Synthetic APTs: the Collapse of TTP-Based Attribution
Dit artikel betoogt dat door AI gedreven adversary emulation aantoont hoe het vermogen van agenten om defensieve tools dynamisch aan te passen en te wapenen de traditionele afhankelijkheid van statische tactieken, technieken en procedures (TTP's) voor het toeschrijven van cyberaanvallen aan specifieke dreigingsactoren ondermijnt, wat effectief de barrière doet instorten voor individuen om met capaciteiten op het niveau van natiestaten te opereren.
Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Het Grote Idee: Het "Digitale Masker"-probleem
Stel je voor dat je een detective bent die een dief probeert te vangen. In het verleden kon je de dief identificeren aan zijn handtekening: misschien gebruikte hij altijd een rode koevoet, kraakte hij altijd sloten aan de linkerkant en liet hij altijd een specifiek type modder op de vloer achter. In de cyberwereld worden deze handtekeningen TTP's genoemd (Tactics, Techniques, and Procedures). Als je ziet dat een hacker "Rode Koevoet #41" gebruikt, weet je dat het "Groep A" is.
Dit paper betoogt dat Kunstmatige Intelligentie (AI) dit systeem op het punt staat te breken.
De onderzoekers bouwden een digitale speeltuin (een "cyber range") en programmeerden AI-agenten om te handelen als vijf verschillende beroemde hackergroepen (zoals APT28, APT29, Lazarus, etc.). Vervolgens keken ze hoe deze AI-hackers tegen AI-verdedigers vochten.
Het Schokkende Resultaat: Hoewel de AI-agenten de opdracht kregen om zich als verschillende groepen te gedragen, begonnen ze de aanval allemaal op exact dezelfde manier. Ze gebruikten dezelfde tools, dezelfde scanmethoden en dezelfde toegangspunten. Het was alsof vijf verschillende mensen, met verschillende maskers op, allemaal via exact dezelfde achterdeur een bank binnenliepen, met exact dezelfde sleutel, en exact hetzelfde voetstapje achterlieten.
Omdat ze aan het begin allemaal hetzelfde waren, kan een menselijke detective (of een computer) niet langer zeggen: "Oh, dit is definitief Groep A." De "vingerafdruk" is vervaagd.
Het Experiment: Een Digitale "Oorlogsoefening"
De onderzoekers stelden twee verschillende "slagvelden" op om dit te testen:
- Het "Kantoorgebouw" (Enterprise Netwerk): Een standaard bedrijfsnetwerk met 20 computers. Het was relatief open, zoals een gebouw met onbeheerde zijdeuren.
- Het "Fort" (Militaire Infrastructuur): Een zeer beveiligd netwerk met twee aparte organisaties, zware firewalls en strikte beveiligingszones. Het was als een fort met meerdere lagen poorten.
Ze voerden in totaal 20 gevechten uit. In elk gevecht probeerde een AI-aanvaller (die deed alsof hij een van de 5 hackergroepen was) binnen te breken, terwijl een AI-verdediger probeerde hem te stoppen.
De Resultaten: Een Perfecte Splitsing
De uitkomst was ongelooflijk voorspelbaar, ongeacht welke "hackergroep" de AI nabootste:
- In het Kantoorgebouw: De AI-aanvallers wonnen altijd. Ze braken binnen en namen computers over (tussen de 2 en 12 van hen).
- In het Fort: De AI-verdedigers wonnen altijd (of het gevecht eindigde in een gelijkspel). De aanvallers kwamen de voordeur niet voorbij.
De Les: Het maakte niet uit of de AI deed alsof het een Russische spion, een Noord-Koreaanse dief of een Chinese hacker was. De indeling van het gebouw (het netwerkontwerp) was veel belangrijker dan de "persoonlijkheid" van de aanvaller. Als de deuren zwak waren, brak de AI binnen. Als de muren sterk waren, faalde de AI.
De "Grote Truc" die Attributie Brak
Het meest interessante deel van de studie gebeurde tijdens de gevechten in het "Kantoorgebouw".
De onderzoekers verwachtten dat de AI die "Groep A" nabootste, de speciale tools van "Groep A" zou gebruiken, en "Groep B" de tools van "Groep B". In plaats daarvan ontdekden alle AI-aanvallers onafhankelijk van elkaar dezelfde truc.
Ze ontdekten dat de verdedigers een beheerstool (genaamd Velociraptor) rond hadden laten liggen met een standaardwachtwoord.
- De AI-aanvallers hackten niet alleen de computers; ze kapten de eigen beveiligingstool van de verdediger.
- Ze maakten van de eigen beveiligingscamera van de verdediger hun eigen afstandsbediening (Command and Control).
- Ze gebruikten deze vertrouwde tool om zich door het netwerk te bewegen, onzichtbaar voor andere beveiligingsalarmen.
De Analogie: Stel je een inbreker voor die een huis binnendringt. In plaats van het slot te forceren, vindt hij de reservesleutel van de huiseigenaar onder de mat liggen. Nog erger: hij vindt de handleiding van het beveiligingssysteem van de bewoner, gebruikt de eigen beveiligingscode van de bewoner om de voordeur te openen, en gebruikt vervolgens de eigen beveiligingscamera van de bewoner om de politie te zien aankomen.
Waarom dit belangrijk is: Deze truc stond niet in de "draaiboeken" van de specifieke hackergroepen. Het was een nieuwe, gedeelde gedraging die alle AI-agenten zelfstandig hadden uitgevonden omdat ze allemaal hetzelfde onderliggende AI-brein gebruikten. Omdat ze allemaal exact hetzelfde deden, kon je niet meer zien welke "groep" verantwoordelijk was.
De Drie Belangrijkste Conclusies
De "Start" is voor Iedereen Dezelfde:
Wanneer AI-agenten een aanval starten, doen ze eerst allemaal dezelfde basisdingen (het netwerk scannen, wachtwoorden raden). Ze beginnen pas anders te handelen later in de aanval, als ze diep genoeg binnen zijn. Maar tegen die tijd hebben ze al een generieke vingerafdruk achtergelaten die op iedereen lijkt.De "Vingerafdruk" Vervaagt:
In het verleden kon je, als je een specifieke hacktechniek zag, zeggen: "Dit is definitief de Lazarus Group." Nu, als je die techniek ziet, kun je het niet meer zeker weten. Het zou de Lazarus Group kunnen zijn, of een andere groep die een AI gebruikt die net heeft uitgevonden dat dit de beste manier is om het te doen. De "handtekening" is niet langer uniek.Het Gebouw Is Belangrijker Dan de Inbreker:
De studie toonde aan dat het netwerkontwerp (hoe de computers met elkaar verbonden zijn en beschermd worden) het enige was dat bepaalde wie er won.- Als het netwerk zwak was (Kantoor), won de AI elke keer, ongeacht hoe "slim" de verdediger was.
- Als het netwerk sterk was (Fort), verloor de AI elke keer, zelfs als de aanvaller het meest krachtige AI-model ter wereld gebruikte.
- Kerninzicht: Een kleinere, goedkopere AI-verdediger kon net zo goed werk leveren als een enorme, dure, mits het netwerk veilig was gebouwd.
Conclusie: Wat Betekent Dit?
Het paper concludeert dat we een tijdperk betreden waarin attributie gebroken is.
In het verleden konden we een cyberaanvaller identificeren aan zijn "stijl". Nu, omdat AI geprogrammeerd kan worden om zich als iedereen te gedragen, en omdat AI de neiging heeft om dezelfde "beste" oplossingen voor problemen te vinden, gaan verschillende aanvallers identiek lijken.
Als een kwaadwillende een ander land een cyberaanval wil latenes framen, kan hij simpelweg een AI de opdracht geven om "als Groep X te handelen". De AI zal waarschijnlijk exact dezelfde "vingerafdruk" produceren als de echte Groep X, waardoor het onmogelijk wordt om te zien wie er werkelijk achter de aanval zit.
De laatste waarschuwing van het paper: We kunnen niet langer vertrouwen op "stijl" om cybercriminelen te vangen. We moeten vertrouwen op sterkere netwerkbarrières (segmentatie) en betere beveiligingshygiëne (zoals het wijzigen van standaardwachtwoorden), omdat de "digitale vingerafdrukken" niet langer betrouwbaar zijn.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.