Cybercriminelen zetten machine learning in voor AI-fuzzing

21 november 2018 - Fortinet maakt de voorspellingen bekend van het FortiGuard Labs-team ten aanzien van het bedreigingslandschap in 2019 en de daaropvolgende jaren.

De onderzoekers van Fortinet hebben in kaart gebracht welke methoden en technieken cybercriminelen in de nabije toekomst zullen gebruiken en welke strategische koerswijzigingen organisaties kunnen helpen om zich tegen deze nieuwe aanvallen te beschermen. Dit zijn onder andere Artificial Intelligence Fuzzing (AIF) en Swarm-as-a-Service.

• Artificial Intelligence Fuzzing (AIF): Fuzzing is een geavanceerde techniek die traditioneel door professionele onderzoekers in laboratoriumomgevingen werd gebruikt om kwetsbaarheden te vinden in hardware, software-interfaces en applicaties. Daarbij injecteren zij ongeldige, onverwachte of ogenschijnlijk willekeurige data in systemen en gaan ze na welke gebeurtenissen daardoor worden getriggerd. Dat kan bijvoorbeeld gaan om crashes, overschakeling naar debugging-routines, mislukte assertions en potentiële geheugenlekken. Historisch gezien is deze techniek voorbehouden geweest aan een handvol uiterst vaardige technici die in laboratoria werkzaam waren. FortiGuard Labs voorspelt dat deze technieken een efficiënter en gerichter karakter zullen krijgen nu er machine learning-modellen op worden toegepast. Deze technieken zullen bovendien toegankelijk worden voor een groter aantal technisch minder onderlegde personen. Cybercriminelen zijn reeds begonnen met het inzetten van machine learning voor de ontwikkeling van geautomatiseerde fuzzing-programma’s. Dit zal hen in staat stellen om sneller onbekende kwetsbaarheden te ontdekken en resulteren in een toename van het aantal zero day-aanvallen op uiteenlopende programma’s en platforms.

• Zero-day mining met AIF: AIF kan binnen een gecontroleerde omgeving worden ingezet voor het opsporen van zero day-kwetsbaarheden in programmatuur. Dit zal cybercriminelen in staat stellen om in een veel korter bestek zero day-exploits te ontwikkelen. En het zal niet lang duren voordat ze dit proces hebben gestroomlijnd en zero-day mining-as-a-service gaan aanbieden, waarmee gerichte aanvallen op elk gewenst doelwit kunnen worden uitgevoerd. Dit zal organisaties dwingen om hun beveiliging ingrijpend te herzien, aangezien ze met geen mogelijkheid kunnen voorspellen waarop zero day-aanvallen zich zullen richten of hoe ze daar effectieve bescherming tegen kunnen bieden. Dit zal met name lastig zijn als zij binnen hun netwerk gebruikmaken van losstaande, legacy beveiligingsoplossingen.

• De kosten van zero day-aanvallen: In het verleden waren er aanzienlijke kosten verbonden aan het uitvoeren van zero day-exploits. Deze hielden voornamelijk verband met de tijd, moeite en expertise die nodig waren om nieuwe kwetsbaarheden te ontdekken. Met de opkomst van kunstmatige intelligentie zullen zero day-exploits echter aan de orde van de dag zijn. Aanvallen met ransomware en botnets zijn reeds gemeengoed geworden en vergen het uiterste van traditionele beveiligingsoplossing. Het grotere aantal kwetsbaarheden in alle soorten en maten en de mogelijkheid van cybercriminelen om snel zero-day exploits te ontwikkelen en als dienst aan te bieden zullen ook van grote invloed zijn op de diensten die op het dark web worden aangeboden en de prijs daarvan.

• Swarm-as-a-Service: Cybercriminelen boeken aanzienlijke voortgang met de ontwikkeling van geavanceerde aanvallen op basis van zwermtechnologie. Daarmee is het wachten op de eerste hivenets (op zwermen gebaseerde botnets). Cybercriminelen zullen omvangrijke zwermen van intelligente bots creëren die zowel zelfstandig als in groepen kunnen functioneren. Deze zwermnetwerken zullen de lat hoger leggen voor de beveiligingstechnologieën die organisaties gebruiken en zullen net als zero-day mining van invloed zijn op het verdienmodel van cybercriminelen. Momenteel is het criminele ecosysteem sterk op mensen gericht. Sommige professionele hackers bieden zich aan om tegen betaling exploits op maat te ontwikkelen. En ook nieuwe ontwikkelingen zoals Ransomware-as-a-Service vragen om black hat-hackers die exploits ontwikkelen en testen en zorgdragen voor het beheer van command & control-servers. Bij autonome, zelflerende Swarms-as-a-Service is er echter sprake van aanzienlijk minder rechtstreekse interactie tussen hackers en hun klanten.

• Zwermen à-la-carte: De mogelijkheid om een zwerm op te delen in groepen bots om uiteenlopende taken uit te voeren heeft veel weg van virtualisatie. Binnen een gevirtualiseerd netwerk kunnen VM’s worden toegevoegd of ingetrokken op basis van een bepaalde noodzaak, zoals het vinden van een oplossing voor problemen met de bandbreedte. Binnen een zwermnetwerk kunnen bronnen op vergelijkbare wijze worden toegewezen of ingetrokken naar aanleiding van specifieke problemen die binnen een aanvalsketen worden gedetecteerd. Cybercriminelen kunnen een zwerm vooraf programmeren met uiteenlopende analysetools en exploits en zelflerende protocollen die hen in staat stellen om in groepen samen te werken aan het verfijnen van hun aanvalstechnieken. De aanschaf van een cyberaanval wordt daarmee net zo eenvoudig als het aanwijzen van een gerecht op een menukaart.

• Machine Learning Poisoning: Machine learning is een van de meest veelbelovende wapens in het arsenaal van beveiligingsprofessionals. Beveiligingsapparatuur en -systemen kunnen worden ‘getraind’ om bepaalde taken zelfstandig uit te voeren, zoals het creëren van een baseline van normaal gedrag, het toepassen van gedragsanalyse voor de detectie van geavanceerde bedreigingen en het in kaart brengen en patchen van apparaten binnen het netwerk. Helaas kan dit proces ook door cybercriminelen worden misbruikt. Door het machine learning-proces te saboteren kunnen zij apparaten of systemen aanleren om geen patches te installeren, om specifieke applicaties of gedragspatronen te negeren en om bepaald dataverkeer niet in logbestanden vast te leggen, zodat detectie wordt voorkomen. Dit zal ingrijpende gevolgen hebben voor de toekomstige ontwikkeling van kunstmatige intelligentie en machine learning.

• Geavanceerde misleidingstechnieken: Steeds meer organisaties voegen misleidingstechnieken zoals honeypots aan hun beveiligingsstrategie toe. De introductie van valse elementen binnen bedrijfsnetwerken zal cybercriminelen dwingen om te voortdurend na te gaan of de netwerkcomponenten die zij te zien krijgen geen valstrik vormen. Omdat een aanval op een lokmiddel binnen het netwerk direct zal worden gedetecteerd en automatische tegenmaatregelen zal activeren, moeten cybercriminelen uiterst voorzichtig te werk gaan bij alles wat ze doen.

• Open samenwerking: Een van de eenvoudigste manieren voor cybercriminelen om een maximaal rendement op hun investeringen in cyberaanvallen te realiseren en detectie te omzeilen is om kleine wijzigingen in hun aanvalstechnieken aan te brengen. Dit kan gaan om iets basaals zoals het wijzigen van een IP-adres. Een effectieve manier om dit soort wijzigingen te detecteren is een actieve uitwisseling van bedreigingsinformatie. Dit stelt leveranciers van beveiligingsoplossingen en hun klanten in staat om de laatste ontwikkelingen binnen het bedreigingslandschap bij te benen. Open samenwerking tussen organisaties die zich bezighouden met onderzoek naar cyberbedreigingen, brancheverenigingen, beveiligingsleveranciers en wetshandhavende instanties kan de detectietijd voor nieuwe bedreigingen aanzienlijk verkorten door licht te werpen op de actuele tactieken van cybercriminelen en informatie daarover te delen. In plaats van louter reactief te werk te gaan, zouden beveiligingsprofessionals gedragsanalyse moeten toepassen op live datafeeds op basis van open samenwerkingsverbanden. Op deze manier kunnen ze het gedrag van malware voorspellen en profiteren van de neiging van cybercriminelen om bestaande malware herhaaldelijk in te zetten met kleine aanpassingen.

Laatste nieuws

Gerelateerde nieuwsitems