Очищення “туману більше” у кібербезпеці

На RSA Conference у Сан-Франциско цього місяця була представлена величезна кількість нових рішень від галузі кібербезпеки. Стенд за стендом стверджував, що вони є інструментом, який врятує вашу організацію від злих акторів, які викрадають ваші дані або вимагають викуп у мільйонах доларів.

Після ретельного розгляду я прийшов до висновку, що наша галузь загубилася. Загубилася у супі з виявленням і реагуванням на безкінечну чушку заяв, які обіцяють, що ваші проблеми зникнуть, якщо ви просто додасте ще один шар. Затоплена в тумані технологічних інвестицій, персоналу, інструментів і шарів інфраструктури, компанії створили лабіринт, у якому вони вже не можуть бачити ліс за деревами, коли йдеться про ідентифікацію та запобігання загрозам. Ці інструменти, призначені для захисту цифрових активів, замість цього викликають розчарування серед команд з безпеки та розробки через збільшення навантаження та несовместимість інструментів. “Туман більше” не працює. Але, якщо бути чесним, він ніколи не працював.

Кібератаки починаються і закінчуються в коді. Все так просто. У вас або є проблема з безпекою або вразливість у коді, або код був написаний без урахування безпеки. У будь-якому випадку, кожна атака або заголовок, який ви читаєте, походить від коду. І це розробники програмного забезпечення, які зазнають найбільшого впливу цієї проблеми. Але розробники не мають навичок у сфері безпеки, і, якщо бути чесним, вони ніколи не матимуть. Тому вони використовують старі добрі інструменти пошуку коду, які просто шукають шаблони у коді. І бійтеся того, чого ви просите, тому що в результаті вони отримують цунамі попереджень, переслідуючи червоні химери та фантоми більшої частини свого дня. Насправді, розробники витрачають до третини свого часу на переслідування помилкових позитивних результатів і вразливостей. Лише зосереджуючись на запобіганні можна підприємствам真正но почати зміцнювати свої програми безпеки та закладати основу для культури, орієнтованої на безпеку.

Пошук і виправлення на рівні коду

Часто кажуть, що запобігання краще, ніж лікування, і ця приказка особливо актуальна у сфері кібербезпеки. Тому, навіть попри більш тісні економічні обмеження, підприємства продовжують інвестувати та підключати все більше інструментів безпеки, створюючи多ступчасті бар’єри для входу, щоб зменшити ймовірність успішних кібератак. Але, попри додавання все більшої кількості шарів безпеки, ті самі види атак продовжують відбуватися. Час для організацій прийняти новий погляд – той, у якому ми зосереджуємося на проблемі на рівні джерела – шляхом пошуку та виправлення вразливостей у коді.

Застосунки часто служать основним входом для кіберзлочинців, які намагаються використати слабкості та отримати несанкціонований доступ до敏ливих даних. У кінці 2020 року було виявлено компрометацію SolarWinds, і слідчі знайшли компрометований процес побудови, який дозволив атакувальникам вставити шкідливий код у програмне забезпечення моніторингу мережі Orion. Ця атака підкреслила необхідність захисту кожного етапу процесу побудови програмного забезпечення. Реалізовуючи міцні заходи безпеки застосунків, або AppSec, підприємства можуть зменшити ризик цих порушень безпеки. Для цього підприємства повинні розглянути “зрушення вліво” ментальність, привносячи превентивні та прогнозні методи на стадію розробки.

Хоча це не зовсім нова ідея, вона має свої недоліки. Одним із значних недоліків є збільшення часу та витрат на розробку. Реалізація комплексних заходів AppSec може вимагати значних ресурсів та фахівців, що призводить до тривалого циклу розробки та вищої вартості. Крім того, не всі вразливості представляють високий ризик для організації. Можливість помилкових позитивних результатів від інструментів виявлення також призводить до розчарування серед розробників. Це створює розрив між бізнесом, інженерними та командами безпеки, чиї цілі можуть не збігатися. Але генерація штучного інтелекту може бути рішенням, яке закриє цей розрив раз і назавжди.

Вхід у епоху штучного інтелекту

Використовуючи всепроникність генерації штучного інтелекту в AppSec, ми нарешті зможемо вивчити уроки минулого, передбачити та запобігти майбутнім атакам. Наприклад, ви можете тренувати велику мовну модель або LLM на всіх відомих вразливостях коду, у всіх їх варіантах, щоб вивчити основні характеристики кожної з них. Ці вразливості можуть включати загальні проблеми, такі як переповнення буфера, атаки ін’єкції або неправильна перевірка введених даних. Модель також вивчить нюансировані відмінності мов, фреймворків та бібліотек, а також які виправлення коду успішні. Модель потім зможе використовувати ці знання, щоб сканувати код організації та виявити потенційні вразливості, які ще не були визначені. Використовуючи контекст навколо коду, інструменти сканування можуть краще виявляти справжні загрози. Це означає короткий час сканування та менше часу на переслідування помилкових позитивних результатів та підвищення продуктивності команд розробки.

Інструменти генерації штучного інтелекту також можуть пропонувати виправлення коду, автоматизуючи процес генерації патчів, суттєво зменшуючи час та зусилля, необхідні для виправлення вразливостей у кодових базах. Тренуючи моделі на величезних репозиторіях безпечних кодових баз та найкращих практиках, розробники можуть використовувати згенеровані штучним інтелектом фрагменти коду, які відповідають стандартам безпеки та уникнуть загальних вразливостей. Цей превентивний підхід не тільки зменшує ймовірність введення проблем безпеки, але також прискорює процес розробки, надаючи розробникам попередньо протестовані та валідовані компоненти коду.

Ці інструменти також можуть адаптуватися до різних мов програмування та стилів кодування, роблячи їх універсальними інструментами для безпеки коду в різних середовищах. Вони можуть покращуватися з часом, продовжуючи тренуватися на нових даних та зворотному зв’язку, що призводить до більш ефективної та надійної генерації патчів.

Людський фактор

Важливо зазначити, що хоча виправлення коду можуть бути автоматизовані, людський нагляд та валідация все ще є важливими для забезпечення якості та правильності згенерованих патчів. Хоча просунуті інструменти та алгоритми відіграють значну роль у виявленні та пом’якшенні проблем безпеки, людська експертиза, креативність та інтуїція залишаються незамінними для ефективної безпеки застосунків.

Розробники у кінцевому підсумку відповідають за написання безпечного коду. Їхнє розуміння найкращих практик безпеки, стандартів кодування та потенційних вразливостей має вирішальне значення для забезпечення того, що застосунки будуються з урахуванням безпеки з самого початку. Інтегруючи програми навчання та підвищення безпеки у процес розробки, організації можуть наділити розробників можливістю проактивно виявляти та усувати проблеми безпеки, зменшуючи ймовірність введення вразливостей у кодову базу.

Крім того, ефективна комунікація та співробітництво між різними зацікавленими сторонами в організації є важливими для успіху AppSec. Хоча рішення штучного інтелекту можуть допомогти “закрити розрив” між розробкою та операціями безпеки, для побудови більш стійких та безпечних застосунків потрібна культура співробітництва та спільної відповідальності.

У світі, де ландшафт загроз постійно змінюється, легко стати перегруженим величезною кількістю інструментів та технологій у сфері кібербезпеки. Однак, зосереджуючись на запобіганні та пошуку вразливостей у коді, організації можуть скоротити “жир” свого існуючого стеку безпеки, зберігаючи експоненційно багато часу та грошей у процесі. На рівні джерела такі рішення зможуть не тільки виявити відомі вразливості та виправити нуль-денні вразливості, але також вразливості до нуль-деньових до того, як вони трапляться. Ми, можливо, нарешті зможемо збігатися, якщо не випереджати, еволюціючих загрозних акторів.