KI-Tools als Helfer für Sicherheitsspezialisten Pentests mit KI erfolgreich automatisieren

Anbieter zum Thema

PANDUIT

Rittal GmbH & Co. KG

Künstliche Intelligenz spielt auch in der IT-Sicherheit eine zunehmend wichtige Rolle. Im Beitrag beleuchten wir ein paar Projekte, die das Ziel verfolgen, Security-Spezialisten mit Hilfe von KI zu unterstützen. Konkret sind das „PentestGPT“, „PeT-HMR“ und „GraphCodeBERT“.

PentestGPT, der interaktive Assistent

PentestGPT möchte sich des Problems annehmen, dass sich Penetrationstests in der Vergangenheit nicht automatisieren ließen, da sie große Erfahrung von Seiten der Tester voraussetzen. “Normale” Large Language Models (LLMs) können zwar bei Pentests helfen, ihnen fehlt aber das nötige Fachwissen, wenn die Tests tiefer gehen sollen. Sie sind lediglich dazu in der Lage, den Einsatz der Testwerkzeuge zu unterstützen, die Outputs zu interpretieren und Folgeaktionen vorzuschlagen. Wenn es darum geht, die Testszenarien übergreifend zu verstehen, stoßen sie aber an ihre Grenzen. PentestGPT möchte diese Grenzen verschieben.

KI in der IT-Sicherheit

BurpGPT hilft bei Penetrationstests

Das Werkzeug soll mit Hilfe von LLMs Penetrationstests automatisieren. Das Tool setzt auf dem ChatGPT API auf und arbeitet in einem interaktiven Modus. Es ist dazu in der Lage, die Penetrationstester durch den Testprozess und spezifische Operationen zu führen.

PentestGPT besteht aus drei unterschiedlichen Modulen, von denen jedes bestimmte Sub-Tasks adressiert, die mit Penetrationstests zu tun haben. Modul eins stellt ein Modul zum Erzeugen von Texten dar. Es generiert Kommandos, die die Anwender anschließend ausführen können. Modul zwei zieht aus den Tests Schlussfolgerungen und gibt den Testern dann Anweisungen, was zunächst zu tun ist. Modul drei, das Parsing Modul, analysiert die Ausgaben der Penetrationswerkzeuge und der Inhalte des User Interfaces.

Das Werkzeug steht unter einer Open-Source-Lizenz auf GitHub zur Verfügung und kann zusammen mit beliebigen LLMs zum Einsatz kommen. Es wird aber empfohlen, es zusammen mit ChatGPT 4 zu verwenden, um bestmögliche Ergebnisse zu erhalten. Dazu müssen die Anwender allerdings über ein kostenpflichtiges Abonnement bei OpenAI verfügen. Hier geht es zum Login von PentestGPT.

Im Betrieb werden alle Sessions durch die Anwender initiiert. Der Start eines Tasks läuft so, dass der Benutzer der “ReasoningSession” das Ziel für den Pentest mitteilt. Diese Session erzeugt dann auf Basis der Zielinformationen einen Task-Baum. Anschließend entscheidet sie, was zuerst zu tun ist und stellt diese Information dann der „GenerationSession“ zur Verfügung. Letztere erzeugt dann den exakten Befehl und gibt ihn an den User weiter, der ihn daraufhin ausführen kann.

Abgesehen davon können die User das Werkzeug auch nach einer To-Do-Liste fragen, die Hinweise gibt, welche Schritte zunächst auszuführen sind. Die Lösung generiert für unterschiedliche Angriffe einzigartige Payloads, beispielsweise für das Cross-Site-Skripting, für SQL Injections oder auch für Command Injections. Zu den Pentest-Tools, für die PentestGPT Befehle erzeugen kann, gehören unter anderem die Burp Suite, aber auch Metasploit und Nmap. Nachdem die Tests durchgeführt wurden, stellen die Anwender PentestGPT bei Bedarf die Logs oder zurückgegebenen Daten zur Verfügung, worauf das Tool diese auswertet und daraus eine Zusammenfassung oder einen Report erzeugt, der die wichtigsten Ergebnisse, Empfehlungen und vorhandenen Bedrohungen umfasst.

Die Lösung lässt sich auch einsetzen, um realistische Landing Sites und Phishing-Mails zu erzeugen, die dann für Tests zur Verfügung stehen. Hier noch ein Video mit einer PentestGPT-Demo.

Das PeT-HMR-Projekt schafft vollautomatische Penetrationstests

Auch PeT-HMR soll Penetrationstests automatisieren und so dabei helfen, Zeit und Kosten zu sparen. Konkret besteht das Projekt aus einem automatisierten Penetrationstest namens “APeT” (Automated Penetration Tester) und einem intelligenten Honeypot namens “SHoP” (Smart Honeypot), der die Angriffe des Penetrationstests analysiert. SHoP erkennt dabei vorhandene Schwachstellen und das Verhalten der Schad-Software. APeT identifiziert also die Schwachstellen aus Angreifersicht und SHoP gelangt aus Sicht des Verteidigers zu Erkenntnissen. Die beiden Komponenten tauschen dann ihre Daten aus. Dadurch erhält der Penetrationstest neue Informationen zum Generieren neuartiger Angriffe und der Honeypot kann neue Schwachstellen identifizieren. Die ständige Interaktion sorgt dafür, dass sich die beiden Bestandteile des Systems gegenseitig trainieren, was die Leistungsfähigkeit verbessert. Es besteht die Option, das System nach einem ersten Anlernen ständig laufen zu lassen, wodurch die IT-Sicherheit stets auf dem aktuellen Stand bleibt. Die gefundenen Ergebnisse können auch auf andere Systeme übertragen werden, so dass es nicht erforderlich ist, jedes Mal von vorne anzufangen. Auf diese Weise kommen auch IT-Umgebungen in kleineren und mittelgroßen Unternehmen (KMU) in den Genuss des verbesserten Sicherheitsniveaus.

Im Betrieb analysiert APeT zunächst das Zielsystem und identifiziert die Topologie der untersuchten Kundenumgebung. Anschließend erfolgt eine Vulnerability-Analyse, um Schwachstellen zu erkennen. Im nächsten Schritt verwendet das System KI-Techniken, um herauszufinden, welche Angriffe erfolgreich sein könnten und um die Testergebnisse zu verbessern. Zum Schluss erzeugt das Werkzeug Reports mit den gefundenen Verwundbarkeiten. SHoP wiederum untersucht die neuen Angriffe und wird an das zu schützende System angepasst. In den nächsten Testrunden adaptiert APeT die neuen Angriffsvektoren, die von SHoP erkannt wurden. Die gesamte Umgebung lernt so – wie angesprochen – ständig dazu und führt automatisch Angriffe aus, was den Einsatz von Personal zu großen Teilen überflüssig macht.

Der Honeypot SHoP soll in Zukunft so ausgebaut werden, dass er dazu in die Lage versetzt wird, gesammelte Daten über das Nutzerverhalten bei der Erkennung neuer Angriffe und bei der Erstellung von Fixes und Patches für IT-Systeme zu nutzen. APeT hat dann wieder die Aufgabe, die Effektivität dieser Maßnahmen zu überprüfen.

PeT-HMR stellt eine Kooperation der X41 D-Sec GmbH, der Lufthansa Industry Solutions AS GmbH, der NetUSE AG und den Instituten für Informationssysteme und für IT-Sicherheit der Universität zu Lübeck dar. Das Projekt wird vom Bundesministerium für Bildung und Forschung (BMBF) gefördert.

GraphCodeBERT schreitet zur Code-Analyse

Gehen wir zum Schluss noch kurz auf GraphCodeBERT ein. Dabei handelt es sich um kein klassischen Sicherheitswerkzeug, sondern ein Modell für Programmiersprachen, das vorab trainiert wurde. GraphCodeBERT berücksichtigt die inhärente Code-Struktur und verwendet im Betrieb den Datenfluss im Vorabtrainigsstadium anstelle der syntaktischen Code-Struktur. Der genannte Datenfluss stellt eine semantische Code-Struktur dar, der beschreibt, welche Beziehungen Variablen untereinander haben und so Klarheit darüber schafft, woher ein Wert kommt. GraphCodeBERT lässt sich in der Praxis nutzen, um Code zu durchsuchen, Klone zu erkennen, Code zu übersetzen und Code zu verfeinern. Das Projekt ist an dieser Stelle interessant, da es in den eingegebenen Strukturen Schwachstellen erkennen kann. Diese Schwachstellen lassen sich dann automatisiert an Penetrationstester weitergeben und so als Input für neue Tests nutzen.

Fazit

Zurzeit entwickeln sich im Bereich der KI viele interessante Projekte, die die Arbeit im IT-Security-Umfeld und vor allem bei den Pentests in Zukunft stark verändern werden. Dieser Trend wird sich mit Sicherheit fortsetzen, so dass es sich lohnt, ein Auge auf die weitere Entwicklung zu haben.

(ID:50175023)