Τζεφ Γουίλιαμς, Ιδρυτής του OWASP και Ιδρυτής & CTO της Contrast Security – Σειρά Συνεντεύξεων

Τζεφ Γουίλιαμς, Ιδρυτής του OWASP και Ιδρυτής & CTO της Contrast Security, θεωρείται ευρέως ως ένας από τους πιο επιδραστικούς ανθρώπους στην σύγχρονη ασφάλεια εφαρμογών. Τα τελευταία几 δεκαετίες, βοήθησε να διαμορφωθεί ο τρόπος με τον οποίο οι οργανώσεις αντιμετωπίζουν την ασφαλή ανάπτυξη λογισμικού, τη διαχείριση ευπαθειών και την προστασία εφαρμογών σε χρόνο εκτέλεσης. Ο Γουίλιαμς έπαιξε κεντρικό ρόλο στην κατασκευή του OWASP από μια μικρή εθελοντική πρωτοβουλία σε ένα παγκοσμίως αναγνωρισμένο μη κερδοσκοπικό ιδρυμα ασφάλειας, συμβάλλοντας σε ορόσημα έργα όπως το OWASP Top Ten, WebGoat, ESAPI, ASVS και το XSS Prevention Cheat Sheet. Πριν ιδρύσει την Contrast Security το 2014, ίδρυσε επίσης την Aspect Security, μια από τις πρώτες εταιρείες που ασχολήθηκαν αποκλειστικά με την ασφάλεια εφαρμογών, την εκπαίδευση, τον πενετρασμό και τις ασφαλείς πρακτικές ανάπτυξης για επιχειρήσεις.

OWASP είναι ένα μη κερδοσκοπικό ιδρυμα που επικεντρώνεται στην βελτίωση της ασφάλειας λογισμικού μέσω ανοικτών έργων, παγκόσμιας συνεργασίας, εκπαίδευσης και βιομηχανικών προτύπων. Ιδρυθέν το 2001, το ιδρυμα έχει γίνει μια από τις πιο σημαντικές αρχές στην ασφάλεια εφαρμογών, με εκατοντάδες τοπικά κεφάλαια, χιλιάδες συντελεστές και ευρέως αποδεκτά πόρους που χρησιμοποιούνται από dévelopers, επαγγελματίες ασφάλειας, επιχειρήσεις και κυβερνήσεις παγκοσμίως. Το OWASP είναι πιο γνωστό για έργα όπως το OWASP Top Ten, το οποίο προσδιορίζει τα πιο κρίσιμα рисκ ασφάλειας εφαρμογών ιστού, μαζί με πολλά πλαίσια ασφάλειας, εργαλεία δοκιμών, έργα τεκμηρίωσης και πρωτοβουλίες εκπαίδευσης. Το ιδρυμα λειτουργεί με μια φιλοσοφία vendor-αγνοίας, καθιστώντας τους εκπαιδευτικούς πόρους και τις οδηγίες ασφάλειας δωρεάν προσβάσιμους στην παγκόσμια τεχνολογική κοινότητα.

Contrast Security είναι μια εταιρεία ασφάλειας εφαρμογών που επικεντρώνεται στην προστασία του λογισμικού από το εσωτερικό της εφαρμογής herself, αντί να βασίζεται αποκλειστικά σε εξωτερικά εργαλεία σάρωσης. Η πλατφόρμα της εταιρείας χρησιμοποιεί τεχνολογία runtime instrumentation για να παρέχει πραγματική ορατότητα σε ευπαθειές, επιθέσεις, API, ανοικτές βιβλιοθήκες και συμπεριφορά εφαρμογών σε περιβάλλοντα ανάπτυξης και παραγωγής. Οι προσφορές της εταιρείας καλύπτουν περιοχές όπως η Interactive Application Security Testing (IAST), Application Detection and Response (ADR), Runtime Application Self-Protection (RASP) και ανάλυση σύνθεσης λογισμικού. Η Contrast Security έχει θέσει τον εαυτό της γύρω από την ενσωμάτωση της ασφάλειας直接 στις σύγχρονες διαδικασίες DevSecOps, ermögνοντας τους dévelopers, τις ομάδες AppSec και τις ομάδες ασφάλειας να αναγνωρίσουν και να επιλύσουν ευπαθειές πιο γρήγορα, διατηρώντας παράλληλα τα γρήγορα κύκλους παράδοσης λογισμικού.

Μετά τη βοήθεια στη διαμόρφωση της σύγχρονης ασφάλειας εφαρμογών μέσω της δουλειάς σας με το Open Web Application Security Project (OWASP), ποια была η lacuna στην βιομηχανία που σας οδήγησε να ιδρύσετε την Contrast Security, και πώς έχει ανταποκριθεί η αρχική σας θέση καθώς εξελίσσονται οι προκλήσεις ασφάλειας;

Η βιομηχανία πνίγονταν σε θεωρητικές στατικές ευρήματα και δεν μπορούσε να επικεντρωθεί στα ζητήματα που πραγματικά μετράνε. Οι ομάδες ασφάλειας είχαν σαρωτές που παρήγαγαν τεράστιους πίσω-λογαριασμούς χωρίς να γνωρίζουν ποίες ευπαθειές ήταν προσβάσιμες, εκμεταλλεύσιμες ή υπό επίθεση σε παραγωγή. Ιδρύσαμε την Contrast με μια απλή ιδέα: οι αποφάσεις ασφάλειας πρέπει να έρχονται από την άμεση παρατήρηση των εφαρμογών που τρέχουν, όχι από την εξωτερική εκτίμηση.

Τελικά, ελπίζω ότι η βιομηχανία θα προχωρήσει στο σημείο όπου θα σταματήσουμε το γκρουπ της αναζήτησης προβλημάτων, διόρθωσης και αναζήτησης περισσότερων για πάντα. Ελπίζω ότι θα αρχίσουμε να δημιουργούμε λογισμικό που έχει μια ισχυρή αρχιτεκτονική ασφάλειας και ένα πραγματικό επιχείρημα ότι έχει τις σωστές άμυνες για τις αναμενόμενες απειλές. Η συνδυασμός της ασφάλειας runtime και του AI έχει το δυναμικό, αλλά είμαστε χρόνια μακριά.

Έχετε περιγράψει την εμφάνιση των “Mythos-level ευπαθειών”. Ποια είναι η νέα αυτή κατηγορία κινδύνου και γιατί είναι τόσο δύσκολο για τις συμβατικές εργαλεία ασφάλειας να τις ανιχνεύσουν;

Οι Mythos-level ευπαθειές είναι σφάλματα που προκύπτουν από την πολυπλοκότητα των σύγχρονων στοίβων λογισμικού. Η αλληλεπίδραση μεταξύ της συμπεριφοράς πλαισίου, των εξαρτήσεων και των αρχιτεκτονικών προτύπων είναι τόσο πολύπλοκη που οι dévelopers συχνά δεν την κατανοούν πλήρως. Τα συμβατικά εργαλεία είναι ακόμη βελτιστοποιημένα για σχετικά απλές γνωστές προτύπες και παρατηρήσιμες εκδηλώσεις. Οι Mythos-στυλ ευπαθειές συχνά απαιτούν την κατανόηση της συμπεριφοράς της εφαρμογής, της ροής εκτέλεσης και του περιβάλλοντος runtime σε ένα πολύ βαθύτερο επίπεδο.

Γιατί οι整ire κατηγορίες ευπαθειών δεν παράγουν ειδοποιήσεις σε σύγχρονους περιβάλλοντες Security Operations Center (SOC) και τι αποκαλύπτουν αυτό για τον τρόπο με τον οποίο οι ομάδες ασφάλειας μετρούν目前 τον κίνδυνο;

Οι περισσότερες SOC είναι χτισμένες γύρω από παρατηρήσιμες εκδηλώσεις: καταγραφές, υπογραφές, κυκλοφορία δικτύου, δραστηριότητα τελικού σημείου. Αλλά πολλές επιθέσεις εφαρμογών δεν παράγουν σημαντικά σήματα σε αυτά τα συστήματα. Ο déveloper δεν ήξερε ότι υπήρχε μια ευπάθεια και δεν πρόσθεσε κανένα logging που θα αποκάλυπτε μια εκμετάλλευση. Έτσι, οι περισσότερες επιθέσεις εφαρμογών είναι πλήρως αόρατες στα logs. Οι ομάδες SOC μπορούν να ανταποκριθούν μόνο σε αυτό που μπορούν να δουν. Έτσι, καθώς το επίπεδο εφαρμογής και API γίνεται ολοένα και πιο σημαντικό, είναι κρίσιμο να διασφαλίσουμε ότι θα ενstrumentalizουμε με αισθητήρες ασφάλειας που μπορούν να ανιχνεύσουν και να αναφέρουν ανωμαλή συμπεριφορά.

Οι σύγχρονες αρχιτεκτονικές εφαρμογών όπως microservices, API και serverless συστήματα έχουν εξελιχθεί γρήγορα. Πού είναι αυτές οι αρχιτεκτονικές να ξεπερνούν τις τρέχουσες προσεγγίσεις ασφάλειας που βασίζονται στην ανίχνευση;

Αυτές οι αρχιτεκτονικές έσπασαν το παλιό μοντέλο περιμέτρου. Οι αιτήσεις τώρα διασχίζουν δεκάδες υπηρεσίες, εφήμερες λειτουργίες, API, ουρές και εξαρτήσεις τρίτων πριν ολοκληρώσουν μια συναλλαγή. Τα περισσότερα συστήματα ανίχνευσης vẫn βλέπουν θραύσματα αντί για το πλήρες μονοπάτι εκτέλεσης. Μπορούν να ελέγξουν πακέτα ή logs, αλλά δεν μπορούν να κατανοήσουν την πρόθεση, τη ροή δεδομένων ή αν ο κώδικας εκτελέστηκε πραγματικά. Η ασφάλεια είναι για το περιβάλλον, οπότε πρέπει να χτίσουμε ένα μοντέλο, ένα ψηφιακό δίδυμο, της υποδομής εφαρμογών μας που θα μας ermögνίζει (ή τους πράκτορες AI) να συζητήσουμε για αυτό που βλέπουμε να συμβαίνει.

Το OWASP Top Ten συνεχίζει να υπογραμμίζει ζητήματα όπως η ασφάλεια σχεδιασμού και τα ευπαθή στοιχεία. Γιατί αυτοί οι κίνδυνοι επιμένουν παρά την ευρεία ευαισθητοποίηση και εργαλεία;

Η ευαισθητοποίηση δεν διορθώνει τις ενισχύσεις ή την πολυπλοκότητα. Οι περισσότερες οργανώσεις vẫn μετρούν την επιτυχία με τον όγκο σάρωσης, την κλείσιμο εισιτηρίων ή τις λίστες ελέγχου συμμόρφωσης αντί για την πραγματική μείωση της έκθεσης.

Ταυτόχρονα, οι αλυσίδες εφοδιασμού λογισμικού εκρήγνυαν σε μέγεθος. Οι dévelopers συναρμολογούν εφαρμογές από χιλιάδες στοιχεία που δεν έγραψαν και σίγουρα δεν αξιολόγησαν για ασφάλεια. Οι ομάδες ασφάλειας είναι υπερφορτωμένες προσπαθώντας να διορθώσουν θεωρητικούς κινδύνους και δεν μπορούν να επικεντρωθούν στα 1-2% που πραγματικά μετράνε. Χωρίς στοιχεία runtime, η προτεραιότητα διασπάται. Και με την εμφάνιση ισχυρών μοντέλων AI και αναρτήσεων, ο όγκος αυξάνεται εκθετικά.

Πώς πρέπει οι οργανώσεις να ξανασκέφτουν την εξάρτησή τους από logs και ειδοποιήσεις όταν κάποιες από τις πιο κρίσιμες ευπαθειές δεν αφήνουν κανένα παρατηρήσιμο σήμα;

Τα logs είναι αποδεικτικά στοιχεία για αυτό που οι εφαρμογές επιλέγουν να αναφέρουν, όχι απαραίτητα αποδεικτικά στοιχεία για αυτό που πραγματικά συνέβη. Αυτή είναι μια επικίνδυνη διάκριση. Οι οργανώσεις πρέπει να μετατοπίσουν την προσοχή τους από την έμμεση παρατήρηση στην άμεση παρατήρηση. Αντί να ελπίζουν ότι μια εκμετάλλευση δημιουργεί ένα ανιχνεύσιμο artifact, τα συστήματα ασφάλειας πρέπει να αναγνωρίσουν την ευπαθή συμπεριφορά και την συμπεριφορά εκμετάλλευσης σε χρόνο εκτέλεσης. Αν ο κώδικας εκτελέστηκε, το σύστημα πρέπει να το γνωρίζει αμέσως — ανεξάρτητα από το αν υπάρχει μια καταγραφή.

Έχετε υποστηρίξει την ορατότητα runtime ως λύση. Τι είναι η πραγματική ορατότητα runtime στην πράξη και πώς αλλάζει τον τρόπο με τον οποίο οι ομάδες ασφάλειας λειτουργούν σε καθημερινή βάση;

Η πραγματική ορατότητα runtime σημαίνει την κατανόηση του τι πραγματικά κάνει η εφαρμογή σε παραγωγή: ποια διαδρομές είναι εκτεθειμένες, ποίες βιβλιοθήκες είναι ενεργές, πού ρέει η ευαίσθητη δεδομένα, ποίος κώδικας εκτελέστηκε και αν μια επίθεση έφτασε σε ευπαθή λειτουργικότητα. Λειτουργικά, αλλάζει την ασφάλεια από μια αντιδραστική άσκηση σε μια ακριβή επιστήμη. Οι ομάδες σταματούν το κυνήγι των τεράστιων πίσω-λογαριασμών ευπαθειών και αρχίζουν να επικεντρώνονται στο μικρό ποσοστό των εκθέσεων που είναι προσβάσιμες, κρίσιμες και ενεργά στοχευμένες. Αυτό βελτιώνει δραματικά το αναλογία σήματος προς θόρυβο και την ταχύτητα ανταπόκρισης. Σ平均, μόνο το 38% των ανοικτών βιβλιοθηκών που συσκευάζονται σε μια εφαρμογή είναι πραγματικά φορτωμένες στη μνήμη και εκτελούνται. Και όχι όλος ο κώδικας σε αυτό το υποσύνολο χρησιμοποιείται. Έτσι, ένα απλό πράγμα που η ασφάλεια runtime ermögνίζει είναι η εστίαση στο κώδικα που πραγματικά τρέχει, και όχι στα_UNUSED βιβλιοθήκες και λειτουργίες που έρχονται μαζί με μια εφαρμογή.

Πώς συγκρίνεται η ασφάλεια βασισμένη σε οργάνωση με τις παραδοσιακές προσεγγίσεις όπως SAST, DAST ή παρακολούθηση περιμέτρου όσον αφορά την αποτελεσματικότητα και την κλιμάκωση;

Τα παραδοσιακά εργαλεία υποθέτουν τον κίνδυνο από το εξωτερικό. Η οργάνωση παρατηρεί την πραγματικότητα παρατηρώντας τον πραγματικό κώδικα καθώς εκτελείται. Η οργάνωση μπορεί να δει πραγματικά μονοπάτια εκτέλεσης, συμπεριφορά πλαισίου, контекστό αυθεντικοποίησης, ροή δεδομένων και επιτυχία εκμετάλλευσης σε πραγματικό χρόνο. Καταργεί τεράστιες κατηγορίες ψευδών θετικών και αποκαλύπτει ευπαθειές που τα εργαλεία περιμέτρου完全 miss.
Σε κλίμακα, αυτή η ακρίβεια γίνεται κρίσιμη. Οι οργανώσεις δεν μπορούν να διορθώσουν χειροκίνητα εκατομμύρια θεωρητικών ευρημάτων nữa. Τα στοιχεία runtime γίνονται το μόνο βιώσιμο φίλτρο. Η οργάνωση λειτουργεί σε πραγματικό χρόνο, οπότε είναι καλύτερη αντιστοίχηση για τις διαδικασίες ανάπτυξης και CI/CD από το σάρωμα και την διόρθωση. Και η οργάνωση είναι συνεχής, οπότε δεν είστε περιορισμένοι σε μια στιγμιαία εικόνα ασφάλειας.

Όπως τα συστήματα AI και οι αυτόνομες εφαρμογές γίνονται πιο διαδεδομένα, γίνονται οι αόρατες ευπαθειές πιο επικίνδυνες και πώς πρέπει οι ομάδες να προετοιμαστούν;

Το AI κάνει τις αόρατες ευπαθειές πολύ πιο επικίνδυνες γιατί επιταχύνει και τις δύο πλευρές του προβλήματος. Οι dévelopers παράγουν λογισμικό γρηγορότερα και οι επιτιθέμενοι βρίσκουν και εκμεταλλεύονται弱ότητες γρηγορότερα. Αλλά τα meisten προγράμματα ασφάλειας εξακολουθούν να βασίζονται σε ανθρώπινες διαδικασίες που δεν μπορούν να λειτουργήσουν με την ταχύτητα του AI. Οι ομάδες πρέπει να προετοιμαστούν με δύο τρόπους. Πρώτον, να χτίσουν ισχυρότερες άμυνες runtime που μπορούν να ανιχνεύσουν, να μπλοκάρουν και να περιορίσουν τις επιθέσεις σε παραγωγή ενώ οι ευπαθειές διορθώνονται. Αυτό δίνει στις οργανώσεις αέρα. Δεύτερον, να χρησιμοποιήσουν το AI και την αυτοματοποίηση για να γράψουν πιο ασφαλές κώδικα από την αρχή — με καλύτερο σχεδιασμό, δοκιμή, ανασκόπηση και επαλήθευση. Αλλιώς, δημιουργούμε κίνδυνο γρηγορότερα από ό,τι podemos να το διαχειριστούμε.

Αν σας συμβουλεύαμε έναν σύγχρονο ηγέτη Security Operations Center (SOC) σήμερα, ποια είναι τα πρώτα συγκεκριμένα βήματα που πρέπει να κάνει για να κλείσει αυτό το κενό ορατότητας πριν οδηγήσει σε μια σημαντική παραβίαση;

Πρώτον, να αποδεχτείτε ότι η τηλεμετρία περιμέτρου μόνο δεν είναι ικανοποιητική για την σύγχρονη ασφάλεια εφαρμογών. Στην πραγματικότητα, είναι αδύνατο να δείτε ή να σταματήσετε πολλές επιθέσεις εφαρμογών και API στο περιμέτρο. Το SOC χρειάζεται ορατότητα μέσα στις εφαρμογές που τρέχουν, όχι μόνο την υποδομή που τις φιλοξενεί. Δεύτερον, να προτεραιότητα στα στοιχεία runtime από τα θεωρητικά ευρήματα. Εστίαση στις ευπαθειές που είναι σε ενεργό κώδικα, αναγνώριση ενεργών μονοπατιών επιθέσεων και εκτεθειμένων υπηρεσιών που πραγματικά εκτελούνται σε παραγωγή. Τέλος, να ενοποιήσετε την ασφάλεια εφαρμογών και την μηχανική ανίχνευσης. Το μέλλον SOC δεν μπορεί να αντιμετωπίσει τις εφαρμογές ως αδιαφανείς μαύρες κουτί anymore. Οι εφαρμογές είναι τώρα η πρωταρχική επιφάνεια επίθεσης και χρειάζονται πρώτη-τάξη ορατότητα σε χρόνο εκτέλεσης.

Ευχαριστούμε για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν το OWASP ή το Contrast Security.