WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Dieses Paper stellt WAFGen vor, eine Multi-LLM-Fine-Tuning-Pipeline, die automatisch syntaktisch valide und kosteneffiziente IDS- und WAF-Regeln für große Cloud-Anbieter generiert und dabei eine hohe Genauigkeit sowie signifikante Reduzierungen der AWS Web ACL-Kapazitätskosten im Vergleich zu manuellen Baselines erreicht.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die digitale Welt hat weit über die Wände eines einzelnen Bürogebäudes hinaus expandiert. Heute existieren kritische Dienste in der Cloud, verstreut über riesige Netzwerke, die von verschiedenen Unternehmen verwaltet werden. Um diese Systeme sicher zu halten, verlassen sich Sicherheitsteams auf digitale Wächter, die als Firewalls und Intrusion Detection Systems bekannt sind. Diese Werkzeuge fungieren wie Türsteher in einem Club, die jeden Datenfetzen prüfen, der versucht einzutreten. Wenn ein Besucher verdächtig aussieht, stoppt der Wächter ihn. Aber um dies tun zu können, benötigt der Wächter eine Liste dessen, wonach er suchen soll. Sicherheitsingenieure müssen diese Listen, bekannt als Regeln, von Hand schreiben. Sie übersetzen Beschreibungen neuer Bedrohungen in komplexe, technische Anweisungen, die die Software verstehen kann. Da das Internet wächst und sich Bedrohungen schneller ändern, ist das manuelle Schreiben dieser Regeln zu einer langsamen, teuren und fehleranfälligen Aufgabe geworden. Das schiere Volumen der verschiedenen Cloud-Plattformen bedeutet, dass Ingenieure eine Regel oft in drei oder vier verschiedenen Sprachen neu schreiben müssen, nur um eine einzige Anwendung zu schützen.
Ein Team von Forschern der École de Technologie Supérieure und der Université du Québec à Trois-Rivières hat einen neuen Weg entwickelt, um diesen Prozess zu automatisieren. Sie haben ein System namens WAFGen entwickelt, das fortschrittliche künstliche Intelligenz nutzt, um diese Sicherheitsregeln automatisch zu schreiben. Anstatt einen Menschen zu bitten, eine Bedrohungsbeschreibung in Code zu übersetzen, nimmt das System eine Beschreibung einer Gefahr in einfachem Englisch und erstellt sofort die korrekte technische Regel für den spezifischen genutzten Cloud-Anbieter. Die Forscher testeten dieses System gegen drei große Cloud-Plattformen: Amazon Web Services, Microsoft Azure und Cloudflare sowie gegen zwei traditionelle Netzwerk-Sicherheitsframeworks. Ihr Ziel war es zu sehen, ob eine künstliche Intelligenz in der Lage ist, die jeweils eigene „Grammatik“ jeder Plattform so gut zu erlernen, dass sie gültige, funktionierende Regeln ohne menschliche Hilfe schreibt.
Die Forscher bauten eine massive Trainingsbibliothek auf, die Tausende von Beispielen für Sicherheitsregeln aus allen fünf Zielsystemen enthielt. Sie brachten vier verschiedene KI-Modelle bei, die Muster dieser Regeln zu erkennen. Um sicherzustellen, dass die KI die Beispiele nicht nur auswendig lernte, sondern die Logik tatsächlich begriff, testeten sie zwei verschiedene Trainingsstrategien. In einem Ansatz trainierten sie separate KI-Modelle für jede spezifische Plattform, in der Hoffnung, dass Spezialisierung zu besseren Ergebnissen führen würde. Im anderen Ansatz trainierten sie ein einziges KI-Modell auf alle fünf Plattformen gleichzeitig, wodurch es gezwungen wurde, die Unterschiede zwischen ihnen simultan zu lernen. Sie stellten diese Modelle dann auf die Probe, indem sie sie baten, Regeln für neue, unbekannte Bedrohungen zu generieren, und prüften, ob die echten Cloud-Anbieter diese akzeptieren würden.
Die Ergebnisse zeigten, dass die KI-Modelle bemerkenswert erfolgreich darin waren, Regeln zu schreiben, die von den Cloud-Anbietern akzeptiert wurden. Wenn die Modelle Regeln für die drei großen Cloud-Plattformen generierten, waren mehr als 90 Prozent syntaktisch korrekt und bereit zur Bereitstellung. Das leistungsfähigste Modell, ein System mit 7 Milliarden Parametern, erreichte eine Erfolgsquote von fast 96 Prozent auf Amazons Plattform und über 90 Prozent auf Microsofts. Vielleicht am überraschendsten war die Erkenntnis der Forscher, dass das einzelne Modell, das auf alle Plattformen gleichzeitig trainiert wurde, genauso gut wie – und oft sogar besser als – die spezialisierten Modelle, die nur auf einer einzigen Plattform trainiert wurden, abschnitt. Dies deutet darauf hin, dass das Lehren der KI über die Unterschiede zwischen den verschiedenen Cloud-Sprachen ihr eher half, Fehler zu vermeiden, anstatt sie zu verwirren. Das System lernte auch, die Regeln einfach und effizient zu halten. In der Amazon-Umgebung, in der komplexe Regeln mehr Geld kosten, nutzte die KI-generierte Regel nur einen winzigen Bruchteil des verfügbaren Budgets und kostete etwa 10 bis 25 Einheiten pro Regel im Vergleich zu Hunderten für standardmäßige verwaltete Regelsätze.
Die Studie befasste sich auch mit einer häufigen Angst gegenüber künstlicher Intelligenz: dass sie gefälschte oder gefährliche Anweisungen erfinden könnte. Die Forscher fanden heraus, dass das System selten ungültige Befehle erfand. Wenn es einen Fehler machte, handelte es sich meist um einen geringfügigen Formatierungsfehler, der durch eine einfache Prüfung abgefangen werden konnte, bevor die Regel jemals verwendet wurde. Das System war in der Lage, eine breite Palette von Bedrohungen zu handhaben, von gängigen Web-Angriffen wie SQL-Injection bis hin zu komplexeren, Bot-gesteuerten Bedrohungen. Durch die Integration eines Kostenprüfschritts direkt in den Erstellungsprozess ermöglicht das System den Sicherheitsteams zu wissen, wie viel eine neue Regel kosten wird, noch bevor sie diese überhaupt bereitstellen. Diese Fähigkeit macht die Regelerstellung von einem Ratespiel zu einer präzisen, budgetbewussten Operation.
Obwohl das System hocheffektiv ist, merkten die Forscher an, dass es am besten mit größeren KI-Modellen funktioniert. Kleinere, kompaktere Modelle hatten Schwierigkeiten, wenn sie aufgefordert wurden, alle verschiedenen Cloud-Sprachen gleichzeitig zu lernen, und scheiterten oft daran, gültige Regeln für bestimmte Plattformen zu produzieren. Für Organisationen, die jedoch ihre Systeme über mehrere Clouds hinweg schützen müssen, erwies sich der Multi-Plattform-Ansatz als der zuverlässigste. Die Arbeit zeigt, dass künstliche Intelligenz nun in der Lage ist, die komplexe, mühsame Aufgabe der Übersetzung menschlicher Sicherheitsbedürfnisse in die spezifischen technischen Sprachen zu bewältigen, die moderne Cloud-Infrastrukturen erfordern. Dies ersetzt nicht den Sicherheitsingenieur, sondern befreit ihn von der Mühsal der manuellen Kodierung, sodass er sich auf Strategie und Analyse konzentrieren kann, während die Maschine die schwere Arbeit der Regelerstellung übernimmt. Der Code und die Daten hinter diesem System sind nun für andere verfügbar, um sie nutzen und verbessern zu können, was einen bedeutenden Schritt hin zu einer agileren und kosteneffizienteren Cloud-Sicherheit markiert.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.