Awọn ẹya
1. Ifihan si Imọye Oríkĕ ni Cybersecurity: Awọn ipa, Awọn aala, Ilana Aabo ati Imudaniloju 2. Wọle ati Ṣiṣayẹwo SIEM: Iṣẹlẹ Iyapa lati Ariwo pẹlu Imọye Oríkĕ 3. Sode Irokeke: Igbekale Awọn igbero ati Wiwa Awọn ifihan agbara pẹlu Imọye Oríkĕ 4. Ṣiṣayẹwo ailagbara ati Iṣaju: Titọ lẹsẹsẹ ni deede pẹlu CVE, CVSS, EPSS ati Ọrọ 5. Idahun Iṣẹlẹ: Itupalẹ iyara, Iwe-iṣere ati Ipinnu Iṣakoso pẹlu Imọye Oríkĕ 6. Ararẹ ati Iṣayẹwo Imọ-ẹrọ Awujọ: Imeeli, URL ati Atunwo Akọsori 7. Atunwo koodu to ni aabo ati Itupalẹ Aimi: Wiwa Awọn ailagbara pẹlu Imọye Oríkĕ 8. Irokeke oye: IOC, TTP, MITER ATT&CK ati Sensemaking pẹlu Oríkĕ oye 9. Ijabọ ati Ibaraẹnisọrọ: Lati Awọn awari si Awọn ijabọ Imọ-ẹrọ si Akopọ Alase 10. Awọn aala, Aṣiri, Iwa ati Idinamọ Lilo Laigba aṣẹ 11. Ipari-si-Ipari SOC Ṣiṣẹ Ṣiṣẹ, Automation (SOAR), Isakoso Didara ati Ṣiṣayẹwo Ara-ẹni
Ẹyọ 8 / 11

Irokeke oye: IOC, TTP, MITER ATT&CK ati Sensemaking pẹlu Oríkĕ oye

Awọn anfani:

  • Agbara lati ni oye pe oye atọwọda ṣe akopọ awọn ijabọ irokeke gigun ni awọn ipele mẹta (ilana, ilana, imọ-ẹrọ) ati maapu wọn si MITER ATT&CK nipa yiyọ IOC ati TTP
  • Agbara lati jẹrisi IOC kọọkan pẹlu lọwọlọwọ ati orisun ominira keji, ilana kọọkan ni ATT&CK ati jade IOC / imọ-ẹrọ / ẹgbẹ ti a ṣe
  • Agbara lati ni oye pe ifaramọ ẹgbẹ jẹ ẹtọ ti o lewu julọ, pe ede 'ibaramu pẹlu awọn ilana' yẹ ki o lo dipo 'ẹgbẹ gangan' ati pe aabo yẹ ki o da lori ipinnu TTP titilai.

Ẹgbẹ aabo nikan kii ṣe ija awọn ikọlu ti o rii; kọ ẹkọ nipa pinpin imọ ti awọn ikọlu ni ayika agbaye. Irokeke itetisi (TI fun kukuru) jẹ alaye ti a gba, ti ṣiṣẹ ati yipada si iṣe nipa awọn ikọlu, awọn irinṣẹ ti wọn lo, awọn ibi-afẹde wọn ati awọn ọna. "Ewo ni malware ti ntan ni bayi?", "Ẹka wo ni ẹgbẹ ikọlu yii n fojusi ati bawo ni o ṣe nṣe?", "Ṣe adiresi IP yii ti ri ni ikọlu tẹlẹ?" Awọn idahun si awọn ibeere bii iwọnyi wa lati itetisi irokeke ewu.

Iṣoro naa ni pe itetisi irokeke ewu lọpọlọpọ ati tuka: awọn ijabọ, awọn bulọọgi, awọn kikọ sii, awọn apejọ, ẹgbẹẹgbẹrun awọn IOC. AI lagbara ni ṣiṣe oye ti akopọ yii: o ṣe akopọ awọn ijabọ irokeke gigun, yọkuro IOC ati TTP ti a ṣeto lati itan-akọọlẹ ikọlu kan, ṣe maapu wọn si ilana MITER ATT&CK, o beere “Ṣe eyi kan wa?” ngbaradi akọkọ osere ti awọn ibeere. Ṣugbọn AI le ṣe asise atijọ, aiṣedeede, tabi itetisi ọrọ-ọrọ bi otitọ, ṣe ẹgbẹ ẹgbẹ irokeke ti ko si tabi IOC, ati pe ko mọ boya oye jẹ wulo fun eto-ajọ rẹ. AI ṣe akopọ, awọn ẹya ati oye awọn maapu; O wa si oluyanju lati dinakojọ IOC kan, lo oye si ile-ibẹwẹ, ki o kede ijabọ kan “iṣẹ ṣiṣe.”

Awọn fẹlẹfẹlẹ ti itetisi irokeke

Oye itetisi irokeke ni a gbero ni awọn ipele mẹta:

  1. Imọ-ẹrọ / iṣẹ-ṣiṣe (Ipele IOC): Awọn afihan nja — IPs buburu, awọn ibugbe, hashes, URL. O ti wa ni kukuru-ti gbé (attacker ayipada IP). AI yara lati yọ awọn wọnyi jade lati ijabọ naa ati ṣeto wọn.
  2. Ilana (ipele TTP): Bawo ni ikọlu naa ṣe huwa - kini awọn ilana, awọn irinṣẹ, awọn ọna ti o nlo. O jẹ diẹ yẹ (iwa jẹ soro lati yipada). MITER ATT&CK ni ede ti o wọpọ ni ipele yii.
  3. Ilana: Tani n fojusi, kilode, eka wo, pẹlu ifarahan wo. O ṣe ifunni awọn ipinnu iṣakoso. AI ṣe akopọ awọn ijabọ gigun ni ipele yii.

Awọn ofin: IOC (Atọka ti Compromise — Atọka irufin, itọpa imọ-ẹrọ nja). TTP (Awọn ilana, Awọn ilana, Awọn ilana — ilana ihuwasi). MITER ATT&CK, nọmba kan, ile-ikawe ti o ni akọsilẹ ti awọn ilana ikọlu (fun apẹẹrẹ T1566 “Ararẹ”). APT (Irokeke Ilọsiwaju - ilọsiwaju, itẹramọṣẹ, nigbagbogbo ẹgbẹ onigbowo ipinlẹ). Ifunni, ṣiṣan IOC imudojuiwọn laifọwọyi. Misattribution, ikalara ikọlu si ẹgbẹ ti ko tọ; O jẹ aṣiṣe ti o wọpọ julọ ti oye.

Aworan igbelewọn orisun oye

àwárí mu

ibeere lati beere

Kini idi ti o ṣe pataki?

Lọwọlọwọ

Nigbawo ni a gbejade? Ṣe o tun wulo?

Awọn IOC di atijo ni kiakia

Igbẹkẹle orisun

Tani o ṣe atẹjade, kini orukọ rẹ?

Pupọ ti oye eke / iṣelọpọ

Ibamu

Ṣe o fojusi wa / ile-iṣẹ wa?

Kii ṣe gbogbo irokeke ni ewu rẹ

Ijerisi

Njẹ orisun keji jẹrisi eyi?

Orisun kan ko to

Aṣeṣe

Kini MO le ṣe (dina, orin, ipe)

Imọ gbọdọ yipada si iṣe

Itọkasi išedede

Bawo ni ifaramọ ẹgbẹ ṣe lagbara?

Misattribution ṣina

mẹta mini igba

Ọran 1 - Lati ijabọ oju-iwe 40 si iṣe. Oluyanju kan ni AI ṣe akopọ ijabọ irokeke oju-iwe 40 kan nipa ipolongo ransomware tuntun kan. AI dinku iroyin naa si oju-iwe 1, yọkuro 32 IOC (IP, hash, domain) ati awọn ilana 7 MITER ATT & CK, ati awọn akọsilẹ "ẹgbẹ yii n fojusi ile-iṣẹ rẹ." Oluyanju naa ṣe idaniloju ọkọọkan awọn IOC pẹlu orisun keji, ṣafikun 21 ti o tun wulo si atokọ iṣọ, jẹrisi awọn nọmba ATT&CK ti awọn ilana, o si ṣe idagbasoke rẹ sinu idawọle isode irokeke. AI ṣe awọn oju-iwe 40 ni ilana; ijerisi ati igbese wà Oluyanju ká.

Irú 2 - Ṣe-soke APT ẹgbẹ. Oluyanju kan beere AI "ẹgbẹ wo ni o ṣe ikọlu yii?" o beere. AI ni igboya dahun: "Eyi ni ilana ti a mọ ti ẹgbẹ 'APT-Dark Eagle'." Oluyanju n wa ẹgbẹ yii ni awọn orisun itetisi irokeke ewu ti a mọ - ko si iru ẹgbẹ bẹ, awoṣe ti o ṣe orukọ naa. Ti ko ba ti fi idi rẹ mulẹ, ijabọ naa yoo ti jade pẹlu ẹda ti ko tọ. Ẹkọ: Ifarabalẹ ẹgbẹ jẹ ẹtọ ti o rọrun julọ ati eewu lati ṣe; Nigbagbogbo o jẹri nipasẹ orisun ti a mọ ati nigbagbogbo tọka si bi “ibaramu pẹlu awọn ilana atẹle” dipo “itọkasi gangan”.

Ọran 3 - Idilọwọ eke pẹlu IOC atijọ. Ẹgbẹ kan beere lọwọ AI “Ṣe ko yẹ ki a dina” atokọ ti awọn IP ti o gba lati ijabọ kan ni awọn oṣu sẹhin? o beere; AI sọ “bẹẹni, irira ni wọn.” Ṣugbọn oluyanju rii pe ọkan ninu awọn IP ni bayi jẹ ti olupese awọsanma ti o tọ (CDN); Dinamọ IP naa yoo tun ge awọn iṣẹ to tọ ti ajo n wọle si. Awọn IOC jẹ igba diẹ. Oluyanju ṣe idaniloju lọwọlọwọ ati imukuro awọn ti igba atijọ. Ẹkọ: Ko lọ lori blocklist titi IOC fi jẹrisi lọwọlọwọ rẹ.

Ailagbara kiakia / Alagbara kiakia

Ibere ​​ailagbara:

Tani kolu yii ati awọn IP wo ni MO yẹ ki n dènà? [iroyin]

Ibeere yii n beere fun iyasọtọ kongẹ ati ipinnu idilọwọ taara lati AI, ko beere fun akoko ati ijẹrisi, o ṣii si iṣelọpọ. AI le funni ni idaniloju ṣugbọn iyasọtọ ti ko pe ati atokọ IOC ti igba atijọ.

Ibere ​​ti o lagbara:

Ipa rẹ: oluranlọwọ si oluyanju ngbaradi itetisi itetisi Ihalẹ Lakotan ati Iṣeto ni. Ṣiṣe ipinnu; Maṣe sọ "dina", maṣe ṣe awọn itọkasi ẹgbẹ kan pato. Ṣiṣe ijabọ atẹle yii: (1) jade akopọ oju-iwe 1 (ẹniti, kini, ibi-afẹde, ọna), (2) atokọ ti iṣeto ti awọn IOC (IP, domain, hash, URL); samisi "[lọwọlọwọ ati orisun keji gbọdọ jẹri]" fun ọkọọkan; fi idinwon IOC, (3) map TTPs to MITER ATT & CK ṣugbọn samisi kọọkan T-nọmba "[jẹrisi ni ATT & CK]", (4) ma ko sọ "gangan ẹgbẹ" fun ikalara; Lo ede naa "ibaramu pẹlu awọn ilana wọnyi" ki o sọ agbara ẹri, (5) kọ awọn ibeere si idi ti oye yii le kan si ile-iṣẹ/aworan ile-iṣẹ wa. Iroyin: [lẹẹmọ]

Ibeere ti o lagbara n beere fun akopọ + eto, fi IOC/TTP kọọkan silẹ si ijẹrisi, ṣe idiwọ ifaramọ kongẹ, ibaramu awọn ibeere.

Awọn awoṣe kiakia idakọ

AWỌN ỌMỌRỌ IJỌWỌRỌ ṢẸṢẸ Ijabọ irokeke wọnyi ni awọn ipele 3: (1) ilana (ẹniti, idi, eka ibi-afẹde), (2) ilana (Awọn TTP ti a lo), (3) imọ-ẹrọ (awọn iru IOCs) .Maṣe kọja oju-iwe 1. Ma ṣe pẹlu eyikeyi awọn ẹtọ ti o ko yọ kuro ninu ijabọ naa; fabrication.Iroyin: [lẹẹmọ]

IOC EXTRACTION TEMPLATEExtracts ti eleto IOCs lati awọn wọnyi ọrọ: Iru (IP/ domain/hash/URL/imeeli),iye, àrà. Mu kiki ohun ti a ti sọ kedere ninu ọrọ; ibamu. Ṣayẹwo "[orisun lọwọlọwọ + Atẹle gbọdọ jẹ ijẹrisi]" fun IOC kọọkan. Jẹrisi ni fọọmu tabular.Text: [lẹẹmọ]

ATT&CK MATCHING TEMPLATEMap awọn ihuwasi ninu itan-akọọlẹ ikọlu si awọn ilana ati awọn ilana MITER ATT&CK. Fun aworan agbaye kọọkan: agbasọ ihuwasi + orukọ ilana ti a daba +”[nọmba T-nọmba gbọdọ jẹrisi ni ATT&CK]”. Ma fun a ṣe-soke ilana / nọmba; ti o ko ba da ọ loju, kọ “[ko ko]”. Itan: [lẹẹ mọ]

AWỌN ỌMỌRỌ IṢẸRỌ IJỌRỌRỌRỌ iranlọwọ fun mi lati ṣe ayẹwo boya oye itetisi irokeke atẹle yii wulo fun agbari wa: ṣe agbekalẹ awọn ibeere wo ninu awọn ohun-ini wa ni ibamu pẹlu imọ-ẹrọ / ile-iṣẹ ibi-afẹde. Ṣiṣe ipinnu; Fun mi ni akojọ ayẹwo. Akopọ oye: [lẹẹmọ]

Awọn aṣiṣe ti o wọpọ

  • Ṣiṣe awọn kongẹ ẹgbẹ ikalara. Ifarabalẹ jẹ agbegbe ti o nira julọ ati ti a ko loye; Dipo "gangan ẹgbẹ yẹn", sọ "ibaramu pẹlu awọn ilana wọnyi" ati jẹrisi pẹlu orisun.
  • Dinamọ IOC laisi ijẹrisi owo. Awọn IOC jẹ igba diẹ; IP atijọ le jẹ bayi si iṣẹ ti o tọ, ṣayẹwo fun titun ni akọkọ.
  • Gbẹkẹle orisun kan. Jẹrisi oye oye pẹlu orisun ominira keji; Oye itetisi eke / iṣelọpọ pupọ wa.
  • Ko lere ibaramu. Ko gbogbo irokeke ewu rẹ; Wo ile-iṣẹ, imọ-ẹrọ ati iṣakojọpọ faaji.
  • Ṣiṣeto IOC / imọ-ẹrọ / ẹgbẹ ti o ro pe o jẹ otitọ. AI le mu wọn ni irọrun; jẹrisi ọkọọkan ni orisun ti a mọ ati MITER ATT&CK.
Imọran: Ipele ti o duro julọ ati iwulo ti oye irokeke ewu ni TTP, kii ṣe IOC. Olukọni naa yi IP rẹ pada ni ọjọ kan, ṣugbọn o nira lati yi ilana ihuwasi rẹ (TTP). Kọ aabo rẹ lori wiwa TTP, kii ṣe idinamọ IOC.
Išọra: Gbigbe IOC kan si atokọ blocks le tun ṣe idiwọ awọn ijabọ abẹlẹ (idinaduro eke rere). Titọka ika si ẹgbẹ kan ni aṣiṣe sọ awọn orisun nu ni ọna ti ko tọ. Imọye jẹ titẹ sii; Idinamọ ati ipinnu ikalara wa pẹlu oluyanju lẹhin ijẹrisi.

Ni akojọpọ

Irokeke itetisi jẹ ki ajo naa jagun kii ṣe nikan ṣugbọn pẹlu iriri ti agbaye; ṣugbọn nitori pe o pọ, idoti, ati oniyipada, o nilo itumọ. AI ṣe akopọ awọn ijabọ gigun ni awọn ipele mẹta (ilana, ilana, imọ-ẹrọ), yọkuro IOC ati TTP, awọn maapu si MITER ATT&CK ati pese ilana ilana ibaramu. Awọn ewu ti o tobi julọ: IOC/imọ-ẹrọ/ẹgbẹ ti a ṣe, deede ṣugbọn idasi eke, ati IOC ti ko tii. Ti o ni idi ti gbogbo IOC ti a fọwọsi pẹlu currentness ati keji orisun, gbogbo ilana ti wa ni wadi ni ATT & CK; A ṣe itọkasi ni ede "ibaramu pẹlu awọn ilana" kii ṣe "ẹgbẹ pataki"; ati ipinnu lati dènà / fi agbara mu jẹ ti oluyanju. Ọkàn ti idaabobo jẹ wiwa TTP titilai, kii ṣe awọn IOCs igba diẹ.

Ohun elo iṣẹ-ṣiṣe

Gba ijabọ irokeke ayẹwo gbogbogbo. Jade akojọpọ ati atokọ iṣeto ti awọn IOCs lati AI pẹlu “Iroyin Ijabọ” ati awọn awoṣe “Iyọkuro IOC”. Ṣayẹwo owo ati otitọ ti 5 ti awọn IOC lori orisun ti a mọ; Gbiyanju lati wa o kere ju IOC ti igba atijọ tabi ibeere kan. Daju awọn T-nọmba ti awọn ilana ti a tu silẹ pẹlu awoṣe “ATT&CK Matching” lori aaye MITER ATT&CK ki o mu iro/nọmba eke ti o ba jẹ eyikeyi.

akojọ ayẹwo

  • [] Mo ṣe akopọ ijabọ naa ni awọn ipele mẹta (ilana, ilana, imọ-ẹrọ).
  • [] Mo ti jẹrisi IOC kọọkan pẹlu owo ati orisun ominira keji.
  • [] Mo ti wadi kọọkan MITER ATT & CK ilana / omoluabi ninu awọn osise orisun.
  • [] Mo ti koju itọkasi ẹgbẹ ni ede ti "ni ibamu pẹlu awọn ilana" dipo "gangan".
  • [] Mo beere iwulo oye fun igbekalẹ mi (apakan, imọ-ẹrọ, faaji).
  • [] Mo ti ṣayẹwo-otitọ ni ẹtọ kọọkan, ni mimọ pe o le jẹ IOC/imọ-ẹrọ/ẹgbẹ.
  • [] Mo ṣe ipinnu lati dina ati imuse bi oluyanju lẹhin ijẹrisi.
Ti tẹlẹ Itele