イニシアチブ
敵対的インテリジェンス — サイバー攻撃および防御ラボ
サイバーセキュリティは、システムを保護する人々とそれに適応する敵対者の間で進行中の競争です。この取り組みでは、明確な権限と人間の監視のもとで、検出、相関、封じ込め、回復を調査します。そのラボは学習用の独立した合成ネットワークであり、製品や実際のインフラストラクチャへの接続ではありません。
インテリジェント システムが、防御側が脅威の変化を推論するのにどのように役立つかを研究します。
フィールドの調査方法
この研究室では、隔離された合成環境で防御的な質問を研究しています。イベントの品質、検出しきい値、対応権限がシナリオにどのような影響を与えるかを実証できますが、運用の準備を確立することはできません。研究の方向性には、信号の来歴、説明可能なトリアージ、可逆的な封じ込めおよび回復計画が含まれます。実際のインフラストラクチャを使用する作業には、個別の承認、専門家の範囲、および適切なレビューが必要です。
- 01
変化する脅威の状況
接続されたサービスにより保護するパスが増えますが、自動化により攻撃と防御の速度が向上します。防御設計では、誤解を招く可能性のある不確実性、不完全な信号、アラートを考慮する必要があります。
攻撃パスは、ID、ソフトウェアの依存関係、クラウド構成、サプライヤー、人間のワークフローに及ぶ可能性があります。単一のアラートが完全なコンテキストをキャプチャすることはめったになく、劇的なアラートよりも静かなシグナルの方が関連性が高い場合があります。防御システムは、すべての相関関係を確認済みのインシデントとして提示するのではなく、不確実性を維持し、人々が調査に優先順位を付けるのを支援する必要があります。
- 02
AI を活用した攻撃と防御の課題
自動化は、敵対者が活動を拡大し、防御者がイベントをトリアージするのに役立つ可能性があります。生成されたコンテンツには説得力がある一方で、自動化された決定は間違いをすぐに広める可能性があります。どちらの用途にも慎重な評価が必要です。
生成ツールを使用すると、説得力のあるメッセージの作成や反復的なアクションの自動化に必要な労力を軽減できますが、防御側も自動化を使用して大量のイベントをレビューできます。エンジニアリングの問題の中心は、AI が存在するかどうかではありません。それは、エラーを測定し、権限を制限し、速度の向上により誤った応答を元に戻すのが困難にならないようにする方法です。
- 03
敵対的テスト
有用な防御テストは、定義された範囲、安全な環境、および回答可能な質問から始まります。合成シナリオでは、公開ターゲットを調査したり実稼働システムを公開したりすることなく、検出と対応の想定を検証できます。
認可されたテストは、書面による範囲、指定された環境、許可された技術、時間枠、および責任ある連絡先から開始する必要があります。テストの質問は、結果によって制御計画や対応計画が変更される可能性があるほど具体的である必要があります。実験室でのシミュレーションは、これらの決定を安全に説明できますが、実際のシステムの専門家による評価に代わるものではありません。
- 04
自律型防御エージェント
防御エージェントはシグナルを収集し、対応に優先順位を付け、レビューのためのアクションを準備できます。その権限は明示的かつ限定的でなければなりません。サービスを中断したり、人々に影響を与えたりする行為には、人間による適切な判断が必要です。
エージェントはケースを要約したり、関連イベントを関連付けたり、封じ込めに関する推奨事項を準備したりできます。入力と不確実性を明らかにし、証拠と推論を区別し、アクションがサービスを中断したりユーザーに影響を与える可能性がある場合には承認を待つ必要があります。自律性のレベルは、実証された信頼性と間違いの結果に従う必要があります。
- 05
検出とイベント相関
1 つのイベントでインシデントが説明されることはほとんどありません。相関により、後で確認できるように各信号の起源と不確実性を保存しながら、時間、アイデンティティ、システムの動作、およびコンテキストを結び付けることができます。
相関関係は、アナリストが相関関係がどのように形成されたかを追跡できる場合にのみ役立ちます。記録には、調査者が結論を再現できるように、イベントの発生元、タイムスタンプ、ID コンテキスト、変換、および信頼性が保持される必要があります。一致度の低い出来事は、利用可能な証拠よりも確実であると思われる単一のストーリーに強制的に組み込むのではなく、分離したままにしておく必要があります。
- 06
脅威の封じ込め
封じ込めは拡散を制限できますが、広範すぎる対応は正当な作業を中断する可能性があります。対応計画には、何が孤立しているのか、なぜ孤立しているのか、どれくらいの期間、誰が決定を覆すことができるのかを明記する必要があります。
封じ込めの決定には、被害の制限と正当なサービスの維持との間のトレードオフが関係します。適切な対応計画では、範囲、期間、依存関係、顧客への影響、および逆転の条件が考慮されます。また、誰がそのアクションを承認したか、どのような証拠がそれを裏付けたかも記録されるため、チームは自動化された隔離を本質的に正しいものとして扱うことなく学習できるようになります。
- 07
回収と証拠保全
リカバリでは、何が起こったのかを説明するのに役立つ記録を保存しながら、正常な動作を復元します。このプロセスでは、サービスの復元と証拠の完全性、プライバシー、影響を受けるユーザーのニーズのバランスがとれます。
検出と同時に回復を計画する必要があります。チームは信頼できるバックアップを特定し、依存関係を安全な順序で復元し、明確にコミュニケーションをとり、インシデントを理解するために必要な記録を保存する必要があります。システムがすぐにサービスに復帰しても、重要な証拠が失われると、後の予防と責任がより困難になる可能性があります。
- 08
安全性、許可、および人間による監視
認可は技術的な境界です。すべてのテストには、定義された範囲、最小限の特権アクセス、停止パス、および責任あるレビューが必要です。このシミュレーションは実際のシステムにアクセスできません。
セキュリティ研究は、研究対象となる人々とシステムを保護する必要があります。許可、最小特権、データの最小化、分離、および信頼性の高い停止メカニズムは、免責事項ではなく設計要件です。人間のレビュー担当者は推奨事項に異議を唱えるのに十分なコンテキストが必要ですが、ラボではシミュレートされたすべてのイベントをパブリック ネットワークや運用ネットワークから切り離す必要があります。
- 09
長期防衛研究
将来の課題には、回復力のあるアイデンティティ、信号品質、説明可能な優先順位付け、防御ツール間の安全な調整などが含まれる可能性があります。進歩は検証された方法に依存しており、1 つのモデルですべての攻撃を阻止できると主張するものではありません。
長期的な防御作業では、アイデンティティの回復力、サプライチェーンの可視性、インシデントの調整、および機械が生成した評価を人々がどのように解釈するかを調べることができます。それぞれの質問には、独自の証拠と運用コンテキストが必要です。すべての攻撃を防ぐことのできる単一のモデルは存在しないため、信頼できる方向性は、技術的な制御、準備されたチーム、テストされた回復、継続的な学習を組み合わせたものです。
インタラクティブな探索
サイバー攻撃と防御のシミュレーション
合成シナリオです。操作を変えて、モデルの応答を確かめてください。