Het Indian Computer Emergency Response Team (CERT-In) heeft nieuwe richtlijnen uitgevaardigd die organisaties verplichten om kritieke beveiligingskwetsbaarheden in aan het internet blootgestelde systemen te patchen binnen 12 uur nadat ze zijn gemarkeerd waar dit “haalbaar” is, ter bescherming tegen potentiële bedreigingen die voortkomen uit het misbruik van kunstmatige intelligentie (AI)-tools en grote taalmodellen (LLM’s) door bedreigingsactoren om de ontdekking en exploitatie van kwetsbaarheden te automatiseren en de schaal en snelheid van cyberaanvallen te vergroten.
“AI-ondersteunde cyberuitbuiting verkort de tijd die tegenstanders nodig hebben om kwetsbaarheden, blootgestelde diensten, zwakke identiteiten, onveilige API’s en verkeerd geconfigureerde systemen te identificeren, te bewapenen en te exploiteren”, aldus CERT-In in een blauwdruk van 38 pagina’s die maandag werd gepubliceerd.
“Nu organisaties steeds afhankelijker worden van onderling verbonden digitale infrastructuur, cloud-ecosystemen, softwaretoeleveringsketens, operationele technologieën en AI-gebaseerde platforms, blijft de potentiële impact van AI-gebaseerde cyberdreigingen in alle sectoren toenemen.”
Nu bedreigingsactoren steeds meer op AI gaan vertrouwen voor een breed scala aan taken, waaronder het ontdekken van aanvalsoppervlakken, het analyseren van exploits, het overtuigen van phishing-inhoud en zelfs het genereren van malware, kunnen ze de tijdlijnen voor de voorbereiding van aanvallen aanzienlijk comprimeren en traditionele beveiligingscontroles omzeilen.
Bovendien kunnen op AI gebaseerde systemen zelf het doelwit worden van kwaadaardige aanvallen via snelle injecties, kwetsbaarheden in datalekken, jailbreaktechnieken, modelmanipulatie, trainingsdatavergiftiging, modeldiefstal en compromissen in de orkestratiepijplijn, waardoor hun vertrouwelijkheid en integriteit effectief wordt ondermijnd.
CERT-In heeft gewaarschuwd dat organisaties mogen verwachten dat de tijdlijnen voor exploitatie aanzienlijk zullen instorten en dat aanvallen autonoom zullen worden. Dit maakt het noodzakelijk om verhoogde cyberbeveiligingsmaatregelen te nemen die voortdurende dreigingsevaluatie, proactieve vermindering van de blootstelling en operationele paraatheid met zich meebrengen.
Enkele van de defensieve principes die door het cyberbeveiligingsagentschap zijn uiteengezet om de blootstelling te verminderen en beter te reageren op AI-ondersteunde cyberdreigingen worden hieronder opgesomd:
- Ga uit van inbreuken en bereid u voor op snelle detectie, beheersing en herstel van compromisscenario’s.
- Kies voor een Zero Trust-aanpak door continue verificatie en toegang met de minste bevoegdheden af te dwingen.
- Implementeer een diepgaande verdedigingsstrategie met gelaagde controles over de hele infrastructuur om afzonderlijke storingspunten te elimineren en de algehele impact van een succesvolle inbreuk te minimaliseren.
- Bewaak en verminder de blootstelling aan beveiligingsproblemen.
- Integreer een ‘secure-by-design’-paradigma in systemen, applicaties en AI-workflows.
- Behoud de operationele continuïteit tijdens cyberincidenten en verstoringsscenario’s.
- Bescherm gevoelige en operationeel kritische gegevens gedurende de gehele levenscyclus.
- Verminder de risico’s van de softwaretoeleveringsketen die voortkomen uit software van derden, AI-modellen en afhankelijkheden door middel van SBOM, herkomstvalidatie en beoordelingen.
- Test de effectiviteit van de beveiliging tegen evoluerende bedreigingen door middel van red teaming, kwetsbaarheidsbeoordelingen, penetratietests en onafhankelijke audits.
- Geef prioriteit aan controles op basis van operationele kritiek en blootstelling aan bedreigingen.
- Formele bestuursmechanismen opzetten met betrekking tot het gebruik van AI-systemen.
- Behoud inzicht in AI-systemen, integraties en operationeel gedrag.
“Organisaties moeten gelaagde, op risico gebaseerde en continu gevalideerde technische controles implementeren om de blootstelling aan AI-ondersteunde cyberdreigingen te verminderen”, aldus CERT-In. “Controles moeten prioriteit geven aan de bescherming van internetgerichte systemen, kritieke bedrijfsapplicaties, identiteiten, cloudomgevingen, API’s, gevoelige gegevens, AI-compatibele systemen en operationele infrastructuur.”
Het agentschap dringt er ook bij organisaties op aan om “continue, op risico gebaseerde kwetsbaarheids- en patchbeheerpraktijken” te omarmen om de blootstelling als gevolg van beveiligingsfouten, verkeerde configuraties, onveilige API’s, publiek toegankelijke diensten en zwakke identiteiten te verminderen. Daartoe moeten bekende uitgebuite kwetsbaarheden die van invloed zijn op internetgerichte en kritieke systemen, indien van toepassing, binnen twaalf uur worden verholpen.
Andere op risico gebaseerde hersteltijden zijn als volgt:
- Kritieke extern blootgestelde kwetsbaarheden: binnen 1 dag
- Bekende uitgebuite kwetsbaarheden die interne systemen aantasten: Binnen 1 dag, tenzij andere oplossingen zijn geïmplementeerd en gedocumenteerd
- Kritieke interne kwetsbaarheden die hoogwaardige systemen aantasten: binnen 3 dagen
- Zeer ernstige kwetsbaarheden: binnen 5 dagen op basis van risicoprioritering
In scenario’s waarin er geen patches onmiddellijk beschikbaar zijn, wordt geadviseerd om tijdelijke oplossingen te implementeren, zoals isolatie, toegangsbeperking, WAF/API-bescherming, verbeterde monitoring of het uitschakelen van functies totdat de oplossing wordt vrijgegeven.
“Gezien de snel evoluerende aard van AI-ondersteunde cyberdreigingen moeten organisaties voortdurend de blootstelling opnieuw beoordelen, beveiligingscontroles valideren, de veerkracht versterken en de operationele paraatheid vergroten door middel van voortdurende audits, monitoring, testen en gecoördineerd cyberbeveiligingsbeheer”, aldus CERT-In.
De blauwdruk komt een maand nadat CERT-In een adviserende waarschuwing heeft uitgebracht over de groeiende cybercapaciteiten van frontier AI-modellen van Anthropic en OpenAI, waarin wordt gesteld hoe hun ‘dual-use karakter’ ‘de toegangsdrempel voor kwaadwillende cyberactoren zou kunnen verlagen en zou kunnen worden ingezet om de uitvoering van aanvallen te versnellen, exploitatieworkflows te automatiseren en cybercampagnes op te schalen.’
“Het bijhouden van grensverleggende AI-gestuurde cyberontwikkelingen is van cruciaal belang voor het behoud van de cyberveerkracht”, voegde het eraan toe. “Basislijncontroles op het gebied van cyberbeveiliging blijven van cruciaal belang en moeten rigoureus worden gehandhaafd.”
