Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
O Aray é um sistema de prioridade determinística que sintetiza artefatos benignos e não maliciosos para validar regras YARA, alcançando uma taxa de sucesso de 97,6% na geração de fixtures que correspondem às suas regras originais sem exigir o acesso às amostras de malware subjacentes.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
No mundo da cibersegurança, os defensores dependem de impressões digitais digitais para detectar softwares perigosos. Essas impressões digitais, conhecidas como regras, descrevem padrões específicos de bytes — pequenos pedaços de dados — que aparecem em programas maliciosos. Quando um computador faz a varredura de um arquivo e encontra uma correspondência, ele levanta um alarme. No entanto, um problema significativo surge quando as equipes de segurança precisam testar essas regras. Para provar que uma regra funciona, elas geralmente precisam de uma peça real de malware para acioná-la. Mas armazenar e mover malware real é perigoso, caro e muitas vezes impossível em ambientes seguros onde o acesso à internet é bloqueado ou onde os dados devem ser mantidos em cofres isolados. Isso cria um gargalo: as equipes têm as regras para capturar ameaças, mas não podem testá-las com segurança sem arriscar as próprias ameaças que estão tentando conter.
Uma equipe de pesquisadores desenvolveu uma solução que quebra esse ciclo. Eles criaram uma ferramenta chamada Aray, que atua como um construtor de arquivos de teste seguros e inofensivos. Em vez de tentar recriar um vírus, o Aray lê a descrição do que um vírus parece ser e constrói um arquivo completamente benigno que contém apenas os padrões específicos que a regra está procurando. Imagine um segurança que precisa verificar se um detector de metais funciona. Em vez de trazer uma arma real para o teste, o que é arriscado e exige permissões especiais, o segurança usa uma ferramenta para construir uma réplica de plástico inofensiva que aciona o alarme exatamente da mesma forma. O Aray faz isso para regras digitais. Ele pega as instruções complexas de uma assinatura de malware e monta um arquivo que satisfaz essas instruções sem conter o código prejudicial, mecanismos de persistência ou comportamentos perigosos da ameaça original.
Os pesquisadores testaram essa abordagem em uma grande coleção de 416 regras de segurança públicas. Eles queriam ver se a ferramenta conseguiria construir com sucesso um arquivo de teste para cada regra sem precisar tocar em uma única peça de malware real. O processo envolve duas etapas principais. Primeiro, o sistema analisa a regra para entender o que ela precisa. Algumas regras são simples e podem ser tratadas inteiramente pelo código padrão do computador. Outras são mais complexas, envolvendo padrões que são mais difíceis de definir. Para estas, o sistema utiliza um grande modelo de linguagem — um tipo de inteligência artificial — para sugerir como simplificar a regra em algo que possa ser construído. Crucialmente, os pesquisadores projetaram o sistema para que a IA nunca chegue a escrever o arquivo final ou acesse os sistemas centrais do computador. A IA apenas oferece sugestões, e o código padrão do computador verifica cada sugestão antes de construir qualquer coisa. Isso garante que a IA não possa acidentalmente criar algo perigoso ou quebrar a segurança do sistema.
Os resultados do teste foram altamente bem-sucedidos. O sistema conseguiu construir arquivos de teste válidos para 406 de 416 regras, uma taxa de sucesso de quase 98 por cento. As dez regras que falharam não foram devido a erros na ferramenta, mas porque aquelas regras específicas pediam coisas que são matematicamente impossíveis de construir, como um arquivo que deve ter um hash criptográfico específico de todo o seu conteúdo, o qual não pode ser falsificado. Para os 406 casos de sucesso, os pesquisadores verificaram que os novos arquivos realmente acionaram as regras de segurança originais quando escaneados. Isso confirmou que a ferramenta criou arquivos que eram funcionalmente equivalentes aos perigosos para fins de teste, mas que eram inteiramente seguros para armazenar, mover e usar em exercícios de recuperação de desastres.
O que torna este trabalho particularmente significativo é como ele lida com a relação entre a inteligência artificial e o resultado final. Em muitos sistemas modernos, a IA tem permissão para gerar código ou arquivos diretamente, o que pode levar a resultados imprevisíveis ou inseguros. O Aray segue um caminho diferente. Ele trata a IA como um consultor que pode apenas propor ideias, enquanto a construção real é feita por programas de computador rígidos e previsíveis que seguem regras estritas. Os pesquisadores até configuraram uma verificação de segurança onde a IA foi instruída a conectar-se a um servidor que não existia. Se a IA tentasse alcançar o exterior, o teste falharia imediatamente. O sistema passou por essa verificação perfeitamente, provando que a IA nunca tentou contornar os limites de segurança durante todo o processo. Essa separação de deveres permite que o sistema use a criatividade da IA para resolver problemas difíceis, mantendo as partes perigosas do processo sob controle estrito e determinístico.
As implicações para as operações de segurança são práticas e imediatas. Organizações que escaneiam arquivos carregados para armazenamento em nuvem ou aquelas que precisam testar seus planos de recuperação de desastres agora podem fazê-lo sem manter uma biblioteca de vírus vivos. Elas podem gerar um arquivo de teste seguro sob demanda, fazer o upload para um ambiente de teste e verificar se seus sistemas de detecção funcionam corretamente. Se um sistema falhar em detectar o arquivo de teste, a equipe sabe que tem um problema com suas regras ou seu scanner, e pode corrigi-lo antes que um ataque real ocorra. Isso elimina a necessidade de manter malware perigoso em cada ambiente de teste, reduzindo o risco de vazamentos acidentais e o custo de manter laboratórios isolados e seguros. A ferramenta não pretende resolver todos os possíveis problemas de segurança ou entender cada nuance de cada vírus, mas fornece uma maneira confiável e auditável de transformar uma descrição de ameaça digital em um objeto de teste seguro.
Os pesquisadores foram cuidadosos ao definir os limites de seu trabalho. Eles não provaram que sua ferramenta poderia lidar com todo e qualquer tipo de regra de segurança existente, nem alegaram que os arquivos que cria são as únicas versões possíveis de uma correspondência. Em vez disso, demonstraram que, para a vasta maioria das regras comuns, a ferramenta pode produzir confiavelmente uma testemunha — um único arquivo que prova que a regra funciona. Eles também mostraram que o processo é transparente; cada etapa, da regra original ao arquivo final, pode ser rastreada e verificada. Ao manter a IA em um papel de suporte e deixar o código padrão conduzir a construção, eles criaram um sistema que é ao mesmo tempo poderoso e seguro. Esta abordagem oferece um novo caminho para os testes de cibersegurança, permitindo que as equipes validem suas defesas com confiança sem nunca precisarem lidar com os artefatos perigosos que foram projetados para deter.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.