शिफ़्ट की शुरुआत में, HorizonPay का एक एनालिस्ट अलर्ट की एक कतार (queue) खोलता है जिसे AI ट्राइएज टूल ने पहले ही स्कोर दिया होता है। यह स्कोर काम को प्राथमिकता देने में मदद करता है; इससे यह तय नहीं होता कि अलर्ट किसी असल घटना (incident) का संकेत है या नहीं। 1,200 कर्मचारियों वाली इस फिनटेक कंपनी में, हम सुरक्षा के उपाय चुनने से पहले हमलावर के रास्ते (attacker path) का पता लगाएंगे।
अटैक चेन शुरुआती संपर्क से लेकर बिज़नेस पर पड़ने वाले असर तक की जुड़ी हुई प्रक्रिया है। AI पहले से मौजूद हमलों को पर्सनलाइज़ करने और उन्हें बार-बार करने की प्रक्रिया को तेज़ बना सकता है। HorizonPay की चेन T1566 फ़िशिंग से शुरू हो सकती है, क्रेडेंशियल के दोबारा इस्तेमाल और मेलबॉक्स नियम से गुज़र सकती है, T1656 इम्पर्सोनेशन (किसी और का रूप धरने) के तहत पेमेंट रिक्वेस्ट में बदल सकती है, और T1105 इनग्रेस टूल ट्रांसफ़र पर खत्म हो सकती है। वॉयस-क्लोनिंग रिक्वेस्ट T1566.004 स्पीयरफ़िशिंग वॉयस से मेल खाती हैं। AI की मदद से की गई रेकॉनिसेन्स (जानकारी जुटाने की प्रक्रिया) T1595 एक्टिव स्कैनिंग से मेल खाती है, जबकि मैलवेयर का बदला हुआ रूप T1027 ऑबफ़स्केटेड फ़ाइल्स या इन्फॉर्मेशन से मेल खाता है। हम यह पता लगा सकते हैं कि यह चेन कहाँ-कहाँ आइडेंटिटी, मैसेजिंग और एंडपॉइंट सुरक्षा को पार करती है।
ये रास्ते घटना के जीवन-चक्र (incident lifecycle) के डिटेक्शन और ट्राइएज चरणों में आते हैं। AI की सलाह एक एनालिस्ट का इनपुट होती है, न कि कोई अंतिम निर्णय। किसी सेंडर को ब्लॉक करने, अकाउंट को डिसेबल करने या पेमेंट रिक्वेस्ट को आगे बढ़ाने से पहले, एनालिस्ट को पहचान से जुड़े संकेतों, रिक्वेस्ट के स्रोत और उससे जुड़े एंडपॉइंट या नेटवर्क टेलीमेट्री की पुष्टि करनी चाहिए। ये सबूत बताते हैं कि क्या अलग-अलग ऑब्जर्वेशन एक ही घटनाक्रम की पुष्टि करते हैं या नहीं।
ओवरराइड करने का अधिकारजब बार-बार गलत अलर्ट (false positives) सही लगने लगते हैं, तो AI के सुझावों से ‘अलर्ट थकान’ (alert fatigue) हो सकती है। एनालिस्ट के पास यह अधिकार होता है कि वह AI के सुझाव को न माने (ओवरराइड करे) और ऐसा करने का कारण दर्ज करे।
HorizonPay के मामले उन सबूतों को दिखाते हैं जिनकी ज़रूरत AI द्वारा सुझाए गए निर्णय को स्वीकार करने से पहले होती है।