Lợi nhuận:
- Khả năng chuẩn hóa nhiều nguồn dấu thời gian thành một tham chiếu duy nhất (UTC) và đánh dấu các điểm bất thường cũng như khoảng trống trong siêu dòng thời gian bằng trí tuệ nhân tạo
- Khả năng phân biệt giữa mối tương quan và quan hệ nhân quả, đồng thời xác minh câu chuyện do trí tuệ nhân tạo thiết lập bằng cách kết nối từng sự kiện với nguồn của nó
- Khả năng nhận biết các rủi ro như dấu thời gian, trôi đồng hồ và khoảng trống nhật ký và xác nhận chúng bằng nhiều nguồn
Chỉ có một điều duy nhất cho bạn biết khi nào, như thế nào và theo thứ tự nào một sự kiện mạng thực sự xảy ra: thời gian. Khi kẻ tấn công vào hệ thống, hắn đã chạm vào tệp nào và khi nào, khi nào hắn lấy dữ liệu ra - tất cả những dữ liệu này được lưu trữ trong các nhật ký khác nhau (tệp ghi trong đó hệ thống ghi lại các sự kiện) và các dấu thời gian khác nhau (dấu thời gian - bản ghi về ngày và giờ khi một sự kiện xảy ra). Phân tích dòng thời gian sắp xếp các dấu thời gian rải rác này thành một câu chuyện theo trình tự thời gian duy nhất và hỏi "chuyện gì đã xảy ra?" Đó là nghệ thuật trả lời câu hỏi. Trong phần này, chúng ta sẽ xem AI mang lại tốc độ tuyệt vời như thế nào trong việc sắp xếp dữ liệu lộn xộn này và nơi nó có thể đánh lừa bạn.
Vô số và cạm bẫy của dấu thời gian
Ngay cả một tập tin cũng có nhiều dấu thời gian. Ví dụ: một hệ thống tệp có tem MACB: Đã sửa đổi, Đã truy cập, Đã thay đổi, Đã sinh. Ngoài ra, còn có nhật ký sự kiện của hệ điều hành (Nhật ký sự kiện Windows), nhật ký máy chủ web, nhật ký tường lửa, nhật ký ứng dụng và bản ghi sổ đăng ký (Windows register - cơ sở dữ liệu phân cấp nơi lưu trữ cài đặt hệ thống và ứng dụng).
Cạm bẫy lớn nhất là múi giờ và thời gian trôi dạt. Một nhật ký ghi lại UTC (giờ phối hợp quốc tế), giờ địa phương còn lại; đồng hồ của hệ thống có thể được đặt không chính xác; Kẻ tấn công có thể đã cố tình thao túng các dấu thời gian (dấu thời gian - giả mạo dấu thời gian của tệp). Vì vậy, trước khi thiết lập dòng thời gian, phải xác định độ chính xác của múi giờ và đồng hồ của từng nguồn, tất cả được chuẩn hóa thành một tham chiếu chung (thường là UTC).
Thận trọng: Đó là một sai lầm kinh điển khi đặt hai nhật ký cạnh nhau vào những khoảng thời gian khác nhau và nói "nó xảy ra cùng một lúc". Chuyển đổi tất cả các dấu thời gian thành một tham chiếu duy nhất trước khi tương quan; Nếu không, mối quan hệ nhân quả do AI (và bạn) thiết lập đã mục nát ngay từ đầu.
Siêu dòng thời gian và AI
Trong điều tra máy tính, cấu trúc kết hợp tất cả các nguồn này được gọi là siêu dòng thời gian; Nó thường được tạo bằng các công cụ như Plaso/log2timeline và có thể có hàng chục nghìn hoặc thậm chí hàng triệu hàng. Đây là lúc AI xuất hiện: đánh dấu các mô hình và điểm bất thường có ý nghĩa trên biểu đồ khổng lồ này.
Đóng góp an toàn của AI:
- Gắn cờ bất thường: Truy cập ngoài giờ, leo thang đặc quyền đột ngột, chuỗi quy trình bất thường, đăng nhập thất bại nhiều lần trong một khoảng thời gian ngắn.
- Phân cụm sự kiện: Nhóm các sự kiện tập trung vào cùng một khoảng thời gian và đánh dấu chúng là "có chuyện gì đó đã xảy ra ở đây".
- Đề cương tường thuật: Chuyển các sự kiện đã được xác minh thành một câu chuyện theo trình tự thời gian bằng ngôn ngữ đơn giản (bản thảo đầu tiên cho báo cáo).
- Phát hiện khoảng trống: "Không có nhật ký nào trong khoảng thời gian 40 phút này - chúng có thể bị xóa không?" Hỏi về những thiếu sót như.
Trong mỗi trường hợp, AI tạo ra các giả thuyết; Bạn chứng minh được tính nhân quả và giá trị bằng chứng.
Mẹo: Khi cung cấp dòng thời gian cho AI, trước tiên hãy cho AI biết rõ múi giờ và định dạng: "Tất cả các dấu thời gian đều ở định dạng UTC, ISO 8601". Bình thường hóa các định dạng hỗn hợp trước; Để AI đoán định dạng là lời mời mắc lỗi.
Tương quan không phải là nhân quả
Lỗi logic nguy hiểm nhất trong phân tích thời gian là cho rằng sự kế thừa là nhân quả. "USB được cắm lúc 22:10, file được sao chép lúc 22:12" hai sự kiện có thể xảy ra liên tiếp nhưng không chứng minh được rằng cùng một người làm việc đó vì cùng một mục đích; Có thể có một lời giải thích khác. Mặc dù AI xây dựng một câu chuyện trôi chảy nhưng nó không nhìn thấy khoảng trống này và có thể tạo ra một câu chính xác như "Dữ liệu đã bị đánh cắp qua USB". Công việc của chuyên gia là loại bỏ những giải thích thay thế và hỗ trợ từng bước bằng bằng chứng độc lập.
ba trường hợp nhỏ
Trường hợp 1 - Đồng hồ bị trôi. Trong một trường hợp, nhật ký máy chủ web và nhật ký tường lửa trông khác nhau trong 3 giờ. Trong bản dự thảo đầu tiên, AI coi đây là “hai cuộc tấn công riêng biệt”. Chuyên gia nhận thấy múi giờ của máy chủ được đặt không chính xác; Khi được chuẩn hóa, hai nhật ký sẽ khớp với một sự kiện duy nhất. "Sự khác biệt ảo" kéo dài 3 giờ không còn nữa.
Trường hợp 2 - Một khoảng trống cho thấy việc xóa. Trong dòng thời gian siêu dài 1,1 triệu dòng, AI đã gắn cờ rằng không có bản ghi nào trong khoảng thời gian từ 02:30-03:10. Chuyên gia kiểm tra: Trong cửa sổ này, nhật ký bảo mật đã bị xóa một cách có chủ ý (log Wipe). Bản thân khoảng trống đã trở thành một trong những bằng chứng mạnh mẽ nhất của cuộc tấn công.
Trường hợp 3 - Ảo giác bịa đặt một sự kiện. Trong khi tóm tắt, YZ cho biết: "Tài khoản quản trị viên được tạo lúc 03:45." Chuyên gia đã xem xét nguồn: không có ID sự kiện nào như vậy - số trong nhật ký Windows cho biết loại sự kiện; AI kết hợp hai dòng khác nhau và tạo ra một sự kiện không hề tồn tại. Bước liên kết đến nguồn đã ngăn chặn việc tường thuật sai sự thật.
Bốn mẫu có thể sao chép
1) Kế hoạch bình thường hóa thời gian:
Vai trò của bạn: nhà phân tích dòng thời gian pháp y. Tôi sẽ cung cấp cho bạn dấu thời gian từ nhiều nguồn khác nhau (định dạng và khoảng thời gian có thể khác nhau). Đầu tiên hãy xác định định dạng và múi giờ của từng nguồn, sau đó lên kế hoạch chuyển đổi tất cả chúng sang UTC/ISO 8601. Đánh dấu múi giờ mà bạn không chắc chắn là "cần xác nhận".
2) Đánh dấu bất thường:
Bối cảnh: máy chủ doanh nghiệp, giờ làm việc bình thường 08:00-18:00 (UTC+3).Tôi sẽ cung cấp cho bạn danh sách sự kiện chuẩn hóa. Chỉ dựa trên các bản ghi THỰC SỰ xuất hiện trong danh sách, hãy gắn cờ các nội dung sau: truy cập ngoài giờ, leo thang đặc quyền, đăng nhập không thành công nhiều lần, chuỗi quy trình bất thường. Đối với mỗi dấu hiệu, trích dẫn dòng có liên quan. Thêm cách giải thích/nhân quả; Tôi sẽ đánh giá nó.
3) Bố cục tường thuật (đối với báo cáo):
Dưới đây là những sự kiện tôi đã XÁC MINH (mỗi sự kiện đều có nguồn của nó). Biến chúng thành một câu chuyện đơn giản, theo trình tự thời gian. Chỉ sử dụng những sự kiện tôi đưa ra; thêm một sự kiện, dự đoán hoặc quan hệ nhân quả mới. Viết những kết nối mơ hồ bằng ngôn ngữ mô tả chúng là "có thể".
4) Quét khoảng trống và không nhất quán:
Trong dòng thời gian được chuẩn hóa này: (1) đánh dấu các khoảng thời gian ghi nhật ký dự kiến nhưng bị thiếu, (2) các bản ghi không theo thứ tự (từ tương lai đến quá khứ), (3) các mức tăng đột biến xuất hiện hàng loạt/tự động. Hiển thị mỗi dòng với khoảng cách dòng tương ứng. Chỉ ra rằng đây có thể là DẤU HIỆU của việc xóa/thao túng nhưng không phải là bằng chứng.
Dấu nhắc yếu / Dấu nhắc mạnh
Dấu nhắc yếu:
Tóm tắt những nhật ký này và giải thích những gì đã xảy ra.
Không có giới hạn về khung thời gian, nguồn hoặc "chỉ ghi thực"; AI có thể xây dựng một câu chuyện trôi chảy nhưng bịa đặt.
Lời nhắc mạnh mẽ:
Vai trò của bạn: nhà phân tích nhật ký pháp y. Nguồn: 3 nhật ký (Bảo mật Windows, truy cập Apache, tường lửa), tất cả được chuẩn hóa thành UTC, ISO 8601. Nhiệm vụ: liệt kê theo trình tự thời gian các sự kiện từ ngày 14 tháng 3, 21:00-23:00 chỉ dựa trên các dòng nhất định; trích dẫn từng dòng kèm theo nguồn và ID/mã sự kiện. Xác lập mối tương quan, khẳng định quan hệ nhân quả; Tôi sẽ bình luận. Đánh dấu riêng các khoảng thời gian bạn thấy là thiếu hoặc bất thường.
Các ràng buộc về nguồn, tham chiếu chuẩn hóa, "chỉ hàng nhất định" và "thiết lập quan hệ nhân quả" làm cho đầu ra có thể bảo vệ được.
Bảng nguồn dấu thời gian
Nguồn
Dấu thời gian mẫu
Chú ý
Hệ thống tập tin (MACB)
Sửa đổi/truy cập/tạo
Mở cho dấu thời gian
Nhật ký sự kiện Windows
Sự kiện đăng nhập, xử lý, dịch vụ
Xác minh ID sự kiện
nhật ký máy chủ web
yêu cầu thời gian
kiểm tra múi giờ
tường lửa/mạng
kết nối, từ chối
Đồng bộ hóa đồng hồ (NTP)
Đăng ký
Lần viết cuối cùng
Bình luận cần có chuyên môn
Ứng dụng/trình duyệt
lịch sử, bộ nhớ đệm
có thể là giờ địa phương
Những lỗi thường gặp
- Thiết lập mối tương quan mà không bình thường hóa khoảng thời gian. Các lát cắt khác nhau tạo ra sự "đồng thời" sai.
- Nhầm lẫn mối tương quan với quan hệ nhân quả. Các sự kiện liên tiếp không có nghĩa là cùng một thủ phạm/mục đích.
- Tin tưởng tuyệt đối vào dấu thời gian. Có thể đánh dấu thời gian và sai thời gian; Xác nhận với nhiều nguồn.
- Không xác minh sự kiện mà AI đã tập hợp. Sự kết hợp của hai đường có thể tạo ra một sự kiện không tồn tại.
- Bỏ qua những khoảng trống. Nhật ký bị mất thường là bằng chứng quan trọng nhất.
Tóm lại
Phân tích dòng thời gian là hành động xâu chuỗi các dấu thời gian rải rác lại với nhau thành một niên đại có thể kiểm chứng được. AI cung cấp tốc độ tuyệt vời trong việc gắn cờ, phân cụm, phát hiện lỗ hổng và soạn thảo tường thuật bất thường trên các dòng thời gian siêu hàng triệu dòng. Nhưng việc chuẩn hóa khoảng thời gian, sự phân biệt mối tương quan-nhân quả và việc quy kết mỗi sự kiện vào nguồn đều thuộc về con người. AI tạo ra các giả thuyết; Bạn là người bảo vệ niên đại trước tòa.
Nhiệm vụ ứng dụng
Chuẩn bị danh sách sự kiện mẫu gồm 15-20 dòng ở định dạng và múi giờ khác nhau (cố ý bao gồm sự thay đổi thời gian và khoảng trắng). Trước tiên, hãy chuyển đổi tất cả chúng sang UTC bằng mẫu "Kế hoạch chuẩn hóa thời gian". Sau đó, áp dụng các mẫu "Đánh dấu bất thường" và "Quét khoảng cách" đồng thời xác minh độ lệch đồng hồ và khoảng cách được AI ghi lại tại nguồn.
danh sách kiểm tra
- [] Tôi đã chuẩn hóa tất cả dấu thời gian thành một tham chiếu duy nhất (UTC).
- [ ] Tôi đã liên kết từng sự kiện với nguồn của nó (tệp/ID sự kiện/dòng).
- [ ] Tôi phân biệt giữa mối tương quan và quan hệ nhân quả; Tôi đã cân nhắc những lời giải thích khác.
- [ ] Tôi đã đánh dấu những khoảng trống trong nhật ký và những bản ghi bất thường.
- [ ] Tôi đã xác nhận các sự kiện mà AI đã tổng hợp/tóm tắt trong bản ghi gốc.