Awọn anfani:
- Loye bawo ni ṣiṣe ọdẹ irokeke ṣe bẹrẹ pẹlu arosọ idanwo, kii ṣe itaniji, ati bii oye atọwọda ṣe ṣe iranlọwọ ni iran idawọle ati kikọ ibeere.
- Agbara lati lo pe ifihan ilodi si / toje ti afihan nipasẹ itetisi atọwọda ko tumọ si ero irira laifọwọyi, ati pe ile-itumọ naa gbọdọ jẹrisi pẹlu ẹri aise.
- Agbara lati jẹrisi awọn nọmba imọ-ẹrọ MITER ATT&CK ati awọn ID iṣẹlẹ ti a fun nipasẹ oye atọwọda pẹlu orisun osise ati imukuro awọn alaye imọ-ẹrọ ti a ṣẹda
Abojuto aabo Ayebaye n ṣiṣẹ pẹlu ọgbọn ti “duro fun itaniji, wo nigbati o ba de”. Ṣugbọn awọn ikọlu ti o lewu julọ gbiyanju lati ma gbe awọn itaniji soke: wọn lo awọn irinṣẹ ti o tọ (eyi ni a pe ni “iwa nilokulo” - iyẹn ni, awọn irinṣẹ ilokulo ti o wa tẹlẹ lori eto, bii PowerShell, WMI), gbe laiyara, ati dabaru pẹlu ijabọ deede. Ti o ni idi ti a bi isode irokeke ewu: lai duro fun itaniji, "ti o ba jẹ pe onijagidijagan ti a ko ṣe akiyesi lọwọlọwọ wa ninu ajo mi, nibo ni yoo wa?" Ṣiṣawari wiwa awọn itọpa pẹlu ibeere naa: Idẹruba ọdẹ bẹrẹ pẹlu arosọ, kii ṣe itaniji.
Oye itetisi atọwọdọwọ wulo pupọ ni awọn aaye meji ni isode irokeke. Ni igba akọkọ ti ni idawọle idawọle: fun ilana ikọlu kan ki o beere “Ti a ba lo ilana yii ni ile-ẹkọ mi, lori awọn akọọlẹ wo ati ninu apẹẹrẹ wo ni yoo fi itọpa kan silẹ?” o le beere. Awọn keji jẹ ifihan agbara isediwon: o le saami awọn toje, outlier, "yatọ si lati deede" ni ńlá data. Ṣugbọn AI ko mọ ohun ti o jẹ deede fun agbari rẹ ati pe o le ṣubu sinu ẹgẹ ti ironu ero kan jẹ “fifihan.” Ni isode irokeke, AI jẹ alabaṣepọ ọkan ati ọlọjẹ; Ọdẹ (oluyanju) pinnu boya ohun ọdẹ rii irokeke gidi ati boya eyi yoo jẹ ijabọ.
Awọn igbesẹ ti isode irokeke
- Itumọ. Nkankan, gbolohun ọrọ ti o ṣee ṣe idanwo: "Olukọlu le ṣe ayẹwo nẹtiwọọki inu lakoko awọn wakati ti kii ṣe iṣowo pẹlu akọọlẹ ti o gbogun.” O le lo AI fun iṣaroye nibi.
- Ṣe idanimọ orisun data. Iwe akọọlẹ wo ni o jẹri / ṣe idaniloju idawọle naa? (Fun apẹẹrẹ, ogiriina ati awọn akọọlẹ DNS fun ṣiṣe ayẹwo nẹtiwọọki, awọn akọọlẹ idanimọ fun igbega anfani.)
- Ṣe apẹrẹ ibeere naa. Ibeere ti yoo wa apẹrẹ ti a fojusi (ede ibeere SIEM, KQL, SQL-like). AI ṣe iranlọwọ ni kikọ awọn ibeere; ṣugbọn o ṣe ayẹwo ibeere naa ki o ṣiṣẹ.
- Jade abajade. Ṣe àlẹmọ gidi ifihan agbara lati awọn ọgọọgọrun ti iṣelọpọ laini. Nibi AI ṣe akopọ ati akopọ.
- Jẹrisi tabi kọ. Jẹrisi pẹlu ẹri aise ati agbegbe boya itọpa ti a rii jẹ irira gaan tabi alaiṣẹ.
- Ṣe iwe abajade ki o tan-an sinu ipinnu. Ṣe iyipada apẹrẹ gangan ti a rii sinu ofin wiwa titilai; Ti arosọ ba kuna, gbasilẹ iyẹn paapaa (abajade odi tun jẹ alaye).
Awọn ofin: TTP (Awọn ilana, Awọn ilana, Awọn ilana — ilana ihuwasi ikọlu). MITER ATT&CK jẹ ile-ikawe ti a ṣe akopọ ati ti o ni akọsilẹ ti awọn imuposi ikọlu (fun apẹẹrẹ T1078 “Awọn akọọlẹ Wulo”); O pese ede ti o wọpọ ni isode idẹruba. IOC (Atọka ti irufin - IP buburu, hash, domain). Ariwo funfun (whitelist/mọ-dara) jẹ ihuwasi deede ti a mọ lati rubọ ohun ọdẹ.
Tabili ti irokeke sode yonuso
Ona
ibẹrẹ
Ilowosi ti AI
Ifarabalẹ
Isọde ti o da lori arosọ
"Ti iru ikọlu ba wa..."
Iran arosọ, apejuwe apẹẹrẹ
Itumọ kii ṣe ẹri
IOC orisun sode
Atọka buburu ti a mọ
Ti o baamu awọn IOCs si awọn akọọlẹ
Atijọ/ti ko tọ IOC ṣina
TTP/ATT&CK sode orisun
Ilana kan (nọmba T)
Yiyipada ilana naa si apẹrẹ log
Ilana ≠ apẹrẹ ẹyọkan
Anomaly orisun ode
Iyapa ti iṣiro
Saami awọn outlier
Contrarian ≠ igbagbo buburu
Iṣiro igbohunsafẹfẹ akopọ
"Kini ohun ti o ṣọwọn julọ?"
Wiwa awọn toje iṣẹlẹ
Toje ≠ lewu
mẹta mini igba
Case 1 - Wiwa awọn toje. Ọdẹ le beere, "Ilana wo lori nẹtiwọọki inu ti nṣiṣẹ lori awọn kọnputa ti o kere julọ ṣugbọn o ṣeto awọn asopọ nẹtiwọọki pupọ julọ?” fi idi rẹ ilewq. AI ṣe afihan apẹrẹ kan lati data asopọ ilana ailorukọ: ilana ti a npè ni svchost32.exe, ti a rii lori awọn ẹrọ 2 nikan, n sopọ si awọn adirẹsi ita oriṣiriṣi 340. Ode wo eyi; O wa malware kan ti o fara wé svchost.exe abẹ. AI filtered awọn toje; Ọdẹ ṣe ayẹwo ati idasilo.
Ọran 2 - The kuna (ṣugbọn niyelori) sode. Ọdẹ kan beere "Ṣe igbasilẹ data pupọ wa nigba awọn wakati ti kii ṣe iṣowo?" fi idi rẹ ilewq; AI kọ iwe ibeere ti o yẹ. Esi: Awọn olumulo 3 ṣe igbasilẹ ni alẹ, ṣugbọn gbogbo wọn jẹ awọn oṣiṣẹ ọfiisi okeokun ati ṣiṣẹ lakoko awọn wakati iṣowo nitori awọn iyatọ agbegbe akoko. Awọn ilewq ti wa ni reko. Ọdẹ ṣe akọsilẹ eyi gẹgẹbi “esi odi” o si ṣe akiyesi awọn olumulo 3 wọnyi bi awọn imukuro fun awọn ọdẹ ọjọ iwaju. Paapaa ọdẹ ti ko ni aṣeyọri gba wa laaye lati mọ ile-ẹkọ naa daradara.
Ọran 3 - Idite imọ pakute. Ọdẹ kan beere AI "Bawo ni MO ṣe wa fun ilana T1055 ninu agbari mi?" wí pé. AI kọ ibeere ti o ni idaniloju ati idaniloju pe “T1055 ṣe ipilẹṣẹ ID iṣẹlẹ atẹle”; ṣugbọn ID iṣẹlẹ ti o fun jẹ aṣiṣe ati pe awoṣe ṣe agbekalẹ imọ-ẹrọ ATT&CK kan. Avcı ṣii igbasilẹ MITER ATT&CK, jẹrisi apejuwe imọ-ẹrọ ati awọn orisun log gidi, ati ṣatunṣe ID iṣẹlẹ ti ko tọ. Ẹkọ: Ṣayẹwo gbogbo awọn alaye imọ-ẹrọ ti AI funni (ID iṣẹlẹ, T-nọmba, aaye log) pẹlu orisun osise.
Ailagbara kiakia / Alagbara kiakia
Ibere ailagbara:
Wa boya ikọlu kan wa lori nẹtiwọọki mi.
Ibeere yii ko ni idawọle, ọfẹ data, ailopin ati ailẹri. AI ṣe agbejade akojọpọ gbogbogbo tabi ti a ṣe; kò wúlò rárá.
Ibere ti o lagbara:
Ipa rẹ: oluranlọwọ ti o funni ni awọn imọran ati awọn ilana si ọdẹ irokeke. Maṣe pinnu, maṣe sọ pe "ihalẹ kan wa". Ipilẹṣẹ mi: "Akọọlẹ ti o gbogun le ṣe ayẹwo awọn ebute oko oju omi inu lakoko awọn wakati ti kii ṣe iṣowo.” Ṣe awọn atẹle wọnyi: (1) ṣe atokọ awọn orisun log ti yoo jẹri ki o ṢAṢE idawọle yii, (2) ṣapejuwe ilana ti o nipọn lati wa (awọn aaye wo, awọn iloro wo), (3) kọ apẹrẹ ti ibeere apẹẹrẹ ki o ṣalaye laini kọọkan, (4) kọ silẹ eyiti awọn alaye alaiṣẹ yoo parẹ ninu abajade abajade. Daba ilana MITER ATT&CK ti o yẹ, ṣugbọn samisi nọmba T-nọmba ati ID iṣẹlẹ bi “[a gbọdọ rii daju lati MITER]”, maṣe ṣe soke.
Ibeere ti o lagbara bẹrẹ pẹlu idawọle ti o nipọn, ṣe agbekalẹ iwọntunwọnsi ti ẹri / atusọ, ti ṣalaye ibeere naa, o si fi alaye imọ-ẹrọ silẹ si ijẹrisi.
Awọn awoṣe kiakia idakọ
Àdàkọ ÌJỌ̀ ÌJỌ̀ ÀTẸ̀SÍṢẸ́Fún ilé-iṣẹ́ mi [ohun kan: f.eks. Ṣe agbekalẹ awọn igberosọ ọdẹ irokeke idanwo ni ọrọ-ọrọ ti [Active Directory / cloud / endpoint]5. Fun idawọle kọọkan: (1) iru ihuwasi ikọlu ti o dojukọ, (2) kini orisun akọọlẹ yoo pese ẹri / itusilẹ, (3) apẹrẹ ti a nireti. Ṣe awọn gbolohun ọrọ idanwo, kii ṣe awọn gbolohun ọrọ gbogbogbo.
TECHNIQUE PATTERN PATTERN Emi yoo wa ilana ikọlu atẹle ni igbekalẹ [orukọ imọ-ẹrọ] mi. Ṣe ipilẹṣẹ: (1) awọn agbegbe akọọlẹ nibiti ilana naa ti fi ami rẹ silẹ nigbagbogbo, (2) awọn ilana nja ati awọn iloro lati wa, (3) awọn ipo alaiṣẹ (idaniloju eke) ti o le fa apẹẹrẹ yii. Pese o yẹMITRE ATT & CK T-nọmba ṣugbọn pẹlu "[Gbọdọ wa ni wadi lati MITER]" flag; ma fun a se iṣẹlẹ ID/nọmba.
TEMPLATE Kọ iwe ibeere [SIEM/KQL/SQL] kan ti o n wa ilana atẹle yii: [apejuwe apẹrẹ].Ṣe asọye laini kọọkan, ṣalaye iru aaye ti o ṣe sisẹ ati idi, ati samisi awọn eewu iṣẹ. Emi yoo ṣe ayẹwo ibeere naa ati ṣiṣe rẹ; maṣe ro pe iwọ yoo ṣiṣẹ. Fi awọn orukọ aaye silẹ ti o samisi "[tọ si apẹrẹ]" ni ibamu si ero ti Mo mọ.
Abajade Imukuro TEMPLATE Abajade ti ode mi ti mu awọn laini wọnyi (ailorukọ): [lẹẹ mọ]. Ṣe akojọpọ wọn, ati fun ẹgbẹ kọọkan kọ (1) oju iṣẹlẹ irira, (2) o kere ju awọn alaye alaiṣẹ 2, ati (3) awọn ẹri afikun lati wa lati ṣe iyatọ. Ṣiṣe ipinnu; Ma je ki n ya yin. Samisi "[ko si ipilẹ]" fun ẹtọ ti ko ni ẹri.
Awọn aṣiṣe ti o wọpọ
- Sode lai awọn idawọle. Wipe “wa nkankan” titari AI lati gboju ati ṣe; Sode bẹrẹ pẹlu kan nja, testable gbolohun.
- Asise a ilewq fun eri. Sode ṣe idanwo iṣeeṣe kan; Wa kakiri ti a rii kii ṣe “irokeke” titi ti o fi jẹrisi nipasẹ ẹri aise.
- Laifọwọyi considering awọn ilodi si bi buburu. Awọn toje / outlier ni igba alaiṣẹ (itọju, titun software, ọkan-pipa ise); Sift pẹlu ọrọ-ọrọ.
- Ko ṣe idaniloju alaye imọ-ẹrọ. AI le baramu ID iṣẹlẹ, T-nọmba ati aaye log; Jẹrisi pẹlu MITER ATT&CK ati iwe ọja.
- Jiju awọn apeja ti sọnu. Abajade ti ko dara tun jẹ imọ: gba lati mọ ajo naa dara julọ, idinku awọn rere eke ọjọ iwaju; iwe aṣẹ.
Imọran: Irokeke ọdẹ ọdẹ ti o dara yẹ ki o jẹ “ayẹwo”: ẹtọ to daju ti o le tan lati jẹ otitọ tabi eke. "Ṣe ohunkohun buburu ni nẹtiwọki mi?" ko le ṣe idanwo; Njẹ akọọlẹ X sopọ si diẹ sii ju awọn IP inu inu 50 ni awọn wakati ti kii ṣe iṣowo?” le ṣe idanwo.
Ifarabalẹ: Ọdẹ Irokeke ni a ṣe lori awọn eto nikan ti o fun ni aṣẹ lati ṣe. Bibeere AI lati “ṣewadii” agbari miiran, eniyan, tabi nẹtiwọọki eyiti o ko ni igbanilaaye jẹ igbiyanju lati ni iraye si laigba aṣẹ ati pe o wa ni ita ti module yii.
Ni soki
Irokeke ọdẹ jẹ wiwa ni itara fun awọn itọpa ti ikọlu ti o farapamọ laisi iduro fun itaniji, ati pe o bẹrẹ pẹlu arosọ, kii ṣe itaniji. AI nfunni ni awọn ifunni ti o lagbara meji ninu ilana yii: ṣiṣẹda awọn idawọle idanwo ati awọn iyaworan ibeere, ati sisẹ awọn ifihan agbara toje/jade lati data nla. Ṣugbọn AI ko mọ ohun ti o jẹ deede fun ajo rẹ, o le ṣe awọn alaye imọ-ẹrọ ati ki o ṣubu sinu ẹgẹ ti ṣiṣaro asọye kan fun ẹri. Nitorina ọdẹ naa ni awọn igbesẹ mẹfa (hypothesis, data, ìbéèrè, jade, ṣayẹwo, document) ati ni igbesẹ kọọkan ipinnu jẹ fun ode. Contrarian ≠ buburu, idawọle ≠ ẹri, alaye imọ-ẹrọ ti a fun nipasẹ AI ≠ ti o tọ; gbogbo awọn timo nipa aise eri ati MITER ATT & CK.
Ohun elo iṣẹ-ṣiṣe
Gba awọn idawọle ọdẹ 5 irokeke lati AI pẹlu awoṣe “Iran Hypothesis” fun eto tirẹ (tabi agbegbe apẹẹrẹ). Yan idanwo ti o pọ julọ, ṣe ibeere ibeere pẹlu “Ilana Ilana” ati awọn awoṣe “Ibeere Ibeere”, fọwọsi ila kọọkan ninu ibeere naa ati nọmba T-kọọkan ti a daba ni MITER ATT&CK. Kọ abajade silẹ (ti a ti fi idi ero-ọrọ naa mulẹ, ti ko ni idaniloju, kini o kọ) ni akọsilẹ sode kukuru kan.
akojọ ayẹwo
- [ ] Mo ti bere mi sode pẹlu kan nja, testable ilewq.
- [] Mo ti ṣe idanimọ awọn orisun log ti yoo jẹri mejeeji ati tako idawọle naa.
- [] Mo ṣe atunyẹwo gbogbo laini ti iwe ibeere ati ṣe deede si ero ti ara mi.
- [] Mo jẹrisi ilana MITER ATT&CK ti a dabaa ati awọn ID iṣẹlẹ pẹlu orisun osise.
- [] Mo timo kọọkan ifihan agbara pẹlu aise eri ati o tọ; Emi ko ṣe akiyesi ilodi si lẹsẹkẹsẹ bi buburu.
- [] Mo tun ṣe akọsilẹ idawọle ti o kuna (abajade odi jẹ alaye).
- [] Mo ti sode nikan lori awọn ọna šiše Mo ti a fun ni aṣẹ lati sode.