SentinelOne: analiza malware trwa godziny, nie tygodnie
Dzięki OpenAI Daybreak SentinelOne skraca analizę złośliwego oprogramowania z tygodni do godzin, zyskując czas na badanie większej liczby zagrożeń.
8
Godzin na inżynierię wsteczną złośliwego oprogramowania zamiast 4–6 tygodni
Inżynieria wsteczna zaawansowanego złośliwego oprogramowania może zająć czołowemu badaczowi bezpieczeństwa od czterech do sześciu tygodni. To żmudna praca: badacze rozkładają oprogramowanie na części, by zrozumieć jego zachowanie, a nowe informacje często zmuszają ich do powrotu do wcześniejszych etapów analizy. Gregor Stewart, dyrektor ds. AI w SentinelOne, mówi, że OpenAI Daybreak potrafi już w około osiem godzin uzyskać rezultaty analizy metodą inżynierii wstecznej porównywalne z wynikami pracy człowieka.
Skracając czas potrzebny na dogłębną analizę, OpenAI pozwala badaczom SentinelOne badać więcej złośliwego oprogramowania i łączyć ustalenia z analizy różnych próbek. Ta szersza perspektywa często ujawnia powiązania, które mogłyby umknąć w pojedynczych analizach. Stewart opisuje tę możliwość jako „rodzaj wiedzy o zagrożeniach, na który nigdy wcześniej nie mogliśmy sobie pozwolić”.
„To, na co najwyższej klasy badacz potrzebowałby czterech lub sześciu tygodni, AI potrafi dziś zrobić w około osiem godzin, osiągając porównywalne rezultaty”.
Daybreak daje obrońcom dostęp do modeli OpenAI do pracy nad cyberbezpieczeństwem. SentinelOne wykorzystuje te możliwości do inżynierii wstecznej złośliwego oprogramowania, analizując je, aby zrozumieć jego zachowanie. Szybsza analiza pozwala badaczom firmy zajmować się większą liczbą próbek.
Stewart podkreśla, że odpowiedzialność za wyniki nadal spoczywa na jego zespole. „Jedyne, czego nie da się zautomatyzować, to odpowiedzialność” — mówi. „Weźmy choćby decyzję o zmianie architektury. To coś, co nadal powinien nadzorować człowiek. Natomiast drobne poprawki czy zmiany, które nie wpływają zasadniczo na sposób działania oprogramowania, mogą być lepszymi kandydatami do automatyzacji” — dodaje.
Wcześniej zespoły badawcze SentinelOne musiały ograniczać dogłębną analizę do najciekawszych lub najważniejszych wykrytych zagrożeń. „Mogliśmy poddawać inżynierii wstecznej tylko bardzo niewielką liczbę programów” — mówi Stewart. Mając mniej próbek do porównania, badacze mieli mniej okazji, by dostrzec powiązania między zagrożeniami.
„Szybsza inżynieria wsteczna pozwala nam mapować znacznie większą część krajobrazu zagrożeń związanych ze złośliwym oprogramowaniem i nadążać za zachodzącymi w nim zmianami. Dzięki temu nasi badacze lepiej rozumieją powiązania między zagrożeniami i to, jak te relacje ewoluują”.
Szybsza analiza z Daybreak daje badaczom więcej możliwości porównywania próbek złośliwego oprogramowania i szukania wspólnych komponentów. Na przykład komponent znaleziony w dwóch pozornie niepowiązanych próbkach może wskazać badaczom trop do sprawdzenia podczas analizy prowadzonej dla klienta.
Porównywanie ustaleń pochodzących z większej liczby próbek ujawnia też szersze powiązania między zagrożeniami. Dostrzeganie tych powiązań, jak mówi Stewart, „pomogłoby chronić się przed zagrożeniami z większym wyprzedzeniem i działać bardziej proaktywnie”.
Jak mówi Stewart, dostęp do możliwości OpenAI w zakresie cyberbezpieczeństwa pozwala większej liczbie osób w SentinelOne brać odpowiedzialność za zadania związane z bezpieczeństwem. „Teraz niemal każdy ma dostęp do wiedzy eksperckiej, która jeszcze kilka miesięcy temu była bardzo trudno dostępna” — mówi. Więcej członków zespołu może samodzielnie badać problemy, zamiast polegać na wąskiej grupie specjalistów.
Stewart chce włączyć możliwości OpenAI w zakresie cyberbezpieczeństwa do procesu tworzenia kodu, aby programiści SentinelOne mogli rozwiązywać problemy z bezpieczeństwem już podczas pracy nad oprogramowaniem.
„OpenAI daje przewagę obrońcom, udostępniając każdej osobie w zespole programistycznym eksperckie możliwości w zakresie cyberbezpieczeństwa”.
