Confruntând Riscurile de Securitate ale Copiloților

Din ce în ce mai mult, întreprinderile utilizează copiloți și platforme cu cod redus pentru a permite angajaților – chiar și celor cu puțină sau deloc experiență tehnică – să creeze copiloți puternici și aplicații de business, precum și să proceseze cantități uriașe de date. Un raport nou al Zenity, Starea Copiloților și Dezvoltării cu Cod Redus în Întreprinderi în 2024, a constatat că, în medie, întreprinderile au aproximativ 80.000 de aplicații și copiloți care au fost creați în afara cicluului standard de dezvoltare a software-ului (SDLC).

Acest lucru oferă noi oportunități, dar și noi riscuri. Printre aceste 80.000 de aplicații și copiloți se află aproximativ 50.000 de vulnerabilități. Raportul a notat că aceste aplicații și copiloți evoluează cu o viteză fără precedent. În consecință, ele creează un număr masiv de vulnerabilități.

Riscurile Copiloților și Aplicațiilor de Întreprindere

De obicei, dezvoltatorii de software construiesc aplicații cu atenție de-a lungul unui ciclu de dezvoltare securizat (SDLC) în care fiecare aplicație este proiectată, implementată, măsurată și analizată constant. Dar astăzi, aceste garanții nu mai există. Oamenii fără experiență de dezvoltare pot acum crea și utiliza copiloți puternici și aplicații de business în cadrul Power Platform, Microsoft Copilot, OpenAI, ServiceNow, Salesforce, UiPath, Zapier și altele. Aceste aplicații ajută la operațiunile de business, deoarece transferă și stochează date sensibile. Creșterea în acest domeniu a fost semnificativă; raportul a constatat o creștere de 39% de la an la an în adoptarea dezvoltării cu cod redus și a copiloților.

Ca urmare a ocolirii ciclului SDLC, vulnerabilitățile sunt omniprezente. Multe întreprinderi adoptă cu entuziasm aceste capacități fără a aprecia pe deplin faptul că trebuie să înțeleagă câți copiloți și aplicații sunt create – și contextul lor de business, de asemenea. De exemplu, ei trebuie să înțeleagă pentru cine sunt destinate aplicațiile și copiloții, cu ce date interacționează aplicația și care sunt scopurile lor de business. Ei trebuie, de asemenea, să știe cine le dezvoltă. Deoarece adesea nu o fac și deoarece practicile standard de dezvoltare sunt ocolite, acest lucru creează o nouă formă de IT în umbră.

Acest lucru pune echipele de securitate într-o poziție dificilă, cu multe copiloți, aplicații, automatizări și rapoarte care sunt create în afara cunoștinței lor de către utilizatorii de business din diverse departamente. Raportul a constatat că toate categoriile de risc OWASP (Open Web Application Security Project) Top 10 sunt ubicue în întreprinderi. În medie, o întreprindere are 49.438 de vulnerabilități. Acest lucru se traduce prin faptul că 62% din copiloții și aplicațiile create prin dezvoltare cu cod redus conțin o vulnerabilitate de securitate de un anumit fel.

Înțelegerea Diferitelor Tipuri de Riscuri

Copiloții prezintă un potențial atât de semnificativ de amenințare, deoarece utilizează credențiale, au acces la date sensibile și posedă o curiozitate intrinsecă care îi face dificil de conținut. În fapt, 63% din copiloții creați cu platforme cu cod redus au fost partajați cu alții – și mulți dintre ei acceptă chat neautentificat. Acest lucru permite un risc substanțial pentru posibile atacuri de injecție de prompt.

Din cauza modului în care copiloții funcționează și modului în care funcționează inteligența artificială, în general, trebuie să se impună măsuri stricte de siguranță pentru a preveni partajarea interacțiunilor utilizatorului final cu copiloții, partajarea aplicațiilor cu prea multe sau cu persoanele greșite, acordarea accesului nejustificat la date sensibile prin intermediul inteligenței artificiale și așa mai departe. Dacă aceste măsuri nu sunt în vigoare, întreprinderile riscă expunerea crescută la scurgeri de date și injecții de prompturi maligne.

Alte două riscuri semnificative sunt:

Execuția Copilot la Distanță (RCE) – Aceste vulnerabilități reprezintă o cale de atac specifică aplicațiilor de inteligență artificială. Această versiune RCE permite unui atacator extern să preia controlul complet asupra Copilot pentru M365 și să-l forțeze să execute comenzile sale, pur și simplu prin trimiterea unui e-mail, a unei invitații la calendar sau a unui mesaj în Teams.

Conturi de oaspeți: Utilizând doar un cont de oaspete și o licență de probă pentru o platformă cu cod redus – de obicei disponibilă gratuit pe multiple instrumente – un atacator trebuie doar să se autentifice în platforma cu cod redus sau copilot a întreprinderii. Odată în interior, atacatorul trece la directorul țintă și are apoi privilegii de administrator de domeniu pe platformă. În consecință, atacatorii caută aceste conturi de oaspeți, care au condus la încălcări ale securității. Iată un punct de date care ar trebui să inspire teamă în rândul liderilor și echipelor de securitate ale întreprinderilor: O întreprindere tipică are peste 8.641 de instanțe de utilizatori neîncredere care au acces la aplicații dezvoltate prin cod redus și copiloți.

Este Nevoie de o Abordare de Securitate Nouă

Ce pot face echipele de securitate împotriva acestui risc ubicuu, amorfo și critic? Ei trebuie să se asigure că au pus în funcțiune controale care să-i alerteze cu privire la orice aplicație care are un pas nesigur în procesul de recuperare a credențialelor sau un secret hardcodat. Ei trebuie, de asemenea, să adauge context la orice aplicație care este creată pentru a se asigura că există controale de autentificare adecvate pentru orice aplicație critică pentru business care are, de asemenea, acces la date interne sensibile.

Când aceste tactici au fost implementate, următoarea prioritate este să se asigure că autentificarea adecvată este configurată pentru aplicațiile care necesită acces la date sensibile. După aceea, este o practică recomandată să se configureze credențialele astfel încât să poată fi recuperate în mod securizat dintr-un vault de credențiale sau secrete, ceea ce va garanta că parolele nu sunt stocate în text clar sau text simplu.

Securizarea Viitorului

 Geniul dezvoltării cu cod redus și a copiloților este ieșit din sticlă, deci nu este realist să încerci să-l pui înapoi. În schimb, întreprinderile trebuie să fie conștiente de riscuri și să pună în funcțiune controale care să păstreze datele lor securizate și gestionate corespunzător. Echipele de securitate au întâmpinat multe provocări în această nouă eră a dezvoltării conduse de business, dar prin respectarea recomandărilor menționate mai sus, ele vor fi în cea mai bună poziție posibilă pentru a aduce inovația și productivitatea pe care o oferă copiloții și platformele de dezvoltare cu cod redus ale întreprinderilor către un viitor îndrăzneț și nou.