Menghilangkan “Kabut Lebih” dalam Keamanan Cyber

Pada RSA Conference di San Francisco bulan ini, berbagai solusi baru dan panas dari industri keamanan siber dipamerkan. Booth demi booth mengklaim sebagai alat yang akan menyelamatkan organisasi Anda dari aktor jahat yang mencuri barang-barang Anda atau memeras Anda untuk jutaan dolar.

Setelah mempertimbangkan banyak hal, saya telah menyimpulkan bahwa industri kita telah tersesat. Tersesat dalam sup deteksi dan respons dengan omong kosong yang tidak berkesudahan yang mengklaim bahwa masalah Anda akan hilang asalkan Anda menambahkan satu lapisan lagi. Tenggelam dalam kabut teknologi investasi, personil, alat, dan lapisan infrastruktur, perusahaan telah membentuk labirin di mana mereka tidak dapat melihat hutan untuk pohon-pohon ketika datang ke mengidentifikasi dan mencegah aktor ancaman. Alat-alat ini, yang dimaksudkan untuk melindungi aset digital, sebaliknya menghasilkan frustrasi bagi tim keamanan dan pengembangan melalui peningkatan beban kerja dan alat-alat yang tidak kompatibel. “Kabut lebih” tidak berfungsi. Tapi, secara jujur, itu tidak pernah berfungsi.

Seri serangan siber dimulai dan diakhiri dengan kode. Itu sangat sederhana. Anda memiliki kerentanan keamanan atau kerentanan dalam kode, atau kode itu ditulis tanpa mempertimbangkan keamanan. Dengan cara apa pun, setiap serangan atau headline yang Anda baca, berasal dari kode. Dan itu adalah pengembang perangkat lunak yang menghadapi masalah utama. Tapi, pengembang tidak dilatih dalam keamanan dan, secara jujur, mungkin tidak pernah. Jadi, mereka menerapkan alat pencarian kode yang sederhana yang hanya mencari pola. Dan takutlah pada apa yang Anda tanyakan karena sebagai hasilnya mereka mendapatkan tsunami peringatan, mengejar hantu dan phantoms sepanjang hari. Bahkan, pengembang menghabiskan hingga sepertiga waktu mereka mengejar kerentanan palsu dan kerentanan. Hanya dengan fokus pada pencegahan, perusahaan dapat memulai memperkuat program keamanan mereka dan meletakkan dasar untuk budaya yang berorientasi pada keamanan.

Mengatasi dan Memperbaiki pada Tingkat Kode

Sering dikatakan bahwa pencegahan lebih baik daripada pengobatan, dan peribahasa ini sangat benar dalam keamanan siber. Itulah mengapa, bahkan di tengah keterbatasan ekonomi yang ketat, bisnis terus menginvestasikan dan memasang lebih banyak alat keamanan, menciptakan banyak hambatan untuk mengurangi kemungkinan serangan siber yang sukses. Tapi, meskipun menambahkan lebih banyak lapisan keamanan, jenis serangan yang sama terus terjadi. Sudah waktunya bagi organisasi untuk mengadopsi perspektif baru – satu di mana kita fokus pada masalah pada tingkat akar – dengan mengatasi dan memperbaiki kerentanan dalam kode.

Aplikasi sering menjadi titik masuk utama bagi penjahat siber yang mencari untuk mengeksploitasi kelemahan dan mendapatkan akses tidak sah ke data sensitif. Pada akhir 2020, kompromi SolarWinds terungkap dan penyelidik menemukan proses pembangunan yang dikompromikan yang memungkinkan penyerang untuk menyuntikkan kode berbahaya ke dalam perangkat lunak pemantauan jaringan Orion. Serangan ini menekankan pentingnya mengamankan setiap langkah proses pembangunan perangkat lunak. Dengan menerapkan langkah-langkah keamanan aplikasi yang kuat, atau AppSec, organisasi dapat mengurangi risiko pelanggaran keamanan. Untuk melakukan ini, perusahaan perlu melihat mentalitas “geser kiri”, membawa metode pencegahan dan prediktif ke tahap pengembangan.

Sementara ini bukanlah ide yang sepenuhnya baru, itu datang dengan kelemahan. Salah satu kelemahan signifikan adalah peningkatan waktu dan biaya pengembangan. Menerapkan langkah-langkah AppSec yang komprehensif dapat memerlukan sumber daya dan keahlian yang signifikan, menghasilkan siklus pengembangan yang lebih lama dan biaya yang lebih tinggi. Selain itu, tidak semua kerentanan menimbulkan risiko tinggi bagi organisasi. Potensi positif palsu dari alat deteksi juga menyebabkan frustrasi di antara pengembang. Ini menciptakan kesenjangan antara tim bisnis, teknik, dan keamanan, yang mungkin tidak sejalan. Tapi, kecerdasan buatan generatif mungkin merupakan solusi yang menutup kesenjangan itu untuk selamanya.

Memasuki Era Kecerdasan Buatan

Dengan memanfaatkan sifat kecerdasan buatan generatif dalam AppSec, kita akhirnya dapat belajar dari masa lalu untuk memprediksi dan mencegah serangan di masa depan. Misalnya, Anda dapat melatih Model Bahasa Besar atau LLM pada semua kerentanan kode yang diketahui, dalam semua varian, untuk mempelajari fitur-fitur esensial dari semuanya. Kerentanan ini dapat mencakup masalah umum seperti buffer overflow, serangan injeksi, atau validasi input yang tidak tepat. Model tersebut juga akan mempelajari perbedaan nuansa oleh bahasa, kerangka, dan perpustakaan, serta apa yang memperbaiki kode yang berhasil. Model tersebut kemudian dapat menggunakan pengetahuan ini untuk memindai kode organisasi dan menemukan kerentanan potensial yang belum diidentifikasi. Dengan menggunakan konteks sekitar kode, alat pemindaian dapat lebih baik mendeteksi ancaman nyata. Ini berarti waktu pemindaian yang singkat dan kurang waktu mengejar dan memperbaiki positif palsu dan produktivitas yang meningkat untuk tim pengembangan.

Alat kecerdasan buatan generatif juga dapat menawarkan perbaikan kode yang disarankan, mengotomatisasi proses pembuatan patch, secara signifikan mengurangi waktu dan upaya yang diperlukan untuk memperbaiki kerentanan dalam basis kode. Dengan melatih model pada repositori besar kode yang aman dan praktik terbaik, pengembang dapat menggunakan potongan kode yang dihasilkan oleh kecerdasan buatan yang mematuhi standar keamanan dan menghindari kerentanan umum. Pendekatan proaktif ini tidak hanya mengurangi kemungkinan memperkenalkan kerentanan keamanan tetapi juga mempercepat proses pengembangan dengan menyediakan pengembang dengan komponen kode yang telah diuji dan divalidasi sebelumnya.

Alat-alat ini juga dapat beradaptasi dengan bahasa pemrograman dan gaya coding yang berbeda, membuatnya menjadi alat yang serbaguna untuk keamanan kode di berbagai lingkungan. Mereka dapat meningkatkan kualitas seiring waktu ketika mereka terus dilatih pada data dan umpan balik baru, menghasilkan generasi patch yang lebih efektif dan dapat diandalkan.

Unsur Manusia

Penting untuk dicatat bahwa meskipun perbaikan kode dapat diotomatisasi, pengawasan dan validasi manusia masih sangat penting untuk memastikan kualitas dan kebenaran patch yang dihasilkan. Sementara alat dan algoritma canggih memainkan peran signifikan dalam mengidentifikasi dan memitigasi kerentanan keamanan, keahlian, kreativitas, dan intuisi manusia tetap tidak tergantikan dalam mengamankan aplikasi secara efektif.

Pengembang pada akhirnya bertanggung jawab untuk menulis kode yang aman. Pemahaman mereka tentang praktik terbaik keamanan, standar coding, dan kerentanan potensial sangat penting dalam memastikan bahwa aplikasi dibangun dengan keamanan dalam pikiran dari awal. Dengan mengintegrasikan pelatihan dan kesadaran keamanan ke dalam proses pengembangan, organisasi dapat memberdayakan pengembang untuk proaktif mengidentifikasi dan menangani masalah keamanan, mengurangi kemungkinan memperkenalkan kerentanan ke dalam basis kode.

Selain itu, komunikasi dan kolaborasi yang efektif antara berbagai pemangku kepentingan dalam sebuah organisasi sangat penting untuk keberhasilan AppSec. Sementara solusi kecerdasan buatan dapat membantu “menutup kesenjangan” antara pengembangan dan operasi keamanan, itu membutuhkan budaya kolaborasi dan tanggung jawab bersama untuk membangun aplikasi yang lebih kuat dan aman.

Di dunia di mana lanskap ancaman terus berkembang, mudah untuk merasa terhanyut oleh volume alat dan teknologi yang tersedia dalam ruang keamanan siber. Namun, dengan fokus pada pencegahan dan mengatasi kerentanan dalam kode, organisasi dapat memangkas “lemak” dari tumpukan keamanan yang ada, menyelamatkan sejumlah waktu dan uang yang eksponensial dalam proses. Pada tingkat akar, solusi seperti itu akan dapat tidak hanya menemukan kerentanan yang diketahui dan memperbaiki kerentanan zero-day tetapi juga kerentanan sebelum zero-day sebelum mereka terjadi. Kami mungkin akhirnya dapat mengikuti, jika tidak mengungguli, aktor ancaman yang terus berkembang.