Die “Nebel der Mehrheit” in der Cybersicherheit lichten

Bei der RSA-Konferenz in San Francisco in diesem Monat wurde eine atemberaubende Vielzahl an brandneuen Lösungen aus der Cybersicherheitsbranche präsentiert. Stand nach Stand behauptete, das Tool zu sein, das Ihre Organisation vor böswilligen Akteuren schützen würde, die Ihre Werte stehlen oder Sie um Millionen von Dollar erpressen.

Nach gründlicher Überlegung bin ich zu dem Schluss gekommen, dass unsere Branche verloren ist. Verloren in der Suppe der Erkennung und Reaktion mit endlosem Geschwätz, das behauptet, dass Ihre Probleme verschwinden, sobald Sie nur noch eine weitere Schicht hinzufügen. Von einer Wolke von Technologieinvestitionen, Personal, Tools und Infrastruktur umgeben, haben Unternehmen ein Labyrinth geschaffen, in dem sie den Wald vor lauter Bäumen nicht mehr sehen können, wenn es um die Identifizierung und Verhinderung von Bedrohungsakteuren geht. Diese Tools, die dazu gedacht sind, digitale Vermögenswerte zu schützen, verursachen stattdessen bei Sicherheits- und Entwicklungsteams durch erhöhte Arbeitsbelastung und unvereinbare Tools Frustration. Der “Nebel der Mehrheit” funktioniert nicht. Aber ehrlich gesagt, hat er nie funktioniert.

Cyberangriffe beginnen und enden im Code. Es ist so einfach. Entweder haben Sie einen Sicherheitsfehler oder eine Schwachstelle im Code, oder der Code wurde ohne Sicherheitsaspekte geschrieben. Auf jeden Fall stammt jeder Angriff oder jede Schlagzeile, die Sie lesen, aus dem Code. Und es sind die Software-Entwickler, die das volle Ausmaß des Problems zu spüren bekommen. Aber Entwickler werden nicht in Sicherheit ausgebildet und werden es vielleicht nie sein. Also setzen sie auf altmodische Code-Suchtools, die einfach nach Mustern im Code suchen. Und fürchten Sie sich vor dem, was Sie fragen, denn als Ergebnis erhalten sie einen Tsunami von Warnungen und verbringen den größten Teil des Tages damit, falsche Fährten und Phantombedrohungen zu verfolgen. Tatsächlich verbringen Entwickler bis zu einem Drittel ihrer Zeit damit, falsche Positives und Schwachstellen zu verfolgen. Nur durch die Konzentration auf die Verhinderung können Unternehmen ihre Sicherheitsprogramme wirklich befestigen und die Grundlage für eine sicherheitsorientierte Kultur schaffen.

Fehler finden und beheben auf Code-Ebene

Es wird oft gesagt, dass Verhinderung besser ist als Heilung, und diese Weisheit gilt besonders in der Cybersicherheit. Deshalb investieren Unternehmen auch bei engen wirtschaftlichen Einschränkungen kontinuierlich in Sicherheitstools und setzen immer mehr Sicherheitsschichten ein, um die Wahrscheinlichkeit erfolgreicher Cyberangriffe zu verringern. Aber trotz der Hinzufügung immer mehr Sicherheitsschichten geschehen die gleichen Arten von Angriffen weiterhin. Es ist Zeit für Organisationen, eine frische Perspektive zu übernehmen – eine, bei der wir uns auf das Problem auf der Root-Ebene konzentrieren – indem wir Schwachstellen im Code finden und beheben.

Anwendungen dienen oft als primärer Einstiegspunkt für Cyberkriminelle, die Schwachstellen ausnutzen und unbefugten Zugriff auf sensible Daten erhalten möchten. Ende 2020 wurde der SolarWinds-Kompromiss bekannt und Ermittler fanden einen kompromittierten Build-Prozess, der es Angreifern ermöglichte, schädlichen Code in die Orion-Netzwerküberwachungssoftware einzuschleusen. Dieser Angriff unterstrich die Notwendigkeit, jeden Schritt des Software-Build-Prozesses zu sichern. Durch die Implementierung robuster Anwendungssicherheitsmaßnahmen (AppSec) können Organisationen das Risiko solcher Sicherheitsverletzungen verringern. Dazu müssen Unternehmen eine “Shift-Left”-Mentalität verfolgen und präventive und vorhersehbare Methoden in die Entwicklungsphase einbringen.

Dies ist zwar keine völlig neue Idee, aber sie hat auch Nachteile. Ein wesentlicher Nachteil ist die erhöhte Entwicklungszeit und die höheren Kosten. Die Implementierung umfassender AppSec-Maßnahmen kann erhebliche Ressourcen und Fachkenntnisse erfordern, was zu längeren Entwicklungszyklen und höheren Ausgaben führt. Darüber hinaus bergen nicht alle Schwachstellen ein hohes Risiko für das Unternehmen. Die potenzielle Falsch-Positiv-Rate von Erkennungstools führt auch bei Entwicklern zu Frustration. Dies schafft eine Lücke zwischen den Geschäfts-, Ingenieur- und Sicherheitsteams, deren Ziele möglicherweise nicht übereinstimmen. Aber generative KI könnte die Lösung sein, die diese Lücke endgültig schließt.

Eintritt in die KI-Ära

Indem wir die allgegenwärtige Natur der generativen KI in der AppSec nutzen, werden wir endlich aus der Vergangenheit lernen, um zukünftige Angriffe vorherzusagen und zu verhindern. Zum Beispiel können Sie ein Large Language Model oder LLM auf alle bekannten Code-Schwachstellen in all ihren Varianten trainieren, um die wesentlichen Merkmale aller zu erlernen. Diese Schwachstellen könnten häufige Probleme wie Buffer-Overflows, Injection-Angriffe oder unzureichende Eingabevalidierung umfassen. Das Modell wird auch die nuancierten Unterschiede nach Sprache, Framework und Bibliothek sowie die erfolgreichen Code-Fixes lernen. Das Modell kann dann diese Kenntnisse nutzen, um den Code eines Unternehmens zu scannen und potenzielle Schwachstellen zu finden, die noch nicht identifiziert wurden. Durch die Verwendung des Kontexts um den Code herum können Scanning-Tools echte Bedrohungen besser erkennen. Dies bedeutet kurze Scanning-Zeiten und weniger Zeit, die mit der Verfolgung von Falsch-Positiven und Schwachstellen sowie der Erhöhung der Produktivität der Entwicklungsteams verbracht wird.

Generative KI-Tools können auch vorgeschlagene Code-Fixes anbieten und den Prozess der Erstellung von Patches automatisieren, wodurch die Zeit und der Aufwand, die zur Behebung von Schwachstellen in Codebasen erforderlich sind, erheblich reduziert werden. Durch das Training von Modellen auf umfangreichen Repositorien von sicheren Codebasen und Best Practices können Entwickler KI-generierte Code-Snippets nutzen, die Sicherheitsstandards entsprechen und häufige Schwachstellen vermeiden. Dieser proaktive Ansatz reduziert nicht nur die Wahrscheinlichkeit, Sicherheitsfehler einzuführen, sondern beschleunigt auch den Entwicklungsprozess, indem Entwicklern vorgeprüfte und validierte Code-Komponenten zur Verfügung gestellt werden.

Diese Tools können sich auch an verschiedene Programmiersprachen und Codierstile anpassen, was sie zu vielseitigen Werkzeugen für die Codesicherheit in verschiedenen Umgebungen macht. Sie können sich im Laufe der Zeit verbessern, während sie weiter auf neue Daten und Feedback trainieren, was zu einer effektiveren und zuverlässigeren Patch-Generierung führt.

Der menschliche Faktor

Es ist wichtig zu beachten, dass Code-Fixes automatisiert werden können, menschliche Überwachung und Validierung jedoch immer noch entscheidend sind, um die Qualität und Richtigkeit der generierten Patches zu gewährleisten. Während fortschrittliche Tools und Algorithmen eine wichtige Rolle bei der Identifizierung und Bekämpfung von Sicherheitschwachstellen spielen, bleiben menschliche Expertise, Kreativität und Intuition unverzichtbar, um Anwendungen effektiv zu sichern.

Entwickler sind letztendlich für die Erstellung von sicherem Code verantwortlich. Ihr Verständnis von Sicherheitsbest-Practices, Codierstandards und potenziellen Schwachstellen ist von entscheidender Bedeutung, um sicherzustellen, dass Anwendungen von Anfang an mit Sicherheit im Blick gebaut werden. Durch die Integration von Sicherheits Schulungen und Bewusstseinsprogrammen in den Entwicklungsprozess können Organisationen Entwickler befähigen, Sicherheitsprobleme proaktiv zu identifizieren und anzugehen, wodurch die Wahrscheinlichkeit, Schwachstellen in den Code einzuführen, verringert wird.

Darüber hinaus sind effektive Kommunikation und Zusammenarbeit zwischen verschiedenen Interessengruppen innerhalb eines Unternehmens für den Erfolg von AppSec unerlässlich. Während KI-Lösungen helfen können, die “Lücke” zwischen Entwicklung und Sicherheitsbetrieb zu schließen, erfordert es eine Kultur der Zusammenarbeit und gemeinsamen Verantwortung, um widerstandsfähigere und sicherere Anwendungen zu bauen.

In einer Welt, in der die Bedrohungslandschaft ständig evolviert, kann es leicht passieren, dass man von der schieren Menge an Tools und Technologien im Cybersicherheitsbereich überwältigt wird. Durch die Konzentration auf die Verhinderung und das Finden von Schwachstellen im Code können Unternehmen jedoch den “Ballast” ihres bestehenden Sicherheitsstacks reduzieren, wodurch sie eine exponentielle Menge an Zeit und Geld sparen. Auf Root-Ebene werden solche Lösungen in der Lage sein, nicht nur bekannte Schwachstellen und Zero-Day-Schwachstellen zu finden und zu beheben, sondern auch prä-Zero-Day-Schwachstellen, bevor sie auftreten. Wir können endlich mit den sich entwickelnden Bedrohungsakteuren Schritt halten, wenn nicht sogar vorauseilen.