Quy trình làm việc SOC toàn diện, tự động hóa (SOAR), quản lý chất lượng và tự kiểm tra — Trí tuệ nhân tạo trong an ninh mạng

Lợi nhuận:

Khả năng thiết kế quy trình làm việc SOC từ đầu đến cuối bao gồm thu thập, phát hiện, phân loại, điều tra, can thiệp, cải tiến, báo cáo và phản hồi, chỉ định vị trí của trí tuệ nhân tạo và cổng con người
Khả năng phân tách tự động hóa theo mức độ rủi ro (các bước có rủi ro thấp/có thể đảo ngược là tự động, các bước có rủi ro cao/không thể đảo ngược là do con người kiểm soát) và thiết kế đường dẫn quay lui cho từng hành động tự động.
Khả năng thiết lập vòng phản hồi và tự giám sát để thường xuyên đo tỷ lệ dương/âm giả, MTTD/MTTR, độ chính xác đầu ra và độ lệch mô hình

Đơn vị cuối cùng này kết hợp những phần chúng tôi đã học riêng biệt trong suốt mô-đun—phân tích nhật ký, tìm kiếm mối đe dọa, quản lý lỗ hổng bảo mật, ứng phó sự cố, lừa đảo, đánh giá mã, thông tin tình báo, báo cáo—vào một quy trình làm việc toàn diện duy nhất. Trong một trung tâm điều hành an ninh (SOC) thực sự, các bước này không bị ngắt kết nối; Một cảnh báo sẽ kích hoạt một cuộc điều tra, từ đó kích hoạt phản hồi, kích hoạt báo cáo, kích hoạt biện pháp khắc phục. Trí tuệ nhân tạo tham gia vào mọi mắt xích của chuỗi này, nhưng chính con người mới là người nắm giữ chuỗi và đưa ra quyết định ở mọi cửa quan trọng.

Ngoài ra, đơn vị này còn bao gồm hai chủ đề quan trọng. Đầu tiên là tự động hóa: Khi SOAR (Điều phối, Tự động hóa và Phản hồi Bảo mật - nền tảng tự động hóa và tổ chức các quy trình bảo mật) và AI kết hợp, cả sức mạnh và rủi ro đều tăng lên; Cần phải phân biệt giữa những gì có thể được tự động hóa và những gì không bao giờ được con người phê duyệt. Thứ hai, quản lý chất lượng và tự điều chỉnh: Hoạt động bảo mật hỗ trợ AI không được thiết lập và hủy bỏ một lần; nó liên tục được theo dõi, đo lường, phản hồi và sửa chữa. Tự động hóa tăng tốc độ nhưng không loại bỏ trách nhiệm; Một chương trình bảo mật chỉ được an toàn thông qua việc tự giám sát thường xuyên.

Quy trình làm việc SOC toàn diện

Hãy xem AI phát huy tác dụng ở đâu và ai phê duyệt nó trong vòng đời sự cố điển hình:

Thu thập và giám sát: Nhật ký chuyển đến SIEM; AI giảm tiếng ồn, tóm tắt. (Tự động, rủi ro thấp.)
Phát hiện và cảnh báo: Quy tắc + sự bất thường + phát hiện mẫu AI. (Sản xuất tự động; phân loại ở người.)
Phân loại: Cảnh báo là thật hay dương tính giả? AI gợi ý lý do căn bản và mức độ ưu tiên; nhà phân tích xác nhận. (Cánh cửa của con người.)
Điều tra: AI thu thập bằng chứng, thiết lập dòng thời gian, liệt kê nguyên nhân cốt lõi; nhà phân tích xác nhận bằng bằng chứng thô. (Cánh cửa của con người.)
Can thiệp: Cách ly, khóa cửa, vệ sinh. AI cung cấp sự lựa chọn/ảnh hưởng; Quyết định nằm trong tay của nhà phân tích được ủy quyền. (Cánh cổng quan trọng của con người.)
Biện pháp khắc phục: Đóng lỗ hổng, loại bỏ nguyên nhân gốc rễ. dự thảo kế hoạch AI; phê duyệt trong quản lý thay đổi. (Con người + quá trình.)
Báo cáo: AI viết bản nháp, điều chỉnh theo khán giả; Chuyên gia xác minh và ký vào bằng chứng. (Cánh cửa của con người.)
Rút ra bài học và phản hồi: AI trích xuất các mẫu; Cập nhật các quy tắc và sách hướng dẫn phát hiện nhóm. (Con người + quá trình.)

Quy tắc của chuỗi này: các bước có rủi ro thấp, lặp đi lặp lại, có thể đảo ngược có thể được tự động hóa; Những bước đi có tính rủi ro cao, không thể đảo ngược, đòi hỏi sự phán đoán đều đi qua cánh cửa của con người.

Bảng quyết định tự động hóa

bước

Nó có thể được tự động hóa không

tình trạng

sự chấp thuận của con người

Thu thập nhật ký, chuẩn hóa

Vâng, chính xác

—

không cần thiết

Làm giàu cảnh báo (tìm kiếm IOC)

Có

Nguồn đáng tin cậy

Nó được xem xét

Loại bỏ dương tính giả (được biết là tốt)

một phần

quy tắc nghiêm ngặt

Kiểm tra bằng cách lấy mẫu

Kiểm dịch email lừa đảo

một phần

độ chính xác cao

Xem lại + đường dẫn khôi phục

Tự động khóa tài khoản

cẩn thận

Chỉ có tiêu chí rõ ràng

Xác minh con người nhanh chóng

Cô lập máy chủ

Nói chung là không

Ngoại trừ cơ sở hạ tầng quan trọng

Quyết định cưỡng bức của con người

Vá (sản xuất)

không

—

Kiểm tra + quản lý thay đổi

Báo cáo/thông báo chính thức

không

—

Chuyên gia + pháp luật

Quản lý chất lượng và tự kiểm tra

Hoạt động bảo mật được hỗ trợ bởi AI là một hệ thống sống; hiệu suất của nó thay đổi theo thời gian (các cuộc tấn công mới, môi trường thay đổi, cập nhật mô hình). Cần phải đo lường thường xuyên để giữ an toàn:

Tỷ lệ dương tính giả và âm tính giả: AI có thường xuyên đưa ra cảnh báo vô ích không, có thường xuyên bỏ sót mối đe dọa thực sự không? Những tiêu cực giả đặc biệt được theo dõi vì chúng âm thầm gây hại.
MTTD/MTTR: Thời gian phát hiện và phản hồi trung bình có được cải thiện không?
Độ chính xác đầu ra AI: Bằng cách lấy mẫu, bao nhiêu phần tóm tắt/phát hiện/trích dẫn của AI vượt qua xác thực?
Bảo mật tự động hóa: Các hành động tự động có hoạt động như mong đợi không, có bất kỳ trình kích hoạt sai nào không, quá trình khôi phục có hoạt động không?
Vòng phản hồi: Các sự kiện thực tế được tìm thấy có trở thành quy tắc phát hiện mới và cảnh báo được đưa ra có trở thành danh sách ngoại lệ không?

Điều khoản: MTTD (Thời gian trung bình để phát hiện). Vòng phản hồi là khi hoạt động học từ kết quả của chính nó và cập nhật các quy tắc của nó. Trôi mô hình là khi AI trở nên lỗi thời và hiệu suất giảm khi môi trường thay đổi. Tự kiểm tra là việc xem xét thường xuyên và quan trọng các quy trình của chính nhóm.

ba trường hợp nhỏ

Trường hợp 1 - Tự động hóa đúng. SOC tự động hóa bước “tự động làm phong phú và ưu tiên các cảnh báo phù hợp với các IOC độc hại đã biết và thuộc danh mục có rủi ro thấp”; nhưng luôn để lại bước "cách ly máy chủ" cho con người phê duyệt. Kết quả: các nhà phân tích được giải phóng khỏi 400 cảnh báo thường lệ mỗi ngày, giải phóng thời gian cho các cuộc điều tra thực tế, giao lại các quyết định quan trọng cho con người. Phần bên phải của dây chuyền là tự động, bên phải là con người.

Trường hợp 2 - Tự động hóa phản tác dụng. Một SOC khác định nghĩa quy tắc "tự động khóa tài khoản khi đăng nhập đáng ngờ" rất rộng. Một ngày nọ, do lỗi cấu hình, quy tắc này đã khóa 1.200 người dùng hợp pháp cùng một lúc và công việc dừng lại; Hơn nữa, đường dẫn phục hồi không được xác định. Bài học: tự động hóa có tác động cao phải có tiêu chí nghiêm ngặt, triển khai dần dần và lộ trình khôi phục. Tự động hóa phải có thể đảo ngược và được giám sát thông qua cơ chế tự điều chỉnh.

Trường hợp 3 - Sự trượt dốc do tự chủ. Trong quá trình tự kiểm tra kéo dài ba tháng, một nhóm nhận thấy rằng độ chính xác khi phát hiện lừa đảo của AI đang giảm: một làn sóng lừa đảo mới bị bỏ qua vì nó không phù hợp với các mẫu cũ (sự trôi mẫu). Nhóm thu thập mẫu, cập nhật các quy tắc phát hiện và làm mới bối cảnh được cung cấp cho AI. Nếu không có sự tự chủ thường xuyên, sự trốn tránh thầm lặng này có thể tiếp tục trong nhiều tháng. Bài học: chỉ vì hiệu suất tốt một lần, không phải lúc nào nó cũng tốt; đo lường và phản hồi là cần thiết.

Dấu nhắc yếu / Dấu nhắc mạnh

Dấu nhắc yếu:

Tự động hóa hoàn toàn SOC của chúng tôi và để AI xử lý mọi việc.

Yêu cầu này yêu cầu tự động hóa mà không phân biệt rủi ro, bỏ qua cánh cửa của con người và không xem xét việc khôi phục và kiểm soát. Nếu được thực hiện, các quyết định có rủi ro cao sẽ được tự động hóa mà không có sự giám sát và trở thành thảm họa ngay từ sai lầm đầu tiên.

Lời nhắc mạnh mẽ:

Vai trò của bạn: Nhà tư vấn thiết kế quy trình SOC. [Liệt kê] các bước trong vòng đời sự kiện này được chia thành ba bước dựa trên mức độ rủi ro: (A) hoàn toàn tự động (rủi ro thấp, có thể đảo ngược, lặp đi lặp lại), (B) AI khuyến nghị + sự chấp thuận của con người, (C) luôn là quyết định của con người (rủi ro cao, không thể đảo ngược). Đề xuất đường dẫn khôi phục bắt buộc và số liệu theo dõi cho từng (A) và (B). Đồng thời soạn thảo danh sách kiểm tra tự kiểm tra hàng quý: tỷ lệ dương tính/âm tính giả, MTTD/MTTR, lấy mẫu độ chính xác đầu ra AI, dấu hiệu lệch mô hình.

Nhu cầu mạnh mẽ phân chia tự động hóa theo mức độ rủi ro, yêu cầu khôi phục và giám sát, đồng thời thiết lập khuôn khổ tự điều chỉnh.

Mẫu lời nhắc có thể sao chép

MẪU TÁCH RỦI RO TỰ ĐỘNG Tách các bước quy trình bảo mật này thành ba: (A) hoàn toàn tự động phù hợp, (B) Đề xuất sự phê duyệt của con người, (C) luôn là quyết định của con người. Viết sự biện minh, khả năng đảo ngược và tác động kinh doanh cho từng bước. Đề xuất đường dẫn khôi phục bắt buộc cho các bước có tác động cao. Các bước: [danh sách]

MẪU THIẾT KẾ ROLLBACK cho hành động tự động [ví dụ: khóa tài khoản] đề xuất một thiết kế an toàn: tiêu chí kích hoạt (thu hẹp), triển khai dần dần, bước khôi phục kích hoạt sai, cảnh báo và điểm xác minh của con người. Thiết kế để tránh tự động hóa mù quáng. Hành động: [viết]

MẪU DANH SÁCH KIỂM TRA TỰ KIỂM TOÁN Dự thảo danh sách kiểm tra tự kiểm tra hàng quý cho SOC được hỗ trợ bởi AI: tỷ lệ dương tính/âm tính giả, sai lệch MTTD/MTTR, lấy mẫu độ chính xác đầu ra AI, trình kích hoạt sai tự động hóa, dấu hiệu trôi dạt mẫu, vận hành vòng phản hồi, tuân thủ quyền riêng tư/ẩn danh. Đối với mỗi mục, hãy viết nó sẽ được đo như thế nào.

MẪU VÒNG PHẢN HỒI Vẽ những gì rút ra được từ sự kiện/cảnh báo thực tế không thành công: (1) mẫu sẽ trở thành quy tắc phát hiện mới, (2) kết quả dương tính giả sẽ được thêm vào danh sách ngoại lệ, (3) bước sách hướng dẫn sẽ được cập nhật, (4) bối cảnh mới sẽ được cung cấp cho AI. Tóm tắt sự kiện/báo động: [dán]

Những lỗi thường gặp

Tự động hóa bước có rủi ro cao. Các bước không thể đảo ngược như cách ly máy chủ, vá lỗi sản xuất, thông báo chính thức không bị loại bỏ khỏi cửa con người.
Không nghĩ ra con đường để phục hồi. Có thể có bất kỳ hành động tự động nào kích hoạt không chính xác; Tự động hóa mà không có điểm hoàn tác và xác nhận là nguy hiểm.
Đặt và quên đi. Hiệu suất AI thay đổi khi môi trường thay đổi; Nếu không tự giám sát và đo lường thường xuyên, những hành vi trốn tránh thầm lặng sẽ tích tụ.
Chỉ cần theo dõi dương tính giả. Kết quả âm tính giả (mối đe dọa thực sự bị bỏ qua) nguy hiểm hơn nhưng khó nhận thấy hơn; Xem nó một cách riêng tư.
Bỏ qua phản hồi. Nếu các sự kiện được phát hiện không chuyển thành quy tắc mới và các cảnh báo thất bại không chuyển thành ngoại lệ thì thao tác sẽ không tìm hiểu và lặp lại lỗi tương tự.

Gợi ý: Câu hỏi vàng trong quyết định tự động hóa: “Hành động này có thể được hoàn tác nếu được kích hoạt không chính xác và tác động kinh doanh là gì?” Nếu câu trả lời là “dễ dàng hoàn tác, ít tác động”, hãy tự động hóa; Nếu "không thể đảo ngược hoặc tác động cao" hãy giữ ở cửa con người.

Thận trọng: Tự động hóa không loại bỏ trách nhiệm mà chỉ tăng tốc độ. Một hành động tự động thiếu hiểu biết sẽ gây ra thiệt hại nhanh hơn và rộng hơn nhiều so với khả năng của con người. Mọi hoạt động tự động hóa đều được bao quanh bởi các tiêu chí hẹp, lộ trình khôi phục và kiểm tra thường xuyên; Trách nhiệm cuối cùng luôn thuộc về con người.

Tóm lại

Đơn vị này đã kết hợp tất cả các phần của mô-đun thành một quy trình làm việc SOC toàn diện: thu thập, phát hiện, phân loại, điều tra, phản hồi, khắc phục, báo cáo và phản hồi. AI tham gia vào mọi mắt xích nhưng chính con người mới là người nắm giữ dây chuyền và đưa ra quyết định ở mọi cửa quan trọng. Tự động hóa (SOAR + AI) tăng sức mạnh; Quy tắc rất rõ ràng: các bước có rủi ro thấp, có thể đảo ngược, lặp đi lặp lại sẽ được tự động hóa, các bước có rủi ro cao, không thể đảo ngược sẽ đi qua cánh cửa của con người và mọi tự động hóa đều có cách hoàn tác. Cuối cùng, một chương trình bảo mật do AI cung cấp đã hoạt động: dương/âm sai, MTTD/MTTR, độ chính xác đầu ra và độ lệch mẫu được đo thường xuyên; Những gì được tìm thấy sẽ biến thành các quy tắc và sách hướng dẫn trong vòng phản hồi. Tự động hóa tăng cường trách nhiệm chứ không loại bỏ nó; Tự kiểm soát giúp duy trì an ninh.

Nhiệm vụ ứng dụng

Viết ra vòng đời sự cố của tổ chức của bạn (hoặc SOC mẫu). Phân loại từng bước là A/B/C với mẫu “Tách rủi ro tự động hóa” và đưa ra thiết kế tự động hóa an toàn với mẫu “Thiết kế khôi phục” cho ít nhất một bước “tác động cao”. Sau đó, tạo danh sách kiểm tra hàng quý với mẫu “Danh sách kiểm tra tự kiểm tra” và xác định cách bạn sẽ đo lường từng chỉ số trong môi trường của mình.

danh sách kiểm tra

[ ] Tôi chia từng bước trong vòng đời sự cố thành loại rủi ro A/B/C.
[ ] Tôi đã giữ những bước đi có tính rủi ro cao, không thể đảo ngược trước cửa con người.
[ ] Tôi đã thiết kế các tiêu chí hẹp và đường dẫn hoàn tác cho từng hành động tự động.
[ ] Tôi đã lên kế hoạch theo dõi tỷ lệ dương tính giả và đặc biệt là âm tính giả.
[ ] Tôi đã lên kế hoạch đo lường độ chính xác đầu ra MTTD/MTTR và AI thường xuyên.
[ ] Tôi đã thiết lập một danh sách kiểm tra tự giám sát hàng quý về độ lệch của mô hình.
[ ] Tôi đã kết nối các sự kiện được tìm thấy và đưa ra cảnh báo cho vòng phản hồi.

Thi học phần

1. AI phân loại SIEM đã gắn cờ cảnh báo là 'mức độ ưu tiên thấp, có khả năng dương tính giả' và đẩy cảnh báo đó xuống cuối danh sách. Nhà phân tích nên làm gì với cảnh báo này?

A) Vẫn độc lập kiểm tra cảnh báo và xác minh nó bằng bằng chứng thô; Nhà phân tích đưa ra quyết định đóng cửa và ghi lại nó ✔
B) Trí tuệ nhân tạo tự động tắt báo thức mà không kiểm tra vì nó cho biết mức độ ưu tiên thấp.
C) Chuyển báo thức sang ca tiếp theo.
D) Chỉ cần nhìn vào bản tóm tắt do trí tuệ nhân tạo đưa ra và vượt qua báo cáo

Giải thích: Ưu tiên AI là một khuyến nghị, không phải là chẩn đoán; Cờ 'mức độ ưu tiên thấp' có thể che đậy một cuộc tấn công thực sự (âm tính giả). Nhà phân tích vẫn phải kiểm tra cảnh báo một cách độc lập, xác minh nó bằng bằng chứng thô và tự mình đưa ra quyết định đóng cảnh báo. Kết quả AI âm không đảm bảo rằng "không có mối đe dọa".

2. AI gắn nhãn một cuộc tấn công thực sự là 'bình thường' và sự kết hợp rủi ro nào và nhà phân tích tin tưởng vào điều này và nới lỏng phân tích của riêng mình?

A) Chỉ dương tính giả và báo động mệt mỏi
B) Xu hướng tiêu cực sai và tự động hóa (phụ thuộc quá nhiều vào AI) ✔
C) Chỉ thiếu nguồn nhật ký
D) Chỉ lỗi quy tắc SIEM

Giải thích: Đó là kết quả âm tính giả nếu mô hình bỏ sót mối đe dọa thực sự; Thiên kiến tự động hóa là khi nhà phân tích quá tin tưởng vào trí tuệ nhân tạo và từ bỏ việc đánh giá độc lập. Khi cả hai kết hợp lại, quyền kiểm soát của con người sẽ biến mất và cuộc tấn công có thể bị bỏ qua hoàn toàn. Đó là lý do tại sao những lĩnh vực mà trí tuệ nhân tạo gọi là “sạch” cũng được kiểm tra.

3. AI cho biết 'CVE-2024-88888, CVSS 9.8, vá ngay lập tức' trong quá trình phân loại. Nhà phân tích nên làm gì đầu tiên?

A) Đánh giá CVE đáng tin cậy và bắt đầu kế hoạch vá lỗi ngay lập tức
B) Chỉ vì CVSS là 9.8 nên nó đặt nó lên hàng đầu mà không xem xét bất kỳ lỗ hổng nào khác
C) Xác minh số CVE và điểm trong hồ sơ NVD/nhà cung cấp; ✔ Nếu không có hồ sơ sẽ không được đưa vào danh sách vì biết rằng có thể là hàng giả.
D) Không xác minh CVE, quản trị viên ghi nó vào báo cáo là 'mối đe dọa nghiêm trọng'

Mô tả: Các mô hình ngôn ngữ có thể khớp một cách trôi chảy với số và điểm CVE không tồn tại (ảo giác). Nhà phân tích phải xác minh CVE trong nhật ký NVD/nhà cung cấp và xác nhận tính xác thực cũng như điểm số của nó trước khi thực hiện lịch trình vá lỗi. CVE chưa được xác minh trước tiên sẽ kết nối với tài nguyên; Nếu không, nhóm sẽ lãng phí thời gian theo đuổi một bản vá không tồn tại.

4. Để đẩy nhanh quá trình điều tra sự cố, chuyên gia sẽ dán nhật ký tường lửa thô cùng với IP nội bộ, tên người dùng và tên máy chủ VPN thực tế vào một công cụ AI có sẵn công khai. Vấn đề chính ở đây là gì?

A) AI không thể đọc được định dạng nhật ký nên việc phân tích là vô ích
B) Nếu nhật ký quá dài, nó sẽ làm chậm mô hình.
C) Dù sao thì nhật ký tường lửa cũng không phù hợp để phân tích
D) IP thực, tên người dùng và máy chủ được chia sẻ mà không ẩn danh; Đây vừa là hành vi vi phạm KVKK vừa là hành vi rò rỉ bản đồ mạng của tổ chức ✔

Mô tả: Dữ liệu bảo mật bao gồm cả dữ liệu cá nhân (người dùng, IP) và thông tin doanh nghiệp tiết lộ bề mặt tấn công của tổ chức (cấu trúc liên kết mạng, tên máy chủ). Cung cấp thông tin này cho một công cụ bên ngoài mà không ẩn danh nó vừa vi phạm KVKK, vừa tiết lộ bản đồ mạng sẽ hữu ích cho kẻ tấn công. Đầu tiên, các giá trị thực tế được che dấu bằng các phần giữ chỗ nhất quán.

5. Điều gì khiến một cuộc săn tìm mối đe dọa được coi là được thiết kế tốt?

A) Nó bắt đầu bằng một giả thuyết cụ thể, có thể kiểm chứng được và dấu vết tìm thấy được xác nhận bằng bằng chứng thô ✔
B) Nó bắt đầu bằng cách nói với trí tuệ nhân tạo 'tìm xem có kẻ tấn công nào trong mạng của tôi không'
C) Tự động tuyên bố mọi sự kiện bất thường/hiếm gặp được phát hiện là một cuộc tấn công
D) Nó chỉ hoạt động khi có báo động đến, không chủ động

Giải thích: Một cuộc tìm kiếm mối đe dọa hiệu quả không bắt đầu bằng một cảnh báo mà bằng một giả thuyết cụ thể và có thể kiểm chứng được, có thể đúng hoặc không đúng (ví dụ: 'Tài khoản X có kết nối với hơn 50 IP nội bộ ngoài giờ làm việc không'). Một câu hỏi mơ hồ như “Có điều gì đó không ổn trên mạng của tôi không” không thể được kiểm tra và khiến AI phải đoán. Dấu vết được tìm thấy không được coi là mối đe dọa cho đến khi nó được xác minh bằng bằng chứng thô.

6. Một lỗ hổng có điểm CVSS là 9,1 trên máy chủ thử nghiệm riêng biệt trên mạng nội bộ; Trong cùng danh sách, CVSS 7.5 trên máy chủ mở internet, nhưng có một lỗ hổng khác trong danh sách KEV (thực tế đã bị khai thác). Ưu tiên chính xác là gì?

A) Cái có CVSS cao nhất (9.1) luôn được vá trước
B) Lỗ hổng 7.5 trên Internet và danh sách KEV được đưa ra; CVSS không phải là tiêu chí duy nhất, việc tiếp xúc và lạm dụng thực tế mới là yếu tố quyết định ✔
C) Cả hai đều được vá cùng lúc và có cùng mức độ ưu tiên, không cần phải phân biệt
D) Không cái nào trong số chúng được vá vì có lỗ hổng trong máy chủ thử nghiệm

Giải thích: CVSS không đặt ra các ưu tiên một mình; rủi ro thực tế được xác định bởi EPSS (xác suất khai thác), KEV (khai thác thực tế) và bối cảnh tổ chức (mức độ phơi nhiễm, mức độ nghiêm trọng, kiểm soát đền bù). Lỗ hổng bị lộ trên Internet và bị khai thác thực tế (KEV) ngăn chặn lỗ hổng CVSS cao bị cô lập và có xác suất thấp.

7. Trong phản hồi sự cố, trí tuệ nhân tạo cho biết 'Lưu lượng truy cập bắt nguồn từ IC_HOST_7 là đáng ngờ, hãy cô lập máy chủ này'. IC_HOST_7 là máy chủ xác thực chính của tổ chức. Nhà phân tích nên làm gì?

A) Trí tuệ nhân tạo ngay lập tức cô lập máy chủ vì nó nói như vậy
B) Để lại toàn bộ quyết định cách ly cho trí tuệ nhân tạo
C) Đầu tiên đánh giá tác động kinh doanh và nguyên nhân gây ra tình trạng giao thông; Nó không cô lập cơ sở hạ tầng quan trọng mà không đo lường tác động của nó và đưa ra quyết định với tư cách là nhà phân tích ✔
D) Cô lập máy chủ và sau đó xóa tất cả nhật ký

Mô tả: Cô lập là một quyết định quan trọng, khó đảo ngược và có thể dẫn đến gián đoạn kinh doanh; không thể chuyển sang trí tuệ nhân tạo. Việc cô lập máy chủ xác thực có thể ngăn tất cả nhân viên đăng nhập. Trước tiên, nhà phân tích phải đánh giá tác động kinh doanh và nguyên nhân gây ra lưu lượng truy cập (có thể là giao dịch hợp pháp), tự mình đưa ra quyết định; Đề xuất của trí tuệ nhân tạo không nên được thực hiện như một mệnh lệnh.

8. Trong một sự cố ransomware, nhóm muốn xây dựng lại máy bị ảnh hưởng để nhanh chóng làm sạch nó; nhưng có bằng chứng pháp y (kết xuất bộ nhớ, công cụ tấn công) trên máy vẫn chưa được thu thập. Cách tiếp cận đúng đắn là gì?

A) Máy được cài đặt lại ngay lập tức; bằng chứng không liên quan
B) Trí tuệ nhân tạo được yêu cầu 'làm sạch nhanh nhất' và hướng dẫn được áp dụng một cách mù quáng.
C) Máy bị tắt và vứt đi vì bằng chứng đã có trong nhật ký.
D) Đầu tiên, hình ảnh pháp y và kết xuất bộ nhớ được chụp và bằng chứng được lưu giữ, sau đó thực hiện dọn dẹp/khôi phục ✔

Giải thích: Tốc độ phục hồi không thể vượt qua việc bảo quản bằng chứng. Cài đặt lại máy mà không thu thập bằng chứng sẽ phá hủy chuỗi hành trình và làm tê liệt quá trình xét xử. Đầu tiên, hình ảnh pháp y và kết xuất bộ nhớ được chụp, sau đó quá trình dọn dẹp/khôi phục được thực hiện. Các bước pháp y không được ủy quyền cho AI.

9. Một trong những lớp xác minh kỹ thuật đáng tin cậy nhất khi phân tích một email lừa đảo đáng ngờ là gì và nó nên được xác nhận như thế nào?

A) SPF/DKIM/DMARC tạo ra tiêu đề email; Xác nhận từ tiêu đề thô, không phải từ tóm tắt của AI ✔
B) Màu sắc và phông chữ của email; quyết định bởi thiết kế trực quan
C) Nhấp vào liên kết đáng ngờ trên hệ thống trực tiếp và xem trang mở ra.
D) Trí tuệ nhân tạo chỉ nói 'lừa đảo' là đủ bằng chứng

Giải thích: Kết quả SPF/DKIM/DMARC trong tiêu đề email là chỉ báo mạnh mẽ về việc liệu email có thực sự đến từ miền mà nó tuyên bố hay không; Nếu cả ba đều thất bại và người gửi giả mạo miền thì sự nghi ngờ sẽ trở nên mạnh mẽ hơn. Tuy nhiên, điều này cần được xác nhận từ tiêu đề thô chứ không phải từ bản tóm tắt của AI. Ngoài ra, các liên kết đáng ngờ không bao giờ được nhấp vào trên hệ thống trực tiếp.

10. Trong quá trình đánh giá mã, AI đã đề xuất cách khắc phục lỗ hổng XSS và nói rằng “nó sẽ đóng lỗ hổng đó”. Nhà phân tích/nhà phát triển nên làm gì?

A) Coi bản sửa lỗi là đáng tin cậy và đưa trực tiếp vào sản xuất
B) Xem lại bản sửa lỗi, xác nhận rằng bản sửa lỗi thực sự đã đóng lỗ hổng và không tạo ra lỗ hổng/lỗi mới và viết bản kiểm thử; Chỉ sau đó nó mới được lưu trữ ✔
C) Vì không chắc chắn nên anh ấy viết lại toàn bộ tập tin vào trí tuệ nhân tạo và sử dụng nó.
D) Áp dụng bản sửa lỗi nhưng vượt qua mà không viết bất kỳ bài kiểm tra nào

Giải thích: Cách khắc phục do AI đề xuất không tự động an toàn; Nó có thể không đóng hoàn toàn lỗ hổng, nó có thể xóa sai lớp hoặc có thể gây ra lỗ hổng/lỗi chức năng mới. Mỗi bản vá được xem xét, đánh giá xem liệu nó có thực sự đóng được lỗ hổng hay không và liệu nó có gây ra các vấn đề mới hay không, đồng thời viết các trường hợp thử nghiệm tích cực và tiêu cực; Sau đó mới vào kho.

11. Khi phân tích một cuộc tấn công, trí tuệ nhân tạo cho biết 'đây chắc chắn là tác phẩm của nhóm APT-Dark Eagle'. Cách tiếp cận phù hợp về mặt thông tin mối đe dọa là gì?

A) Chấp nhận tài liệu tham khảo như hiện tại và ghi nó vào báo cáo với tư cách là 'thủ phạm xác định'
B) Anh ta xây dựng toàn bộ hệ thống phòng thủ của mình dựa trên nhóm đó mà không bao giờ thắc mắc về tên nhóm.
C) Sử dụng ngôn ngữ 'phù hợp với kỹ thuật' thay vì ghi công chính xác, xác minh nhóm trong các nguồn đã biết và tính đến khả năng bịa đặt ✔
D) Việc trích dẫn luôn không cần thiết, nó hoàn toàn không được xem xét

Giải thích: Phân bổ nhóm là lĩnh vực trí tuệ khó nhất và không chính xác nhất; AI thậm chí có thể tạo nên tên ban nhạc không tồn tại. Thay vì tham chiếu chính xác, ngôn ngữ 'tương thích với các kỹ thuật này' được sử dụng và tên nhóm được xác nhận trong các nguồn thông tin tình báo đã biết. Ngoài ra, việc phòng thủ không dựa trên IOC tồn tại trong thời gian ngắn mà dựa trên việc phát hiện TTP vĩnh viễn.

12. Trong bản dự thảo báo cáo sự cố, AI đã viết câu 'rất có thể kẻ tấn công đã ở bên trong ba tuần và lấy cắp dữ liệu khách hàng'; trong khi không có bằng chứng nhật ký thuyết phục nào hỗ trợ cho những tuyên bố này. Nhà phân tích nên làm gì?

A) Giữ nguyên câu vì nó kịch tính và ấn tượng
B) Để lại câu nhưng thêm 'trí tuệ nhân tạo đã viết' ở cuối
C) In lại toàn bộ báo cáo cho trí tuệ nhân tạo và ký tên mà không cần xác minh.
D) Sửa chữa các khiếu nại dựa trên bằng chứng; Phân biệt giữa 'có thể/đã được chứng minh/đang điều tra' và trích dẫn tuyên bố dứt khoát mà không có bằng chứng ✔

Nhận xét: Trong một báo cáo bảo mật chính thức, mọi tuyên bố đều phải được chứng minh và không bao giờ được nhầm lẫn 'có thể xảy ra' với 'đã được chứng minh'. Một tuyên bố không có bằng chứng sẽ gây ra hậu quả pháp lý, tài chính và uy tín. Nhà phân tích nên sửa câu theo bằng chứng (ví dụ: viết ngày truy cập đầu tiên được phát hiện và nói 'không tìm thấy bằng chứng thuyết phục nào, cuộc điều tra đang diễn ra' đối với vụ rò rỉ dữ liệu).

13. Người quản lý muốn lập hồ sơ toàn bộ hoạt động của một nhân viên từ nhật ký bảo mật bằng trí tuệ nhân tạo để hiểu liệu anh ta có 'trung thành' hay không. Chuyên gia bảo mật nên làm gì?

A) Từ chối yêu cầu và chuyển nó đến kênh thích hợp (điều tra nhân sự/pháp lý/xác định); dữ liệu bảo mật không phải là phương tiện giám sát cá nhân ✔
B) Tạo và cung cấp hồ sơ theo yêu cầu của người quản lý
C) Nó chỉ trích xuất một số nhật ký và cung cấp một phần hồ sơ
D) Có hồ sơ do trí tuệ nhân tạo tạo vì trách nhiệm chuyển cho trí tuệ nhân tạo

Mô tả: Dữ liệu bảo mật được thu thập vì mục đích bảo mật; Theo dõi/lập hồ sơ một người là hành vi lạm dụng, biến thành giám sát cá nhân và vi phạm KVKK. Chuyên gia nên từ chối yêu cầu này và chuyển nó đến kênh thích hợp (nhân sự, pháp lý, khuôn khổ điều tra được xác định và hợp pháp). Thiện chí hoặc mong muốn của người quản lý không biện minh cho giới hạn này.

14. SOC quyết định những bước nào trong quy trình bảo mật sẽ được tự động hóa. Nguyên tắc tốt nhất cho tự động hóa là gì?

A) Các quyết định có rủi ro cao nhất trước tiên phải được tự động hóa để không có sự tham gia của con người
B) Các bước có rủi ro thấp/có thể đảo ngược được tự động hóa; các bước có rủi ro cao/không thể đảo ngược vẫn ở trước cửa con người và mọi hoạt động tự động hóa đều có cách hoàn tác ✔
C) Tất cả SOC phải hoàn toàn tự động và việc tự kiểm tra là không cần thiết
D) Các hành động tự động không cần phải hoàn tác vì AI không mắc lỗi

Giải thích: Các bước có rủi ro thấp, lặp đi lặp lại và có thể đảo ngược (thu thập nhật ký, làm giàu cảnh báo) có thể được tự động hóa; Các bước có rủi ro cao, không thể đảo ngược và đòi hỏi phải phán đoán (cách ly máy chủ, vá lỗi sản xuất, thông báo chính thức) đều đi qua cánh cửa của con người. Ngoài ra, mọi hành động tự động phải có tiêu chí hẹp và cách hoàn tác. Tự động hóa không loại bỏ trách nhiệm mà chỉ tăng tốc độ thực hiện.