La cybersécurité à l’ère des logiciels malveillants générés par l’IA

L’IA maligne n’est plus une réalité lointaine. Alors que la détection de logiciels malveillants est connue depuis un certain temps et implique fréquemment la comparaison de code suspect avec des systèmes basés sur des signatures, l’intelligence artificielle et l’apprentissage automatique s’orientent vers des méthodes d’inférence.

Le côté malveillant de l’IA

Les solutions basées sur l’IA peuvent aider les professionnels de la sécurité épuisés et manquant de ressources lors de la réponse aux incidents. Afin de concentrer les ressources humaines là où elles sont le plus nécessaires, elles peuvent catégoriser de manière autonome de grandes quantités de données brutes, hiérarchiser les avertissements, évaluer les causes profondes et offrir une image complète des événements de sécurité ou des vulnérabilités importants. Si l’IA peut être si puissante entre les mains de professionnels de la cybersécurité soumis à divers cadres juridiques et réglementaires, imaginez à quel point l’IA pourrait être terrible entre les mains d’attaquants parrainés par l’État et de cybercriminels en liberté. Même les amateurs ont utilisé l’IA pour créer des discours de haine au bon moment.

Dans une expérience, un étudiant a créé un micro-robot GPT formé et l’a posté sur un forum de discours de haine dans le célèbre babillard anonyme 4chan. L’étudiant a utilisé Open AI et le générateur automatique de langage naturel GPT-3, qui peut apprendre à imiter et à reproduire tout type de contenu narratif, y compris les sonnets shakespeariens. Le bot a publié 15 000 messages haineux et pessimistes en moins de 24 heures.

Le tristement célèbre ChatGPT a également introduit un peu de piquant dans la scène actuelle des cybermenaces, car il peut générer du code et aider les acteurs moins qualifiés à mener des cyberattaques. Il a réussi à exécuter efficacement tout un flux d’infection, de l’envoi d’un e-mail de harponnage plausible à l’exécution d’un shell inversé qui pourrait prendre des commandes en anglais.

Le 29 décembre 2022, un forum populaire de pirates clandestins a vu l’apparition d’un fil intitulé ChatGPT Advantages of Virus. Le créateur des fils de discussion a révélé qu’il utilisait ChatGPT pour tester les souches et les stratégies de logiciels malveillants documentées dans des documents de recherche et des articles sur les logiciels malveillants courants. Il a fourni le code source d’un voleur basé sur Python qui recherche les types de fichiers populaires, les transfère dans un dossier aléatoire à l’intérieur du dossier Temp, les compresse et les télécharge sur un site FTP préprogrammé à titre d’illustration.

Il est évident que les cybercriminels manifestent un intérêt considérable et se lancent dans cette dernière tendance pour générer du code malveillant. Cependant, les chercheurs des points de contrôle continueront de suivre cette activité tout au long de 2023.

Les Tactiques, Techniques et Procédures de prévention

Avec l’augmentation des menaces sophistiquées telles que les ransomwares, le crypto-jacking, le phishing et les attaques de la chaîne d’approvisionnement logicielle, les tactiques, techniques et procédures (TTP) modernes des cyber-attaquants sont devenues à la fois rapides et abondantes.

Pour faciliter leurs activités de contre-espionnage, les RSSI décrivent et évaluent les tactiques, techniques et procédures des acteurs de la menace. Les TTP peuvent aider les experts en sécurité à mieux comprendre une architecture d’attaque et à connecter une attaque à un pirate connu ou à une organisation menaçante. Les TTP prennent en charge la réponse aux incidents et l’atténuation des menaces, aident à définir la gravité de la menace, aident à identifier les sources de menace et aident les chercheurs à concentrer leurs efforts d’investigation. Ceux-ci sont souvent utilisés par les experts en sécurité dans les exercices de modélisation des menaces.

Le rôle de l’IA et du ML dans la cybersécurité

Aujourd’hui, la plupart des experts en cybersécurité ont intégré l’IA et le ML pour accélérer le processus de prise de décision rapide nécessaire pour identifier et répondre aux cybermenaces avancées. L’IA vise à imiter la réactivité de l’esprit humain dans les ordinateurs. Le domaine de l’apprentissage automatique (ML) est inclus dans l’IA. Il examine en permanence les données pour découvrir les modèles de comportement actuels afin de tirer des jugements et des conclusions et, finalement, de découvrir de nouveaux logiciels malveillants. En utilisant la solution de cybersécurité telle que le framework MITRE ATT&CK, les organisations peuvent réduire les risques et les menaces en comprenant le comportement des attaquants.

En cybersécurité, les algorithmes d’apprentissage automatique peuvent identifier et analyser automatiquement les incidents de sécurité. Certains peuvent même réagir automatiquement au danger. L’apprentissage automatique est déjà utilisé par de nombreux produits de sécurité contemporains, tels que le renseignement sur les menaces. La nécessité d’exploiter l’IA et le ML dans la cybersécurité est soulignée par tous avec ses principaux avantages mentionnés ci-dessous :

Traitement automatisé des vecteurs d’attaque : L’IA a la capacité de traiter des millions de vecteurs par seconde et de contrecarrer les attaques naissantes en identifiant rapidement de nouveaux modèles.

Prise en charge du modèle Zero-Trust : Divers ensembles de données sans IA ne sont tout simplement pas pertinents ou exploitables car les comportements humains sont prévisibles. L’IA aide à créer l’analyse approfondie des menaces requise pour maintenir un modèle de confiance zéro fonctionnel.

Gestion des opérations de menace : L’intelligence artificielle peut aider les équipes de cybersécurité en automatisant l’interprétation des signaux d’attaque, en hiérarchisant les avertissements et les incidents et en personnalisant les défenses en fonction de la taille et du rythme de l’attaquant.

Cas d’utilisation de l’IA dans la cybersécurité

1. a) Une entreprise affirme que son outil de cybersécurité basé sur l’IA aide les banques et d’autres organisations financières à identifier les menaces de sécurité et les adversaires tout en analysant les transactions pour trouver des risques de sécurité faibles.
2. b) Un autre logiciel dispose d’un programme antivirus intelligent qui utilise l’IA pour trouver, arrêter et prévoir les menaces. Cet outil ne nécessite pas de mises à jour des signatures de virus, contrairement aux logiciels antivirus classiques, mais il finira par apprendre à reconnaître les applications nuisibles du début à la fin.
3. c) Dans un autre exemple, un logiciel soutenu par AI-ML analyse les statistiques de trafic réseau afin de déterminer le comportement de base de chaque utilisateur et appareil de l’entreprise. Le logiciel apprend à reconnaître un écart critique par rapport au comportement habituel de l’utilisateur et informe immédiatement l’organisation des cyber-risques après avoir reçu des informations et d’autres ensembles de données de formation d’experts en la matière.

Conclusion

Pour prospérer dans la course aux armements en matière de cybersécurité, l’apprentissage artificiel et l’apprentissage automatique sont devenus le Saint Graal. Leurs compétences vont bien au-delà de l’identification et du signalement des menaces connues. Les organisations peuvent accroître leur capacité à identifier et à traiter les risques de sécurité en adoptant le cadre MITRE ATT&CK pour renforcer leurs capacités de chasse aux menaces et de réponse aux incidents. Ce faisant, ils peuvent protéger leurs précieux actifs et réduire les chances de succès d’une attaque.

De bons systèmes de gestion des informations et des événements de sécurité (SIEM) peuvent également jouer un rôle important dans l’avenir de la cybersécurité. En collectant et en analysant des données provenant de nombreuses sources, les systèmes SIEM aident les organisations à identifier et à répondre aux risques de sécurité. Ils peuvent offrir un aperçu complet de la posture de sécurité d’une organisation en fusionnant des données provenant de nombreuses sources, telles que des périphériques réseau, des serveurs et des applications.