Fully Automated End-to-End Adversary Emulation from MITRE ATT\&CK Based Cyber Threat Intelligence Using LLMs
Dieses Paper stellt ein vollautomatisches End-to-End-Framework vor, das LLMs nutzt, um aus MITRE ATT&CK-konformen CTI-Berichten Caldera-Playbooks zu generieren, auszuführen und iterativ zu überarbeiten, wobei es bisherige State-of-the-Art-Systeme wie AURORA durch das Erreichen hoher Erfolgsraten bei der Ausführung mittels eines effektiven Fehlerbehebungsmechanismus signifikant übertrifft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die digitale Welt als eine riesige, geschäftige Stadt vor, in der Bösewichte ständig versuchen, in Banken einzubrechen, Geheimnisse zu stehlen oder Chaos zu stiften. Um diese Stadt sicher zu halten, müssen Sicherheitskräfte (Cyber-Verteidiger) genau wissen, wie diese Bösewichte denken und handeln. Aber hier ist der Haken: Die Bösewichte werden jeden Tag klüger, schneller und kreativer. Um dem einen Schritt voraus zu sein, müssen Verteidiger das Training gegen diese spezifischen, realen Angriffe üben. Dies wird „Adversary Emulation“ (Angreifer-Emulation) genannt. Es ist wie eine Feuerübung, aber anstelle von Rauch und Schläuchen verwenden sie digitale Simulationen, um zu sehen, ob ihre Sicherheitssysteme einen Hacker erkennen und stoppen können.
Das Problem ist, dass diese „Feuerübungen“ unglaublich schwer zu organisieren sind. Normalerweise muss ein menschlicher Experte einen langen, komplizierten Bericht über einen kürzlich erfolgten Cyberangriff lesen, genau herausfinden, was der Hacker getan hat, und dann manuell ein Skript schreiben, damit sein Computer genau dasselbe tut. Es ist, als würde man versuchen, eine komplexe Lego-Burg zu bauen, indem man eine Anleitung liest, die in einer Fremdsprache verfasst ist, und die Burg dann Stein für Stein mit geschlossenen Augen aufbaut. Das dauert ewig, kostet viel Geld und wenn man einen winzigen Fehler macht, bricht die ganze Burg zusammen. Diese Arbeit stellt eine große Frage: Können wir einem superintelligenten Computer (einer KI) beibringen, diese Berichte zu lesen, die Lego-Burg für uns zu bauen und sie sogar zu reparieren, falls sie umfällt – und das alles, ohne dass wir auch nur einen Finger rühren müssen?
Die Forscher in dieser Arbeit sagen: „Ja, das können wir!“ Sie haben ein vollautomatisches Robotersystem gebaut, das wie ein digitaler Meisterbauer fungiert. So funktioniert es: Zuerst liest das System einen echten Cyber-Bedrohungsbericht (was wie eine Geschichte über einen Hacker-Raubüberfall ist). Dann nutzt es ein leistungsstarkes KI-Gehirn, um diese Geschichte in eine Reihe von Anweisungen zu übersetzen, die ein „Playbook“ genannt werden. Denken Sie an dieses Playbook als an ein Rezept für einen Cyberangriff. Das System bereitet dieses Rezept dann in einer Testküche (einem isolierten Computernetzwerk) zu, um zu sehen, ob es funktioniert.
Aber hier liegt der magische Teil: In der Vergangenheit musste ein Mensch eingreifen, den Grund herausfinden und das Rezept umschreiben, falls das Rezept fehlschlug, weil der Ofen zu heiß war oder Zutaten fehlten. Dieses neue System wartet nicht auf einen Menschen. Wenn der Angriff fehlschlägt, schaut das System sofort auf den Fehler, errät, was schiefgelaufen ist (wie zum Beispiel „Hoppla, ich habe das falsche Passwort verwendet“ oder „Der Dateipfad fehlt“) und versucht, das Rezept von selbst zu korrigieren. Es probiert es immer wieder und passt die Anweisungen an, bis der Angriff reibungslos läuft.
Das Team testete dieses System an 11 verschiedenen realen Angriffsgeschichten. Sie fanden heraus, dass das System überraschend gut bei seiner Arbeit war. Wenn sie das beste KI-Modell verwendeten, das sie getestet haben (genannt Claude Sonnet 4.5), baute und führte das System die Angriffsrezepte in etwa 84 % der Fälle erfolgreich aus, nachdem es seine eigenen Fehler korrigiert hatte. Bevor das System mit dem Korrigieren begann, war es nur in etwa 70 % der Fälle erfolgreich. Das bedeutet, dass die „Selbstreparatur“-Funktion eine riesige Hilfe war und die Erfolgsquote um etwa 15 Prozentpunkte steigerte.
Die Forscher verglichen ihren Roboter-Baumeister auch mit dem derzeit besten von Menschen geleiteten System (genannt AURORA). Ihr Roboter war nicht nur vollautomatisch, sondern konnte auch detailliertere Angriffspläne erstellen und war erfolgreicher als der bisherige Champion. Er benötigte weniger als 200 Sekunden und nur etwa 35 Cent an Rechenleistung, um für jeden Bericht ein Playbook zu erstellen und zu korrigieren. Im Gegensatz dazu könnten Menschen Monate brauchen, um dieselbe Aufgabe manuell zu erledigen.
Die Arbeit legt nahe, dass dieser Ansatz ein bedeutender Schritt nach vorn ist, da er die Notwendigkeit beseitigt, den Prozess ständig von Menschen „babysitten“ zu lassen. Die Forscher weisen jedoch vorsichtig darauf hin, dass das System zwar beeindruckend, aber nicht perfekt ist. Manchmal ist die Umgebung einfach zu unterschiedlich von dem, was die KI erwartet hat, und der Roboter kann das Problem nicht beheben, egal wie sehr er es versucht. Aber für die überwiegende Mehrheit der Fälle beweist dieser „selbstheilende“ Roboter, dass wir den gesamten Prozess des Lernens aus vergangenen Angriffen und des Testens unserer Verteidigung gegen diese automatisieren können, was unsere digitalen Städte viel sicherer und unsere Sicherheitsteams viel effizienter macht.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.