Pascal Geenens, VP Cyber Threat Intelligence, Radware – Interviuri Seriale

Pascal Geenens, VP Cyber Threat Intelligence, Radware, este un cercetător în domeniul securității cibernetice și un lider în tehnologie, cu peste două decenii de experiență în tehnologia informației, securitatea rețelelor și inteligența amenințărilor. La Radware, el ajută la conducerea cercetării și a leadershipului companiei cu privire la evoluția peisajului amenințărilor cibernetice, cu un accent deosebit pe atacurile de tip distributed denial-of-service, malware-ul Internet of Things, amenințările automate și utilizarea tot mai frecventă a inteligenței artificiale de către atacatori și apărători. Geenens dezvoltă și întreține capcane pentru IoT în cadrul echipei de cercetare a securității Radware și a efectuat cercetări extinse cu privire la amenințări precum BrickerBot și Hajime. Înainte de a se alătura Radware, el a lucrat ca inginer de consultanță la Juniper Networks , sfătuind furnizori majore de servicii cloud și comunicații din Europa, Orientul Mijlociu și Africa cu privire la strategiile de rețea definite prin software, virtualizarea funcțiilor de rețea și automatizarea centrelor de date.

Radware este o companie de securitate cibernetică și livrare de aplicații cotată la bursă, care ajută întreprinderile să protejeze rețelele, site-urile web, aplicațiile și API-urile în medii fizice, cloud, hibride și definite prin software. Portofoliul său include protecție împotriva atacurilor de tip distributed denial-of-service bazate pe inteligență artificială, firewalls pentru aplicații web, managementul bot-urilor, securitatea API-urilor, controlorii de livrare a aplicațiilor și servicii de răspuns la urgențe gestionate. Prin combinarea analizei comportamentale, a învățării automatizate, a inteligenței amenințărilor la scară largă și a mitigării automate, tehnologia Radware este proiectată pentru a identifica activitatea malicioasă în timp real, păstrând în același timp accesul pentru utilizatorii legitimi și menținând disponibilitatea și performanța serviciilor digitale critice.

Ați petrecut aproape trei decenii în securitatea cibernetică, de la suportul kernelului IBM AIX și ingineria infrastructurii la descoperirea de botnet-uri precum BrickerBot, JenX și Demonbot, și acum conduceți Threat Intelligence la Radware. Privind înapoi, care sunt cele mai mari schimbări pe care le-ați observat în modul în care atacatorii inovează, și cum a schimbat inteligența artificială așteptările dvs. cu privire la aspectul următoarelor generații de amenințări cibernetice?

Peisajul amenințărilor a suferit o schimbare fundamentală de la hackeri solitari, care erau entuziaști tehnici, la criminali cibernetici, care sunt antreprenori sofisticați și organizați. În trecut, un hacker era de obicei motivat de provocarea tehnică în sine. Astăzi, combinarea accelerării digitale și a inteligenței artificiale generative a comercializat întreaga operațiune, alimentând o economie matură de Crime-as-a-Service (CaaS). Actorii malicioși au mirat în esență modelul corporate Software-as-a-Service (SaaS), vânzând unelte avansate oricui. Acest lucru permite novice complet să lanseze atacuri sofisticate la scară. Pe măsură ce amprenta noastră digitală se extinde în fiecare an, suprafața de atac și oportunitățile de exploatare financiară cresc odată cu aceasta.

Inteligența artificială conduce la următorul capitol al acestei evoluții în două moduri distincte.

În primul rând, ea democratizează criminalitatea cibernetică. Ea oferă atacatorilor amatori o capacitate imediată de a crește, în timp ce ajută sindicatele majore să-și optimizeze operațiunile, să-și polezeă interfețele de utilizator și să-și comercializeze serviciile malicioase mult mai eficient.

În al doilea rând, și mai critic, apariția inteligenței artificiale agențice, combinată cu cele mai recente modele de frontieră, automatizează ciclul de vulnerabilități. Ne îndreptăm către o realitate operațională în care mașinile pot să scaneze rețelele, să descopere vulnerabilități și să exploateze exploatări aproape în întregime de una singură, lucrând 24/7 și executând acțiuni cu ordine de magnitudine mai rapide decât orice apărător uman.

Inteligența artificială reduce dramatic bariera tehnică pentru atacatori. Care sunt cele mai îngrijorătoare capacități ofensive ale inteligenței artificiale pentru dvs. în următorii trei până la cinci ani, și care dintre ele primesc mai multă atenție decât ar trebui?

Domeniul care necesită cea mai mare atenție în acest moment este descoperirea și exploatarea vulnerabilităților asistate de inteligență artificială. În momentul în care o vulnerabilitate este dezvăluită, începe o cursă. Atacatorii utilizează inteligența artificială pentru a analiza instantaneu defectul, a cartografia unde se aplică și a genera și testa variații de exploatare. Acest lucru comprimă complet cronologia exploatării, care era deja în mișcare prea rapidă pentru majoritatea proceselor de gestionare a patch-urilor ale întreprinderilor.

În același timp, asistăm la o schimbare semnificativă către sisteme locale și continue de inteligență artificială. În special, apariția “agenților locali cu puls”. Un exemplu deosebit de relevant este OpenClaw și anunțul recent al Microsoft (MSFT ) de a integra OpenClaw în bara de instrumente a fiecărui angajat. În contrast cu asistenții standard bazati pe cloud, acești agenți locali rulează constant în fundal, direct pe mașina unui angajat. Ei operează prin bucle continue și imită acțiuni umane, cum ar fi tastarea și navigarea prin automatizarea browserului. Acest lucru face practic imposibil pentru sistemele standard de securitate a punctelor de lucru să distingă între angajat și agentul automatizat.

Pericolul este reprezentat de faptul că, pentru a fi cu adevărat eficient și a salva timpul angajatului, utilizatorul trebuie să transmită toate permisiunile de acces către agent. Acest lucru înseamnă că agentul moștenește efectiv identitatea și accesul angajatului la aplicații corporative, sesiuni de browser și fișiere locale. Chiar dacă o organizație monitorizează și limitează conectările agenților de inteligență artificială, acești agenți locali pot interacționa cu sistemele prin imitarea comportamentului uman, cum ar fi clicurile și tastarea prin automatizarea browserului. Sistemele de securitate corporativă devin complet incapabile să distingă între angajatul real și agentul automatizat.

Fereastra dintre divulgarea vulnerabilității și exploatarea activă continuă să se micșoreze. Cât de mult a accelerat inteligența artificială această cronologie, și ce schimbări ar trebui să facă echipele de securitate a întreprinderilor pentru a rămâne înainte?

Este o cursă în dublu sens: pe de o parte, avem cursa pentru a descoperi, a repara și a divulga vulnerabilități noi înainte ca atacatorii să o facă, iar pe de altă parte, cursa pentru a păta software-ul vulnerabil înainte ca atacatorii să lanseze o exploatare. Inteligența artificială este în centrul ambelor curse.

Apărătorii trebuie să gestioneze un număr tot mai mare de vulnerabilități și au tot mai puțin timp pentru a răspunde. Odată ce o vulnerabilitate este publică, atacatorii se mișcă rapid prin etapele de bază. Ce este afectat? Este accesibil de pe internet? Poate fi reproducerea exploatării și adaptată pentru a funcționa în medii diferite? Inteligența artificială ajută la fiecare dintre aceste etape, rezumând defectul, examinând codul de concept și sugerând ajustări, și automatizând scanarea, exploatarea și procesarea rezultatelor.

Păturarea nu poate fi singurul ceas pe care echipele de securitate îl urmăresc. Este necesar, dar de obicei este mai lentă decât cronologia atacatorului, în special pentru aplicații și API-uri de nivel de producție, cu acces la internet. Echipele trebuie să știe ce este expus, ce este exploatabil în practică și care servicii de afaceri și resurse vor fi afectate atunci când sunt atacate.

Pentru a închide această fereastră critică de expunere, apărătorii trebuie să treacă de la o mentalitate reactivă, care se concentrează pe pături, la un model automatizat, care se concentrează pe protecție, prin implementarea unor apărări în timp real, specifice mediului. În loc de a se baza pe semnături generice, care se potrivesc tuturor, sau de a forța echipele de operare să introducă actualizări de software nevalidate în producție, organizațiile ar trebui să înceapă să se bazeze pe descoperirea continuă, automatizată a punctelor de capăt ale API-urilor și logicii de afaceri online, alături de o listă de materiale software (SBOM) automatizată, combinată cu informații despre amenințări și vulnerabilități pentru a genera dinamic pături virtuale personalizate. Implementarea acestor protecții conștiente de context la nivelul aplicațiilor web și al punctelor de capăt ale API-urilor blochează încercările de exploatare la nivelul stratului de rulare, înainte ca acestea să poată ajunge la logica de afaceri vulnerabilă a aplicației. Acest tip de interceptare automată oferă echipelor de securitate o fereastră de remediere, permițându-le să testeze și să introducă actualizări de software într-un mod controlat, fără a expune afacerea la risc imediat sau întrerupere.

Organizațiile sunt în curs de a implementa aplicații și agenți de inteligență artificială care se bazează puternic pe API-uri. Subestimează acestea riscurile de securitate pe care le creează, și care sunt cele mai mari greșeli pe care le observați în prezent?

Da, multe organizații subestimează încă riscurile, deoarece le tratează pe agenții de inteligență artificială ca pe aplicații de securitate și pe securitatea inteligenței artificiale ca pe o problemă de confidențialitate a datelor, mai degrabă decât ca pe o amenințare operațională. Problema pe care o vedem cel mai mult în acest moment este o înțelegere fundamentală greșită a agenției agenților. Pentru ca un agent local de inteligență artificială să fie cu adevărat eficient și să salveze timpul angajatului, utilizatorul trebuie să transmită toate permisiunile de acces către agent. Acest lucru înseamnă că agentul moștenește efectiv identitatea și accesul angajatului la aplicații corporative, sesiuni de browser și fișiere locale. Chiar dacă o organizație monitorizează și limitează conectările agenților de inteligență artificială, acești agenți locali pot interacționa cu sistemele prin imitarea comportamentului uman, cum ar fi clicurile și tastarea prin automatizarea browserului. Sistemele de securitate corporativă devin complet incapabile să distingă între angajatul real și agentul automatizat.

Ați petrecut ani cercetând malware-ul IoT și botnet-urile. Cum credeți că inteligența artificială va transforma următoarea generație de botnet-uri? Putem ajunge într-un moment în care vom vedea botnet-uri autonome, capabile să-și adapteze tactica fără intervenție umană directă?

Stăpânii de botnet-uri nu au stat niciodată pe loc. Operatorii rotesc încărcăturile, implementează noi vulnerabilități, scanează în mod constant dispozitive învechite și schimbă infrastructura de comandă atunci când apărătorii se adaptează. Agenții de inteligență artificială pot accelera serios aceste cicluri, fie că este vorba de triajul vulnerabilităților, generarea de exploatare sau gestionarea infrastructurii.

Botnet-urile autonome nu sunt ficțiune. Brickerbot a fost unul dintre primele botnet-uri autonome. El sta în așteptare și aștepta dispozitive infectate cu Mirai să încerce să compromită dispozitivul său și apoi riposta prin contraatacarea dispozitivului ofensator, folosind amprentarea dispozitivului și selectând cele mai potrivite vulnerabilități pentru a obține un punct de sprijin pe dispozitiv. În final, Brickerbot a distrus dispozitivul infectat. Botnet-ul a funcționat ca un sistem expert bazat pe reguli, similar cu sistemele de inteligență artificială timpurii. Un alt botnet relevant care a făcut o impresie puternică asupra comunității de securitate cu mai bine de un deceniu în urmă a fost Hajime. A fost unul dintre primele botnet-uri peer-to-peer. Prin utilizarea tabelelor de dispersie distribuite ale Torrent, Hajime putea fi controlat și actualizat în mod descentralizat, fără a necesita o infrastructură de comandă centralizată și, prin urmare, aproape imposibil de oprit.

Există discuții în comunitatea de securitate despre posibilitatea unui botnet agențic construit pe framework-urile de agenți locali de inteligență artificială precum OpenClaw. Acestea nu sunt botnet-urile tradiționale de malware bazate pe cod, ci botnet-uri conduse în întregime de manipularea contextului. Atunci când agenții locali procesează date externe, atacatorii nu au nevoie să găsească o exploatare tradițională de software pentru a prelua controlul asupra acestor mașini; ei au nevoie doar să păcălească modelul de inteligență artificială subiacent. Prin aceasta, atacatorii obțin acces la execuția terminalului, automatizarea browserului și, posibil, la o serie de alte “abilități”.

Comunitatea discută în special despre câteva elemente cheie care fac un botnet OpenClaw pe scară largă viabil:

• Deoarece OpenClaw ingerează în mod constant date externe (cum ar fi monitorizarea problemelor de pe GitHub, citirea mesajelor Slack/Telegram care sosesc sau rezumarea paginilor web), atacatorii pot încorpora instrucțiuni malicioase în datele publice. Dacă un agent local al unui utilizator procesează aceste date, injecția de prompt poate suprascrie instrucțiunile sistemului și comanda agentului să se conecteze la un server de comandă și control (C2) controlat de atacator.
• Cercetătorii în domeniul securității au remarcat că agenții OpenClaw au capacitatea de a utiliza canale de comunicare peer-to-peer sau agenților criptate (cum ar fi abilitățile construite de comunitate, cum ar fi ClaudeConnect). Criminalii informatici realizează că pot exploata aceste canale de comunicare pentru a permite agenților preluați să coordoneze unii cu alții în mod silențios, ocolind complet firewalls de rețea și monitorizarea punctelor de lucru tradiționale.
• Scannările de securitate au arătat că mii de utilizatori naivi rulează instanțe OpenClaw pe servere cloud și expun în mod accidental interfețele de management HTTP direct pe internet. Acest imens grup de medii cu privilegii înalte și expuse oferă actorilor malicioși o amprentă uriașă pentru a ataca.
• Deoarece OpenClaw se bazează puternic pe “abilități” descărcate din depozite publice, cum ar fi ClawHub, atacatorii încarcă abilități aparent inofensive (cum ar fi “Ce ar face Elon”) care conțin instrucțiuni ascunse. Odată instalate, agentul este ordonat în mod silențios să execute comenzi shell în fundal sau să descarce malware, recrutând efectiv mașina gazdă într-un botnet fără ca utilizatorul să observe vreodată un alertă de fișier suspect.

În cele din urmă, consensul în comunitate este că OpenClaw este o țintă principală pentru primul botnet agențic adevărat. În loc de un botnet format din routere compromise sau dispozitive IoT care rulează scripturi DDoS, un botnet OpenClaw ar consta din mașini cu capacități ridicate și autentificate deplin, pe care atacatorii le pot comanda să fure credențiale, să altereze date sau să orchestreze atacuri massive de lanț de aprovizionare la viteza mașinii.

În ceea ce privește boturile automate care se adaptează și se mișcă autonom, fără intervenție umană directă, utilizând o inteligență artificială centrală ca creier, nu este ficțiune, dar nu este nici ceva pe care stăpânii de botnet-uri experimentați l-ar favoriza. Botnet-urile sunt active. Automatizarea care se comportă defectuos poate expune infrastructura, atrage atenția prea devreme, expune operatorul sau arde excesiv token-urile. Atacatorii vor utiliza automatizarea acolo unde le ajută să se miște mai repede, dar sunt puțin probabil să renunțe la controlul deciziilor care ar putea arde accesul, expune infrastructura sau afecta profiturile.

Eu nu aș ignora sau elimina complet riscul, însă. Pe măsură ce ne îndreptăm către inteligența artificială de margine și dispozitive inteligente noi, echipate cu modele de limbaj mic locale (SLM), pot vedea actori malicioși oportuniști care vizează roadele ușoare și încorporează funcționalitatea bot-ului asistat de prompt în botnet-urile lor. Cel puțin nu vor trebui să plătească pentru utilizarea excesivă a token-urilor atunci când un SLM local începe să ruleze pe o promptă prea sofisticată sau pe un context care a crescut prea mult.

Campaniile hacktivist și atacurile DDoS la scară largă au devenit din ce în ce mai frecvente. Sunt aceste grupuri devenind mai sofisticate, sau inteligența artificială și uneltele de atac ușor disponibile fac atacurile avansate accesibile unui public mult mai larg?

Ambele. Unele grupuri de hacktiviști au devenit cu adevărat mai organizați. Unele grupuri, cum ar fi iconicul NoName057(16), au efectuat atacuri DDoS în mod regulat de la începutul anului 2022. Au avut timp să-și îmbunătățească uneltele, să construiască o bază de susținători loiali și să învețe cum să aleagă ținte care atrag atenția, cum să-și programeze atacurile în jurul evenimentelor politice și cum să utilizeze revendicări publice pentru a construi presiune. Pentru hacktiviști, mesajul contează mai mult decât perturbarea în sine.

În același timp, uneltele au devenit mai ușor de obținut decât erau înainte. Serviciile DDoS la comandă, botnet-urile, rețelele de proxy, script-urile leakate și tutorialele au permis oricui cu abilități limitate să se alăture unei campanii și să se simtă parte a ceva mai mare. Inteligența artificială adaugă asistență la codare, cercetare de țintă, traducere, mesaje de campanie și automatizare de bază în plus.

Țintele simt impactul, fie că atacul vine de la un grup sofisticat, condus de ideologie, sau de la un lup singur, angajat de un concurent care închiriază infrastructura de atac DDoS. Un site web închis afectează clienții. Un serviciu public indisponibil este remarcat de cetățeni. Suficient zgomot, și executivii și echipele de comunicare trebuie să răspundă, indiferent de cine se află în spatele tastaturii.

Pe măsură ce întreprinderile se grăbesc să integreze inteligența artificială generativă în operațiunile lor, care sunt noile suprafețe de atac care apar și pe care liderii de securitate nu le pot aprecia pe deplin încă?

Răspunsul este definit de ceea ce poate accesa agentul de inteligență artificială. Odată ce are acces la documente interne, cod, pipe-line de integrare continuă/deploy continuu (CI/CD), chei API sau unelte DevOps, suprafața de atac se extinde rapid. Pentru a fi util, un agent are nevoie de agenție, altfel nu este mai mult decât un chatbot glorificat. Întrebarea devine atunci ce poate face agentul. Ce informații confidențiale poate citi? Poate schimba un bilet sau contul bancar al unui client în CRM? Poate rula cod? Poate apela un serviciu extern? Poate expune date prin apelarea uneltelor?

Injecția indirectă de prompt devine mai gravă într-un astfel de mediu. Dacă un agent procesează conținut neîncredere și apoi acționează, promptul poate deveni o cale către fluxul de lucru. Acest lucru este diferit de un chatbot care răspunde la o întrebare.

Inteligența artificială este utilizată atât de atacatori, cât și de apărători. Credeți că inteligența artificială defensivă va ține pasul cu inteligența artificială ofensivă, sau organizațiile vor fi confruntate cu o luptă asimetrică din ce în ce mai mare în următorii ani?

Inteligența artificială creează un dezechilibru care favorizează atacatorul. Acest lucru nu se datorează faptului că modelele de inteligență artificială defensivă sunt inferioare. De fapt, utilizarea inteligenței artificiale în apărare este foarte eficientă la filtrarea zgomotului zilnic și la accelerarea răspunsului la incidente. Problema, însă, este o lacună structurală în viteza operațională și constrângerile acestora.

În mod istoric, atunci când o vulnerabilitate a fost descoperită, echipele de securitate aveau o fereastră mică de timp pentru a implementa un patch înainte ca atacatorii să o exploateze. Astăzi, inteligența artificială agențică a comprimat această fereastră la aproape zero. Uneltele automate pot găsi o vulnerabilitate și instantaneu genera o exploatare țintită. Un proces tradițional de gestionare a patch-urilor condus de oameni nu poate concura cu un pipeline de atac automatizat care rulează bucle de atac continue.

În plus, cele două părți operează sub reguli complet diferite. Atacatorii nu se confruntă cu nicio constrângere cu privire la conformitate, etică sau întreruperea operațională. Ei pot implementa agenți de inteligență artificială personalizați pentru a lansa campanii la scară largă, nelimitate. Apărătorii, pe de altă parte, trebuie să opereze în mod determinist. O inteligență artificială defensivă nu poate izola în mod automat o bază de date de producție centrală sau revoca credențialele unui executiv doar pe baza unei anomalii cu probabilitate ridicată. Apărătorii necesită verificare pentru a proteja continuitatea afacerii, iar întârzierea introdusă de aceste garduri necesare este exact ceea ce atacurile automate exploatează.

În cele din urmă, conducerea în securitate nu va fi definită de cine posedă “inteligența artificială mai deșteaptă”, ci de cine rezolvă această lacună arhitecturală de viteză. Organizațiile care tratează inteligența artificială doar ca o unealtă de securitate standard vor fi copleșite de viteza amenințărilor moderne. Succesul necesită redesenarea infrastructurii pentru a permite inteligenței artificiale defensive să izoleze și să conțină amenințările în mod autonom.

Majoritatea echipelor de securitate continuă să se bazeze pe metrice și metode de detectare tradiționale. Pe măsură ce atacurile devin mai rapide și mai automate, care sunt indicatorii sau comportamentele pe care organizațiile ar trebui să le prioritizeze în schimb?

Majoritatea metricelor de securitate se concentrează încă foarte mult asupra activității: alerte declanșate, atacuri blocate sau vulnerabilități găsite. Deși aceste numere sunt utile pentru măsurarea răspunsului la incidente, ele nu oferă perspective asupra expunerii reale a organizației. Ele spun apărătorilor ce au prins, dar nu arată punctele oarbe care rămân deschise până când un atacator le exploatează.

În era atacurilor automate, a te baza pe metrice reactive nu mai este viabil. Odată ce o organizație este vizată, viteza atacului necesită gestionare proactivă. Gestionarea în timp real a suprafeței de atac este acum imperativă. Apărătorii necesită vizibilitate continuă asupra riscurilor operaționale specifice: Care aplicații și API-uri critice sunt expuse la internet? Care vulnerabilități există în ele?

Adevărata reziliență vine din conectarea acestui context al suprafeței de atac cu analiza comportamentală și informațiile despre amenințări. Prin înțelegerea exactă a ceea ce este expus și a modului în care se comportă, echipele de securitate pot anticipa și bloca atacuri necunoscute.

În cele din urmă, viteza operațională rămâne un indicator critic de succes, dar apărătorii trebuie să măsoare fereastra de timp corectă: Cât de repede putem identifica că o nouă vulnerabilitate afectează un sistem expus și cât de repede putem pune un control compensatoriu pentru a-l proteja? Această viteză specifică este cea mai adevărată măsură a capacității unui program de securitate de a rezista atacurilor la scară mare și cu viteză ridicată.

Privind înainte cinci ani, ce credeți că va fi provocarea de securitate cibernetică definitorie a erei inteligenței artificiale, și ce ar trebui să facă directorii de securitate și echipele de securitate pentru a se pregăti pentru aceasta, începând de astăzi?

Privind înainte cinci ani, provocarea de securitate cibernetică definitorie a erei inteligenței artificiale va fi guvernarea și securizarea relațiilor autonome non-umane. Pe măsură ce organizațiile se îndepărtează de chatbot-urile independente și se îndreaptă către sisteme multi-agente interconectate care posedă agenția de a executa tranzacții financiare, de a modifica codul sursă și de a altera infrastructura cloud, granițele tradiționale de securitate se vor prăbuși. În cinci ani, o întreprindere nu va mai gestiona doar angajați umani și software static; va supraveghea mii de agenți de inteligență artificială autonome care interacționează unii cu alții, cu date corporative și cu sisteme terțe externe.

Vizibilitatea în sistemele agențice de-a lungul organizației va fi imperativă. Înainte ca agenții să se prolifereze, directorii de securitate ar trebui să stabilească un registru centralizat care definește proprietatea clară pentru fiecare agent implementat, modelele de date și depozitele pe care agentul este autorizat să le citească și uneltele, API-urile și comenzile de sistem pe care este permis să le apeleze. Directorii de securitate ar trebui, de asemenea, să impună ca orice implementare a tehnologiei agențice să utilizeze protocoale de conectivitate standardizate și verificabile pentru a asigura că toate integrările uneltelor sunt strict înregistrate.

În cinci ani, apărarea API-urilor și a aplicațiilor online nu va mai fi despre gestionarea configurațiilor, blocarea semnăturilor cunoscute și păturile vulnerabilităților; va fi un război automatizat de logică împotriva logicii. Pe măsură ce atacatorii implementează pipeline-uri agențice pe deplin automate și conștiente de context care pot inversa logica de afaceri a unei aplicații în câteva secunde de la descoperire, firewalls-urile tradiționale pentru aplicații web (WAF) vor deveni învechite. Apărarea acestui peisaj va necesita o schimbare către arhitecturi autonome și conduse de context.

Atacatorii vor utiliza modelele de frontieră pentru a automatiza complet ciclul de descoperire și exploatare a defectelor de logică API (cum ar fi autorizarea obiectului rupt, BOLA). În loc de a căuta defecte de software cunoscute, bot-urile de atac automate vor cartografia schema API-ului unei aplicații, vor înțelege cum curge datele și vor genera dinamic secvențe de payload-uri personalizate și foarte specializate pentru a manipula logica de afaceri. Deoarece aceste atacuri utilizează sintaxă valabilă și apeluri API legitime, pragurile de rată și detectarea bazată pe semnături standard vor fi complet oarbe la ele.

Pentru a contracara descoperirea automată, apărătorii trebuie să obțină vizibilitate în timp real și continuă asupra arhitecturii lor expuse. Echipele de securitate nu se pot baza pe documentație statică sau cataloage de API învechite. Inteligența artificială defensivă trebuie să scaneze și să cartografieze în mod continuu fiecare punct de capăt al API-ului activ, relația de microservicii și fluxul de lucru al aplicației online, în medii cloud hibride. Această vizibilitate automatizată trebuie să fie asociată cu o listă de materiale software (SBOM) dinamică pentru a conecta instantaneu o nouă divulgare globală de vulnerabilitate la liniile de cod interne expuse la internet.

Deoarece atacurile automate se vor amesteca cu traficul legitim de utilizator, apărarea trebuie să se schimbe în întregime către analiza comportamentală contextuală. Inteligența artificială defensivă va crea profilul standard de comportament pentru fiecare client API, token și identitate de utilizator. Va monitoriza intenția și secvența apelurilor API, mai degrabă decât doar intrările. Dacă un script de atac automat începe să coasă apeluri API legitime într-o secvență anormală pentru a extrage date sau a testa o defecțiune de logică, sistemul trebuie să recunoască deviația structurală în intenție și să intervină instantaneu.

Cea mai adevărată măsură a rezilienței va fi cât de repede o organizație poate comprima fereastra dintre expunerea unei vulnerabilități și remedierea acesteia. Așteptarea ca echipele de dezvoltare să scrie, să testeze și să introducă actualizări de cod în producție va fi o strategie fatală. Protecția reală va depinde de pături virtuale automate și conștiente de context la nivelul stratului de rulare. Prin alimentarea inteligenței artificiale defensivă de la margine cu informații despre amenințări și descoperirea API-urilor direct în flux, infrastructura va genera și va implementa automat pături virtuale personalizate pentru a intercepta și a bloca încercările de exploatare înainte ca acestea să poată ajunge la logica de afaceri vulnerabilă a aplicației.

Mulțumim pentru acest interviu excelent. Citiitorii care doresc să afle mai multe despre Radware pot vizita Radware.