Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
Aray ist ein deterministisch-orientiertes System, das harmlose, nicht-maliziöse Artefakte synthetisiert, um YARA-Regeln zu validieren, wobei es eine Erfolgsquote von 97,6 % bei der Generierung von Fixtures erreicht, die mit ihren ursprünglichen Regeln übereinstimmen, ohne dass ein Zugriff auf die zugrunde liegenden Malware-Proben erforderlich ist.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der Welt der Cybersicherheit verlassen sich Verteidiger auf digitale Fingerabdrücke, um gefährliche Software zu erkennen. Diese Fingerabdrücke, bekannt als Regeln, beschreiben spezifische Byte-Muster – winzige Datenstücke – die in bösartigen Programmen vorkommen. Wenn ein Computer eine Datei scannt und eine Übereinstimmung findet, schlägt er Alarm. Es entsteht jedoch ein erhebliches Problem, wenn Sicherheitsteams diese Regeln testen müssen. Um zu beweisen, dass eine Regel funktioniert, benötigen sie normalerweise ein echtes Stück Malware, um diese auszulösen. Das Speichern und Bewegen von tatsächlicher Malware ist jedoch gefährlich, teuer und oft unmöglich in sicheren Umgebungen, in denen der Internetzugang blockiert ist oder in denen Daten in isolierten Tresoren aufbewahrt werden müssen. Dies schafft einen Engpass: Teams haben die Regeln, um Bedrohungen abzufangen, aber sie können diese nicht sicher testen, ohne das Risiko einzugehen, genau die Bedrohungen zu gefährden, die sie eigentlich eindämmen wollen.
Ein Team von Forschern hat eine Lösung entwickelt, die diesen Kreislauf durchbricht. Sie entwickelten ein Tool namens Aray, das als Ersteller sicherer, harmloser Testdateien fungiert. Anstatt zu versuchen, ein Virus zu rekonstruieren, liest Aray die Beschreibung dessen, wie ein Virus aussieht, und konstruiert eine völlig harmlose Datei, die nur die spezifischen Muster enthält, nach denen die Regel sucht. Stellen Sie sich einen Sicherheitswachmann vor, der prüfen muss, ob ein Metalldetektor funktioniert. Anstatt für den Test eine echte Waffe mitzubringen, was riskant ist und spezielle Genehmigungen erfordert, benutzt der Wachmann ein Werkzeug, um ein harmloses Plastikmodell zu bauen, das den Alarm exakt auf die gleiche Weise auslöst. Aray macht dies für digitale Regeln. Es nimmt die komplexen Anweisungen für eine Malware-Signatur und setzt eine Datei zusammen, die diese Anweisungen erfüllt, ohne den schädlichen Code, die Persistenzmechanismen oder die gefährlichen Verhaltensweisen der ursprünglichen Bedrohung zu enthalten.
Die Forscher testeten diesen Ansatz an einer großen Sammlung von 416 öffentlichen Sicherheitsregeln. Sie wollten sehen, ob das Tool in der Lage wäre, für jede Regel eine Testdatei zu erstellen, ohne auch nur ein einziges Stück echter Malware berühren zu müssen. Der Prozess umfasst zwei Hauptphasen. Zuerst analysiert das System die Regel, um zu verstehen, was sie benötigt. Einige Regeln sind einfach und können vollständig durch den Standardcode des Computers gehandhabt werden. Andere sind komplexer und beinhalten Muster, die schwerer zu fassen sind. Für diese nutzt das System ein Large Language Model – eine Art künstliche Intelligenz – um vorzuschlagen, wie man die Regel vereinfachen kann, damit sie gebaut werden kann. Entscheidend ist, dass die Forscher das System so konzipiert haben, dass die KI niemals die endgültige Datei schreiben oder auf die Kernsysteme des Computers zugreifen kann. Die KI macht lediglich Vorschläge, und der Standardcode des Computers verifiziert jeden Vorschlag, bevor etwas gebaut wird. Dies stellt sicher, dass die KI nicht versehentlich etwas Gefährliches erstellen oder die Sicherheit des Systems beeinträchtigen kann.
Die Ergebnisse des Tests waren äußerst erfolgreich. Das System konnte für 406 von 416 Regeln gültige Testdateien konstruieren, was einer Erfolgsquote von fast 98 Prozent entspricht. Die zehn Regeln, die fehlschlugen, lagen nicht an Fehlern des Tools, sondern daran, dass diese spezifischen Regeln Dinge forderten, die mathematisch unmöglich zu bauen sind, wie zum Beispiel eine Datei, die einen spezifischen kryptografischen Hash ihres gesamten Inhalts haben muss, was nicht gefälscht werden kann. Für die 406 erfolgreichen Fälle verifizierten die Forscher, dass die neuen Dateien die ursprünglichen Sicherheitsregeln tatsächlich auslösten, wenn sie gescannt wurden. Dies bestätigte, dass das Tool Dateien erstellt hat, die für den Zweck des Testens funktional äquivalent zu den gefährlichen waren, aber völlig sicher zu speichern, zu bewegen und in Disaster-Recovery-Übungen zu verwenden sind.
Was diese Arbeit besonders bedeutsam macht, ist die Handhabung der Beziehung zwischen der künstlichen Intelligenz und dem endgültigen Output. In vielen modernen Systemen darf die KI Code oder Dateien direkt generieren, was zu unvorhersehbaren oder unsicheren Ergebnissen führen kann. Aray geht einen anderen Weg. Es behandelt die KI als Berater, der nur Ideen vorschlagen darf, während die eigentliche Konstruktion durch starre, vorhersehbare Computerprogramme erfolgt, die strengen Regeln folgen. Die Forscher richteten sogar eine Sicherheitsprüfung ein, bei der der KI gesagt wurde, eine Verbindung zu einem Server herzustellen, der nicht existiert. Wenn die KI versuchte, Kontakt aufzunehmen, wäre der Test sofort fehlgeschlagen. Das System bestand diese Prüfung perfekt und bewies damit, dass die KI während des gesamten Prozesses nicht versuchte, die Sicherheitsgrenzen zu umgehen. Diese Trennung der Aufgaben ermöglicht es dem System, die Kreativität der KI zur Lösung schwieriger Probleme zu nutzen und gleichzeitig die gefährlichen Teile des Prozesses unter strenger, deterministischer Kontrolle zu halten.
Die Auswirkungen auf den Sicherheitsbetrieb sind praktisch und unmittelbar. Organisationen, die Dateien scannen, die in Cloud-Speichern hochgeladen werden, oder die ihre Disaster-Recovery-Pläne testen müssen, können dies nun tun, ohne eine Bibliothek lebender Viren vorhalten zu müssen. Sie können auf Abruf eine sichere Testdatei generieren, sie in eine Testumgebung hochladen und verifizieren, dass ihre Erkennungssysteme korrekt funktionieren. Wenn ein System die Testdatei nicht erkennt, weiß das Team, dass es ein Problem mit seinen Regeln oder seinem Scanner hat, und es kann dies beheben, bevor ein echter Angriff erfolgt. Dies macht die Notwendigkeit überflüssig, in jeder Testumgebung gefährliche Malware vorhalten zu müssen, was das Risiko versehentlicher Lecks und die Kosten für die Wartung isolierter, sicherer Labore reduziert. Das Tool erhebt nicht den Anspruch, jedes mögliche Sicherheitsproblem zu lösen oder jede Nuance jedes Virus zu verstehen, aber es bietet einen zuverlässigen, prüfbaren Weg, eine digitale Bedrohungsbeschreibung in ein sicheres, testbares Objekt zu verwandeln.
Die Forscher waren sorgfältig darin, die Grenzen ihrer Arbeit zu definieren. Sie haben nicht bewiesen, dass ihr Tool jeden existierenden Typ von Sicherheitsregel handhaben kann, noch haben sie behauptet, dass die von ihm erstellten Dateien die einzigen möglichen Versionen eines Treffers sind. Stattdessen haben sie demonstriert, dass das Tool für eine große Mehrheit der gängigen Regeln zuverlässig einen „Witness“ (Zeugen) produzieren kann – eine einzelne Datei, die beweist, dass die Regel funktioniert. Sie haben auch gezeigt, dass der Prozess transparent ist; jeder Schritt von der ursprünglichen Regel bis zur endgültigen Datei kann nachverfolgt und verifiziert werden. Indem sie die KI in einer unterstützenden Rolle ließen und die Konstruktion durch Standardcode steuern ließen, haben sie ein System geschaffen, das sowohl leistungsstark als auch sicher ist. Dieser Ansatz bietet einen neuen Weg für das Testen der Cybersicherheit, der es Teams ermöglicht, ihre Verteidigung mit Zuversicht zu validieren, ohne jemals die gefährlichen Artefakte handhaben zu müssen, die sie eigentlich stoppen sollen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.