Rydning af “Fog of More” i Cybersikkerhed

Ved RSA-konferencen i San Francisco denne måned var der en overvældende mængde af nye og varme løsninger på display fra cybersikkerhedsindustrien. Stand efter stand påstod, at de var værktøjet, der ville redde din organisation fra, at dårlige aktører stjæler dine gode sager eller afpreser dig for millioner af dollars.

Efter megen overvejelse er jeg kommet til den konklusion, at vores industri er tabt. Tabt i suppen af detektering og respons med uendelig meget vrøvl, der påstår, at dine problemer vil forsvinde, så længe du blot tilføjer endnu et lag. Omgivet af en tåge af teknologiinvesteringer, personale, værktøjer og infrastrukturlag har virksomheder nu dannet en labyrint, hvor de ikke længere kan se skoven for træerne, når det kommer til at identificere og forhindre trusler. Disse værktøjer, der er ment til at beskytte digitale aktiver, driver i stedet frustration for både sikkerheds- og udviklingsteams gennem øgede arbejdsbelastninger og inkompatibelt værktøj. “Fog of More” virker ikke. Men helt ærligt, har det aldrig virket.

Cyberangreb begynder og ender i kode. Det er så enkelt. Enten har du en sikkerhedsfejl eller sårbarhed i koden, eller også er koden skrevet uden sikkerhed i mente. Enten måde, hver enkelt angreb eller overskrift, du læser, kommer fra kode. Og det er softwareudviklerne, der står over for det ultimative fulde problem. Men udviklere er ikke uddannet i sikkerhed, og de kan måske aldrig blive det. Så de implementerer gamle kode-søgetools, der blot søger efter mønstre i koden. Og vær bange for, hvad du beder om, for som resultat får de tsunamien af falske positiver og jagter røde herrer og fantomer det meste af dagen. I virkeligheden bruger udviklere op til en tredjedel af deres tid på at jagte falske positiver og sårbarheder. Kun ved at fokusere på forebyggelse kan virksomheder virkelig begynde at styrke deres sikkerhedsprogrammer og lægge grundlaget for en sikkerhedsdrevet kultur.

Finding og Fixing på Kode niveau

Det siges ofte, at forebyggelse er bedre end kur, og denne advarsel holder særligt godt i cybersikkerhed. Derfor investerer virksomheder, selv under strammere økonomiske begrænsninger, stadig i sikkerheds-værktøjer og tilføjer flere og flere lag af sikkerhed for at reducere sandsynligheden for succesfulde cyberangreb. Men på trods af, at de tilføjer mere og mere sikkerhed, sker de samme typer angreb igen og igen. Det er tid for organisationer at antage en frisk perspektiv – en, hvor vi fokuserer på problemet på rod-niveau – ved at finde og fikse sårbarheder i koden.

Applikationer fungerer ofte som det primære indgangspunkt for cyberkriminelle, der søger at udnytte svagheder og få ubeføjet adgang til følsomme data. I slutningen af 2020 blev SolarWinds-kompromiset afsløret, og efterforskere fandt en kompromitteret byggeproces, der tillod angribere at injicere ondsindet kode i Orion-netværkssoftwaren. Dette angreb understregede behovet for at sikre hvert trin i software-byggeprocessen. Ved at implementere robuste applikations-sikkerhedsforanstaltninger kan organisationer mindske risikoen for disse sikkerhedsbrud. For at gøre dette skal virksomheder se på en “shift left”-mentalitet, hvor de bringer forebyggende og prædiktive metoder til udviklings-stadiet.

Selvom dette ikke er en helt ny idé, kommer det med ulemper. En betydelig ulempe er øget udviklingstid og omkostninger. Implementering af omfattende AppSec-foranstaltninger kan kræve betydelige ressourcer og ekspertise, hvilket fører til længere udviklingscykler og højere udgifter. Derudover udgør ikke alle sårbarheder en høj risiko for organisationen. Muligheden for falske positiver fra detektionsværktøjer fører også til frustration blandt udviklere. Dette skaber en kløft mellem forretnings-, ingeniør- og sikkerhedsteams, hvis mål måske ikke er ens. Men generativ AI kan være løsningen, der lukker denne kløft for godt.

Indtræden i AI-æraen

Ved at udnytte den altomfattende natur af generativ AI inden for AppSec vil vi endelig lære af fortiden for at forudsige og forhindre fremtidige angreb. For eksempel kan du træne en Large Language Model eller LLM på alle kendte kode-sårbarheder, i alle deres varianter, for at lære de væsentlige funktioner af dem alle. Disse sårbarheder kan omfatte almindelige problemer som buffer-overløb, injektionsangreb eller utilstrækkelig input-validering. Modellen vil også lære de nuancerede forskelle efter sprog, ramme, og bibliotek, samt hvilke kode-rettelser er succesfulde. Modellen kan derefter bruge denne viden til at scanne en organisations kode og finde potentielle sårbarheder, der endnu ikke er identificeret. Ved at bruge konteksten omkring koden kan scan-værktøjerne bedre detektere rigtige trusler. Dette betyder kortere scannings-tider og mindre tid til at jagte og fikse falske positiver og øget produktivitet for udviklingsteams.

Generative AI-værktøjer kan også tilbyde foreslåede kode-rettelser, hvilket automatiserer processen med at generere patches, og reducerer betydeligt tiden og indsatsen, der kræves for at fikse sårbarheder i kodebasen. Ved at træne modeller på enorme repositorier af sikre kodebasen og bedste praksis kan udviklere udnytte AI-genererede kode-fragmenter, der overholder sikkerhedsstandarder og undgår almindelige sårbarheder. Denne proaktive tilgang reducerer ikke kun sandsynligheden for at introducere sikkerhedsfejl, men accelererer også udviklingsprocessen ved at give udviklerene forhåndsgodkendte og validerede kode-komponenter.

Disse værktøjer kan også tilpasse sig til forskellige programmerings-sprog og kodestile, hvilket gør dem alsidige værktøjer til kode-sikkerhed på tværs af forskellige miljøer. De kan forbedre sig over tid, når de fortsætter med at træne på nye data og feedback, hvilket fører til mere effektive og pålidelige patch-generering.

Menneskeligt Element

Det er vigtigt at bemærke, at selvom kode-rettelser kan automatiseres, er menneskelig oversigt og validering stadig afgørende for at sikre kvaliteten og korrektheden af genererede patches. Mens avancerede værktøjer og algoritmer spiller en betydelig rolle i at identificere og mindske sikkerheds-sårbarheder, forbliver menneskelig ekspertise, kreativitet og intuition uerstattelige i at sikre applikationer effektivt.

Udviklere er ultimativt ansvarlige for at skrive sikker kode. Deres forståelse af sikkerheds-bedste-praksis, kodestandarder og potentielle sårbarheder er afgørende for at sikre, at applikationer er bygget med sikkerhed i mente fra begyndelsen. Ved at integrere sikkerheds-træning og -bevidsthedsprogrammer i udviklingsprocessen kan organisationer give udviklere mulighed for at proaktivt identificere og adresse sikkerheds-problemer, hvilket reducerer sandsynligheden for at introducere sårbarheder i kodebasen.

Dertil kommer, at effektiv kommunikation og samarbejde mellem forskellige interessenter inden for en organisation er afgørende for AppSec-succes. Mens AI-løsninger kan hjælpe med at “lukke kløften” mellem udvikling og sikkerhedsoperationer, kræver det en kultur af samarbejde og fælles ansvar for at bygge mere robuste og sikre applikationer.

I en verden, hvor trusselslandskabet konstant udvikler sig, er det let at blive overvældet af den enorme mængde af værktøjer og teknologier, der er til rådighed i cybersikkerhedsrummet. Men ved at fokusere på forebyggelse og finde sårbarheder i kode kan organisationer trimme “fedtet” af deres eksisterende sikkerheds-stack, og spare en eksponentiel mængde tid og penge i processen. På rod-niveau vil sådanne løsninger være i stand til ikke kun at finde kendte sårbarheder og fikse zero-day-sårbarheder, men også for-zero-day-sårbarheder, før de sker. Vi kan måske endelig holde trit med, hvis ikke føre, de udviklende trusler.