WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Questo articolo introduce WAFGen, una pipeline di fine-tuning multi-LLM che genera automaticamente regole IDS e WAF sintatticamente valide ed economicamente efficienti per i principali provider cloud, ottenendo un'elevata accuratezza e riduzioni significative dei costi di capacità di AWS Web ACL rispetto ai baseline manuali.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Il mondo digitale si è espanso ben oltre le mura di un singolo edificio per uffici. Oggi, i servizi critici vivono nel cloud, sparsi in vaste reti gestite da diverse aziende. Per mantenere sicuri questi sistemi, i team di sicurezza si affidano a guardie digitali note come firewall e sistemi di rilevamento delle intrusioni. Questi strumenti agiscono come bouncers in un club, controllando ogni pezzo di dato che tenta di entrare. Se un visitatore sembra sospetto, la guardia lo ferma. Ma per farlo, la guardia ha bisogno di una lista di cosa cercare. Gli ingegneri della sicurezza devono scrivere queste liste, note come regole, a mano. Traducono descrizioni di nuove minacce in istruzioni tecniche complesse che il software possa comprendere. Con la crescita di Internet e il cambiamento rapido delle minacce, scrivere queste regole a mano è diventato un compito lento, costoso e soggetto a errori. L'enorme volume di diverse piattaforme cloud significa che gli ingegneri devono spesso riscrivere la stessa regola in tre o quattro linguaggi diversi solo per proteggere una singola applicazione.
Un team di ricercatori dell'École de Technologie Supérieure e dell'Université du Québec à Trois-Rivières ha sviluppato un nuovo modo per automatizzare questo processo. Hanno creato un sistema chiamato WAFGen, che utilizza l'intelligenza artificiale avanzata per scrivere automaticamente queste regole di sicurezza. Invece di chiedere a un essere umano di tradurre la descrizione di una minaccia in codice, il sistema prende una descrizione in linguaggio naturale di un pericolo e produce istantaneamente la corretta regola tecnica per il particolare provider cloud utilizzato. I ricercatori hanno testato questo sistema contro tre grandi piattaforme cloud: Amazon Web Services, Microsoft Azure e Cloudflare, oltre a due framework di sicurezza di rete tradizionali. Il loro obiettivo era vedere se un'intelligenza artificiale potesse imparare la distinta "grammatica" di ogni piattaforma abbastanza bene da scrivere regole valide e funzionanti senza l'aiuto umano.
I ricercatori hanno costruito una massiccia libreria di addestramento contenente migliaia di esempi di regole di sicurezza da tutti e cinque i sistemi target. Hanno insegnato a quattro diversi modelli di IA a riconoscere i pattern di queste regole. Per garantire che l'IA non si limitasse a memorizzare gli esempi ma imparasse davvero la logica, hanno testato due diverse strategie di addestramento. In un approccio, hanno addestrato modelli di IA separati per ogni specifica piattaforma, sperando che la specializzazione portasse a risultati migliori. Nell'altro approccio, hanno addestrato un singolo modello di IA su tutte e cinque le piattaforme contemporaneamente, costringendolo a imparare le differenze tra loro simultaneamente. Hanno poi messo alla prova questi modelli chiedendo loro di generare regole per nuove minacce non viste e controllando se i veri provider cloud le accettassero.
I risultati hanno dimostrato che i modelli di IA sono stati straordinariamente efficaci nel scrivere regole che i provider cloud accetterebbero. Quando i modelli hanno generato regole per le tre principali piattaforme cloud, più del 90 percento di esse erano sintatticamente corrette e pronte per l'implementazione. Il modello con le prestazioni migliori, un sistema da 7 miliardi di parametri, ha raggiunto un tasso di successo di quasi il 96 percento sulla piattaforma di Amazon e oltre il 90 percento su quella di Microsoft. Forse in modo sorprendente, i ricercatori hanno scoperto che il singolo modello addestrato su tutte le piattaforme contemporaneamente performava altrettanto bene, e spesso meglio, dei modelli specializzati addestrati su una sola piattaforma. Ciò suggerisce che insegnare all'IA le differenze tra i vari linguaggi cloud l'abbia effettivamente aiutata a evitare errori, piuttosto che confonderla. Il sistema ha anche imparato a mantenere le regole semplici ed efficienti. Nell'ambiente Amazon, dove le regole complesse costano di più per essere eseguite, le regole generate dall'IA utilizzavano una frazione minima del budget disponibile, costando solo circa 10 a 25 unità per regola rispetto alle centinaia dei set di regole gestite standard.
Lo studio ha affrontato anche una paura comune riguardo all'intelligenza artificiale: che possa inventare istruzioni false o pericolose. I ricercatori hanno scoperto che il sistema raramente inventava comandi non validi. Quando commetteva un errore, si trattava solitamente di un errore di formattazione minore che poteva essere intercettato da un semplice controllo prima che la regola venisse mai utilizzata. Il sistema è stato in grado di gestire una vasta gamma di minacce, dagli attacchi web comuni come la SQL injection a minacce più complesse guidate da bot. Integrando un passaggio di controllo dei costi direttamente nel processo di generazione, il sistema permette ai team di sicurezza di sapere esattamente quanto costerà una nuova regola prima ancora di implementarla. Questa capacità trasforma la creazione di regole da un gioco d'azzardo a un'operazione precisa e consapevole del budget.
Sebbene il sistema sia altamente efficace, i ricercatori hanno notato che funziona meglio con modelli di IA più grandi. Modelli più piccoli e compatti hanno faticato quando sono stati chiamati a imparare tutti i diversi linguaggi cloud insieme, fallendo spesso nel produrre regole valide per certe piattaforme. Tuttavia, per le organizzazioni che devono proteggere i propri sistemi attraverso più cloud, l'approccio multi-piattaforma si è rivelato il più affidabile. Il lavoro dimostra che l'intelligenza artificiale può ora gestire il compito complesso e tedioso di tradurre le necessità di sicurezza umane nei linguaggi tecnici specifici richiesti dalle moderne infrastrutture cloud. Questo non sostituisce l'ingegnere della sicurezza, ma lo libera dalla fatica della codifica manuale, permettendogli di concentrarsi sulla strategia e l'analisi mentre la macchina si occupa del lavoro pesante della generazione delle regole. Il codice e i dati dietro questo sistema sono ora disponibili affinché altri possano usarli e migliorarli, segnando un passo significativo verso una sicurezza cloud più agile ed economica.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.