« Je suis déçu » : le chef de la cybersécurité du Pentagone demande à l’industrie où est mon IA ? – Briser la défense

Réseaux / Cyber, Pentagone

Code binaire sur l’écran d’un téléphone et une puce électronique et sont visibles sur cette photo d’illustration prise à Cracovie, en Pologne, le 19 juillet 2023. (Jakub Porzycki/NurPhoto via Getty Images)

WASHINGTON Pendant des années, les dirigeants du Pentagone ont soutenu que la cybersécurité, comme la défense antimissile, était un endroit naturel pour commencer à utiliser l’intelligence artificielle : à grande vitesse, aux enjeux élevés, avec trop de données arrivant trop vite pour qu’un esprit humain puisse les comprendre. Mais, au milieu du boom actuel de l’IA, des algorithmes qui peuvent aujourd’hui contribuer à la cybersécurité sont-ils apparus ?

Jusqu’à présent, pas vraiment, a déploré David McKeown, responsable principal de la sécurité de l’information au Pentagone et directeur informatique adjoint pour la cybersécurité, lorsque la question a été soulevée lundi lors d’un panel TechNet Emergence de l’AFCEA. Je suis déçu.

« J’ai recherché des cas d’utilisation dans lesquels l’IA est utilisée pour effectuer des tâches de cybersécurité et, jusqu’à présent, je n’en vois pas beaucoup », a poursuivi McKeown.

L’absence est palpable dans l’industrie, dit-il. J’ai emmené un groupe de RSSI chez AWS [Amazon Web Services] vendredi, [and] ils n’ont rien développé que je puisse dire.

L’absence est également palpable au Pentagone.

A l’intérieur du bâtiment, nous avons [a] CDAO est en charge de nos données et de l’avenir de notre IA, a-t-il poursuivi, faisant référence au Bureau en chef des données et de l’intelligence artificielle du ministère de la Défense créé en 2021. Ils se concentrent sur l’amélioration des données de qualité décisionnelle de haut niveau, ils se concentrent sur les missions de combat où ils exploitent l’IA, qui est utilisée pour optimiser les cycles de maintenance des bombardiers et nous faire économiser des milliards de dollars, mais je cherche des moyens de tirer parti de l’IA. qui sont sur le front de la cybersécurité.

Ainsi, a déclaré McKeown au public nombreux d’entrepreneurs de l’AFCEA, si vous connaissez des produits qui exploitent l’IA pour faire des choses en matière de cybersécurité, j’aimerais vous parler. Il s’agit d’un élément clé de notre stratégie zéro confiance.

En marge de la conférence, McKEown voulait préciser que son discours public était un appel de données demandant à l’industrie d’offrir des options d’IA, et non un licenciement de la technologie. Ne dites pas aux gens que je ne me lance pas dans l’IA, [because] J’adore l’IA. Je veux beaucoup d’IA, a-t-il déclaré à Breaking Defense.

Avec un signal de demande aussi fort de la part du Pentagone et avec des cyberattaques de plus en plus nombreuses, en fréquence et en sophistication, pourquoi personne n’a-t-il construit une défense contre l’IA suffisamment performante ? En bref : parce que c’est dur.

L’industrie essaie, a déclaré Kyle Fox, directeur de la technologie chez SOSi, qui aide à défendre l’environnement des partenaires de mission multinationale du Pentagone. Il a dit son L’équipe utilise déjà des outils d’IA pour au moins certains aspects de la cybersécurité.

Nous n’en sommes qu’à nos débuts et il n’existe pas beaucoup de solutions commerciales clé en main, a-t-il déclaré au panel de l’AFCEA, mais j’encourage vraiment tout le monde à expérimenter dans cet espace.

Pourquoi l’IA de cybersécurité est-elle si loin derrière d’autres domaines tels que les grands modèles linguistiques et l’analyse d’images ? Il s’avère que le type d’algorithmes d’apprentissage automatique capables d’analyser les données des consommateurs et parcourir Les sites Web publics pour générer des recommandations de produits effrayantes et précises, les textes à consonance humaine (bien qu’insipides) ou les personnes photoréalistes avec trop de doigts ont beaucoup plus de mal à maîtriser les complexités et les subtilités de la cyberdéfense.

D’une part, la cyberdéfense ne consiste plus seulement à défendre le cyberespace, car les logiciels sont de plus en plus utilisés pour faire fonctionner des systèmes physiques. Et même si les algorithmes sont excellents pour digérer les données numériques, les IA ont encore du mal à comprendre le monde analogique et désordonné des objets physiques, des machines et des infrastructures, ainsi que la manière dont ils interagissent, par exemple dans les interconnexions complexes d’un système d’armes ou d’un réseau électrique civil.

Nous avons tendance à considérer les logiciels comme quelque chose qui peut être analysé en soi, a déclaré Emily Frye, experte en cybersécurité au groupe de réflexion MITRE, s’exprimant au sein du panel de l’AFCEA aux côtés de McKeown. Les logiciels et le matériel ne sont souvent pas toujours inextricablement liés.

Les logiciels sont présents dans chaque élément d’infrastructure critique exploité par les États-Unis, a ajouté Fox, qui a passé 12 ans en tant qu’ingénieur logiciel dans l’US Air Force. Cela signifie que toutes sortes de machines banales mais vitales peuvent être piratées. Plus facile, [and] nous ne gagnions pas, nous étions en fait en train de perdre en ce moment.

De petits programmes logiciels spécialisés, appelés micrologiciels, sont depuis longtemps intégrés aux appareils industriels et grand public, du contrôle des pipelines aux moniteurs pour bébé. Le mouvement visant à informatiser les objets ordinaires et à les mettre en réseau sans fil dans un Internet massif des objets place les logiciels dans du matériel de toutes sortes et ces logiciels peuvent comporter des bogues involontaires ou, pire encore, des portes dérobées intentionnelles.

Trouver toutes ces failles subtiles, dissimulées dans d’innombrables lignes de code, est précisément le genre de tâche énorme, minutieuse et casse-tête que les optimistes de l’IA disent que leurs algorithmes peuvent aider les analystes humains à gérer. Mais, comme l’ont prévenu McKeown et ses collègues panélistes, l’IA a encore un long chemin à parcourir.

L’appel vient de l’intérieur de la maison

Apprendre à l’IA à faire de la cybersécurité devient de plus en plus difficile car les meilleures pratiques ont radicalement changé, tant en matière de défense qu’en matière d’attaque. Autrefois, la cybersécurité signifiait défense du périmètre : pare-feu, mots de passe et filtres antivirus automatisés. Mais il s’est vite avéré impossible d’arrêter tous les attaquants au niveau du pare-feu, ce qui signifiait que les cyberdéfenseurs intelligents devaient supposer qu’un ennemi intelligent se cachait déjà quelque part sur leurs réseaux à l’intérieur des portes et que chaque utilisateur devait être surveillé pour détecter tout signe que son compte était compromis. l’industrie appelle une défense de confiance zéro.

Les attaquants, quant à eux, volent de plus en plus d’informations d’identification d’utilisateurs réels, souvent obtenues par le biais d’e-mails de phishing et d’autres astuces d’ingénierie sociale qui s’appuient sur l’erreur humaine, sans vaincre une machine, puis vivent de la terre en exploitant les logiciels déjà présents sur le réseau cible, plutôt que de télécharger les leurs. code. Au lieu de rechercher des logiciels malveillants et autres codes étrangers facilement identifiables, les défenseurs devaient désormais rechercher le comportement anormal d’utilisateurs apparemment légitimes utilisant des logiciels légitimes.

Ils vont accéder à vos réseaux et, dans de nombreux cas, lorsqu’ils y arrivent, ils ressemblent à des utilisateurs légitimes. Souvent, ils ne téléchargent aucune charge utile comportant des signatures que nos outils verront, a prévenu McKeown. [So] nous devons devenir vraiment bons pour savoir à quoi ressemble une anomalie. Qu’y a-t-il dans le domaine du possible pour la détection de comportements anormaux ?

La détection de modèles et d’anomalies convient généralement bien à l’IA, mais elle nécessite beaucoup de données pour s’entraîner. Ces données ne sont souvent pas disponibles. Peu de réseaux sont entièrement équipés pour surveiller et enregistrer le comportement légitime des utilisateurs, notent les experts. Lorsque c’est le cas, les données montrent uniquement ce qui est normal sur le réseau spécifique à partir duquel elles ont été extraites : un groupe différent d’utilisateurs utilisant un logiciel identique peut présenter des comportements très différents, conduisant une IA de sécurité entraînée sur la normale de quelqu’un d’autre à arrêter les opérations légitimes.

De plus, les applications utilisées sur le réseau d’une organisation moderne sont nombreuses et en constante évolution, avec d’anciens logiciels régulièrement mis à jour (souvent pour corriger des failles de cybersécurité) et de nouveaux logiciels ajoutés en permanence. De plus en plus, la menace ne vient plus de personnes extérieures qui téléchargent des logiciels malveillants évidents, mais de personnes internes qui créent des portes dérobées dans les logiciels que votre propre service informatique achète. Même si le maître d’œuvre est fiable, peut-il garantir que ses sous-traitants et sous-sous-traitants écrivent des morceaux de code spécifiques qui entrent dans l’application finale ?

Ce problème de chaîne d’approvisionnement en matière de cybersécurité peut être insupportable, a prévenu Zac Burke de VTG, ancien responsable d’un programme de chaîne d’approvisionnement du Pentagone appelé Iron Bank. Vous ne comprenez vraiment pas le problème tant que le problème n’est pas laissé sur vos genoux pour être résolu, a-t-il déclaré au public de l’AFCEA. La quantité de [software] les artefacts que seul le DoD utilise, il y en a des centaines de milliers.

Le décret 14028 a tenté de résoudre ce problème en 2021, entre autres choses, en établissant des normes pour le code à venir, une nomenclature logicielle (S-BOM), essentiellement l’équivalent numérique d’une étiquette d’avertissement nutritionnel qui indique aux utilisateurs quels ingrédients se trouvent à l’intérieur. Mais la qualité des S-BOM dépend de l’intégrité et de la compétence de celui qui les a rédigés ou réécrits. C’est aussi simple que d’ouvrir un éditeur de texte et de modifier le S-BOM, a déclaré Burke. Notre évaluation est la seule façon pour vous de faire confiance à une S-BOM si vous créez le logiciel vous-même.

Que diriez-vous de vérifier le code d’un logiciel d’un fournisseur avant de le télécharger sur votre système ? Même si l’acheteur possède l’expertise nécessaire pour procéder à cette évaluation, ont déclaré les experts du panel, les contrats gouvernementaux lui donnent rarement le droit de le faire. Étant donné la sensibilité des éditeurs de logiciels à l’égard des fuites de propriété intellectuelle ou de la divulgation d’une vulnérabilité non corrigée par des tiers, il est également peu probable qu’ils signent des contrats exposant leur code propriétaire à l’avenir.

Ils ne partageront jamais leur vrai code, [but] Je ne pense pas nécessairement que j’ai besoin de voir le code, a déclaré McKeown. J’ai juste besoin de savoir qu’ils se développent dans un environnement sécurisé.

Alternativement, a suggéré Burke, vous pouvez essayer d’acheter du code open source. Dans ce cas, au lieu d’essayer de protéger le code en le gardant secret, les développeurs ont laissé tout le monde le consulter gratuitement, en espérant que les bons à la recherche de vulnérabilités à corriger travailleront plus vite que les méchants à la recherche de vulnérabilités à exploiter. Mais ce n’est pas viable pour de nombreuses missions militaires.

Parfois, la seule solution est de démonter le logiciel fini et d’essayer de reconstruire le code source original, par exemple by analyser les binaires du logiciel à installer.

Nous pouvons procéder à l’ingénierie inverse des binaires pour revenir au code source que nous pensons théoriquement à grande échelle, a déclaré Burke. Nous faisons quelques expérimentations.

Je n’ai jamais beaucoup entendu parler de cela, a commenté McKeown. Je comprends pourquoi tu fais ça, [but] c’est un peu effrayant si nous pouvons le faire, les adversaires peuvent nous le faire aussi.

MISE À JOUR le 15/03/24 à 9 h 30 HE pour corriger le titre de Kyle Fox à SOSi.