การขจัด “ความสับสนของสิ่งมากกว่า” ในด้านความปลอดภัยทางไซเบอร์

ที่การประชุม RSA ในซานฟรานซิสโกในเดือนนี้ มีการแสดงโซลูชันใหม่ๆ มากมายจากอุตสาหกรรมความปลอดภัยทางไซเบอร์ บูธหลังบูธอ้างว่าเป็นเครื่องมือที่จะช่วยให้องค์กรของคุณปลอดภัยจากผู้กระทำผิดที่ขโมยสิ่งของของคุณหรือข่มขู่คุณเพื่อเงินหลายล้านเหรียญ

หลังจากพิจารณาอย่างรอบคอบแล้ว ฉันได้สรุปว่าอุตสาหกรรมของเราสูญเสียไปแล้ว สูญเสียในซุปของการตรวจจับและตอบสนองด้วยคำพูดที่ไม่มีที่สิ้นสุด โดยอ้างว่าปัญหาของคุณจะหายไปถ้าคุณเพิ่มอีกชั้นหนึ่ง อ้อมกับเทคโนโลยีการลงทุน บุคลากร เครื่องมือ และโครงสร้างพื้นฐานชั้น องค์กรได้สร้างเขาวงกตที่พวกเขาไม่สามารถมองเห็นป่าได้เมื่อพูดถึงการระบุและป้องกันผู้กระทำผิดเหล่านั้น เครื่องมือเหล่านี้ที่ตั้งใจจะปกป้องทรัพย์สินดิจิทัล กลับทำให้ทีมความปลอดภัยและทีมพัฒนารู้สึกหงุดหงิดด้วยการเพิ่มภาระงานและเครื่องมือที่ไม่เข้ากัน “ความสับสนของสิ่งมากกว่า” ไม่ได้ผล แต่ถ้าเป็นไปตามความจริงแล้ว มันไม่เคยได้ผลเลย

การโจมตีทางไซเบอร์เริ่มต้นและสิ้นสุดในโค้ด มันง่ายมาก คุณมีข้อบกพร่องด้านความปลอดภัยหรือช่องโหว่ในโค้ด หรือโค้ดถูกเขียนโดยไม่คำนึงถึงความปลอดภัย ไม่ว่าจะด้วยวิธีใด การโจมตีหรือหัวข้อที่คุณอ่าน ล้วนมาจากโค้ด และนักพัฒนาซอฟต์แวร์เป็นคนที่ต้องเผชิญกับปัญหาโดยตรง แต่นักพัฒนาอาจไม่ได้รับการฝึกอบรมด้านความปลอดภัย และอาจไม่เคยได้รับการฝึกอบรมเลย ดังนั้นพวกเขาจึงใช้เครื่องมือค้นหาคode ที่ใช้การค้นหาแบบง่ายๆ และกลัวสิ่งที่คุณถามเพราะพวกเขาจะได้รับแจ้งเตือนมากมาย และต้องตามหาสิ่งที่ไม่มีอยู่จริงส่วนใหญ่ของวัน ในความเป็นจริง นักพัฒนากำลัง ใช้เวลาเกือบหนึ่งในสามของเวลาของตน ในการตามหาช่องโหว่และข้อบกพร่องที่ไม่มีอยู่จริง โดยการมุ่งเน้นไปที่การป้องกัน องค์กรสามารถเริ่มสร้างโปรแกรมความปลอดภัยที่มั่นคงและวางรากฐานสำหรับวัฒนธรรมที่มีความปลอดภัยเป็นศูนย์กลาง

การค้นหาและแก้ไขที่ระดับโค้ด

มักจะพูดว่าการป้องกันคือสิ่งที่ดีกว่าการรักษา และคำพูดนี้ใช้ได้จริงในด้านความปลอดภัยทางไซเบอร์ ดังนั้น แม้จะมีข้อจำกัดทางเศรษฐกิจที่เข้มงวด องค์กรก็ยังคงลงทุนและเพิ่มเครื่องมือความปลอดภัยต่อไป โดยสร้างหลายชั้นเพื่อลดความเสี่ยงของการโจมตีทางไซเบอร์ที่ประสบความสำเร็จ แต่แม้จะเพิ่มชั้นความปลอดภัยมากขึ้น การโจมตีแบบเดียวกันก็ยังคงเกิดขึ้น มันถึงเวลาที่องค์กรจะต้องมีมุมมองที่สดใหม่ โดยมุ่งเน้นไปที่ปัญหา ณ ระดับราก โดยการค้นหาและแก้ไขช่องโหว่ในโค้ด

แอปพลิเคชัน经常เป็นจุดเข้าถึงหลักสำหรับผู้กระทำผิดที่พยายามใช้ประโยชน์จากช่องโหว่และเข้าถึงข้อมูลที่ละเอียดอ่อน ในปลายปี 2020 การละเมิด SolarWinds ถูกเปิดเผย และนักวิจัยพบว่ามีการสร้างกระบวนการที่ถูกบุกรุก ซึ่งทำให้ผู้โจมตีสามารถ.inject โค้ดที่เป็นอันตรายเข้าไปในซอฟต์แวร์ตรวจสอบเครือข่าย Orion การโจมตีนี้เน้นย้ำถึงความจำเป็นในการรักษาความปลอดภัยทุกขั้นตอนของกระบวนการสร้างซอฟต์แวร์ โดยการนำการรักษาความปลอดภัยของแอปพลิเคชันหรือ AppSec มาใช้ องค์กรสามารถลดความเสี่ยงของการละเมิดความปลอดภัยได้ เพื่อที่จะทำเช่นนี้ องค์กรต้องมีมุมมองที่ “shift left” โดยนำวิธีการป้องกันและคาดการณ์มาใช้ในขั้นตอน พัฒนา

ในขณะที่สิ่งนี้ไม่ใช่ความคิดที่ใหม่เลย มันก็มีข้อเสียที่สำคัญเช่นกัน ข้อเสียที่สำคัญคือการเพิ่มเวลาและต้นทุนในการพัฒนา การนำการรักษาความปลอดภัยของแอปพลิเคชันมาใช้อย่างครอบคลุมอาจต้องใช้ทรัพยากรและความเชี่ยวชาญที่สำคัญ ซึ่งนำไปสู่การเพิ่มเวลาในการพัฒนาและต้นทุนสูงขึ้น นอกจากนี้ ไม่ใช่ทุกช่องโหว่ที่มีความเสี่ยงสูงต่อองค์กร ความเป็นไปได้ที่จะเกิดการแจ้งเตือนเท็จจากเครื่องมือตรวจจับก็ทำให้นักพัฒนารู้สึกหงุดหงิดเช่นกัน สิ่งนี้สร้างช่องว่างระหว่างทีมธุรกิจ ทีมวิศวกรรม และทีมความปลอดภัย ซึ่งมีเป้าหมายที่ไม่สอดคล้องกัน แต่ AI ที่สร้างขึ้นใหม่อาจเป็นคำตอบที่จะปิดช่องว่างนี้ได้ดี

เข้าสู่ยุค AI

โดยการใช้ AI ที่สร้างขึ้นใหม่ในด้าน AppSec เราจะเรียนรู้จากอดีตเพื่อคาดการณ์และป้องกันการโจมตีในอนาคต ตัวอย่างเช่น คุณสามารถฝึก Large Language Model หรือ LLM ที่มีช่องโหว่ที่ทราบทั้งหมดในโค้ดทุกแบบ เพื่อเรียนรู้คุณลักษณะที่สำคัญของพวกมัน ช่องโหว่เหล่านี้อาจรวมถึงปัญหาทั่วไป เช่น การเกินขอบเขตของบัฟเฟอร์ การโจมตีด้วยการ.inject โค้ดที่เป็นอันตราย หรือการตรวจสอบข้อมูลเข้าที่ไม่เหมาะสม โมเดลจะเรียนรู้ความแตกต่างที่ละเอียดอ่อนระหว่างภาษา เฟรมเวิร์ก และไลบรารี เช่นเดียวกับการแก้ไขโค้ดที่สำเร็จ โมเดลสามารถใช้ความรู้นี้เพื่อตรวจสอบโค้ดขององค์กรและค้นหาช่องโหว่ที่ยังไม่ได้รับการระบุ โดยใช้ข้อมูลบริบทยรอบโค้ด เครื่องมือตรวจสอบสามารถตรวจจับภัยคุกคามที่แท้จริงได้ดีขึ้น ซึ่งหมายถึงการตรวจสอบที่รวดเร็วและใช้เวลาในการตามหาช่องโหว่เท็จและเพิ่มผลผลิตของทีมพัฒนา

เครื่องมือ AI ที่สร้างขึ้นใหม่ยังสามารถให้คำแนะนำในการแก้ไขโค้ดอัตโนมัติ โดยลดเวลาและความพยายามที่จำเป็นในการแก้ไขช่องโหว่ในโค้ดเบส โดยการฝึกโมเดลบนรีพอซิทอรี่โค้ดเบสที่ปลอดภัยและปฏิบัติตามมาตรฐานที่ดีที่สุด นักพัฒนาสามารถใช้โค้ดที่สร้างโดย AI ที่ปฏิบัติตามมาตรฐานความปลอดภัยและหลีกเลี่ยงช่องโหว่ทั่วไป วิธีการเชิงรุกนี้ไม่เพียงแต่ลดความเสี่ยงของการนำช่องโหว่เข้ามา แต่ยังเร่งกระบวนการพัฒนาโดยให้โค้ดส่วนประกอบที่ทดสอบและตรวจสอบแล้ว

เครื่องมือเหล่านี้ยังสามารถปรับให้เข้ากับภาษาโปรแกรมมิ่งและรูปแบบการเขียนโค้ดที่แตกต่างกัน ทำให้พวกมันเป็นเครื่องมือที่มีประโยชน์สำหรับความปลอดภัยของโค้ดในหลายๆ สภาพแวดล้อม พวกมันสามารถปรับปรุงได้เมื่อฝึกอบรมบนข้อมูลใหม่และรับฟีดแบ็ก ซึ่งนำไปสู่การสร้างแพตช์ที่มีประสิทธิภาพและเชื่อถือได้มากขึ้น

องค์ประกอบของมนุษย์

เป็นสิ่งสำคัญที่ต้องทราบว่าในขณะที่การแก้ไขโค้ดสามารถทำอัตโนมัติได้ การกำกับดูแลและตรวจสอบของมนุษย์ยังคงจำเป็นต่อการรับรองคุณภาพและความถูกต้องของแพตช์ที่สร้างขึ้น ในขณะที่เครื่องมือและอัลกอริทึมที่ซับซ้อนมีบทบาทสำคัญในการระบุและบรรเทาช่องโหว่ด้านความปลอดภัย ความเชี่ยวชาญ ความสร้างสรรค์ และ直觉ของมนุษย์ยังคงจำเป็นต่อการรักษาความปลอดภัยของแอปพลิเคชันอย่างมีประสิทธิภาพ

นักพัฒนาคือผู้ที่รับผิดชอบในการเขียนโค้ดที่ปลอดภัย ความเข้าใจเกี่ยวกับแนวปฏิบัติด้านความปลอดภัย มาตรฐานการเขียนโค้ด และช่องโหว่ที่อาจเกิดขึ้นเป็นสิ่งสำคัญในการรับรองว่าแอปพลิเคชันถูกสร้างขึ้นด้วยความปลอดภัยตั้งแต่เริ่มต้น โดยการรวมการฝึกอบรมและโปรแกรมการรับรู้ด้านความปลอดภัยเข้ากับกระบวนการพัฒนา องค์กรสามารถเพิ่มขีดความสามารถให้กับนักพัฒนาที่จะระบุและแก้ไขปัญหาด้านความปลอดภัยได้อย่างแข็งขัน ลดความเสี่ยงของการนำช่องโหว่เข้ามาในโค้ดเบส

นอกจากนี้ การสื่อสารและการทำงานร่วมกันที่มีประสิทธิภาพระหว่างผู้มีส่วนได้ส่วนเสียต่างๆ ภายในองค์กรเป็นสิ่งสำคัญสำหรับความสำเร็จของ AppSec ในขณะที่โซลูชัน AI สามารถช่วย “ปิดช่องว่าง” ระหว่างการพัฒนาและการดำเนินการด้านความปลอดภัย มันจำเป็นต้องมีวัฒนธรรมของการทำงานร่วมกันและความรับผิดชอบร่วมกันในการสร้างแอปพลิเคชันที่มีความปลอดภัยและทนทานมากขึ้น

ในโลกที่ภัยคุกคามด้านความปลอดภัยเปลี่ยนแปลงอย่างรวดเร็ว มันง่ายที่จะรู้สึกสับสนจากจำนวนเครื่องมือและเทคโนโลยีที่มีอยู่ในพื้นที่ความปลอดภัยทางไซเบอร์ แต่โดยการมุ่งเน้นไปที่การป้องกันและการค้นหาช่องโหว่ในโค้ด องค์กรสามารถตัด “ไขมัน” ของสแต็คความปลอดภัยที่มีอยู่ได้ โดยการประหยัดเวลาและเงินในกระบวนการนี้ ในระดับราก องค์กรเหล่านี้จะสามารถค้นหาช่องโหว่ที่ทราบและแก้ไขช่องโหว่ zero-day และช่องโหว่ pre-zero-day ก่อนที่จะเกิดขึ้นได้ เราอาจจะสามารถตามทันหรือแม้กระทั่งนำหน้าผู้กระทำผิดที่เปลี่ยนแปลงอยู่ได้