Awọn anfani:
- Loye aimi ati awọn fẹlẹfẹlẹ itupalẹ agbara ati ni anfani lati ṣe ipinya okun, asọye iwe afọwọkọ ati isediwon IOC pẹlu oye atọwọda
- Agbara lati ṣe asia awọn ilana bii awọn asemase ati beakoni ni ijabọ nẹtiwọọki lodi si ipilẹ ati rii daju IOC kọọkan
- Agbara lati loye pe iwadii malware jẹ arosọ ati pe alaye yii yoo ṣee lo fun aabo nikan ati iwadii ti a fun ni aṣẹ ati pe ko le ṣee lo fun iraye si laigba aṣẹ tabi iran ikọlu.
Iṣẹlẹ kan nigbagbogbo ni malware ni aarin rẹ — sọfitiwia ti a ṣe apẹrẹ lati ba eto jẹ, ji data, tabi gba iṣakoso. "Kini faili yii ṣe, bawo ni o ṣe wọ inu eto naa, kini o ji, nibo ni o ṣe ibaraẹnisọrọ si ita?" Awọn idahun si awọn ibeere wọnyi ṣe pataki fun agbọye iṣẹlẹ naa ati fifihan rẹ ni kootu. Bakanna, awọn oniwadi nẹtiwọọki — wiwa iṣẹlẹ kan lati awọn igbasilẹ ijabọ nẹtiwọọki — ṣe afihan iwọle ati ijade ikọlu naa. Ninu ẹyọ yii, a yoo bo bii AI ṣe jẹ imuyara ni awọn agbegbe meji wọnyi ati pe o yẹ ki o lo fun aabo, ijẹrisi, ati awọn idi atunyẹwo ti a fun ni aṣẹ.
Aala akọkọ: igbeja lilo
Awọn gbolohun ọrọ pataki julọ ti ẹyọ yii wa ni ibẹrẹ: Alaye yii jẹ fun idi kan ṣoṣo ti gbeja eto tirẹ, ṣiṣewadii ọran pẹlu aṣẹ, ati ijẹrisi ẹri. Lilo AI lati ṣe agbejade malware ti n ṣiṣẹ, wọ inu eto ẹlomiiran, tabi dagbasoke ikọlu jẹ mejeeji arufin ati aibikita ati pe o kọja opin ti module yii. Oluyanju oniwadi oniwadi-awọn onimọ-ẹrọ lati ni oye ati fi idi ohun ti ikọlu ṣe; ko lati tun awọn kolu.
Išọra: Sisọ fun AI “kọ mi malware ṣiṣẹ” tabi “bawo ni MO ṣe fọ sinu eto yii” jẹ lilo laigba aṣẹ. Lilo ti o tọ: "ṣapejuwe kini apẹẹrẹ ti a rii”, “kini ijabọ yii tumọ si lati irisi aabo”, “bawo ni MO ṣe rii daju IOC yii”. Ibi-afẹde nigbagbogbo jẹ aabo ati ẹri.
Awọn ipele meji ti itupalẹ malware
Ayẹwo Malware ti pin si meji. Onínọmbà aimi - ṣe ayẹwo koodu ati eto eto naa laisi ṣiṣiṣẹ rẹ: iru faili, awọn okun — awọn ọrọ kika inu faili, Awọn URL ti a fi sii, ti a pe awọn iṣẹ eto. Onínọmbà ìmúdàgba (onínọmbà ìmúdàgba — ṣiṣe eto naa ni agbegbe ti o ya sọtọ ati akiyesi ihuwasi rẹ): nigbagbogbo ṣe ni apoti iyanrin (apoti-iyanrin — agbegbe ailewu ti o ya sọtọ nibiti malware ti ṣiṣẹ laisi ibajẹ eto gidi); O ṣe abojuto iru awọn faili ti o ṣẹda, kini awọn bọtini iforukọsilẹ ti o fọwọkan, ati ibiti o ti sopọ.
AI ṣe alabapin alaye ati iṣaju ni awọn ipele mejeeji:
- Ṣiṣamisi awọn URL ifura, awọn aṣẹ ati awọn ilana imọ-ẹrọ ninu awọn ilana (awọn okun).
- Ṣiṣalaye ni ede itele ohun ti iwe afọwọkọ tabi macro ṣe.
- Akopọ awọn igbasilẹ ihuwasi apoti iyanrin ati yiyọ IOC (Atọka ti Ibajẹ: awọn ifihan agbara wiwa bii IP irira, orukọ ìkápá, hash faili, bọtini iforukọsilẹ).
- Iṣalaye ti awọn ilana ikọlu ti a mọ ti a mọ si ilana kan (fun apẹẹrẹ, MITER ATT&CK — ipilẹ ìmọ ìmọ ti o ṣe ipinlẹ awọn ilana ikọlu ati awọn ilana).
Ijade kọọkan jẹ arosọ lati jẹri; Ayẹwo pataki ni a ṣe nipasẹ ṣiṣe afihan ihuwasi ninu apoti iyanrin ati ninu awọn akọọlẹ.
Itupalẹ oniwadi nẹtiwọki ati AI
Ni ẹgbẹ nẹtiwọọki, o ni PCAP (yaworan apo — faili nibiti a ti gbasilẹ ijabọ nẹtiwọọki nipasẹ apo), NetFlow/awọn igbasilẹ igba (ẹniti o ba ẹni sọrọ, nigbawo, fun akoko melo) ati awọn iforukọsilẹ aṣoju/DNS. Yi data le jẹ tobi. AI:
- Awọn asia dani awọn isopọ (orilẹ-ede airotẹlẹ, ibudo, iye akoko).
- O ṣe awari ati ṣe pataki awọn ilana igbakọọkan gẹgẹbi itọlẹ (malware ti nfi ami ifihan “Mo wa nibi” ranṣẹ si olupin aṣẹ ni awọn aaye arin deede).
- Awọn asia ifura/awọn ilana orukọ ašẹ ti a ṣe (algorithm ti ipilẹṣẹ awọn orukọ-ašẹ) ni awọn akọọlẹ DNS.
- O ṣe iyipada ijabọ sinu itan iṣẹlẹ ti o rọrun ati ṣe agbejade ijabọ yiyan.
Imọran: Nigbati o ba ni itupalẹ ijabọ AI, ṣalaye ipilẹ deede - ihuwasi deede ti eto: “Olupin yii ni deede sopọ si awọn orilẹ-ede wọnyi nikan ni ibudo 443.” Anomaly nikan ni anfani itumo ni ibatan si deede; Laisi ipilẹ ohun gbogbo dabi ifura ati awọn idaniloju eke gbamu.
Ewu ti hallucination ati okunfa
Ninu itupalẹ malware, AI hallucination lewu paapaa: AI le “wo” ipe iṣẹ kan ti ko si, tabi tumọ okun kan ki o sọ “eyi jẹ ransomware.” Ṣiṣayẹwo, sibẹsibẹ, yẹ ki o ni atilẹyin nipasẹ itupalẹ agbara (iwa wiwo), ijẹrisi ti awọn IOC, ati awọn ibuwọlu ti a mọ ti o ba ṣeeṣe. “AI ti sọ bẹ” ko to lati ṣe iwadii idile malware kan.
mẹta mini igba
Irú 1 - Makiro onínọmbà onikiakia. Makiro VBA ti o wa ninu iwe Office ti o gba ni isẹlẹ aṣiri jẹ eka ati ki o parọ. AI ṣe alaye awọn igbesẹ ti Makiro ni ede mimọ: o ṣe ipinnu pipaṣẹ PowerShell kan ati ṣe igbasilẹ fifuye isanwo lati adirẹsi latọna jijin. Oluyanju naa jẹrisi idawọle yii ninu apoti iyanrin; Adirẹsi ti a gbasile ti dinamọ bi IOC kan. Onínọmbà lọ silẹ lati awọn wakati 3 si awọn iṣẹju 40.
Case 2 - Beaconing sile. Ninu gbigbasilẹ NetFlow wakati 6, AI ṣe aami kekere, awọn asopọ deede si IP ita kanna ni gbogbo awọn aaya 300. Oluyanju naa jẹrisi pe o jẹ aami-aṣẹ-ati-iṣakoso ati ṣe idanimọ ẹrọ ti o gbogun. Ilana deede jẹ iru pe oju eniyan yoo padanu awọn miliọnu awọn ila.
Ọran 3 - Pada lati aṣiṣe ayẹwo. AI wo awọn okun ti apẹẹrẹ kan o si samisi bi “ransomware X ti a mọ.” Oluyanju naa ran o ni apoti iyanrin: ko si ihuwasi fifi ẹnọ kọ nkan, apẹẹrẹ jẹ infostealer gangan. Ijẹrisi ti o ni agbara ṣe idiwọ awọn idanimọ ẹbi eke lati titẹ si ijabọ naa.
Mẹrin daakọ awọn awoṣe
1) Iyatọ okun:
Ipa rẹ: Oluyanju malware igbeja. Ni isalẹ wa awọn okun ti a fa jade lati aṣọ-aṣọ. Samisi awọn URL ifura, IPs, awọn ọna faili, awọn aṣẹ, awọn bọtini iforukọsilẹ ati awọn itọkasi imọ-ẹrọ ati kọ JUSTIFICATION. Eleyi jẹ a ilewq; kii ṣe aisan. Ṣiṣẹda koodu iṣẹ; nikan ọrọìwòye jade tẹlẹ awọn gbolohun ọrọ.
2) Akosile / Makiro apejuwe:
Apejuwe yi Makiro/akosile ni igbeja: igbese nipa igbese ohun ti o ṣe, ohun ti faili/nẹtiwọki/igbasilẹ wiwọle ni o ni, nibẹ eyikeyi wa kakiri ti itẹramọṣẹ tabi data exfitration? Darapọ mọ iṣeduro kọọkan si laini kan ninu koodu naa. Ṣiṣe koodu ṣiṣẹ tabi “imudara” rẹ; kan se alaye. Ti o ko ba da ọ loju, samisi bi “jẹrisi ni apoti iyanrin”.
3) Ipari IOC:
Ni isalẹ jẹ akọọlẹ ihuwasi sandbox kan. Jade awọn oludije IOC ti o le rii daju lati ibi: IP, orukọ agbegbe, hash faili, bọtini iforukọsilẹ, faili ti a ṣẹda. Darapọ mọ IOC kọọkan si laini ninu akọọlẹ naa. Sọ pe iwọnyi jẹ awọn oludije fun wiwa / idinamọ ati idaniloju nilo.
4) Isamisi anomaly nẹtiwọki:
Ipilẹ: olupin yii deede sọrọ si [orilẹ-ede / iṣẹ] lati 443. Emi yoo fun ọ ni awọn igbasilẹ igba. Da lori ohun ti LỌỌTỌ ti o ṣẹlẹ ni gbigbasilẹ: Flag opin irin ajo airotẹlẹ, ibudo, iye akoko, ati awọn ilana igbakọọkan (Beakoni); Ṣe afihan ọkọọkan pẹlu laini ti o baamu. Maṣe beere idi; Ọrọìwòye lati kan olugbeja irisi.
Ailagbara kiakia / Alagbara kiakia
Ibere ailagbara:
Sọ fun mi, nje faili yii jẹ ọlọjẹ bi?
Ko si ọrọ-ọrọ, ko si ijẹrisi; AI le wo awọn okun naa ki o wa pẹlu ayẹwo ti o peye ṣugbọn aiṣedeede.
Ibere ti o lagbara:
Ipa rẹ: Oluyanju malware igbeja. Emi yoo fun ọ ni awọn afihan aimi apẹẹrẹ (iru faili, awọn okun, API ti a pe) ati akopọ ihuwasi apoti iyanrin. Iṣẹ-ṣiṣe: daba ẹka ti o ṣeeṣe (fun apẹẹrẹ olugbasilẹ, agbonaeburuwole, ransomware) bi HYPOTHESIS ti o da lori ihuwasi akiyesi; Sopọ idawọle kọọkan si atọka nja kan. Fifun ayẹwo okunfa idile; Ṣe atokọ awọn igbesẹ ijerisi agbara. Ọrọìwòye nikan defensively.
Igbẹkẹle lori akiyesi, “itumọ,” igbesẹ idaniloju, ati idiwọ igbeja jẹ ki abajade jẹ iwulo ati ti iṣe.
Tabili fẹlẹfẹlẹ onínọmbà
Layer
ohun ti ri
AI ilowosi
ijerisi
aimi
Awọn okun, ilana, API
Ifura Atọka siṣamisi
Afowoyi ayewo
Ìmúdàgba
ihuwasi iṣẹ
Akopọ akọọlẹ, itọkasi IOC
sandbox akiyesi
Nẹtiwọọki (PCAP/sisan)
awọn ilana ijabọ
Anomaly / aami aami
Ijẹrisi ipilẹ
ibamu
orisun pupọ
ìla alaye
agbelebu eri
Awọn aṣiṣe ti o wọpọ
- A ro pe ayẹwo aimi jẹ asọye. Ayẹwo idile yẹ ki o jẹrisi nipasẹ ihuwasi ti o ni agbara.
- Wiwa fun awọn asemase laisi ipilẹ kan. Laisi asọye deede ohun gbogbo di rere eke.
- Ìdènà IOC lai ijerisi. IOC eke ṣe idaduro ijabọ abẹ; jẹrisi.
- Ṣiṣejade / nbere ikọlu lati AI. Lilo laigba aṣẹ; nikan olugbeja ati ijerisi.
- Ṣiṣe awọn kokoro laisi idabobo. Itupalẹ ti o ni agbara nigbagbogbo ni a ṣe ni apoti iyanrin ti o ya sọtọ.
Ni akojọpọ
Malware ati itupalẹ oniwadi nẹtiwọọki ṣe afihan ipilẹ imọ-ẹrọ ti iṣẹlẹ kan. AI; O mu iwọn ilawọn okun pọ pupọ, iwe afọwọkọ/akọsilẹ Makiro, isediwon IOC, ati ifihan anomaly nẹtiwọki. Ṣugbọn ayẹwo jẹ arosọ; onínọmbà ìmúdàgba, ipilẹṣẹ ati ijerisi IOC jẹ iṣẹ eniyan. Ati pataki julọ: alaye yii wa fun aabo, idanwo ti a fun ni aṣẹ, ati ijẹrisi ẹri nikan - rara fun iraye si laigba aṣẹ tabi idagbasoke ikọlu.
Ohun elo iṣẹ-ṣiṣe
Ṣeto oju iṣẹlẹ iwe afọwọkọ/macro kan ni ailewu, agbegbe ti o ya sọtọ (tabi lori apẹẹrẹ ero inu). Waye "akosile/apejuwe Makiro" ati "itọkasi IOC" awọn awoṣe; Sopọ ati rii daju IOC kọọkan awọn iyọkuro AI si orisun. Lẹhinna gbiyanju lati wa apẹrẹ bekini kan pẹlu apẹẹrẹ “Samisimi Nẹtiwọọki anomaly” ninu iwe igba ayẹwo kan ki o jẹrisi pẹlu ipilẹṣẹ.
akojọ ayẹwo
- [] Mo ṣe itupalẹ fun igbeja/awọn idi atunyẹwo ti a fun ni aṣẹ nikan.
- [] Mo tọju ayẹwo naa bi arosọ ati fi idi rẹ mulẹ pẹlu ihuwasi ti o ni agbara.
- [] Mo ṣiṣẹ malware nikan ni apoti iyanrin ti o ya sọtọ.
- [] Mo tumọ awọn asemase nẹtiwọọki ni ibatan si ipilẹ.
- [] Mo ti sopọ IOC kọọkan si orisun ati timo ṣaaju ki o to dina.