Siber Güvenlikte “Daha Fazlasının Bulutu”nu Temizleme

RSA Konferansı’nda San Francisco’da bu ay, siber güvenlik endüstrisinden yeni ve sıcakkanlı bir dizi çözüm sergilendi. Her bir stant, organizasyonunuzu kötü aktörlerden korumak ve milyonlarca dolar karşılığında şantaj yapılmasını önlemek için aracı olacağını iddia etti.

Üstün bir düşünce sonrasında, endüstrimizin kaybolduğuna karar verdim. Kaybolma, algılayıp yanıt vermeye yönelik sonsuz bir laf salatası ile, sadece bir daha katman eklerseniz sorunlarınızın ortadan kalkacağı iddiası ile. Teknoloji yatırımları, personel, araçlar ve altyapı katmanları ile şirketler, dijital varlıklarını tanımlamak ve tehdit aktörlerini önlemek için artık ormanı ağaçlardan ayıramadıkları bir labirent oluşturdular. Bu araçlar, dijital varlıkları korumak amacıyla tasarlanmış olsalar da, artan iş yükleri ve uyumsuz araçlar nedeniyle güvenlik ve geliştirme ekipleri arasında hayal kırıklığı yaratıyorlar. “Daha fazlasının bulutu” çalışmıyor. Ancak dürüst olmak gerekirse, asla çalışmadı.

Siber saldırılar kodda başlar ve biter. Bu kadar basit. Ya kodda bir güvenlik açığı veya zafiyetiniz var ya da kod güvenliği düşünülerek yazılmamış. Her iki durumda da, okuduğunuz her saldırı veya başlık, koddan kaynaklanıyor. Ve sorunların asıl yükünü karşılayanlar, yazılım geliştiriciler. Ancak geliştiriciler güvenlik konusunda eğitilmiyorlar ve muhtemelen asla eğitilmeyecekler. Bu nedenle, eski usül kod arama araçlarını uyguluyorlar, sadece kod için desenleri arıyorlar. Ve ne istediklerini korktukları şey, sonuç olarak günlerinin çoğunu kırmızı hataları ve hayaletleri kovalayarak geçiriyorlar. Aslında, geliştiriciler sahte pozitifler ve güvenlik açıklarını kovalayarak zamanlarının üçte birini harcıyorlar. Sadece önleme odaklı olarak, şirketler gerçekten güvenlik programlarını güçlendirebilir ve güvenlik odaklı bir kültürün temelini oluşturabilir.

Koddaki Düzeltme ve Bulma

Sıkça söylenen bir söz vardır: “Korunma, tedavi etmekten daha iyidir” ve bu söz özellikle siber güvenlik için geçerlidir. Bu nedenle, daha sıkı ekonomik kısıtlamalara rağmen, şirketler sürekli olarak güvenlik araçlarına yatırım yapıyor ve daha fazla güvenlik aracı ekliyor, böylece başarılı siber saldırı olasılığını azaltmak için birden fazla engelleme oluşturuyor. Ancak daha fazla güvenlik katmanı eklemelerine rağmen, aynı tür saldırılar devam ediyor. Şirketlerin yeni bir perspektife ihtiyacı var – sorunların kökünde, koddaki güvenlik açıklarını bulup düzeltmeye odaklanarak.

Uygulamalar genellikle siber suçluların zayıflıkları sömürebileceği ve hassas verilere yetkisiz erişim sağlayabileceği birincil giriş noktası olarak hizmet eder. 2020’nin sonlarında, SolarWinds ihlali ortaya çıktı ve araştırmacılar, Orion ağ izleme yazılımına kötü amaçlı kod enjekte etmelerine olanak tanıyan bir derleme sürecini keşfetti. Bu saldırı, yazılım derleme sürecinin her adımını güvence altına almanın nécessitéğini vurguladı. Uygulama güvenliği veya AppSec önlemlerini uygulayarak şirketler, bu güvenlik ihlallerinin riskini azaltabilir. Bunu yapmak için şirketlerin, “sol kaydırma” zihniyetine sahip olmaları, önleyici ve öngörülü yöntemleri geliştirme aşamasına getirmeleri gerekiyor.

Bu, tamamen yeni bir fikir değil, ancak bazı dezavantajları var. Birincisi, geliştirme süresini ve maliyetini artırmasıdır. Kapsamlı AppSec önlemlerini uygulamak, önemli kaynaklar ve uzmanlık gerektirebilir, bu da daha uzun geliştirme döngüleri ve daha yüksek masraflara yol açar. Ayrıca, tüm güvenlik açıkları şirket için yüksek risk oluşturmaz. Algılama araçlarından sahte pozitifler de geliştiriciler arasında hayal kırıklığı yaratır. Bu, iş, mühendislik ve güvenlik ekipleri arasında bir boşluk oluşturur ve bu ekiplerin hedefleri uyumlu olmayabilir. Ancak generatif AI, bu boşluğu kapatmak için bir çözüm olabilir.

AI Çağına Girme

AppSec içinde generatif AI’nın yaygın kullanımını sağlayarak, sonunda geçmişten öğrenerek gelecekteki saldırıları önleyeceğiz. Örneğin, büyük bir dil modelini veya LLM’yi tüm bilinen kod güvenlik açıklarında, tüm varyantlarında eğitebilirsiniz, böylece hepsinin temel özelliklerini öğrenir. Bu güvenlik açıkları, arabellek taşması, enjeksiyon saldırıları veya yanlış girdi doğrulaması gibi ortak sorunları içerebilir. Model, dilden, çerçeveden ve kütüphaneden kaynaklanan nüansları da öğrenecek ve başarılı kod düzeltmelerini öğrenecektir. Model daha sonra bu bilgileri kullanarak bir organizasyonun kodunu taramak ve henüz tanımlanmamış olan olası güvenlik açıklarını bulmak için kullanabilir. Kod etrafındaki bağlamı kullanarak, tarama araçları gerçek tehditleri daha iyi tespit edebilir. Bu, kısa tarama süreleri ve daha az sahte pozitifler ve artan geliştirme ekibi üretkenliği anlamına gelir.

Generatif AI araçları ayrıca önerilen kod düzeltmeleri sunabilir, güvenlik açıklarını düzeltme sürecini otomatikleştirebilir, böylece kod tabanlarında güvenlik açıklarını düzeltmek için gereken zaman ve çaba önemli ölçüde azaltılabilir. Güvenli kod tabanları ve en iyi uygulamalar üzerine eğitilen modellerle, geliştiriciler AI tarafından oluşturulan kod parçalarını kullanabilir, böylece güvenlik standartlarına uygun ve ortak güvenlik açıklarından kaçınan kod parçaları elde edilebilir. Bu proaktif yaklaşım, güvenlik hatalarının ortaya çıkma olasılığını azaltmanın yanı sıra, geliştiricilere önceden test edilmiş ve doğrulanmış kod bileşenleri sağlayarak geliştirme sürecini hızlandırır.

Bu araçlar ayrıca farklı programlama dillerine ve kodlama stillerine uyum sağlayabilir, böylece çeşitli ortamlarda kod güvenliği için çok yönlü araçlar haline gelirler. Yeni veri ve geri bildirimlerle sürekli olarak eğitildikçe, daha etkili ve güvenilir yama oluşturma konusunda gelişirler.

İnsan Unsuru

Önemli olan, kod düzeltmelerini otomatikleştirebilsek de, insan denetimi ve doğrulamasının kalite ve doğruluk açısından hâlâ çok önemli olduğudur. İleri araçlar ve algoritmalar güvenlik açıklarını tanımlamak ve hafifletmek için önemli bir rol oynasa da, insan uzmanlığı, yaratıcılığı ve sezgisi uygulamaları etkili bir şekilde güvence altına almak için vazgeçilmezdir.

Geliştiriciler, güvenli kod yazmakla yükümlüdür. Güvenlik en iyi uygulamaları, kodlama standartları ve olası güvenlik açıkları hakkında onların anlayışları, uygulamaların güvenli bir şekilde oluşturulmasını sağlamak için çok önemlidir. Güvenlik eğitimleri ve farkındalık programlarını geliştirme sürecine entegre ederek, şirketler geliştiricileri güvenlik sorunlarını proaktif bir şekilde tanımlamak ve ele almak için yetkilendirebilir, böylece kod tabanına güvenlik açıklarının eklenmesi olasılığını azaltabilir.

Ayrıca, bir organizasyon içindeki farklı paydaşlar arasında etkili iletişim ve işbirliği, AppSec başarısı için çok önemlidir. AI çözümleri, geliştirme ve güvenlik operasyonları arasındaki “boşluğu” kapatmaya yardımcı olabilir, ancak daha dayanıklı ve güvenli uygulamalar oluşturmak için işbirliği ve ortak sorumluluk kültürü gerekir.

Siber tehdit manzarası sürekli olarak değişen bir dünyada, siber güvenlik alanında mevcut araçlar ve teknolojilerle kolayca bunalmış hissedebilirsiniz. Ancak, önleme odaklı olarak ve koddaki güvenlik açıklarını bulmaya odaklanarak, şirketler mevcut güvenlik yığınlarının “yağlı” kısımlarını keserek, süreçte zaman ve para açısından üssel bir miktar tasarruf edebilir. Kök düzeyinde, bu çözümler yalnızca bilinen güvenlik açıklarını bulmak ve zero-day güvenlik açıklarını düzeltmekle kalmaz, aynı zamanda oluşmadan önce pre-zero-day güvenlik açıklarını da bulabilir. Nihayet, gelişen tehdit aktörleriyle aynı hızda ilerleyebilir veya hatta onlardan önde olabiliriz.