Mayhem-systeem is voorlopige winnaar Cyber Grand Challenge-hackingtoernooi

Een computersysteem met de naam 'Mayhem' heeft de Cyber Grand Challenge, georganiseerd door Darpa, voorlopig gewonnen. Doel van het toernooi was een systeem te ontwikkelen dat automatisch internetaanvallen kan weerstaan en kan uitvoeren.

Het systeem is ontworpen door het ForAllSecure-team, dat met de overwinning 2 miljoen dollar heeft binnengehaald. Het toernooi was opgezet als een capture the flag, waarbij de deelnemende systemen zelf kwetsbaarheden in software moesten opsporen en tegelijkertijd de zwakheden in de systemen van de tegenstanders moesten ontdekken. Het geheel duurde ongeveer tien uur, voordat er een winnaar bekend werd gemaakt. De systemen 'Xandra' en 'Mechanical Phish' behaalden respectievelijk de tweede en derde plek. Scheidsrechters moeten de uitslag nog controleren, voordat deze vrijdag officieel bekend wordt gemaakt.

Darpa, dat zelf 55 miljoen dollar in het project heeft geïnvesteerd, wil met het toernooi de ontwikkeling bevorderen van systemen die automatisch beveiligingstaken kunnen uitvoeren. Daaronder valt bijvoorbeeld het identificeren van kwetsbaarheden en het patchen daarvan. In totaal werden door de zeven deelnemende systemen 650 kwetsbaarheden gevonden en 421 patches geschreven, zo laat Reuters weten. Het gebeuren was via livestreams en grote schermen te volgen en werd door twee hackers van commentaar voorzien.

Afbeelding via ForAllSecure

Reacties (11)

[seth007]

Hier het event: https://www.youtube.com/watch?v=LztqppJ6Imc

[ehvc]

Daar gaat weer 4 uur van me dag

[niruana]

hmm krijg de melding dat video "private" is. Weet je toevallig een mirror?

[SpiceWorm]

Is dit echt of een nieuwsbericht uit de toekomst? Automatisch hacken én patchen van remote systemen? Ik wist niet dat we hier ook maar een beetje in de buurt waren...

[Viince1]

Kunnen we (=security) al. Natuurlijk niet zo geadvanceerd als in dit artikel, maar voorbeelden zijn er zat:
- metasploit (automatisch hacken)
- Nexpose en Microsoft SCCM integratie. (automatisch patchen).
Nexpose scant systemen, identificeert kwetsbaarheden en draagt hierna SCCM op om een (Windows)-patch te installeren op het kwetsbare-systeem.

[Verwijderd]

Ja, maar het mooie van dit systeem is dat de software zelf (bv. nexpose) zelf de binairy patches of IDS rules schrijft. SSCM en nexpose kan alleen omgaan met bekende patches of exploits.

Dit zou naar mijn mening echt een evolutie in security betekenen.

Mooie uitleg trouwens van SSCM en nexpose!

[Viince1]

Volledig mee eens en bedankt voor de waardevolle toevoeging!

[mrdemc]

Ik verbaas me hier ook nog wel eens over.. Maar ach, vind het wel een mooi systeem dan. Waar kan ik het downloaden ?
Ik ben wel benieuwd naar de uitvoer van zoiets. Het programma (als ik het goed begrijp) moet dus van een draaiend systeem een kwetsbaarheid ontdekken, dan de code in kunnen zien en het kunnen patchen? Of vinden ze kwetsbaarheden door de code door te zoeken, dan een aanval uit te voeren en wordt de patch dan achteraf handmatig aangemaakt? Ik ben wel benieuwd naar wat meer details hierover

[Verwijderd]

ik DENK dat dit zal afhangen welk systeem we het over hebben.

iets van de westerse wereld zelf (darpa systeem/FBI/CIA/Pentagon) daar zal misschien wel automatisch algoritme voor geschreven worden zodat ze auto-patch kunnen doen.

maar de aanvallen die dit systeem uitvoeren kan, daar zullen wellicht bij 'self-test' auto-patches voor gemaakt worden. maar bij andere systemen buiten dit systeem zelf.
denk ik dat toch echt de afdeling IT aan de bak moet om een fix te maken voor het probleem.

althans zo lees ik het een beetje, en vaak zijn dit alleen gunstige systemen voor 1 partij (darpa/cia/fbi/defensie) en niet voor dingen als fox IT of tech bedrijven als ze 'even' binnen willen kijken.

dan staat dit programma waarschijnlijk in attack mode. en niet in patch mode.

[Rob Coops]

Vergeet niet dat steeds meer van het interweb op open source software draait en het dus heel erg goed kan zijn dat men deze systemen simpel weg zal gebruiken om eigen patches te maken voor de frontend systemen. Op die manier kan een CIA bijvoorbeeld veilig een eigen build van een apache server draaien terwijl ze de standard build van andere landen binnen kunnen dringen omdat men kwetsbaarheden heeft gevonden die de rest nog niet kent.

Het is simpel weg een volgende stap in het automatisch vinden en oplossen van veiligheidsproblemen. Denk aan een ontwikkel omgeving die automatisch probeert buffer overflow risico's te identificeren, of een systeem dat simpel weg door een enorme lading verschillende requests heen loopt om te kijken welke van deze een probleem opleveren.

Een aanval kan je op twee manieren doen, natuurlijk kun je gewoon brute force duizenden paketen versturen in de hoop er een te vinden die een bug bloot legt maar je kunt ondertussen ook zelf door de code spitten en kijken waar er waarschijnlijk een bug gevonden kan worden, en je daar op focussen.

Wat betreft de IT afdeling die zelf aan de slag moet dat lijkt me sterk omdat bijvoorbeeld de overheid (in ieder geval die in de VS) toegang heeft tot erg veel van de closed source code van bijvoorbeeld Microsoft en andere bedrijven die absoluut niet willen dat andere de code kunnen inzien. Als een bedrijf als Microsoft zaken wil doen met een NSA bijvoorbeeld dan kunnen ze niet anders dan toegang verschaffen tot de code achter de producten die ze verkopen. Google bijvoorbeeld werkt erg veel samen met veel Amerikaanse overheids diensten zo als NASA maar ok de NSA zijn goede vrienden van Google. Dit soort samen werkingen helpt beide bedrijven. De NSA/CIA kan op die manier veel meer toegang tot gegevens en bijvoorbeeld experts op het gebied van search en Google kan gebruikmaken van de kennis van de NSA en CIA over wat hun concurrenten aan het uitspoken zijn en op die manier hun voorsprong behouden.

Uiteindelijk zullen dit soort systemen de toekomst zijn voor heel erg veel van de penetration testing en patching. Simpel weg omdat ze niet moe worden dagen en zelfs maanden lang oneindig veel code kunnen doorspitten en patchen met een snelheid die een mens nooit zal kunnen evenaren.
De huidige systemen zullen vast al erg god zijn maar nog lang niet zo ver dat ze op grote schaal ingezet kunnen worden. Maar dat gaat wel komen dat is een ding dat zeker is, simpel weg omdat er veel meer code en dus bugs zijn dan dat er mensen met voldoende kennis en geduld zijn om dit alles te onder zoeken.

[Viince1]

Ik verbaas me hier ook nog wel eens over.. Maar ach, vind het wel een mooi systeem dan. Waar kan ik het downloaden ?
Ik ben wel benieuwd naar de uitvoer van zoiets. Het programma (als ik het goed begrijp) moet dus van een draaiend systeem een kwetsbaarheid ontdekken, dan de code in kunnen zien en het kunnen patchen? Of vinden ze kwetsbaarheden door de code door te zoeken, dan een aanval uit te voeren en wordt de patch dan achteraf handmatig aangemaakt? Ik ben wel benieuwd naar wat meer details hierover

Mja, in grote lijnen is dit het verhaal:

he ultimate test of wits in computer security occurs through open competition on the global Capture the Flag (CTF) tournament circuit. In CTF contests, experts reverse-engineer software, probe its weaknesses, search for deeply hidden flaws and create securely patched replacements.

What if a purpose-built computer systems could compete against the CTF circuit's greatest experts? DARPA has modeled the Cyber Grand Challenge on today's CTF tournaments to pave the way toward that future.
bron: https://www.cybergrandchallenge.com/about