Lợi nhuận:
- Hiểu cách việc săn lùng mối đe dọa bắt đầu bằng một giả thuyết có thể kiểm chứng chứ không phải cảnh báo và cách trí tuệ nhân tạo hỗ trợ trong việc tạo giả thuyết và soạn thảo truy vấn.
- Khả năng áp dụng rằng tín hiệu trái ngược/hiếm được trí tuệ nhân tạo nêu bật không tự động có nghĩa là mục đích xấu và giả thuyết phải được xác nhận bằng bằng chứng thô.
- Khả năng xác minh các số kỹ thuật MITER ATT&CK và ID sự kiện do trí tuệ nhân tạo cung cấp với nguồn chính thức và loại bỏ các chi tiết kỹ thuật bịa đặt
Giám sát an ninh cổ điển hoạt động theo logic "chờ báo động, xem khi nó đến". Nhưng những kẻ tấn công nguy hiểm nhất cố gắng không đưa ra cảnh báo: chúng sử dụng các công cụ hợp pháp (điều này được gọi là “khai thác” - nghĩa là lạm dụng các công cụ đã tồn tại trên hệ thống, chẳng hạn như PowerShell, WMI), di chuyển chậm và cản trở lưu lượng truy cập thông thường. Đó là lý do tại sao việc săn lùng mối đe dọa ra đời: không cần chờ cảnh báo, "nếu có kẻ tấn công hiện chưa bị phát hiện trong tổ chức của tôi, hắn sẽ ở đâu?" Chủ động tìm kiếm dấu vết bằng câu hỏi: Việc săn lùng mối đe dọa bắt đầu bằng một giả thuyết chứ không phải một cảnh báo.
Trí tuệ nhân tạo rất hữu ích ở hai khía cạnh trong việc săn lùng mối đe dọa. Đầu tiên là tạo giả thuyết: đưa ra một kỹ thuật tấn công và hỏi "Nếu kỹ thuật này được sử dụng trong tổ chức của tôi, thì nó sẽ để lại dấu vết trên nhật ký nào và theo mẫu nào?" bạn có thể hỏi. Thứ hai là trích xuất tín hiệu: nó có thể làm nổi bật những điểm hiếm, ngoại lệ, “khác với bình thường” trong dữ liệu lớn. Nhưng AI không biết điều gì là bình thường đối với tổ chức của bạn và có thể rơi vào bẫy khi cho rằng một giả thuyết đã được “chứng minh”. Trong việc săn lùng mối đe dọa, AI là đối tác trí óc và máy quét; Người thợ săn (nhà phân tích) quyết định xem con mồi có tìm thấy mối đe dọa thực sự hay không và liệu điều này có được báo cáo hay không.
Các bước săn lùng mối đe dọa
- Giả thuyết. Một câu cụ thể, có thể kiểm chứng được: "Kẻ tấn công có thể quét mạng nội bộ ngoài giờ làm việc bằng tài khoản bị xâm nhập." Bạn có thể sử dụng AI để động não tại đây.
- Xác định nguồn dữ liệu. Nhật ký nào chứng minh/bác bỏ giả thuyết? (Ví dụ: nhật ký tường lửa và DNS để quét mạng, nhật ký nhận dạng để leo thang đặc quyền.)
- Thiết kế truy vấn. Truy vấn sẽ tìm kiếm mẫu được nhắm mục tiêu (ngôn ngữ truy vấn SIEM, KQL, giống SQL). AI giúp soạn thảo các truy vấn; nhưng bạn xem lại truy vấn và chạy nó.
- Trích xuất kết quả. Lọc tín hiệu thực từ hàng trăm dòng đầu ra. Ở đây AI thực hiện phân cụm và tóm tắt.
- Xác nhận hoặc bác bỏ. Xác nhận bằng bằng chứng thô và bối cảnh xem dấu vết được tìm thấy là thực sự độc hại hay vô tội.
- Ghi lại kết quả và biến nó thành một quyết định. Chuyển đổi mẫu thực tế được tìm thấy thành quy tắc phát hiện vĩnh viễn; Nếu giả thuyết thất bại, hãy ghi lại điều đó (kết quả phủ định cũng là thông tin).
Thuật ngữ: TTP (Chiến thuật, Kỹ thuật, Quy trình - mô hình hành vi của kẻ tấn công). MITER ATT&CK là một thư viện được liệt kê và ghi lại về các kỹ thuật tấn công (ví dụ: T1078 “Tài khoản hợp lệ”); Nó cung cấp một ngôn ngữ chung trong việc săn lùng mối đe dọa. IOC (Chỉ báo vi phạm - IP, hàm băm, tên miền xấu). Tiếng ồn trắng (danh sách trắng/được biết đến là tốt) là hành vi bình thường được biết là hy sinh con mồi.
Bảng các phương pháp săn lùng mối đe dọa
Cách tiếp cận
điểm bắt đầu
Đóng góp của AI
Chú ý
Săn bắn dựa trên giả thuyết
"Nếu có kẻ tấn công như vậy..."
Tạo giả thuyết, mô tả mẫu
Giả thuyết không phải là bằng chứng
Cuộc săn lùng dựa trên IOC
Chỉ báo xấu đã biết
So khớp IOC với nhật ký
IOC cũ/không chính xác gây hiểu lầm
Săn bắn dựa trên TTP/ATT&CK
Một kỹ thuật (số T)
Chuyển đổi kỹ thuật thành mẫu nhật ký
Kỹ thuật ≠ mẫu đơn
Săn bắn dựa trên sự bất thường
độ lệch thống kê
Làm nổi bật ngoại lệ
Ngược lại ≠ đức tin xấu
Phân tích tần số ngăn xếp
“Cái gì hiếm nhất?”
Tìm kiếm sự kiện hiếm có
Hiếm ≠ nguy hiểm
ba trường hợp nhỏ
Trường hợp 1 - Tìm cái hiếm. Một thợ săn có thể hỏi: "Quy trình nào trên mạng nội bộ chạy trên ít máy tính nhất nhưng thiết lập nhiều kết nối mạng nhất?" thiết lập giả thuyết của mình. AI đánh dấu một mẫu từ dữ liệu kết nối quy trình ẩn danh: một quy trình có tên svchost32.exe, chỉ nhìn thấy trên 2 máy, đang kết nối với 340 địa chỉ bên ngoài khác nhau. Người thợ săn kiểm tra điều này; Nó tìm thấy phần mềm độc hại bắt chước svchost.exe hợp pháp. AI lọc những thứ hiếm; Người thợ săn đã đưa ra chẩn đoán và can thiệp.
Trường hợp 2 - Cuộc săn lùng thất bại (nhưng có giá trị). Một thợ săn hỏi "có thể tải xuống dữ liệu hàng loạt ngoài giờ làm việc không?" thiết lập giả thuyết của mình; AI viết bản thảo truy vấn có liên quan. Kết quả: 3 người dùng tải về vào ban đêm nhưng cả 3 đều là nhân viên văn phòng nước ngoài và làm việc trong giờ làm việc do chênh lệch múi giờ. Giả thuyết bị bác bỏ. Thợ săn ghi nhận đây là "kết quả tiêu cực" và ghi nhận 3 người dùng này là trường hợp ngoại lệ cho các cuộc săn trong tương lai. Ngay cả cuộc săn lùng không thành công cũng cho phép chúng tôi hiểu rõ hơn về tổ chức này.
Trường hợp 3 - Bẫy kỹ thuật giả tạo. Một thợ săn hỏi AI "Làm cách nào để tìm kiếm kỹ thuật T1055 trong tổ chức của tôi?" nói. AI viết một truy vấn thuyết phục và xác nhận rằng “T1055 tạo ID sự kiện sau”; nhưng ID sự kiện mà anh ấy cung cấp sai và mô hình đã tạo thành một kỹ thuật phụ ATT&CK. Avcı mở bản ghi MITER ATT&CK, xác nhận mô tả kỹ thuật và nguồn nhật ký thực, đồng thời sửa ID sự kiện không chính xác. Bài học: Xác minh mọi chi tiết kỹ thuật mà AI cung cấp (ID sự kiện, số T, trường nhật ký) bằng nguồn chính thức.
Dấu nhắc yếu / Dấu nhắc mạnh
Dấu nhắc yếu:
Tìm hiểu xem có kẻ tấn công vào mạng của tôi không.
Tuyên bố này không có giả thuyết, không có dữ liệu, không giới hạn và không thể xác minh được. AI tạo ra một danh sách chung hoặc danh sách bổ sung; nó không có ích gì.
Lời nhắc mạnh mẽ:
Vai trò của bạn: trợ lý đưa ra ý tưởng và phác thảo cho thợ săn mối đe dọa. Đừng quyết định, đừng nói "có một mối đe dọa". Giả thuyết của tôi: "Một tài khoản bị xâm nhập có thể đang quét các cổng nội bộ ngoài giờ làm việc." Tạo nội dung sau: (1) liệt kê các nguồn nhật ký sẽ chứng minh và BỎ QUA giả thuyết này, (2) mô tả mẫu cụ thể cần tìm kiếm (trường nào, ngưỡng nào), (3) viết bản nháp của một truy vấn mẫu và nhận xét từng dòng, (4) viết ra những lời giải thích vô tội sẽ bị loại bỏ trong kết quả thu được. Đề xuất kỹ thuật MITER ATT&CK có liên quan, nhưng đánh dấu số T và ID sự kiện là "[phải được xác minh từ MITER]", đừng bịa đặt.
Tuyên bố mạnh mẽ bắt đầu bằng một giả thuyết cụ thể, thiết lập sự cân bằng giữa bằng chứng/bác bỏ, giải thích thắc mắc và để lại các chi tiết kỹ thuật để xác minh.
Mẫu lời nhắc có thể sao chép
MẪU TẠO GIẢ THUYẾTĐối với tổ chức của tôi [thực thể: ví dụ: Tạo các giả thuyết săn lùng mối đe dọa có thể kiểm chứng trong bối cảnh [Active Directory / cloud / endpoint]5. Đối với mỗi giả thuyết: (1) hành vi của kẻ tấn công mà nó nhắm tới, (2) nguồn nhật ký nào sẽ cung cấp bằng chứng/bác bỏ, (3) mẫu dự kiến. Đặt những câu có thể kiểm tra được, không phải những câu chung chung.
MẪU MẪU KỸ THUẬT Tôi sẽ tìm kiếm kỹ thuật tấn công sau trong tổ chức [tên kỹ thuật] của mình. Tạo: (1) ghi lại các khu vực mà kỹ thuật thường để lại dấu ấn, (2) các mẫu và ngưỡng cụ thể cần tìm, (3) các tình huống vô hại (dương tính giả) có thể kích hoạt mẫu này. Cung cấp số T MITER ATT&CK có liên quan nhưng có gắn cờ "[Phải được xác minh từ MITER]"; không cung cấp ID/số sự kiện bịa đặt.
MẪU DỰ THẢO TRUY VẤNViết bản nháp truy vấn [SIEM/KQL/SQL] tìm kiếm mẫu sau: [mô tả mẫu]. Nhận xét từng dòng, giải thích trường nào bạn đang lọc và lý do, đồng thời đánh dấu các rủi ro về hiệu suất. Tôi sẽ xem lại truy vấn và chạy nó; đừng cho rằng bạn sẽ chạy nó. Để lại tên trường được đánh dấu "[đúng với lược đồ]" theo sơ đồ mà tôi biết.
MẪU LOẠI BỎ KẾT QUẢKết quả cuộc săn lùng của tôi mang lại những dòng sau (ẩn danh): [dán]. Nhóm chúng lại và mỗi nhóm viết (1) một tình huống nguy hiểm, (2) ít nhất 2 lời giải thích vô tội và (3) bằng chứng bổ sung cần tìm để phân biệt. Ra quyết định; Đừng để tôi tách bạn ra. Đánh dấu "[không có cơ sở]" cho tuyên bố không có bằng chứng.
Những lỗi thường gặp
- Săn bắn không có giả thuyết. Nói “tìm thứ gì đó” thúc đẩy AI đoán và bịa ra; Cuộc săn bắt đầu bằng một câu cụ thể, có thể kiểm chứng được.
- Nhầm một giả thuyết với bằng chứng. Cuộc đi săn thử thách một khả năng; Dấu vết được tìm thấy không phải là "mối đe dọa" cho đến khi nó được xác nhận bằng bằng chứng thô.
- Tự động coi điều ngược lại là xấu. Trường hợp hiếm/ngoại lệ thường vô hại (bảo trì, phần mềm mới, công việc chỉ thực hiện một lần); Sàng lọc theo ngữ cảnh.
- Không xác minh chi tiết kỹ thuật. AI có thể khớp ID sự kiện, số T và trường nhật ký; Xác nhận với MITER ATT&CK và tài liệu sản phẩm.
- Vứt bỏ mẻ đánh bắt lãng phí. Kết quả tiêu cực cũng là kiến thức: hiểu rõ hơn về tổ chức, giảm thiểu những sai sót trong tương lai; tài liệu.
Mẹo: Một giả thuyết săn lùng mối đe dọa tốt phải “có thể kiểm chứng được”: một tuyên bố cụ thể có thể đúng hoặc sai. "Có điều gì xấu trong mạng của tôi không?" không thể kiểm tra được; “Tài khoản X có kết nối với hơn 50 IP nội bộ ngoài giờ làm việc không?” có thể được kiểm tra
Lưu ý: Việc tìm kiếm mối đe dọa chỉ được thực hiện trên các hệ thống mà bạn được phép thực hiện. Yêu cầu AI "thăm dò" một tổ chức, một cá nhân hoặc mạng khác mà bạn không có quyền là một nỗ lực nhằm đạt được quyền truy cập trái phép và nằm ngoài mô-đun này.
Tóm lại
Săn lùng mối đe dọa là chủ động tìm kiếm dấu vết của kẻ tấn công ẩn giấu mà không cần chờ cảnh báo và bắt đầu bằng một giả thuyết chứ không phải cảnh báo. AI cung cấp hai đóng góp mạnh mẽ trong quá trình này: tạo ra các giả thuyết và bản nháp truy vấn có thể kiểm chứng cũng như lọc các tín hiệu hiếm/ngoại lệ từ dữ liệu lớn. Nhưng AI không biết điều gì là bình thường đối với tổ chức của bạn, nó có thể bịa ra các chi tiết kỹ thuật và rơi vào bẫy nhầm giả thuyết với bằng chứng. Vì vậy, cuộc săn lùng có sáu bước (giả thuyết, dữ liệu, truy vấn, trích xuất, xác minh, ghi lại tài liệu) và ở mỗi bước, quyết định tùy thuộc vào người thợ săn. Ngược lại ≠ xấu, giả thuyết ≠ bằng chứng, chi tiết kỹ thuật do AI đưa ra ≠ đúng; tất cả đều được xác nhận bằng bằng chứng thô và MITER ATT&CK.
Nhiệm vụ ứng dụng
Nhận 5 giả thuyết săn lùng mối đe dọa từ AI với mẫu “Tạo giả thuyết” cho tổ chức của riêng bạn (hoặc môi trường mẫu). Chọn mẫu có thể kiểm tra tốt nhất, phác thảo một truy vấn bằng các mẫu “Kỹ thuật mẫu” và “Bản nháp truy vấn”, xác thực từng hàng trong truy vấn và từng số T được đề xuất trong MITER ATT&CK. Viết ra kết quả (giả thuyết được xác nhận hay bị bác bỏ, bạn đã học được gì) trong một ghi chú ngắn.
danh sách kiểm tra
- [ ] Tôi bắt đầu cuộc săn lùng của mình bằng một giả thuyết cụ thể, có thể kiểm chứng được.
- [ ] Tôi đã xác định được các nguồn nhật ký sẽ chứng minh và bác bỏ giả thuyết.
- [ ] Tôi đã xem lại từng dòng của bản nháp truy vấn và điều chỉnh nó cho phù hợp với lược đồ của riêng tôi.
- [ ] Tôi đã xác minh kỹ thuật MITER ATT&CK và ID sự kiện được đề xuất bằng nguồn chính thức.
- [ ] Tôi đã xác nhận từng tín hiệu bằng bằng chứng thô và bối cảnh; Tôi không tự động coi điều ngược lại là xấu.
- [ ] Tôi cũng ghi lại giả thuyết thất bại (kết quả phủ định là thông tin).
- [ ] Tôi chỉ săn trên các hệ thống mà tôi được phép săn.