Jeff Williams, OWASP Kurucusu ve Contrast Security Kurucusu ve CTO’su – Röportaj Serisi

Jeff Williams, OWASP Kurucusu ve Contrast Security Kurucusu ve CTO’su, modern uygulama güvenliği alanında en etkili figürlerden biri olarak kabul edilmektedir. Geçtiğimiz birkaç on yıl içinde, güvenli yazılım geliştirme, güvenlik açığı yönetimi ve çalışma zamanı uygulama korumasına ilişkin organizasyonların yaklaşımını şekillendirmeye yardımcı olmuştur. Williams, OWASP’yi küçük bir gönüllü girişimden küresel olarak tanınan bir güvenlik vakfına dönüştürmede merkezi bir rol oynadı ve OWASP Top Ten, WebGoat, ESAPI, ASVS ve XSS Prevention Cheat Sheet gibi önemli projelere katkıda bulundu. 2014 yılında Contrast Security’yi kurmadan önce, uygulama güvenliği danışmanlığı, eğitimi, penetrasyon testi ve güvenli geliştirme uygulamaları için özel olarak kurulan ilk şirketlerden biri olan Aspect Security’yi de kurdu.

OWASP, açık kaynaklı projeler, küresel topluluk işbirliği, eğitim ve endüstri standartları aracılığıyla yazılım güvenliğini iyileştirmeye odaklanan bir kar amacı gütmeyen vakıftır. 2001 yılında kurulan organizasyon, yüzlerce yerel bölüm, binlerce katkıda bulunan ve dünya çapında geliştiriciler, güvenlik uzmanları, şirketler ve hükümetler tarafından yaygın olarak kullanılan kaynaklar ile uygulama güvenliği alanında en önemli otoritelerden biri haline gelmiştir. OWASP, OWASP Top Ten gibi projelerle bekannttır, bu projeler en kritik web uygulama güvenlik risklerini belirler ve çeşitli güvenlik çerçeveleri, test araçları, belgeleme projeleri ve eğitim girişimlerini içerir. Organizasyon, tarafsız bir felsefe ile çalışır ve eğitim kaynakları ve güvenlik rehberliklerini küresel teknoloji topluluğuna ücretsiz olarak sunar.

Contrast Security, yazılımı dış tarama araçlarına güvenmek yerine çalıştırılan uygulamadan korumaya odaklanan bir uygulama güvenliği şirketidir. Şirketin platformu, çalışma zamanı enstrümantasyon teknolojisi kullanarak, geliştirme ve üretim ortamları boyunca güvenlik açıkları, saldırılar, API’ler, açık kaynak bağımlılıkları ve uygulama davranışına ilişkin gerçek zamanlı görünürlük sağlar. Şirketin sunduğu hizmetler, Etkileşimli Uygulama Güvenlik Testi (IAST), Uygulama Algılama ve Yanıt (ADR), Çalışma Zamanı Uygulama Kendi Koruma (RASP) ve yazılım bileşen analizi gibi alanları kapsar. Contrast Security, güvenliklerini modern DevSecOps iş akışlarına entegre ederek, geliştiricilerin, AppSec ekiplerinin ve güvenlik operasyon ekiplerinin güvenlik açıklarını daha hızlı bir şekilde belirleyerek ve gidererek hızlı yazılım teslimatını sürdürmelerine olanak tanır.

OWASP ile modern uygulama güvenliğini şekillendirmeye yardımcı olduktan sonra, Contrast Security’yi kurmanıza yol açan endüstrideki boşluğu nedir ve bu orijinal tezin güvenlik zorlukları evrimleştiği medida nasıl dayanmıştır?

Endüstri, teorik statik bulgularla boğuluyordu ve gerçekten önemli olan konulara odaklanamıyordu. Güvenlik ekipleri, üretkenliklerini artırmak için tarayıcılar tarafından oluşturulan büyük geri bildirimler olmadan, hangi güvenlik açıklarının ulaşılabilir, sömürülebilir veya üretim ortamında saldırı altında olduğunu bilmiyorlardı. Contrast’i, basit bir fikir üzerine kurduk: güvenlik kararları, dışardan tahmin etmek yerine, gerçekten çalışan uygulamaları doğrudan gözlemleyerek alınmalıdır.

Sonuç olarak, endüstrinin, sorunları bulma, düzeltme ve daha fazlasını bulma döngüsünden kurtulacağı bir noktaya ulaşmasını umuyorum. Güçlü bir güvenlik mimarisi olan ve beklenen tehditlere karşı doğru savunmalara sahip yazılımlar oluşturabilmeyi umuyorum. Çalışma zamanı güvenliği ve yapay zeka birleşimi, potansiyel bir çözüm sunabilir, ancak yıllarca sürecektir.

Siz, “Mythos-level güvenlik açıkları”nın ortaya çıkışı hakkında bahsettiniz. Bu yeni risk sınıfını neler tanımlar ve neden geleneksel güvenlik araçları bunları tespit etmekte zorlanıyor?

Mythos-level güvenlik açıkları, modern yazılım yığınlarının karmaşıklığından kaynaklanan güvenlik açıklarıdır. Çerçeve davranışı, bağımlılıklar ve mimari kalıplar arasındaki etkileşim o kadar karmaşıktır ki, geliştiriciler genellikle bunu tam olarak anlamazlar. Geleneksel araçlar hala nispeten basit bilinen kalıplar ve gözlemlenebilir olaylar için optimize edilmiştir. Mythos-style güvenlik açıkları genellikle uygulama davranışını, yürütme akışını ve çalışma zamanı bağlamını çok daha derin bir düzeyde anlamayı gerektirir.

Güvenlik Operasyon Merkezi (SOC) ortamlarında, tüm güvenlik açıkları neden uyarı oluşturmaz ve bu, güvenlik ekiplerinin riski nasıl ölçtüğünü neler gösterir?

Çoğu SOC, gözlemlenebilir olaylar etrafında inşa edilmiştir: günlükler, imzalar, ağ trafiği, uç nokta aktivitesi. Ancak birçok uygulama katmanı saldırısı, bu sistemlerde anlamlı sinyaller üretmez. Geliştirici, güvenlik açığının farkında değildir ve bu nedenle herhangi bir günlüğe kaydetme eklenmez. Bu nedenle, çoğu uygulama saldırısı günlüklerde tamamen görünmezdir. SOC ekipleri sadece gördüklerine tepki verebilir. Bu nedenle, uygulama ve API katmanının giderek daha önemli hale geldiği medida, bunu güvenlik sensörleri ile enstrümente ederek ve anormal davranışları tespit edip raporlayabilmesi kritik önem taşır.

Modern uygulama mimarileri, mikro hizmetler, API’ler ve sunucusuz sistemler hızla evrimleşti. Bu mimariler, mevcut tespit tabanlı güvenlik yaklaşımlarını nasıl geride bırakıyor?

Bu mimariler, eski sınırları paramparça etti. İstekler artık, bir işlem tamamlanmadan önce, onlarca hizmet, geçici işlev, API, kuyruklar ve üçüncü taraf bağımlılıklar aracılığıyla geçer. Çoğu tespit sistemi, masih parça görür, tam yürütme yolunu göremez. Paket veya günlükleri inceleyebilir, ancak niyeti, veri akışını veya tehlikeli kodun gerçekten yürütülüp yürütülmediğini anlamaz. Güvenlik, bağlam hakkında konuşur, bu nedenle uygulama altyapımızın bir modelini, bir dijital ikizini oluşturmamız gerekir, böylece biz veya AI ajanları gördüğümüz şey hakkında akıl yürütebiliriz.

OWASP Top Ten, güvensiz tasarım ve savunmasız bileşenler gibi konuları vurgulamaya devam ediyor. Bu riskler, geniş çapta farkındalık ve araçlara rağmen neden devam ediyor?

Farkındalık, teşvikleri veya karmaşıklığı değiştirmez. Çoğu organizasyon, başarıyı仍 tarama hacmi, bilet kapanması veya uyum kontrol listeleri olarak ölçer, gerçek maruz kalma azaltması olarak değil.

Aynı zamanda, yazılım tedarik zincirleri boyut olarak patladı. Geliştiriciler, güvenliklerini değerlendirmeden yazmadıkları ve kesinlikle değerlendirmedikleri binlerce bileşenden uygulamalar oluşturuyor. Güvenlik ekipleri, teorik riskleri triyaj etmeye çalışırken bunalmış durumda ve gerçekten önemli olan %1-2’ye odaklanamıyorlar. Çalışma zamanı kanıtları olmadan, önceliklendirme bozulur. Ve güçlü AI modelleri ve tahriklerin ortaya çıkmasıyla, hacim üssel olarak artıyor.

Organizasyonlar, bazı kritik güvenlik açıklarının hiçbir gözlemlenebilir sinyal bırakmadığını göz önünde bulundurarak, günlükler ve uyarılar bağımlılıklarını nasıl yeniden düşünmelidir?

Günlükler, uygulamaların raporlayacağı şeylerin kanıtıdır, gerçekten neler olduğu değil. Bu, tehlikeli bir ayrımdır. Organizasyonlar, dolaylı gözlem yerine doğrudan gözlemi benimsemelidir. Bir saldırıya karşı bir tespit artifactı oluşturmayı ummak yerine, güvenlik sistemleri, güvenlik açığı davranışını ve saldırı davranışını çalışma zamanında tanımlamalıdır. Tehlikeli kod yürütülürse, sistem hemen bilmelidir – günlük girişi olsun veya olmasın.

Siz, çalışma zamanı görünürlüğünü bir çözüm olarak savundunuz. Gerçek çalışma zamanı görünürlüğü, uygulamada nasıl görünür ve güvenlik ekiplerinin günlük operasyonlarını nasıl değiştirir?

Gerçek çalışma zamanı görünürlüğü, uygulamanın gerçekten neler yaptığını anlamak demektir: hangi rotalar açık, hangi kütüphaneler aktif, hangi hassas veriler akar, hangi kod yürütülür ve bir saldırı güvenlik açığına ulaşıp ulaşmadığını anlamak. Operasyonel olarak, güvenlik ekipleri, büyük güvenlik açığı geri bildirimlerini takip eden bir avcılık egzersizinden, bir hassasiyet disiplinine dönüşür. Ekipler, büyük güvenlik açığı geri bildirimlerini takip etmek yerine, ulaşılabilir, kritik ve aktif olarak hedeflenen maruz kalma oranlarına odaklanır. Bu, sinyal-gürültü oranını ve yanıt hızını dramatik olarak iyileştirir. Ortalama olarak, yalnızca açık kaynaklı kütüphanelerin %38’i paketlenmiş ve uygulamada yürütülür. Ve bu alt kümenin tüm kodu kullanılmaz. Bu nedenle, çalışma zamanı güvenliği, gerçekten çalışan kodu odaklanmaya ve uygulamayla gelen tüm kullanılmayan kütüphaneler ve fonksiyonlara odaklanmamaya olanak tanır.

Enstrümantasyon tabanlı güvenlik, geleneksel yaklaşımlarla karşılaştırıldığında, SAST, DAST veya sınırlar arası izleme gibi, etkinlik ve ölçeklenebilirlik açısından nasıl karşılaştırılır?

Geleneksel araçlar, dışarıdan riski çıkarır. Enstrümantasyon, gerçeği, gerçekten çalışan kodu gözlemleyerek gözlemler. Enstrümantasyon, gerçek yürütme yollarını, çerçeve davranışını, kimlik doğrulama bağlamını, veri akışını ve saldırı başarısını gerçek zamanlı olarak görebilir. Büyük kategorilerdeki yanlış pozitifleri ortadan kaldırır ve sınırlar arası araçların tamamen kaçırdığı güvenlik açıklarını ortaya çıkarır.
Ölçeklenebilirlik açısından, bu hassasiyet kritik önem taşır. Organizasyonlar, milyonlarca teorik bulguyu artık manuel olarak triyaj edemez. Çalışma zamanı kanıtları, sürdürülebilir bir filtre haline geliyor. Çalışma zamanı, gerçek zamanlı olarak çalışır, bu nedenle geliştirme ve CI/CD iş akışlarına, tarama ve triyajdan daha iyi bir uyum sağlar. Ve çalışma zamanı, sürekli olarak çalışır, bu nedenle bir anlık güvenlik görünümü ile sınırlı olmazsınız.

AI sistemleri ve otonom uygulamalar daha yaygın hale geldikçe, bu görünmez güvenlik açıkları daha tehlikeli hale geliyor mu ve ekipler nasıl hazırlanmalı?

AI, görünmez güvenlik açıklarını daha tehlikeli hale getirir, çünkü her iki tarafı da hızlandırır. Geliştiriciler, yazılımları daha hızlı üretirken, saldırganlar da güvenlik açıklarını daha hızlı bulup sömürüyor. Ancak çoğu güvenlik programı, AI hızında çalışamayan insan-çevrimiçi süreçlerine masih güveniyor. Ekipler, iki şekilde hazırlanmalı. İlk olarak, üretim ortamında güvenlik açıklarını tespit edebilecek, engelleyebilecek ve içerabilecek daha güçlü çalışma zamanı savunmaları oluşturmalı. Bu, organizasyonlara hava koruması sağlar. İkincisi, daha güvenli kod yazmak için AI ve otomasyonu kullanmalı – daha iyi tasarım, test, inceleme ve doğrulama ile. Aksi takdirde, riski yönetmekten daha hızlı yaratıyoruz.

Eğer modern bir Güvenlik Operasyon Merkezi (SOC) liderine bugün danışmanlık yapacak olsanız, güvenlik açıklarını kapatmak için hangi somut adımları atmaları gerektiğini önerirsiniz?

İlk olarak, sınırlar arası telemetri alone’un modern uygulama güvenliği için yeterli olmadığı kabul edilmelidir. Aslında, birçok uygulama ve API saldırısını sınırlarda görmek veya durdurmak imkansızdır. SOC, uygulamaların içinde, yalnızca onları barındıran altyapının içinde değil, görünürlüğe ihtiyaç duyar. İkincisi, teorik bulgulardan çalışma zamanı kanıtlarına öncelik verin. Etkin kodda, aktif saldırı yollarını, maruz kalan hizmetleri ve üretim ortamında gerçekten yürütülen kodu belirleyin. Son olarak, uygulama güvenliği ve algılama mühendisliğini birleştirin. Gelecek SOC, uygulamaları artık şeffaf kutular olarak göremez. Uygulamalar artık birincil saldırı yüzeyi haline geldi ve çalışma zamanında birinci sınıf görünürlüğe ihtiyaçları var.

Harika röportaj için teşekkür ederiz, daha fazla bilgi öğrenmek isteyen okuyucular OWASP veya Contrast Security‘yi ziyaret edebilir.