A CrowdStrike SafeMind támadó és védő AI-ügynököket versenyeztet

A védelem egyik vakfoltját célozza a rendszer

A CrowdStrike szeptember 17-én mutatta be a SafeMind koncepcióját. A vállalat szerint a mesterséges intelligenciára épülő biztonsági megoldások hagyományos felépítésében külön támadó ügynök keresi a gyengeségeket, egy védelmi ügynök pedig megpróbálja felismerni a fenyegetéseket. A két folyamat jellemzően külön fut, az összekapcsolásuk pedig manuális, lassú és sérülékeny.

Ez a megközelítés tartós vakfoltot hagyhat maga után, mivel a védelmi rendszer nem a tényleges támadóval szemben tanul. A CrowdStrike szerint az ellenséges AI már gépi sebességgel több ezer egyedi támadást képes létrehozni és elindítani, ami azonnali kockázatot jelenthet a vállalatok számára.

A SafeMind ezt a rést úgy kezeli, hogy a támadó és a védekező oldal folyamatosan erősíti egymást. A CrowdStrike Cyber Superintelligence Lab kutatására épülő rendszer ezt a folyamatot adversarial co-evolutionnek, vagyis ellenséges koevolúciónak nevezi.

Valós vállalati környezetet modellező architektúra

A SafeMind három egymásra épülő elemet használ. Központi része a Cyber Agent Environment, egy nagy pontosságú kiberügynök-környezet, amelyben a Red Tempest nevű támadó ügynök és a Blue Solano nevű védelmi ügynök folyamatos versenyben dolgozik.

A CrowdStrike szerint a környezetek vállalati infrastruktúrákat reprezentálnak. A rendszer a CrowdStrike Falcon platformból származó hálózati térképeket és telemetriai adatokat használja fel, hogy egy valós környezet nagy pontosságú részletét állítsa elő. Egy-egy támadási forgatókönyv több mint 10 000 alkalommal is lefuthat, így a vállalat statisztikailag értelmezhető lefedettséget kíván elérni.

Az architektúra célja, hogy a védelem olyan támadásokkal szemben fejlődjön, amelyeket az ellenfél a védelmi beállítások teljes ismeretében hajt végre.

A Red Tempest teljes támadási láncokat próbál ki

A Red Tempest a támadások teljes életciklusát követi. A CrowdStrike leírása szerint ide tartozik a hálózati felderítés, a sérülékenységek feltérképezése, a kihasználás, a jogosultságok kiterjesztése, az oldalirányú mozgás és a perzisztencia kialakítása.

Az ügynök több mint 1000 különálló támadási forgatókönyvet kezel, amelyek 155 MITRE ATT&CK technikát fednek le. Ezek hosszú lefutású kampányok, amelyekben az ügynök több egymást követő futtatáson keresztül több ezer műveletet hajt végre egy cél eléréséhez. A cél lehet például adatkinyerés vagy a környezet más módon történő kompromittálása.

A CrowdStrike által közölt eredmények szerint a SafeMind önállóan és nagy léptékben is képes új támadásokhoz érzékelőket létrehozni. A vállalat a pontosság 70 százalékos javulását, a költségek 99 százalékos csökkenését és a felismerés létrehozásának hatszoros gyorsulását emeli ki.

Mit jelenthet ez a biztonsági csapatoknak?

A SafeMind a CrowdStrike bemutatása alapján olyan fejlesztési folyamatot kínál, amelyben a védelem közvetlenül a vele szemben létrehozott támadásokból tanulhat. Ez különösen azért lehet fontos, mert a támadó AI nagy sebességgel képes új variációkat előállítani.

A rendszer a Falcon platform hálózati térképeire és telemetriájára épít, ezért a leírt működés a CrowdStrike ökoszisztémájához kapcsolódik. A vállalat szerint a zárt hurkú megközelítés gyorsabb, olcsóbb és pontosabb érzékelők létrehozását teszi lehetővé, miközben a támadó és a védő oldal egyetlen folyamatos folyamatban fejlődik.