Xin chào mọi người
Đây là Watanabe, phụ trách phiên thứ 23

Lần này, chúng tôi sử dụng thế hệ AI để phân tích lệnh gọi hệ thống

Ghi chú

Bài viết này sử dụng AI được tạo trong môi trường riêng tư và không đảm bảo kết quả giống nhau trong mọi môi trường
Ngoài ra, chúng tôi không khuyên bạn nên phân tích bằng nhiều AI khác nhau nhưng vui lòng coi kết quả là thông tin tham khảo và đưa ra quyết định cuối cùng theo cách thủ công
Các tệp Scap có thể chứa thông tin bí mật do tính chất của chúng, vì vậy hãy cẩn thận khi xử lý chúng

Phân tích cuộc gọi hệ thống là gì

Sysdig có chức năng gọi là "Capture" thu thập các cuộc gọi hệ thống trước và sau khi kích hoạt khi đáp ứng các điều kiện thông báo cảnh báo

1 00:53:42769543595 0 máy chủ (máy chủ) <NA> (2975:<NA>) > openat dirfd=-100(AT_FDCWD) name=/etc/shadow flags=4097(O_RDONLY|O_CLOEXEC) mode=0

Bản phân tích lệnh gọi hệ thống này sẽ dựa trên tệp scap này
Tính năng này cũng được OSS Sysdig cung cấp, vì vậy nếu bạn quan tâm, vui lòng dùng thử

Tại sao lại là AI?

Có các công cụ như Sysdig Inspection và STRATOSHARK để phân tích và trực quan hóa các tệp scap
Đây là những công cụ tuyệt vời nhưng chúng không cung cấp cách giải thích trừu tượng về bản ghi, vì vậy tôi cảm thấy cần có thời gian để giải mã điều gì đang diễn ra

Chúng tôi tin rằng khả năng diễn giải ngữ cảnh và tóm tắt của AI tổng quát là phù hợp để bổ sung cho các khía cạnh này nên chúng tôi đã quyết định thử nghiệm nó

Phân tích lệnh gọi hệ thống theo thế hệ AI

Trong lần xác minh này, AI được tạo sẽ sử dụng AI trong môi trường riêng tư

Tệp /etc/shadow là tệp quản lý mật khẩu người dùng trong hệ điều hành dựa trên UNIX và nếu nó bị truy cập thì nghi ngờ có một cuộc tấn công

Bây giờ, chúng ta hãy xem kết quả phân tích của AI tổng hợp
*Nếu bạn không thể đọc tệp scap, vui lòng chạy tệp đó qua Sysdig Inspection, vv để chuyển đổi tệp thành văn bản

1 Hỏi xem có hành vi nào đáng lo ngại không

2 Hỏi cụ thể về hoạt động mạng

Tôi không tìm thấy thông tin nào về mạng nên tôi muốn đặt câu hỏi

3 Hỏi xem có hành vi nào đáp ứng được những điều kiện nhất định không

Ngược lại với (1), hãy thử tập trung vào hoạt động mà bạn quan tâm

Kết quả/Điều tôi nhận thấy

Nó tổng hợp thông tin cần thiết để hiểu sự kiện, chẳng hạn như bản tóm tắt, số dòng cụ thể và các quy trình đã thực hiện, đồng thời tôi cảm thấy rằng nó hữu ích như thông tin tham khảo để thu thập manh mối cho việc điều tra
Mặc dù lý do có vẻ thuyết phục nhưng tôi nghĩ cần phải phân biệt giữa sự thật và suy đoán và cẩn thận không có bất kỳ định kiến nào

Cuối cùng

Mọi chuyện thế nào?
Sysdig và Falco có các quy tắc phát hiện hành vi giống như hành vi được AI phát hiện lần này theo mặc định, do đó, có thể có ít trường hợp AI được sử dụng trong các trường hợp khớp với quy tắc này, nhưng có thể sẽ hiệu quả khi sử dụng AI khi tìm kiếm manh mối để điều tra trong môi trường nơi một ứng dụng duy nhất đang chạy

Tham khảo

draios/sysdig :
Kiểm tra hệ thống:
STRATOSHARK:
falcosecurity/event-generator:
Các trường được hỗ trợ cho điều kiện và kết quả:

Giới thiệu người phụ trách