Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
Aray is een deterministisch-georiënteerd systeem dat onschadelijke, niet-malafide artefacten synthetiseert om YARA-regels te valideren, waarbij een succespercentage van 97,6% wordt behaald bij het genereren van fixtures die overeenkomen met hun oorspronkelijke regels zonder toegang te vereisen tot de onderliggende malware-samples.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de wereld van cybersecurity vertrouwen verdedigers op digitale vingerafdrukken om gevaarlijke software op te sporen. Deze vingerafdrukken, bekend als regels, beschrijven specifieke patronen van bytes—kleine stukjes data—die voorkomen in kwaadaardige programma's. Wanneer een computer een bestand scant en een match vindt, slaat hij alarm. Er ontstaat echter een aanzienlijk probleem wanneer beveiligingsteams deze regels moeten testen. Om te bewijzen dat een regel werkt, hebben ze meestal een echt stuk malware nodig om deze te triggeren. Maar het opslaan en verplaatsen van echte malware is gevaarlijk, duur en vaak onmogelijk in beveiligde omgevingen waar internettoegang geblokkeerd is of waar gegevens in geïsoleerde kluizen moeten worden bewaard. Dit creëert een knelpunt: teams hebben de regels om dreigingen te vangen, maar ze kunnen deze niet veilig testen zonder de zeer dreigingen te riskeren die ze juist proberen te beheersen.
Een team onderzoekers heeft een oplossing ontwikkeld die deze cirkel doorbreekt. Ze hebben een tool ontwikkeld genaamd Aray, die fungeert als een bouwer van veilige, onschadelijke testbestanden. In plaats van te proberen een virus te recreëren, leest Aray de beschrijving van hoe een virus eruitziet en construeert het een volledig onschadelijk bestand dat alleen de specifieke patronen bevat waar de regel naar op zoek is. Stel je een beveiligingsbeambte voor die moet controleren of een metaaldetector werkt. In plaats van een echt vuurwapen mee te nemen voor de test, wat risicovol is en speciale vergunningen vereist, gebruikt de beambte een hulpmiddel om een onschadelijk plastic replica te bouwen die het alarm op precies dezelfde manier triggert. Aray doet dit voor digitale regels. Het neemt de complexe instructies voor een malware-signatuur en assembleert een bestand dat aan die instructies voldoet, zonder de schadelijke code, persistentiemechanismen of gevaarlijke gedragingen van de oorspronkelijke dreiging te bevatten.
De onderzoekers testten deze aanpak op een grote collectie van 416 publieke beveiligingsregels. Ze wilden zien of de tool erin slaagde om voor elke regel een testbestand te bouwen zonder ook maar één stuk echte malware aan te raken. Het proces bestaat uit twee hoofdfasen. Eerst analyseert het systeem de regel om te begrijpen wat deze nodig heeft. Sommige regels zijn eenvoudig en kunnen volledig door de standaard code van de computer worden afgehandeld. Andere regels zijn complexer en bevatten patronen die moeilijker vast te leggen zijn. Voor deze regels gebruikt het systeem een large language model—een type kunstmatige intelligentie—om suggesties te doen over hoe de regel vereenvoudigd kan worden zodat deze gebouwd kan worden. Cruciaal is dat de onderzoekers het systeem zo hebben ontworpen dat de AI nooit het uiteindelijke bestand mag schrijven of toegang krijgt tot de kernsystemen van de computer. De AI doet alleen suggesties, en de standaard code van de computer verifieert elke suggestie voordat er iets wordt gebouwd. Dit zorgt ervoor dat de AI niet per ongeluk iets gevaarlijks kan creëren of de veiligheid van het systeem kan breken.
De resultaten van de test waren zeer succesvol. Het systeem slaagde erin om voor 406 van de 416 regels geldige testbestanden te construeren, een succespercentage van bijna 98 procent. De tien regels die faalden, kwamen niet door fouten in de tool, maar omdat die specifieke regels zaken vroegen die wiskundig gezien onmogelijk te bouwen zijn, zoals een bestand dat een specifieke cryptografische hash van de volledige inhoud moet hebben, wat niet gefaket kan worden. Voor de 406 succesvolle gevallen hebben de onderzoekers geverifieerd dat de nieuwe bestanden de oorspronkelijke beveiligingsregels daadwerkelijk triggerden wanneer ze werden gescand. Dit bevestigde dat de tool bestanden creëerde die functioneel gelijkwaardig waren aan de gevaarlijke bestanden voor het doel van testen, maar die volledig veilig zijn om op te slaan, te verplaatsen en te gebruiken in disaster recovery-oefeningen.
Wat dit werk bijzonder significant maakt, is hoe het de relatie tussen de kunstmatige intelligentie en de uiteindelijke output afhandelt. In veel moderne systemen mag AI direct code of bestanden genereren, wat kan leiden tot onvoorspelbare of onveilige resultaten. Aray kiest een ander pad. Het behandelt de AI als een consultant die alleen ideeën mag voorstellen, terwijl de werkelijke constructie wordt uitgevoerd door rigide, voorspelbare computerprogramma's die strikte regels volgen. De onderzoekers hebben zelfs een veiligheidscontrole ingesteld waarbij de AI de opdracht kreeg verbinding te maken met een server die niet bestond. Als de AI probeerde contact op te nemen, zou de test onmiddellijk falen. Het systeem slaagde perfect voor deze controle, wat bewees dat de AI tijdens het hele proces nooit probeerde de veiligheidsgrenzen te omzeilen. Deze scheiding van taken maakt het mogelijk om de creativiteit van AI te gebruiken om moeilijke problemen op te lossen, terwijl de gevaarlijke delen van het proces onder strikte, deterministische controle blijven.
De implicaties voor security operations zijn praktisch en onmiddellijk. Organisaties die bestanden scannen die naar cloudopslag worden geüpload, of die hun disaster recovery-plannen moeten testen, kunnen dit nu doen zonder een bibliotheek van live virussen te hoeven onderhouden. Ze kunnen op aanvraag een veilig testbestand genereren, het naar een testomgeving uploaden en verifiëren dat hun detectiesystemen correct werken. Als een systeem het testbestand niet detecteert, weet het team dat er een probleem is met hun regels of hun scanner, en kunnen ze dit oplossen voordat een echte aanval plaatsvindt. Dit elimineert de noodzaak om gevaarlijke malware in elke testomgeving te bewaren, wat het risico op accidentele lekken vermindert en de kosten voor het onderhouden van geïsoleerde, veilige labs drukt. De tool beweert niet elk mogelijk beveiligingsprobleem op te lossen of elke nuance van elk virus te begrijpen, maar het biedt een betrouwbare, controleerbare manier om een digitale dreigingsbeschrijving om te zetten in een veilig, testbaar object.
De onderzoekers waren zorgvuldig in het definiëren van de grenzen van hun werk. Ze beweerden niet dat hun tool elk denkbaar type beveiligingsregel aan kan, noch claimden ze dat de door hen gecreëerde bestanden de enige mogelijke versies van een match zijn. In plaats daarvan hebben ze aangetoond dat de tool voor een grote meerderheid van de veelvoorkomende regels betrouwbaar een 'witness' kan produceren—een enkel bestand dat bewijst dat de regel werkt. Ze hebben ook aangetoond dat het proces transparant is; elke stap van de oorspronkelijke regel naar het uiteindelijke bestand kan worden getraceerd en geverifieerd. Door de AI een ondersteende rol te geven en de constructie door standaard code te laten leiden, hebben ze een systeem gecreëerd dat zowel krachtig als veilig is. Deze aanpak biedt een nieuwe weg voorwaarts voor cybersecurity-testen, waardoor teams hun verdediging met vertrouwen kunnen valideren zonder ooit de gevaarlijke artefacten te hoeven hanteren waar ze tegen ontworpen zijn.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.