DI incidentų reagavimui: išsami analizė

Įvykus kibernetinio saugumo pažeidimui, sekundės svarbios. Per lėta reakcija gali sukelti visos įmonės masto galvos skausmą, ir tai, kas prasideda kaip mažas nukrypimas nuo plano. Būtent čia praverčia dirbtinis intelektas incidentų reagavimui – tai ne stebuklinga priemonė (nors, tiesą sakant, gali atrodyti kaip stebuklinga), o labiau kaip itin galingas komandos draugas, įsikišantis, kai žmonės tiesiog negali pakankamai greitai judėti. Šiaurinė žvaigždė čia aiški: sutrumpinti užpuoliko apsisprendimo laiką ir pagerinti gynėjo sprendimų priėmimą . Naujausi lauko duomenys rodo, kad per pastarąjį dešimtmetį apsisprendimo laikas smarkiai sutrumpėjo – tai įrodymas, kad greitesnis aptikimas ir greitesnis triažas iš tiesų keičia rizikos kreivę [4]. ([„Google“ paslaugos][1])

Taigi, išsiaiškinkime, kas iš tikrųjų daro dirbtinį intelektą naudingu šioje srityje, apžvelkime kai kuriuos įrankius ir pakalbėkime apie tai, kodėl SOC analitikai ir pasikliauja, ir tyliai nepasitiki šiais automatizuotais sargybiniais. 🤖⚡

Straipsniai, kuriuos galbūt norėsite perskaityti po šio:

🔗 Kaip generatyvinis dirbtinis intelektas gali būti naudojamas kibernetinio saugumo srityje
Dirbtinio intelekto vaidmens grėsmių aptikimo ir reagavimo sistemose tyrimas.

🔗 Dirbtinio intelekto skverbties testavimo įrankiai: geriausi dirbtinio intelekto sprendimai
Geriausi automatizuoti įrankiai, gerinantys įsiskverbimo testavimą ir saugumo auditus.

🔗 Dirbtinis intelektas kibernetinių nusikaltimų strategijose: kodėl kibernetinis saugumo užtikrinimas yra svarbus
Kaip užpuolikai naudoja dirbtinį intelektą ir kodėl gynyba turi sparčiai vystytis.

Kas iš tikrųjų leidžia dirbtiniam intelektui reaguoti į incidentus?

• Greitis : Dirbtinis intelektas neapsvaigsta ir nelaukia kofeino. Jis per kelias sekundes kruopščiai peržiūri galinių taškų duomenis, tapatybės žurnalus, debesies įvykius ir tinklo telemetriją, o tada aptinka aukštesnės kokybės potencialius klientus. Šis laiko sutrumpinimas – nuo ​​užpuoliko veiksmo iki gynėjo reakcijos – yra viskas [4]. ([„Google“ paslaugos][1])

• Nuoseklumas : žmonės perdega; mašinos – ne. Dirbtinio intelekto modelis taiko tas pačias taisykles, nesvarbu, ar yra 14 val., ar 2 val. nakties, ir gali dokumentuoti savo samprotavimo kelią (jei teisingai sukonfigūruosite).

• Šablonų atpažinimas : klasifikatoriai, anomalijų aptikimas ir grafais pagrįsta analizė išryškina sąsajas, kurių žmonės nepastebi, pavyzdžiui, keistą šoninį judėjimą, susietą su nauja suplanuota užduotimi, ir įtartiną „PowerShell“ naudojimą.

• Mastelio keitimas : analitikas gali apdoroti dvidešimt įspėjimų per valandą, o modeliai gali peržiūrėti tūkstančius, sumažinti triukšmą ir pridėti papildomų sluoksnių, kad žmonės pradėtų tyrimus arčiau tikrosios problemos.

Ironiška, bet tai, kas daro DI tokį efektyvų – griežtas jo pažodinis supratimas – gali jį paversti ir absurdišku. Jei jo nesureguliuosite, jis gali priskirti jūsų picos pristatymą prie komandų ir kontrolės sistemos. 🍕

Greitas palyginimas: populiarūs dirbtinio intelekto įrankiai incidentų reagavimui

Pastaba: tiekėjai sąmoningai nurodo neaiškias kainas. Visada testuokite su trumpu vertės įrodymu, susietu su išmatuojama sėkme (pvz., MTTR sumažinimas 30 % arba klaidingai teigiamų rezultatų sumažinimas perpus).

Kaip dirbtinis intelektas pastebi grėsmes prieš jums tai darant

Štai čia ir pasidaro įdomu. Dauguma stekų nesiremia vienu triuku – jie sujungia anomalijų aptikimą, prižiūrimus modelius ir elgsenos analizę:

• Anomalijų aptikimas : pagalvokite apie „neįmanomą kelionę“, staigų privilegijų padidėjimą ar neįprastą pokalbį tarp paslaugų teikėjų neįprastomis valandomis.

• UEBA (elgesio analitika) : Jei finansų direktorius staiga atsisiunčia gigabaitus šaltinio kodo, sistema ne tik gūžteli pečiais.

• Koreliacijos magija : penki silpni signalai – nelyginis srautas, kenkėjiškų programų artefaktai, nauji administratoriaus žetonai – susilieja į vieną stiprų, didelio patikimumo atvejį.

Šie aptikimai yra svarbesni, kai jie susiejami su užpuolikų taktika, metodais ir procedūromis (TTP) . Štai kodėl MITRE ATT&CK sistema yra tokia svarbi; ji sumažina įspėjimų atsitiktinius rezultatus, o tyrimus – spėlionių žaidimą [1]. ([attack.mitre.org][2])

Kodėl žmonės vis dar svarbūs kartu su dirbtiniu intelektu

Dirbtinis intelektas suteikia greičio, bet žmonės suteikia kontekstą. Įsivaizduokite automatizuotą sistemą, kuri nutraukia jūsų generalinio direktoriaus pokalbį per „Zoom“ diskusijų lentos viduryje, nes pamanė, kad tai duomenų nutekėjimas. Ne pats tinkamiausias pirmadienio pradžios būdas. Veikiantis modelis yra toks:

• Dirbtinis intelektas : analizuoja rąstus, įvertina rizikas, siūlo tolesnius veiksmus.

• Žmonės : įvertinkite ketinimus, apsvarstykite verslo pasekmes, patvirtinkite izoliaciją, dokumentuokite pamokas.

Tai ne tik patogu – tai rekomenduojama geriausia praktika. Dabartinės informacijos saugumo sistemos reikalauja žmogaus patvirtinimo vartų ir apibrėžtų veiksmų planų kiekviename etape: aptikimas, analizė, izoliavimas, naikinimas, atkūrimas. Dirbtinis intelektas padeda kiekviename etape, tačiau atsakomybė išlieka žmogiška [2]. ([NIST kompiuterių saugumo išteklių centras][3], [NIST leidiniai][4])

Dažnos dirbtinio intelekto klaidos reaguojant į incidentus

• Klaidingi teigiami rezultatai visur : blogos bazinės linijos ir nerūpestingai taisytos taisyklės paskandina analitikus triukšme. Būtinas tikslumas ir atkūrimo derinimas.

• Aklosios zonos : vakarykščiai mokymo duomenys neatitinka šiandienos prekybos įgūdžių. Nuolatinis perkvalifikavimas ir ATT&CK modeliavimas sumažina spragas [1]. ([attack.mitre.org][2])

• Per didelis pasitikėjimas : prabangių technologijų pirkimas nereiškia, kad reikia mažinti SOC. Išlaikykite analitikus, tiesiog nukreipkite juos į vertingesnius tyrimus [2]. ([NIST kompiuterių saugumo išteklių centras][3], [NIST leidiniai][4])

Profesionalo patarimas: visada turėkite rankinio valdymo galimybę – kai automatizavimas peržengia ribas, jums reikia būdo, kaip jį sustabdyti ir akimirksniu atšaukti.

Realaus pasaulio scenarijus: ankstyvas išpirkos reikalaujančių programų užkrėtimas

Tai nėra futuristinis triukas. Daugybė įsilaužimų prasideda nuo „išsigelbėjimo iš žemės“ triukų – klasikinių „PowerShell“ scenarijų. Naudojant bazinius lygius ir mašininio mokymosi pagrindu veikiančius aptikimus, galima greitai pažymėti neįprastus vykdymo modelius, susijusius su prieiga prie kredencialų ir šoniniu plitimu. Tai jūsų galimybė karantinuoti galinius taškus prieš pradedant šifravimą. JAV rekomendacijose netgi pabrėžiamas „PowerShell“ registravimas ir EDR diegimas šiuo konkrečiu atveju – dirbtinis intelektas tiesiog pritaiko šį patarimą skirtingose ​​aplinkose [5]. ([CISA][5])

Kas toliau laukia dirbtinio intelekto incidentų reagavimo srityje?

• Savaime atsikuriantys tinklai : ne tik įspėjimai – automatinis karantinavimas, srauto nukreipimas kitu maršrutu ir paslapčių kaitaliojimas – visa tai su atšaukimo galimybe.

• Paaiškinamasis dirbtinis intelektas (XAI) : Analitikai klausia „kodėl“ tiek pat, kiek ir „ką“. Pasitikėjimas auga, kai sistemos atskleidžia samprotavimo etapus [3]. ([NIST leidiniai][6])

• Glaudesnė integracija : EDR, SIEM, IAM, NDR ir bilietų pardavimas bus glaudžiau susiję – mažiau besisukančių kėdžių, sklandesni darbo procesai.

Įgyvendinimo planas (praktiškas, o ne paviršutiniškas)

1. Pradėkite nuo vieno didelio poveikio atvejo (pvz., išpirkos reikalaujančių programų pirmtakų).

2. Užfiksuoti metrikas : MTTD, MTTR, klaidingai teigiami rezultatai, sutaupytas analitiko laikas.

3. Priskirkite aptikimus ATT&CK , kad būtų galima bendrai atlikti tyrimą [1]. ([attack.mitre.org][2])

4. Pridėti žmogaus patvirtinimo vartus rizikingiems veiksmams (galinių įrenginių izoliacijai, įgaliojimų panaikinimui) [2]. ([NIST kompiuterių saugumo išteklių centras][3])

5. Palaikykite derinimo, matavimo ir permokymo ciklą . Bent kartą per ketvirtį.

Ar galite pasitikėti dirbtiniu intelektu reaguodami į incidentus?

Trumpas atsakymas: taip, bet su išlygomis. Kibernetinės atakos vyksta per greitai, duomenų kiekiai per dideli, o žmonės yra... na, tiesiog žmonės. Dirbtinio intelekto ignoravimas nėra išeitis. Tačiau pasitikėjimas nereiškia aklo pasidavimo. Geriausios sąlygos yra dirbtinis intelektas, žmonių patirtis, aiškios strategijos ir skaidrumas. Elkitės su dirbtiniu intelektu kaip su pagalbininku: kartais pernelyg uoliai, kartais nerangiai, bet pasiruošusiu įsikišti, kai labiausiai reikia jėgos.

Meta aprašymas: Sužinokite, kaip dirbtiniu intelektu pagrįstas incidentų reagavimas padidina kibernetinio saugumo greitį, tikslumą ir atsparumą, kartu išlaikant žmogaus sprendimų priėmimo procesą.

Žymės:
#DI #Kibernetinissaugumas #IncidentųReagavimas #SOAR #GrėsmiųAptikimas #Automatizavimas #InformacijosSaugumas #SaugumoOpos #TechnologijųTendencijos

Nuorodos

1. MITER ATT&CK® — oficiali žinių bazė. https://attack.mitre.org/

2. NIST specialusis leidinys 800-61, 3 redakcija (2025 m.): Reagavimo į incidentus rekomendacijos ir kibernetinio saugumo rizikos valdymo aspektai . https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf

3. NIST dirbtinio intelekto rizikos valdymo sistema (AI RMF 1.0): skaidrumas, paaiškinamumas, interpretuojamumas. https://nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf

4. „Mandiant M-Trends 2025“ : pasaulinės vidutinės apsistojimo trukmės tendencijos. https://services.google.com/fh/files/misc/m-trends-2025-en.pdf

5. CISA bendri patarimai dėl išpirkos reikalaujančių programų TTP: „PowerShell“ registravimas ir EDR ankstyvam aptikimui (AA23-325A, AA23-165A).

   • https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a

   • https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

Raskite naujausią dirbtinį intelektą oficialioje dirbtinio intelekto asistentų parduotuvėje

Apie mus