Rydde opp i “tåken av mer” i cybersikkerhet

På RSA-konferansen i San Francisco denne måneden, var det en overveldende mengde nye og hete løsninger å se fra cybersikkerhetsindustrien. Stå til stå hevdet å være verktøyet som vil redde din organisasjon fra at dårlige aktører stjeler dine verdier eller utpresser deg for millioner av dollar.

Etter mye overveielse, har jeg kommet til slutsatsen at vår bransje er villøs. Villøs i suppen av oppdagelse og respons med endeløs nonsens som hevder at problemene dine vil forsvinne så lenge du bare legger til ett mer lag. Omringet av en tåke av teknologiske investeringer, personale, verktøy og infrastruktur, har selskaper nå dannet en labyrint hvor de ikke lenger kan se skogen for trærne når det gjelder å identifisere og forebygge trusler. Disse verktøyene, som er ment å beskytte digitale verdier, driver i stedet frustrasjon for både sikkerhets- og utviklingsteam gjennom økte arbeidsmengder og uforenlige verktøy. “Tåken av mer” fungerer ikke. Men å være helt ærlig, har den aldri fungert.

Cyberangrep begynner og slutter i kode. Det er så enkelt. Enten har du en sikkerhetsfeil eller sårbarhet i kode, eller koden ble skrevet uten sikkerhet i mente. Uansett, hver angrep eller overskrift du leser, kommer fra kode. Og det er programvareutviklerne som står overfor det ultimate fulle omfanget av problemet. Men utviklere er ikke trent i sikkerhet, og kan kanskje aldri bli det. Så de implementerer gamle kode-søkeverktøy som bare søker etter mønster i koden. Og vær redd for hva du ber om, fordi som et resultat får de tsunamien av varsler, og jakter på røde hunder og fantomer hele dagen. I virkeligheten bruker utviklere opptil en tredjedel av sin tid på å jakte på falske positiver og sårbarheter. Bare ved å fokusere på forebygging kan bedrifter virkelig starte å styrke sine sikkerhetsprogrammer og legge grunnlaget for en sikkerhetsdrevet kultur.

Finding og fikse på kode-nivå

Det sies ofte at forebygging er bedre enn kur, og dette ordspråket holder spesielt sant i cybersikkerhet. Derfor, selv midt i strengere økonomiske begrensninger, investerer bedrifter kontinuerlig og kobler på flere sikkerhetsverktøy, og danner flere barrierer for å redusere sannsynligheten for vellykkede cyberangrep. Men til tross for å legge til flere og flere lag av sikkerhet, skjer de samme typene angrep fortsatt. Det er på tide for organisasjoner å adoptere en fersk perspektiv – en hvor vi fokuserer på problemet på rot-nivå – ved å finne og fikse sårbarheter i koden.

Applikasjoner tjener ofte som den primære inngangspunktet for cyberkriminelle som søker å utnytte svakheter og få uautorisert tilgang til sensitive data. I slutten av 2020, kom SolarWinds-kompromisset til lys, og etterforskere fant en kompromittert byggeprosess som tillot angripere å injisere skadelig kode i Orion-nettverks-overvåkingsprogramvaren. Dette angrepet understreket behovet for å sikre hver enkelt trinn i programvare-byggeprosessen. Ved å implementere robuste applikasjonssikkerhets- eller AppSec-tiltak, kan organisasjoner minimere risikoen for disse sikkerhetsbruddene. For å gjøre dette, må bedrifter se på en “skyve til venstre”-mentalitet, og bringe forebyggende og prediktive metoder til utviklings-stadiet.

Mens dette ikke er en helt ny idé, kommer det med ulemper. En betydelig ulempe er økt utviklingstid og kostnader. Å implementere omfattende AppSec-tiltak kan kreve betydelige ressurser og ekspertise, og føre til lengre utviklingscykler og høyere utgifter. I tillegg er ikke alle sårbarheter høyrisk for organisasjonen. Muligheten for falske positiver fra oppdagelsesverktøy fører også til frustrasjon blant utviklere. Dette skaper en gap mellom bedrift, ingeniør- og sikkerhetsteam, hvis mål kanskje ikke stemmer overens. Men generativ AI kan være løsningen som lukker denne gapen for godt.

Inntreden i AI-æraen

Ved å utnytte den ubenyttede naturen til generativ AI innen AppSec, vil vi til slutt lære fra fortiden og forutsi og forebygge fremtidige angrep. For eksempel kan du trene en Large Language Model eller LLM på alle kjente kode-sårbarheter, i alle deres varianter, for å lære de essensielle egenskapene til alle. Disse sårbarhetene kan inkludere vanlige problemer som buffer-overskridelser, injeksjonsangrep eller utilstrekkelig inndata-validering. Modellen vil også lære de nyanserte forskjellene etter språk, rammeverk og bibliotek, samt hva kode-fiksering er vellykket. Modellen kan deretter bruke denne kunnskapen til å skanne en organisasjons kode og finne potensielle sårbarheter som ikke har blitt identifisert ennå. Ved å bruke konteksten rundt koden, kan skanningsverktøy bedre oppdage reelle trusler. Dette betyr kort skanningstid og mindre tid på å jakte ned og fikse falske positiver og økt produktivitet for utviklingsteam.

Generativ AI-verktøy kan også tilby foreslåtte kode-fikseringer, og automatisere prosessen med å generere patches, og betydelig redusere tiden og anstrengelsen som kreves for å fikse sårbarheter i kodebasen. Ved å trene modeller på store repositoryer av sikre kodebasen og beste praksis, kan utviklere utnytte AI-genererte kode-utdrag som overholder sikkerhetsstandarder og unngår vanlige sårbarheter. Denne proaktive tilnærmingen reduserer ikke bare sannsynligheten for å introdusere sikkerhetsfeil, men akselerer også utviklingsprosessen ved å gi utviklere forhånds-testede og validerte kode-komponenter.

Disse verktøyene kan også tilpasse seg forskjellige programmeringsspråk og kode-stiler, og gjøre dem til fleksible verktøy for kode-sikkerhet over forskjellige miljøer. De kan forbedre seg over tid, ettersom de fortsetter å trene på nye data og tilbakemeldinger, og føre til mer effektive og pålitelige patch-generering.

Menneske-elementet

Det er essensielt å merke seg at selv om kode-fikseringer kan automatiseres, er menneskelig tilsyn og validering fortsatt avgjørende for å sikre kvaliteten og riktigheten av genererte patches. Mens avanserte verktøy og algoritmer spiller en betydelig rolle i å identifisere og minimere sikkerhetssårbarheter, er menneskelig ekspertise, kreativitet og intuisjon fortsatt uerstattelige i å sikre applikasjoner effektivt.

Utviklere er ultimate ansvarlige for å skrive sikker kode. Deres forståelse av sikkerhetsbeste praksis, kode-standarden og potensielle sårbarheter er avgjørende for å sikre at applikasjoner bygges med sikkerhet i mente fra begynnelsen. Ved å integrere sikkerhetstrenings- og -bevisstgjøring i utviklingsprosessen, kan organisasjoner gi utviklere mulighet til å proaktivt identifisere og håndtere sikkerhetsproblemer, og redusere sannsynligheten for å introdusere sårbarheter i kodebasen.

I tillegg er effektiv kommunikasjon og samarbeid mellom forskjellige interessenter i en organisasjon essensielt for AppSec-suksess. Mens AI-løsninger kan hjelpe til å “lukke gapet” mellom utvikling og sikkerhetsoperasjoner, krever det en kultur av samarbeid og felles ansvar for å bygge mer robuste og sikre applikasjoner.

I en verden hvor trussel-landskapet er i konstant endring, er det lett å bli overveldet av den enorme mengden verktøy og teknologier som er tilgjengelige i cybersikkerhetsrommet. Men ved å fokusere på forebygging og å finne sårbarheter i kode, kan organisasjoner kutte “fettet” av sin eksisterende sikkerhetsstakk, og spare en eksponentiell mengde tid og penger i prosessen. På rot-nivå vil slike løsninger være i stand til å ikke bare finne kjente sårbarheter og fikse null-dags-sårbarheter, men også for-null-dags-sårbarheter før de skjer. Vi kan kanskje til slutt holde pace, eller sogar komme foran, utviklende trusler.