ARDASSISTITO DA IA/MLFIDUCIA INDIPENDENTE DAGLI ACCOUNT
Dockfield ARD
Rilevare comportamenti anomali.
Proteggere la decisione di ripristino.
ARD è il livello intelligente di rilevamento ed evidenze di Dockfield per il ripristino consapevole del ransomware. Osserva il comportamento nel tempo, confronta segnali di anomalia indipendenti, calibra la fiducia e fornisce evidenze spiegabili a una politica di ripristino deterministica.
OsservareSegnali AWS e di ripristino
→
RilevareAnomalie comportamentali
→
CalibrareFiducia nelle evidenze
→
DeciderePolitica e spiegabilità
→
QuarantinaConfine non attendibile
→
RipristinarePercorso convalidato
Architettura generale IA/ML
Prima le evidenze indipendenti. Complessità solo dove offre un valore misurabile.
Rilevamento temporale auto-supervisionatoModella il contesto comportamentale normale nel tempo ed evidenzia le sequenze che non corrispondono più al modello operativo appreso.
Rilevamento statistico indipendenteDeviazioni dalla baseline, picchi e cambiamenti offrono una seconda famiglia di anomalie interpretabile.
Caratteristiche multirisoluzione opzionaliIl cappello messicano e altre caratteristiche multiscala possono contribuire quando la densità della telemetria lo giustifica; non sono verità universali.
Perché il cappello messicano? Il concetto può evidenziare un cambiamento locale rispetto al contesto circostante a diverse scale. Dockfield considera questa elaborazione del segnale un’evidenza aggiuntiva opzionale, non la base della classificazione del ransomware.
Fusione delle evidenze
Una singola anomalia non comporta un ripristino automatico.
COMPORTAMENTOSchemi temporali e cambiamenti di sequenza.
STATISTICHEEvidenze indipendenti di deviazioni e cambiamenti.
SICUREZZASegnali dell’ambiente di sicurezza quando disponibili e attendibili.
Il recuperoIntegrità, provenienza e affidabilità dei punti di ripristino candidati.
Evidenze calibrateI segnali su scale diverse sono normalizzati in una valutazione di fiducia comparabile, preservandone la provenienza.
→
Decisione spiegabileIl sistema registra cosa è cambiato, quali evidenze hanno contribuito e quale politica deterministica ha consentito l’azione successiva.
→
Politica di sicurezza deterministicaLe azioni finali di ripristino sono vincolate da politiche esplicite e verificabili, non dal punteggio di un solo modello.
Dove si colloca ARD
Senza presumere che l’account di sicurezza sopravviva sempre.
Ambiente di sicurezza e carichi di lavoroUna fonte importante di evidenze, ma mai l’unico riferimento di fiducia. Gli stessi account di sicurezza possono essere considerati sospetti.
→
ARD / piano decisionale di resilienzaCorrela evidenze indipendenti e verifica continuamente se il piano di controllo attuale sia ancora attendibile.
→
Confine di ripristino isolatoQuarantena, convalida e ripristino possono spostarsi fuori dal dominio di fiducia interessato, anche verso nuovi account o organizzazioni indipendenti.
Account di sicurezza interessatoLe evidenze di sicurezza diventano degradate o non attendibili; quelle indipendenti restano disponibili per le decisioni di resilienza.
Più account interessatiLa selezione del ripristino e la quarantena si orientano verso un confine di ripristino isolato.
Organizzazione esistente non attendibileÈ possibile scegliere modelli di ripristino in nuovi account o organizzazioni indipendenti quando l’autorità di ripristino e le evidenze protette restano disponibili.
Nessuna dipendenza da un solo account. ARD separa gli account dei carichi di lavoro, della sicurezza e del ripristino in domini di fiducia distinti. In caso di grave compromissione, l’ambiente AWS esistente può essere trattato come evidenza da indagare anziché come autorità che approva il proprio ripristino.
ARD + Intelligent Recovery
Il rilevamento è utile solo se migliora la decisione di ripristino.
Dockfield collega direttamente le evidenze di anomalia a quarantena, convalida e modelli di ripristino isolato, mantenendo esplicita la politica finale di sicurezza.