Craig Riddell, Wallarm’daki Küresel Alan Güvenlik Müdürü – Röportaj Serisi

Craig Riddell, Wallarm şirketindeki Küresel Alan Güvenlik Müdürü, şirketlerin API’ler ve AI sürücülü sistemlerle ilgili artan riskleri yönetmesine yardımcı olan deneyimli bir siber güvenlik yöneticisidir. Mevcut rolünde, CISO’lar, CIO’lar ve mühendislik liderleriyle birlikte gerçek dünya saldırı modellerini ve suistimal senaryolarını eyleme geçirilebilir güvenlik stratejilerine çevirme konusunda yakın çalışır. Bu stratejilerin odak noktası, API’lerin ve AI sistemlerinin üretim ortamında kullanıcılar, uygulamalar ve entegrasyonlar boyunca nasıl davrandığını anlamak için gözlemlenebilirlik üzerinedir. Kariyeri, kimlik ve erişim yönetimi, sıfır güven mimarisi ve kurumsal güvenlik konularında Netwrix, Kron ve HP gibi şirketlerde liderlik rollerini içermektedir. Riddell’in uzmanlığı, iş mantığı saldırıları, API suistimali, AI sistemi kayması ve dolandırıcılık gibi ortaya çıkan tehditlere odaklanmaktadır ve güvenlik stratejisi ile operasyonel yürütme arasındaki boşluğu kapatmaya odaklanmıştır.

Wallarm şirketinin amacı, modern bulut ortamlarında API’leri, uygulamaları ve AI sürücülü sistemleri korumaktır. Şirketin platformu, API suistimali, iş mantığı saldırıları ve otomatik sömürülere karşı sürekli keşif, test ve gerçek zamanlı koruma sağlar ve ayrıca sistemlerin kompleks altyapılarda nasıl davrandığını derinlemesine görüntüler. Çok bulut ve bulut yerel mimariler için tasarlanan Wallarm, mevcut DevOps ve güvenlik iş akışlarına entegre olur ve organizasyonların saldırıları meydana geldikten sonra değil, meydana gelirken tespit etmelerine ve engellemelerine olanak tanır. API envanteri, AI sürücülü tehdit algılama ve otomatik yanıt yeteneklerini birleştiren platform, API’ler ve AI sistemlerinin modern dijital işletmelerin birincil saldırı yüzeyi haline geldiği gerçeğine yanıt verir.

Sisteme ve altyapıya doğrudan çalışarak kariyerinize başladınız ve daha sonra kimlik, erişim, API ve AI güvenliğine odaklanan liderlik rollerine geçtiniz. Bu yolculuk boyunca, riskin gerçekten perimetreden uzaklaşıp API’ler ve makine sürücülü sistemlere kaydığını düşünmenize yol açan ana değişiklikler nelerdi?

Kariyerimin başlangıcında, odak noktası kenarın korunmasıydı. Güvenlik duvarları, segmentasyon, altyapının güçlendirilmesi. Bu model, sistemlerin daha statik olduğu ve güven sınırlarının daha kolay tanımlanabildiği zamanlar için çalışıyordu.

Değişen şey, uygulamaların nasıl inşa edildiği ve sistemlerin nasıl etkileşimde bulunduğudur. API’ler her şeyin bağlantılı dokusu haline geldi ve AI bunu daha da hızlandırdı. Şimdi sistemler, insanların döngüde olmadığı bir ölçek ve hızda kararlar veriyor, diğer sistemleri çağırıyor ve eylemler gerçekleştiriyor.

Bu noktada, perimetre daha az ilgili hale geliyor. Gerçek risk, kararların alındığı ve eylemlerin gerçekleştirildiği API’ler ve makine sürücülü iş akışlarına kayıyor.

Eğer orada görünürlük ve kontrolü sahip değilseniz, göremediğiniz davranışlara güveniyorsunuz. İşte orada iş riski ortaya çıkıyor, finansal maruziyetten beklenmedik sonuçlara ve operasyonel kesintilere kadar.

Şirketler, artan komplekslikteki API zincirleri ve otomatik süreçler boyunca sistemlerin nasıl güven oluşturup eylemler gerçekleştirdiği konusunda “siber el sıkışma”nın bozulduğunu tarif ettiniz. Bu bozulma, günümüzün gerçek bir şirket ortamında nasıl görünüyor?

Çoğu ortamda, sistemler birbirlerine kimlik ve kimlik doğrulama temelinde güveniyor. Bir jeton geçerli, bir istek iyi biçimlendirilmiş ve etkileşim izin veriliyor.

Sorun, geçerli olanın güvenli olduğu anlamına gelmesidir. Bu artık doğru değil.

Kimliği doğruluyoruz, ancak niyeti doğrulamıyoruz. Erişimi doğruluyoruz, ancak zincir boyunca davranışları doğrulamıyoruz.

Bir hizmet, başka bir hizmet çağırmaya yetkili olabilir, bu da aşağı akışta birçok API boyunca eylemleri tetikler. Her adım izole olarak meşru görünüyor, ancak tam zincir boyunca, beklenmedik davranış veya mantık suistimali görülmeye başlıyor.

AI sürücülü ortamlarda, bu durum daha da artıyor. Ajanslar, insan gözden geçirmesi olmadan zincirleme eylemler gerçekleştirebiliyor ve iş akışlarını çalıştırabiliyor.

El sıkışma hala gerçekleşiyor, ancak kimsenin davranışın bağlamda mantıklı olup olmadığını sormuyor. Güven oluşturuluyor, ancak sürekli olarak doğrulanmıyor.

Neden AI ve API riski genellikle organizasyonel sınırlar arasında kalıyor ve net bir şekilde sahip olunmuyor?

Çünkü sistemler, organizasyonların nasıl yapılandırıldığıyla uyuşmuyor.

DevOps, teslimatı sahip alıyor. Güvenlik, politikayı sahip alıyor. İş birimleri, sonuçları sahip alıyor. Veri ekipleri, modelleri sahip alıyor. Her grup, bir parçasını sahip alıyor, ancak kimse sistemi üretim ortamında nasıl davrandığını sahip olmuyor.

API’ler, sistemler boyunca iş mantığını gerçekleştiriyor. AI, bunun üzerine belirsiz karar verme getiriyor. Birlikte, her sınırdan geçiyorlar.

Bir ekip tarafından inşa ediliyorlar, bir başka ekip tarafından güvence altına alınıyorlar ve bir üçüncü ekip tarafından tüketiliyorlar, ancak tüm bu ekipler arasında tutarlı bir izleme yok.

Bu, ekiplerin başarısızlığı değil, işletme modelinin modern sistemlerin nasıl çalıştığını yansıtmamasının bir sonucudur.

Deneyiminizde, AI riskini hangi ekipler genellikle sahip olduklarını düşünüyor ve güvenlik, DevOps ve iş birimleri arasında en büyük kör noktalar nerede?

Güvenlik ekipleri, genellikle AI riskini yönetim ve uyum perspectiveinden sahip alıyor. DevOps, dağıtım ve güvenilirliği sahip alıyor. İş birimleri, sonuçları odak alıyor.

Kör noktalar, bu alanlar arasında ortaya çıkıyor.

Güvenlik, ne olacağını tanımlıyor. DevOps, sistemin çalışmasını sağlıyor. İş birimleri, sonuçlara odaklanıyor. Ancak çok az ekip, sistemlerin gerçekten ne yaptığını sürekli olarak izliyor.

Risk, özellikle teknik olarak geçerli ancak bağlamsal olarak yanlış davranışlarda yaşıyor.

Modern saldırılar,明显 olan saldırılar yerine geçerli ve kimliği doğrulanmış davranış olarak görünüyor. Bu yeni gerçeklikte nasıl tespit yapılmalıdır?

“Kötü” istekleri tanımlamaktan öteye gitmeliyiz.

Çoğu durumda, istek geçerli. Kimlik bilgileri meşru. API çağrısı beklenen. Beklenmeyen şey, eylemlerin sırası, hacmi veya sonucu.

Algılama, davranışsal ve bağlamsal olmalıdır. Tek bir isteği engellemek değil, sistemlerin zaman içinde nasıl etkileşimde bulunduğunu anlamak.

Ölçeklerde tutan yaklaşımlar, kalıpları eşleştirmekten öteye geçer. İstekleri yapısal olarak ayrıştırır, her etkileşimi davranışsal tokenler olarak ele alır ve bilinen kötü kalıplara karşı eşleştirmeye çalışmak yerine.

Bu, davranışın nasıl evrimleştiğini ve nerede sapma gösterdiğini anlamayı sağlar, даже geçerli görünen yüzeyde.

Statik kurallara veya imzalara güveniyorsanız, önemli olanların çoğunu kaçırır.

Gerçek dünya davranışına ilişkin gözlemlenebilirliğin önemini vurguladınız. API’ler ve AI sistemleri için anlamlı gözlemlenebilirlik nedir?

Anlamlı gözlemlenebilirlik, yalnızca günlükler ve metriklere bakmak değildir. Davranışı bağlamında anlamaktır.

API’ler için, bu, tam istek ve yanıt görünürlüğü, uç noktaların nasıl kullanıldığı ve etkileşimlerin zaman içinde nasıl evrimleştiği anlamına gelir.

AI sistemleri için, bu, girdileri, kararları ve sonuçları anlamaktır.

En önemli şey, bunları sistemler boyunca tam iş akışlarına bağlamak, izole edilmiş olaylar olarak değil.

Bunun olmadan, sistem davranışına ilişkin varsayımlarla çalışıyorsunuz, gerçeklik değil.

Neden geleneksel insan gözden geçirmesi ve onay modelleri, makine sürücülü ortamlarda less etkili hale geliyor?

Çünkü hız ve ölçek değişti.

Sistemler, dakikada binlerce veya milyonlarca çağrı yapıyor ve saldırılar veya beklenmedik davranışlar dakikalar veya saniyeler içinde ortaya çıkabiliyor. Her karar için insanları döngüye koymak gerçekçi değil, performansı bozar.

AI sistemleri ayrıca her zaman belirlenimli değil, bu da önceden onay modellerini less etkili hale getiriyor.

İnsan denetimi hala önemli, ancak bireysel eylemleri onaylamaktan ziyade, sınırları tanımlamaya ve sonuçları izlemeye kaymalıdır.

AI sistemlerini güvence altına alırken, miras güvenlik çerçevelerini kullanan şirketlerde en yaygın operasyonel boşluklar nelerdir?

En büyük boşluk, tasarım zamanı kontrollerine aşırı bağımlılıktır.

Organizasyonlar, modelleri güvence altına almak, kodu gözden geçirmek ve dağıtımdan önce politikaları tanımlamak üzerine odaklanıyor. Bu önemli, ancak sistemlerin beklendiği gibi davranacağı varsayımı yapıyor.

Gerçekte, sistemler evrimleşiyor. API’ler değişiyor. AI modelleri yeni verilerle ve iş akışlarıyla etkileşime giriyor. Davranış zaman içinde değişiyor.

Üretim ortamında davranışın sürekli doğrulanması olmadan, organizasyonlar esasen kör kalıyor.

Çoklu paydaşın AI ve API riski için ortak sorumluluk paylaştığı bir pratik işletme modeli nasıl görünür?

Bu, hiçbir tek ekibin bunu uçtan uca sahip olamayacağını kabul etmekle başlar.

Pratik bir model, paylaşılan sorumluluğu tanımlar, bunu ortak bir gerçeklik kaynağı etrafında odaklar: üretim zamanı davranışı.

Güvenlik, riski ve politikayı tanımlar. Mühendislik, sistemleri inşa eder ve işletir. İş birimleri, kabul edilebilir sonuçları tanımlar.

İleri giden ekipler, kapalı bir döngüde çalışır. Sürekli keşif, zorlama ve iyileştirme, tasarım zamanında değil, üretim ortamında neler olduğu temelinde yapılır.

Tüm paydaşların, sistemlerin üretim ortamında nasıl çalıştığını görme izni olmalıdır. Oradan, ekipler “iyinin” neye benzediğini, sapmaları tespit etmeyi ve yanıt vermeyi öğrenebilir.

Değişim, tekil sahip olmaktan, koordine edilmiş sorumluluğa geçiştir, üretim zamanı içgörüsüne dayanarak.

İleriye bakıldığında, güvenlik sorumluluğunun daha merkezi hale gelmesini bekliyor musunuz yoksa sistemlerin daha otonom hale gelmesi nedeniyle parçalanmaya devam edeceğini düşünüyor musunuz?

Sorumluluk, sistemlerin nasıl inşa edildiğini yansıttığı için dağıtılmaya devam edecek.

Değişecek olan, bu sorumluluğun nasıl koordine edildiği.

Birleşik yönetim modellerini göreceğiz, burada ekipler kendi alanlarını sahip alıyor, ancak paylaşılan görünürlük ve bağlamla çalışıyor.

Başarılı olan organizasyonlar, her şeyi merkezileştirmeye çalışanlar olmayacak. Sistemlerin gerçek dünyada nasıl davrandığını paydaşlar etrafında hizalayanlar olacak.

Çünkü üretim zamanı davranışını kimse anlamazsa, gerçekten riski kimse sahip olamaz.

Harika röportaj için teşekkür ederiz. Daha fazla bilgi öğrenmek isteyen okuyucular Wallarm sitesini ziyaret edebilir.