Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
Aray est un système axé sur le déterminisme qui synthétise des artefacts bénins et non malveillants pour valider les règles YARA, atteignant un taux de réussite de 97,6 % dans la génération de fixtures qui correspondent à leurs règles d'origine sans nécessiter l'accès aux échantillons de logiciels malveillants sous-jacents.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde de la cybersécurité, les défenseurs s'appuient sur des empreintes numériques pour repérer les logiciels dangereux. Ces empreintes, appelées règles, décrivent des motifs spécifiques d'octets — de minuscules morceaux de données — qui apparaissent dans les programmes malveillants. Lorsqu'un ordinateur scanne un fichier et trouve une correspondance, il déclenche une alerte. Cependant, un problème important surgit lorsque les équipes de sécurité doivent tester ces règles. Pour prouver qu'une règle fonctionne, elles ont généralement besoin d'un véritable échantillon de malware pour la déclencher. Mais stocker et déplacer de véritables malwares est dangereux, coûteux et souvent impossible dans des environnements sécurisés où l'accès à Internet est bloqué ou là où les données doivent être conservées dans des coffres-forts isolés. Cela crée un goulot d'étranglement : les équipes possèdent les règles pour capturer les menaces, mais elles ne peuvent pas les tester en toute sécurité sans risquer les menaces mêmes qu'elles tentent de contenir.
Une équipe de chercheurs a développé une solution qui brise ce cycle. Ils ont créé un outil appelé Aray, qui agit comme un constructeur de fichiers de test sûrs et inoffensifs. Au lieu d'essayer de recréer un virus, Aray lit la description de ce à quoi ressemble un virus et construit un fichier totalement bénin qui contient uniquement les motifs spécifiques que la règle recherche. Imaginez un garde qui doit vérifier si un détecteur de métaux fonctionne. Au lieu d'apporter une véritable arme pour le test, ce qui est risqué et nécessite des permis spéciaux, le garde utilise un outil pour construire une réplique en plastique inoffensive qui déclenche l'alarme exactement de la même manière. Aray fait cela pour les règles numériques. Il prend les instructions complexes d'une signature de malware et assemble un fichier qui satisfait ces instructions sans contenir le code dangereux, les mécanismes de persistance ou les comportements malveillants de la menace originale.
Les chercheurs ont testé cette approche sur une large collection de 416 règles de sécurité publiques. Ils voulaient voir si l'outil pouvait construire avec succès un fichier de test pour chaque règle sans jamais toucher à un seul morceau de véritable malware. Le processus comporte deux étapes principales. Premièrement, le système analyse la règle pour comprendre ce dont elle a besoin. Certaines règles sont simples et peuvent être gérées entièrement par le code standard de l'ordinateur. D'autres sont plus complexes, impliquant des motifs plus difficiles à cerner. Pour celles-ci, le système utilise un grand modèle de langage — un type d'intelligence artificielle — pour suggérer comment simplifier la règle afin qu'elle puisse être construite. Crucialement, les chercheurs ont conçu le système pour que l'IA n'ait jamais accès à l'écriture du fichier final ou aux systèmes de base de l'ordinateur. L'IA ne propose que des suggestions, et le code standard de l'ordinateur vérifie chaque suggestion avant de construire quoi que ce soit. Cela garantit que l'IA ne peut pas accidentellement créer quelque chose de dangereux ou compromettre la sécurité du système.
Les résultats du test ont été très concluants. Le système a réussi à construire des fichiers de test valides pour 406 des 416 règles, soit un taux de réussite de près de 98 pour cent. Les dix règles qui ont échoué ne l'étaient pas à cause d'erreurs de l'outil, mais parce que ces règles spécifiques demandaient des choses mathématiquement impossibles à construire, comme un fichier qui doit posséder un hachage cryptographique spécifique de son contenu total, ce qui ne peut pas être simulé. Pour les 406 cas réussis, les chercheurs ont vérifié que les nouveaux fichiers déclenchaient réellement les règles de sécurité originales lors du scan. Cela a confirmé que l'outil avait créé des fichiers fonctionnellement équivalents aux fichiers dangereux aux fins de test, mais qui étaient entièrement sûrs à stocker, à déplacer et à utiliser lors d'exercices de reprise après sinistre.
Ce qui rend ce travail particulièrement significatif est la façon dont il gère la relation entre l'intelligence artificielle et le résultat final. Dans de nombreux systèmes modernes, l'IA est autorisée à générer directement du code ou des fichiers, ce qui peut conduire à des résultats imprévisibles ou dangereux. Aray prend un chemin différent. Il traite l'IA comme un consultant qui peut seulement proposer des idées, tandis que la construction réelle est effectuée par des programmes informatiques rigides et prévisibles qui suivent des règles strictes. Les chercheurs ont même mis en place un contrôle de sécurité où l'IA a reçu l'ordre de se connecter à un serveur qui n'existe pas. Si l'IA tentait de sortir de ses limites, le test échouerait immédiatement. Le système a passé ce contrôle parfaitement, prouvant que l'IA n'a jamais tenté de contourner les limites de sécurité pendant tout le processus. Cette séparation des tâches permet au système d'utiliser la créativité de l'IA pour résoudre des problèmes difficiles tout en maintenant la partie dangereuse du processus sous un contrôle strict et déterministe.
Les implications pour les opérations de sécurité sont pratiques et immédiates. Les organisations qui scannent les fichiers téléchargés vers le stockage cloud ou celles qui doivent tester leurs plans de reprise après sinistre peuvent désormais le faire sans maintenir une bibliothèque de virus vivants. Elles peuvent générer un fichier de test sûr à la demande, le télécharger dans un environnement de test et vérifier que leurs systèmes de détection fonctionnent correctement. Si un système ne détecte pas le fichier de test, l'équipe sait qu'elle a un problème avec ses règles ou son scanner, et elle peut le corriger avant qu'une attaque réelle ne survienne. Cela élimine la nécessité de conserver des malwares dangereux dans chaque environnement de test, réduisant ainsi le risque de fuites accidentelles et le coût de maintenance de laboratoires isolés et sécurisés. L'outil ne prétend pas résoudre tous les problèmes de sécurité possibles ou comprendre chaque nuance de chaque virus, mais il fournit un moyen fiable et auditable de transformer la description d'une menace numérique en un objet sûr et testable.
Les chercheurs ont pris soin de définir les limites de leur travail. Ils n'ont pas prouvé que leur outil pouvait gérer chaque type de règle de sécurité existant, ni ils n'ont prétendu que les fichiers qu'il crée sont les seules versions possibles d'une correspondance. Au lieu de cela, ils ont démontré que pour une vaste majorité de règles communes, l'outil peut produire de manière fiable un témoin — un fichier unique qui prouve que la règle fonctionne. Ils ont également montré que le processus est transparent ; chaque étape, de la règle originale au fichier final, peut être tracée et vérifiée. En maintenant l'IA dans un rôle de soutien et en laissant le code standard piloter la construction, ils ont créé un système qui est à la fois puissant et sûr. Cette approche offre une nouvelle voie pour les tests de cybersécurité, permettant aux équipes de valider leurs défenses avec confiance sans jamais avoir à manipuler les artefacts dangereux qu'elles sont censées arrêter.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.