Νίρ Βαλτμάν, Διευθύνων Σύμβουλος & Ιδρυτής στην Arnica – Σειρά Συνεντεύξεων

Ο Νίρ Βαλτμάν είναι ο Διευθύνων Σύμβουλος και Ιδρυτής στην Arnica, μια πλατφόρμα που επιτρέπει στις επιχειρήσεις να προστατεύουν προληπτικά την αλυσίδα εφοδιασμού λογισμικού από κινδύνους, αυτοματοποιώντας τις καθημερινές λειτουργίες ασφάλειας και ενδυναμώνοντας τους προγραμματιστές να αναλαμβάνουν την ευθύνη για την ασφάλεια χωρίς να διατρέχουν κινδύνους ή να επηρεάζουν την ταχύτητα.

Τι σας έκανε να ενδιαφερθείτε για την κυβερνοασφάλεια;

Εγώ μεγάλωσα με μια στάση hacking. Ξεκίνησα καταστρέφοντας το εργαστήριο υπολογιστών στο πρώτο μου μάθημα προγραμματισμού και hacking σε άλλους υπολογιστές με πολύ λίγες γνώσεις προγραμματισμού, όλα αυτά όταν ήμουν 13 ετών. Όταν εντάχθηκα στην στρατιωτική υπηρεσία στο Ισραήλ, έλαβα μια πρακτική εκπαίδευση στην αμυντική πλευρά της ασφάλειας, η οποία οδήγησε τελικά στην επαγγελματική μου καριέρα στην κυβερνοασφάλεια. 

Μπορείτε να μοιραστείτε την ιστορία της Arnica;

Πριν από την Arnica, εργάστηκα στη Finastra, την τρίτη μεγαλύτερη εταιρεία FinTech παγκοσμίως, ως Αντιπρόεδρος Ασφαλείας. Η σκόνη από τη διαβόητη υπόθεση SolarWinds είχε μόλις καταλαγιάσει και ο Διευθύνων Σύμβουλος μας ζήτησε να του πω πώς θα μπορούσαμε να ελαττώσουμε τον κίνδυνο να επηρεαστούμε από μια επίθεση στην αλυσίδα εφοδιασμού λογισμικού. Κάναμε μια ολοκληρωμένη αξιολόγηση εταιρειών που κατασκευάζουν λύσεις σε αυτόν τον χώρο, για ορισμένες από τις οποίες πραγματοποιήσαμε δοκιμές απόδειξης της ιδέας. Κανένας από τους προμηθευτές δεν ήταν καλός για αυτό που ζητούσαμε: ολοκληρωμένη κάλυψη, ενεργή μείωση των κινδύνων και μια εξαιρετική εμπειρία για τους προγραμματιστές. Ιδιαίτερα, το στοιχείο της εμπειρίας των προγραμματιστών ήταν κρίσιμο, γιατί οποιαδήποτε λύση που επέβαλα στους προγραμματιστές που διατάρασσε τις ροές εργασίας τους θα απορριπτόταν και θα επιστρέφαμε στο σημείο εκκίνησης. 

Αφού δεν είχα βρει λύση, αποφάσισα να μελετήσω κάθε επίθεση στην αλυσίδα εφοδιασμού λογισμικού των τελευταίων πέντε ετών, για να κατανοήσω τα βασικά συμπτώματα και την πρόληψή τους. Παράλληλα, μίλησα με δύο φίλους, τον Eran Medan (CTO) και τον Diko Dahan (COO), που είχαν εκτεταμένη ηγετική εμπειρία στην ανάπτυξη και τις λειτουργίες. Εξέφρασαν παρόμοιες δυσκολίες στην εύρεση λύσης: ο Diko από την πλευρά των τεχνολογικών λειτουργιών και ο Eran από την πλευρά της ανάπτυξης. Καθώς κανείς μας δεν είχε βρει λύση, διαμορφώσαμε μια υπόθεση για το πώς θα έπρεπε να είναι. Πραγματοποιήσαμε δεκάδες συζητήσεις επικύρωσης με επικεφαλής ασφάλειας, λειτουργιών και μηχανικής, οι οποίες επιβεβαίωσαν τόσο το πρόβλημα όσο και την υπόθεσή μας για την αναγκαία λύση. Λίγους μήνες αργότερα, τον Αύγουστο του 2021, είχαμε συνιδρύσει την Arnica.

Η Arnica παρέχει ασφάλεια βασισμένη στη συμπεριφορά, μπορείτε να ορίσετε τι είναι η ασφάλεια βασισμένη στη συμπεριφορά;

Αν κάποιος σας έδωσε ένα χειρόγραφο σημείωμα και σας είπε ότι το γράψατε, θα μπορούσατε πιθανώς να πείτε αν ήταν πραγματικά γραμμένο από εσάς. Αν, για παράδειγμα, η γραφή δεν ήταν δική σας, το σημείωμα ήταν ημερομηνίας πριν από τη γέννησή σας και ήταν γραμμένο στα Γαλλικά (τα οποία δεν ξέρετε να γράφετε ή να μιλάτε), θα ήταν σαφές ότι δεν είστε ο συγγραφέας. Λαμβάνουμε μια παρόμοια προσέγγιση με τον κώδικα, εκτός από το ότι κατασκευάζουμε ένα προφίλ για κάθε προγραμματιστή που αποτελείται από χιλιάδες παράγοντες (γνωστοί ως χαρακτηριστικά στη μηχανική μάθηση). Παρατηρώντας τις τάσεις και τη συμπεριφορά των προγραμματιστών, μπορούμε να σταματήσουμε τους κινδύνους που απομακρύνθηκαν από τα κανονικά μοτίβα ανάπτυξης. Αυτό μας βοηθά να σταματήσουμε τις καταλήψεις λογαριασμών, τις εσωτερικές απειλές και άλλους κινδύνους που σχετίζονται με την ανάπτυξη λογισμικού. 

Μπορείτε να συζητήσετε πώς η πλατφόρμα μπορεί να αναγνωρίσει τις λεπτές αποχρώσεις του πώς εργάζεται κάθε προγραμματιστή;

Η Arnica αξιοποιεί ιστορικά δεδομένα ελέγχου και δραστηριότητας συμβολής κώδικα για να δημιουργήσει ένα συμπεριφορικό αποτύπωμα για κάθε προγραμματιστή. Αυτό το αποτύπωμα αντιπροσωπεύει τη γνωστή και αναμενόμενη συμπεριφορά της χρήσης των δικαιωμάτων, του στυλ κωδικοποίησης, της γλώσσας υποβολής και των πρακτικών ανάπτυξης. Είμαστε στη συνέχεια σε θέση να συγκρίνουμε όλες τις μελλοντικές δραστηριότητες με αυτό το αποτύπωμα για να καθορίσουμε την πιθανότητα ότι ο μελλοντικός κώδικας προέρχεται από αυτόν τον συγγραφέα.

Τι συμβαίνει όταν το σύστημα σηματοδοτεί ανωμαλή συμπεριφορά;

Πάντα επιδιώκουμε να μεγιστοποιήσουμε την ασφάλεια και, ταυτόχρονα, να εξαλείψουμε τη δυσκολία ανάπτυξης. Όταν η Arnica ανιχνεύσει ανωμαλή συμπεριφορά από ένα λογαριασμό προγραμματιστή, την σηματοδοτούμε στην Arnica και αποστέλλουμε αυτόματα μια πρόσθετη αυθεντικοποίηση μέσω ενός άμεσου chat στον προγραμματιστή που αναφέρεται και στην ομάδα ασφαλείας σύμφωνα με τη ρύθμιση πολιτικής σας.

Πώς η Arnica βοηθά με τον έλεγχο κώδικα;

Η Arnica παρέχει ειδοποιήσεις σε πραγματικό χρόνο στους προγραμματιστές όταν υποβάλλουν αλλαγές κώδικα, μειώνοντας τον αριθμό των κινδύνων που φτάνουν στις αιτήσεις pull. Για τους κινδύνους που φτάνουν στις αιτήσεις pull, η Arnica εισάγει αυτόματα ελέγχους κώδικα στις αιτήσεις pull. Όταν ανιχνευτούν κίνδυνοι, η Arnica σχολιάζει με τις λεπτομέρειες του κινδύνου και το πληροφορίες αντιμετώπισης για κάθε κίνδυνο. Η Arnica μπορεί επίσης να αποκλείσει αυτόματα τις συγχωνεύσεις όπου υπάρχουν κίνδυνοι, αποτρέποντας τους από το να φτάσουν στον κώδικα παραγωγής.

Η Arnica επίσης επιτρέπει την αναγνώριση ευπαθών εξωτερικών εξαρτήσεων, μπορείτε να συζητήσετε πώς αυτό λειτουργεί για τους προγραμματιστές;

Η Arnica σαρώνει όλα τα εξωτερικά πακέτα και τους κινδύνους σε κάθε υποβολή κώδικα και ειδοποιεί τους προγραμματιστές απευθείας μέσω ChatOps όταν χρησιμοποιούν εκδόσεις με ευπάθειες ή εισάγουν ένα πακέτο χαμηλής φήμης στη βάση κώδικα. 

Τι είναι μερικές από τις άλλες λειτουργίες που προσφέρονται από την πλατφόρμα Arnica;

Η Arnica εστιάζεται στην παροχή μιας πλατφόρμας για τις ομάδες ασφαλείας εφαρμογών να αποκτήσουν ορατότητα σε όλους τους κινδύνους της αλυσίδας εφοδιασμού λογισμικού, να μπορέσουν να προτεραιοποιήσουν αυτούς τους κινδύνους και να μπορέσουν να σταματήσουν εύκολα νέους κινδύνους και να διορθώσουν υπάρχοντες κινδύνους. Παρέχουμε αυτή τη δυνατότητα σε μια ευρεία γκάμα κατηγοριών κινδύνων, συμπεριλαμβανομένων των υπερβολικών δικαιωμάτων προγραμματιστών, κινδύνων κώδικα που προκύπτουν από SAST (Static Application Security Testing) και IaC (Infrastructure as Code) scanning, hardcoded μυστικών, εξωτερικών εξαρτήσεων και πολλά άλλα. 

Υπάρχει κάτι άλλο που θα θέλατε να μοιραστείτε σχετικά με την Arnica;

Στην Arnica, όσο αναπτύσσουμε λύσεις ασφαλείας εφαρμογών και αλυσίδας εφοδιασμού, θεωρούμε τους εαυτούς μας ως μια εταιρεία εμπειρίας προγραμματιστών. Θέλουμε να κάνουμε την επίλυση προβλημάτων ασφαλείας μια ομαλή και ευχάριστη εμπειρία. Πάρτε, για παράδειγμα, τη λύση μας για την εξάλειψη εκτεθειμένων μυστικών διαπιστευτηρίων. Αναγνωρίζουμε το μυστικό στη υποβολή κώδικα, το επικυρούμε και αποστέλλουμε μια ειδοποίηση στον προγραμματιστή στο chat tool της επιλογής του. Η ειδοποίηση δίνει στον προγραμματιστή ένα κουμπί – “Διορθώστε το για μένα” – το οποίο εξαλείφει το μυστικό από όλη την ιστορία git χωρίς να χρειάζεται ο προγραμματιστής να γράψει οποιεσδήποτε εντολές git. Μόνο ένα κλικ. 

Πιστεύουμε ότι αν μπορούμε να κάνουμε την ασφάλεια ένα εύκολο και ευχάριστο μέρος της εμπειρίας ανάπτυξης, κάθε οργανισμός που χρησιμοποιεί την Arnica θα είναι καλύτερα.  

Ευχαριστούμε για την υπέροχη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν Arnica.