تیم‌های امنیتی به طور مداوم با این پرسش مواجه‌اند که آیا سیستم‌های WAF (دیواره آتش اپلیکیشن وب) قادر به مقابله با مدل‌های پیشرفته هوش مصنوعی (Frontier AI Models) هستند یا خیر. ویژگی اصلی مدل‌های زبانی بزرگ (LLM) در حملات سایبری، توانایی تکرار و تغییر سریع Payloadها با سرعتی بسیار بیشتر از مهاجمان انسانی است. این مدل‌ها می‌توانند با تحلیل پاسخ‌های لحظه‌ای سیستم، تکنیک‌های خود را تغییر دهند؛ برای مثال از رمزگذاری‌های (Encoding) مختلف استفاده کرده یا بخش‌های متفاوتی از درخواست HTTP را هدف قرار دهند.
رویکرد تست تطبیقی و پویا
برخلاف تست‌های ایستا (Static) که کد را بدون اجرا تحلیل می‌کنند، در این پروژه از یک رویکرد پویا (Dynamic) استفاده شد. در این مدل، LLM در نقش یک هکر قرار گرفت تا بدون دسترسی به کد منبع یا قوانین WAF، تنها با مشاهده داده‌های پاسخ HTTP، سعی در دور زدن سیستم داشته باشد. این سیستم از یک «حلقه تطبیقی» (Adaptive Loop) تشکیل شده بود که شامل دو مرحله است:
- Proposal Call: مدل بر اساس تاریخچه نتایج، نسخه جدیدی از حمله را پیشنهاد می‌دهد.
- Review Call: مدل پاسخ دریافتی (وضعیت HTTP و بدنه پاسخ) را تحلیل کرده و تصمیم می‌گیرد که گام بعدی چه باشد.
جزئیات سناریوهای حمله
این آزمایش بر روی محیط Staging یک مشتری تحت حفاظت Cloudflare WAF انجام شد. در مجموع ۴۵ سناریو در ۶ دسته‌بندی اصلی مورد بررسی قرار گرفتند:
- Cross-Site Scripting (XSS)
- SQL Injection (SQLi)
- Command Injection (CMDi)
- Server-Side Request Forgery (SSRF)
- Path Traversal / Local File Inclusion (LFI)
- Log4j
یافته‌ها و نتایج تحلیل
در مجموع ۱,۱۰۷ تلاش برای دور زدن WAF ثبت شد. پس از بررسی انسانی و حذف موارد تکراری یا بی‌اثر، ۴۹ مورد شناسایی شدند که ارزش بررسی فنی داشتند. بخش عمده این یافته‌ها مربوط به حملات CMDi و SSRF بود. برای مثال، در یک سناریوی SSRF، مدل موفق شد با استفاده از نمایش‌های غیرمتعارف IP (مانند فرمت Octal یا افزودن نقطه در انتهای آدرس)، مکانیزم‌های شناسایی را دور بزند.
تبدیل یافته‌ها به قوانین شناسایی (Detections)
این نتایج منجر به به‌روزرسانی Managed Ruleset شد. تغییرات اعمال شده شامل موارد زیر است:
- ایجاد شناسایی‌های جدید برای SSRF – Obfuscated Host و SSRF – Restricted Protocol.
- بهبود قانون موجود SSRF – Cloud برای مقابله با آدرس‌های داخلی رمزگذاری شده.
توصیه‌های امنیتی برای مدیران SOC و CISOها
WAF تنها یک لایه از دفاع است. برای افزایش سطح امنیت، موارد زیر توصیه می‌شود:
- به‌روزرسانی مداوم: حتی اگر یک Payload بتواند WAF را دور بزند، برای موفقیت نیاز به یک اپلیکیشن آسیب‌پذیر دارد. بنابراین Patch کردن نرم‌افزارها حیاتی‌ترین دفاع است.
- استفاده از Positive Security Controls: به جای تکیه صرف بر الگوهای شناخته شده (Negative Security)، ساختار مورد انتظار درخواست‌ها (Request Shapes) را تعریف کنید تا سطح حمله (Attack Surface) کاهش یابد.
- استراتژی Log-first: قوانین جدید را ابتدا در حالت Log فعال کرده، ترافیک مشروع را بررسی کنید و سپس آن‌ها را به حالت Block تغییر دهید.
