ఒక కొత్త విధానం, LLM-ఆధారిత పెంటెస్ట్ (pentest) ఏజెంట్‌ను కేవలం బ్రీచ్ (breach) జరిగినట్లు చెప్పడమే కాకుండా, దాన్ని నిరూపించమని కోరుతుంది. దీని కోసం ఫాల్స్ పాజిటివ్స్‌ను (false positives) తొలగించే 'ఛాలెంజ్-రెస్పాన్స్ నాన్సెస్' (challenge-response nonces) ఉపయోగిస్తారు. HALO ఫ్రేమ్‌వర్క్‌లో ప్రదర్శించబడిన ఈ సాంకేతికత, “మాకు షెల్ (shell) దొరికినట్లు కనిపిస్తోంది” అనే స్థితిని “మాకు నిజంగానే షెల్ దొరికింది” అనే నిశ్చయతగా మారుస్తుంది.

ఫాల్స్-పాజిటివ్ బ్రీచ్‌లు ఎందుకు ముఖ్యం

లార్జ్ లాంగ్వేజ్ మోడల్స్ (LLMs) పై ఆధారపడిన ఆటోమేటెడ్ ఎక్స్‌ప్లాయిటేషన్ ఇంజన్లు, ఒక్కసారి రన్ చేసినప్పుడే డజన్ల కొద్దీ “విజయవంతమైన” పోర్ట్ కాంప్రమైజ్‌లను (port compromises) చూపించవచ్చు. అనేక సర్వీసులు తమ బ్యానర్‌లలో “uid=0” వంటి స్ట్రింగ్స్‌ను చూపిస్తాయి, ఒకవేళ టార్గెట్‌ను తగినట్లుగా రూపొందిస్తే, అటాకర్ కోడ్‌ను ఎగ్జిక్యూట్ చేయకుండానే ఆ అవుట్‌పుట్‌లను అనుకరించవచ్చు. ఏజెంట్ ఆ సమాచారాన్ని నమ్మినప్పుడు, తదుపరి తీసుకునే ప్రతి నిర్ణయం—అది పివట్ (pivot) చేయడం కావచ్చు, డేటాను ఎక్స్‌ఫిల్ట్రేట్ (exfiltrate) చేయడం కావచ్చు లేదా లాటరల్ మూవ్‌మెంట్ (lateral movement) కావచ్చు—అంతా ఒక అబద్ధం మీద ఆధారపడి ఉంటుంది. దీనివల్ల సెక్యూరిటీ టీమ్‌లు లేని బ్రీచ్‌ల కోసం గంటల కొద్దీ సమయం వృథా చేస్తారు, మరియు ఇన్సిడెంట్ రెస్పాండర్లు నిజమైన ముప్పులను తప్పుగా అంచనా వేసే అవకాశం ఉంది.

క్లెయిమ్‌ను నిరూపణగా మార్చడం

ఈ పరిష్కారం క్లాసిక్ అథెంటికేషన్ ట్రిక్స్ నుండి ప్రేరణ పొందింది. ఎక్స్‌ప్లాయిట్‌ను ప్రారంభించే ముందు, అటాకర్ సిస్టమ్ ఒక ప్రత్యేకమైన టోకెన్ లేదా 'నాన్స్' (nonce)ను రూపొందించి, దానిని పేలోడ్‌లో (payload) ఉంచుతుంది. కంట్రోలర్ ఆ ఫలితాన్ని నిజమైన బ్రీచ్‌గా అంగీకరించాలంటే, ఎక్స్‌ప్లాయిట్ ఖచ్చితమైన టోకెన్‌ను తిరిగి పంపాలి. ఒక ఫేక్ బ్యానర్ ఆ నాన్స్‌ను ఊహించలేదు; రెస్పాన్స్‌లో ఆ టోకెన్‌ను చేర్చాలంటే అది తప్పనిసరిగా అటాకర్ కోడ్‌ను ఎగ్జిక్యూట్ చేయాల్సి ఉంటుంది. తిరిగి వచ్చిన డేటాలో సరిపోలే నాన్స్ లేకపోతే, ఆ ప్రయత్నం ఫాల్స్ పాజిటివ్‌గా పరిగణించబడి తోసిపుచ్చబడుతుంది.

ఈ మార్పు వెరిఫికేషన్ మోడల్‌ను “అవుట్‌పుట్ సరిగ్గా ఉన్నట్లు కనిపిస్తోంది” నుండి “అవుట్‌పుట్ ఎగ్జిక్యూషన్‌ను నిరూపిస్తోంది” అనే స్థాయికి మారుస్తుంది. ఇది స్వయంప్రతిపత్తి కలిగిన అఫెన్సివ్ టూల్స్‌లో (autonomous offense tools) ఉండే ఆప్టిమిజం బయాస్‌ను (optimism bias) తొలగిస్తుంది.

నమ్మదగిన డెలివరీ లాడర్‌ను నిర్మించడం

పేలోడ్‌ను టార్గెట్‌కు చేరవేయడానికి ఇప్పటికీ ఒక పటిష్టమైన డెలివరీ చైన్ అవసరం. HALO మూడు సాధారణ మార్గాలను వర్గీకరిస్తుంది:

  • Reverse shells – కాంప్రమైజ్ అయిన హోస్ట్, అటాకర్ నియంత్రించే లిజనర్ (listener) కు తిరిగి కనెక్షన్‌ను ప్రారంభిస్తుంది. ఇన్‌బౌండ్ ట్రాఫిక్ బ్లాక్ చేయబడినప్పుడు ఇది ఉపయోగకరంగా ఉంటుంది.
  • Bind shells – అటాకర్ నేరుగా టార్గెట్‌లోని లిజనింగ్ సర్వీస్‌కు కనెక్ట్ అవుతాడు. అవుట్‌బౌండ్ ఫిల్టర్లు సడలంగా ఉన్నప్పుడు ఇది పనిచేస్తుంది.
  • Blind callbacks – ఎటువంటి ప్రత్యక్ష ఛానెల్ తెరవలేని అత్యంత పరిమితమైన వాతావరణాలలో, ఎగ్జిక్యూషన్‌ను ధృవీకరించే వన్-వే సిగ్నల్ (ఉదాహరణకు, DNS రిక్వెస్ట్).

ఈ లాడర్‌లోని ప్రతి దశ నాన్స్‌ను భద్రపరచాలి, లేకపోతే తదుపరి దశలో నిరూపణ విఫలమవుతుంది.

సెల్ఫ్-కంటైన్డ్ ఎక్స్‌ప్లాయిట్‌లను నిర్ధారించడం

టార్గెట్‌లో లేకపోవచ్చని అనుకునే ఎక్స్‌టర్నల్ లైబ్రరీలపై ఆధారపడటం కూడా తప్పుడు నమ్మకానికి మరొక కారణం. HALO పంపే ముందు ప్రతి అవసరమైన కాంపోనెంట్‌ను ఒకే ఫైల్‌గా బండిల్ చేస్తుంది. ఆ బండిల్‌ను, కావాలనే ఒరిజినల్ డిపెండెన్సీలు లేని సాండ్‌బాక్స్ (sandbox)లో పరీక్షించడం జరుగుతుంది. ఒకవేళ ఎక్స్‌ప్లాయిట్ ఇంకా రన్ అయితే, ఆ ఆర్టిఫాక్ట్ నిజంగా సెల్ఫ్-కంటైన్డ్ అని మరియు లాక్-డౌన్ చేయబడిన సిస్టమ్‌లో కూడా దానిని నమ్మవచ్చని అర్థం.

డెవలప్‌మెంట్ ట్రెయిల్‌ను క్లీన్ చేయడం

పబ్లిక్ రిలీజ్ కోసం సిద్ధమవుతున్న సమయంలో, రచయిత Git హిస్టరీలో నిజమైన IP అడ్రస్‌లు ఉన్నట్లు గుర్తించారు. క్లీన్ వర్కింగ్ ట్రీ (clean working tree) ఆ రికార్డులను తొలగించదు; Git ప్రతి కమిట్‌ను భద్రపరుస్తుంది. రచయిత రిపోజిటరీని ఒకే క్లీన్ కమిట్‌గా తిరిగి రాశారు మరియు లీక్ అయిన అడ్రస్‌లను RFC 5737 ద్వారా నిర్వచించబడిన డాక్యుమెంటేషన్-ఓన్లీ రేంజ్‌లతో (ఉదాహరణకు, 192.0.2.0/24) భర్తీ చేశారు. దీనివల్ల టూల్‌ను షేర్ చేసినప్పుడు ప్రొడక్షన్ ఇన్‌ఫ్రాస్ట్రక్చర్ అనుకోకుండా బయటపడకుండా ఉంటుంది.

సెక్యూరిటీ టూలింగ్ కోసం ఆచరణాత్మక నియమాలు

  • ప్రతి టెస్ట్ ఫిక్చర్‌లో (test fixture) డాక్యుమెంటేషన్-ఓన్లీ IP రేంజ్‌లను ఉపయోగించండి.
  • ప్రారంభ కమిట్ నుండి సీక్రెట్స్ మరియు స్కోప్ ఫైల్స్‌ను తొలగించండి.
  • ఏదైనా బ్రీచ్ జరిగినట్లు క్లెయిమ్ చేసినప్పుడు, దాన్ని వెరిఫై చేయడానికి ఛాలెంజ్-రెస్పాన్స్ నాన్సెస్‌ను ఉపయోగించండి.
  • కేవలం సంబంధిత స్క్రిప్ట్‌ను కాకుండా, పంపబడే ఖచ్చితమైన ఫైల్‌ను మాత్రమే వాలిడేట్ చేయండి.

నిరూపణ అనేది ఆప్టిమిజం కంటే గొప్పది. స్వయంప్రతిపత్తి కలిగిన పెంటెస్ట్ ఏజెంట్‌ను వెరిఫై చేయగల టోకెన్‌ను సమర్పించమని ఒత్తిడి చేయడం ద్వారా, టార్గెట్ అటాకర్ కోడ్‌ను రన్ చేసిందని నిరూపించగలిగినప్పుడే అది బ్రీచ్ అని HALO చూపుతుంది. ముందుగా గేటును నిర్మించాలి; మిగిలినవన్నీ దాని తర్వాతే వస్తాయి.