KI in der IT-Sicherheit BurpGPT hilft bei Penetrationstests

Anbieter zum Thema

Cohesity GmbH

Mimecast Germany GmbH

Pathlock Deutschland GmbH

Mit BurpGPT lässt sich die Burp Suite um einen KI-Assistenten erweitern, der den Nutzern des Sicherheitswerkzeugs bei ihrer täglichen Pentest-Arbeit hilft. Wir haben das Tool im Rahmen unserer Serie zu KI in der IT-Security näher unter die Lupe genommen.

Die Burp Suite von PortSwigger, die sowohl in einer kostenlosen Community Edition, als auch in kostenpflichtigen Professional- beziehungsweise Enterprise-Versionen zur Verfügung steht, ist eine Sicherheits-Software, die sich nutzen lässt, um Penetrationstests bei Web-Applikationen durchzuführen. Die Suite umfasst mehrere unterschiedliche Komponenten, wie einen Robot, der indexieren kann (Burp Spider), einen Vulnerability Scanner (Burp Scanner), einen HTTP Repeater (Burp Repeater), ein Angriffswerkzeug (Burp Intruder) und einen Proxy Server (Burp Proxy). Die Lösung soll das Application-Security-Testing beschleunigen und automatisieren.

Bildergalerie

Bildergalerie mit 5 Bildern

Der Burp Scanner ist dazu in der Lage, diverse Webanwendungen zu scannen, wie beispielsweise Single-Page-Anwendungen (SPAs) und APIs. Darüber hinaus kann er auch komplexe Authentifizierungssequenzen verarbeiten. Alle Schritte, die mit der Suite durchgeführt wurden, lassen sich aufzeichnen und anschließend mit einer Suchfunktion durchsuchen. Es handelt sich bei der Burp Suite also um ein recht interessantes Werkzeug und die Community Edition bietet einen guten Einstiegspunkt für Interessierte. BurpGPT funktioniert allerdings nur der kostenpflichtigen Burp Suite Pro, das liegt an den unterschiedlichen Fähigkeiten der Community und der Pro Editon.

Komplexe Protokolle mit natürlicher Sprache durchsuchen

Mit ChatGPT Protokolldateien und Firewall-Logs analysieren

Um uns mit dem Leistungsumfang von BurpGPT vertraut zu machen, führten wir ein Interview mit dem Entwickler der Lösung, Alexandre Teyar, durch, der uns im Rahmen des Gesprächs auch das Feature-Set des KI-Assistenten präsentierte. Nach Angaben von Herrn Teyar nutzen Application-Security-Spezialisten BurpGPT. Das KI-Tool ist vor allem bei Anwendern aus dem Consulting, der Finanz, dem Einzelhandel und Ähnlichem beliebt. Das gilt gleichermaßen für Nutzer aus Entwicklungsländern, die nur wenig Erfahrung haben, und professionelle User aus Industrieländern, die ihre Arbeitsprozesse und ihre Schwachstellen­abdeckung verbessen möchten.

BurpGPT stellt im Betrieb eine Verbindung zwischen der Burp Suite und dem OpenAI-API her und nutzt dann die angebotenen Dienste, wie beispielsweise GPT-4, um die in Penetrationstests mit der Burp Suite gesammelten Daten zu analysieren. Alternativ kann die Lösung auch mit einer Azure-Open-AI-Integration arbeiten. In diesem Fall bleiben die Daten in der Unternehmensumgebung. Diese Option ergibt Sinn, wenn besondere Anforderungen an die Datensicherheit bestehen. Es kann sein, dass in Zukunft weitere Provider hinzukommen.

In der Praxis haben die Anwender die Option, Rahmenbedingungen wie die Länge der Prompts festzulegen und Platzhalter wie „(Request)“ und „(Response)“ (dazu später mehr) in den Eingaben zu verwenden. Auf diese Weise haben sie eine umfassende Kontrolle über die Anwendungsnutzung. Die Flexibilität und Versatilität der Lösung sind im praktischen Einsatz sehr groß, die Anwender können folglich prinzipiell alles fragen.

Bildergalerie

Bildergalerie mit 5 Bildern

Um die Prompts, die von den Mitarbeitern oder der Community erstellt wurden, effizient zu verwalten, stellt BurpGPT eine zentrale Prompt-Library zur Verfügung. Hier lassen sich Prompts exportieren und mit anderen Anwendern teilen.

Eine weitere interessante Funktion des KI-Assistenten besteht in der Möglichkeit, anstelle externer Provider wie ChatGPT lokale Large Language Models (LLMs) zu verwenden. Diese Option ist für Einsatzbereiche gedacht, in denen die Anforderungen an die Privatsphäre besonders hoch sind, da es im Prinzip mit einem lokalen LLM nicht mehr erforderlich ist, dass irgendwelche mit den Pentests zusammenhängende Daten das Gerät verlassen. Lokale LLMs werden allerdings noch nicht für das produktive Arbeiten empfohlen. Die Funktion ist zwar für die meisten Konfigurationen funktional genug, die Stabilität der lokalen LLMs kann aber noch nicht als ausreichend robust angesehen werden. Das Feature gilt also noch als Work-in-Progress. Derzeit existieren mehr als 11.000 trainierte Modelle, die in der Hugging Face Library, die einen Hub mit Open Source Modellen darstellt, zur Verfügung stehen und von BurpGPT genutzt werden können.

ChatGPT im Unternehmenseinsatz

Lässt sich ChatGPT datenschutzgerecht nutzen?

Der praktische Einsatz

Um mit BurpGPT zu arbeiten, stellen die Anwender zunächst einmal eine Anfrage. Diese könnte beispielsweise lauten: „Bitte analysiere die folgende HTTP-Anfrage und die dazugehörige Antwort in Hinblick auf potentielle Sicherheitsverwundbarkeiten. Achte dabei vor allem auf OWASP Top 10 Verwundbarkeiten wie SQL-Injection, XSS, CSFR und andere verbreitere Sicherheitsbedrohungen für Web-Anwendungen.“ Es besteht auch die Möglichkeit, Formatierungsanweisungen mitzugeben und zum Beispiel vorzugeben, dass die Antwort in Form einer formatierten Liste mit Punkten ausgegeben wird. BurpGPT nutzt dann das verbundene LLM zur Analyse. Dabei werden im Prompt vorhandene Placeholder wie „(Request)“ und „(Response)“ durch die von der Burp Suite gesendeten Anfragen beziehungsweise die erhaltenen Antworten ersetzt. Zurück kommt dann ein umfassender Report mit den angeforderten Daten. Im Rahmen der Antwort gibt das System zusätzlich ein Advisory aus.

Derzeit gilt, dass BurpGPT alle denkbaren Use Cases unterstützt und den Anwendern eine wichtige Hilfestellung sein kann, wenn es darum geht, Zeit zu sparen oder sich in die Materie einzuarbeiten. Herr Teyar sagte in diesem Zusammenhang: “ BurpGPT ist sowohl für IT-Sicherheitsexperten als auch für Einsteiger ein Muss, da das Tool durch die Integration in die Burp Suite eine nahtlose Möglichkeit bietet, die Leistungsfähigkeit von LLMs in ihrem Workflow zu nutzen. Es ist jedoch wichtig zu beachten, dass BurpGPT zwar die Testmöglichkeiten erweitert, aber nicht als Ersatz für gründliche Penetrationstests gedacht ist. Eine manuelle Validierung der Ergebnisse wird für umfassende Sicherheitsbewertungen weiterhin empfohlen.“

Bildergalerie

Bildergalerie mit 5 Bildern

Genau wie bei der Integration von LLM-Anbietern wie OpenAI oder dem Azure-OpenAI-Service über die jeweiligen eigenen öffentlichen APIs kann die Funktion der lokalen LLMs genutzt werden, um verkehrsbasierte Analysen und ein verbessertes Vulnerability-Scanning durchzuführen. Die Anwender sind dazu in der Lage, ein LLM von Hugging Face auszuprobieren oder ein eigenes zu trainieren, was die Ergebnisse verbessern und gleichzeitig die Privatsphäre sicherstellen kann. Darüber hinaus lässt sich BurpGPT einsetzen, um Zero-Day-Schwachstellen zu erkennen, die kryptografische Integrität von Libraries zu evaluieren und vieles mehr.

Fazit

BurpGPT stellt ein gutes Beispiel für eine KI dar, die speziell für ein spezifisches Produkt entwickelt wurde. Sie eröffnet viele neue Möglichkeiten. Wenn man bedenkt, dass sie sich aus einem Proof-of-Concept-Projekt entwickelt hat und praktisch noch in den Kinderschuhen steckt, so ist in Zukunft noch viel von dem Werkzeug zu erwarten.

Security-Insider Podcast – Folge 66

Features und Fehler der Blackbox ChatGPT

(ID:50011116)