WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Cet article présente WAFGen, un pipeline de réglage fin multi-LLM qui génère automatiquement des règles IDS et WAF syntaxiquement valides et rentables pour les principaux fournisseurs de cloud, atteignant une précision élevée et des réductions significatives des coûts de capacité AWS Web ACL par rapport aux bases de référence manuelles.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Le monde numérique s'est étendu bien au-delà des murs d'un seul bâtiment de bureaux. Aujourd'hui, les services critiques vivent dans le cloud, dispersés sur de vastes réseaux gérés par différentes entreprises. Pour garder ces systèmes en sécurité, les équipes de sécurité comptent sur des gardiens numériques connus sous le nom de pare-feu et de systèmes de détection d'intrusion. Ces outils agissent comme des videurs de boîte de nuit, vérifiant chaque donnée qui tente d'entrer. Si un visiteur semble suspect, le garde l'arrête. Mais pour ce faire, le garde a besoin d'une liste de ce qu'il doit rechercher. Les ingénieurs en sécurité doivent écrire ces listes, appelées règles, à la main. Ils traduisent les descriptions de nouvelles menaces en instructions techniques complexes que le logiciel peut comprendre. À mesure que l'internet grandit et que les menaces évoluent de plus en plus vite, l'écriture de ces règles à la main est devenue une tâche lente, coûteuse et sujette aux erreurs. Le volume considérable de différentes plateformes cloud signifie que les ingénieurs doivent souvent réécrire la même règle dans trois ou quatre langages différents juste pour protéger une seule application.
Une équipe de chercheurs de l'École de Technologie Supérieure et de l'Université du Québec à Trois-Rivières a développé une nouvelle façon d'automatiser ce processus. Ils ont créé un système appelé WAFGen, qui utilise l'intelligence artificielle avancée pour écrire ces règles de sécurité automatiquement. Au lieu de demander à un humain de traduire une description de menace en code, le système prend une description de danger en anglais courant et produit instantanément la règle technique correcte pour le fournisseur de cloud spécifique utilisé. Les chercheurs ont testé ce système contre trois grandes plateformes cloud : Amazon Web Services, Microsoft Azure et Cloudflare, ainsi que deux cadres de sécurité réseau traditionnels. Leur objectif était de voir si une intelligence artificielle pouvait apprendre la « grammaire » distincte de chaque plateforme suffisamment bien pour écrire des règles valides et fonctionnelles sans l'aide humaine.
Les chercheurs ont construit une immense bibliothèque d'entraînement contenant des milliers d'exemples de règles de sécurité provenant de tous les cinq systèmes cibles. Ils ont enseigné à quatre modèles d'IA différents comment reconnaître les motifs de ces règles. Pour s'assurer que l'IA ne se contentait pas de mémoriser les exemples mais apprenait véritablement la logique, ils ont testé deux stratégies d'entraînement différentes. Dans une approche, ils ont entraîné des modèles d'IA distincts pour chaque plateforme spécifique, espérant que la spécialisation mènerait à de meilleurs résultats. Dans l'autre approche, ils ont entraîné un seul modèle d'IA sur les cinq plateformes à la fois, le forçant à apprendre les différences entre elles simultanément. Ils ont ensuite mis ces modèles à l'épreuve en leur demandant de générer des règles pour de nouvelles menaces inédites et en vérifiant si les véritables fournisseurs de cloud les accepteraient.
Les résultats ont montré que les modèles d'IA réussissaient remarquablement bien à écrire des règles que les fournisseurs de cloud accepteraient. Lorsque les modèles généraient des règles pour les trois principales plateformes cloud, plus de 90 pour cent d'entre elles étaient syntaxiquement correctes et prêtes pour le déploiement. Le modèle le plus performant, un système à 7 milliards de paramètres, a atteint un taux de réussite de près de 96 pour cent sur la plateforme d'Amazon et de plus de 90 pour cent sur celle de Microsoft. Peut-être plus surprenant encore, les chercheurs ont constaté que le modèle unique entraîné sur toutes les plateformes à la fois performait aussi bien, voire mieux, que les modèles spécialisés entraînés sur une seule plateforme. Cela suggère qu'enseigner à l'IA à comprendre les différences entre les divers langages du cloud l'a aidée à éviter les erreurs, plutôt qu'à la confondre. Le système a également appris à garder les règles simples et efficaces. Dans l'environnement Amazon, où les règles complexes coûtent plus cher à exécuter, les règles générées par l'IA utilisaient une fraction infime du budget disponible, coûtant seulement environ 10 à 25 unités par règle contre des centaines pour les ensembles de règles gérés standards.
L'étude a également abordé une crainte courante concernant l'intelligence artificielle : qu'elle puisse inventer des instructions fausses ou dangereuses. Les chercheurs ont constaté que le système inventait rarement des commandes invalides. Lorsqu'il commettait une erreur, il s'agissait généralement d'une erreur de formatage mineure qui pouvait être détectée par une simple vérification avant que la règle ne soit jamais utilisée. Le système a été capable de gérer une grande variété de menaces, des attaques web courantes comme l'injection SQL aux menaces plus complexes pilotées par des bots. En intéant une étape de vérification des coûts directement dans le processus de génération, le système permet aux équipes de sécurité de savoir exactement combien coûtera une nouvelle règle avant même de la déployer. Cette capacité transforme la création de règles d'un jeu de devinettes en une opération précise et soucieuse du budget.
Bien que le système soit hautement efficace, les chercheurs ont noté qu'il fonctionne mieux avec des modèles d'IA plus larges. Les modèles plus petits et plus compacts ont eu du mal lorsqu'on leur demandait d'apprendre tous les différents langages du cloud à la fois, échouant souvent à produire des règles valides pour certaines plateformes. Cependant, pour les organisations qui doivent protéger leurs systèmes à travers plusieurs clouds, l'approche multiplateforme s'est avérée être la plus fiable. Ce travail démontre que l'intelligence artificielle peut désormais gérer la tâche complexe et fastidieuse de traduire les besoins de sécurité humains dans les langages techniques spécifiques requis par l'infrastructure cloud moderne. Cela ne remplace pas l'ingénieur en sécurité, mais le libère de la corvée du codage manuel, lui permettant de se concentrer sur la stratégie et l'analyse pendant que la machine s'occupe du gros du travail de génération de règles. Le code et les données derrière ce système sont désormais disponibles pour que d'autres puissent les utiliser et les améliorer, marquant une étape importante vers une sécurité cloud plus agile et rentable.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.