzülmesi barmy? Her tassyklamany koddaky bir setir bilen baglanyşdyryň. Kody ýerine ýetirmek ýa-da "gowulaşdyrmak"; düşündiriň. Ynanmasaňyz, ony "sandykda barlaň" diýip belläň.
3) Halkara olimpiýa komitetiniň netijesi:
Aşakda sandyk gutusynyň özüni alyp barş gündeligi bar. Barlap boljak IOC kandidatlaryny şu ýerden çykaryň: IP, domen ady, faýl hash, hasaba alyş açary, döredilen faýl. Her IOK-y gündelige setir bilen baglanyşdyryň. Tapmak / blokirlemek we tassyklamak üçin kandidatlardygyny görkeziň.
4) Tor anomaliýa belligi:
Esasy esas: bu serwer adatça diňe 443-den [ýurt / hyzmat] bilen gürleşýär. Sessiýa ýazgylaryny size bererin. Diňe ýazgyda hakykatdanam bolup geçýän zatlara esaslanýar: garaşylmadyk barmaly ýer, port, dowamlylyk we döwürleýin (maýak) nagyşlar; Hersini degişli setir bilen görkeziň. Sebäbini talap etme; Goranmak nukdaýnazaryndan düşündiriş beriň.
Gowşak haýyş / Güýçli haýyş
Gowşak haýyş:
Aýdyň, bu faýl wirusmy?
Kontekst ýok, tassyklama ýok; AI setirlere seredip, takyk, ýöne nädogry diagnoz goýup biler.
Güýçli haýyş:
Siziň roluňyz: goragly zyýanly programma analitigi. Size statiki görkezijileri (faýl görnüşi, setirler, atlandyrylan API-ler) we sandbox hereketiniň gysgaça mazmunyny bererin. Wezipe: syn edilen özüni alyp barşyň esasynda HYPOTHESIS hökmünde mümkin bolan kategoriýany teklip ediň (meselem, göçürip alyjy, haker, töleg programma üpjünçiligi); Her gipotezany anyk görkeziji bilen baglanyşdyryň. Maşgala anyk diagnoz goýmak; Dinamiki barlamak ädimlerini sanaň. Diňe goragly düşündiriş beriň.
Gözegçilige bil baglamak, “gipoteza”, barlamak ädimi we goranyş çäklendirmesi netijäni peýdaly we ahlakly edýär.
Analiz gatlaklarynyň tablisasy
gatlak
görýän zat
AI goşant
barlamak
statik
Setirler, gurluş, API
Şübheli görkeziji bellik
el bilen barlamak
Dinamiki
işiň özüni alyp barşy
Gysgaça mazmun, Halkara olimpiýa komiteti
gum gutusyna gözegçilik
Tor (PCAP / akym)
ýol hereketiniň görnüşleri
Anomaliýa / maýak belligi
Esasy tassyklama
korrelýasiýa
köp çeşme
kyssa görnüşi
subutnamalar
Adaty ýalňyşlyklar
- Statiki diagnozy göz öňünde tutmak hökman. Maşgala diagnozy dinamiki hereket bilen tassyklanmalydyr.
- Esasy anomaliýalary gözlemek. Adaty kesgitlemezden hemme zat ýalan pozitiw bolýar.
- IOK-ny barlamazdan blokirlemek. Sealan IOK kanuny traffigi saklaýar; tassykla.
- AI-den hüjüm öndürmek / haýyş etmek. Rugsat berilmedik ulanmak; diňe goranmak we barlamak.
- Zyýan berijini izolýasiýa etmezden işletmek. Dinamiki derňew elmydama izolirlenen sandykda edilýär.
Gysgaça
Zyýanly programma üpjünçiligi we torlaýyn kazyýet seljermesi wakanyň tehniki özenini açýar. AI; Setir üçburçlygy, skript / makro düşündiriş, IOC çykarmak we tor anomaliýa baýdagyny çaltlaşdyrýar. Emma diagnoz gipoteza; dinamiki derňew, esasy we IOC barlamak adam işi. Iň esasy zat: bu maglumatlar goranmak, ygtyýarly gözden geçirmek we diňe subutnamalary barlamak üçin - hiç haçan rugsatsyz girmek ýa-da hüjüm etmek üçin.
Programma meselesi
Ygtybarly, izolirlenen gurşawda (ýa-da hyýaly mysalda) skript / makro düşündiriş ssenarisini düzüň. "Scriptazgy / makro düşündiriş" we "IOC salgylanma" şablonlaryny ulanyň; Her IOC AI ekstraktlaryny çeşmä birikdiriň we barlaň. Soňra nusga sessiýa gündeliginde "Tor anomaliýa belligi" nagşy bilen maýak nagşyny tapmaga synanyşyň we esasy bilen tassyklaň.
gözegçilik sanawy
- [] Derňewi diňe gorag / ygtyýarly gözden geçirmek maksady bilen geçirdim.
- [] Diagnozy gipoteza hökmünde kabul etdim we ony dinamiki häsiýet bilen tassykladym.
- [] Zyýanly programma üpjünçiligini diňe izolirlenen sandykda işledim.
- [] Tor anomaliýalaryny esas bilen düşündirdim.
- [] Her IOK-y çeşmä birikdirdim we blokirlemezden ozal tassykladym.