Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
Aray è un sistema basato sulla deterministica che sintetizza artefatti benigni e non malevoli per validare le regole YARA, raggiungendo un tasso di successo del 97,6% nella generazione di fixture che corrispondono alle loro regole originali senza richiedere l'accesso ai campioni di malware sottostanti.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo della cybersecurity, i difensori si affidano a impronte digitali per individuare software pericolosi. Queste impronte, note come regole, descrivono schemi specifici di byte — piccoli pezzi di dati — che appaiono in programmi malevoli. Quando un computer scansiona un file e trova una corrispondenza, lancia un allarme. Tuttavia, sorge un problema significativo quando i team di sicurezza devono testare queste regole. Per dimostrare che una regola funziona, solitamente è necessario un vero pezzo di malware che la attivi. Ma conservare e spostare malware reale è pericoloso, costoso e spesso impossibile in ambienti sicuri dove l'accesso a Internet è bloccato o dove i dati devono essere conservati in caveau isolati. Ciò crea un collo di bottiglia: i team hanno le regole per catturare le minacce, ma non possono testarle in sicurezza senza rischiare proprio le minacce che cercano di contenere.
Un team di ricercatori ha sviluppato una soluzione che interrompe questo ciclo. Hanno creato uno strumento chiamato Aray, che funge da costruttore di file di test sicuri e innocui. Invece di cercare di ricreare un virus, Aray legge la descrizione di ciò che un virus sembra essere e costruisce un file completamente benigno che contiene solo i pattern specifici che la regola sta cercando. Immaginate una guardia di sicurezza che deve controllare se un metal detector funziona. Invece di portare una vera pistola al test, il che è rischioso e richiede permessi speciali, la guardia usa uno strumento per costruire una replica innocua di plastica che fa scattare l'allarme esattamente nello stesso modo. Aray fa questo per le regole digitali. Prende le istruzioni complesse per una firma di malware e assembla un file che soddisfa quelle istruzioni senza contenere il codice dannoso, i meccanismi di persistenza o i comportamenti pericolosi della minaccia originale.
I ricercatori hanno testato questo approccio su una vasta collezione di 416 regole di sicurezza pubbliche. Volevano vedere se lo strumento fosse in grado di costruire con successo un file di test per ogni regola senza dover toccare un singolo pezzo di malware reale. Il processo prevede due fasi principali. Primo, il sistema analizza la regola per capire di cosa ha bisogno. Alcune regole sono semplici e possono essere gestite interamente dal codice standard del computer. Altre sono più complesse, coinvolgendo pattern più difficili da definire. Per queste, il sistema utilizza un grande modello linguistico (LLM) — un tipo di intelligenza artificiale — per suggerire come semplificare la regola in qualcosa che possa essere costruito. Fondamentalmente, i ricercatori hanno progettato il sistema in modo che l'IA non scriva mai il file finale né acceda ai sistemi centrali del computer. L'IA offre solo suggerimenti, e il codice standard del computer verifica ogni suggerimento prima di costruire qualsiasi cosa. Ciò garantisce che l'IA non possa accidentalmente creare qualcosa di pericoloso o compromettere la sicurezza del sistema.
I risultati del test sono stati altamente soddisfacenti. Il sistema è riuscito a costruire file di test validi per 406 delle 416 regole, un tasso di successo di quasi il 98 percento. Le dieci regole che sono fallite non sono state dovute ad errori dello strumento, ma perché quelle specifiche regole richiedevano cose matematicamente impossibili da costruire, come un file che deve avere un particolare hash crittografico del suo intero contenuto, il quale non può essere falsificato. Per i 406 casi di successo, i ricercatori hanno verificato che i nuovi file attivassero effettivamente le regole di sicurezza originali durante la scansione. Ciò ha confermato che lo strumento aveva creato file funzionalmente equivalenti a quelli pericolosi ai fini del test, ma interamente sicuri da conservare, spostare e utilizzare in esercitazioni di disaster recovery.
Ciò che rende questo lavoro particolarmente significativo è come gestisce la relazione tra l'intelligenza artificiale e l'output finale. In molti sistemi moderni, l'IA è autorizzata a generare codice o file direttamente, il che può portare a risultati imprevedibili o insicuri. Aray prende una strada diversa. Tratta l'IA come un consulente che può solo proporre idee, mentre la costruzione effettiva è operata da programmi informatici rigidi e prevedibili che seguono regole strette. I ricercatori hanno persino impostato un controllo di sicurezza in cui l'IA gli è stato ordinato di connettersi a un server che non esisteva. Se l'IA avesse tentato di connettersi, il test sarebbe fallito immediatamente. Il sistema ha superato questo controllo perfettamente, dimostrando che l'IA non ha mai tentato di aggirare i confini di sicurezza durante l'intero processo. Questa separazione dei compiti permette al sistema di usare la creatività dell'IA per risolvere problemi difficili, mantenendo le parti pericolose del processo sotto un controllo rigoroso e deterministico.
Le implicazioni per le operazioni di sicurezza sono pratiche e immediate. Le organizzazioni che scansionano i file caricati sugli storage cloud o che devono testare i loro piani di disaster recovery possono ora farlo senza mantenere una libreria di virus vivi. Possono generare un file di test su richiesta, caricarlo in un ambiente di test e verificare che i loro sistemi di rilevamento funzionino correttamente. Se un sistema non rileva il file di test, il team sa di avere un problema con le proprie regole o con il proprio scanner, e può risolverlo prima che si verifichi un attacco reale. Ciò elimina la necessità di conservare malware pericoloso in ogni ambiente di test, riducendo il rischio di perdite accidentali e il costo di manutenzione di laboratori isolati e sicuri. Lo strumento non pretende di risolvere ogni possibile problema di sicurezza o di comprendere ogni sfumatura di ogni virus, ma fornisce un modo affidabile e verificabile per trasformare la descrizione di una minaccia digitale in un oggetto sicuro e testabile.
I ricercatori sono stati attenti a definire i limiti del loro lavoro. Non hanno dimostrato che il loro strumento potesse gestire ogni singolo tipo di regola di sicurezza esistente, né hanno sostenuto che i file creati siano le uniche versioni possibili di una corrispondenza. Invece, hanno dimostrato che per la stragrande maggioranza delle regole comuni, lo strumento può produrre in modo affidabile un "testimone" (witness) — un singolo file che prova che la regola funziona. Hanno anche mostrato che il processo è trasparente; ogni passaggio dalla regola originale al file finale può essere tracciato e verificato. Mantenendo l'IA in un ruolo di supporto e lasciando che il codice standard guidi la costruzione, hanno creato un sistema che è allo stesso tempo potente e sicuro. Questo approccio offre una nuova via per il testing della cybersecurity, permettendo ai team di validare le proprie difese con fiducia senza dover mai manipolare gli artefatti pericolosi che sono progettati per fermare.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.