Tekoälyn hyödyntäminen hyökkäävän tietoturvan testauksissa

Abstract

Työn tavoitteena oli tutkia tekoälyn soveltuvuutta hyökkäävän tietoturvatestauksen tueksi ja kehittää tekoälyä hyödyntävä lisäosa, joka tuottaa analyysin perusteella tehtävälistoja tietoturvatestaajan käyttöön ja ohjaukseen. Taustalla on tarve automatisoida tietoturvatestauksessa käytettävää tehtävälistan luontia, jotta testaus olisi nopeampaa ja järjestelmällisempää. Lisäosan yksi päätehtävä onkin ohjata aloittelevia tietoturvatestaajia. Tekoälyavusteinen testaus voi merkittävästi parantaa testauksen kattavuutta ja tehokkuutta tunnistamalla mahdollisia haavoittuvuuksia automaattisesti. Työssä toteutettiin Burp Suite -ohjelmiston lisäosa käyttäen Python-ohjelmointikieltä ja lla-ma.cpp-ohjelmistoa kielimallin suorittamiseen. Kehitystyö noudatti kevyttä ohjelmistokehi-tysprosessia vesiputousmallin mukaisesti, ja siinä lisäosaa parannettiin vaiheittain ja testattiin jatkuvasti. Tekoälymalli tuotti syötteeksi annetuista verkkosivujen verkko-osoitteista tehtävälistoja, joiden kelpoisuutta todellisen testauksen tarpeisiin arvioitiin manuaalisesti. Tulosten analysoinnissa vertailtiin tekoälyn tuottamia tehtävälistoja manuaalisesti tunnistettuihin haavoittuvuuksiin, ja tämän perusteella pystyttiin arvioimaan tekoälyn tarkkuutta ja hyödyllisyyttä tähän käyttötarkoitukseen. Tulosten perusteella tekoälyn luomat tehtävälistat sisältävät joitain soveltuvia testitapauksia haavoittuvuuksien löytämiseksi, mutta niiden kattavuus jäi kohtuullisen alhaiseksi. Tekoäly antoi kuitenkin arvokkaita lähtökohtia testausprosessin suorittamiseen. Jatkokehityksenä havaittiin tarve parantaa sekä tekoälymallia että mallille annetun syötteen (prompt) tarkkuutta parempien testauslistojen luomiseksi. Tekoälymallin, parantaminen voisi tarkoittaa esimerkiksi paremman suuren kielimallin valintaa, koulutusdatan laajentamista ja mallin hienosäätöä niin, että se sopii paremmin tehtäväänsä. Syötteen tarkkuuden parantaminen tarkoittaa mallille annettavien ohjeiden muotoilua selkeämmiksi, yksityiskohtaisemmiksi ja tehtävän kannalta tarkemmin rajatuiksi, jotta tulokset vastaavat paremmin tarpeita. Tekoälyn käyttö hyökkäävässä tietoturvatestauksessa osoittautui lupaavaksi, mutta se vaatii edelleen kehitystä saavuttaakseen täyden hyödyn.