Aviatrix tuo markkinoille eristämisratkaisun vaarantuneiden pilvi- ja tekoälykuormitusten rajaamiseen

Aviatrix on tuonut markkinoille eristämisratkaisun, pilviturvatuotteen, jonka tarkoituksena on rajoittaa vaarantuneen kuormituksen aiheuttamaa vahinkoa rajaamalla kohteita ja muita kuormituksia, joihin se voi muodostaa yhteyden. Ratkaisun keskeinen lupaus liittyy yhtä lailla toimintaan kuin tekniikkaan: tietoturvatiimit voivat testata rajoittavaa käytäntöä todellista liikennettä vasten ennen kuin sen sallitaan estää tuotantoyhteyksiä.

Clearance julkistettiin 26. lokakuuta. Se yhdistää ulospäin suuntautuvan liikenteen ja sivuttaisen liikenteen eristämisen automatisoituun käytäntökerrokseen nimeltä Aviatrix Active Defense. Yhtiö tarjoaa yrityksille myös ulospäin suuntautuvan liikenteen eristämistä, sivuttaisen liikenteen eristämistä ja tunkeutumisen torjuntaa ilman kuormitusrajaa tilapäisenä vastausohjelmana, joka on käynnissä 1. marraskuuta 2026–1. toukokuuta 2027.

Organisaatioille, jotka ottavat tekoälyagentteja käyttöön tavanomaisten pilvisovellusten rinnalla, taustalla oleva ongelma käy yhä merkittävämmäksi. Hyödynnetyllä palvelulla tai manipuloidulla agentilla voi jo olla käyttökelpoiset tunnistetiedot ja verkkoyhteys. Alkuperäisen tietomurron estäminen on edelleen olennaista, mutta sen jälkeen käytettävissä olevat yhteydet ratkaisevat osaltaan, jääkö tietomurto paikalliseksi vai leviääkö se.

Oletusarvoisesti estetään – seuraukset voi esikatsella

Clearance toimii Aviatrix Containment Platform -alustalla, joka perustuu yhtiön Cloud Native Security Fabric -ratkaisuun. Se määrittää kuormituksille sallitut viestintäpolut, ja muut polut estetään oletusarvoisesti.

Ulospäin suuntautuvan liikenteen eristäminen hallitsee yhteyksiä ulkoisiin kohteisiin, jotka määritellään verkkotunnuksen eikä pelkän verkko-osoitteen perusteella. Sivuttaisen liikenteen eristäminen hallitsee kuormitusten välistä viestintää niiden tunnisteiden perusteella ja ulottaa mallin eri pilviympäristöihin sekä esimerkiksi säilöihin, palvelimettomiin funktioihin, tietokantoihin ja tekoälyagentteihin.

Käyttöönoton haasteena on, että sovellusten oikeutettuja riippuvuuksia on usein vaikea luetella kattavasti. Tarkastelussa oikealta vaikuttava sääntö voi silti keskeyttää maksupalvelun, taustalla suoritettavan työn tai harvoin käytetyn integraation toiminnan.

Clearance torjuu tätä riskiä varjosääntöjoukon avulla. Ehdotettu käytäntö toimii ensin valvontatilassa nykyisen käytännön rinnalla ja näyttää liikenteen, jonka se olisi estänyt, mutta ei kuitenkaan estä näitä yhteyksiä. Tiimit voivat tunnistaa tarvittavat polut, muuttaa käyttöoikeuksia ja ottaa sitten käytännön käyttöön estävänä. Aviatrixin mukaan käyttöönotto ja palautus vaativat kumpikin vain yhden toimenpiteen.

Esikatselu on siis tärkeä osa työnkulkua, mutta se ei takaa, ettei muutos voisi aiheuttaa käyttökatkoa. Tietyn ajanjakson aikana havaittuun liikenteeseen eivät välttämättä sisälly kuukauden lopun käsittely, katastrofipalautus tai jokin muu harvinainen mutta oikeutettu toiminto. Tiimien on yhä valittava seuranta-ajat ja poikkeukset, jotka vastaavat sovellusten todellista toimintaa.

Miten verkon käytäntöjen valvonta sovitetaan pilvisovelluksiin

Aviatrix kuvaa tuotesivustollaan läpinäkyvää sijoittamista VPC-tasolle niin, että alkuperäiset osoitteet säilyvät eikä palvelimelle tarvita agenttia, SDK:ta tai muutoksia sovelluskoodiin. Yhtiön mukaan käytännöt voidaan esittää Terraformin ja Kubernetesin mukautettujen resurssien avulla sekä toteuttaa suojausryhmissä ja Kubernetes NetworkPolicyssa silloin, kun yhdyskäytävää ei tarvita.

Tämä on tärkeää, koska pilvi-infrastruktuuri muuttuu staattista osoiteluetteloa nopeammin. Säilö voi siirtyä, funktio voi skaalautua ja sovellus voi ulottua useisiin verkkoihin. Kun käytännössä määritellään kuormitukseen ja sen tarvitsemiin kohteisiin liittyvät tavoitteet, se voi säilyä käyttökelpoisena pidempään kuin silloin, jos jokaista osoitteen muutosta käsitellään erillisenä tietoturvapäätöksenä.

Käytännön tavoitteena on sulkea viestintäpolut, joita hyökkääjä voisi käyttää, pakottamatta jokaista sovellustiimiä ottamaan käyttöön uutta integraatiota. Verkon eristäminen hallitsee kuitenkin yhteyksiä: sallittukin yhteys voi välittää haitallista toimintaa. Se täydentää korjauspäivityksiä, identiteetin hallintaa, sovellustietoturvaa ja uhkien havaitsemista, eikä tee näitä keinoja tarpeettomiksi.

Active Defense automatisoi käytäntöjen ylläpidon

Aviatrix Active Defense on tuotteen autonominen kerros. Julkistuksen mukaan sen agentit muodostavat mallin asiakkaan ympäristöstä, laativat sovellusten tarvitsemat käytännöt, arvioivat niitä valvontatilassa ja pitävät ne ajan tasalla kuormitusten muuttuessa. Tietoturvatiimi voi edelleen lukea ja muokata näin syntyviä käytäntöjä.

”Et voi ratkaista tätä paikkaamalla tai havaitsemalla siinä ajassa, joka sinulla on, ja tämä korjauspäivityskierros osuu samaan aikaan juhlapyhien aikaiseen muutosjäädytykseen”, Aviatrixin toimitusjohtaja Doug Merritt sanoi julkistuksessa. Hän selitti näin yhtiön päätöstä tarjota tilapäistä varmistusta eristämällä, jotta asiakkaat voivat arvioida ja korjata järjestelmänsä.

Sivustolla täsmennetään myös saatavuuteen liittyvä tärkeä ero: Active Defense on maksutta saatavilla varhaisessa käyttöoikeusvaiheessa Aviatrix Enterprisea käyttäville suunnittelukumppaneille, ja se on suunnitteilla Aviatrix Cloudiin. Tämä on syytä erottaa Clearancen eristystoimintojen saatavuudesta. Sivulla kerrotaan myös, että automaatio toimii tiimien määrittelemien rajojen puitteissa eikä muuta ihmisten kirjoittamia sääntöjä.

Mahdollinen hyöty on se, että sovelluksen toiminnan muuttamiseen täytäntöönpanokelpoisiksi käytännöiksi tarvitaan vähemmän käsityötä. Tämä edellyttää kuitenkin selkeää vastuunjakoa: automaattisesti luonnostelluille säännöille on määriteltävä tarkastus- ja käyttöönotto-prosessi, etenkin jos sovelluksen havaitussa toiminnassa voi jo olla ei-toivottuja yhteyksiä.

Miksi tekoälyagenttien kohdalla verkkotavoitettavuus on entistä tärkeämpää

Aviatrixin laajempi tekoälytyökuormien tietoturvateknologia hyödyntää verkkoliikennevirtojen tietoja, DNS-lokeja ja pilviympäristön resurssiluetteloa agenttien, mallien päätepisteiden ja niihin liittyvän infrastruktuurin löytämiseen. Yrityksen mukaan tämän ansiosta tietoturvatiimit voivat tunnistaa tekoälyn käytön ilman, että ne ovat täysin riippuvaisia siitä, että kehittäjät lisäävät sovelluksiin seurannan edellyttämät määritykset.

Havaitseminen ja eristäminen ratkaisevat eri ongelmia. Havaitseminen auttaa selvittämään, mitä järjestelmiä on olemassa ja mihin ne yhdistyvät. Eristäminen määrittää, mitkä näistä yhteyksistä ovat edelleen mahdollisia, kun käytäntö pannaan täytäntöön.

Ajatellaan agenttia, joka tarvitsee mallipalveluntarjoajan ja yhden hyväksytyn sisäisen palvelun. Agentin verkkoyhteyksien rajoittaminen voi vähentää niitä kohteita, joihin tietoja voidaan varastaa tai joista voidaan hankkia lisää pääsyä, jos agentti vaarantuu. Tämä ei kuitenkaan osoita, että agentin kehotteet, päättely tai valtuutetut toiminnot olisivat turvallisia; niiden turvallisuus on varmistettava muiden suojauskerrosten kontrolleilla.

Tämä erottelu konkretisoi tuotteen merkityksen tekoälyn kannalta. Clearance rajaa, mihin agentti pääsee verkon kautta, kun taas Active Defense hyödyntää automaatiota näiden rajojen ylläpitämisessä.

Maksuton ohjelma ja vakiotarjonnan saatavuus

Aviatrixin mukaan kaikki yritykset kuuluvat sen reagointiohjelman piiriin. Ohjelma kattaa ulospäin suuntautuvan liikenteen eristämisen, sivuttaisliikenteen eristämisen ja tunkeutumisen eston yrityksen koko ympäristössä ilman työkuormien enimmäismäärää 1. marraskuuta ja 1. toukokuuta välisenä aikana. Rekisteröityminen AWS Marketplaceen alkaa 1. marraskuuta 2026.

Tiimit voivat aloittaa maksuttomalla eristämisen arvioinnilla. Sivustolla erotetaan alustavia tuloksia tarjoava, selaimessa tehtävä alustava itsearviointipisteytys sitä seuraavasta arkkitehtuurin arvioinnista, jossa käytetään asiakkaan tietoja. Alustavaa pistemäärää on siksi pidettävä selvitystyön lähtökohtana, ei kattavana kartoituksena kaikista resursseista, joihin on mahdollista päästä.

Clearancen vakiotarjontaan sisältyy arviointi ja 15 työkuormaa valvonta- tai pakotustilassa ilman aikarajaa. Lisäkapasiteetti hinnoitellaan työkuormakohtaisesti, ja hinnat saa Aviatrixilta. Tiedotteen mukaan nämä kaksi eristystoimintoa toimitetaan Aviatrix Cloudin kautta, ja ne ovat saatavilla myös Aviatrix Enterprisessa.

Tuote vastaa yritysten tietoturvassa sitkeästi esiintyvään ongelmaan: organisaatiot ovat usein yhtä mieltä siitä, että työkuormilla pitäisi olla vähemmän käyttöoikeuksia, mutta epäröivät rajoitusten käyttöönottoa, kun niiden seuraukset ovat epävarmoja. Clearancen merkitys perustuu siihen, että se yhdistää tämän tietoturvatavoitteen vaiheittaiseen toimintaprosessiin: ehdotettua käytäntöä tarkkaillaan, riippuvuudet selvitetään, käytäntö pannaan täytäntöön ja sen kumoamiselle säilytetään selkeä toimintatapa.