जेफ विलियम्स, ओवीएएसपी और कंट्रास्ट सिक्योरिटी के संस्थापक और सीटीओ – साक्षात्कार श्रृंखला

जेफ विलियम्स, ओवीएएसपी और कंट्रास्ट सिक्योरिटी के संस्थापक और सीटीओ,现代 अनुप्रयोग सुरक्षा में सबसे प्रभावशाली व्यक्तियों में से एक के रूप में व्यापक रूप से माना जाता है। पिछले कई दशकों में, उन्होंने सुरक्षित सॉफ्टवेयर विकास, कमजोरता प्रबंधन और रनटाइम अनुप्रयोग सुरक्षा के लिए संगठनों के दृष्टिकोण को आकार देने में मदद की है। विलियम्स ने ओवीएएसपी को एक छोटे से स्वयंसेवी पहल से एक वैश्विक मान्यता प्राप्त गैर-लाभकारी सुरक्षा फाउंडेशन में बदलने में एक केंद्रीय भूमिका निभाई, ओवीएएसपी टॉप टेन, वेबगोट, ईएसएपीआई, एएसवीएस और एक्सएसएस रोकथाम चीट शीट जैसी महत्वपूर्ण परियोजनाओं में योगदान दिया। कंट्रास्ट सिक्योरिटी की स्थापना से पहले, उन्होंने एप्लिकेशन सुरक्षा परामर्श, प्रशिक्षण, प्रवेश परीक्षण और सुरक्षित विकास प्रथाओं के लिए समर्पित पहली फर्मों में से एक, एस्पेक्ट सिक्योरिटी की भी स्थापना की।

ओवीएएसपी एक गैर-लाभकारी फाउंडेशन है जो ओपन-सोर्स परियोजनाओं, वैश्विक समुदाय सहयोग, शिक्षा और उद्योग मानकों के माध्यम से सॉफ्टवेयर सुरक्षा में सुधार पर केंद्रित है। 2001 में स्थापित, संगठन अनुप्रयोग सुरक्षा में सबसे महत्वपूर्ण अधिकारियों में से एक बन गया है, जिसमें सैकड़ों स्थानीय अध्याय, हजारों योगदानकर्ता और व्यापक रूप से अपनाई गई संसाधन हैं जिनका उपयोग विश्वभर में डेवलपर्स, सुरक्षा पेशेवरों, उद्यमों और सरकारों द्वारा किया जाता है। ओवीएएसपी को ओवीएएसपी टॉप टेन जैसी परियोजनाओं के लिए जाना जाता है, जो वेब अनुप्रयोग सुरक्षा जोखिमों को पहचानता है, साथ ही साथ कई सुरक्षा ढांचे, परीक्षण उपकरण, दस्तावेज परियोजनाएं और प्रशिक्षण पहल। संगठन एक विक्रेता-तटस्थ दर्शन के साथ काम करता है, जिससे इसके शैक्षिक संसाधनों और सुरक्षा मार्गदर्शन को वैश्विक प्रौद्योगिकी समुदाय के लिए नि:शुल्क उपलब्ध कराया जा सकता है।

कंट्रास्ट सिक्योरिटी एक अनुप्रयोग सुरक्षा कंपनी है जो बाहरी स्कैनिंग टूल्स पर भरोसा करने के बजाय स्वयं चल रहे अनुप्रयोग से सॉफ्टवेयर की रक्षा करने पर केंद्रित है। कंपनी का प्लेटफ़ॉर्म रनटाइम इंस्ट्रूमेंटेशन तकनीक का उपयोग करके विकास और उत्पादन पर्यावरण में कमजोरियों, हमलों, एपीआई, ओपन-सोर्स निर्भरताओं और अनुप्रयोग व्यवहार के बारे में वास्तविक समय में दृश्यता प्रदान करता है। इसकी पेशकश क्षेत्रों में इंटरएक्टिव एप्लिकेशन सिक्योरिटी टेस्टिंग (आईएएसटी), एप्लिकेशन डिटेक्शन एंड रिस्पांस (एडीआर), रनटाइम एप्लिकेशन सेल्फ-प्रोटेक्शन (आरएएसपी) और सॉफ्टवेयर संरचना विश्लेषण शामिल हैं। कंट्रास्ट सिक्योरिटी ने सुरक्षा को सीधे आधुनिक डेवसेकओपीएस वर्कफ़्लो में एकीकृत करने के आसपास खुद को स्थिति दी है, जिससे डेवलपर्स, एप्सेक टीमों और सुरक्षा संचालन टीमों को कमजोरियों की पहचान करने और उन्हें तेजी से ठीक करने में सक्षम बनाया जा सकता है, जबकि तेजी से सॉफ्टवेयर वितरण चक्रों को बनाए रखा जा सकता है।

ओवीएएसपी के साथ अपने काम के माध्यम से आधुनिक अनुप्रयोग सुरक्षा को आकार देने में मदद करने के बाद, उद्योग में कौन सा अंतर आपको कंट्रास्ट सिक्योरिटी की स्थापना करने के लिए प्रेरित किया, और सुरक्षा चुनौतियों के विकसित होने के साथ यह मूल थीसिस कैसे खड़ी रही?

उद्योग सैद्धांतिक स्थिर खोजों से डूब रहा था और वास्तव में मायने रखने वाले मुद्दों पर ध्यान केंद्रित नहीं कर सका। सुरक्षा टीमों के पास स्कैनर थे जो बड़े पैमाने पर बैकलॉग उत्पन्न कर रहे थे, लेकिन उन्हें यह नहीं पता था कि कौन सी कमजोरियां उत्पादन में पहुंच योग्य, शोषित या हमले के तहत थीं। हमने कंट्रास्ट की स्थापना एक सरल विचार पर की: सुरक्षा निर्णय वास्तव में चल रहे अनुप्रयोगों के直接 अवलोकन से आना चाहिए, बाहर से अनुमान लगाने के बजाय।

अंततः, मुझे उम्मीद है कि उद्योग उस बिंदु तक आगे बढ़ेगा जहां हम हमेशा के लिए समस्याओं को खोजने, उन्हें ठीक करने और अधिक खोजने के हैमस्टेर व्हील से बाहर निकल जाएंगे। मुझे आशा है कि हम सुरक्षित सुरक्षा वास्तुकला और अपेक्षित खतरों के लिए सही रक्षा के साथ सॉफ्टवेयर बनाना शुरू कर सकते हैं। रनटाइम सुरक्षा और एआई का संयोजन संभावना रखता है, लेकिन हम कई वर्षों से दूर हैं।

आपने “मिथोस-लेवल कमजोरियों” के उद्भव का वर्णन किया है। यह नई जोखिम वर्ग को क्या परिभाषित करता है, और वे पारंपरिक सुरक्षा उपकरणों के लिए इतनी कठिन क्यों हैं?

मिथोस-लेवल कमजोरियां आधुनिक सॉफ्टवेयर स्टैक की जटिलता से उत्पन्न होने वाली कमजोरियां हैं। फ्रेमवर्क व्यवहार, निर्भरताओं और वास्तुशिल्प पैटर्न के बीच परस्पर क्रिया इतनी जटिल है कि डेवलपर्स अक्सर इसे पूरी तरह से नहीं समझते हैं। पारंपरिक उपकरण अभी भी अपेक्षाकृत सरल ज्ञात पैटर्न और दृश्यमान घटनाओं के लिए अनुकूलित हैं। मिथोस-शैली की कमजोरियां अक्सर अनुप्रयोग व्यवहार, निष्पादन प्रवाह और रनटाइम संदर्भ को बहुत गहरे स्तर पर समझने की आवश्यकता होती है।

क्यों पूरे जोखिम वर्ग सुरक्षा संचालन केंद्र (एसओसी) वातावरण में अलर्ट उत्पन्न करने में विफल रहते हैं, और यह वर्तमान में सुरक्षा टीमों द्वारा जोखिम को कैसे मापा जाता है?

अधिकांश एसओसी दृश्यमान घटनाओं के आसपास बनाए गए हैं: लॉग, हस्ताक्षर, नेटवर्क ट्रैफिक, एंडपॉइंट गतिविधि। लेकिन कई अनुप्रयोग-स्तर के हमले इन प्रणालियों में कोई अर्थपूर्ण संकेत नहीं उत्पन्न करते हैं। डेवलपर को पता नहीं था कि कमजोरता थी और कोई लॉगिंग नहीं जोड़ी जो शोषण का खुलासा करेगी। इसलिए अधिकांश अनुप्रयोग शोषण पूरी तरह से लॉग में अदृश्य हैं। एसओसी टीमें केवल उस प्रतिक्रिया कर सकती हैं जो वे देख सकती हैं। इसलिए, जब अनुप्रयोग और एपीआई परत बढ़ती महत्वपूर्ण हो जाती है, तो यह सुनिश्चित करना महत्वपूर्ण है कि हम इसे सुरक्षा सेंसर के साथ उपकरण करते हैं जो असामान्य व्यवहार का पता लगा सकते हैं और रिपोर्ट कर सकते हैं।

आधुनिक अनुप्रयोग वास्तुकला जैसे माइक्रोसervices, एपीआई और सर्वरलेस सिस्टम तेजी से विकसित हुए हैं। वर्तमान जांच-आधारित सुरक्षा दृष्टिकोण इन वास्तुकला से कहां पीछे छूट जाते हैं?

इन वास्तुकला ने पुराने परिधि मॉडल को तोड़ दिया। अनुरोध अब एक लेनदेन को पूरा करने से पहले कई सेवाओं, अस्थायी कार्यों, एपीआई, कतारों और तृतीय-पक्ष निर्भरताओं को पार करते हैं। अधिकांश जांच प्रणाली अभी भी खंड देखती हैं, न कि पूर्ण निष्पादन पथ। वे पैकेट या लॉग की जांच कर सकते हैं, लेकिन वे इरादा, डेटा प्रवाह या खतरनाक कोड के वास्तविक निष्पादन को समझ नहीं सकते हैं। सुरक्षा संदर्भ के बारे है, इसलिए हमें एक मॉडल, हमारे अनुप्रयोग बुनियादी ढांचे का एक डिजिटल जुड़वां बनाने की आवश्यकता है जो हमें (या एआई एजेंटों) को देखने में सक्षम बनाता है कि क्या हो रहा है।

ओवीएएसपी टॉप टेन अभी भी असुरक्षित डिजाइन और कमजोर घटकों जैसे मुद्दों को उजागर करता है। इन जोखिमों के बावजूद व्यापक जागरूकता और टूलिंग के बावजूद वे क्यों बने रहते हैं?

जागरूकता प्रोत्साहन या जटिलता को नहीं ठीक करती है। अधिकांश संगठन अभी भी सफलता को स्कैन वॉल्यूम, टिकट बंद करने या अनुपालन चेकलिस्ट के रूप में मापते हैं, वास्तविक जोखिम में कमी के बजाय।

साथ ही, सॉफ्टवेयर आपूर्ति श्रृंखला का आकार बढ़ गया। डेवलपर्स उन घटकों से अनुप्रयोगों को इकट्ठा करते हैं जिन्हें उन्होंने नहीं लिखा और निश्चित रूप से सुरक्षा के लिए मूल्यांकन नहीं किया। सुरक्षा टीमें सैद्धांतिक जोखिमों को त्रि-कार्य करने और वास्तव में मायने रखने वाले 1-2% पर ध्यान केंद्रित करने में असमर्थ हैं। रनटाइम साक्ष्य के बिना, प्राथमिकता टूट जाती है। शक्तिशाली एआई मॉडल और हार्नेस के उदय के साथ, आयतन बढ़ रहा है।

कुछ सबसे महत्वपूर्ण कमजोरियों के लिए कोई दृश्यमान संकेत नहीं छोड़ने वाले लॉग और अलर्ट पर निर्भरता को फिर से कैसे सोचें?

लॉग यह साबित करते हैं कि अनुप्रयोग क्या रिपोर्ट करना चुनते हैं, न कि यह कि वास्तव में क्या हुआ। यह एक खतरनाक अंतर है। संगठनों को अप्रत्यक्ष अवलोकन से सीधे अवलोकन में स्थानांतरित करने की आवश्यकता है। इसके बजाय एक शोषण का पता लगाने वाला एक पता लगाने योग्य कलाकृति बनाने की उम्मीद करने के बजाय, सुरक्षा प्रणाली को कमजोर व्यवहार और शोषण व्यवहार की पहचान करनी चाहिए। यदि खतरनाक कोड निष्पादित होता है, तो प्रणाली को तुरंत पता चलना चाहिए – चाहे कोई लॉग प्रविष्टि मौजूद हो या नहीं।

आपने रनटाइम दृश्यता का समर्थन किया है। वास्तविक अभ्यास में सच्ची रनटाइम दृश्यता क्या दिखती है, और यह सुरक्षा टीमों के दैनिक संचालन को कैसे बदलती है?

सच्ची रनटाइम दृश्यता का अर्थ है उत्पादन में वास्तव में क्या हो रहा है: कौन से मार्ग उजागर हैं, कौन से पुस्तकालय सक्रिय हैं, संवेदनशील डेटा कहां प्रवाहित होता है, कौन सा कोड निष्पादित किया जाता है और क्या हमला कमजोर कार्यक्षमता तक पहुंचता है। संचालन में, यह सुरक्षा को एक प्रतिक्रियाशील शिकार अभ्यास से एक सटीक अनुशासन में बदल देता है। टीमें बड़े पैमाने पर कमजोरता बैकलॉग का पीछा करना बंद कर देती हैं और उन जोखिमों पर ध्यान केंद्रित करना शुरू कर देती हैं जो पहुंच योग्य, महत्वपूर्ण और सक्रिय रूप से लक्षित हैं। इससे सिग्नल-टू-शोर अनुपात और प्रतिक्रिया गति में काफी सुधार होता है। औसतन, केवल 38% ओपन-सोर्स पुस्तकालयों को एक अनुप्रयोग में पैक किया जाता है और वास्तव में मेमोरी में लोड किया जाता है और निष्पादित किया जाता है। और इस उपसमूह में सभी कोड का उपयोग नहीं किया जाता है। इसलिए रनटाइम सुरक्षा जो एक सरल चीज़ को सक्षम बनाती है वह वास्तव में चलने वाले कोड पर ध्यान केंद्रित करना है, न कि अनुप्रयोग के साथ आने वाले अप्रयुक्त पुस्तकालयों और कार्यों का।

पारंपरिक दृष्टिकोणों जैसे कि सास्ट, डास्ट या परिधि निगरानी की तुलना में साधन-आधारित सुरक्षा की प्रभावशीलता और स्केलेबिलिटी कैसे है?

पारंपरिक उपकरण बाहर से जोखिम का अनुमान लगाते हैं। साधन वास्तविकता का अवलोकन करके वास्तविक कोड का अवलोकन करता है क्योंकि यह चलता है। साधन वास्तविक निष्पादन पथ, फ्रेमवर्क व्यवहार, प्रमाणीकरण संदर्भ, डेटा प्रवाह और शोषण सफलता को वास्तविक समय में देख सकता है। यह बड़ी श्रेणियों के झूठे सकारात्मक और परिधि उपकरणों को पूरी तरह से याद की जाने वाली कमजोरियों को खत्म करता है। पैमाने पर, यह सटीकता महत्वपूर्ण हो जाती है। संगठन अब मिलियन सैद्धांतिक खोजों को मैन्युअल रूप से त्रि-कार्य नहीं कर सकते हैं। रनटाइम साक्ष्य एकमात्र टिकाऊ फिल्टर बन रहा है। रनटाइम वास्तविक समय में काम करता है, इसलिए यह विकास और सीआई/सीडी पाइपलाइनों के लिए स्कैनिंग और त्रि-कार्य से बेहतर मेल खाता है। और रनटाइम निरंतर है, इसलिए आप एक स्नैपशॉट बिंदु-समय दृष्टिकोण से सीमित नहीं हैं।

क्या एआई प्रणाली और स्वायत्त अनुप्रयोग अधिक प्रचलित हो जाते हैं, तो ये अदृश्य कमजोरियां अधिक खतरनाक हो जाती हैं, और टीमें कैसे तैयार होनी चाहिए?

एआई अदृश्य कमजोरियों को अधिक खतरनाक बनाता है क्योंकि यह दोनों पक्षों को तेज करता है। डेवलपर्स सॉफ्टवेयर का उत्पादन कर रहे हैं और हमलावर कमजोरियों का पता लगा रहे हैं और उन्हें तेजी से शोषित कर रहे हैं। लेकिन अधिकांश सुरक्षा कार्यक्रम अभी भी मानव-इन-द-लूप प्रक्रियाओं पर निर्भर हैं जो एआई गति पर काम नहीं कर सकते हैं। टीमों को दो तरीकों से तैयार करना चाहिए। पहले, उत्पादन में कमजोरियों को ठीक किए जाने के दौरान हमलों का पता लगाने, ब्लॉक करने और उन्हें नियंत्रित करने वाली मजबूत रनटाइम रक्षा बनानी चाहिए। इससे संगठनों को हवाई कवर मिलता है। दूसरा, सुरक्षित कोड लिखने के लिए एआई और स्वचालन का उपयोग करना चाहिए – बेहतर डिजाइन, परीक्षण, समीक्षा और सत्यापन के साथ। अन्यथा, हम जोखिम को तेजी से बना रहे हैं जितना कि हम इसे प्रबंधित कर सकते हैं।

यदि आप आज एक आधुनिक सुरक्षा संचालन केंद्र (एसओसी) नेता को सलाह दे रहे थे, तो वे इस दृश्यता अंतर को बंद करने के लिए पहले क्या कदम उठाने चाहिए, इससे पहले कि यह एक बड़े पैमाने पर उल्लंघन का कारण बने?

पहले, यह स्वीकार करें कि परिधि टेलीमेट्री आधुनिक अनुप्रयोग सुरक्षा के लिए पर्याप्त नहीं है। वास्तव में, यह कई अनुप्रयोग और एपीआई हमलों को परिधि पर देखना या रोकना असंभव है। एसओसी को होस्टिंग के बुनियादी ढांचे के भीतर नहीं, बल्कि चल रहे अनुप्रयोगों के भीतर दृश्यता की आवश्यकता है। दूसरा, सैद्धांतिक खोजों के बजाय रनटाइम साक्ष्य को प्राथमिकता दें। उन कमजोरियों पर ध्यान केंद्रित करें जो सक्रिय कोड में, सक्रिय हमले के मार्गों की पहचान करें, और वास्तव में उत्पादन में निष्पादित हो रहे सेवाओं को उजागर करें। अंत में, अनुप्रयोग सुरक्षा और सुरक्षा इंजीनियरिंग को एकजुट करें। भविष्य के एसओसी को अब अनुप्रयोगों को अपारदर्शी ब्लैक बॉक्स के रूप में नहीं माना जा सकता है। अनुप्रयोग अब प्राथमिक हमला सतह हैं, और उन्हें रनटाइम पर पहले दर की दृश्यता की आवश्यकता है।

महान साक्षात्कार के लिए धन्यवाद, पाठक जो अधिक जानना चाहते हैं उन्हें ओवीएएसपी या कंट्रास्ट सिक्योरिटी पर जाना चाहिए।