ChatGPT y la ciberseguridad
A menos que evite deliberadamente las redes sociales o Internet por completo, es probable que haya oído hablar de un nuevo modelo de IA llamado ChatGPT, que actualmente está abierto al público para su prueba. Esto permite que los profesionales de la ciberseguridad como yo vean cómo podría ser útil para nuestra industria.
El uso ampliamente disponible de aprendizaje automático/inteligencia artificial (ML/AI) para los profesionales de la ciberseguridad es relativamente nuevo. Uno de los casos de uso más comunes ha sido la detección y respuesta de puntos finales (EDR), donde ML/AI utiliza análisis de comportamiento para identificar actividades anómalas. Puede usar un buen comportamiento conocido para discernir valores atípicos, luego identificar y eliminar procesos, bloquear cuentas, activar alertas y más.
Ya sea que se use para automatizar tareas o para ayudar a crear y perfeccionar nuevas ideas, ML/AI sin duda puede ayudar a amplificar los esfuerzos de seguridad o reforzar una postura de seguridad cibernética sólida. Veamos algunas de las posibilidades.
ChatGPT y su potencial en ciberseguridad
Cuando comencé en ciberseguridad como analista junior, era responsable de detectar fraudes y eventos de seguridad utilizando Splunk, una herramienta de gestión de información y eventos de seguridad (SIEM). Splunk tiene su propio lenguaje, Search Processing Language (SPL), que puede aumentar en complejidad a medida que las consultas avanzan.
Ese contexto ayuda a comprender el poder de ChatGPT, que ya ha aprendido SPL y puede convertir el aviso de un analista junior en una consulta en solo segundos, lo que reduce significativamente la barra de entrada. Si le pidiera a ChatGPT que escribiera una alerta para un ataque de fuerza bruta contra Active Directory, crearía la alerta y explicaría la lógica detrás de la consulta. Dado que está más cerca de una alerta de tipo SOC estándar y no de una búsqueda avanzada de Splunk, esta puede ser una guía perfecta para un analista de SOC novato.
Otro caso de uso convincente para ChatGPT es la automatización de tareas diarias para un equipo de TI demasiado extenso. En casi todos los entornos, la cantidad de cuentas obsoletas de Active Directory puede oscilar entre docenas y cientos. Estas cuentas a menudo tienen permisos privilegiados y, aunque se recomienda una estrategia de tecnología de administración de acceso privilegiado completo, es posible que las empresas no puedan priorizar su implementación.
Entender la ciberseguridad y el ChatGPT
Esto crea una situación en la que el equipo de TI recurre al antiguo enfoque de bricolaje, en el que los administradores del sistema utilizan secuencias de comandos programadas escritas por ellos mismos para desactivar las cuentas obsoletas.
La creación de estos scripts ahora se puede entregar a ChatGPT, que puede crear la lógica para identificar y deshabilitar las cuentas que no han estado activas en los últimos 90 días. Si un ingeniero junior puede crear y programar este script además de aprender cómo funciona la lógica, entonces ChatGPT puede ayudar a los ingenieros/administradores senior a liberar tiempo para un trabajo más avanzado.
Si está buscando un multiplicador de fuerza en un ejercicio dinámico, ChatGPT se puede usar para equipos morados o una colaboración de equipos rojos y azules para probar y mejorar la postura de seguridad de una organización. Puede crear ejemplos simples de secuencias de comandos que un probador de penetración podría usar o depurar secuencias de comandos que pueden no funcionar como se esperaba.
Una técnica de MITRE ATT&CK que es casi universal en incidentes cibernéticos es la persistencia. Por ejemplo, una táctica de persistencia estándar que un analista o cazador de amenazas debería buscar es cuando un atacante agrega su script/comando especificado como un script de inicio en una máquina con Windows. Con una simple solicitud, ChatGPT puede crear un script rudimentario pero funcional que permitirá a un equipo rojo agregar esta persistencia a un host de destino. Mientras que el equipo rojo usa esta herramienta para ayudar en las pruebas de penetración, el equipo azul puede usarla para comprender cómo se verían esas herramientas para crear mejores mecanismos de alerta.
Los beneficios son muchos, pero también lo son los límites
Por supuesto, si se necesita un análisis para una situación o escenario de investigación, la IA también es una ayuda críticamente útil para acelerar o introducir caminos alternativos para ese análisis requerido. Especialmente en ciberseguridad, ya sea para automatizar tareas o generar nuevas ideas, la IA puede reducir los esfuerzos para reforzar una sólida postura de ciberseguridad.
Sin embargo, existen limitaciones a esta utilidad y, por eso, me refiero a la cognición humana compleja junto con las experiencias del mundo real que a menudo están involucradas en la toma de decisiones. Desafortunadamente, no podemos programar una herramienta de IA para que funcione como un ser humano; solo podemos usarlo como soporte, para analizar datos y producir resultados basados en los hechos que ingresamos. Si bien la IA ha logrado grandes avances en un corto período de tiempo, aún puede producir falsos positivos que deben ser identificados por un ser humano.
Aún así, uno de los mayores beneficios de la IA es la automatización de las tareas diarias para liberar a los humanos para que se concentren en trabajos más creativos o que requieran mucho tiempo. La IA se puede utilizar para crear o aumentar la eficiencia de los scripts para que los utilicen los ingenieros de ciberseguridad o los administradores de sistemas, por ejemplo. Recientemente utilicé ChatGPT para reescribir una herramienta de raspado de la web oscura que creé y que redujo el tiempo de finalización de días a horas.
IA importante para profesionales
Sin lugar a dudas, la IA es una herramienta importante que los profesionales de la seguridad pueden usar para aliviar las tareas repetitivas y mundanas, y también puede proporcionar ayuda instructiva para los profesionales de la seguridad con menos experiencia.
Si hay inconvenientes en que la IA informe la toma de decisiones humana, diría que cada vez que usamos la palabra «automatización», hay un temor palpable de que la tecnología evolucione y elimine la necesidad de humanos en sus trabajos. En el sector de la seguridad, también tenemos preocupaciones tangibles de que la IA pueda usarse de manera nefasta. Desafortunadamente, ya se ha demostrado que la última de estas preocupaciones es cierta, ya que los actores de amenazas utilizan herramientas para crear correos electrónicos de phishing más convincentes y efectivos .
En términos de toma de decisiones, creo que todavía es muy pronto para confiar en la IA para llegar a decisiones finales en situaciones prácticas y cotidianas. La capacidad humana de usar el pensamiento universalmente subjetivo es fundamental para el proceso de decisión y, hasta el momento, la IA carece de la capacidad para emular esas habilidades.
Qué podemos concluir del ChatGPT y la ciberseguridad
Por lo tanto, si bien las diversas iteraciones de ChatGPT han generado bastante revuelo desde la versión preliminar del año pasado, al igual que con otras tecnologías nuevas, debemos abordar la inquietud que ha generado. No creo que la IA elimine puestos de trabajo en tecnología de la información o ciberseguridad. Por el contrario, la IA es una herramienta importante que los profesionales de la seguridad pueden utilizar para aliviar las tareas repetitivas y mundanas.
Si bien somos testigos de los primeros días de la tecnología de IA, e incluso sus creadores parecen tener una comprensión limitada de su poder, apenas hemos tocado la superficie de las posibilidades de cómo ChatGPT y otros modelos de ML/AI transformarán las prácticas de ciberseguridad. Tengo muchas ganas de ver las próximas innovaciones.
Thomas Aneiro es director sénior de servicios de asesoramiento tecnológico en Moxfive.
