This post is also available in:
English (אנגלית)
כלי אבטחת סייבר נבחנים בדרך כלל מול קבצים זדוניים ודפוסי התנהגות מוכרים, אך תוקפים אמיתיים כמעט שאינם משאירים את הקוד שלהם ללא שינוי. ניתן לשכתב או לארגן מחדש נוזקה תוך שמירה על אותה פונקציונליות בסיסית, וכך להפחית את יעילותם של כללי זיהוי שבעבר הצליחו לאתר אותה. לכן, האתגר עבור המגינים אינו מסתכם בזיהוי תוכנה זדונית אחת, אלא בזיהוי שלל הגרסאות האפשריות שלה.
חוקרים ב־Carnegie Mellon University Africa משתמשים באלגוריתמים גנטיים כדי לבדוק עד כמה מערכות אבטחת נקודות קצה מסוגלות להתמודד עם הבעיה. במקום ליצור כל גרסה באופן ידני, השיטה משנה את התוכנה באופן אוטומטי לאורך דורות עוקבים ובוחנת אם כלי האבטחה ממשיכים לזהות את התנהגותה.
אלגוריתמים גנטיים שואבים את העיקרון הבסיסי שלהם מהאבולוציה הביולוגית. המחשב מייצר מספר גרסאות של תוכנה, מעריך אותן לפי קריטריונים שהוגדרו מראש, בוחר שינויים מתאימים ומייצר דור נוסף. חזרה על התהליך מאפשרת לחוקרים לבחון מספר רב של תוכנות בעלות תפקוד דומה, מבלי לתכנן כל אחת מהן מחדש באופן ידני.
הניסויים הראשונים התמקדו ב־Reverse Shells בסביבות מעבדה מבוקרות. מנגנון מסוג זה יוצר חיבור יוצא ממחשב שנפרץ ומאפשר הפעלה מרחוק של פקודות לאחר שהושגה אליו גישה. מכיוון שהמחשב המותקף הוא שיוזם את החיבור, התנהגות כזו יכולה לעיתים לעקוף מגבלות רשת שנועדו לחסום חיבורים נכנסים שלא התבקשו.
החוקרים יצרו גרסאות שעברו שינויים מבניים של דגימות הניסוי ובדקו כיצד השינויים משפיעים על יכולת הזיהוי של מערכות אבטחת נקודות הקצה. המטרה לא הייתה לפתח נוזקות לשימוש מבצעי, אלא לבדוק אם שינוי מבנה התוכנה תוך שמירה על תפקודה יכול לחשוף חולשות במערכות הגילוי.
על פי דיווח של TechXplore, המחקר הורחב בהמשך למסגרת בשם TransForge, הכוללת שש קטגוריות ביצוע בסביבות מחשוב ובשפות תכנות שונות. הניסויים כללו גם התנהגויות נוספות הרלוונטיות לאבטחה, כגון תיעוד הקשות מקלדת, כדי לבדוק אם אותה בעיה קיימת מעבר לסוג מסוים אחד של קוד.
הפרויקט מתקדם כעת לעבר מאגר נתונים גדול משמעותית, שיכלול כ־10,000 גרסאות תוכנה. מאגר כזה עשוי לספק דרך אחידה להשוות את ביצועיהם של מוצרי אבטחת נקודות קצה מול קוד המשתנה באופן מתמשך, במקום להסתמך על אוסף מוגבל של דגימות קבועות.
למחקר יש השלכות ברורות עבור גופי ביטחון, ממשל ותשתיות קריטיות. ארגונים אלה מסתמכים על מערכות אבטחת נקודות קצה כדי להגן על תחנות עבודה ושרתים המכילים מידע רגיש, בעוד שתוקפים מתקדמים משנים באופן שגרתי קוד זדוני כדי לחמוק מחתימות וממנגנוני זיהוי מוכרים. בחינת מערכות ההגנה מול גרסאות המשתנות באופן אוטומטי עשויה לחשוף חולשות לפני שתוקפים מצליחים לנצל אותן.
המסקנה הרחבה יותר היא שלא מספיק לזהות את הנוזקות של היום. מערכות אבטחה צריכות להיות מסוגלות לזהות גם את הגרסה הבאה של אותו איום, אפילו כאשר הקוד שלה נראה שונה. באמצעות שימוש בחישוב אבולוציוני ליצירת השינויים הללו בסביבה מבוקרת, יכולים המגינים לבדוק אם מערכות ההגנה שלהם אכן עמידות בפני וריאציות חדשות, ולא רק מכירות את הדגימות שכבר נתקלו בהן.
