GenAI för cybersäkerhet - praktik kurs för proffs

Kurstrailern: Marco sammanfattar på under en minut vad det handlar om – hundratals varningar, oändliga loggar, rapporter utan slut och frågan om hur du ska klara av allt detta. Svaret: Du behöver inte längre klara det ensam. Logganalyser på sekunder, incidentrapporter med ett knapptryck, fungerande detektionsregler, samt massor av lektioner och över 50 prompts för omedelbar användning.

Innan du rör vid något verktyg, klargör du här den viktigaste frågan: Var ger generativ KI verkligt värde i säkerhetsarbetet – och var är den helt enkelt fel verktyg? Marco ställer logg-tolkning, sammanfattningar, dokumentation och skriptgenerering mot de hårda gränserna: riktig detektion i SIEM, automatiska incidentsbeslut utan människa, åtkomst till interna system. Vid Windows-händelse 4625 ser du live hur flera minuters Google-sökande blir några sekunder.

Här handlar det om frågan som säkerhetsproffsen bör ställa först: Var hamnar mina data egentligen? Du får jämförelsen mellan ChatGPT, Claude, Gemini, lokala modeller via Ollama och företagsvarianterna – var och en med fokus på träning, lagringstid och efterlevnad. Marco klickar sig steg för steg genom ChatGPT:s datakontroll och visar dig var du stänger av träningen med ditt innehåll.

80 % av resultatkvaliteten beror på prompten och inte på modellen – och just detta visar denna lektion smärtsamt ärligt. Du börjar med den klassiska nybörjar-prompten "Hjälp mig med ett säkerhetsproblem" och ser varför AI:n sedan bara frågar tillbaka. Därefter bygger du om den med fyra byggstenar – Roll, Kontext, Uppgift, Format – till en precis instruktion som verkligen ger användbara svar.

Tusentals evenemang per dag, och du ska hitta det ena brute-force-försöket – manuellt ett hopplöst företag. Marco går igenom evenemangs-ID:er som du borde kunna i sömnen (4624, 4625, 4688, 4720 och så vidare), filtrerar på misslyckade inloggningar och exporterar dem som CSV eller via PowerShell. Sedan överlämnar han datan till ChatGPT och får analysen på sekunder, som annars skulle ta dig timmar.

Event Logs visar vad som händer på slutpunkten – brandväggs- och proxylogs visar med vem den kommunicerar. Du lär dig känna igen de vanliga formaten (Squid, Blue Coat, Palo Alto) och förstår hur man känner igen C2-beaconing: regelbundna intervall med jitter, alltid samma mål, liknande datamängder, gärna på nätterna och under helgerna. Sedan låter du ChatGPT spåra exakt detta mönster i verkliga proxylogs.

300 varningar på morgonen, 500 fram till middag, och hälften är brus – men vilken hälft? Denna lektion bygger om ChatGPT till en triage-assistent, inklusive en färdig mall med roll, miljö, arbetstider och kritiska tillgångar. Med verkliga varningsformat från Splunk, Microsoft Sentinel och Elastic får du True/False Positives, prioritet P1 till P4 och en begriplig motivering.

Efter incidenten kommer den del som alla gärna vill hoppa över: dokumentera och dela. Du går igenom IOC-kategorierna – nätverk, värd, beteende – och lär dig vilka artefakter som verkligen har angriparkaraktär och vilka som bara är brus. I anonymiserade loggfiler från ett riktigt phishing-fall extraherar du med ChatGPT IOCs och kartlägger dem till MITRE ATT&CK, så att din rapport förstås världen över.

Tisdagsmorgon, 9:47: SIEM:et exploderar, helpdesk-telefonlinjen ringer, det ligger en lösenordsnot på filservern. Precis i det ögonblicket inträffar de flesta felen, och precis här börjar lektionen – ChatGPT inte som en ersättning för din kunskap, utan som en andrahjärna som ställer de frågor du glömmer i stress. Du simulerar hela processen från de första varningarna till besluten om inneslutning.

Playbooks har nästan varje team – oft föråldrade och dammiga någonstans i SharePoint. Du får först strukturen som ett användbart playbook behöver: metadata, triggers och scope, triage, containment, utrotning, återhämtning, post-incident och referenser. Därefter låter du ChatGPT fylla i ramen och anpassar den till din konkreta miljö på cirka 30 minuter.

Incidentet är över, alla andas ut – och så kommer den del som ingen gillar. Efter 48 timmars kontinuerlig drift är dina anteckningar kaotiska, tidsstämplar saknas, och ändå vill försäkringen, compliance och juridik ha en ren rapport. Här förvandlar du just detta anteckningskaos med ChatGPT till en strukturerad tidslinje och en färdig incidentrapport – på minuter istället för timmar.

Malware är identifierad, men vem ligger bakom, hur arbetar de – och vad kommer härnäst? Du lär dig de viktigaste OSINT-källorna, från Mandiant-, CrowdStrike- och Microsoft-rapporter till CISA och BSI samt MITRE ATT&CK Groups, Malpedia och Ransom-Wiki. Därefter aggregerar du materialet med ChatGPT till en Threat Intelligence-rapport och vet efter det var du specifikt stärker dina detektioner.

„Är det kritiskt? Måste vi patcha i natt?“ – frågan från CISO:n som du inte kan svara på enbart med en CVSS-poäng. Du arbetar igenom kärnfrågorna: Vad är sårbarheten, hur allvarlig är den egentligen (CVSS, EPSS, Temporal), finns det exploateringar i Exploit-DB, GitHub eller Metasploit, och är systemet ens tillgängligt för er? Med ChatGPT kommer du på minuter till ett datadrivet patchbeslut istället för att lita på magkänsla.

Tidigare betydde scripting: gräva igenom Stack Overflow, kopiera ihop snippets, och debugga i timmar. Idag levererar ChatGPT det första utkastet på sekunder – men AI-kod är inte automatiskt säker eller korrekt. Du får en prompt-mall med syfte, input, output, miljö, felhantering och säkerhetsföreskrifter och bygger tre skript för hotjakt, hårdningskontroll och incidentrespons.

Du har Threat Intelligence, IOCs och TTPs – men märker du ens när angreppet pågår? Denna lektion handlar om Sigma som en plattformsoberoende regelspråk: skriv en gång, och konvertera sedan till Splunk, Sentinel, Elastic, QRadar eller CrowdStrike. I det verkliga scenariot LSASS Credential Dumping genererar, testar och optimerar du din regel med ChatGPT.

I loggfilen finns användarnamn, e-postadresser, interna servernamn, ibland lösenord i klartext – och precis det vill du nu skicka till en extern tjänst. Denna lektion drar gränsen och visar dig per leverantör och plan, vem som tränar med dina data och hur länge de lagras. Dessutom får du konkreta regler, anonymiseringstekniker och det säkra alternativet med lokala modeller.

Obekväm sanning: Angripare använder samma verktyg som du, bara utan användarvillkor och utan etiska bromsar. Du ser hur AI tar phishing till en ny nivå – slut med stavfel och „Kära kund“ – och hur utvecklingen av malware, deepfakes och röstkloning accelereras. Målet är inte panik, utan förberedelse: Endast den som förstår offensiven försvarar effektivt.

Tänk dig att ChatGPT självförtroende kopplar en IP-adress till Lazarus-gruppen, ledningen blir orolig, externa forensiker tillkallas – och sedan var allt påhittat. Det här är en hallucination, och den kommer utan någon varning. Du lär dig varför LLM:er som textförutsägningsmaskiner producerar sådant och hur du systematiskt verifierar IOCs, CVE-detaljer och hotaktörsassocieringar innan du agerar.

Avslutningsvis handlar det om det som gärna går förlorat: Ansvar. Fyra pelare leder dig genom vardagen – Transparens, Ansvarighet, Skälighetsplikt och Proportionalitet – kompletterat med tydliga fall där du medvetet inte använder AI, till exempel vid juridiska frågor eller personalbeslut. Lärandets minnesregel: AI:s misstag är dina misstag om du inte granskar dem.

„Jag har ChatGPT, jag behöver inget annat“ – denna mening kostar dig tid varje dag. Varje modell har sina egna styrkor och svagheter: ChatGPT har svårigheter med realtidsforskning, Gemini med mycket långa dokument, Claude är stark i text, men inte designad för kontorsprocesser, och just där glänser Copilot. Denna lektion visar dig varför en multimodellstrategi inte är en lyx och hur du smart kan kombinera flera LLM:er.

Allroundern i detalj: ChatGPT som assistent som skriver texter, levererar idéer, bygger koncept och producerar kod. Marco går igenom styrkorna i den aktuella versionen – betydligt bättre kontextbearbetning, mycket naturlig skrivstil, enorm grundkunskap – och guidar dig genom gränssnittet och huvudfunktionerna. Efteråt vet du vad du använder ChatGPT till i säkerhetsarbetet och var en annan modell är det bättre valet.

200 sidor dokument, och du behöver på sekunder en precis sammanfattning – det här är Claudes hemmaplan. Modellen från Anthropic är designad för långa kontexter, långt över 100 000 token, och utmärker sig genom betydligt färre hallucinationer. För långa loggar, omfattande rapporter och dokumentationer är det precis den kombinationen du behöver.

Skriva mejl, bygga presentationer, sätta ihop Excel-tabeller – och det tar en evighet. Copilot sitter direkt i Word, Excel, PowerPoint, Outlook och Teams och tar hand om just detta tråkiga arbete, inklusive mötesprotokoll, från vilka du direkt kan dra sammanfattningar. Viktigt att veta: Allt detta är kopplat till Microsoft 365, de fristående kontorspaketen omfattas inte.

Klicka dig igenom tjugo webbplatser för ett enda klart svar – så behöver det inte vara. Perplexity är en AI-sökmotor som ger dig svaret och även källan, vilket är ovärderligt vid CVE-forskning och hårda fakta. Du ser den kostnadsfria varianten, dess begränsningar och för vad det lönar sig att byta.

Grok är Elon Musks xAI:s AI och är direkt integrerad i X, det tidigare Twitter. Fördelen ligger i realtidsåtkomst till inlägg, nyheter och trender – praktiskt när ett nytt hot just har börjat sprida sig och ännu inte finns i någon rapport. Marco tar dig genom ytan på xAI-sidan och visar var Grok verkligen är meningsfull i vardagen.

En inloggning, många modeller: Poe från Quora samlar ChatGPT, Claude, Gemini och fler i en enda yta. Det sparar dig från att jonglera med flera konton och gör direkt jämförelse enkelt – idealiskt om du vill ta reda på vilket modell som bäst löser din uppgift. Dessutom får du en översikt över poängsystemet och prissättning från den kostnadsfria planen till det stora abonnemanget.

KI-modeller som GPT-varianter eller Llama direkt på din egen dator, utan abonnemang och utan moln – det är vad LM Studio erbjuder. Skrivbordsappen för Windows, Mac och Linux laddar ner lokala språkmodeller och gör dem användbara med några få klick. För alla som måste analysera känsliga data är detta den rena lösningen: Vad som stannar på din dator hamnar inte heller i utländska träningsdata.

Om du vill ha full kontroll låter du modellen köra direkt på din dator. Ollama är öppen källkod, gratis och fungerar på Mac, Windows och Linux – med modeller som Llama, Mistral eller Phi direkt på din dator, utan internet och utan prenumeration. För konfidentiella analyser innebär detta: inga data lämnar din PC, ingen diskussion om träningsdata, inga dolda kostnader.

Efter alla verktyg kommer frågan som verkligen räknas i vardagen: Vilken modell ska jag använda för den här uppgiften? Du får en nybörjarregel som täcker ungefär 90 % – ChatGPT för texter, Claude för långa innehåll, Gemini för forskning, Copilot för kontorsuppgifter, Perplexity för fakta med källa. Därefter följer proffsigregeln för alla som regelbundet producerar eller automatiserar.

De flesta öppnar ChatGPT, skriver en prompt och hoppas - men det verkliga språnget ligger någon annanstans. Du använder modellerna som ett team: en forskar, en skriver, en granskar, en automatiserar. Konkret bygger du en fyra-modell arbetsflöde av Perplexity, Claude, ChatGPT och Gemini, med vilket du som enskild person arbetar som en hel redaktion.

Modulens avslutningslektion vänder på steken: Du behöver ingen enskild modell, du behöver ett system. Ditt upplägg kommer att byggas upp i tre nivåer, så att varje modell exakt tar det den är avsedd för - istället för att slumpmässigt skriva något någonstans. Resultatet blir en personlig AI-verktygslåda som gör att du arbetar snabbare och mer strukturerat varje dag.