Развитие ИИ и разведка изменят обычные преимущества киберпреступников

Развитие ИИ и разведка изменят обычные преимущества киберпреступников

Развитие ИИ и разведка изменят обычные преимущества киберпреступников

Fortinet выпустил прогноз ландшафта угроз на 2020 и последующие годы, подготовленный командой экспертов FortiGuard Labs. Исследование раскрывает направления, по которым будут действовать киберпреступники в ближайшем будущем. Кроме этого, были обозначены приемы, которые помогут организациям защититься от будущих атак. Для более подробного ознакомления с прогнозами и ключевыми выводами  исследования посетите блог.

«До сих пор успех в действиях злоумышленников был связан во многом с расширением поверхности кибератак и образующихся в результате этого пробелов в безопасности, вызванных цифровой трансформацией. В последнее время их методики проведения атак стали еще более изощренными благодаря интеграции начальных форм ИИ и swarm technology», — Дерек Мэнки, руководитель отдела безопасности и анализа глобальных угроз, Fortinet.

«К счастью, можно восстановить прежний уровень безопасности, если многие компании будут придерживаться одинаковых стратегий для защиты своих сетей, через которые преступники организуют нападения. Это потребует унифицированного подхода с использованием широкоформатных, интегрированных и автоматизированных решений для обеспечения защиты и подконтрольности всех сегментов сети, а также различных периферийных устройств, от IoT до динамически подключаемых облаков».

Ключевые выводы исследования:

Смена направления кибератак

За последние годы методики проведения кибератак становились все более изощренными, что привело к росту их эффективности и скорости. Этот тренд, вероятнее всего, сохранится, пока на рынке не появится достаточно организаций, которые изменят свой подход к стратегиям защиты. Учитывая масштабы нынешнего ландшафта глобальных угроз, скорость и сложность кибератак, организациям придется реагировать на возникающие угрозы в реальном времени, не отставая от работы машин, чтобы эффективно противостоять агрессивным действиям. В этой борьбе станет жизненно необходимым применять последние достижения в области искусственного интеллекта (ИИ) и исследования угроз.

Эволюция ИИ для обеспечения безопасности

Одной из долгосрочных целей в разработке ИИ для обеспечения безопасности является создание адаптивной системы невосприимчивости к угрозам, работающей аналогично иммунной системе человека. Разработка такого ИИ первого поколения была направлена на использование различных моделей машинного обучения. Они обучались, корректировались и предлагали определенный план действий для отражения атаки. В системах ИИ второго поколения акцент был сделан на создание механизма интеллектуального анализа. Его уровень значительно вырос к этому времени и позволял выявлять паттерны, существенно улучшавшие работу различных функций, таких как управление доступом, путем размещения обучающихся узлов по всем направлениям защиты. Развитие систем ИИ третьего поколения идет по пути отказа от использования монолитного центра обработки в пользу создания системы региональных обучающихся узлов. Данные накапливаются локально и используются для распределенного сравнения, коррекции и анализа. Это будет иметь крайне важное значение для компаний, которые ищут пути защиты своих разрастающихся периферийных сегментов.

Распределенное машинное обучение

Помимо применения традиционных форм анализа угроз с использованием данных из открытых источников или после изучения внутреннего трафика и накопленной информации, будущие системы машинного обучения начнут со временем активно применять данные, собираемые с периферийных устройств нового поколения и передаваемые на локальные обучающиеся узлы. Отслеживая и сопоставляя информацию в реальном времени, ИИ-система сможет иметь более полное представление о текущем состоянии угроз. Она также сможет корректировать работу локальных устройств, задавая им правила для ответной реакции на инциденты. Это позволит будущим ИИ-системам безопасности распознавать угрозы, корректировать свои действий, отслеживать и быть готовыми к ответным мерам, обмениваясь информацией в пределах сети. В конечном итоге, распределенная система обучения позволит объединить наборы данных, чтобы адаптироваться к изменяющимся условиям, тенденциям и событиям. Таким образом, каждое событие будет улучшать качество всем системы.  В результате, информация об инциденте, полученная в одном месте, будет повышать осведомленность о текущих угрозах для всей системы.

Применение ИИ и сценариев реагирования для предсказания кибератак

Внедрение ИИ позволяет компаниям не только автоматизировать выполнение задач, но и открывает возможность создания автоматизированной системы поиска и выявления кибератак – как после появления признаков, так и до реализации сценария. Благодаря совместному использованию машинного обучения и статистического анализа, организации могут разработать индивидуальный план действий с опорой на ИИ для улучшения раскрываемости угроз и реагирования. Подготовленные сценарии реагирования (playbooks) должны научиться выявлять закономерности (паттерны), с помощью которых ИИ будет прогнозировать действия атакующей стороны, подсказать время вероятного начала следующей атаки и даже выявлять подозреваемых, стоящих за угрозой. Если эти данные можно предоставить системе обучения ИИ, то удаленные обучаемые ноды смогут поддержать эффективную и упреждающую защиту, не ограниченную только обнаружением угроз, но позволяющую также предсказывать последующие действия, проактивно вмешиваться в процесс и координировать действия с другими нодами для одновременного противодействия на пути распространения атаки.

Возможности контрразведки и уловки

Одним из наиболее важных факторов борьбы против шпионажа является эффективная контрразведка. Это же справедливо и для кибератак или защиты, где все действия тщательно отслеживаются. Обороняющаяся сторона имеет явное преимущество в доступе к различного рода информации об угрозах. Киберпреступники обычно не обладают такими возможностями, к которым теперь добавились средства машинного обучения и ИИ. Однако применение хитроумных уловок может привести к ответным мерам со стороны злоумышленников. Они учатся отличать легитимный трафик от уловок и стараются делать это незаметно, чтобы не раскрыть себя во время атаки. Чтобы эффективно противостоять такой стратегии, организациям потребуется добавить в свой арсенал сценарии реагирования и улучшенные алгоритмы ИИ. Это поможет не только обнаруживать нарушителей, занятых разбором легитимного трафика, но и улучшит технологию уловок, что сделает невозможным их отличие от легитимных сообщений. В будущем организации должны научиться реагировать на любые шпионские приемы до начала активных действий, сохраняя за собой превосходство в контроле.

Усиление связей между правоохранительными органами

Деятельность организаций, связанная с кибербезопасностью, предоставляет им ряд уникальных привилегий, касающихся доступа к персональной информации; представители преступного мира не обладают таким правом. Это позволяет правоохранительным органам создавать собственные командные центры с глобальным охватом и распространять свои действия на частных лиц, имея возможность наблюдать за киберпреступниками в реальном времени и реагировать на их действия. Существующая система законных действий, а также связи с общественными и частными службами также может быть полезна для выявления нарушителей и ответной реакции. Можно ожидать появления инициатив по формированию единого подхода для связей между правоохранительными органами международного и местного уровней, правительственными организациями, корпоративным сектором и экспертами в области безопасности. Это будет способствовать развитию системы своевременного и безопасного обмена информацией для выстраивания защиты критически важной инфраструктуры и усиления борьбы с киберпреступлениями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru