Mākslīgais intelekts incidentu reaģēšanai: padziļināta analīze

Kad notiek kiberdrošības pārkāpums, sekundēm ir nozīme. Ja reaģējat pārāk lēni, tas, kas sākas kā niecīgs uzplaiksnījums, pārvēršas par galvassāpēm visam uzņēmumam. Tieši šeit noder mākslīgais intelekts incidentu reaģēšanai — nevis brīnumlīdzeklis (lai gan, godīgi sakot, tas var šķist kā tāds), bet drīzāk kā jaudīgs komandas biedrs, kas iejaucas, kad cilvēki vienkārši nespēj pietiekami ātri rīkoties. Šeit galvenais mērķis ir skaidrs: samazināt uzbrucēja kavēšanās laiku un uzlabot aizstāvja lēmumu pieņemšanu . Jaunākie lauka dati liecina, ka kavēšanās laiks pēdējās desmitgades laikā ir ievērojami samazinājies, kas pierāda, ka ātrāka atklāšana un ātrāka triāža patiešām ietekmē riska līkni [4]. ([Google pakalpojumi][1])

Tātad, aplūkosim, kas patiesībā padara mākslīgo intelektu noderīgu šajā jomā, aplūkosim dažus rīkus un parunāsim par to, kāpēc SOC analītiķi gan paļaujas uz šiem automatizētajiem sargiem, gan klusībā tiem neuzticas. 🤖⚡

Raksti, kurus jūs varētu vēlēties izlasīt pēc šī raksta:

🔗 Kā ģeneratīvo mākslīgo intelektu var izmantot kiberdrošībā
Mākslīgā intelekta lomas izpēte draudu atklāšanas un reaģēšanas sistēmās.

🔗 Mākslīgā intelekta iespiešanās testēšanas rīki: labākie mākslīgā intelekta risinājumi
Labākie automatizētie rīki, kas uzlabo ielaušanās testēšanu un drošības auditus.

🔗 Mākslīgais intelekts kibernoziedznieku stratēģijās: kāpēc kiberdrošība ir svarīga
Kā uzbrucēji izmanto mākslīgo intelektu un kāpēc aizsardzības mehānismiem ir jāattīstās ātri.

Kas padara mākslīgo intelektu incidentu reaģēšanai faktiski efektīvu?

• Ātrums : Mākslīgais intelekts nekļūst miegains un negaida kofeīnu. Tas dažu sekunžu laikā apstrādā galapunktu datus, identitātes žurnālus, mākoņa notikumus un tīkla telemetriju, pēc tam atrodot augstākas kvalitātes kontaktinformāciju. Šī laika saspiešana — no uzbrucēja darbības līdz aizstāvja reakcijai — ir vissvarīgākā [4]. ([Google pakalpojumi][1])

• Konsekvence : cilvēki izdeg; mašīnas to nedara. Mākslīgā intelekta modelis piemēro tos pašus noteikumus neatkarīgi no tā, vai ir pulksten 14:00 vai 2:00, un tas var dokumentēt savu spriešanas ceļu (ja tas ir pareizi iestatīts).

• Rakstu atpazīšana : klasifikatori, anomāliju noteikšana un uz grafikiem balstīta analītika izceļ saites, kuras cilvēki nepamana, piemēram, dīvainu sānu kustību, kas saistīta ar jaunu ieplānotu uzdevumu, un aizdomīgu PowerShell lietojumu.

• Mērogojamība : Kamēr analītiķis var apstrādāt divdesmit brīdinājumus stundā, modeļi var apstrādāt tūkstošiem, samazināt trokšņa līmeni un papildināt datus ar dažādiem slāņiem, lai cilvēki varētu sākt izmeklēšanu tuvāk reālajai problēmai.

Ironiski, ka mākslīgā intelekta efektivitātes pamatā esošā stingrā burtiskuma iezīme var būt arī absurda. Ja to neregulēsiet, tas varētu klasificēt jūsu picas piegādi kā komandu un kontroles pakalpojumu. 🍕

Ātrs salīdzinājums: populāri mākslīgā intelekta rīki incidentu reaģēšanai

Piezīme: pārdevēji apzināti nenorāda cenas. Vienmēr pārbaudiet ar īsu vērtības pierādījumu, kas saistīts ar izmērāmiem panākumiem (piemēram, MTTR samazināšana par 30% vai viltus pozitīvo rezultātu samazināšana uz pusi).

Kā mākslīgais intelekts pamana draudus, pirms jūs to darāt

Te nu tas kļūst interesanti. Lielākā daļa steku nepaļaujas uz vienu triku — tie apvieno anomāliju noteikšanu, uzraudzītus modeļus un uzvedības analīzi:

• Anomāliju noteikšana : iedomājieties “neiespējamu ceļošanu”, pēkšņu privilēģiju pieaugumu vai neparastu sarunu starp pakalpojumu sniedzējiem neparastā laikā.

• UEBA (uzvedības analītika) : Ja finanšu direktors pēkšņi lejupielādē gigabaitus avota koda, sistēma ne tikai parausta plecus.

• Korelācijas maģija : pieci vāji signāli — neparasta datplūsma, ļaunprogrammatūras artefakti, jauni administratora tokeni — saplūst vienā spēcīgā, augstas ticamības gadījumā.

Šiem atklājumiem ir lielāka nozīme, ja tie ir saistīti ar uzbrucēju taktiku, paņēmieniem un procedūrām (TTP) . Tāpēc MITRE ATT&CK sistēma ir tik svarīga; tā padara brīdinājumus mazāk nejaušus un izmeklēšanas mazāk par minēšanas spēli [1]. ([attack.mitre.org][2])

Kāpēc cilvēki joprojām ir svarīgi līdzās mākslīgajam intelektam

Mākslīgais intelekts sniedz ātrumu, bet cilvēki sniedz kontekstu. Iedomājieties automatizētu sistēmu, kas pārtrauc jūsu izpilddirektora Zoom sarunu starp valdi, jo tā domāja, ka tā ir datu noplūde. Ne gluži tas, kā sākt pirmdienu. Darbojas šāds modelis:

• Mākslīgais intelekts : apstrādā baļķus, klasificē riskus, iesaka nākamos soļus.

• Cilvēki : izvērtēt nodomu, apsvērt biznesa sekas, apstiprināt ierobežošanu, dokumentēt gūtās atziņas.

Tas nav tikai patīkami — tā ir ieteicamā labākā prakse. Pašreizējās IR sistēmas paredz cilvēka apstiprinājuma vārtus un definētas rīcības shēmas katrā posmā: atklāšana, analīze, ierobežošana, iznīcināšana, atgūšana. Mākslīgais intelekts palīdz katrā posmā, bet atbildība paliek cilvēkam [2]. ([NIST Datoru drošības resursu centrs][3], [NIST publikācijas][4])

Biežāk sastopamās mākslīgā intelekta kļūdas incidentu reaģēšanā

• Kļūdaini pozitīvi rezultāti visur : sliktas bāzes līnijas un paviršas kārtulas apber analītiķus ar troksni. Precizitāte un atsaukšanas regulēšana ir obligāta.

• Aklās zonas : Vakardienas apmācības dati neatbilst šodienas tirdzniecības prasmēm. Pastāvīga pārapmācība un ATT&CK kartēšanas simulācijas samazina nepilnības [1]. ([attack.mitre.org][2])

• Pārmērīga paļaušanās : Izcilu tehnoloģiju iegāde nenozīmē SOC samazināšanu. Paturiet analītiķus, vienkārši virziet viņus uz vērtīgākām izmeklēšanām [2]. ([NIST Datoru drošības resursu centrs][3], [NIST publikācijas][4])

Profesionāls padoms: vienmēr saglabājiet manuālas ignorēšanas iespēju — kad automatizācija pārsniedz atļauto jaudu, jums ir nepieciešams veids, kā to nekavējoties apturēt un atgriezties iepriekšējā stāvoklī.

Reālās pasaules scenārijs: agrīna izspiedējvīrusu pieķeršanās

Šī nav futūristiska ažiotāža. Daudz ielaušanās sākas ar “pelniem pelniem” paredzētiem trikiem — klasiskiem PowerShell skriptiem. Izmantojot bāzes līnijas un mašīnmācīšanās vadītas noteikšanas metodes, var ātri atzīmēt neparastus izpildes modeļus, kas saistīti ar piekļuvi akreditācijas datiem un laterālo izplatību. Tā ir jūsu iespēja karantīnā ievietot galapunktus pirms šifrēšanas sākuma. ASV vadlīnijas pat uzsver PowerShell reģistrēšanu un EDR izvietošanu tieši šim lietošanas gadījumam — mākslīgais intelekts vienkārši mērogo šo ieteikumu dažādās vidēs [5]. ([CISA][5])

Kas tālāk gaidāms mākslīgā intelekta jomā incidentu reaģēšanā?

• Pašdziedinošie tīkli : ne tikai brīdināšana, bet arī automātiska karantīna, datplūsmas pāradresācija un noslēpumu rotācija, un tas viss ar atcelšanas iespēju.

• Izskaidrojamais mākslīgais intelekts (XAI) : Analītiķi tikpat ļoti vēlas gan jautājumu “kāpēc”, gan jautājumu “ko”. Uzticība pieaug, kad sistēmas atklāj spriešanas soļus [3]. ([NIST publikācijas][6])

• Dziļāka integrācija : sagaidiet, ka EDR, SIEM, IAM, NDR un biļešu pārdošana būs ciešāk saistītas — mazāk grozāmu krēslu, vienmērīgākas darbplūsmas.

Ieviešanas ceļvedis (praktisks, nevis pūkains)

1. Sāciet ar vienu ietekmīgu gadījumu (piemēram, izspiedējvīrusu prekursoriem).

2. Fiksēt rādītājus : MTTD, MTTR, viltus pozitīvi rezultāti, ietaupītais analītiķu laiks.

3. Kartēt atklājumus ATT&CK koplietojamam izmeklēšanas kontekstam [1]. ([attack.mitre.org][2])

4. Pievienot cilvēka apstiprinājuma vārtus riskantām darbībām (galapunktu izolācija, akreditācijas datu atsaukšana) [2]. ([NIST Datoru drošības resursu centrs][3])

5. Uzturiet melodijas, mērījuma un pārtrenēšanas ciklu . Vismaz reizi ceturksnī.

Vai incidentu reaģēšanā var uzticēties mākslīgajam intelektam?

Īsā atbilde: jā, bet ar atrunām. Kiberuzbrukumi izplatās pārāk ātri, datu apjomi ir pārāk milzīgi, un cilvēki ir... nu, vienkārši cilvēki. Mākslīgā intelekta ignorēšana nav variants. Taču uzticēšanās nenozīmē aklu padošanos. Vislabākie risinājumi ir mākslīgais intelekts kopā ar cilvēku zināšanām, skaidrām rokasgrāmatām un caurspīdīgumu. Izturieties pret mākslīgo intelektu kā pret palīgu: dažreiz pārāk dedzīgu, dažreiz neveiklu, bet gatavu iejaukties, kad visvairāk nepieciešama enerģija.

Meta apraksts: Uzziniet, kā mākslīgā intelekta vadīta incidentu reaģēšana uzlabo kiberdrošības ātrumu, precizitāti un noturību, vienlaikus saglabājot cilvēka spriestspēju informētu.

Mirķlštegi:
#AI #Kiberdrošība #IncidentuReaģēšana #SOAR #ApdraudējumuAtklāšana #Automatizācija #InformācijasDrošība #DrošībasOperācijas #TehnoloģijuTrendi

Atsauces

1. MITER ATT&CK® — oficiālā zināšanu bāze. https://attack.mitre.org/

2. NIST īpašā publikācija 800-61, 3. rev. (2025. g.): Ieteikumi un apsvērumi incidentu reaģēšanai kiberdrošības risku pārvaldībā . https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf

3. NIST mākslīgā intelekta riska pārvaldības sistēma (AI RMF 1.0): caurspīdīgums, izskaidrojamība, interpretējamība. https://nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf

4. Mandiant M-Trends 2025 : Globālās vidējās uzturēšanās laika tendences. https://services.google.com/fh/files/misc/m-trends-2025-en.pdf

5. CISA kopīgie ieteikumi par izspiedējvīrusu TTP: PowerShell reģistrēšana un EDR agrīnai noteikšanai (AA23-325A, AA23-165A).

   • https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a

   • https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

Atrodiet jaunāko mākslīgo intelektu oficiālajā mākslīgā intelekta palīgu veikalā

Par mums