निर वाल्टमैन, अर्निका के सीईओ और संस्थापक – साक्षात्कार श्रृंखला

निर वाल्टमैन अर्निका के सीईओ और संस्थापक हैं। यह प्लेटफ़ॉर्म रोजमर्रा के सुरक्षा कार्यों को स्वचालित करके उद्यमों को सॉफ़्टवेयर आपूर्ति श्रृंखला के जोखिमों से सक्रिय रूप से बचाता है और विकासकर्ताओं को जोखिम बढ़ाए या काम की गति घटाए बिना सुरक्षा की जिम्मेदारी लेने में सक्षम बनाता है।

साइबर सुरक्षा में आपकी रुचि क्या थी?

मैंने 13 साल की उम्र में हैकिंग की शुरुआत की थी। मैंने अपने पहले कोडिंग कोर्स में कंप्यूटर लैब को नष्ट कर दिया और अन्य कंप्यूटरों में हैक किया, जिसमें बहुत कम कोडिंग कौशल था। जब मैंने इज़राइल में सेना सेवा में शामिल हुआ, तो मुझे सुरक्षा के रक्षात्मक पक्ष में व्यावहारिक शिक्षा मिली, जिससे मेरा साइबर सुरक्षा में करियर शुरू हुआ।

अर्निका की उत्पत्ति की कहानी क्या है?

अर्निका से पहले, मैं फिनास्ट्रा में सुरक्षा के उपाध्यक्ष था, जो दुनिया की तीसरी सबसे बड़ी फिनटेक कंपनी है। सोलरविंड्स के प्रसिद्ध हमले के बाद, हमारे सीईओ ने मुझसे पूछा कि हम सॉफ़्टवेयर आपूर्ति श्रृंखला हमले के जोखिम को कम करने के लिए क्या कर सकते हैं। हमने इस क्षेत्र में समाधान बनाने वाली कंपनियों का एक व्यापक मूल्यांकन किया, जिनमें से कुछ के साथ हमने प्रूफ ऑफ कॉन्सेप्ट किया। कोई भी विक्रेता हमारी आवश्यकताओं के अनुसार नहीं था: व्यापक कवरेज, जोखिमों का सक्रिय उपाय, और विकासकर्ताओं के लिए एक अच्छा अनुभव। विशेष रूप से, विकासकर्ता अनुभव पहलू महत्वपूर्ण था क्योंकि कोई भी समाधान जो मैं विकासकर्ताओं पर थोपता जो उनके कार्य प्रवाह को बाधित करता, अस्वीकार कर दिया जाएगा और हम शून्य से शुरू करेंगे।

कोई समाधान न मिलने पर मैंने पिछले पांच वर्षों में हुए हर सॉफ़्टवेयर आपूर्ति श्रृंखला हमले का अध्ययन करने का फैसला किया, ताकि उनके प्रमुख संकेतों और उन्हें रोकने के तरीकों को समझ सकूं। साथ ही मैंने दो दोस्तों, एरन मेदान (सीटीओ) और डिको दहान (सीओओ), से बात की, जिन्हें विकास और संचालन का नेतृत्व करने का व्यापक अनुभव था। उन्हें भी समाधान खोजने में ऐसी ही कठिनाइयां आ रही थीं—डिको को तकनीकी संचालन के नजरिए से और एरन को विकास के नजरिए से। चूंकि हममें से किसी को समाधान नहीं मिल रहा था, हमने एक परिकल्पना तैयार की कि समाधान कैसा होना चाहिए। सुरक्षा, संचालन और इंजीनियरिंग के प्रमुखों के साथ दर्जनों सत्यापन वार्ताओं ने समस्या और आवश्यक समाधान के बारे में हमारी परिकल्पना, दोनों की पुष्टि की। कुछ महीने बाद, अगस्त 2021 में, हमने मिलकर अर्निका की स्थापना की।

यदि कोई आपको एक हस्तलिखित नोट देता है और कहता है कि आपने इसे लिखा है, तो आप शायद बता पाएंगे कि यह वास्तव में आपके द्वारा लिखा गया है या नहीं। यदि, उदाहरण के लिए, हस्तलेखन आपका नहीं है, नोट आपके जन्म से पहले का है, और यह फ्रांसीसी में लिखा गया है (जिसे आप बोल नहीं सकते या लिख नहीं सकते), तो यह स्पष्ट होगा कि आप लेखक नहीं हैं। हम कोड के लिए एक समान दृष्टिकोण लेते हैं, सिवाय इसके कि हम प्रत्येक विकासकर्ता के लिए एक प्रोफ़ाइल बनाते हैं जो हज़ारों कारकों (जिन्हें मशीन लर्निंग में विशेषताएं कहा जाता है) से बना होता है। विकासकर्ताओं की प्रवृत्तियों और व्यवहार को देखकर, हम उन जोखिमों को रोक सकते हैं जो उनके सामान्य विकास पैटर्न से विचलित होते हैं। इससे हम खाता अधिग्रहण, अंदरूनी खतरे, और सॉफ़्टवेयर विकास से जुड़े अन्य जोखिमों को रोक सकते हैं।

प्रत्येक विकासकर्ता के काम करने के तरीके की बारीकियों को पहचानने के लिए प्लेटफ़ॉर्म कैसे सक्षम है?

अर्निका ऐतिहासिक ऑडिट और कोड योगदान गतिविधि का उपयोग करके प्रत्येक विकासकर्ता के लिए एक व्यवहारिक फिंगरप्रिंट बनाता है। यह फिंगरप्रिंट विकासकर्ता के अनुमति उपयोग, कोडिंग शैली, कमिट संदेशों की भाषा, और विकास अभ्यासों के ज्ञात और अपेक्षित व्यवहार का प्रतिनिधित्व करता है। हम तब इस फिंगरप्रिंट की तुलना भविष्य की सभी गतिविधि से करते हैं ताकि यह अनुमान लगाया जा सके कि भविष्य के कोड के इसी लेखक का होने की कितनी संभावना है।

जब प्रणाली असामान्य व्यवहार को चिह्नित करती है, तो क्या होता है?

हम सुरक्षा मूल्य को अधिकतम करने और साथ ही विकास घर्षण को समाप्त करने का प्रयास करते हैं। जब अर्निका किसी विकासकर्ता खाते से असामान्य व्यवहार का पता लगाता है, तो हम इसे अर्निका में चिह्नित करते हैं और स्वचालित रूप से विकासकर्ता और सुरक्षा टीम को प्रत्यक्ष चैट के माध्यम से अतिरिक्त प्रमाणीकरण भेजते हैं, जो आपकी नीति कॉन्फ़िगरेशन के आधार पर होता है।

अर्निका कोड ऑडिट में कैसे मदद करता है?

अर्निका विकासकर्ताओं को कोड परिवर्तनों पर असल समय की सूचना देता है, जिससे पुल अनुरोधों तक पहुंचने वाले जोखिमों की संख्या कम हो जाती है। जो जोखिम पुल अनुरोधों तक पहुंचते हैं, अर्निका पीआर पर स्वचालित कोड जांचें पेश करता है। जब जोखिम पाए जाते हैं, तो अर्निका जोखिम विवरण और शमन संदर्भ के साथ टिप्पणी करता है। अर्निका उत्पादन कोड तक पहुंचने से पहले जोखिमों को रोकने के लिए स्वचालित रूप से मर्ज को भी ब्लॉक कर सकता है।

अर्निका सुरक्षा कमजोरियों वाली तृतीय-पक्ष निर्भरताओं की पहचान करने में भी सक्षम बनाता है, विकासकर्ताओं के लिए यह कैसे काम करता है?

अर्निका प्रत्येक कोड पुश पर तृतीय-पक्ष पैकेज और जोखिमों को स्कैन करता है और विकासकर्ताओं को सीधे चैटओप्स के माध्यम से सूचित करता है जब वे सुरक्षा कमजोरियों वाले संस्करणों का उपयोग करते हैं या कोड में कम प्रतिष्ठा वाला पैकेज जोड़ते हैं।

अर्निका प्लेटफ़ॉर्म द्वारा प्रदान की जाने वाली कुछ अन्य कार्यक्षमताएं क्या हैं?

अर्निका सॉफ़्टवेयर आपूर्ति श्रृंखला जोखिमों के पारितंत्र में दृश्यता प्रदान करने, उन जोखिमों को प्राथमिकता देने और नए जोखिमों को रोकने और मौजूदा जोखिमों को ठीक करने में सक्षम बनाने के लिए एक मंच प्रदान करने पर केंद्रित है। हम विकासकर्ताओं की अत्यधिक अनुमतियों, स्टेटिक एप्लिकेशन सुरक्षा परीक्षण (SAST) और इंफ्रास्ट्रक्चर ऐज कोड (IaC) स्कैनिंग से पहचाने गए कोड जोखिमों, कोड में सीधे लिखे गए गोपनीय क्रेडेंशियल, तृतीय-पक्ष निर्भरताओं और अधिक जैसे विभिन्न जोखिम श्रेणियों में यह क्षमता प्रदान करते हैं।

क्या अर्निका के बारे में और कुछ है जो आप साझा करना चाहेंगे?

अर्निका में, जितना हम अनुप्रयोग और आपूर्ति श्रृंखला सुरक्षा समाधान विकसित करते हैं, हम खुद को एक विकासकर्ता अनुभव कंपनी मानते हैं। हम सुरक्षा समस्याओं को हल करने के लिए एक सहज और सुखद अनुभव बनाना चाहते हैं। उदाहरण के लिए, हमारे गोपनीय क्रेडेंशियल उजागर होने के जोखिम को दूर करने वाला समाधान लें। हम कोड पुश होने पर गोपनीय क्रेडेंशियल की पहचान करते हैं, इसे सत्यापित करते हैं, और विकासकर्ता को उनके चैट टूल में एक सूचना भेजते हैं। सूचना में विकासकर्ता के लिए एक बटन है – “इसे मेरे लिए ठीक करें” – जो पूरे गिट इतिहास से गोपनीय क्रेडेंशियल को हटाता है बिना विकासकर्ता को कोई गिट आदेश लिखने के। बस एक क्लिक।

हम मानते हैं कि यदि हम सुरक्षा को विकास अनुभव का एक आसान और सुखद हिस्सा बना सकते हैं, तो अर्निका का उपयोग करने वाले प्रत्येक संगठन को इसका लाभ होगा।

साक्षात्कार के लिए धन्यवाद, पाठक जो अधिक जानना चाहते हैं उन्हें अर्निका पर जाना चाहिए।