Awọn anfani:
- Loye pe oye atọwọda ṣe akopọ ati awọn akojọpọ ẹgbẹẹgbẹrun awọn laini log, ṣe agbekalẹ aago kan ati ṣe afihan awọn ilana ifura, ṣugbọn atunnkanka pinnu pe iṣẹlẹ naa jẹ ikọlu gidi pẹlu iwe aise.
- Agbara lati lo ipilẹṣẹ (iwa deede) nigbati o ṣe iṣiro itaniji SIEM kan ati bii o ṣe le yọkuro awọn idaniloju eke laisi ọrọ-ọrọ ati bii a ko ṣe le tumọ anomaly naa
- Agbara lati gba ihuwasi ti ijẹrisi pq ti awọn iṣẹlẹ ti iṣeto nipasẹ itetisi atọwọda ninu iwe aise ati yiyọ awọn ibatan alarinrin kuro.
Oluyanju aabo kan lo pupọ julọ ti ọjọ rẹ kika awọn akọọlẹ. Akọọlẹ kan jẹ laini ọrọ ti awọn ami igba akoko ohun ti o ṣẹlẹ lori eto kan: ẹniti o wọle nigbawo, faili wo ni o wọle, iru asopọ wo ni o kọ. Iṣoro naa kii ṣe pe igi kekere wa ni, o jẹ pe o wa pupọ ti o jẹ pe o npa. Ajo ti o ni iwọn alabọde ṣe agbejade awọn ọgọọgọrun miliọnu awọn laini log fun ọjọ kan. Ninu opoplopo yii, itọpa ikọlu gidi kan ni abẹrẹ ti o wa ninu koriko. SIEM (Alaye Aabo ati Isakoso Iṣẹlẹ - eto ti o gba ati ṣe atunṣe awọn iwe-ipamọ lati awọn orisun oriṣiriṣi ni ile-iṣẹ kan ati ṣiṣe awọn itaniji ti o da lori ofin) wa nibẹ lati wa abẹrẹ yii; ṣugbọn pupọ julọ awọn itaniji ti SIEM ṣe ipilẹṣẹ tun jẹ awọn idaniloju eke (awọn itaniji asan ti kii ṣe awọn irokeke gidi). Iṣẹ gidi ti oluyanju ni lati yọ ifihan agbara gidi jade lati ariwo yii.
Imọran atọwọda jẹ iranlọwọ ti o lagbara ni yiyan yii. O le ka ẹgbẹẹgbẹrun awọn laini log ni iṣẹju-aaya ki o ṣe akopọ wọn ni ede eniyan, awọn ilana loorekoore iṣupọ, ṣapejuwe pq awọn iṣẹlẹ bi “akọkọ eyi ṣẹlẹ, lẹhinna iyẹn,” ati ṣalaye idi ti itaniji dabi ifura. Ṣugbọn AI ko mọ kini log tumọ si laarin ọrọ-ọrọ ti igbekalẹ: “iwọle ni 3am” jẹ ikọlu ni ile-ẹkọ kan, iyipada alẹ deede ni omiiran. Nitorinaa AI ṣe akopọ ati ṣe asia akọọlẹ naa, ṣugbọn atunnkanka pinnu boya iṣẹlẹ kan jẹ ikọlu gidi ati jẹrisi pẹlu iwe aise.
Awọn igbesẹ ti log onínọmbà
Eyi ni bii o ṣe ṣiṣe iwe-igbesẹ-igbesẹ kan / itupalẹ SIEM pẹlu AI:
- Gba ati ailorukọ. Yọ ajẹkù log ti o yẹ; rọpo IP gangan, awọn orukọ olumulo, awọn orukọ igbalejo inu pẹlu awọn oniduro (USER_A, IC_IP_1). Maṣe ṣe okeere data aise bi o ṣe jẹ si ohun elo ita.
- Fun awọn ti o tọ. Sọ fun AI orisun ti log (ogiriina, log iṣẹlẹ Windows, olupin wẹẹbu), kini ihuwasi deede, ati kini o n wa. Itupalẹ wọle laisi ọrọ-ọrọ jẹ ṣina.
- Ṣe akopọ ati ṣajọpọ. Beere lọwọ AI lati ṣe akojọpọ ẹgbẹẹgbẹrun awọn ori ila nipasẹ awọn oriṣi iṣẹlẹ, jade awọn iṣiro iṣẹlẹ, ati ṣẹda aago kan.
- Ṣe afihan awọn ilana ifura. Ṣe afihan awọn ilana bii “iwọle aṣeyọri kan lẹhin awọn iwọle aṣeyọri”, “awọn iraye si ọpọlọpọ awọn faili ni igba diẹ”, “isopọ nẹtiwọki ti o jẹ ti ilana aimọ”.
- Ṣayẹwo pẹlu ẹri aise. Wa ki o jẹrisi ilana kọọkan ti awọn asia AI ni awọn laini log gangan. Tun ṣayẹwo fun ara rẹ awọn agbegbe ti AI padanu.
- Ipinnu ati ìforúkọsílẹ. Sọ iṣẹlẹ gangan bi oluyanju, ṣii tikẹti kan, ki o kọwe pe AI jẹ ohun imuyara nikan.
Awọn ofin diẹ: Orisun log jẹ eto ti o ṣe agbejade log. Ibaṣepọ jẹ kiko awọn iṣẹlẹ papọ lati awọn orisun oriṣiriṣi ati ṣiṣe oye wọn (iwọle VPN + wiwọle faili + gbigbe data = jijo ṣee ṣe). Ipilẹ jẹ iwọn ti ihuwasi deede ti eto kan; Anomaly nikan ni oye ni ibatan si ipilẹ. UEBA (Olumulo ati Awọn atupale Ihuwa Eniyan) jẹ ọna orisun AI ti o kọ ẹkọ ihuwasi deede ti olumulo kọọkan ati iyapa awọn asia.
afiwe chart
Ona
Bawo ni o ṣiṣẹ
lagbara ojuami
ailera
Ofin orisun SIEM
Awọn ofin ti o wa titi "ti o ba jẹ lẹhinna".
Sihin, ṣe alaye
Npadanu ikọlu aimọ, ọpọlọpọ awọn idaniloju eke
Wiwa orisun Ibuwọlu
Baramu mọ buburu Àpẹẹrẹ
Sare lori ewu mọ
Afoju si titun / yi pada kolu
Anomaly/UEBA (AI)
Wa iyapa lati deede
Le gba ohun aimọ
Anomaly = ko kolu; ewu eke positives
Akopọ pẹlu AI
Akopọ awọn log ni ede
Iyara, kika
Ko si ọrọ-ọrọ, eewu ti hallucination
Oluyanju (eniyan)
Comments pẹlu o tọ
ipinnu, ojuse
O lọra, o rẹrẹ, ko ṣe iwọn
Eto ti o tọ kii ṣe lati mu ọkan ṣugbọn si Layer: SIEM ati Ibuwọlu ṣe àlẹmọ ni aijọju ariwo, AI ṣe akopọ ati awọn ifojusi, atunnkanka jẹri ati pinnu.
mẹta mini igba
Ọran 1 - 50,000 ila, 6 iṣẹju. Oluyanju ṣe ailorukọ awọn laini 50,000 ti awọn iwe iwọle lati ọdọ olupin wẹẹbu kan si AI. AI ṣe ipinnu pe IP ita ita kan ra / awọn ipa-ọna abojuto pẹlu awọn ibeere 12,000 ni awọn wakati 3, gbiyanju awọn aye oriṣiriṣi 480, ati gba awọn idahun 200 ni igba 3. Oluyanju naa rii awọn ibeere aṣeyọri 3 wọnyi ninu akọọlẹ aise, jẹri pe o jẹ ikọlu iṣiro ọna gidi, ati dina IP naa. Kika awọn laini 50,000 pẹlu ọwọ yoo gba awọn wakati; Awọn Lakotan ge ti o si isalẹ lati 6 iṣẹju, sugbon o jẹ awọn Oluyanju ká ipinnu.
Ọran 2 - Ibaṣepọ ti o ni idaniloju. Oluyanju miiran sọ fun AI, “ṣapejuwe pq ikọlu inu akọọlẹ yii.” AI ṣe agbekalẹ itan ito kan: "Ni 02:11, USER_B gbega anfani ati gbejade data naa si okeere." Oluyanju naa ṣii iwe aise ṣaaju ki o to kọ sinu ijabọ naa; Lakoko ti o jẹ pe ninu akọọlẹ ko si igbega anfani tabi gbigbe data - awoṣe baamu pq awọn iṣẹlẹ aṣoju kan sinu “itan ikọlu.” Oluyanju naa yọkuro ẹtọ naa. Ẹkọ: Gbogbo pq ti AI sọ yẹ ki o rii daju ninu akọọlẹ naa.
Case 3 - Night naficula eke rere. Awoṣe UEBA ṣe asia olumulo kan ti n wọle si awọn faili 900 ni 3 owurọ bi “aiṣedeede eewu giga.” Oluyanju naa ṣayẹwo ọrọ-ọrọ: olumulo jẹ oniṣẹ afẹyinti ati pe iṣẹ yii nṣiṣẹ ni 03:00 ni gbogbo oru; A ko wo ipilẹ ipilẹ. Itaniji jẹ idaniloju eke. Oluyanju ṣeto ofin ati ṣafikun oniṣẹ ẹrọ yii si atokọ imukuro. Anomaly kii ṣe ikọlu nigbagbogbo; Laisi ọrọ-ọrọ, itaniji jẹ ariwo.
Ailagbara kiakia / Alagbara kiakia
Ibere ailagbara:
Ṣayẹwo iwe akọọlẹ yii, sọ fun mi ti ikọlu ba wa.[10.14.2.7 - ahmet.yilmaz - 200 - / admin ...]
Itọkasi yii ni IP gidi ati olumulo (irufin ikọkọ), ko sọ orisun log ati ihuwasi deede, ko beere AI fun ẹri ati igbelewọn rere eke. AI le ṣi ọ lọna pẹlu gbolohun kan, "bẹẹni, ikọlu kan wa."
Ibere ti o lagbara:
Ipa rẹ: Oluranlọwọ si Oluyanju SOC ngbaradi Akọpamọ onínọmbà. Maṣe pinnu, maṣe kede ikọlu kan. Eyi jẹ akọọlẹ wiwọle ailorukọ ti olupin wẹẹbu kan (IPs ati awọn olumulo ti wa ni boju-boju). Ijabọ deede: Awọn ibeere 100-300 / wakati lakoko awọn wakati iṣowo, pupọ julọ / ọja ati / awọn ọna rira. Iṣẹ-ṣiṣe rẹ: (1) awọn iṣẹlẹ iṣupọ nipasẹ iru ati orisun, fun nọmba awọn iṣẹlẹ, (2) awọn ilana asia ti o yapa kuro ni ipilẹ, (3) fihan fun asia kọọkan eyiti awọn laini log ti o da lori, (4) kọ iṣeeṣe eke rere fun ọkọọkan ati idi. Laini ibamu / ifibọ IOC; Samisi "[Oluyanju daju]" nibiti o ko ni idaniloju.[akọsilẹ ailorukọ nibi]
Ibeere ti o lagbara ṣe opin ipa naa, pese aaye ati ipilẹ, ati nilo ifaramọ pẹlu ẹri ati igbelewọn awọn idaniloju eke.
Awọn awoṣe kiakia idakọ
AKỌỌRỌ AWỌN ỌRỌWỌRỌ Aimọ ailorukọ atẹle [orisun akọọlẹ: fun apẹẹrẹ. Ṣe akopọ akọọlẹ [ogiriina]: (1) ẹgbẹ nipasẹ awọn iru iṣẹlẹ ati fun nọmba awọn iṣẹlẹ ti ẹgbẹ kọọkan, (2) yọkuro nọmba ti orisun alailẹgbẹ / awọn ibi-afẹde, (3) ṣe agbekalẹ aago kan (iṣẹlẹ akọkọ-kẹhin, awọn wakati to pọ julọ), (4) ṣe atokọ awọn ailorukọ olokiki 5 pẹlu laini ẹri. Ṣiṣe ipinnu; o kan ni akojọpọ. Wọle: [lẹẹmọ]
Àdàkọ Àjọṣe Ṣe àtúnṣe àwọn ìṣẹ̀lẹ̀ aláìlórúkọ ní àkókò àti ohun kan, kí o sì kọ ọ̀pọ̀ ìṣẹ̀lẹ̀ kan tí ó ṣeé ṣe; Ṣugbọn, fun igbesẹ kọọkan, tọka si laini log ti o da lori, ki o samisi igbesẹ ti ko ni ipilẹ bi “[ko si ipilẹ - gbọdọ rii daju]”. Kọ alaye yiyan ti o ni ipinnu daradara bi daradara. Awọn iṣẹlẹ: [lẹẹmọ]
Àdàkọ Imukuro rere eke Fun itaniji yii, ṣe ina o kere ju 3 awọn alaye ti o ni ero-daradara (idaadaa eke) fun itumọ ikọlu ati kọ kini afikun log / ẹri Mo nilo lati wo lati rii daju ọkọọkan. Lẹhinna pinnu iru ẹri afikun ti o ni ojurere fun ikọlu ati eyiti o lodi si. Itaniji: [lẹẹmọ]
Àdàkọ ÌSÁDÌÍRẸ̀ ÌKÁ: Ago aago kan ṣoṣo ni a yọ jade lati inu awọn akọọlẹ ailorukọ wọnyi: laini kọọkan ni ọna kika [akoko] [ohun kan] [iṣẹlẹ] [akọsilẹ orisun]. Ṣafikun iṣẹlẹ laisi aami akoko kan. Maṣe ṣe awọn ela; Ti o ba sonu, kọ "[sonu]". Awọn akọọlẹ: [lẹẹmọ]
Awọn aṣiṣe ti o wọpọ
- Onínọmbà laisi ọrọ-ọrọ. Awọn asọye ti a ṣe laisi mẹnuba orisun log ati ihuwasi deede (ipilẹṣẹ) jẹ ṣina; "anomaly" ni itumo pẹlu ọrọ-ọrọ.
- Ko mọ daju pq mulẹ nipasẹ awọn AI. Awoṣe le sopọ awọn iṣẹlẹ lasan si itan ikọlu; Jẹrisi igbesẹ kọọkan ninu akọọlẹ aise.
- Asise ohun anomaly fun a kolu. Awọn ami ti UEBA ni a ilewq; Imukuro awọn okunfa alaiṣẹ gẹgẹbi afẹyinti, itọju, sọfitiwia tuntun.
- Tajasita aise data lai boju. IP/olumulo/ogun gidi jẹ mejeeji irufin KVKK ati ẹbun maapu nẹtiwọọki kan si ikọlu naa.
- Maṣe gbekele akopọ odi ki o da lilọ kiri ayelujara duro. Ṣiṣe ibeere eto ti ara rẹ (awọn iru iṣẹlẹ to ṣe pataki, awọn IOCs tuntun) paapaa ti AI ko sọ “ko si ohun pataki”.
Imọran: Nigbagbogbo beere lati “fi laini ẹri han” nigbati AI ṣe akopọ akọọlẹ naa. Maṣe gba wiwa eyikeyi ni pataki laisi laini ẹri; Ofin kan yi ge jade julọ hallucinations.
Išọra: Yiyọ titaniji SIEM kan nitori AI sọ pe “idaniloju eke” le jẹ ibora ikọlu gidi kan. Paapaa ni ominira ṣayẹwo itaniji ti AI pe “ko ṣe pataki”; Ipinnu pipade jẹ ti oluyanju ati pe o ti gbasilẹ.
Ni akojọpọ
Ohun pataki ti log ati itupalẹ SIEM ni lati yọ ami ifihan gidi jade lati opoplopo ariwo nla kan. Ninu yiyan yii, AI ṣe akopọ log ni iṣẹju-aaya, awọn ilana iṣupọ, ṣe agbekalẹ aago kan, ati ṣe afihan ifura naa - ṣugbọn ko mọ ipo igbekalẹ ati pe o le ṣe awọn iṣẹlẹ. Nitorinaa iṣeto ti o pe ti wa ni siwa: ofin / ibuwọlu ni aijọju, AI ṣe akopọ ati awọn asia, atunnkanka naa jẹrisi pẹlu log aise ati ṣe ipinnu. Awọn ipilẹ mẹta ṣe aabo fun ọ: agbegbe (ko si itumọ anomaly laisi ipilẹ), ẹri (wiwa kọọkan ti so si laini log aise), iṣakoso ominira (ohun ti AI pe ni agbegbe “mimọ” tun ti ṣayẹwo). Ati nigbagbogbo ṣiṣẹ anonymized.
Ohun elo iṣẹ-ṣiṣe
Mu ajẹkù log ayẹwo kan (boya ailorukọ lati eto tirẹ tabi lati ṣeto data ayẹwo). Ni akọkọ, ṣe akopọ si AI pẹlu awoṣe “Akopọ Wọle”. Lẹhinna lo awoṣe “Imukuro Rere Irọ” fun ọkọọkan awọn awari mẹta ti o ṣe akiyesi julọ ki o rii daju pe ọkọọkan wiwa ararẹ ni akọọlẹ aise. Ni ipari, ṣe akiyesi awọn iyatọ laarin akopọ AI ati kika aise rẹ: Kini AI padanu, kini o ṣe, kini o tọ?
akojọ ayẹwo
- [] Mo sọ akọọlẹ naa di ailorukọ; gidi IP / olumulo / ogun boju.
- [] Mo fun AI ni orisun log ati ihuwasi deede (ipilẹ).
- [] Mo beere laini akọọlẹ ẹri fun wiwa kọọkan ati rii daju ninu akọọlẹ aise.
- [] Mo timo gbogbo igbese ti awọn pq ti awọn iṣẹlẹ mulẹ nipasẹ awọn AI, weeding jade awọn iro.
- [] Mo ro o kere ju ọkan eke alaye rere fun itaniji kọọkan.
- [] Mo tun ṣayẹwo awọn agbegbe ti AI pe "mimọ / ko ṣe pataki".
- [] Gẹgẹbi oluyanju, Mo ṣe ipinnu ati igbasilẹ iṣẹlẹ naa; Mo ṣe akọsilẹ AI bi ohun imuyara.