I team di sicurezza non sono certo a corto di dati. Mancano di tempo, di ripetibilità e di competenze specialistiche disponibili proprio nel momento in cui un analista ne ha bisogno.
Questo è proprio il problema che i comandi "/" di Atlas sono stati progettati per risolvere.
Grazie a /hunt, /investigate e /signal, Atlas trasforma una semplice interazione in chat in un flusso di lavoro SecOps guidato, basato sullo stato in tempo reale di endpoint . Anziché partire da una finestra di prompt vuota e sperare che l’analista sappia esattamente cosa chiedere, i comandi “/” integrano le competenze degli esperti Tanium in flussi di lavoro ripetibili. Un analista alle prime armi esegue lo stesso flusso di lavoro da esperto che eseguirebbe un “hunter” esperto.
Digiti /, scelga un comando, aggiunga qualche parola di contesto e Atlas si occuperà del lavoro più impegnativo. Effettua ricerche in tutta la proprietà, indaga su attività sospette o trasforma comportamenti confermati in una copertura di rilevamento continua.
L'analista mantiene il controllo. Atlas si fa carico del lavoro più faticoso.
Da una schermata vuota a un flusso di lavoro professionale
Un prompt AI vuoto è potente, ma è anche variabile. La qualità del risultato dipende dalla persona che digita la domanda, dalle sue conoscenze, dal modo in cui inquadra il problema, dalle fonti di dati che si ricorda di consultare e dalla sua capacità di comprendere la corretta sequenza investigativa.
I comandi con barra cambiano tale modello.
Ogni comando integra un flusso di lavoro specializzato sviluppato dai “threat hunter” di Tanium', lo stesso team che sta dietro a Tanium HuntIQ. L'analista non ha bisogno di redigere il prompt perfetto né di memorizzare la sequenza corretta di sensori, verifiche delle prove, mappature MITRE e fasi di rilevamento. Il flusso di lavoro è già codificato nel comando.
L'esperienza è semplice.
- Aprire la chat di Atlas.
- Digiti
/. - Scegliete
/hunt,/investigateoppure/signal. - Aggiunga un contesto in linguaggio semplice.
- Invia.
Una caccia può iniziare in modo molto semplice, proprio così.
/ricerca delle attività di lolbin tramite wmic e rundll32 sui server Windows , negli ultimi 7 giorni
Quella breve istruzione indica ad Atlas l’obiettivo e l’ambito di applicazione. Il comando con la barra fornisce il manuale per esperti.
Il risultato è una flessibilità del linguaggio naturale che si aggiunge a una procedura codificata. Gli analisti guidano il flusso di lavoro con le proprie parole e Atlas segue ogni volta lo stesso processo specialistico.
I tre comandi
Atlas include tre comandi con barra per le operazioni di sicurezza. Sono inclusi nell’abbonamento a Security Operations di Tanium .
| Comando | Utilizzatelo quando ne avete bisogno | Cosa restituisce Atlas |
|---|---|---|
| /caccia | Effettuate una ricerca nell’infrastruttura alla ricerca di un “ IOC”, un attore malintenzionato, una tecnica, un avviso o un’ipotesi | Un rapporto di analisi contenente i risultati, la mappatura MITRE, le lacune nella copertura e le azioni successive raccomandate |
| /indagare | Analisi approfondita di una specifica endpoint, di un artefatto o di un avviso | Cronologia, verdetto, analisi del raggio d’azione dell’esplosione, sintesi delle prove e raccomandazioni in merito alle misure da adottare |
| /segnale | Trasformare un comportamento comprovato in una copertura di rilevamento continua | Un segnale " Tanium " convalidato, corredato di risultati dei test, metadati e mappatura MITRE |
Insieme, formano un ciclo SecOps concreto.
/hunt individua lo schema sospetto.
/L'articolo " " illustra cosa è accaduto.
/signal vi aiuta a rimanere aggiornati.
/hunt risponde: «L’abbiamo già visto?»
La ricerca delle minacce spesso ha inizio con informazioni incomplete, un nuovo avviso, un hash sospetto, un’ipotesi comportamentale o un allarme che potrebbe indicare un’esposizione più ampia.
/hunt trasforma quel punto di partenza in un flusso di lavoro che coinvolge l’intera tenuta.
Atlas classifica la ricerca, estrae gli elementi rilevanti, verifica la copertura esistente, seleziona le fonti di dati Tanium appropriate, interroga la flotta e ordina i risultati in base alla rarità e al grado di sospetto. Può operare sulla base di IOC strutturati, segnalazioni non strutturate, tecniche identificate, contesto degli avvisi o ipotesi comportamentali.
Esempi di prompt
/hunt: questo hash è presente da qualche parte? <sha256>/hunt: host che inviano segnali a domini esterni rari al di fuori degli orari di lavoro, server Windows , ultimi 14 giorni/individuare come riferimento le attività pianificate più rare nell’intera flotta/huntseguito da un avviso o da una segnalazione di minaccia incollata
Il risultato non è semplicemente un elenco di risultati. Atlas restituisce un rapporto di ricerca strutturato. Il documento illustra cosa è stato oggetto della ricerca, dove è stata condotta, quali risultati sono stati ottenuti, quali tecniche MITRE sono applicabili, in quali ambiti la copertura è solida o carente e quali obiettivi meritano un’analisi più approfondita.
/investigate risponde alla domanda «Che cosa è successo qui?»
Una volta che un’indagine o un allarme individua un host, un artefatto o un evento specifico, la sfida successiva consiste nel trasformare il sospetto in una conclusione dimostrabile.
È qui che entra in gioco /investigate .
Lo si può utilizzare per un determinato endpoint, ID di avviso, processo, file, hash, chiave di registro, dominio, indirizzo IP, utente, attività, servizio o driver. Atlas individua l’ambito in cui compare l’elemento, si interrompe quando l’ambito è troppo ampio e quindi ricostruisce l’attività sui target più rilevanti.
Esempi di prompt
/indagare sull'allerta 48213/investigate FINANCE-WKS-07, svchost genera il codice PowerShell/effettuare un'indagine su questo dominio: cdn-telemetry-sync[.]com e salvarlo tra le prove/effettuare indagini <sha256> in tutta la tenuta, limitarsi a riferire
Il flusso di lavoro definisce il contesto relativo all’evento, includendo la genealogia dei processi, l’attività dei file, la persistenza, il comportamento di rete, gli avvisi correlati, la cronologia, gli indicatori di movimento laterale e il raggio d’azione. Il rapporto finale fornisce agli analisti un verdetto di “benigno”, “sospetto” o “malvagio confermato”, corredato da un livello di affidabilità e da prove a sostegno.
Atlas può suggerire delle misure di risposta, ma le azioni distruttive rimangono soggette a restrizioni. Le azioni di isolamento, eliminazione, interruzione del processo, messa in quarantena e distribuzione sono soggette all’approvazione esplicita da parte di un operatore.
/signal risponde: «Come possiamo risolvere questo problema con " Detect " la prossima volta?»
La fase finale del ciclo consiste nel trasformare quanto appreso dal team in una copertura mediatica duratura.
/signal aiuta i tecnici e gli analisti addetti al rilevamento a creare, convalidare, testare e preparare segnali " Tanium " sulla base di comportamenti noti o risultati confermati. Trasforma l’intento di rilevamento nella logica di Signal, verifica la sintassi e i campi supportati, effettua un controllo incrociato con i dati storici e mappa il risultato al modello MITRE ATT&CK.
Esempi di prompt
/signal Detect attività pianificate la cui riga di comando contiene un blob base64 PowerShell/signal: trasformare questo risultato in un sistema di rilevamento operativo: <incollare la cronologia del processo / la riga di comando>/signal: si prega di verificare questa regola sulla base dei dati degli ultimi 30 giorni prima della distribuzione
Atlas è in grado di proporre e convalidare la logica di rilevamento, ma l’implementazione rimane sotto il controllo umano. L'analista esamina i risultati, ne conferma la correttezza e approva qualsiasi operazione che comporti una modifica dell'ambiente.
Perché è importante vivere in uno Stato d endpoint
Molte soluzioni di sicurezza basate sull’intelligenza artificiale si basano su copie obsolete dei dati telemetrici presenti in un data lake. Ciò può essere utile, ma non equivale a chiedere all’ endpoint e quale sia la verità in questo preciso momento.
I comandi "slash" di Atlas si basano sul livello " endpoint " in tempo reale di Tanium'. Possono avvalersi dei dati in tempo reale e storici di endpoint provenienti dall’intera piattaforma, tra cui la telemetria dei registratori, il contesto delle risposte in tempo reale, lo stato dei file, l’attività dei processi e altre prove relative a endpoint .
Questo è importante perché le decisioni relative alla sicurezza operativa (SecOps) devono essere prese tempestivamente. Se un analista sta indagando su un processo sospetto, deve sapere cosa sta accadendo sul computer in questo preciso momento, non solo ciò che è stato registrato da qualche parte ieri.
I comandi "slash" integrano la guida fornita dall'intelligenza artificiale proprio nell'ambito in cui l' Tanium e è già più efficace, ovvero lo stato " endpoint " in tempo reale, aggiornato e su cui è possibile agire.
Progettato per garantire velocità, uniformità e controllo
Il valore dei comandi con la barra non risiede solo nel fatto che rendono Atlas più facile da usare. Il fatto è che rendono ripetibili i flussi di lavoro degli esperti.
I comandi con il simbolo "/" consentono ai team di lavorare più rapidamente senza rinunciare al controllo.
- Abbassare la soglia minima di competenza. Un numero maggiore di analisti può gestire flussi di lavoro di livello avanzato senza dover conoscere in anticipo ogni singola fase.
- Migliorare l'uniformità. Lo stesso comando segue la stessa procedura standard per tutti gli utenti e in tutti i turni.
- Agite con maggiore rapidità. Atlas automatizza la raccolta dei dati, la selezione, la creazione di cronologie e la generazione di report.
- Si mantenga il giudizio umano. Gli analisti definiscono l’ambito di applicazione, esaminano i risultati e approvano le azioni da intraprendere.
- Relazioni coerenti e strutturate. Ogni esecuzione si conclude con un rapporto che illustra gli elementi oggetto della ricerca, i risultati, le avvertenze, la mappatura MITRE e le azioni successive raccomandate.
- Chiudete il ciclo. Le ricerche possono portare a indagini. Le indagini possono portare a una copertura delle rilevazioni.
L'analista dirige, verifica e decide. Atlas esegue il flusso di lavoro.
Sicuro fin dalla progettazione
Anche i comandi con la barra sono stati progettati per offrire comandi pratici.
L'accesso è controllato a livello di server in base ai diritti dei moduli e alle autorizzazioni basate sui ruoli. Se un utente non dispone della licenza o dell'autorizzazione necessaria per un comando, tale comando non compare nel menu di selezione.
I comandi distinguono inoltre le analisi che comportano un'elevata attività di lettura dalle azioni che modificano l'ambiente. Le operazioni di lettura e le fasi di indagine possono essere eseguite in modo autonomo, mentre le azioni distruttive o di implementazione vengono sottoposte a un processo di approvazione esplicita.
Quel guardrail non rappresenta un ostacolo. È proprio questo il punto.
I team di sicurezza desiderano autonomia per il lavoro quotidiano, non un’automazione incontrollata per decisioni che potrebbero compromettere l’ambiente.
Un nuovo modello operativo per le SecOps
I comandi Slash rappresentano una semplice modifica dell’interfaccia con un impatto più profondo sul modello operativo.
Consentono agli analisti di passare dall’assemblaggio manuale di ogni fase di un flusso di lavoro di ricerca, indagine o rilevamento alla supervisione di un sistema esperto in grado di eseguire tali fasi dall’inizio alla fine. Rendono Atlas più accessibile per gli analisti alle prime armi e più efficiente per i professionisti esperti. Inoltre, aiutano i team a standardizzare le modalità di svolgimento del lavoro, dal primo sospetto fino alla conferma del rilevamento.
Il risultato è un ciclo SecOps più rapido e più coerente.
- Cercate la visibilità.
- Indagate su ciò che conta.
- Trasformare i comportamenti confermati in un sistema di rilevamento affidabile.
- Assicuratevi che l’uomo mantenga il controllo su ogni azione che modifichi l’ambiente.
Ecco cosa apportano ad Atlas i seguenti link: /hunt, /investigate e /signal . Flussi di lavoro SecOps specialistici, disponibili su richiesta, basati sullo stato in tempo reale dell’ endpoint .
Digiti /. Selezioni il flusso di lavoro. Influenziate l'esito.
Desidera vedere i comandi in azione? Si prega di visionare la guida pratica di Atlas di sui comandi "/" per SecOps: (si apre in una nuova scheda). Per avere una visione d’insieme delle prospettive future, legga l’articolo “ : Introducing Agentic SecOps”. E se il Suo team utilizza già le operazioni di sicurezza di Tanium, apra Atlas e digiti /.
