Νίρ Βαλτμάν, Διευθύνων Σύμβουλος & Ιδρυτής στην Arnica – Σειρά Συνεντεύξεων

Ο Νίρ Βαλτμάν είναι ο Διευθύνων Σύμβουλος και Ιδρυτής στην Arnica, μια πλατφόρμα που επιτρέπει στις επιχειρήσεις να προστατεύουν προληπτικά την αλυσίδα εφοδιασμού λογισμικού από κινδύνους, αυτοματοποιώντας τις ημερήσιες ασφαλιστικές επιχειρήσεις και ενδυναμώνοντας τους développers να διαθέτουν ασφάλεια χωρίς να διατρέχουν κινδύνους ή να επηρεάζουν την ταχύτητα.

Τι σας έκανε να ενδιαφερθείτε για την κυβερνοασφάλεια;

Εγώ μεγάλωσα με μια στάση hacking. Ξεκίνησα καταστρέφοντας το εργαστήριο υπολογιστών στην πρώτη μου課程 προγραμματισμού και hacking σε άλλους υπολογιστές με πολύ λίγες γνώσεις προγραμματισμού, όλα αυτά όταν ήμουν 13 ετών. Όταν εντάχθηκα στην στρατιωτική υπηρεσία στο Ισραήλ, έλαβα μια πρακτική εκπαίδευση στην αμυντική πλευρά της ασφάλειας, η οποία οδήγησε τελικά στην επαγγελματική μου καριέρα στην κυβερνοασφάλεια. 

Μπορείτε να μοιραστείτε την ιστορία της Arnica;

Πριν από την Arnica, εργάστηκα στη Finastra, την τρίτη μεγαλύτερη εταιρεία FinTech παγκοσμίως, ως Αντιπρόεδρος Ασφαλείας. Η σκόνη από την臭名昭著 Solarwinds είχε μόλις καταλαγιάσει και ο Διευθύνων Σύμβουλος μας ζήτησε να του πω πώς θα μπορούσαμε να ελαττώσουμε τον κίνδυνο να επηρεαστούμε από μια επίθεση στην αλυσίδα εφοδιασμού λογισμικού. Κάνουμε μια綜合 αξιολόγηση εταιρειών που κατασκευάζουν λύσεις σε αυτόν τον χώρο, μερικές από τις οποίες πραγματοποιήσαμε proof of concepts. Κανένας από τους προμηθευτές δεν ήταν καλός για αυτό που ζητούσαμε:綜合 κάλυψη, ενεργό μείωση των κινδύνων και μια μεγάλη εμπειρία για τους développers. Ιδιαίτερα, το στοιχείο της εμπειρίας των développers ήταν κρίσιμο, γιατί οποιαδήποτε λύση που επέβαλα στους développers που διαταράσσει τις ροές εργασίας τους θα απορριφθεί και θα επιστρέψουμε στο σημείο εκκίνησης. 

Η Arnica παρέχει ασφάλεια βασισμένη στη συμπεριφορά, μπορείτε να ορίσετε τι είναι η ασφάλεια βασισμένη στη συμπεριφορά;

Αν κάποιος σας έδωσε ένα χειρόγραφο σημείωμα και σας είπε ότι το γράψατε, θα μπορούσατε πιθανώς να πείτε αν ήταν πραγματικά γραμμένο από εσάς. Αν, για παράδειγμα, η γραφή δεν ήταν δική σας, το σημείωμα ήταν ημερομηνίας πριν από τη γέννησή σας και ήταν γραμμένο στα Γαλλικά (τα οποία δεν ξέρετε να γράφετε ή να μιλάτε), θα ήταν σαφές ότι δεν είστε ο συγγραφέας. Λαμβάνουμε μια παρόμοια προσέγγιση με τον κώδικα, εκτός από το ότι κατασκευάζουμε ένα προφίλ για κάθε développer που αποτελείται από χιλιάδες παράγοντες (γνωστοί ως χαρακτηριστικά στη μηχανική μάθηση). Παρατηρώντας τις τάσεις και τη συμπεριφορά των développers, μπορούμε να σταματήσουμε τους κινδύνους που απομακρύνθηκαν από τα κανονικά μοτίβα ανάπτυξης. Αυτό μας βοηθά να σταματήσουμε τις απειλές για τις ληστείες λογαριασμών, τις εσωτερικές απειλές και άλλους κινδύνους που σχετίζονται με την ανάπτυξη λογισμικού. 

Μπορείτε να συζητήσετε πώς η πλατφόρμα μπορεί να αναγνωρίσει τις νюανς του πώς εργάζεται κάθε développer;

Η Arnica αξιοποιεί ιστορικά δεδομένα ελέγχου και δραστηριότητας συμβολής κώδικα για να δημιουργήσει einen βιομετρικό αποτύπωμα για κάθε développer. Αυτό το αποτύπωμα αντιπροσωπεύει τη γνωστή και αναμενόμενη συμπεριφορά της χρήσης των δικαιωμάτων, του στυλ κωδικοποίησης, της γλώσσας υποβολής και των πρακτικών ανάπτυξης. Είμαστε然后 σε θέση να συγκρίνουμε όλες τις μελλοντικές δραστηριότητες με αυτό το αποτύπωμα για να καθορίσουμε την πιθανότητα ότι ο μελλοντικός κώδικας προέρχεται από αυτόν τον συγγραφέα.

Τι συμβαίνει όταν το σύστημα σηματοδοτεί ανωμαλή συμπεριφορά;

Πάντα επιδιώκουμε να μεγιστοποιήσουμε την ασφάλεια και, ταυτόχρονα, να εξαλείψουμε τη δυσκολία ανάπτυξης. Όταν η Arnica ανιχνεύσει ανωμαλή συμπεριφορά από ένα λογαριασμό développer, την σηματοδοτούμε στην Arnica και αποστέλλουμε αυτόματα μια πρόσθετη αυθεντικοποίηση μέσω ενός άμεσου chat στο développer που αναφέρεται και στην ομάδα ασφαλείας σύμφωνα με τη ρύθμιση πολιτικής σας.

Πώς η Arnica βοηθά με τον έλεγχο κώδικα;

Η Arnica παρέχει πραγματικές ειδοποιήσεις στους développers όταν υποβάλλουν αλλαγές κώδικα, μειώνοντας τον αριθμό των κινδύνων που φτάνουν στις αιτήσεις pull. Για τους κινδύνους που φτάνουν στις αιτήσεις pull, η Arnica εισάγει αυτόματα ελέγχους κώδικα στις αιτήσεις pull. Όταν ανιχνευτούν κίνδυνοι, η Arnica σχολιάζει με τις λεπτομέρειες του κινδύνου και το контекστό μείωσης για κάθε κίνδυνο. Η Arnica μπορεί επίσης να αποκλείσει αυτόματα τις συγχωνεύσεις όπου υπάρχουν κίνδυνοι, αποτρέποντας τους από το να φτάσουν στον κώδικα παραγωγής.

Η Arnica επίσης επιτρέπει την αναγνώριση ευπαθών εξωτερικών εξαρτήσεων, μπορείτε να συζητήσετε πώς αυτό λειτουργεί για τους développers;

Η Arnica σαρώνει όλα τα εξωτερικά πακέτα και τους κινδύνους σε κάθε υποβολή κώδικα και ειδοποιεί τους développers trực tiếp μέσω ChatOps όταν χρησιμοποιούν εκδόσεις με ευπάθειες ή εισάγουν ένα πακέτο χαμηλής φήμης στη βάση κώδικα. 

Τι είναι μερικές από τις άλλες λειτουργίες που προσφέρονται από την πλατφόρμα Arnica;

Η Arnica εστιάζεται στην παροχή μιας πλατφόρμας για τις ομάδες ασφαλείας εφαρμογών να αποκτήσουν ορατότητα σε όλους τους κινδύνους της αλυσίδας εφοδιασμού λογισμικού, να μπορέσουν να προτεραιοποιήσουν αυτούς τους κινδύνους και να μπορέσουν να σταματήσουν εύκολα νέους κινδύνους και να διορθώσουν υπάρχοντες κινδύνους. Παρέχουμε αυτή τη δυνατότητα σε μια ευρεία γκάμα κατηγοριών κινδύνων, συμπεριλαμβανομένων των υπερβολικών δικαιωμάτων développers, κινδύνων κώδικα που προκύπτουν από SAST (Static Application Security Testing) και IaC (Infrastructure as Code) scanning, hardcoded μυστικών, εξωτερικών εξαρτήσεων και πολλά άλλα. 

Υπάρχει κάτι άλλο που θα ήθελε να μοιραστείτε σχετικά με την Arnica;

Στην Arnica, όσο αναπτύσσουμε λύσεις ασφαλείας εφαρμογών και αλυσίδας εφοδιασμού, θεωρούμε τους εαυτούς μας ως μια εταιρεία εμπειρίας développers. Θέλουμε να κάνουμε την επίλυση προβλημάτων ασφαλείας μια ομαλή και ευχάριστη εμπειρία. Πάρτε, για παράδειγμα, τη λύση μας για την μείωση των μυστικών. Αναγνωρίζουμε το μυστικό στη υποβολή κώδικα, το επικυρούμε και αποστέλλουμε μια ειδοποίηση στο développer στο chat tool της επιλογής του. Η ειδοποίηση δίνει στο développer ένα κουμπί – “Διορθώστε το για μένα” – το οποίο εξαλείφει το μυστικό από όλη την ιστορία git χωρίς να χρειάζεται ο développer να γράψει οποιοδήποτε git εντολές. Μόνο ένα κλικ. 

Πιστεύουμε ότι αν μπορούμε να κάνουμε την ασφάλεια μια εύκολη και ευχάριστη μέρος της εμπειρίας ανάπτυξης, κάθε οργανισμός που χρησιμοποιεί την Arnica θα είναι καλύτερα.  

Ευχαριστούμε για την υπέροχη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν Arnica.