Kaedah Chris Sanders: siasat dahulu, baru jawab

Tanya AI mengapa sesuatu tidak kena, dan biasanya ia terus memberitahu anda dengan penuh yakin. Itulah masalahnya. Jawapan yang lancar kepada “kenapa imbangan duga tidak seimbang?” atau “adakah dua pelajar ini meniru?” boleh kedengaran muktamad walaupun tiada satu bukti pun yang telah disemak.

Doktor yang baik bekerja dengan cara berbeza. Dia mendengar simptom anda, menyemak punca yang biasa dahulu, membuat ujian yang boleh membuktikan tekaannya salah, dan memberitahu sejauh mana dia pasti. Chris Sanders, seorang penyiasat dan pendidik keselamatan, menerangkan disiplin yang sama untuk siasatan. Panduan ini menunjukkan cara meminta AI bekerja begitu.

✦

1

Idea dalam 30 saat

Perhati: adakah ia benar?

Pastikan masalah itu benar-benar wujud sebelum menjelaskannya.

Tonton penerangan 30 saat

Idea dalam 30 saat0:00 / 0:31

1. Perhati: adakah ia benar? Pastikan masalah itu benar-benar wujud sebelum menjelaskannya.
2. Sebut soalan dengan jelas Tulis dengan tepat apa yang anda cuba ketahui.
3. Saya percaya ___ kerana ___ Setiap tekaan menamakan buktinya. "Tiada apa yang salah" kekal dalam senarai.
4. Cuba buktikan diri anda salah Cari ujian yang boleh menolak setiap tekaan.
5. Nyatakan tahap keyakinan Rendah, sederhana atau tinggi, berserta apa yang belum diuji.
6. Siasat dahulu, baru jawab.

Intipati utama

Ingat perkara ini, walaupun anda lupa yang lain.

• Gunakan kaedah ini untuk masalah yang perlu didiagnosis: angka yang tidak sepadan, keputusan yang tidak masuk akal, aduan atau kecacatan yang tiba-tiba meningkat.
• Minta AI memberi tekaan “Saya percaya ___ kerana ___”, termasuk tekaan biasa bahawa tiada apa yang luar biasa berlaku, dan bukti yang boleh membuktikan setiap tekaan salah.
• Tegaskan tahap keyakinan. Tekaan yang yakin bukan satu dapatan.
• Sanders tidak mengajar cara menulis prompt AI. Jalan pintas prompt ini ialah amalan kami, jadi tuliskan peringkatnya dalam kad kaedah.

Panduan ini bersambung daripada prompt kaedah bernama. Jika anda belum membacanya, mulakan di sana: ia menerangkan mengapa nama seseorang boleh berfungsi sebagai prompt, dan di mana ia boleh tersilap.

Siapa Chris Sanders, dan apa yang kami pinjam

Chris Sanders ialah pendidik keselamatan maklumat dan penulis Practical Packet Analysis. Kajian kedoktorannya di Baylor University meneliti cara penganalisis forensik digital berfikir.

Beliau menamakan model cara penyiasat yang baik bekerja sebagai Diagnostic InquiryDiagnostic Inquiry (Inkuiri Diagnostik)Gelung Sanders: perhati, tanya, teka, uji, simpulkan.. Model ini menerangkan cara merapatkan jurang antara apa yang anda lihat dengan apa yang sebenarnya berlaku. Menurut beliau, prosesnya sama sama ada penganalisis sedang menyemak amaran keselamatan, mencari penceroboh dalam rangkaian atau membedah program berbahaya.

Pakar berbeza terutamanya kerana mereka mempunyai lebih banyak petua praktikalPetua praktikal yang memberitahu pakar apa yang perlu disemak seterusnya, seperti 'jika X, semak Y dahulu'.. Sanders memanggilnya heuristik. Akauntan berpengalaman juga mempunyainya: apabila imbangan duga tidak seimbang, ada beberapa semakan klasik yang mereka buat sebelum perkara lain.

Lima peringkat Diagnostic Inquiry

Ketik satu langkah, atau tekan Main untuk mengikuti satu siasatan.

Ulang sehingga bukti mencukupi

Ulang kitaran ini sehingga bukti cukup untuk satu kesimpulan: positif palsu, risiko yang diterima atau masalah yang disahkan.

Langkah 1 daripada 5

Pemerhatian

Sesuatu kelihatan pelik. Sebelum mengejarnya, tanya sama ada ia benar atau sekadar hingar dalam data.

Langkah 2 daripada 5

Soalan

Jadikan pemerhatian itu satu soalan jelas yang boleh anda sebut dengan kuat.

Langkah 3 daripada 5

Hipotesis

Buat tekaan yang boleh diuji, dan tulis sebagai “Saya percaya ___ kerana ___”.

Langkah 4 daripada 5

Jawapan

Cari bukti yang boleh membuktikan tekaan itu salah. Setiap jawapan biasanya menimbulkan soalan baharu, jadi kitaran berulang.

Langkah 5 daripada 5

Kesimpulan

Berhenti apabila bukti mencukupi, dan nyatakan tahap keyakinan anda. “Normal” juga kesimpulan yang sah.

Main

3Tulis setiap hipotesis sebagai

Saya percaya ___ kerana ___

Tidak dapat mengisi “kerana”? Syaki bias atau bukti yang belum ada.

H₀Biarkan hipotesis nol terbuka

Mungkin perkara yang disyaki tidak berlaku langsung. “Normal” ialah kesimpulan yang sah, malah selalunya yang paling biasa.

1. Pemerhatian. Sesuatu memulakan siasatan: amaran sistem, laporan daripada seseorang, atau angka yang kelihatan pelik. Semak dahulu. Adakah masalah itu sendiri benar?
2. Soalan. Tentukan apa yang anda cuba jawab. Soalan yang baik selalunya tentang hubungan: apa yang berubah, apa yang berkait, apa lagi yang berlaku pada masa yang sama.
3. Hipotesis. Cadangkan hipotesisHipotesisTekaan terbaik yang boleh diuji, seperti "kecacatan meningkat kerana pembekal baharu".: jawapan sementara yang boleh diuji.
4. Jawapan. Kumpul bukti yang menyokong dan menolaknya. Sanders menekankan usaha untuk menyangkal hipotesis, kerana itulah yang menghasilkan soalan yang lebih baik.
5. Kesimpulan. Nyatakan hasilnya, contohnya amaran palsu, risiko yang diterima atau masalah yang disahkan, dengan perkataan yang menunjukkan sejauh mana anda pasti.

Kitaran itu sama penting dengan peringkatnya. Setiap jawapan menimbulkan soalan baharu, dan anda mengulanginya sehingga bukti mencukupi.

Tabiat yang memastikan siasatan jujur

“Saya percaya ___ kerana ___”

Sanders mencadangkan satu pola ayat untuk menukar andaian tersembunyi kepada tekaan yang boleh diuji: Saya percaya ___ kerana ___. Ruang kosong kedua itulah ujiannya. Jika anda tidak dapat mengisi “kerana”, mungkin anda bergantung pada bias atau pengalaman yang anda tidak ada.

Bandingkan “seseorang di bahagian akaun cuai” dengan “Saya percaya bayaran RM620 dicatat di sebelah yang salah, kerana itu akan menjadikan jumlahnya berbeza tepat RM1,240”. Hanya yang kedua memberitahu anda apa yang perlu disemak.

Ia juga berfungsi di lantai kilang: “Saya percaya lot pes pateri baharu menyebabkan kecacatan, kerana kenaikan bermula pada hari Line 3 bertukar lot.”

Biarkan hipotesis nol terbuka

Sentiasa terima kemungkinan bahawa perkara yang anda syaki tidak berlaku. Inilah hipotesis nolHipotesis nolKemungkinan bahawa tiada apa yang luar biasa berlaku: penjelasan biasa yang perlu anda tolak dahulu.. Apabila imbangan duga tidak seimbang, hipotesis nolnya ialah kesilapan menaip biasa, bukan penipuan.

Dalam tulisan Sanders, “normal” ialah hasil yang sah, malah selalunya yang paling biasa. Siasatan yang tidak boleh berakhir dengan “tiada apa yang luar biasa berlaku” bukan siasatan. Ia hanya usaha mencari bukti untuk tuduhan.

Cuba sangkal, kemudian nilai keyakinan anda

Bukti yang bersetuju dengan anda mudah dicari. Bukti yang boleh membuktikan anda salah lebih bernilai, jadi carilah dengan sengaja.

Apabila membuat kesimpulan, nyatakan tahap keyakinanTahap keyakinanMenyatakan tahap keyakinan anda (rendah, sederhana, tinggi).: rendah, sederhana atau tinggi, berserta bukti yang menyokongnya dan apa yang belum diuji.

Soalan ialah unit teras

Sanders melihat keseluruhan siasatan sebagai satu soalan besar, dan setiap tindakan menjawab soalan yang lebih kecil. Menurut pemerhatian beliau, penyiasat sering bertindak berdasarkan soalan yang tidak pernah mereka lafazkan.

Membuka lejar sebenarnya bertanya “catatan mana yang dibuat selepas kali terakhir akaun seimbang?” Menyebut soalan dengan jelas dahulu memudahkan anda menyemak sama ada tindakan itu benar-benar menjawabnya.

Kerja terbaharunya tentang buku panduan siasatan (playbook) mengikut idea yang sama. Sesebuah playbook bermula daripada satu tanda amaran dan menyenaraikan soalan yang patut ditanya, berserta tempat mencari setiap jawapan. Ia menyokong pemikiran anda, bukan menggantikannya.

Diagnosis pembezaan: kuda dahulu, bukan zebra

Pada 2012, Sanders meminjam diagnosis pembezaanKaedah doktor: senaraikan kemungkinan punca simptom, kemudian tolak satu demi satu sehingga tinggal satu diagnosis. daripada bidang perubatan. Apabila terdengar bunyi tapak kaki kuda, fikirkan kuda, bukan zebra: semak penjelasan yang biasa dahulu. Berikut ialah penggunaannya pada imbangan duga kita.

✦

1

Diagnosis pembezaan: kes imbangan duga

Senaraikan simptom

Debit melebihi kredit sebanyak RM1,240. Ogos seimbang.

Tonton penerangan 30 saat

Diagnosis pembezaan: kes imbangan duga0:00 / 0:26

1. Senaraikan simptom Debit melebihi kredit sebanyak RM1,240. Ogos seimbang.
2. Punca biasa dahulu Digit tertukar? 1,240 ÷ 9 bukan nombor bulat, jadi mungkin bukan.
3. Senaraikan semua calon Sebelah salah, catatan tertinggal, akaun salah, bayaran tidak direkod.
4. Susun ikut keterukan Bayaran yang tidak direkod lebih serius daripada salah taip.
5. Tolak satu demi satu Separuh 1,240 ialah 620: adakah catatan RM620 di sebelah yang salah?

Dua semakan itu, membahagi dengan 9 dan membahagi dua perbezaan, ialah heuristik seorang akauntan. AI boleh menjalankannya untuk anda, tetapi hanya jika anda memintanya menyiasat, bukan sekadar “cari kesilapan”. Makmal di bawah membolehkan anda menyelesaikan kes ini sendiri.

Mengapa ini menambah baik output AI

Kecenderungan asal AI ialah menghasilkan jawapan yang munasabah dengan cepat. Ia jarang berkata “saya belum tahu lagi” melainkan anda memberinya ruang. Diagnostic Inquiry mengubah tugas itu dalam empat cara:

• AI menyatakan soalannya. Anda dapat melihat apa yang ia fikir menjadi masalah dan membetulkannya awal.
• Tekaannya didedahkan. “Saya percaya ___ kerana ___” menunjukkan bukti di sebalik setiap dakwaan, atau ketiadaannya.
• Ia mencari bukti yang menentangnya. Ia mesti menamakan apa yang boleh membuktikannya salah, iaitu perkara yang dilangkau oleh tekaan yang yakin.
• Kepastian menjadi tahap keyakinan. Anda mendapat “berkemungkinan, keyakinan sederhana, belum diuji: X” dan bukannya satu keputusan muktamad.

Sebelum: kaburSelepas: jelas

Portal pelajar kami mengalami lonjakan log masuk gagal pada Jumaat lepas. Log dilampirkan.

Gunakan kaedah Chris Sanders: Pemerhatian → Soalan → Hipotesis → Jawapan → Kesimpulan. Pastikan lonjakan itu benar dahulu. Nyatakan setiap soalan sebelum bertindak. Tulis hipotesis sebagai "Saya percaya ___ kerana ___" dan biarkan hipotesis nol terbuka. Cari bukti yang boleh menyangkal setiap satu. Akhiri dengan tahap keyakinan dan labelkan setiap pernyataan sebagai Disahkan atau Hipotesis.

Apa yang biasanya anda dapat

Semakan bahawa lonjakan itu benar, soalan utama dinyatakan, tiga penjelasan calon termasuk 'peristiwa biasa seperti tarikh akhir tukar kata laluan', bukti menyokong dan menolak setiap satu, dan kesimpulan dengan tahap keyakinan serta senarai perkara yang belum diuji.

Cara menggunakannya dengan AI

1. Jalan pintas ringkas

Versi paling cepat ialah baris yang ditambah oleh penulis kami, Mohd Fikri, pada promptPromptMesej atau arahan yang anda taip kepada AI. Prompt yang lebih baik biasanya menghasilkan jawapan yang lebih baik. beliau apabila tugas itu satu siasatan:

Siasat mengapa pendaftaran diploma kelas malam kami menurun semester ini. Data pendaftaran tiga tahun lepas dilampirkan.

Use Chris Sanders method to complete this task.

Cara ini bergantung pada AI mengenali nama itu. Beberapa orang terkenal berkongsi nama yang sama, dan alat AI yang berbeza mentafsirkannya secara berbeza. Itulah sebabnya langkah seterusnya penting.

2. Kad kaedah

Untuk hasil yang boleh dipercayai, tampal kad kaedah sekali sahaja: pada permulaan sembang, dalam arahan tersimpan alat anda, atau dalam fail projek ejen AIEjen AIAI yang melakukan kerja berbilang langkah untuk anda (merancang, membuka fail, menggunakan alat dan menyemak kerjanya), bukan sekadar membalas sekali.. Selepas itu, baris ringkas tadi membawa maksud yang sama bagi setiap alat AI dan setiap rakan sepasukan.

Kad kaedah: "kaedah Chris Sanders"
Apabila saya menulis "gunakan kaedah Chris Sanders", maksud saya ialah model Diagnostic Inquiry untuk siasatan oleh Chris Sanders, pendidik keselamatan maklumat.
1. Pemerhatian: pastikan pemerhatian itu benar sebelum menjelaskannya.
2. Soalan: nyatakan setiap soalan sebelum bertindak. Jawapan akan menimbulkan soalan baharu; ulang kitaran.
3. Hipotesis: tulis setiap satu sebagai "Saya percaya ___ kerana ___". Sentiasa sertakan hipotesis nol: perkara yang disyaki tidak berlaku.
4. Jawapan: cari bukti yang boleh menyangkal setiap hipotesis, bukan hanya bukti yang menyokongnya. Jika banyak punca mungkin, semak yang paling biasa dahulu, kemudian susun yang lain mengikut keterukan dan tolak satu demi satu.
5. Kesimpulan: nyatakan tahap keyakinan (rendah, sederhana atau tinggi). Labelkan setiap pernyataan sebagai Disahkan (daripada bukti yang saya beri) atau Hipotesis. Senaraikan apa yang belum diuji.
Jangan sekali-kali mereka bukti. Jika anda perlukan data yang tiada, minta daripada saya.

Gabungkan kad ini dengan taklimat AIM yang jelas: kad memberitahu AI bagaimana hendak bekerja, dan AIM memberitahunya apa yang perlu dikerjakan.

Untuk pembangun: butiran teknikalPilihan: langkau jika anda hanya menggunakan aplikasi sembang

• Letakkan kad kaedah dalam prompt sistemPrompt sistemArahan tetap yang ditetapkan sebelum perbualan bermula, seperti "sentiasa jawab dalam Bahasa Melayu". Ia terpakai pada setiap balasan. atau dalam fail arahan yang dibaca oleh ejen anda semasa bermula, supaya setiap larian menggunakan takrifan yang sama.
• Untuk siasatan yang ingin anda rekod atau bandingkan, minta output berstruktur dengan satu rekod bagi setiap hipotesis: statement, because, evidence_for, evidence_against, status (Confirmed atau Hypothesis) dan confidence (low, moderate atau high).
• Beri ejen akses baca sahaja kepada bukti. Siasatan tidak patut mengubah data yang sedang disiasat.

Berlatih dengan satu kes

Selesaikan dua kes. Pada setiap peringkat, pilih langkah yang paling kukuh. Pilihan yang salah akan menerangkan sebabnya, dan pada akhirnya makmal ini menukar siasatan anda kepada prompt siap guna dengan kad kaedah di dalamnya.

Interaktif

Makmal siasatan: selesaikan satu kes

0/3

Pilih satu kes. Pada setiap peringkat, ketik langkah terbaik. Jika anda memilih yang lebih lemah, baca sebabnya dan cuba lagi. Di akhir, anda akan mendapat prompt sedia untuk disalin.

Kecacatan Line 3Imbangan dugaLaporan serupa

1. Pemerhatian
2. 2Soalan
3. 3Hipotesis
4. 4Jawapan
5. 5Kesimpulan

Kadar kecacatan naik 4% di barisan pengeluaran Line 3

Sebuah kilang elektronik di Pulau Pinang. Anda jurutera kualiti.

Pemerhatian (telah disahkan)

Laporan pemeriksaan minggu ini menunjukkan kecacatan titian pateri (solder bridging) di Line 3 naik daripada 1.5% kepada 5.5%. Line 1 dan 2 tidak berubah. Anda telah menyemak bahawa tetapan pemeriksaan tidak berubah, jadi kenaikan itu benar.

Peringkat 2 · Soalan

Soalan manakah yang patut memandu siasatan?

ASiapa di Line 3 yang tidak mengikut prosedur?BApa yang berubah di Line 3, dan hanya di Line 3, sekitar masa kadar kecacatan naik?CBagaimana kita boleh menurunkan kadar kecacatan dengan cepat?

Contoh kerja di luar bidang keselamatan

Contoh-contoh ini ialah tafsiran kami terhadap model Sanders untuk bidang lain. Beliau tidak menulisnya.

Eksekutif akaun dengan imbangan duga yang tidak seimbang

Ini kes diagnosis pembezaan di atas, ditulis sebagai prompt. Perhatikan bahawa ia meminta soalan dan ujian, bukan “jawapannya”.

Imbangan duga kami bagi bulan September berbeza sebanyak RM1,240: debit melebihi kredit. Bulan Ogos seimbang. Senarai jurnal September dan eksport lejar am dilampirkan. Nama kakitangan telah diganti dengan kod.

Soalan utama: Catatan mana yang menjelaskan perbezaan RM1,240 itu?

Gunakan kaedah Chris Sanders (kad di atas). Sertakan hipotesis nol bahawa ini kesilapan menaip biasa, bukan transaksi yang tertinggal atau tidak wajar. Mulakan dengan semakan biasa: angka yang tertukar digit, amaun yang dicatat di sebelah yang salah, catatan sebelah sahaja. Bagi setiap hipotesis, namakan catatan yang perlu saya semak. Jangan ubah sebarang angka.

Penyelidik dengan dapatan yang bercanggah

Tinjauan anda menunjukkan pemilik PKS mempercayai alat AI, tetapi temu bual anda menunjukkan sebaliknya. Anggap percanggahan itu sebagai pemerhatian, bukan ralat yang perlu dilicinkan. Panduan AI untuk penyelidikan kami merangkumi aliran kerja yang lebih luas.

Tinjauan saya terhadap 210 pemilik PKS Malaysia menunjukkan kepercayaan yang tinggi terhadap alat AI, tetapi 12 temu bual saya menunjukkan rasa tidak percaya. Kedua-dua instrumen dan nota pengekodan saya dilampirkan.

Soalan utama: Mengapa dua sumber data ini tidak sepakat?

Gunakan kaedah Chris Sanders (kad di atas). Senaraikan sekurang-kurangnya empat hipotesis, termasuk hipotesis nol bahawa kedua-dua instrumen mengukur perkara yang berbeza dan sebenarnya tidak bercanggah. Bagi setiap satu, nyatakan bukti dalam data saya yang boleh menyangkalnya. Jangan reka petikan atau angka.

Pensyarah meneliti tanda persamaan

Laporan persamaan menandakan dua laporan makmal. Kaedah ini melindungi pelajar sama seperti ia melindungi kursus: hipotesis nol (templat bersama, petikan yang dirujuk, data kumpulan yang dibenarkan) mesti ditolak dengan bukti. Pensyarah, dan kemudian proses institusi, yang membuat keputusan.

Dua laporan makmal Tahun 2 berkongsi 38% teks yang sepadan. Nama dan nombor matrik telah dibuang. Taklimat tugasan membenarkan pengumpulan data berkumpulan tetapi mewajibkan laporan individu. Petikan yang sepadan dilampirkan.

Soalan utama: Apa sebenarnya yang bertindih, dan adakah sumber bersama yang sah menjelaskannya?

Gunakan kaedah Chris Sanders. Asingkan setiap petikan yang sepadan kepada: templat, petikan yang dirujuk, set data bersama, atau tidak dapat dijelaskan. Bagi petikan yang tidak dapat dijelaskan, cadangkan soalan neutral yang boleh saya tanya kepada setiap pelajar. Jangan simpulkan salah laku. Keputusan itu milik prosedur integriti akademik kami.

Kilang di Pulau Pinang dengan kecacatan yang meningkat

Seorang jurutera kualiti melihat kecacatan pateri meningkat di Line 3 sahaja. Semak punca biasa dahulu (lot bahan baharu atau tetapan yang berubah), senaraikan calon lain, susun mengikut kesannya kepada pelanggan, kemudian tolak satu demi satu melalui ujian. Makmal di atas menerangkan kes ini langkah demi langkah.

Uji kefahaman anda

Uji diri

Diagnostic Inquiry dalam lima soalan

1/5

Pilih satu jawapan, kemudian ketik Semak jawapan. Anda juga boleh guna kekunci anak panah untuk beralih antara jawapan.

Soalan 1 daripada 5: Tugas manakah yang paling sesuai untuk kaedah Chris Sanders?

AMerangka sepuluh soalan kuiz tentang penyata aliran tunaiBMencari sebab imbangan duga September berbeza RM1,240CMenukar nota mesyuarat pagi tadi kepada minit

Semak jawapan

Sumber

7

1. 1How analysts approach investigations (Diagnostic Inquiry), 2016 (dibuka dalam tab baharu)chrissanders.org
2. 2Questions in investigations, 2015 (dibuka dalam tab baharu)chrissanders.org
3. 3Differential diagnosis applied to network security monitoring, 2012 (dibuka dalam tab baharu)chrissanders.org
4. 4Infosec mental models: the investigation process, 2019 (dibuka dalam tab baharu)chrissanders.org
5. 5Human-centered investigation playbooks, 2025 (dibuka dalam tab baharu)chrissanders.org
6. 6Kursus Investigation Theory, Applied Network Defense (dibuka dalam tab baharu)networkdefense.co
7. 7Tentang Chris Sanders (dibuka dalam tab baharu)chrissanders.org

Syabas!

Pelajaran selesai

Anda telah sampai ke penghujung. Jawab kuiz di atas jika belum, untuk XP tambahan.

• 0 XP
• 0 hari berturut-turut