WAFGen: LLM Agents for IDS and Multi-Cloud WAF Rules Generation
Este artigo apresenta o WAFGen, um pipeline de ajuste fino de múltiplos LLMs que gera automaticamente regras de IDS e WAF sintaticamente válidas e de custo eficiente para os principais provedores de nuvem, alcançando alta precisão e reduções significativas nos custos de capacidade do AWS Web ACL em comparação com as bases de referência manuais.
Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
O mundo digital expandiu-se muito além das paredes de um único edifício de escritórios. Hoje, os serviços críticos vivem na nuvem, espalhados por vastas redes geridas por diferentes empresas. Para manter estes sistemas seguros, as equipas de segurança dependem de guardas digitais conhecidos como firewalls e sistemas de detecção de intrusão. Estas ferramentas atuam como seguranças num clube, verificando cada dado que tenta entrar. Se um visitante parecer suspeito, o guarda trava-o. Mas, para fazer isto, o guarda precisa de uma lista do que procurar. Os engenheiros de segurança devem escrever estas listas, conhecidas como regras, manualmente. Eles traduzem descrições de novas ameaças em instruções técnicas complexas que o software possa compreender. À medida que a internet cresce e as ameaças mudam cada vez mais rápido, escrever estas regras à mão tornou-se uma tarefa lenta, cara e propensa a erros. O enorme volume de diferentes plataformas de nuvem significa que os engenheiros têm frequentemente de reescrever a mesma regra em três ou quatro linguagens diferentes apenas para proteger uma única aplicação.
Uma equipa de investigadores da École de Technologie Supérieure e da Université du Québec à Trois-Rivières desenvolveu uma nova forma de automatizar este processo. Eles criaram um sistema chamado WAFGen, que utiliza inteligência artificial avançada para escrever estas regras de segurança automaticamente. Em vez de pedir a um humano para traduzir uma descrição de ameaça em código, o sistema recebe uma descrição de perigo em inglês simples e produz instantaneamente a regra técnica correta para o fornecedor de nuvem específico que está a ser utilizado. Os investigadores testaram este sistema contra três grandes plataformas de nuvem: Amazon Web Services, Microsoft Azure e Cloudflare, bem como duas estruturas tradicionais de segurança de rede. O objetivo era ver se uma inteligência artificial conseguia aprender a "gramática" distinta de cada plataforma suficientemente bem para escrever regras válidas e funcionais sem ajuda humana.
Os investigadores construíram uma enorme biblioteca de treino contendo milhares de exemplos de regras de segurança de todos os cinco sistemas visados. Eles ensinaram quatro modelos de IA diferentes a reconhecer os padrões destas regras. Para garantir que a IA não apenas memorizava os exemplos, mas que realmente aprendia a lógica, testaram duas estratégias de treino diferentes. Numa abordagem, treinaram modelos de IA separados para cada plataforma específica, esperando que a especialização levasse a melhores resultados. Na outra abordagem, treinaram um único modelo de IA em todas as cinco plataformas ao mesmo tempo, forçando-o a aprender as diferenças entre elas simultaneamente. Em seguida, colocaram estes modelos à prova, pedindo-lhes para gerar regras para novas ameaças não vistas e verificando se os fornecedores reais de nuvem as aceitariam.
Os resultados mostraram que os modelos de IA foram notavelmente bem-sucedidos na escrita de regras que os fornecedores de nuvem aceitariam. Quando os modelos geraram regras para as três principais plataformas de nuvem, mais de 90 por cento estavam sintaticamente corretas e prontas para implementação. O modelo com melhor desempenho, um sistema de 7 mil milhões de parâmetros, alcançou uma taxa de sucesso de quase 96 por cento na plataforma da Amazon e mais de 90 por cento na da Microsoft. Talvez, de forma mais surpreendente, os investigadores descobriram que o modelo único treinado em todas as plataformas ao mesmo tempo funcionou tão bem quanto, e muitas vezes melhor do que, os modelos especializados treinados em apenas uma plataforma. Isto sugere que ensinar a IA a compreender as diferenças entre as várias linguagens de nuvem ajudou-a, na verdade, a evitar erros, em vez de a confundir. O sistema também aprendeu a manter as regras simples e eficientes. No ambiente da Amazon, onde regras complexas custam mais dinheiro para executar, as regras geradas pela IA utilizaram uma fração minúscula do orçamento disponível, custando apenas cerca de 10 a 25 unidades por regra, comparativamente a centenas para conjuntos de regras geridos padrão.
O estudo também abordou um medo comum sobre a inteligência artificial: a de que ela possa inventar instruções falsas ou perigosas. Os investigadores descobriram que o sistema raramente inventava comandos inválidos. Quando cometia um erro, era geralmente um erro de formatação menor que poderia ser detetado por uma verificação simples antes de a regra ser utilizada. O sistema foi capaz de lidar com uma grande variedade de ameaças, desde ataques web comuns, como SQL injection, até ameaças de bots mais complexas. Ao integrar uma etapa de verificação de custos diretamente no processo de geração, o sistema permite que as equipas de segurança saibam exatamente quanto custará uma nova regra antes mesmo de a implementarem. Esta capacidade transforma a criação de regras de um jogo de adivinhação numa operação precisa e consciente do orçamento.
Embora o sistema seja altamente eficaz, os investigadores notaram que funciona melhor com modelos de IA maiores. Modelos menores e mais compactos tiveram dificuldades quando lhes foi pedido para aprender todas as diferentes linguagens de nuvem ao mesmo tempo, falhando frequentemente em produzir regras válidas para certas plataformas. No entanto, para organizações que precisam de proteger os seus sistemas através de múltiplas nuvens, a abordagem multiplataforma provou ser a mais fiável. O trabalho demonstra que a inteligência artificial pode agora lidar com a tarefa complexa e tediosa de traduzir as necessidades de segurança humanas nas linguagens técnicas específicas exigidas pela infraestrutura de nuvem moderna. Isto não substitui o engenheiro de segurança, mas sim liberta-o do trabalho pesado da codificação manual, permitindo-lhe focar-se na estratégia e análise enquanto a máquina trata do trabalho pesado de geração de regras. O código e os dados por trás deste sistema estão agora disponíveis para que outros possam usar e melhorar, marcando um passo significativo em direção a uma segurança de nuvem mais ágil e económica.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.