WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Dit artikel introduceert WAFGen, een multi-LLM fine-tuning pipeline die automatisch syntactisch geldige en kostenefficiënte IDS- en WAF-regels genereert voor belangrijke cloudproviders, waarbij een hoge nauwkeurigheid en significante reducties in AWS Web ACL-capaciteitskosten worden bereikt vergeleken met handmatige baselines.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
De digitale wereld is ver buiten de muren van een enkel kantoorgebouw gegroeid. Vandaag de dag leven kritieke diensten in de cloud, verspreid over enorme netwerken die door verschillende bedrijven worden beheerd. Om deze systemen veilig te houden, vertrouwen beveiligingsteams op digitale bewakers die bekend staan als firewalls en intrusiedetectiesystemen. Deze tools fungeren als uitsmijters bij een club, waarbij ze elke stuk data controleren die probeert binnen te komen. Als een bezoeker verdacht lijkt, stopt de bewaker hem. Maar om dit te kunnen doen, heeft de bewaker een lijst nodig van waar hij op moet letten. Security engineers moeten deze lijsten, bekend als regels, met de hand schrijven. Zij vertalen beschrijvingen van nieuwe dreigingen naar complexe, technische instructies die de software kan begrijpen. Naarmate het internet groeit en dreigingen sneller veranderen, is het handmatig schrijven van deze regels een traag, duur en foutgevoelig proces geworden. De enorme hoeveelheid verschillende cloudplatforms zorgt ervoor dat engineers een regel vaak drie of vier keer in verschillende talen moeten herschrijven om slechts één enkele applicatie te beschermen.
Een team van onderzoekers aan de École de Technologie Supérieure en de Université du Québec à Trois-Rivières heeft een nieuwe manier ontwikkeld om dit proces te automatiseren. Ze hebben een systeem ontwikkeld genaamd WAFGen, dat geavanceerde kunstmatige intelligentie gebruikt om deze beveiligingsregels automatisch te schrijven. In plaats van een mens te vragen om een dreigingsbeschrijving te vertalen naar code, neemt het systeem een beschrijving in gewone Engelse taal van een gevaar en produceert direct de juiste technische regel voor de specifieke cloudprovider die wordt gebruikt. De onderzoekers testten dit systeem tegen drie grote cloudplatforms: Amazon Web Services, Microsoft Azure en Cloudflare, evenals tegen twee traditionele netwerkbeveiligingsframeworks. Hun doel was om te zien of een kunstmatige intelligentie de specifieke "grammatica" van elk platform goed genoeg kon leren om geldige, werkende regels te schrijven zonder menselijke hulp.
De onderzoekers bouwden een enorme trainingsbibliotheek met duizenden voorbeelden van beveiligingsregels van al deze vijf doelsystemen. Ze leerden vier verschillende AI-modellen de patronen van deze regels herkennen. Om te garanderen dat de AI de voorbeelden niet alleen uit het hoofd leerde maar ook echt de logica begreep, testten ze twee verschillende trainingsstrategieën. In één benadering trainden ze aparte AI-modellen voor elk specifief platform, in de hoop dat specialisatie tot betere resultaten zou leiden. In de andere benadering trainden ze één enkel AI-model op alle vijf de platforms tegelijk, waardoor het gedwongen werd om de verschillen tussen hen simultaan te leren. Vervolgens stelden ze deze modellen op de proef door ze regels te laten genereren voor nieuwe, ongeziene dreigingen en te controleren of de echte cloudproviders deze zouden accepteren.
De resultaten toonden aan dat de AI-modellen opmerkelijk succesvol waren in het schrijven van regels die de cloudproviders zouden accepteren. Wanneer de modellen regels genereerden voor de drie grote cloudplatforms, waren meer dan ent nu 90 procent syntactisch correct en klaar voor implementatie. Het best presterende model, een systeem met 7 miljard parameters, behaalde een succespercentage van bijna 96 procent op het platform van Amazon en meer dan 90 procent op dat van Microsoft. Misschien wel het meest verrassend was dat de onderzoekers ontdekten dat het enkele model dat op alle platforms tegelijk was getraind, net zo goed presteerde als, en vaak zelfs beter dan, de gespecialiseerde modellen die slechts op één platform waren getraind. Dit suggereert dat het de AI leren begrijpen van de verschillen tussen de diverse cloudtalen het helpen was om fouten te vermijden, in plaats van het te verwarren. Het systeem leerde ook om de regels simpel en efficiënt te houden. In de Amazon-omgeving, waar complexe regels meer geld kosten om uit te voeren, gebruikten de door AI gegenereerde regels slechts een fractie van het beschikbare budget, wat ongeveer 10 tot 25 eenheden per regel kostte, vergeleken met honderden voor standaard beheerde regelsets.
De studie pakte ook een veelvoorkomende angst over kunstmatige intelligentie aan: dat het nep- of gevaarlijke instructies zou verzinnen. De onderzoekers stelden vast dat het systeem zelden ongeldige commando's verzonnen. Wanneer het een fout maakte, was dit meestal een kleine formateringsfout die door een eenvoudige controle gevangen kon worden voordat de regel ooit werd gebruikt. Het systeem was in staat om een breed scala aan dreigingen aan te kunnen, van veelvoorkomende webaanvallen zoals SQL-injectie tot complexere, door bots gedreven dreigingen. Door een stap voor kostencontrole direct in het generatieproces te integreren, stelt het systeem beveiligingsteams in staat om precies te weten hoeveel een nieuwe regel zal kosten voordat ze deze zelfs maar implementeren. Deze capaciteit verandert de regelcreatie van een gokspel in een nauwkeurige, budgetbewuste operatie.
Hoewel het systeem zeer effectief is, merkten de onderzoekers op dat het het beste werkt met grotere AI-modellen. Kleinere, compactere modellen hadden moeite wanneer ze gevraagd werden om alle verschillende cloudtalen tegelijk te leren, en faalden vaak in het produceren van geldige regels voor bepaalde platforms. Echter, voor organisaties die hun systemen over meerdere clouds moeten beschermen, bleek de multi-platform benadering de meest betrouwbare te zijn. Het werk demonstreert dat kunstmatige intelligentie nu de complexe, tijdrovende taak kan afhandelen van het vertalen van menselijke beveiligingsbehoeften naar de specifieke technische talen die vereist zijn door moderne cloudinfrastructuur. Dit vervangt de security engineer niet, maar bevrijdt hen juist van het monotone handmatige programmeerwerk, waardoor zij zich kunnen concentreren op strategie en analyse terwijl de machine het zware werk van de regelgeneratie op zich neemt. De code en de data achter dit systeem zijn nu beschikbaar voor anderen om te gebruiken en te verbeteren, wat een belangrijke stap markeert naar een meer wendbare en kosteneffectieve cloudbeveiliging.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.