The MAL Simulator: Cyber Operations Simulation based on Attack & Defense Graphs
Het artikel introduceert de MAL Simulator, een flexibel platform voor cyberoperaties gebouwd op de Meta Attack Language dat het trainen en evalueren van geautomatiseerde offensieve en defensieve agenten mogelijk maakt, waarbij hun effectiviteit wordt aangetoond door middel van casestudy's in een geëmuleerde netwerkomgeving.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld is beveiliging vaak een kat-en-muisspel dat wordt gespeeld met de snelheid van het licht. Verdedigers bouwen muren en houden indringers in de gaten, terwijl aanvallers zoeken naar de kleinste barst om doorheen te glippen. Om zich voor te bereiden op deze gevechten, gebruiken onderzoekers computersimulaties, virtuele speeltuinen waar ze strategieën kunnen testen zonder echte systemen te riskeren. Het creëren van een realistische simulatie is echter moeilijk. Als de virtuele wereld te simpel is, zijn de geleerde lessen niet van toepassing op de complexe realiteit van moderne netwerken. Als het te rigide is, kan de software zich niet aanpassen aan nieuwe soorten computers of nieuwe soorten aanvallen. De uitdaging ligt in het bouwen van een simulator die flexibel genoeg is om elk systeem te modelleren, maar gestructureerd genoeg om kunstmatige intelligentie te leren hoe ze als een hacker of een bewaker moet denken.
Een team onderzoekers aan het KTH Koninklijk Instituut van Technologie in Zweden heeft deze uitdaging aangepakt door een nieuwe tool genaamd de MAL Simulator te ontwikkelen. Dit systeem is gebouwd op een fundament dat bekend staat als de Meta Attack Language, een gespecialiseerde manier om te beschrijven hoe computers, gebruikers en software met elkaar interageren. In plaats van elk mogelijk scenario hard te coderen, hebben de onderzoekers de simulator ontworpen om deze beschrijvingen te lezen. Dit betekent dat dezelfde kernsoftware gebruikt kan worden om een klein kantoornetwerk, een massaal cloudsysteem of een fabriekbesturingssysteem te simuleren, simpelweg door de beschrijving te wijzigen, zonder de onderliggende code te hoeven herschrijven. De onderzoekers gebruikten deze tool om twee soorten kunstmatige intelligentie-agenten te trainen: één die ontworpen is om het systeem aan te vallen en zwakheden te vinden, en een andere die ontworpen is om het te verdedigen.
Het team testte hun creatie in een gecontroleerde omgeving die een echt computernetwerk nabootste, compleet met servers, werkstations en de complexe verbindingen tussen hen. Ze creëerden dertig verschillende versies van dit netwerk, waarbij ze varieerden in het aantal computers en de lay-out van de verbindingen, om ervoor te zorgen dat de agenten algemene vaardigheden leerden in plaats van slechts één specifieke kaart te memoriseren. Het doel voor de aanvallende agent was om specifieke gevoelige gegevens te bereiken, terwijl de taak van de verdedigende agent was om de aanval te stoppen met de minste verstoring van het netwerk. In de echte wereld kan het uitschakelen van een server om een hacker te stoppen effectief zijn, maar het stopt ook de bedrijfsvoering, dus de verdediger moet precies werken.
Toen de onderzoekers de getrainde aanvallende agent aan de test onderwierpen, bleek deze aanzienlijk efficiënter dan traditionele computerzoekmethoden. Standaardalgoritmen, die vaak op een systematische maar blinde manier elke mogelijkheid controleren, duurden veel langer en maakten veel meer onnodige stappen om hun doel te bereiken. De getrainde agent, die had geleerd van duizenden gesimuleerde pogingen, wist precies welk pad het moest nemen om het systeem snel te compromitteren. Het kon zelfs omgaan met netwerkstructuren die het nog nooit eerder had gezien, wat aantoonde dat het de onderliggende logica van de aanval had geleerd in plaats van slechts een specifieke route. Dit suggereert dat kunstmatige intelligentie effectiever kan navigeren door complexe digitale omgevingen dan rigide, vooraf geprogrammeerde regels.
De resultaten voor de verdedigende agent waren genuanceerder en benadrukten een kritieke realiteit van cybersecurity. Wanneer de simulatie perfect was, waarbij de verdediger over duidelijke en nauwkeurige meldingen beschikte over elke beweging van de aanvaller, werkte een eenvoudige, op regels gebaseerde strategie net zo goed als de getrainde kunstmatige intelligentie. Echter, de echte wereld is zelden perfect. In de simulaties die "ruis" bevatten — waarbij de verdediger te maken kreeg met valse alarmen of echte incidenten miste, wat de verwarring van een echt netwerk nabootst — presteerde de getrainde agent beter dan de eenvoudige regels. De kunstmatige intelligentie leerde de ruis te negeren en zich te concentreren op de meest waarschijnlijke dreigingen, terwijl de eenvoudige regels gemakkelijk werden verward door de valse signalen. Deze bevinding suggereert dat hoewel basisregels kunnen werken onder ideale omstandigheden, intelligente systemen nodig zijn voor de rommelige, onzekere realiteit van de feitelijke cyberverdediging.
De meest onthullende test kwam toen de onderzoekers de getrainde aanvaller tegen de getrainde verdediger lieten spelen. In dit scenario daalde de prestatie van de verdediger aanzienlijk. De eenvoudige strategieën en de op regels gebaseerde agenten werden overweldigd door de snelheid en aanpassingsvermogen van de intelligente aanvaller. Zelfs de getrainde verdediger had moeite, wat aangeeft dat een verdedigingsstrategie die alleen gebouwd is tegen voorspelbare, tragere aanvallers, niet voldoende is om een geavanceerde, lerende tegenstander te stoppen. Deze uitkomst onderstreept een essentieel punt: om werkelijk robuuste verdedigingen te bouwen, moeten beveiligingssystemen getraind worden tegen tegenstanders die net zo slim en adaptief zijn als zijzelf. De onderzoekers ontdekten dat zonder dit soort adversariële training, verdedigingen er sterk uit kunnen zien in tests, maar kunnen falen wanneer ze geconfronteerd worden met een echte, intelligente dreiging.
De studie concludeert dat de MAL Simulator een krachtig platform biedt voor de ontwikkeling van deze geavanceerde agenten. Door onderzoekers in staat te stellen om gemakkelijk te schakelen tussen verschillende typen netwerken en aanvalsscenario's, helpt het hulpmiddel bij het creëren van kunstmatige intelligentie die flexibel en veerkrachtig is. Het werk laat zien dat hoewel we agenten kunnen bouwen die beter zijn dan huidige methoden in zowel het aanvallen als het verdedigen, de kloof tussen de twee constant verschuift. Naarmate aanvallers slimmer worden, moeten verdedigers in tandem evolueren. De onderzoekers hebben hun simulator en de tools om deze agenten te bouwen publiekelijk beschikbaar gemaakt, waarmee zij anderen uitnodigen om het werk voort te zetten van het trainen van systemen die onze digitale infrastructuur kunnen beschermen in een steeds complexere wereld.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.