BSides Ukraine Security Week 08.12.2020

Так мы приносим снова свои извинения у нас снова поменялась поменялась ссылка трансляции [музыка] а новая ссылка вот здесь вот сейчас я его всем разошли и мы начнём трансляцию заново Прошу свои извинения

мы вчера думали что мы с этим справимся но оказалось не справились поэтому мы начнём немножко завтра мы будем вещать из другого места для того чтобы больше не повторять таких проблем Надеюсь их больше не будет раз очень очень

а очень жа очень жаль очень Я прошу прощения вот думаю мы готовы ещё раз попробовать на этот раз уже чтоб чтоб

точно Привет меня зовут Адамов Александр я основатель и руководитель научно Иско лаборатории Нега а также я читаю курсы по кибербезопасности в Харьковском национальном университете Радиоэлектроники и шведском Блен of technolog И сегодня я хотел бы поговорить про автономную атаку и защиту а давайте определимся что я буду подразумевать под автономной атакой и защитой автономность имеется в виду что система может принимать решения без участия человека то есть например детектировать кибератаку и принимать решение о её блокировании то есть в данном случае нам человеку нет необходимости вмешиваться в процесс детектирования и реагирования на кибератаку и данная система может реализовать полны цикл реагирования на инцидент А какие же предпосылки существуют для введения автономных систем в защите Ну в том числе в Атак для тестирования систем и

сервисов Первое это болье количество данных кото собирать и обрабатывать для того чтобы жи там атаку То есть это телеметрия которая собирается обычно спотов С этой целью используют такие решения как или эти системы современные версии данных систем обладают искусственным интеллектом и они в состоянии реагировать на инциденты обнаруживать их и реагировать ВНО система в названии этой системы есть resp а в C есть так называемая класс решений Next Generation cm То есть это новое поколение cm систем которое не только анализирует логи собираемые с узлов сети но и могут также анализировать их определять атаку и блокировать запускать скрипты которые Бут например изолировать зан узел предпосылка номер д это необходима защиты в режиме реального времени вы часто слышали что хакеры планируют свои

атаки либо в ночное время когда большинство сотрудников находится вне офиса и не имеют доступа к системам управления защитой или на праздники или перед праздниками для того чтобы име в запасе болье количество времени ние кого разведку второй стадии устанавливать выносные программы распространять их в сети и так далее для этого требуется некоторое время и здесь как раз и мы сталкиваемся с противостоянием а атакующей стороны и защищающей предпосылка номер три - это отсутствие специалистов точнее специалисты есть но их не хватает для того чтобы покрыть все необходимые потребности в различных отраслях промышленности и поэтому использование автоном систем с искуственным интеллектом автономных систем которые позволяют хотя бы частично заменить труд се аналитика сети инженера копса это является также одной из

предпосылок Для внедрения данных систем лка номе это отсутствие финансирования при у нас существуют решения с а автономными модулями реагирования на инциденты эти решения достаточно дорогие А их покупка их поддерживание Поэтому а а так как мы знаем что в ряде в ряде организаций финансирования кибербезопасности осуществляется по остаточному принципу то эти системы обычно не закупаются А из интересных ивентов а связанных с автономным автономными атакам и защитой Я бы отметил Cyber Grand Challenge который был организован а дапа в 2016 году А изначально в данном контесте это по сути ctf для автономных систем участвовало более 100 команд в финал который состоялся 4 августа 2016 года дошло семь команд ихняя задача была создать автономную систему которая бы атаковала другие команды и с другой стороны

определяла бы атаки со стороны своих врагов вы видите на экране картинка которая была собственно в отеле в лас-вегасе эти ихние системы были развёрнуты в виде Таких вот шкафов и на время соревнования между команда возможности управлять этими системами то есть системы были полностью в работали полностью В автономном режиме атаковали и защищали целью Атак данных систем являе являлось поиск уязвимостей в программном коде и их эксплуатация также интересным моментом а является призовой фонд например за первое место а призовой фонд был 2 млн долларов за второе место 1 млн долларов И третье место 750 сся долларов что говорит об актуальности данной задачи и необходимости разработки данных систем А ещё один интересный ч который я нашёл это работа Джона швар из

университета Нда в Австралии которая была посвящена автоном автономному пентест с использованием reinforcement lefor lear - это обучение с подкреплением это один из классов а алгоритмов машинного обучения которые используются например в создании автономных агентов в компьютерных играх в данном случае автор взял рассмотрел такую вот небольшую сеть организации Он создал её модель задача Агента была проникнуть в данную организацию используя уязвимости которые он мог бы найти на компьютерах и украсть конфалье данные вы видите что на узлах 2но и 5.0 а находятся а данные консольные данные которые на которые был нацелен Агент и если Агенту удаётся найти эти данные и украсть их из сети то он получает за это так называе то есть выигрыш ещё одна новость - это

публикация в октябре этого года организации ма неформально оно роется [музыка] как В содружестве С майкрософта и ещё одиннадцатью другими компаниями они создали ад ML Matrix то есть Матрица угроз для атакующего а эля для атакующих моделей машинного обучения эту модель можно сейчас посмотреть на гитхабе она выложена так сказать в черновом варианте а видите оранжевым техники которые относятся непосредственно к технологиям машинного обучения им - это техники общего назначения кото используется и в других атаках не связанных с м а здесь мы видим в отличие от Enterprise [музыка] матрицы здесь у нас се тактик в матри Ути тактика которая которой нет в моделях Enterprise или ics это модели То есть как злоумышленники как хакеры пытаются обойти модели машин обучения

которые отвечают за детектирование кибератак в частности один из вариантов - это Например модель poisoning или Data Poison то есть отравление входных данных отравление моделей то есть скармливание этим моделям Таких данных чтобы модель перестала функционировать и выявлять аномалии в нормальном режиме рекомендую к анализу и собственно это скажем так подсказкой для того В каком направлении можно двигаться в исследованиях машинного обучения моделях машинного обучения в кибербезопасности ещ один интересный момент с моей точки зрения это использования симуляции Атак в частности тот же май а запустил проект Attack evation а то есть первые публикации отчёты были тоже в начале 2020 года идея состоит в том чтобы брать известные thre actors то есть известные криминальные группы и моделировать атаки с использованием такти и техник которые

использовали данные группы не обязательно в одной атаке можно собственно комбинацию тактики техник использованных в различных атаках но свойственны это кибергения

собрана А с помощью этого продукта защиты и насколько эффективен данный продукт в скажем так в выявлении кибератаки и здесь мы видим несколько типов данных которые собирал продукт это информация от выявления выявленной тактики выявленной техники это телеметрия с устройств и информация Security Service прова Ну и также был ещё класс данных General и мы видим что Несмотря на то что группировка т-29 уже давным давным-давно известна она существует с 2004 года а при этом мы видим что реакция продуктов очень отличается и есть продукты которые смогли Определить максимальное количество тактик и техник есть продукты которые не смогли определить тактики И лишь часть оделили лишь часть техник использова при симуляции а Таким образом мы можем при помощи моделирования мы можем попробовать

предвидеть атаки в будущем потому как большинство Атак большинство новых Атак они всё равно используют тактики уже известные тактики и техники лишь меняют их скажем так комбинацию либо есть некоторые изменения в х такти и техник А Мы работали больше времени Мы работали с продуктами которые защищают от Н И мы также разработали свой тест на основе симуляции поведения троянских программ шифровальщиков и вот провели первый тест в апреле 2017 года и на тот момент когда эта тема только как бы начала развиваться угрозах програм чиков становилась всё более явной и многие продукты начали внедрять скажем так интеллектуальные системы идентификации активности итальянских про шифровальщиков в частности которые основываются на поведенческом блокировании но на тот момент как вы видите большинство продуктов Это топ

антивирусы они не могли определить по по поведению нашего симулятора что идёт атака шифровальщика большинство из продуктов были нацелены на детектирование с помощью сигнатур а при встрече с симулятором который был реализован на питоне они собственно никак не прореагировали на шифрование файлов на целевой системе вот как выглядит наш симулятор это его более современная версия уже Мы указываем папку в которой находится файлы которые обычно шифруют ки програм шифровальщики дальше можем указать Какое расширение добавлять зашифрованным файлам Какое количество файлов шифровать за одну итерацию алгоритм использовать B4 кодирования какую Крипто блеку использовать шифровать ли данные в Облаке мы запускаем шифрование по одному файлу потом можем поменять например запустить сразу шифрование пяти файлов и в правом нижнем углу у нас тут работает

в консоли так называе те если он видит большое количество аномалий связанных с модификацией файлов и тогда он выдаёт сообщение о том что активность шифровальщика была закро то есть ключевой момент здесь какое пороговое значение установить для нашего детектора для того чтобы он эффективно опреде атаку широва ви не вызывает срабатывание детектора но если мы запускаем скажем так шифрование пять более файлов то мы видим реакцию нашего детектора но мы пошли дальше И решили немножко добавить интеллекта к нашему симулятору для того чтобы иметь возможность скажем так В автономном режиме определять А какие именно параметры устанавливать для нашего симулятора для того чтобы он эффективно мог обходить защиту н детектора то есть в нашем случае Агент представлен симулятором это у нас

симулятор среда у нас это операционная система на которой у нас в папке лежат файлы которые пользовательские файлы которые обычно шифруются й програм вальков их в нашем эксперименте выбрали 10 а суть нга сводится к тому чтобы в результате взаимодействия со средой Агент А мог учиться и находить оптимальную стратегию которая в долгосрочной перспективе приводит к достижению цели Ну в данном случае у нас оценка цели производится с помощью reward то есть Агент у нас запускает некоторое действия на шаге на итом шаге а среда реагирует на это действие и например мы смотрим если в результате действия шифровальщика какая-то часть файлов была зашифрована то мы выдаём который положительный То есть он больше нуля и соответственно система переходит в новое состояние и таким

образом проходя большое количество итераций Агент научатся выбирать такое действие которое водит к максимизации а рда в долгосрочной перспективе так называемой назовём это Total Total reward алгоритмы нга нам известны например по по проекту alp Go и Alpha Zero alp Zero Это был проект который умел играть шахматы и обыграл [музыка] компьютерную программу которая на тот момент уже успела обыграть чемпиона в шахматы а alp Go - Это программа которая играла в игру Go могла играть в игру го и состоялся матч в результате которого данная компьютерная программа победила восемнадцати тно чемпиона мира лиси дола а сложность игры с точки зрения компьютера в данную игру в том что а невозможно перебрать все комбинации точнее это это будет достаточно сложно потому как а

игра происходит на доске 19 на1 клеток и Что даёт 10 в степени 360 а возможных ходов которые невозможно просчитать Это количество а которое больше атомов во вселенной и поэтому а подход который использует обычный перебор так называемый brot Force он не работает в данной игре А в нашем эксперименте Мы у нас было собственно два действующих лица Первое - это н симулятор целью нго симулятора являлось зашифровать максимальное количество файлов за минимальное количество шагов и второе действующее лицо Это детектор целью детектора является за детектировать процесс шифрования файлов и сгенерировать сообщение предупреждающая о активности Ну тем самым заблокировать наш симулятор А какие использовались техники симулятор у нас мог добавлять расширение А мог и не добавлять Что является типичным поведением широко для того чтобы Какие

Фани зашивали добавляется второе расширение к зашифрованном файлу также поверх а зашифрованных данных например с помощью алгоритма А можно а использовать B4 а для того чтобы снизить уровень энтропии часто уровень энтропии используется как один из факторов свидетельствующих о а об атаке шифровальщика о Аа о факте шифрования данных а и также можно выбирать количество файлов которое будет шифроваться за итерацию у нас в данном случае это будет оди два файла 5п и 10 ансо детектор А в соответствии с техниками симулятора имел следующие три метода детектирования аномального поведения аномалий в модификации файлов Первое - это добавление второго расширения второе - это высокий уровень тропи который опять-таки симулятор мог понижать с помощью 4 кодирования и аномальная модификация файлов во времени То есть например если

у нас 10 файлов было модифицирована в интервале 1 секунда то Это говорит о том что эти модификации произв не человек а скрипт программа и то есть это может быть например архиватор который архивируемых

[музыка]

также может определить активность шифровальщика для этого мы определяем следующей категории это состояние действия и rewards так как по сути с точки зрения математики это моделирование с помощью Mark of decision process markc process то есть конечные Марковские процессы принятия решений то соответственно нам нужно определить состояние то есть суть суть мдп состоит в том что у нас есть состояние и значит наш алгоритм может переходить из одного состояния в другое применяя некоторые действия и каждое из этих действий имеет определённую вероятность то есть с некоторой вероятностью наша система из состояния и может перейти в состояние п1 и у этого действия есть оден здесь мы определяем количество состояний Первое у нас 11 состояний состояние но соответствует состоянию когда у нас в

папке есть 10 файлов и все они не зашифрованы состояние 10 когда у нас все 10 файла папки были зашифрованы дальше то есть мы даём вые в зави количества запуск действия мы берм од одно оч также у нас Мы определили матрицу действий она у нас содержит 16 действий то есть есть возможность например добавлять расширение либо не добавлять кодировать с помощю либо не кодировать и четыре варианта

возможных действий определены в данной таблице То есть у нас получается Матрица 11 состояний и 16 действий и вот получены результаты Первое - это прогресс обучения на примере анализа RE То есть у нас есть некоторые памет это общее количество выигрыша кото бы за одну игру одна игра имеется в виду запуск нашего симулятора и если наш симулятор смог зашифровать все файлы он выигрывает в игре Если же в процессе шифрования дети файлов в папке его активность была определена н детектором то в данном случае н симулятор проигрывает игру и соответственно RE у него будет не максимальный здесь мы видим что к концу процесса обучения к там Ире у нас количество RE оно стремится к 15 Это говорит о том что

было использовано п шагов то есть было заплачено пять поинтов и остальные поинты были получены за зашифрованные файл а также процесс обучения можно посмотреть на графике в котором показано количество выигранных игр к общему количеству игр и мы видим что здесь у рост при приближении к ограниченному количеству игр и более показательная диаграмма Где мы можем видеть количество выигранных игр из де игр То есть если в начале обучения Мы видим что из 10 игр было выиграно но то к концу обучения да это 10 выигранных игр из дети то есть здесь у нас получается процент выигрыша является 100% И опять-таки если мы посмотрим на изменение этого отношения то мы увидим тоже экспоненциальный рост что в принципе соответствует а методологии reinforcement Learning А в

данном случае использовался самый простой алгоритм Q Learning то есть в данном примере не использовался нейронной сети в основе алгоритма является введение такой вот таблицы называется означает то есть при выборе определённого действия в определённом состоянии мы должны выбрать определённом состоянии мы должны выбрать действие и это действие мы можем определить по некоторому значению которое определяет качество этого действия то есть насколько выбранное действие приведёт В долгосрочной перспективе к к максимальному выигрышу А после каждой итерации после того как было выполнено действи действие получен RE на определённом Шаги а Q value обновляется при этом оно обновляется не только по результатам текущего рда но также учитывается в формуле обновления Q также учитывается оценка реворд для будущих состояний и что мы получили в результате моделирования мы

получили что А в изначальном состоянии а действие которое необходимо выбрать нашему Агенту А это действие номер 14 потому как оно имеет максимальный Q value равно 1412 примерно А если мы вернёмся немножко назад и посмотрим нашу таблицу то мы можем посмотреть что означает действие номер 14 здесь у нас видите extension 1 То есть у нас добавляется extension к зашифрованным файлам что может в принципе выдавать шифровальщик дальше B 64 у нас единичка то есть используется уменьшение энтропии зашифрованных данных и количество файлов что на Дан что в данной а в данном случае является наиболее интересным метрикой равно двум значение равно двум это у нас п файлов То есть первый шаг который делает наш агент интеллектуальный уже обученный это

шифрование пяти файлов А здесь я должен сказать что для нашего н детектора для эксперимента мы выбрали пороговое значение количества аномалий в файлах равная восьми То есть когда мы шифру например пять файлов за одну итерацию а наш н детектор не видит эту активность потому как пороговое значение установлено равное восьми дальше из состояния п у нас выбирается действие с максимальным qv в данном случае это действие номер оди Ну опять-таки если мы вернёмся в таблицу Посмотрим это будет а шифрование двух файлов соответственно мы переходим в состояние се а без использования без добавления расширения И без использования bc4 кодирования А в состоянии 7 у нас выбирается МАСИ наилучшее действие с индексом Ноль это шифрование одного файла без B4 кодирования и без добавления второго

расширения потом ещё раз мы выбираем действие номер но шифру ещё один файл с теми же параметрами Ну и в итоге мы получаем 10 файлов зашифрованных То есть это и является Цель нашего алгоритма И если мы посмотрим если с точки зрения тек мы посмотрим какое количество файлов было модифицирована единовременно Ну в рамках некоторой дель секун то мы видим что это количество равно п Возможно если вот эти две операции производились одно за за другим и попали в Дельту то у нас будет не пять файлов а се которые были модифицированы скажем так в течение некоторой дельты например одной секунды А дальше если мы посмотрим количество файлов которые были с двойным расширением у нас будет их пять потому что расширение добавлялась только здесь

п файлов с расширением а с высокой энтропией у нас будет опять-таки пять файлов То есть у нас высокая энтропия будет здесь здесь здесь здесь то есть пять файлов с высокой энтропией и таким образом мы видим А здесь сем Здесь пять Здесь пять ни один из этих ни одно из этих значений не превышает пороговое значение нго детектора и таким образом работа нашего нго симулятора была не

[музыка]

задекларуй кибератак так и для атаки для тестирования систем для тестирования антивирусов так называемых edr detection НС А вы можете написать мне если вы студент я А собственно руковожу научными работами своих студентов а в хнуре и в blacking of Technology если вам это интересно можете написать я могу стать вашим формальным или неформальным научным Тим или по крайней мере подсказать направление в которое вы можете двигаться в рамках вашего исследования с вашим научным руководителем в вашем а Спасибо за внимание Если будут вопросы буду рад

ответить слава Богу На этот раз вроде трансляция прошла успешно у нас ничего не отвалилось третий раз или четвёртый какое-то Спасибо большое Александ за доклад это бы бы интересно это наверное Ага вот у нас уже начались вопросы да ещё раз спасибо вам Александр если у наших слушателей есть вопросы Вы можете записать их нам в чат или подсоединиться к нам нет всё есть сигнал есть сигнал всё нормально слава Богу должен быть по крайней мере есть хорошо так первый вопрос происходит в этом мире туда со связью у тебя у тебя показывает красные эти плохая связь я сейчас разрыдаюсь

Ну показывай меня зелёненьким ну мне уже показывает этот самый что ты зелёненький обс показывает что трансляция идёт но здесь почему-то не идёт вот должна по идее идти уже Я надеюсь что уже идёт поэтому я ещё раз повторю вопрос На всякий случай в случае автоматизированной атаки Какая вероятность что сканеры найдут много fse POS и начнётся атака рандомными эксплойта по цели Ну если у нас если мы говорим о реальной Атак тоде тогда речь идёт не о фс позитива а о т позитива А И если опять таки Рандомные эксплойты Но это опять-таки зависит от того насколько интеллектуальный агент который атакует то есть ну то есть при обучении например в reinforcement Ленинг А для того чтобы обучить Агента а используют две политики

сначала используют политику exploration то есть когда Агент выбирает случайным образом действия то есть Ну например да использует Рандомные эксплойты и вторая часть обучения которая идёт после exploration называется exploitation вот exploitation это когда уже Агент выбирает действия на основе Тех самых или с использованием нейронной сети то есть когда уже выбор обоснован предыдущим опытом в результате которого Агент получает реворд да то есть очки выигрыш Да за данные действия и таким образом выбирает наилучшее действие которое приведёт В долгосрочной перспективе к лучшему результату То есть к достижению цели там к взлому сети и получени данных Я надеюсь что я ответил на этот вопрос Хотя скажем так он состоял из нескольких частей и возможно я до конца понял что что автор

имел в виду а Ели у нас какие-то ещё дополнительные вопросы с наших слушателей от наших слушателей А пока я не вижу дополнительно мне никуда не пишут А тогда я думаю что на сегодня особенно с учётом моего прекрасного а мы вас Александр отпустим но мы обязательно ждём вас в субботу с 12 до 2:00 в этой же конференции я мы повторно скинем вам ссылочку А я думаю что у нас организаторов и у пользователей появятся дополнительные вопросы и мы с вами поговорим об этом и может быть о чём-нибудь ещё отлично а Спасибо за приглашение спасибо за внимание Спасибо вам большое что вы к нам пришли да до свидания Ро а так осталась я здесь вот а сегодняшняя наша наш сегодняшний Стрим

Подошёл к концу он был сложным э я ещё раз от имени всех организаторов приношу свои извинения а мы обещаем все исправиться Пожалуйста не обижайтесь на нас ссылочку на следующий Стрим тех кто зарегистрировался Мы пришлём в ближайшее время ладно не в ближайшее время завтра утром кто не зарегистрировался тот может следить за нами в соцсетях и в нашем Фейсбуке и в чатах что ещ кто не зарегистрировался на CF но хочет зарегистрироваться обязательно регистрируйтесь расписания и анонсы фов уже есть у нас на сайте Security besides org.ua Приходите смотрите если у вас есть вопросы задавайте их нам в Фейсбуке в телеграмах или пишите на @ Security besides org.ua также Хотим поблагодарить нашего спонсора компанию сейчас я Извините пожалуйста что-то я задумалась а также Хотим

поблагодарить нашего спонсора компанию Huawei э за поддержку и участие в жизни комьюнити м всегда рады с вами пообщаться Надеемся вам нравится наш формат э наш бесай Если у вас есть какие-то вопросы или пожелания или просто вы хотите пообщаться обязательно с нами связывайтесь Вот на сегодня всё встретимся завтра в 7:00 ссылочка скоро будет завтра у нас а два спикера а очень интересный один будет Сейчас я секунду буквально одну секунду а у нас завтра два спикера Это Александр и Богдан а Александр Александр а расскажет про цифровой фронт и военные операции а Богдан расскажет дой froning как часть Red Team engagement вот так что день обещает завтра быть интересным А ещё раз вам всего хорошего э пишите будем вам рады до свидания