साइबर सुरक्षा में “अधिक का धुंध” को दूर करना

इस महीने सैन फ्रांसिस्को में आरएसए सम्मेलन में, साइबर सुरक्षा उद्योग से नए और गर्म समाधानों की एक चकाचौंध भरी श्रृंखला प्रदर्शित की गई थी। एक-एक करके बूथ दावा कर रहे थे कि वे वह उपकरण हैं जो आपके संगठन को बुरे अभिनेताओं से आपके सामान की चोरी या आपको लाखों डॉलर के लिए ब्लैकमेल करने से बचाएगा।

बहुत विचार करने के बाद, मैं इस निष्कर्ष पर पहुंचा हूं कि हमारा उद्योग खो गया है। खो गया है “अधिक के धुंध” में जो लगातार डिटेक्ट और प्रतिक्रिया के साथ भरा हुआ है, जिसमें यह दावा किया जाता है कि आपकी समस्याएं दूर हो जाएंगी जब तक आप एक और परत जोड़ते हैं। प्रौद्योगिकी निवेश, कर्मियों, उपकरणों और बुनियादी ढांचे की परतों में डूबा हुआ, कंपनियों ने अब एक ऐसा भूलभुलैया बना लिया है जहां वे खतरनाक अभिनेताओं की पहचान और रोकथाम के मामले में पेड़ को जंगल से अलग नहीं देख सकती हैं। ये उपकरण, जो डिजिटल संपत्तियों की रक्षा के लिए हैं, वास्तव में सुरक्षा और विकास टीमों के लिए बढ़ी हुई कार्यभार और असंगत उपकरणों के माध्यम से निराशा पैदा कर रहे हैं। “अधिक का धुंध” काम नहीं कर रहा है। लेकिन ईमानदारी से, यह कभी काम नहीं किया है।

साइबर हमले कोड में शुरू और समाप्त होते हैं। यह इतना सरल है। या तो आपके पास कोड में एक सुरक्षा दोष या कमजोरी है, या कोड को सुरक्षा के बारे में नहीं लिखा गया था। दोनों तरह से, आप जो भी हमला या हेडलाइन पढ़ते हैं, वह कोड से आता है। और यह सॉफ्टवेयर डेवलपर हैं जो समस्या का पूरा बोझ झेलते हैं। लेकिन डेवलपर्स को सुरक्षा में प्रशिक्षित नहीं किया जाता है, और ईमानदारी से, वे कभी भी प्रशिक्षित नहीं हो सकते हैं। इसलिए वे पुराने जमाने के कोड खोज उपकरणों को लागू करते हैं जो बस कोड के लिए पैटर्न की खोज करते हैं। और जो आप पूछते हैं उसके लिए डरें क्योंकि परिणामस्वरूप वे अपने दिन के अधिकांश भाग के लिए लाल झंडे और भूतों का पीछा करते हैं। वास्तव में, डेवलपर झूठी सकारात्मकता और कमजोरियों का पीछा करने में अपने समय का एक तिहाई से अधिक बिता रहे हैं। केवल रोकथाम पर ध्यान केंद्रित करके ही उद्यम अपने सुरक्षा कार्यक्रमों को वास्तव में मजबूत बनाना शुरू कर सकते हैं और एक सुरक्षा-चालित संस्कृति के लिए आधार तैयार कर सकते हैं।

कोड स्तर पर खोज और सुधार

यह अक्सर कहा जाता है कि रोकथाम इलाज से बेहतर है, और यह कहावत विशेष रूप से साइबर सुरक्षा में सच है। यही कारण है कि आर्थिक प्रतिबंधों के बावजूद, व्यवसाय लगातार सुरक्षा उपकरणों में निवेश कर रहे हैं और अधिक से अधिक सुरक्षा परतें जोड़ रहे हैं, जो प्रवेश के लिए कई बाधाएं पैदा कर रहे हैं ताकि सफल साइबर हमलों की संभावना कम हो जाए। लेकिन अधिक से अधिक सुरक्षा परतें जोड़ने के बावजूद, समान प्रकार के हमले होते रहते हैं। यह समय है कि संगठन एक ताज़ा दृष्टिकोण अपनाएं – एक जहां हम मूल स्तर पर समस्या पर ध्यान केंद्रित करते हैं – कोड में कमजोरियों को खोजकर और सुधारकर।

अप्लिकेशन अक्सर साइबर अपराधियों के लिए प्राथमिक प्रवेश बिंदु के रूप में कार्य करते हैं जो कमजोरियों का फायदा उठाना चाहते हैं और संवेदनशील डेटा तक अनधिकृत पहुंच प्राप्त करना चाहते हैं। 2020 के अंत में, सोलरविंड्स समझौता प्रकाश में आया और जांचकर्ताओं ने एक समझौता निर्माण प्रक्रिया पाई जिसने हमलावरों को ऑरियन नेटवर्क मॉनिटरिंग सॉफ्टवेयर में दुर्भाग्यपूर्ण कोड इंजेक्ट करने की अनुमति दी। इस हमले ने सॉफ्टवेयर निर्माण प्रक्रिया के प्रत्येक चरण को सुरक्षित करने की आवश्यकता पर प्रकाश डाला। एप्लिकेशन सुरक्षा या एपीएसईसी उपायों को लागू करके, संगठन सुरक्षा उल्लंघनों के जोखिम को कम कर सकते हैं। ऐसा करने के लिए, उद्यमों को ‘बाएं बदलाव’ की मानसिकता को अपनाने की आवश्यकता है, विकास चरण में रोकथाम और पूर्वानुमानिक विधियों को लाने के लिए।

जबकि यह पूरी तरह से नया विचार नहीं है, यह कमियों के साथ आता है। एक महत्वपूर्ण नुकसान विकास समय और लागत में वृद्धि है। व्यापक एपीएसईसी उपायों को लागू करने के लिए महत्वपूर्ण संसाधनों और विशेषज्ञता की आवश्यकता हो सकती है, जिससे लंबे विकास चक्र और उच्च खर्च हो सकते हैं। इसके अलावा, सभी कमजोरियां संगठन के लिए उच्च जोखिम पैदा नहीं करती हैं। पता लगाने वाले उपकरणों से झूठी सकारात्मकता की संभावना भी डेवलपर्स के बीच निराशा पैदा करती है। यह व्यवसाय, इंजीनियरिंग और सुरक्षा टीमों के बीच एक अंतर बनाता है, जिनके लक्ष्य संरेखित नहीं हो सकते हैं। लेकिन जनरेटिव एआई इस अंतर को बंद करने का समाधान हो सकता है।

एआई-युग में प्रवेश

एपीएसईसी के भीतर जनरेटिव एआई की व्यापक प्रकृति का लाभ उठाकर, हम अंततः भविष्य के हमलों की भविष्यवाणी और रोकथाम के लिए अतीत से सीखेंगे। उदाहरण के लिए, आप एक बड़े भाषा मॉडल या एलएलएम को सभी ज्ञात कोड कमजोरियों पर प्रशिक्षित कर सकते हैं, उनके सभी रूपों में, उन सभी की मूल विशेषताओं को सीखने के लिए। ये कमजोरियां सामान्य मुद्दों जैसे बफर ओवरफ्लो, इंजेक्शन हमले या अनुचित इनपुट सत्यापन शामिल कर सकती हैं। मॉडल भाषा, फ्रेमवर्क और पुस्तकालय के बीच सूक्ष्म अंतरों को भी सीखेगा, साथ ही साथ यह जानेगा कि कौन से कोड फिक्स सफल हैं। मॉडल तब इस ज्ञान का उपयोग संगठन के कोड को स्कैन करने और पहले से पहचाने जाने वाले संभावित कमजोरियों को खोजने के लिए कर सकता है। कोड के आसपास के संदर्भ का उपयोग करके, स्कैनिंग टूल वास्तविक खतरों का पता लगाने में बेहतर हो सकते हैं। इसका मतलब है कि स्कैन समय कम है और झूठी सकारात्मकता और कमजोरियों का पीछा करने में कम समय लगता है, जिससे विकास टीमों के लिए उत्पादकता बढ़ जाती है।

जनरेटिव एआई टूल्स कोड फिक्स के सुझाव भी दे सकते हैं, कमजोरियों को ठीक करने की प्रक्रिया को स्वचालित करके, कोडबेस में कमजोरियों को ठीक करने के लिए आवश्यक समय और प्रयास को काफी कम कर देता है। सुरक्षित कोडबेस और सर्वोत्तम प्रथाओं के विशाल भंडार पर मॉडल को प्रशिक्षित करके, डेवलपर्स एआई-जनरेटेड कोड स्निपेट का लाभ उठा सकते हैं जो सुरक्षा मानकों का पालन करते हैं और सामान्य कमजोरियों से बचते हैं। यह सक्रिय दृष्टिकोण न केवल सुरक्षा दोषों को पेश करने की संभावना को कम करता है, बल्कि पूर्व-परीक्षण और मान्य कोड घटक प्रदान करके विकास प्रक्रिया को तेज करता है।

इन टूल्स को विभिन्न प्रोग्रामिंग भाषाओं और कोडिंग शैलियों के अनुकूल बनाया जा सकता है, जिससे वे विभिन्न वातावरण में कोड सुरक्षा के लिए बहुमुखी टूल बन जाते हैं। वे नए डेटा और प्रतिक्रिया पर प्रशिक्षण जारी रखने के रूप में समय के साथ बेहतर हो सकते हैं, जिससे पैच जनरेशन अधिक प्रभावी और विश्वसनीय हो जाता है।

मानव तत्व

यह महत्वपूर्ण है कि जबकि कोड फिक्स को स्वचालित किया जा सकता है, मानव पर्यवेक्षण और सत्यापन अभी भी जेनरेटेड पैच की गुणवत्ता और सहीपन को सुनिश्चित करने के लिए महत्वपूर्ण है। जबकि उन्नत टूल और अल्गोरिदम सुरक्षा कमजोरियों की पहचान और शमन में महत्वपूर्ण भूमिका निभाते हैं, मानव विशेषज्ञता, रचनात्मकता और直觉 अभी भी अनुप्रयोगों को प्रभावी ढंग से सुरक्षित करने में अपरिहार्य हैं।

डेवलपर्स अंततः सुरक्षित कोड लिखने के लिए जिम्मेदार हैं। सुरक्षा सर्वोत्तम प्रथाओं, कोडिंग मानकों और संभावित कमजोरियों की उनकी समझ महत्वपूर्ण है ताकि यह सुनिश्चित किया जा सके कि अनुप्रयोगों को शुरू से ही सुरक्षा के साथ बनाया गया है। सुरक्षा प्रशिक्षण और जागरूकता कार्यक्रमों को विकास प्रक्रिया में एकीकृत करके, संगठन डेवलपर्स को सुरक्षा मुद्दों की पहचान और संबोधन के लिए सशक्त बना सकते हैं, जिससे कोडबेस में कमजोरियों को पेश करने की संभावना कम हो जाती है।

इसके अलावा, संगठन के भीतर विभिन्न हितधारकों के बीच प्रभावी संचार और सहयोग एपीएसईसी सफलता के लिए आवश्यक है। जबकि एआई समाधान विकास और सुरक्षा संचालन के बीच “अंतर” को बंद करने में मदद कर सकते हैं, यह एक सहयोग और साझा जिम्मेदारी की संस्कृति लेती है जो अधिक लचीले और सुरक्षित अनुप्रयोगों का निर्माण करती है।

एक ऐसे दुनिया में जहां खतरे का परिदृश्य不断 बदलता रहता है, साइबर सुरक्षा स्थान में उपलब्ध उपकरणों और प्रौद्योगिकियों की भारी मात्रा से अभिभूत होना आसान है। हालांकि, रोकथाम पर ध्यान केंद्रित करके और कोड में कमजोरियों को खोजकर, संगठन अपने मौजूदा सुरक्षा स्टैक के “फैट” को काट सकते हैं, जिससे प्रक्रिया में समय और पैसे की एक्सपोनेंशियल बचत होती है। मूल स्तर पर, ऐसे समाधान न केवल ज्ञात कमजोरियों को खोजने और शून्य-दिवस कमजोरियों को ठीक करने में सक्षम होंगे, बल्कि वे घटना से पहले पूर्व-शून्य-दिवस कमजोरियों को भी खोजने में सक्षम होंगे। हम अंततः विकसित होते खतरनाक अभिनेताओं के साथ तालमेल बिठा सकते हैं, यदि नहीं तो आगे निकल सकते हैं।