WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Este artículo presenta WAFGen, un flujo de trabajo de ajuste fino de múltiples LLM que genera automáticamente reglas de IDS y WAF sintácticamente válidas y rentables para los principales proveedores de la nube, logrando una alta precisión y reducciones significativas en los costos de capacidad de AWS Web ACL en comparación con las líneas base manuales.
Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
El mundo digital se ha expandido mucho más allá de las paredes de un solo edificio de oficinas. Hoy en día, los servicios críticos viven en la nube, dispersos por vastas redes gestionadas por diferentes empresas. Para mantener estos sistemas seguros, los equipos de seguridad dependen de guardias digitales conocidos como firewalls y sistemas de detección de intrusos. Estas herramientas actúan como porteros en un club, revisando cada pieza de datos que intenta entrar. Si un visitante parece sospechoso, el guardia lo detiene. Pero para hacer esto, el guardia necesita una lista de qué buscar. Los ingenieros de seguridad deben escribir estas listas, conocidas como reglas, a mano. Ellos traducen descripciones de nuevas amenazas en instrucciones técnicas complejas que el software pueda entender. A medida que el internet crece y las amenazas cambian más rápido, escribir estas reglas a mano se ha convertido en una tarea lenta, costosa y propensa a errores. El enorme volumen de diferentes plataformas en la nube significa que los ingenieros a menudo tienen que reescribir la misma regla en tres o cuatro lenguajes diferentes solo para proteger una única aplicación.
Un equipo de investigadores de la École de Technologie Supérieure y la Université du Québec à Trois-Rivières ha desarrollado una nueva forma de automatizar este proceso. Crearon un sistema llamado WAFGen, que utiliza inteligencia artificial avanzada para escribir estas reglas de seguridad automáticamente. En lugar de pedirle a un humano que traduzca la descripción de una amenaza en código, el sistema toma una descripción en lenguaje natural de un peligro e instantáneamente produce la regla técnica correcta para el proveedor de la nube específico que se esté utilizando. Los investigadores probaron este sistema contra tres de las principales plataformas en la nube: Amazon Web Services, Microsoft Azure y Cloudflare, así como dos marcos de seguridad de red tradicionales. Su objetivo era ver si una inteligencia artificial podía aprender la "gramática" distintiva de cada plataforma lo suficientemente bien como para escribir reglas válidas y funcionales sin ayuda humana.
Los investigadores construyeron una biblioteca de entrenamiento masiva que contenía miles de ejemplos de reglas de seguridad de todos los cinco sistemas objetivo. Enseñaron a cuatro modelos de IA diferentes a reconocer los patrones de estas reglas. Para asegurar que la IA no solo memorizara los ejemplos sino que realmente aprendiera la lógica, probaron dos estrategias de entrenamiento diferentes. En un enfoque, entrenaron modelos de IA separados para cada plataforma específica, con la esperanza de que la especialización condujera a mejores resultados. En el otro enfoque, entrenaron un único modelo de IA en las cinco plataformas a la vez, obligándolo a aprender las diferencias entre ellas simultáneamente. Luego pusieron estos modelos a prueba pidiéndoles que generaran reglas para nuevas amenazas no vistas y verificando si los proveedores de la nube reales las aceptarían.
Los resultados mostraron que los modelos de IA fueron notablemente exitosos al escribir reglas que los proveedores de la nube aceptarían. Cuando los modelos generaron reglas para las tres principales plataformas en la nube, más del 90 por ciento fueron sintácticamente correctas y estaban listas para su despliegue. El modelo con mejor desempeño, un sistema de 7 mil millones de parámetros, logró una tasa de éxito de casi el 96 por ciento en la plataforma de Amazon y más del 90 por ciento en la de Microsoft. Quizás de manera sorprendente, los investigadores encontraron que el modelo único entrenado en todas las plataformas funcionó tan bien como, y a menudo mejor que, los modelos especializados entrenados en una sola plataforma. Esto sugiere que enseñar a la IA a entender las diferencias entre los diversos lenguajes de la nube realmente la ayudó a evitar errores, en lugar de confundirla. El sistema también aprendió a mantener las reglas simples y eficientes. En el entorno de Amazon, donde las reglas complejas cuestan más dinero de ejecutar, las reglas generadas por la IA utilizaron una fracción mínima del presupuesto disponible, costando solo entre 10 y 25 unidades por regla en comparación con cientos para los conjuntos de reglas gestionadas estándar.
El estudio también abordó un temor común sobre la inteligencia artificial: que pudiera inventar instrucciones falsas o peligrosas. Los investigadores encontraron que el sistema rara vez inventaba comandos inválidos. Cuando cometía un error, solía ser un error de formato menor que podía detectarse mediante una verificación simple antes de que la regla fuera utilizada. El sistema fue capaz de manejar una amplia variedad de amenazas, desde ataques web comunes como la inyección SQL hasta amenazas más complejas impulsadas por bots. Al integrar un paso de verificación de costos directamente en el proceso de generación, el sistema permite que los equipos de seguridad sepan exactamente cuánto costará una nueva regla antes de que siquiera la desplieguen. Esta capacidad convierte la creación de reglas de un juego de adivinanzas en una operación precisa y consciente del presupuesto.
Si bien el sistema es altamente efectivo, los investigadores señalaron que funciona mejor con modelos de IA más grandes. Los modelos más pequeños y compactos tuvieron dificultades cuando se les pidió aprender todos los diferentes lenguajes de la nube a la vez, fallando a menudo al producir reglas válidas para ciertas plataformas. Sin embargo, para las organizaciones que necesitan proteger sus sistemas a través de múltiples nubes, el enfoque multiplataforma resultó ser el más confiable. El trabajo demuestra que la inteligencia artificial puede ahora manejar la tarea compleja y tediosa de traducir las necesidades de seguridad humanas a los lenguajes técnicos específicos requeridos por la infraestructura moderna en la nube. Esto no reemplaza al ingeniero de seguridad, sino que lo libera de la pesadez de la codificación manual, permitiéndole enfocarse en la estrategia y el análisis mientras la máquina se encarga del trabajo pesado de la generación de reglas. El código y los datos detrás de este sistema están ahora disponibles para que otros los usen y mejoren, marcando un paso significativo hacia una seguridad en la nube más ágil y rentable.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.