Finding Signal in the Noise: Lessons Learned Running a Honeypot with AI Assistance [Guest Diary], (Tue, Feb 24th)

Optimisation de la surveillance des menaces avec l’IA

Une expérience menée sur plusieurs mois a démontré la valeur de la collecte et de l’analyse de journaux provenant de honeypots (capteurs simulant des systèmes vulnérables) pour comprendre les activités malveillantes. Cependant, le volume important de données générées par ces capteurs, souvent du “bruit” issu de scans automatisés, rend l’identification des activités pertinentes complexe. L’intelligence artificielle, telle que ChatGPT, s’est révélée être un outil précieux pour assister les analystes.

Elle a aidé à interpréter les données, à identifier les relations entre les événements, à valider les conclusions et à éviter les recherches infructueuses en signalant les impasses analytiques. L’IA a agi comme un assistant collaboratif, fournissant des syntaxes rapides, des perspectives alternatives et maintenant la concentration analytique.

Points clés :

• Les honeypots collectent d’énormes volumes de journaux, nécessitant des méthodes d’analyse efficaces.
• L’IA peut grandement faciliter l’interprétation de ces données et l’identification des menaces réelles.
• La qualité des journaux (en particulier l’absence de données de charge utile et de détails d’exploitation) limite l’analyse.
• Une communication claire des objectifs à l’IA maximise son utilité.

Vulnérabilités identifiées ou mentionnées :

• CVE-2021-42013 : Apache HTTP Server Path Traversal / Remote Code Execution.
• CVE-2021-41773 : Apache HTTP Server Path Traversal / Remote Code Execution.

Ces vulnérabilités sont associées à des serveurs Apache mal configurés ou vulnérables, ciblés par des kits d’outils automatisés cherchant à enrôler de nouveaux systèmes dans des botnets.

Recommandations :

• Utiliser une approche combinée : Centralisation des journaux (type SIEM) et assistance par IA pour analyser le trafic.
• Affiner la collecte de données : Obtenir des journaux plus complets, incluant si possible les charges utiles des paquets et les détails d’exploitation, pour une meilleure compréhension des attaques.
• Interroger l’IA de manière précise : Fournir des détails clairs et complets lors des requêtes à l’IA pour obtenir des réponses pertinentes.
• Sensibilisation aux vulnérabilités : Se tenir informé des vulnérabilités courantes, comme celles affectant Apache, pour mieux les détecter dans les logs.

Source