การตอบสนองเหตุและกรอบมาตรฐาน

ตัวอย่างที่ 1 กฎตรวจจับเหตุจาก log

log สมมติของเที่ยวบินหนึ่ง โดรนบินปกติราว 15 m/s

import math

log = [
    (95.0, "SIG_BAD", 1), (97.5, "SIG_BAD", 1), (99.0, "SIG_BAD", 1),
    (180.0, "GNSS", (1200, 5)), (181.0, "GNSS", (1215, 5)), (182.0, "GNSS", (1290, 40)),
    (240.0, "HEARTBEAT", 42), (241.0, "HEARTBEAT", 1),
]
KNOWN_SYSIDS = {1, 255}
SIG_WINDOW, SIG_COUNT, JUMP_M = 10.0, 3, 50.0

alerts, bad, last_fix = [], [], None
for t, kind, data in log:
    if kind == "SIG_BAD":
        bad = [x for x in bad if t - x <= SIG_WINDOW] + [t]
        if len(bad) == SIG_COUNT:
            alerts.append((t, "C2 injection attempt", f"{SIG_COUNT} bad signatures in {t - bad[0]:.1f} s"))
    elif kind == "GNSS":
        if last_fix:
            jump, dt = math.dist(last_fix[1], data), t - last_fix[0]
            if jump > JUMP_M:
                alerts.append((t, "GNSS anomaly", f"jump {jump:.0f} m in {dt:.0f} s"))
        last_fix = (t, data)
    elif kind == "HEARTBEAT" and data not in KNOWN_SYSIDS:
        alerts.append((t, "unknown sender", f"system ID {data}"))

for t, name, why in alerts:
    print(f"t = {t:6.1f} s  {name:<22} {why}")

t =   99.0 s  C2 injection attempt   3 bad signatures in 4.0 s
t =  182.0 s  GNSS anomaly           jump 83 m in 1 s
t =  240.0 s  unknown sender         system ID 42

กฎทั้งสามต้องปรับเกณฑ์จากข้อมูลปกติของระบบจริง และแต่ละการแจ้งเตือนต้องมีคู่มือว่าใครทำอะไรต่อ เช่น สลับไปใช้ช่องทาง C2 สำรอง สั่งลอยค้างหรือลงจอดที่จุดปลอดภัย และเก็บ log เป็นหลักฐาน

ตัวอย่างที่ 2 เวลาตรวจพบ ควบคุม และกู้คืน

บันทึกเหตุสมมติสี่เหตุจากการฝึกซ้อม (นาทีนับจากเหตุเริ่ม)

from statistics import mean, median

incidents = {                         # เริ่ม, ตรวจพบ, ควบคุมได้, กู้คืนเสร็จ
    "C2 injection drill": (0, 6, 14, 52),
    "GNSS anomaly on route 2": (0, 2, 5, 20),
    "server credential leak": (0, 15, 31, 95),
    "LTE outage at clinic 3": (0, 4, 9, 33),
}
detect = [d - s for s, d, c, r in incidents.values()]
contain = [c - d for s, d, c, r in incidents.values()]
recover = [r - d for s, d, c, r in incidents.values()]
for name, xs in (("time to detect", detect), ("detect to contain", contain), ("detect to recover", recover)):
    print(f"{name:<18} mean {mean(xs):6.2f} min  median {median(xs):5.1f} min  worst {max(xs)} min")

time to detect     mean   6.75 min  median   5.0 min  worst 15 min
detect to contain  mean   8.00 min  median   6.5 min  worst 16 min
detect to recover  mean  43.25 min  median  37.5 min  worst 80 min

ค่าเฉลี่ยถูกดึงขึ้นด้วยเหตุกุญแจเซิร์ฟเวอร์รั่วที่ใช้เวลานานที่สุด จึงควรรายงานค่ามัธยฐานและค่าที่แย่ที่สุดคู่กัน เหตุที่ตรวจพบช้าที่สุดเป็นเหตุที่ไม่มีกฎตรวจจับเฉพาะ จึงเป็นบทเรียนที่ต้องป้อนกลับไปเพิ่มการตรวจจับ