نير فالتمان، الرئيس التنفيذي والمؤسس في Arnica – سلسلة المقابلات

نير فالتمان هو الرئيس التنفيذي والمؤسس في Arnica، منصة تمكن الشركات من حماية سلسلة التوريد البرمجية من المخاطر عن طريق أتمتة العمليات الأمنية اليومية وتفعيل المطورين لتحمل المسؤولية عن الأمن دون التعرض للمخاطر أو المساس بالسرعة.

ما الذي جذبك في البداية إلى مجال الأمن السيبراني؟

نشأت بعقلية مهتمة بالاختراق. بدأت بتعطيل معمل الكمبيوتر في دورة البرمجة الأولى وقمت بتهكير أجهزة كمبيوتر أخرى بمهارات برمجة محدودة، كل ذلك عندما كنت في سن 13. عندما انضممت إلى الخدمة العسكرية في إسرائيل، حصلت على تعليم عملي في الجانب الدفاعي للأمن، مما أدى في النهاية إلى مسيرتي المهنية في الأمن السيبراني.

يمكنك أن تشاركنا قصة نشأة Arnica؟

قبل Arnica، عملت في Finastra، ثالث أكبر شركة FinTech في العالم، كنائب الرئيس للشؤون الأمنية. كانت تداعيات هجوم SolarWinds الشهير قد بدأت تستقر للتو، وسألني الرئيس التنفيذي كيف يمكننا تقليل خطر التعرض لهجوم على سلسلة التوريد البرمجية. قمنا بتقييم شامل للشركات التي تبني حلول في هذا المجال، وقمنا ببعض التجارب مع بعض منهم. لم يكن أي من الموردين مناسبًا لما كنا نبحث عنه: تغطية شاملة، وتخفيف المخاطر الفعلي، وتجربة ممتازة للمطور. كان جانب تجربة المطور مهمًا بشكل خاص لأن أي حل أفرضه على المطورين ويعطل سير عملهم سيُرفض، وسنعود إلى الصفر.

بدون وجود حل، قررت أن أبحث عن كل هجوم على سلسلة التوريد البرمجية الذي حدث خلال السنوات الخمس الماضية لتشكيل فهم للسمات الرئيسية وكيفية منعها. في الوقت نفسه، تحدثت مع صديقين، إران ميدان (الرئيس التقني) وديكو داهان (الرئيس التنفيذي للعمليات)، اللذين لديهما خبرة طويلة في قيادة التطوير والعمليات. أعرب إران وديكو عن تحديات مماثلة في العثور على حل – ديكو من منظور العمليات الفنية، وإران من منظور التطوير. نظرًا لأننا كنا جميعًا غير قادرين على العثور على حل، قمنا بتشكيل فرضية حول ما يجب أن يبدو عليه الحل. أجرينا عشرات المكالمات للتحقق من صحة الفرضية مع قادة الأمن والعمليات والهندسة، والتي أكدت كل من المشكلة وفرضيتنا حول الحل اللازم. بعد بضعة أشهر في أغسطس 2021، كنا قد أسسنا Arnica.

توفر Arnica أمنًا سلوكيًا شاملا، يمكنك أن تعرفنا ما هو الأمن السلوكي؟

إذا أعطوك ورقة مكتوبة بخط اليد وقيل لك إنك كتبتها، فمن المحتمل أن تتمكن من معرفة ما إذا كانت مكتوبة فعلاً من قبلك. إذا كان الخط اليدوي ليس خطك، وكانت الورقة مؤرخة قبل مولدك، وكانت مكتوبة بالفرنسية (التي لا تعرف كيف تتكلمها أو تكتبها)، فمن الواضح أنك لست المؤلف. نتبع نهجًا مشابهًا للرمز البرمجي، مع فارق أننا نبني ملفًا شخصيًا لكل مطور يتكون من آلاف العوامل (المعروفة أيضًا باسم الميزات في التعلم الآلي). من خلال مراقبة ميول وسلوك المطورين، يمكننا إيقاف المخاطر التي تختلف عن أنماط التطوير العادية. يساعدنا هذا على إيقاف عمليات الاستيلاء على الحسابات والتهديدات الداخلية والمخاطر الأخرى المرتبطة بالتطوير البرمجي.

يمكنك أن تناقش كيف يمكن للمنصة تحديد التفاصيل الدقيقة لطريقة عمل كل مطور؟

تستخدم Arnica سجلات المراجعة التاريخية ونشاط المساهمة في الرمز لإنشاء بصمة سلوكية لكل مطور. تمثل هذه البصمة السلوك المعروف والمعتاد لاستخدام المطور للصلاحيات وأسلوب البرمجة ولغة رسائل تثبيت التغييرات (commit) وممارسات التطوير. يمكننا بعد ذلك مقارنة جميع الأنشطة المستقبلية بهذه البصمة لتحديد احتمال أن يأتي الرمز المستقبلي من هذا المؤلف.

ماذا يحدث عندما يُحدد النظام سلوكًا غير عاديًا؟

نحن دائمًا نسعى لتعظيم قيمة الأمن وتقليل الاحتكاك التطوري في الوقت نفسه. عندما يكتشف Arnica سلوكًا غير عادي من حساب المطور، نقوم بتسليط الضوء عليه في Arnica ونرسل تلقائيًا طلب مصادقة إضافيًا من خلال دردشة مباشرة إلى المطور المعني، وفريق الأمن وفقًا لتكوين سياستك.

كيف تساعد Arnica في مراجعة الرمز؟

توفر Arnica إشعارات في الوقت الفعلي للمطورين عند دفعهم لتغييرات في الرمز، مما يقلل من عدد المخاطر التي تصل إلى طلبات السحب (pull requests). بالنسبة إلى المخاطر التي تصل إلى طلبات السحب، تقدم Arnica فحوصات رمز آلية على طلبات السحب. عندما يتم العثور على مخاطر، يعلق Arnica بالتفاصيل والسياق اللازم للتخفيف من كل خطر. يمكن لـArnica أيضًا حظر عمليات الدمج تلقائيًا عند وجود مخاطر، وبالتالي منعها من الوصول إلى رمز الإنتاج.

كما تمكّن Arnica من تحديد الإعتماديات الخارجية المعرضة للخطر، يمكنك أن تناقش كيف يعمل هذا للمطورين؟

تفحص Arnica جميع الحزم الخارجية والمخاطر عند كل دفع للرمز، وتُبلغ المطورين مباشرة عبر ChatOps عند استخدامهم لإصدارات تحتوي على ثغرات أمنية أو إدخال حزم ذات سمعة منخفضة إلى قاعدة الرمز.

ما هي بعض الوظائف الأخرى التي تقدمها منصة Arnica؟

تركز Arnica على توفير منصة لفرق أمن التطبيقات لتحقيق رؤية شاملة للمخاطر في سلسلة التوريد البرمجية، وتمكينهم من تحديد أولويات هذه المخاطر، وتمكينهم من إيقاف المخاطر الجديدة وتصحيح المخاطر الحالية. نقدم هذه القدرة عبر مجموعة واسعة من فئات المخاطر، بما في ذلك صلاحيات المطورين الزائدة، ومخاطر الرمز الناتجة عن اختبار أمن التطبيقات الساكن (SAST) وفحص البنية التحتية كشيفرة (IaC)، والأسرار المدمجة، والإعتماديات الخارجية، وغيرها.

هل هناك أي شيء آخر تود أن تشاركه حول Arnica؟

في Arnica، كما نطور حلول أمن التطبيقات وسلسلة التوريد، نعتبر أنفسنا شركة لتجربة المطور. نحن نريد جعل حل مشاكل الأمن تجربة سلسة وممتعة. على سبيل المثال، حلنا لمعالجة الأسرار المكشوفة. نكتشف السر عند دفع الشيفرة، ونتحقق من صحته، ونرسل إشعارًا إلى المطور في أداة الدردشة المفضلة لديه. يحتوي الإشعار على زر – “إصلاحه من أجلي” – الذي يزيل السر من سجل Git بأكمله دون الحاجة للمطور إلى كتابة أي أوامر Git. مجرد نقرة.

نعتقد أنه إذا استطعنا جعل الأمن جزءًا سهلًا وممتعًا من تجربة التطوير، فإن كل منظمة تستخدم Arnica ستكون أفضل.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يمكنهم زيارة Arnica.