SentinelOne: haittaohjelma-analyysi viikoista tunteihin
OpenAI Daybreak lyhentää SentinelOnen haittaohjelma-analyysin viikoista tunteihin ja antaa tutkijoille aikaa tutkia useampia uhkia.
8
Tuntia haittaohjelman takaisinmallinnukseen aiemman 4–6 viikon sijaan
Kehittyneen haittaohjelman takaisinmallinnus voi viedä huipputason tietoturvatutkijalta neljästä kuuteen viikkoa. Työ vaatii tarkkuutta: tutkijat purkavat ohjelmiston osiin selvittääkseen sen toimintaa ja joutuvat usein palaamaan aiempiin vaiheisiin uuden tiedon löytyessä. SentinelOnen tekoälyjohtaja Gregor Stewart kertoo, että OpenAI Daybreak pystyy nyt tuottamaan ihmisen työn veroisen takaisinmallinnuksen noin kahdeksassa tunnissa.
Lyhentämällä syvälliseen analyysiin kuluvaa aikaa OpenAI antaa SentinelOnen tutkijoille mahdollisuuden tutkia useampia haittaohjelmia ja yhdistää eri näytteistä tehtyjä havaintoja. Laajempi näkökulma paljastaa usein yhteyksiä, jotka voisivat jäädä yksittäisissä tutkimuksissa huomaamatta. Stewart kuvailee mahdollisuutta ”sellaiseksi uhkatiedoksi, jonka hankkimiseen meillä ei aiemmin ollut varaa”.
”Tekoäly tekee nyt noin kahdeksassa tunnissa työn, johon huippututkijalta olisi kulunut neljästä kuuteen viikkoa, ja tulos on ihmisen työn veroinen.”
Daybreak tuo OpenAI-mallit puolustajien käyttöön kyberturvatyössä. SentinelOne hyödyntää näitä ominaisuuksia haittaohjelmien takaisinmallinnuksessa eli tutkii ohjelmistoja ymmärtääkseen niiden toimintaa. Nopeampi analyysi antaa tutkijoille aikaa tutkia useampia näytteitä.
Stewart korostaa, että vastuu lopputuloksesta säilyy hänen tiimillään. ”Ainoa asia, jota ei voi automatisoida, on vastuun kantaminen”, hän sanoo. ”Otetaan esimerkiksi päätös muuttaa arkkitehtuuria. Siihen halutaan edelleen ihmisen arvio. Sen sijaan yksittäiset korjaukset tai muutokset, jotka eivät muuta ohjelmiston toimintaa perustavanlaatuisesti, voivat sopia paremmin automatisoitaviksi”, hän lisää.
Aiemmin SentinelOnen tutkimustiimien oli rajattava syvällinen tutkimus vain kiinnostavimpiin tai tärkeimpiin löytämiinsä uhkiin. ”Pystyimme takaisinmallintamaan vain hyvin pienen määrän ohjelmistoja”, Stewart sanoo. Kun vertailtavia näytteitä oli vähän, myös tilaisuuksia havaita uhkien välisiä yhteyksiä oli vähemmän.
”Nopeamman takaisinmallinnuksen ansiosta voimme kartoittaa huomattavasti suuremman osan haittaohjelmakentästä ja pysyä sen muutosten tahdissa. Näin tutkijamme saavat selkeämmän kuvan siitä, miten uhat liittyvät toisiinsa ja miten nämä yhteydet kehittyvät.”
Daybreakin nopeuttama analyysi antaa tutkijoille enemmän mahdollisuuksia vertailla haittaohjelmanäytteitä ja etsiä yhteisiä komponentteja. Esimerkiksi kahdesta näennäisesti erillisestä näytteestä löytyvä yhteinen komponentti voi antaa tutkijoille johtolangan asiakkaan tapauksen selvittämiseen.
Useammista näytteistä tehtyjen havaintojen vertailu paljastaa myös laajempia yhteyksiä uhkien välillä. Stewartin mukaan näiden yhteyksien havaitseminen ”auttaisi torjumaan uhkia aiemmassa vaiheessa ja tekemään puolustuksesta ennakoivampaa”.
Stewart kertoo, että OpenAI:n kyberturvaominaisuudet antavat yhä useammalle SentinelOnen työntekijälle mahdollisuuden ottaa vastuuta tietoturvatyöstä. ”Lähes kaikkien saatavilla on nyt asiantuntemusta, josta oli huutava pula vielä ehkä muutama kuukausi sitten”, hän sanoo. Yhä useampi tiimin jäsen voi tutkia ongelmia itse sen sijaan, että olisi pienen asiantuntijajoukon varassa.
Stewart haluaa tuoda OpenAI:n kyberturvaominaisuudet osaksi koodin kirjoittamista, jotta SentinelOnen kehittäjät voivat ratkaista tietoturvaongelmia jo kehitystyön aikana.
”OpenAI siirtää etulyöntiaseman puolustajille tuomalla asiantuntijatason kyberturvaosaamisen kehitystiimin jokaisen jäsenen käyttöön.”
