सिक्योरिटी डिफेंडर्स के लिए AIमध्यमपाठ 1615 मिनट का पाठ

AI के साथ थ्रेट हंटिंग (Threat hunting)

थ्रेट हंटिंग का मतलब है ऐसे हमलावरों को खोजना जिन्होंने कोई अलर्ट ट्रिगर नहीं किया है। AI किसी आइडिया को क्वेरी (query) में बदलने में मदद कर सकता है, लेकिन आपको इसकी जाँच खुद करनी होगी।

✦ ट्यूटर से पूछें🧪 लैब · 30 min📝 पाठ का टेस्ट
पाठ वीडियो में

60 सेकंड में

AI के साथ थ्रेट हंटिंग (Threat hunting)

थ्रेट हंटिंग का मतलब है ऐसे हमलावरों को खोजना जिन्होंने कोई अलर्ट ट्रिगर नहीं किया है। AI किसी आइडिया को क्वेरी (query) में बदलने में मदद कर सकता है, लेकिन आपको इसकी जाँच खुद करनी…

1/4
आसान शब्दों में
एक सुरक्षा गार्ड सिर्फ अलार्म बजने का इंतज़ार नहीं करता। कभी-कभी वे चक्कर लगाकर देखते हैं: क्या कोई खिड़की खुली है, क्या कोई दरवाज़ा अनलॉक है? थ्रेट हंटिंग वही चक्कर है, जो कंप्यूटर पर किया जाता है।
थ्रेट हंटिंग ऐसे हमले के संकेतों की एक सोची-समझी खोज है जो आपके अलर्ट से छूट गए थे। अच्छे हंट एक परिकल्पना (hypothesis) से शुरू होते हैं: एक साफ़, जाँची जा सकने वाली अटकल कि हमलावर क्या कर रहा हो सकता है।

परिकल्पना तैयार करने के लिए MITRE ATT&CK का इस्तेमाल करें

MITRE ATT&CK हमलावरों की रणनीतियों (लक्ष्य, जैसे Lateral Movement) और तकनीकों (तरीके, जैसे Remote Services) का एक सार्वजनिक नॉलेज बेस है। किसी हंट को ATT&CK से मैप करने से आपको यह चुनने में मदद मिलती है कि क्या खोजना है और दूसरों को इसे कैसे समझाना है।
हंट का हिस्साउदाहरण
परिकल्पना (Hypothesis)चुराए गए खाते वाला एक हमलावर रिमोट लॉगिन का इस्तेमाल करके सर्वरों के बीच घूम रहा है।
ATT&CK मैपिंगरणनीति: Lateral Movement. तकनीक: Remote Services.
ज़रूरी डेटासर्वरों से ऑथेंटिकेशन लॉग, जिसमें यूज़र, सोर्स होस्ट, डेस्टिनेशन होस्ट और समय शामिल हो।
क्या अजीब लगेगाएक खाते का कम समय में सामान्य से बहुत ज़्यादा होस्ट्स में लॉगिन करना।

AI को क्वेरी का ड्राफ्ट बनाने दें

AI को अपनी क्वेरी लैंग्वेज (KQL, SPL, SQL या कोई अन्य), अपने असली टेबल और फ़ील्ड के नाम, और अपनी परिकल्पना बताएं। यह एक क्वेरी का ड्राफ्ट तैयार करेगा। नीचे दिया गया उदाहरण एक काल्पनिक टेबल पर SQL का है।
AI-drafted hunt query (SQL, made-up table)sql
-- Accounts that logged in to many hosts over the network in 7 days
SELECT user_name,
       COUNT(DISTINCT dest_host) AS hosts_reached
FROM auth_logs
WHERE event_time >= NOW() - INTERVAL '7 days'
  AND logon_type = 'network'
  AND result = 'success'
GROUP BY user_name
HAVING COUNT(DISTINCT dest_host) > 10
ORDER BY hosts_reached DESC;
सावधान रहें
AI अक्सर ऐसे टेबल नाम, फ़ील्ड नाम या फ़ंक्शन गढ़ लेता है जो आपके टूल में मौजूद ही नहीं होते। कोई क्वेरी रन हो रही है, इसका मतलब यह नहीं कि वह सही भी है। इसे हमेशा टेस्ट करें।

ज्ञात डेटा पर पुष्टि करें

  1. 1

    जाँचें कि यह रन हो रही है

    मनगढ़ंत फ़ील्ड या टेबल नामों को ठीक करें।
  2. 2

    किसी ज्ञात मामले पर टेस्ट करें

    इसे ऐसे डेटा पर चलाएं जहां आपको उत्तर पता हो, जैसे कि कोई लैब टेस्ट या पिछली घटना।
  3. 3

    बेसलाइन की जाँच करें

    बैकअप सर्वर और एडमिन टूल सामान्य रूप से भी कई होस्ट्स तक पहुँच सकते हैं। उन्हें नोट करें।
  4. 4

    नतीजों की समीक्षा करें

    जो बच गया है उसकी पड़ताल करें। ज़्यादातर हंट्स में कुछ भी ख़राब नहीं मिलता, और यह भी काम की बात है।
  5. 5

    दस्तावेज़ बनाएं (Document)

    परिकल्पना, क्वेरी, डेटा रेंज, नतीजे और आप क्या बदलाव करेंगे, यह सब लिख लें।

एक हंट का दस्तावेज़ीकरण

  • परिकल्पना और ATT&CK मैपिंग
  • डेटा सोर्स और खोजी गई समय सीमा
  • अंतिम क्वेरी (आपके सुधारों के बाद), और AI ड्राफ्ट में क्या गलत था
  • निष्कर्ष, जिसमें "कुछ नहीं मिला" भी शामिल है
  • क्या इसे एक डिटेक्शन नियम (detection rule) बनाया जाना चाहिए
नोट
जिस हंट में कुछ नहीं मिलता, वह बेकार नहीं जाता। इससे पता चलता है कि उस कमी की जाँच हो चुकी है, यह आपको बताता है कि सामान्य स्थिति कैसी दिखती है, और यह एक नियमित डिटेक्शन बन सकता है।
यह आज़माएं। अपनी पसंद की कोई एक ATT&CK तकनीक चुनें, और एक वाक्य की परिकल्पना लिखें कि वह आपके लॉग में कैसी दिखाई देगी।

और देखें और पढ़ें

MITRE ATT&CKMITRE · knowledge base · reading

लैब

AI द्वारा ड्राफ्ट की गई क्वेरी के साथ एक डॉक्यूमेंटेड हंट प्लान जिसे आपने सैंपल डेटा पर टेस्ट किया है।

~30 min

समस्या

नीचे दिए गए सैंपल ऑथेंटिकेशन इवेंट्स (काल्पनिक) का इस्तेमाल करें।

  1. एक परिकल्पना लिखें और उसे ATT&CK रणनीति और तकनीक से मैप करें।
  2. AI से ऐसी भाषा में क्वेरी ड्राफ्ट करने को कहें जिसे आप रन कर सकें (एक छोटी टेबल पर SQL, या स्प्रेडशीट फ़िल्टर भी काम करेगा)।
  3. सैंपल डेटा लोड करें और क्वेरी चलाएं। AI ने जो भी गलत किया हो उसे ठीक करें।
  4. एक छोटा हंट रिकॉर्ड लिखें: परिकल्पना, डेटा, अंतिम क्वेरी, निष्कर्ष, और आपने क्या ठीक किया।
शुरुआती कोडtext
event_time,user_name,src_host,dest_host,logon_type,result
2025-05-01 10:01,backup_svc,BKP-01,SRV-01,network,success
2025-05-01 10:02,backup_svc,BKP-01,SRV-02,network,success
2025-05-01 10:03,backup_svc,BKP-01,SRV-03,network,success
2025-05-01 14:20,ravi.m,WS-22,SRV-01,network,success
2025-05-01 23:41,anita.s,WS-09,SRV-01,network,success
2025-05-01 23:42,anita.s,WS-09,SRV-02,network,success
2025-05-01 23:43,anita.s,WS-09,SRV-03,network,success
2025-05-01 23:44,anita.s,WS-09,SRV-04,network,success
2025-05-01 23:45,anita.s,WS-09,DC-01,network,success

आपका काम तब पूरा होगा जब

कठिन सवाल

उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।

Q1इस परिकल्पना के लिए सिर्फ लॉगिन गिनने से बेहतर अलग-अलग (distinct) होस्ट्स को गिनना क्यों है?दिखाएं

एक सामान्य यूज़र दिन में कई बार एक ही सर्वर पर लॉगिन कर सकता है। Lateral movement का मतलब नई जगहों तक पहुँचना है। अलग-अलग डेस्टिनेशन होस्ट्स को गिनने से फैलाव का पता चलता है, जो परिकल्पना के बिल्कुल अनुकूल है और बार-बार होने वाले सामान्य लॉगिन के शोर (noise) को कम करता है।

Q2एक हमलावर धीरे-धीरे आगे बढ़ता है, हर दिन एक नया होस्ट। क्या 7 दिन वाली क्वेरी इसे पकड़ पाएगी? आप इसमें कैसे बदलाव कर सकते हैं?दिखाएं

शायद नहीं, अगर सीमा 7 दिनों में 10 होस्ट की है। आप प्रत्येक खाते की तुलना उसके अपने सामान्य व्यवहार से कर सकते हैं (उदाहरण के लिए, ऐसे होस्ट जहाँ पहले कभी न गया हो), लंबी समय सीमा में देख सकते हैं, या डोमेन कंट्रोलर जैसे संवेदनशील लक्ष्यों पर खास ध्यान दे सकते हैं। हर विकल्प के साथ नतीजों के साथ-साथ शोर (noise) भी बढ़ता है।

जारी रखने के लिए कृपया साइन इन करें।

अक्सर पूछे जाने वाले सवाल

हंटिंग और अलर्ट का जवाब देने में क्या अंतर है?

अलर्ट तब आपके पास आते हैं जब कोई नियम ट्रिगर होता है। हंटिंग तब होती है जब आप जानबूझकर उन चीज़ों को खोजने जाते हैं जिन्हें आपके नियम पकड़ नहीं पाए। अच्छे हंट अक्सर नए नियम बन जाते हैं।

क्या AI परिकल्पनाएं सुझा सकता है?

हाँ, यह किसी थ्रेट रिपोर्ट या ATT&CK तकनीक से नए आइडिया निकाल सकता है। आप वे चुनते हैं जो आपके माहौल और डेटा के अनुकूल हों। कोई भी आइडिया तभी काम का है जब आपके पास उसे टेस्ट करने के लिए लॉग मौजूद हों।

AI को अपने असली फ़ील्ड नाम क्यों दें?

उनके बिना, यह आम नामों का अंदाज़ा लगाता है, जो अक्सर आपके सिस्टम से मेल नहीं खाते। असली फ़ील्ड नाम (असली डेटा नहीं) देने से ड्राफ्ट सही होने के बहुत करीब पहुँच जाता है।

क्या अपने क्वेरी नतीजों को चैटबॉट में पेस्ट करना सुरक्षित है?

केवल किसी स्वीकृत टूल में, और सिर्फ उतना ही जितना ज़रूरी हो। हंट के नतीजों में अक्सर यूज़रनेम, होस्टनेम और IP एड्रेस होते हैं, जो कि आंतरिक डेटा हैं।

पाठ का टेस्ट

5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।

टेस्ट देने और अपनी प्रोग्रेस सेव करने के लिए साइन इन करें