SentinelOne verkürzt Malware-Analysen von Wochen auf Stunden
Mit OpenAI Daybreak verkürzt SentinelOne die Malware-Analyse von Wochen auf Stunden und kann dadurch mehr Bedrohungen untersuchen.
8
Stunden für das Reverse Engineering von Schadsoftware statt 4–6 Wochen
Das Reverse Engineering einer komplexen Schadsoftware kann selbst eine Spitzenfachkraft in der Sicherheitsforschung vier bis sechs Wochen kosten. Es ist mühsame Detailarbeit: Forschende zerlegen Software, um ihr Verhalten zu verstehen. Wenn sie neue Informationen entdecken, müssen sie oft frühere Schritte erneut durchgehen. Laut Gregor Stewart, Chief AI Officer bei SentinelOne, kann OpenAI Daybreak beim Reverse Engineering inzwischen in rund acht Stunden Ergebnisse auf menschlichem Niveau liefern.
OpenAI verkürzt die Zeit für tiefgehende Analysen. Dadurch haben die Forschenden bei SentinelOne mehr Spielraum, weitere Schadsoftware zu untersuchen und Erkenntnisse aus verschiedenen Proben miteinander zu verknüpfen. Dieser breitere Überblick zeigt oft Zusammenhänge auf, die bei isolierten Untersuchungen möglicherweise unentdeckt bleiben. Stewart beschreibt diese Möglichkeit als „eine Art von Erkenntnissen, die wir uns bisher nie leisten konnten“.
„Wofür eine Spitzenfachkraft in der Sicherheitsforschung vier oder sechs Wochen gebraucht hätte, erledigt KI heute in etwa acht Stunden, mit Ergebnissen auf menschlichem Niveau.“
Daybreak gibt Fachkräften in der Cyberabwehr Zugang zu OpenAI-Modellen für ihre Arbeit in der Cybersicherheit. SentinelOne nutzt diese Fähigkeiten für das Reverse Engineering von Schadsoftware und untersucht dabei deren Verhalten. Schnellere Analysen geben den Forschenden mehr Kapazität, um zusätzliche Proben zu untersuchen.
Stewart betont, dass sein Team weiterhin die Verantwortung für das Ergebnis trägt. „Das Einzige, was sich nicht automatisieren lässt, ist Verantwortung“, sagt er. „Nehmen wir die Entscheidung, die Architektur zu ändern. So etwas sollten weiterhin Menschen prüfen. Punktuelle Korrekturen oder Änderungen, die die Funktionsweise der Software nicht grundlegend verändern, eignen sich dagegen möglicherweise besser für die Automatisierung“, ergänzt er.
Früher mussten sich die Forschungsteams bei SentinelOne bei tiefgehenden Untersuchungen auf die interessantesten oder wichtigsten entdeckten Bedrohungen beschränken. „Wir konnten nur sehr wenige Programme per Reverse Engineering untersuchen“, sagt Stewart. Weil weniger Proben zum Vergleich vorlagen, gab es auch weniger Möglichkeiten, Zusammenhänge zwischen Bedrohungen zu erkennen.
„Durch schnelleres Reverse Engineering können wir einen viel größeren Teil der Malware-Landschaft erfassen und mit ihren Veränderungen Schritt halten. So erhalten unsere Forschenden ein klareres Bild davon, wie Bedrohungen zusammenhängen und wie sich diese Zusammenhänge entwickeln.“
Schnellere Analysen mit Daybreak geben Forschenden mehr Möglichkeiten, Malware-Proben zu vergleichen und nach gemeinsamen Komponenten zu suchen. Eine Komponente, die etwa in zwei scheinbar unabhängigen Proben vorkommt, könnte Forschenden einen Anhaltspunkt für eine Untersuchung bei einem Kundenunternehmen liefern.
Der Vergleich von Erkenntnissen aus mehr Proben macht auch übergreifende Zusammenhänge zwischen Bedrohungen sichtbar. Diese Zusammenhänge zu erkennen, so Stewart, „würde helfen, Bedrohungen früher abzuwehren und bei der Abwehr vorausschauender vorzugehen“.
Laut Stewart können bei SentinelOne durch den Zugang zu den Cybersicherheitsfähigkeiten von OpenAI mehr Menschen Verantwortung für Sicherheitsaufgaben übernehmen. „Fast alle haben jetzt Zugang zu Fachwissen, das vielleicht noch vor wenigen Monaten äußerst knapp war“, sagt er. Mehr Teammitglieder können Probleme selbst untersuchen, statt auf eine kleine Gruppe spezialisierter Fachkräfte angewiesen zu sein.
Stewart möchte die Cybersicherheitsfähigkeiten von OpenAI in die Codeerstellung integrieren, damit die Entwicklungsteams bei SentinelOne Sicherheitsprobleme schon während der Entwicklung angehen können.
„OpenAI verschafft der Cyberabwehr einen Vorteil, indem es allen im Entwicklungsteam Cybersicherheitsfähigkeiten auf Expertenniveau zur Verfügung stellt.“
