Кошмар начинается с того, что наш протагонист пытается найти способ проникнуть внутрь, чтобы добраться до файлов фирмы, но все двери заперты. Затем они замечают черный ход, и вот они уже внутри: сначала идут, потом бегут по одному коридору, потом по другому, и еще по одному, чувствуя, что приближаются к заветному файлу и заработку, о котором мечтали годами. Но что-то не так. Кажется, коридоры ведут только в новые коридоры. Впервые наш протагонист чувствует, что за ним наблюдают. И тогда он бежит.
Это кошмар, который разыгрывается каждые пару минут в компаниях по всему миру: киберпреступник отправляет запрос на то, что считает открытым сервером компании, и обнаруживает, что информация, которую он получает, якобы конфиденциальная, таковой совсем не является. Это потому, что на самом деле он столкнулся с сервером-ловушкой (honeypot), цифровой клеткой, которую организации используют для приманки злоумышленников и фиксации их действий, пока те пытаются взломать компанию.
Теоретически это намного безопаснее, чем позволить им проникнуть, попутно изучая ущерб, который они оставляют. На практике, однако, эффективность ловушек исторически зависела от того, сколько усилий программисты вложили в то, чтобы среда казалась реалистичной для атакующего — а это, учитывая, что содержание таких серверов может стоить десятки тысяч долларов в месяц, обычно немного. Но недавнее объединение больших языковых моделей (LLM) с ловушками позволяет этим серверам генерировать убедительные среды при значительно меньших затратах, многократно усиливая сбор разведывательной информации об угрозах как для отдельных организаций, так и для всего сообщества кибербезопасности.
Как использовались ловушки
Сами ловушки существуют с 1986 года, когда астроном, ставший менеджером компьютерных систем, доктор Клифф Столл поймал шпиона КГБ, пытавшегося украсть секреты американских военных через соединение ARPANET. Инновация Столла в конечном итоге вдохновила на создание классических серверов-ловушек.
«Исследователи их обожают, поскольку это один из лучших способов сбора реальных TTP (тактик, техник и процедур) атакующих и обнаружения новых кампаний вредоносного ПО», — говорит исследователь кибербезопасности и основатель Beelzebub Марио Кандела. Команды SOC, тем временем, склонны рассматривать их как «приятное дополнение», учитывая, насколько сложными и дорогими были развертывание и обслуживание ловушек — премиум-версии поглощали тысячи долларов и инженерные часы ежемесячно — и как быстро самые изощренные и опасные угрозы могли их обнаружить.
Появление LLM в конце 2010-х годов, однако, привело к первым экспериментам академических исследователей по объединению ИИ с ловушками. Доктор М. Абдулла Канбаз хорошо помнит этот период. Идея присоединить LLM к ловушке пришла к нему, доценту информационных наук и технологий в Университете штата Нью-Йорк в Олбани, от одного из его студентов. Они создали собственную LLM, обучив ее анализировать данные трафика и обрабатывать огромное количество команд Linux. Это, объясняет Канбаз, позволило ей справляться даже с самыми изощренными хакерами. Полученная статья была опубликована в 2024 году, на пике расцвета академическогоинтереса к ловушкам на базе ИИ. «С тех пор мне поступает так много звонков», — говорит Канбаз, часто от людей, которые «хотят взять нашу статью и… превратить ее в стартап».
Многие так и сделали. Ловушки на базе ИИ, далеко не являясь академическим упражнением, теперь создаются организациями, большими и малыми. К малым относится Beelzebub — ловушка с открытым исходным кодом на базе ИИ и с низким уровнем кодирования, которая приобрела репутацию дьявольской эффективности. «Ключевой архитектурный прорыв заключался в интеграции LLM непосредственно в уровень обмана», — говорит Кандела. «Вместо статических ловушек, основанных на правилах, мы создали высокоинтерактивные среды обмана, управляемые LLM, которые могут динамически реагировать на злоумышленников, удерживая их дольше и собирая более ценную информацию».
Изощренные злоумышленники, вероятно, в конечном итоге это поймут, но выгода для команд кибербезопасности того стоит. Они «могут в конечном итоге заметить тонкие несоответствия: возможно, шаблон задержки ответа, отличающийся от реальной системы, или файловую систему, которая слишком «чистая», или систему, которая не проявляет определенных ожидаемых побочных эффектов реального компрометации», — говорит Кандела. Но «к тому времени, когда злоумышленник начнет подозревать, что он находится в среде обмана, мы уже захватили его инструменты, TTP и намерения».
Почему CISO следует рассмотреть ловушки
Еще одним игроком в сфере ловушек на базе ИИ является Deutsche Telekom (DT). Фирма одновременно использует и предлагает ловушки на базе ИИ через свою бесплатную платформу с открытым исходным кодом «T-Pot». Самое очевидное преимущество их использования, объясняет Марко Охсе, руководитель отдела аналитики и смягчения последствий угроз в DT, заключается в том, насколько дешево обходятся установка и эксплуатация этих ловушек по сравнению с их предшественниками. «На практике ИИ меняет экономику обмана», — говорит Охсе. «Он позволяет [организации] масштабировать правдоподобное взаимодействие без [обычных] затрат и сложности».
Это не происходит за счет сложности, добавляет главный специалист по безопасности DT Томас Чершич. С точки зрения инженера, создающего ловушку, разница между классическим и ИИ-вариантом сродни съемке сцены фильма с использованием сложных деревянных декораций, построенных на заднем дворе, или CGI: в обоих случаях это фасады, но последний намного дешевле, оставаясь при этом почти неотличимым от фальшивой городской улицы, тщательно построенной из фанеры. Что еще лучше, ловушка на базе ИИ может адаптироваться к запросам хакера в режиме реального времени, что увеличивает вероятность того, что он дольше пробудет в ловушке, даже не осознавая, что он в ней находится. В конечном счете, говорит Чершич, можно повысить достоверность взаимодействия с злоумышленниками без привязки к высоким инвестициям.
Это стало более важным на фоне всплеска атак на организации, которые начинаются с того, что злоумышленники уже получили действительные учетные данные для доступа к системам. В таких сценариях, говорит Кандела, защитники «слепы, как только злоумышленник оказывается внутри» сети. Удерживая злоумышленников дольше на традиционных точках атаки и развертывая ловушки на базе ИИ в менее традиционных местах, таких как API и внутри ИИ-агентов, говорит Кандела, организации могут получить преимущество над своими противниками.
Что же мы все узнаем из развертывания этой более крупной сети на базе ИИ? Главное развитие, объясняет Кандела, — это использование ИИ самими киберпреступниками. Это «демократизирует атаки», поскольку злоумышленники теперь используют помощников по кодированию не только для быстрого создания и развертывания эксплойт-кода в масштабе, но и для автоматического зондирования уязвимостей в целевых системах с помощью ИИ. «Инструменты красной команды с открытым исходным кодом на базе ИИ позволяют автономным агентам сканировать, использовать уязвимости и адаптироваться без вмешательства человека», — говорит Кандела.
У этой парадигмы есть риски. Выводы LLM, в конце концов, по сути, являются продуктом распознавания образов очень высокого уровня. Если доверить кибербезопасность такому ИИ, говорит Канбаз, вы рискуете оставить поверхность атаки широко открытой для эксплуатации киберпреступниками, проводящими неортодоксальные и, следовательно, неожиданные кампании. В этом будущем, продолжает он, «нет четкого определения атакующего».
Как атакующие могут противодействовать ловушке
Кандела разделяет эти опасения, предвидя появление провайдеров «обнаружения обмана как услуги» (deception detection-as-a-service), удовлетворяющих спрос со стороны организаций киберпреступников на поиск ловушек на базе ИИ в компаниях до попыток взлома. Кроме того, «изощренные акторы могут попытаться отравить данные ловушки или манипулировать уровнем обмана», — говорит Кандела, что является ключевой причиной, по которой среда обмана Beelzebub изолирована.
Скорость кибератак также может возрасти, поскольку хакеры, не зная, взаимодействуют ли они с ловушкой или нет, стремятся проводить свою злонамеренную деятельность как можно быстрее и эффективнее на всякий случай, если за ними наблюдают. «Это на самом деле делает обман более ценным, а не менее», — говорит Кандела, «поскольку атакующие, ориентированные на скорость, с большей вероятностью будут взаимодействовать с хорошо расположенными ловушками во время быстрого бокового перемещения».
Значит ли это, что пора прощаться с классической ловушкой? Не обязательно, утверждает Чершич. «Статические развертывания ловушек, такие как датчики низкой, средней или высокой степени взаимодействия, не будут заменены, а будут дополнены ловушками на базе ИИ в ответ на высокоавтоматизированный и управляемый ИИ ландшафт угроз», — говорит он. Тем не менее, ландшафт кибербезопасности быстро меняется, и ответственность за атаку и защиту все больше ложится на машины. Ловушка на базе ИИ, возможно, является мостом в это будущее — к лучшему или к худшему.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Greg Noone
