Aether: αποδείξτε ότι οι έλεγχοι ασφαλείας σας αντέχουν στη μεταβολή σύγχρονων επιθέσεων

Η υποδομή ασφαλείας συχνά επικυρώνεται με γνωστά τεχνουργήματα: ένα σταθερό αρχείο, μια επαναλήψιμη υπογραφή ή ένα οικείο μοτίβο εκτέλεσης. Αυτό είναι απαραίτητο, αλλά δεν αρκεί. Οι σύγχρονοι επιτιθέμενοι αλλάζουν την αναπαράσταση προσπαθώντας να διατηρήσουν την πρόθεση: αλλάζουν οι διατάξεις κώδικα, διαφέρουν οι κωδικοποιήσεις και η ροή ελέγχου αποκτά άλλη μορφή. Ένας έλεγχος που αναγνωρίζει μόνο μία παγωμένη μορφή μπορεί να δημιουργήσει επικίνδυνη βεβαιότητα.

Το σωστό ερώτημα για μια ομάδα ανίχνευσης δεν είναι λοιπόν μόνο αν εντόπισε αυτό το δείγμα. Είναι αν η αρχιτεκτονική ασφαλείας της εξακολουθεί να βλέπει το εγκεκριμένο σενάριο όταν η μορφή του κώδικα αλλάζει ελεγχόμενα. Το Aether δημιουργήθηκε για να απαντά σε αυτό το ερώτημα με αποδείξεις και όχι με διαίσθηση.

Το Aether είναι το framework μεταμορφικής έρευνας x86-64 της Macstab για εξουσιοδοτημένα εργαστήρια ασφαλείας. Δημιουργεί ελεγχόμενες παραλλαγές κώδικα υπό πολιτική που καθοδηγείται από ανάλυση και επαληθεύει ότι δεν έχει παραβιαστεί το τεκμηριωμένο πεδίο ισοδυναμίας. Έτσι, οι security engineers διαθέτουν αξιόπιστη είσοδο δοκιμής: η αναπαράσταση μπορεί να μεταβάλλεται, αλλά η αναμενόμενη συμπεριφορά παραμένει αποδεδειγμένη.

Αυτή η διάκριση είναι ουσιώδης. Αν μια ανίχνευση πάψει να λειτουργεί μετά από παραλλαγή που έχει επαληθευτεί ως ισοδύναμη, το αποτέλεσμα υποδεικνύει κενό κάλυψης ή ανθεκτικότητας στη διαδρομή ανίχνευσης και όχι ανεξέλεγκτη αλλαγή στο test case. Το framework υποστηρίζει εκπαιδευτική αναπαράσταση σε επίπεδο ενεργειών και διαδρομή πραγματικών συναρτήσεων από disassembly, μέσα στο σαφώς ορισμένο πεδίο του.

Το Aether δεν ζητά από μια ομάδα ασφαλείας απλώς να εμπιστευθεί ότι μια παραγόμενη παραλλαγή είναι ακίνδυνη ή συγκρίσιμη. Η τεκμηριωμένη scorecard κάνει τις πύλες ποιότητας μέρος του προϊόντος: οι έλεγχοι μοναδικότητας τεκμηριώνουν πρακτική διαφοροποίηση, οι έλεγχοι ισοδυναμίας απαιτούν μηδενικές σημασιολογικές αστοχίες στο υποστηριζόμενο πεδίο δοκιμής, οι δομικοί έλεγχοι κρατούν αναλύσιμες τις εξαγόμενες συναρτήσεις και η πύλη benchmark παράγει αναφορά για το τεκμηριωμένο corpus.

Το συμβόλαιο πεδίου είναι σκόπιμα συγκεκριμένο: x86-64, corpus ισοδυναμίας τουλάχιστον 1.000 υποστηριζόμενων καθαρών συναρτήσεων και έλεγχοι δομικής ακεραιότητας σε τουλάχιστον 200 συναρτήσεις που εξάγονται από ELF. Ένα native dual oracle εργαστηρίου προσθέτει ανεξάρτητο έλεγχο εκτέλεσης σε υποστηριζόμενα περιβάλλοντα x86-64. Αυτά τα όρια καθιστούν τα αποτελέσματα χρήσιμα χωρίς να γίνονται ισχυρισμοί που δεν τεκμηριώνονται.

Όταν χρησιμοποιείται υπεύθυνα, το Aether βοηθά έναν οργανισμό ασφαλείας να ξεπεράσει μια επίδειξη επιτυχίας ή αποτυχίας. Προσφέρει έναν επαναλήψιμο τρόπο να αμφισβητούνται υποθέσεις σε αναλυτικούς κανόνες, pipelines σάρωσης και εργαστηριακές ροές ανίχνευσης. Ξεκινήστε από ένα επιτρεπόμενο και καλά κατανοητό σενάριο, ορίστε την απόδειξη που πρέπει να παράγει ο έλεγχός σας, εκτελέστε το εγκεκριμένο corpus παραλλαγών στο pipeline και χρησιμοποιήστε τις αναφορές απόδειξης για να ερμηνεύσετε το αποτέλεσμα.

Έτσι η προηγμένη παραλλαγή γίνεται κύκλος ανατροφοδότησης μηχανικής. Οι detection engineers μπορούν να εντοπίζουν εύθραυστα σήματα, οι ομάδες πλατφόρμας να επικυρώνουν observability και διαδρομές απόκρισης και οι υπεύθυνοι ασφαλείας να ζητούν αποδείξεις ότι οι έλεγχοι αντέχουν σε ουσιαστικές αλλαγές μορφής, όχι μόνο στο πρώτο δείγμα που παρουσιάζεται.

Οι τεχνικές επίθεσης εξελίσσονται και ένα ώριμο αμυντικό πρόγραμμα πρέπει να εξελίσσει τον τρόπο με τον οποίο επαληθεύει την κάλυψή του. Το Aether επιτρέπει στις ομάδες να μοντελοποιούν με ασφάλεια επιλεγμένες πλευρές παραλλαγής κώδικα χωρίς να μετατρέπουν την έρευνα σε επιχειρησιακή δυνατότητα. Στόχος του είναι να κάνει τις αμυντικές δοκιμές πιο ρεαλιστικές, μετρήσιμες και επαναλήψιμες.

Το Aether δεν τοποθετείται ως μη ανιχνεύσιμο implant, προϊόν bypass EDR παραγωγής ή καθολικός binary rewriter. Το τεκμηριωμένο πεδίο αποκλείει αυτόματη εξάπλωση, δικτυακό command-and-control, process injection και υποσχέσεις αόρατης ζωντανής λειτουργίας. Αυτά ακριβώς τα όρια το καθιστούν αξιόπιστο για υπεύθυνους οργανισμούς: βοηθούν να βρεθούν και να διορθωθούν κενά κάλυψης πριν γίνουν περιστατικό.