Girdeji:
- Emeli intellektiň müňlerçe gündelik setirleri jemleýändigine we jemländigine düşüniň, wagt çyzgysyny kesgitleýär we şübheli nagyşlary görkezýär, ýöne analitik bu hadysanyň çig mal bilen hakyky hüjümdigini karar berýär
- SIEM duýduryşyna baha berlende esasy mazmuny (adaty özüni alyp barş) we ýalan pozitiwleri kontekstsiz nädip ýok edip boljakdygyny we anomaliýany nädip düşündirip bolmajakdygyny;
- Çig gündeliginde emeli intellekt bilen döredilen hadysalaryň zynjyryny barlamak we ýalňyş baglanyşyklary aýyrmak endigine eýe bolmak
Howpsuzlyk boýunça analitik, gününiň köpüsini gündelik ýazgylaryny geçirýär. Surnal, ulgamda bolup geçen wakalary görkezýän tekst setiridir: haçan girdi, haýsy faýla girildi, haýsy baglanyşyk ret edildi. Mesele gündeligiň gaty az bolmagy däl, onuň gaty köp bolmagy we dem almagydyr. Orta ölçegli gurama günde ýüzlerçe million log setirlerini öndürýär. Bu üýşmeleňde hakyky hüjümiň yzy pyçakdaky iňňedir. SIEM (Howpsuzlyk maglumatlary we hadysalary dolandyrmak - bir merkezdäki dürli çeşmelerden ýazgylary ýygnaýan we baglanyşdyrýan we düzgüne esaslanýan duýduryşlary öndürýän ulgam) bu iňňäni tapmak üçin bar; emma SIEM-iň döredýän duýduryşlarynyň köpüsi hem ýalan pozitiwdir (aslynda howp abanmaýan biderek duýduryşlar). Analitigiň hakyky işi bu sesden hakyky signaly çykarmak.
Emeli intellekt bu tertipleşdirmekde güýçli kömekdir. Müňlerçe gündelik setirleri sekuntda okap, olary adam dilinde jemläp, toparlaryň gaýtalanýan nagyşlaryny jemläp, wakalar zynjyryny "ilki şeýle boldy, soň şeýle" diýip häsiýetlendirip biler we duýduryşyň şübheli görünýändigini düşündirip biler. Theöne AI guramanyň çäginde gündeligiň nämäni aňladýandygyny bilenok: "ir sagat 3-de girmek" bir edarada hüjüm, beýlekisinde gijeki nobat. Şeýlelik bilen AI gündeligi jemleýär we bellik edýär, ýöne analitik bir hadysanyň hakyky hüjümdigini ýa-da ýokdugyny kesgitleýär we ony çig mal bilen tassyklaýar.
Gündeligiň derňewiniň ädimleri
AI bilen ädimme-ädim gündelik / SIEM derňewini nädip alyp barýandygyňyz:
- Collectygnaň we anonimleşdiriň. Degişli gündelik bölegi aýyryň; hakyky IP-leri, ulanyjy atlaryny, içerki at atlaryny ýer eýeleri bilen çalyşyň (USER_A, IC_IP_1). Hiç haçan daşarky gural ýaly çig maglumatlary eksport etmäň.
- Mazmuny beriň. AI-a gündeligiň çeşmesini (firewall, Windows hadysasy gündeligi, web serweri), adaty özüni alyp barşyň nämedigini we näme gözleýändigiňizi aýdyň. Kontekstsiz hasaba alyş derňewi ýalňyşdyr.
- Jemleme we jemlemek. AI-den hadysanyň görnüşleri boýunça müňlerçe hatary toparlamagy, ýüze çykan sanlary çykarmagy we wagt çyzgysyny düzmegini haýyş ediň.
- Şübheli nagyşlar bellendi. "Şowsuz girişlerden soň bir üstünlikli giriş", "gysga wagtyň içinde köp faýl girişi", "näbelli prosese degişli tor birikmesi" ýaly nagyşlary belläň.
- Çig subutnama bilen barlaň. AI-iň hakyky gündelik setirlerinde görkezýän her bir nagşyny tapyň we tassyklaň. Şeýle hem AI-iň sypdyrýan ýerlerini gözden geçiriň.
- Karar we hasaba alyş. Analitik hökmünde hakyky wakany yglan ediň, bilet açyň we AI-iň diňe tizlendiriji bolandygyny tassyklaň.
Birnäçe adalga: sourceurnal çeşmesi gündeligi öndürýän ulgamdyr. Korrelýasiýa dürli çeşmelerden bolan wakalary bir ýere jemleýär we many berýär (VPN giriş + faýl ygtyýary + maglumat geçirmek = syzmak mümkin). Esasy ulgam, ulgamyň adaty özüni alyp barşynyň ölçegi; Anomaliýa diňe esasy bilen deňeşdirilende manyly. UEBA (Ulanyjy we kärhananyň özüni alyp barşynyň seljerişi), her ulanyjynyň adaty özüni alyp barşyny öwrenýän we gyşarnyksyzlygy görkezýän AI esasly çemeleşme.
deňeşdirme diagrammasy
Çemeleşme
Bu nähili işleýär?
güýçli nokat
gowşaklyk
Düzgüne esaslanan SIEM
Bellenen "if-then" düzgünleri
Aç-açan, düşnükli
Näbelli hüjümi, köp ýalan pozitiwleri sypdyrýar
Gol esasly kesgitleme
Badaramaz nagyş bilen gabat gelýär
Belli howpdan çalt
Täze / üýtgedilen hüjüme kör
Anomaliýa / UEBA (AI)
Adaty ýagdaýdan gyşarmagy tapýar
Näbelli zady alyp biler
Anomaliýa = hüjüm däl; ýalan pozitiw töwekgelçiligi
AI bilen jemlemek
Logurnalyň dilini jemleýär
Tizlik, okamak mümkinçiligi
Mazmuny ýok, galýusinasiýa töwekgelçiligi
Analitik (adam)
Kontekst bilen düşündirişler
karar, jogapkärçilik
Haýal, ýadadýar, ulalmaýar
Dogry gurnama birini saýlamak däl-de, gatlak etmek: SIEM we gol sesleri takmynan süzýär, AI jemleýär we tapawutlandyrýar, analitik barlaýar we karar berýär.
üç sany kiçi halat
Mysal 1 - 50,000 setir, 6 minut. Analitik, web serwerinden AI-e çenli 50,000 setir giriş gündeligini anonimleşdirýär. AI 3 sagadyň dowamynda 12,000 haýyş bilen bir daşarky IP gözleg / administrasiýa marşrutlarynyň, 480 dürli parametrleri synap görendigini we 3 gezek 200 jogap alandygyny kesgitleýär. Analitik bu 3 üstünlikli haýyşy çig gündeliginden tapýar, hakyky ýol sanamak hüjümidigini tassyklaýar we IP-ni bloklaýar. El bilen 50,000 setir okamak birnäçe sagat alardy; Gysgaça mazmun ony 6 minuda çenli azaltdy, ýöne analitigiň karary.
2-nji hadysa - Göz öňünde tutulan korrelýasiýa. Başga bir analitik AI-e "bu gündelige hüjüm zynjyryny suratlandyryň" diýýär. AI suwuk bir hekaýa döredýär: "02: 11-de USER_B artykmaçlygy ýokarlandyrdy we maglumatlary eksport etdi." Analitik hasabatda ýazmazdan ozal çig gündeligi açýar; gündeliginde artykmaçlyk artdyrmak ýa-da maglumat geçirmek ýok - model adaty wakalar zynjyryna “hüjüm hekaýasyna” laýyk gelýär. Analitik bu arzany göçürýär. Sapak: AI-iň aýdýan her bir zynjyry gündeliginde barlanmalydyr.
3-nji waka - Gijeki smena ýalan polo positiveitel. UEBA modeli, sagat 3-de 900 faýla girýän ulanyjyny "ýokary töwekgelçilikli anomaliýa" diýip belleýär. Analitik konteksti barlaýar: ulanyjy ätiýaçlyk operator we bu iş her gije sagat 03: 00-da işleýär; Esasy meselä seredilmedi. Duýduryş ýalňyş polo positiveitel. Analitik düzgüni kesgitleýär we bu operatory kadadan çykma sanawyna goşýar. Anomaliýa hemişe hüjüm däl; Kontekst bolmasa, duýduryş sesdir.
Gowşak haýyş / Güýçli haýyş
Gowşak haýyş:
Bu gündeligi gözden geçiriň, hüjümiň bardygyny aýdyň. [10.14.2.7 - ahmet.yilmaz - 200 - / admin ...]
Bu teklip hakyky IP we ulanyjyny öz içine alýar (şahsy durmuşyň eldegrilmesizligi), gündelik çeşmesini we adaty özüni alyp barşyny aýtmaýar, AI-den subutnama we ýalňyş polo positiveitel baha bermeýär. AI sizi "hawa, hüjüm bar" diýen bir söz bilen azaşdyryp biler.
Güýçli haýyş:
Siziň roluňyz: DRAFT derňewini taýýarlaýan SOC analitiginiň kömekçisi. Karar bermäň, hüjüm yglan etmäň. Bu web serweriniň anonim girişi (IP we ulanyjylar maskalanýar). Adaty traffik: iş wagty, esasan / önüm we / araba ugurlary boýunça 100-300 haýyş / sagat. Siziň wezipäňiz: (1) görnüşi we çeşmesi boýunça toparlaýyn hadysalar, ýüze çykanlaryň sanyny beriň, (2) esasy çyzykdan daşlaşýan baýdak nagyşlary, (3) haýsy ýazgy setirlerine esaslanýandygyny görkezmek, (4) her biriniň ýalňyş polo positiveitel ähtimallygyny we sebäbini ýazyň. Gabat gelýän çyzyk / IOC goýmak; Ynanmaýan ýeriňizde "[analitik barlaň]" belläň. [Anonim log şu ýere]
Güýçli talap roly çäklendirýär, mazmuny we esasy üpjün edýär we subutnamalar bilen gatnaşygy we ýalan pozitiwlere baha bermegi talap edýär.
Göçürip bolýan gyssagly şablonlar
GYSGAÇA GYSGAÇA TEMPLATY Anonim [log çeşmesi: mes. [Gorag diwary] gündeligini jemläň: (1) hadysanyň görnüşleri boýunça topar we her toparyň ýüze çykan sanyny beriň, (2) özboluşly çeşmäniň / nyşanyň sanyny çykaryň, (3) wagt çyzgysyny kesgitläň (ilkinji waka, iň ýokary sagat), (4) subutnama çyzgysy bilen 5 sany meşhur anomaliýany sanaň. Karar bermek; gysgaça. Giriş: [paste]
KORRELASIEMA TEMPLATEKONY Wagtyň we guramanyň üstünden näbelli wakalary baglanyşdyryň we bolup biljek wakalar zynjyryny guruň; UTöne, her ädim üçin haýsy gündelige esaslanýandygyny görkeziň we "[hiç hili esas ýok - tassyklanmaly]" diýen esassyz ädim belläň. Gowy niýetli başga bir düşündiriş ýazyň. Wakalar: [ýelme]
ALAL .YŞ POSITIW ÖIMÜNI ALMAK ÜÇIN TERJIME Bu duýduryş üçin hüjümi düşündirmek üçin azyndan 3 sany niýetli (ýalan polo positiveitel) düşündiriş beriň we hersini barlamak üçin haýsy goşmaça log / subutnama seretmelidigimi ýazyň. Soňra haýsy goşmaça subutnamanyň hüjümi goldaýandygyny we haýsynyň garşydygyny kesgitläň. Duýduryş: [pasta]
WAGTY GÖRNÜŞ GÖRNÜŞI: Bu näbelli gündeliklerden ýekeje hronologiki wagt çyzgysy alyndy: her setir [wagt] [subýekt] [waka] [çeşme gündeligi] görnüşindäki. Wagt belligi bolmazdan bir waka goşmak. Boşluklary düzetmäň; Missingitirim bolsa, "[ýitirim]" ýazyň. Surnallar: [paste]
Adaty ýalňyşlyklar
- Kontekstsiz derňew. Gündeligiň çeşmesini we adaty özüni alyp barşyny (esasy) ýatlamazdan edilen teswirler ýalňyşdyr; "anomaliýa" kontekst bilen many alýar.
- AI tarapyndan döredilen zynjyry barlamazlyk. Model adaty wakalary hüjüm hekaýasy bilen baglanyşdyryp biler; Çig gündeligiň her ädimini tassyklaň.
- Hüjüm üçin anomaliýa ýalňyşmak. UEBA-nyň alamaty gipoteza; Backtiýaçlyk, tehniki hyzmat, täze programma üpjünçiligi ýaly bigünä sebäpleri ýok ediň.
- Maskalanman çig maglumatlary eksport etmek. Hakyky IP / ulanyjy / öý eýesi hem KVKK düzgüni, hem-de hüjümçä tor kartasy sowgady.
- Negativearamaz jemleme ynanmaň we göz aýlamagy bes ediň. AI "möhüm zat ýok" diýse-de, yzygiderli soragyňyzy (möhüm waka görnüşleri, täze IOK) işlediň.
Maslahat: AI gündeligi jemlände elmydama "subutnama setirini görkezmegi" haýyş ediň. Subutnamasyz hiç hili tapyndylara çynlakaý garamaň; Bu düzgün galýusinasiýalaryň köpüsini kesýär.
Üns beriň: AI "ýalan polo positiveitel" hakyky hüjümi ýapyp biljekdigi sebäpli SIEM duýduryşyny ýatyrmak. Şeýle hem AI-iň "ähmiýetsiz" diýýän duýduryşyny özbaşdak barlaň; Ureapmak karary analitige degişlidir we ýazga alynýar.
Gysgaça
Logurnalyň we SIEM derňewiniň düýp manysy, ägirt uly üýşmeleňden hakyky signaly çykarmakdyr. Bu tertipleşdirmede AI gündeligi sekuntlarda jemleýär, toparlaryň nagyşlaryny düzýär, wagt çyzgysyny kesgitleýär we şübheli adamy görkezýär - ýöne institusional mazmuny bilmeýär we wakalary düzüp bilýär. Şeýlelik bilen dogry gurnama gatlakly: düzgün / gol takmynan süzülýär, AI jemleýär we baýdak berýär, analitik çig mal bilen barlaýar we karar berýär. Üç ýörelge sizi goraýar: kontekst (hiç hili anomaliýa düşündirilmeýär), subutnamalar (her tapyndy çig çyzyk bilen baglanyşykly), garaşsyz gözegçilik (AI "arassa" sebit diýilýän zat hem skanirlenýär). Hemişe anonim işleýär.
Programma meselesi
Gündeligiň bir bölegini alyň (ýa-da öz ulgamyňyzdan ýa-da maglumatlar toplumyndan anonim). Ilki bilen, "Log Summarization" şablony bilen AI-e jemläň. Soňra iň görnükli üç netijäniň her biri üçin “sealňyş pozitiw ýok etmek” şablonyny ulanyň we her birini çig gündeligiňizde barlaň. Ahyrynda, AI-iň gysgaça mazmuny bilen çig okamagyňyzyň arasyndaky tapawutlara üns beriň: AI näme sypdyrdy, näme düzdi, nämäni dogry etdi?
gözegçilik sanawy
- [] Logurnaly anonim etdim; hakyky IP / ulanyjy / öý eýesi maskaly.
- [] AI-a gündelik çeşmesini we adaty özüni alyp barşyny berdim.
- [] Her tapyndy üçin subutnamalar setirini soradym we çig gündeliginde tassykladym.
- [] AI tarapyndan döredilen wakalar zynjyrynyň her ädimini tassykladym, ýasama otlary.
- [] Her duýduryş üçin azyndan bir ýalan oňyn düşündiriş göz öňünde tutdum.
- [] Şeýle hem, AI-iň "arassa / ähmiýetsiz" diýýän ýerlerini gözden geçirdim.
- [] Analitik hökmünde karar berdim we waka ýazgysyny; AI-ni tizlendiriji hökmünde dokumentleşdirdim.