นิร วัลต์แมน ซีอีโอ และผู้ก่อตั้ง Arnica – ซีรีส์สัมภาษณ์

นิร วัลต์แมน เป็นซีอีโอ และผู้ก่อตั้ง Arnica, แพลตฟอร์มที่ช่วยให้ธุรกิจสามารถป้องกันความเสี่ยงของห่วงโซ่อุปทานซอฟต์แวร์ ได้เชิงรุก โดยทำให้การดำเนินงานประจำวันเป็นอัตโนมัติด้านความปลอดภัยและเพิ่มความสามารถให้กับนักพัฒนาในการดูแลความปลอดภัยโดยไม่ต้องเสี่ยงหรือสูญเสียความเร็ว

คุณถูกดึงดูดให้เข้าสู่ด้านความปลอดภัยทางไซเบอร์อย่างไร?

ผมเติบโตขึ้นมาโดยมีแนวคิดการแฮ็ก ผมเริ่มต้นด้วยการทำลายห้องแล็บคอมพิวเตอร์ในคอร์สการเขียนโปรแกรมแรกของผม และแฮ็กเข้าไปในคอมพิวเตอร์อื่น ๆ โดยใช้ทักษะการเขียนโปรแกรมที่น้อยมาก ทั้งหมดนี้เกิดขึ้นเมื่อผมอายุ 13 ปี เมื่อผมเข้ารับราชการทหารในอิสราเอล ผมได้รับการศึกษาในด้านการป้องกันความปลอดภัย ซึ่งนำไปสู่อาชีพการงานของผมในด้านความปลอดภัยทางไซเบอร์

คุณสามารถแบ่งปันเรื่องราวเกี่ยวกับ Arnica ได้หรือไม่?

ก่อนที่จะมาเป็น Arnica ผมทำงานที่ Finastra ซึ่งเป็นบริษัท FinTech ที่ใหญ่เป็นอันดับสามของโลกในฐานะ VP ของ Security เมื่อฝุ่นจากการโจมตี Solarwinds เคลียร์ไปแล้ว CEO ของเราขอให้ผมบอกวิธีที่เราสามารถลดความเสี่ยงของการถูกโจมตี supply chain ได้อย่างไร เราทำการประเมินบริษัทที่สร้างโซลูชันในพื้นที่นี้ และทำ proof of concept กับบางส่วน แต่ไม่มีบริษัทใดที่เหมาะสมกับสิ่งที่เรากำลังมองหา: การป้องกันความเสี่ยงอย่างครอบคลุม การลดความเสี่ยงเชิงรุก และประสบการณ์ที่ดีสำหรับนักพัฒนา ประเด็นประสบการณ์นักพัฒนาสำคัญมาก เพราะโซลูชันใดที่ผมบังคับให้ใช้แล้วรบกวนขั้นตอนการทำงานย่อมถูกปฏิเสธ และเราต้องกลับไปเริ่มใหม่

เมื่อไม่พบโซลูชัน ผมจึงศึกษาการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ทุกกรณีในห้าปีก่อนหน้า เพื่อเข้าใจสัญญาณสำคัญและวิธีป้องกัน ขณะเดียวกันผมคุยกับเพื่อนสองคน Eran Medan (CTO) และ Diko Dahan (COO) ซึ่งมีประสบการณ์นำทีมพัฒนาและปฏิบัติการอย่างกว้างขวาง ทั้งสองพบปัญหาเดียวกันในการหาโซลูชัน โดย Diko มองจากงานปฏิบัติการเทคโนโลยี และ Eran จากงานพัฒนา เมื่อทุกคนยังไม่พบคำตอบ เราจึงตั้งสมมติฐานว่าโซลูชันควรเป็นอย่างไร แล้วพูดคุยตรวจสอบกับผู้นำฝ่ายความปลอดภัย ปฏิบัติการ และวิศวกรรมหลายสิบครั้ง ซึ่งยืนยันทั้งปัญหาและสมมติฐานโซลูชันที่จำเป็น อีกไม่กี่เดือนต่อมาในเดือนสิงหาคม 2021 เราร่วมกันก่อตั้ง Arnica

Arnica ให้ความปลอดภัยอิงพฤติกรรมแบบต้นทางถึงปลายทาง คุณช่วยอธิบายความปลอดภัยอิงพฤติกรรมได้หรือไม่?

หากใครให้บันทึกที่เขียนด้วยมือและบอกว่าคุณเป็นคนเขียน คุณอาจจะสามารถบอกได้ว่ามันถูกเขียนโดยคุณหรือไม่ หากลายมือไม่ใช่ของคุณ บันทึกลงวันที่ก่อนคุณเกิด และเขียนเป็นภาษาฝรั่งเศสที่คุณพูดหรือเขียนไม่ได้ คุณจะรู้ได้ว่ามันไม่ใช่ของคุณ เราใช้แนวทางที่คล้ายกันกับโค้ด แต่เรา สร้างโปรไฟล์ของนักพัฒนาที่ประกอบด้วยปัจจัยหลายพันประการ (หรือที่เรียกว่าคุณลักษณะในการเรียนรู้ของเครื่อง) โดยการดูแนวโน้มและพฤติกรรมของนักพัฒนา เราสามารถหยุดความเสี่ยงที่แยกตัวออกจากพฤติกรรมปกติของการพัฒนา ซึ่งช่วยให้เราหยุดการยึดบัญชี การคุกคามจากภายใน และความเสี่ยงอื่น ๆ ที่เกี่ยวข้องกับการพัฒนาซอฟต์แวร์

คุณสามารถพูดถึงวิธีที่แพลตฟอร์มสามารถระบุความแตกต่างของวิธีการทำงานของนักพัฒนาที่แตกต่างกัน?

Arnica ใช้ประวัติบันทึกการตรวจสอบและกิจกรรมการมีส่วนร่วมในโค้ดเพื่อสร้างลายนิ้วมือพฤติกรรมสำหรับนักพัฒนาที่แตกต่างกัน ลายนิ้วมือพฤติกรรมนี้แสดงพฤติกรรมที่รู้จักและคาดหวังของนักพัฒนา ทั้งการใช้สิทธิ์ รูปแบบการเขียนโค้ด ภาษาของคอมมิต และแนวทางพัฒนา เราสามารถเปรียบเทียบกิจกรรมในอนาคตกับลายนิ้วมือพฤติกรรมนี้เพื่อกำหนดความน่าจะเป็นที่โค้ดในอนาคตมาจากผู้เขียนคนเดียวกัน

เมื่อระบบแจ้งเตือนพฤติกรรมที่ไม่ปกติแล้วจะเกิดอะไรขึ้น?

เรามุ่งมั่นที่จะเพิ่มคุณค่าความปลอดภัยสูงสุด และขจัดอุปสรรคในการพัฒนา เมื่อ Arnica ตรวจพบพฤติกรรมที่ไม่ปกติจากบัญชีนักพัฒนา เราจะแจ้งเตือนใน Arnica และส่งการยืนยันตัวตนเพิ่มเติมผ่านแชทโดยตรงไปยังนักพัฒนาที่เกี่ยวข้องและทีมความปลอดภัยตามนโยบายของคุณ

Arnica ช่วยในการตรวจสอบโค้ดอย่างไร?

Arnica ให้การแจ้งเตือนแบบเรียลไทม์แก่นักพัฒนาทันทีที่พุชการเปลี่ยนแปลงโค้ด ลดจำนวนความเสี่ยงที่เข้าสู่ pull request สำหรับความเสี่ยงที่ยังเข้าสู่ pull request Arnica จะตรวจโค้ดบน PR โดยอัตโนมัติ เมื่อความเสี่ยงถูกพบ Arnica จะแสดงความคิดเห็นพร้อมรายละเอียดและบริบทการบรรเทาผลกระทบสำหรับความเสี่ยงแต่ละรายการ Arnica ยังสามารถบล็อกการรวมโค้ดที่มีความเสี่ยงโดยอัตโนมัติ เพื่อป้องกันไม่ให้เข้าสู่โค้ดการผลิต

Arnica ยังช่วยในการระบุความเสี่ยงของส่วนพึ่งพาจากบุคคลที่สามที่มีช่องโหว่ได้ คุณสามารถอธิบายว่ามันทำงานอย่างไรสำหรับนักพัฒนา?

Arnica ตรวจสอบแพ็คเกจและความเสี่ยงของ 3rd party ทั้งหมดทุกครั้งที่พุชโค้ด และแจ้งเตือนนักพัฒนาทาง ChatOps เมื่อพวกเขาใช้เวอร์ชันที่มีความเสี่ยงหรือเพิ่มแพ็คเกจที่มีชื่อเสียงต่ำลงในฐานโค้ด

มีฟังก์ชันการทำงานอื่น ๆ ที่ Arnica มีให้หรือไม่?

Arnica มุ่งเน้นในการให้บริการแพลตฟอร์มสำหรับทีมความปลอดภัยของแอปพลิเคชันเพื่อให้สามารถมองเห็นความเสี่ยงของห่วงโซ่อุปทานซอฟต์แวร์ ทั้งหมด จัดลำดับความสำคัญของความเสี่ยง และสามารถหยุดความเสี่ยงใหม่ ๆ และแก้ไขความเสี่ยงที่มีอยู่ได้อย่างง่ายดาย เราให้บริการนี้ครอบคลุมหลายประเภทความเสี่ยง รวมถึงสิทธิ์นักพัฒนาที่มากเกินไป ความเสี่ยงของโค้ดที่พบจากการสแกน SAST (การทดสอบความปลอดภัยแอปพลิเคชันแบบสถิต) และ IaC (โครงสร้างพื้นฐานที่กำหนดด้วยโค้ด) ข้อมูลลับที่ฝังไว้ในโค้ดโดยตรง และส่วนพึ่งพาจากบุคคลที่สาม และอื่น ๆ

มีอะไรอีกที่คุณต้องการแบ่งปันเกี่ยวกับ Arnica?

ที่ Arnica ในขณะที่เราพัฒนาโซลูชันความปลอดภัยของแอปพลิเคชันและ supply chain เราเห็นตัวเองเป็นบริษัทที่ให้ประสบการณ์นักพัฒนา เราต้องการทำให้การแก้ปัญหาความปลอดภัยเป็นประสบการณ์ที่ราบรื่นและน่าพึงพอใจ ตัวอย่างเช่น โซลูชันจัดการข้อมูลลับ ของเรา เราตรวจพบ ข้อมูลลับ ที่การเปลี่ยนแปลงโค้ด เราตรวจสอบและแจ้งเตือนนักพัฒนาทางเครื่องมือแชทที่พวกเขาเลือก แจ้งเตือนจะมีปุ่ม “แก้ไขให้ผม” ซึ่งจะลบ ข้อมูลลับ ออกจากประวัติ git ทั้งหมดโดยไม่ต้องให้นักพัฒนาต้องเขียนคำสั่ง git เพียงแค่คลิก

เรามั่นใจว่าหากเราสามารถทำให้ความปลอดภัยเป็นส่วนหนึ่งของประสบการณ์การพัฒนาที่ง่ายและน่าพึงพอใจ ทุกองค์กรที่ใช้ Arnica จะได้รับประโยชน์

ขอขอบคุณสำหรับการสัมภาษณ์ที่ดี ผู้อ่านสามารถเยี่ยมชม Arnica เพื่อเรียนรู้เพิ่มเติม