Mitä on tekoälyn triage?

Mitä on tekoälyn triage? Se on tekoälypohjaisen analyysin soveltamista tietoturvalöydöksiin siten, että tasaisen hälytysluettelon sijaan tiimi saa tuomion siitä, onko jokainen löydös aito positiivinen (aito ongelma) vai väärä positiivinen (ei hyödynnettävissä tai perustuu virheelliseen dataan). Se ei ole mikään uusi skanneri. Se on taso, joka sijaitsee skannerin tulosteen päällä ja päättää, mitkä löydökset todella ansaitsevat kehittäjän huomion.

On tärkeää ymmärtää, mitä tekoälyn triage on (ja miltä tekoälyn triage käytännössä näyttää), koska perinteinen vaihtoehto, jossa ihminen lukee manuaalisesti jokaisen skannerin jokaisen löydöksen, ei skaalaudu. SAST, SCA, salaisuuksien havaitseminen, IaCja DAST tuottavat rinnakkain paljon enemmän löydöksiä kuin mikään tiimi voi tarkastella yksi kerrallaan, ja suuri osa näistä löydöksistä on vääriä positiivisia, jotka eivät vaadi toimenpiteitä. Tämä sanasto selittää, mitä tekoälyn triage on, miten se toimii erityyppisten löydösten kanssa ja miksi se on tärkeä haittojen vähentämisessä. valppausväsymys.

Tekoälyn triage-merkitys: Lyhyt määritelmä #

Tekoälyn triage tarkoittaa muodollisesti tekoälyn ohjaamaa turvallisuuslöydökseen tehtyä arviointia, joka tuottaa tuomion siitä, onko ongelma aito. oikea positiivinen vai väärä positiivinen.

Termi laajentaa vanhempaa "triage"-ajattelua lääketieteellisistä ja tapahtumiin reagoinnin yhteydessä (päätetään, mihin kiinnitetään ensin huomiota, kun työtä on enemmän kuin aikaa) tietoturvahälytysten ylikuormituksen erityisongelmaan. Perinteinen skanneri raportoi vain "tämä kaava vastaa tunnettua riskialtista kaavaa," Tekoäly arvioi ympäröivää kontekstia, koodia, kokoonpanoa, pyyntöön/vastaukseen liittyvää näyttöä ja päätyy johtopäätökseen, johon ihmisen olisi muuten tultava manuaalisesti.

Käytännössä tekoälyn triage tarkoittaa seuraavaa: löydös lakkaa olemasta yksiselitteinen, erittelemätön hälytys ja siitä tulee vahvistettu tai hylätty kohde ennen kuin se edes saavuttaa kehittäjän jonon.

Mitä se todellisuudessa tuottaa #

Jokainen triaged-löydös saa tuomion: onko tekoäly varma, että kyseessä on todellinen haavoittuvuus (aito positiivinen), varma, ettei se ole (väärä positiivinen, esimerkiksi koska tiedot on puhdistettu tai koodipolkuun ei päästä), vai kykenemätön pääsemään varmaan johtopäätökseen (tarpeen tarkistus). Tuomio "tarpeen tarkistus" on harkittu lopputulos, ei epäonnistuminen: Tekoälyn triage on rakennettu sanomaan "en ole varma" sen sijaan, että arvattaisiin, kun todisteet ovat epäselviä.

Miksi tekoälyn triage ei ole sama kaikille löydöstyypeille #

Yksi tärkeimmistä asioista, jotka on ymmärrettävä tekoälyn triage-analyysissä, on se, että sitä ei sovelleta yhdenmukaisesti kaikenlaisiin tietoturvalöydöksiin, koska väärät positiiviset tulokset näyttävät erilaisilta riippuen siitä, mitä triage-analyysissä tarkastellaan.

• Koodi- ja konfiguraatiolöydöksille (SAST, IaC, salaisuudet). Tekoäly arvioi suoraan ympäröivää koodikontekstia päättääkseen, onko merkitty malli todella hyödynnettävissä, ja selittää päättelynsä selkotekstissä tuomion ohessa.

• Avoimen lähdekoodin riippuvuuslöydöksiä varten (SCA). Tuomiokysymys toimii tässä eri tavalla: tunnettu CVE riippuvuudessa joko pätee tai ei, joten väärien positiivisten tapausten havaitseminen käsitellään saavutettavuusanalyysin avulla perinteisen tekoälyluokituksen sijaan.

• Dynaamisten testaustulosten (DAST) osalta. Tekoäly luokittelee päättelyn suorituksenaikaisen todisteen, varsinaisen pyynnön ja vastauksen, eikä lähdekoodin perusteella, erityisesti havaitakseen dynaamiselle skannaukselle ominaiset väärien positiivisten tulosten mallit: verkkosovelluksen palomuuri estää hyökkäyksen hiljaisesti ja skanneri erehtyy luulemaan estosivua todelliseksi haavoittuvuudeksi, tai hyötykuorma heijastuu vastauksessa, joka on itse asiassa neutraloitu eikä hyödynnettävissä.

• Haittaohjelmatarkistuksen löydökset. Tämä toimii jälleen eri tavalla: yksittäisen löydöksen perusteella ei tehdä johtopäätöstä, vaan tekoälyn triage arvioi haittaohjelmaskannerin tuottaman näytön luotettavuutta ja syöttää sen kokonaisprojektitason riskipisteytykseen, joten kourallinen erittäin luotettavia signaaleja pisteytyy eri tavalla kuin sama määrä heikkoja ja epäselviä signaaleja.

Mihin se sopii priorisoinnin työnkulussa #

Tekoälyn triagea ei ole tarkoitettu luettavaksi yksi löydös kerrallaan valinnanvaraisesti; se on suunniteltu sijoittumaan samoihin paikkoihin, joissa tiimi jo tarkastelee tietoturvatuloksia.

• Yksilöllisesti, tiettyä löydöstä varten. Kehittäjä tai tietoturvainsinööri voi avata yksittäisen ongelman ja nähdä tuomion ja sen taustalla olevat perustelut, mikä on hyödyllistä päätettäessä, voidaanko tiettyyn automaattiseen kutsuun luottaa.

• Irtotavarana, useista löydöksistä kerralla. Sen sijaan, että yksi asia käsiteltäisiin kerrallaan, kokonainen erä avoimia löydöksiä voidaan lähettää triage-analyysin läpi yhdessä. Tämä on realistinen tapa, jolla useimmat tiimit selvittävät ruuhkaa sen sijaan, että tarkastelisivat asioita yksi kerrallaan.

• Osana automatisoitua pipeline. Triage voi toimia automaattisesti heti skannauksen valmistuttua, joten kun kukaan katsoo tuloksia, kohina on jo erotettu huomionarvoisista asioista sen sijaan, että triage olisi erillinen manuaalinen vaihe, joka jonkun on muistettava suorittaa.

• Vaiheena laajemmassa priorisointisuppilossa. Sen sijaan, että tekoälyn triage-arvio toimisi itsenäisenä analyysinä, se voi toimia suodatusvaiheena laajemmassa priorisointiprosessissa, joten vahvistetut väärät positiiviset tulokset suodatetaan pois varhaisessa vaiheessa, jolloin jäljelle jäävät vain aidot löydökset jatkojärjestykseen.

Miksi tekoälyn triage on tärkeää #

Ydinongelma, johon tekoälyn triage puuttuu, ei ole havaitsemisen puute, vaan eriyttämättömien hälytysten ylitarjonta. Nykyaikaiset sovellusturvallisuusohjelmat ajavat useita skannereita rinnakkain, joista jokainen tuottaa tuloksia omalla logiikallaan, omalla luottamustasollaan ja ilman yhteistä käsitystä siitä, mikä on todellista. Ilman triage-kerrosta jokainen näistä löydöksistä päätyy ihmiselle yhtä suurella painoarvolla, olipa kyseessä sitten kriittinen, aktiivisesti hyödynnetty virhe tai väärä positiivinen tulos koodin kuvioiden yhteensopivuudesta, jota kukaan ei aja.

Tuo eriytymätön äänenvoimakkuus aiheuttaa valppausväsymystä, ihmisten hyvin dokumentoitua taipumusta lopettaa huolellinen lukeminen, kun äänenvoimakkuus ylittää tietyn kynnyksen. Valppausväsymys ei ole pelkästään tehokkuusongelma: se on turvallisuusongelma, koska se yksi löydös, jolla todella oli merkitystä, jää tilastollisesti todennäköisemmin huomaamatta tuhansien muiden löydösten joukossa, joilla ei ollut.

Tekoälyn triage kohdistuu suoraan tähän kuiluun tekemällä alustavan päättelykierroksen, joka ihmisarvioijan olisi muuten tehtävä jokaiselle löydökselle, ja olemalla selkeä omasta epävarmuudestaan ​​sen sijaan, että pakottaisi tekemään binäärisen päätöksen, kun todisteet eivät tue sitä.

Turvaaminen Pipeline Xygenin tekoälyanalyysin avulla #

Xygenin tekoälyyn perustuva triage on rakennettu suoraan alustan priorisointityönkulkuun sen sijaan, että se olisi kiinteä raportti. Ydintulosten lisäksi, jotka ovat oikein positiivisia/vääriä positiivisia, Xygeni laajentaa tekoälyn triagea kahdella lisätuloksella: korjaamisen kiireellisyys (kuinka pian vahvistettu ongelma vaatii huomiota, välittömästä ongelmasta ruuhkaan) ja korjaavan hoidon monimutkaisuus (kuinka paljon vaivaa korjauksen odotetaan vaativan, triviaalista yhden rivin muutoksesta vaikeaan, monialaiseen uudelleentyöhön). Yhdessä nämä antavat tiimeille paitsi siistimmän luettelon todellisista löydöksistä, myös valmiin priorisointijärjestyksen.

Tämä täydellinen arviointi, tuomio, kiireellisyys ja monimutkaisuus on laadittu SAST, IaC, salaisuuksia, SCAja DAST-löydökset, joissa kunkin löydöstyypin mukainen triage-logiikka on mukautettu: saavutettavuuteen perustuva väärän positiivisen havaitseminen SCA, pyyntö-vastaus-todisteiden analyysi DAST:lle ja koodikontekstiperusteinen päättely SAST, IaC, ja salaisuuksia.

Jokainen triage-löydös on merkitty sen arvioinnilla, kiireellisyydellä ja monimutkaisuudella, jotta tiimit voivat suodattaa ja rakentaa näkymiä juuri tärkeiden löydösten ympärille. Tekoälyn perustelut näkyvät jokaisen arvioinnin rinnalla sen sijaan, että ne piilotettaisiin mustan laatikon pistemäärän taakse. Triage voidaan suorittaa löydöskohtaisesti, kerrallaan koko ruuhka-alueella, CLI:n pyynnöstä tai automaattisesti skannauksen valmistuttua, ja sen tulokset syötetään suoraan Xygenin järjestelmään. SAST ja DAST-priorisointisuppilot, joten vahvistetut väärät positiiviset tulokset suodatetaan pois ennen kuin kehittäjä edes näkee niitä.

Erityisesti haittaohjelmien skannauksessa tekoälyn triage toimii eri tavalla: se arvioi skannauksen tuottaman näytön luotettavuuden ja laskee sen projektin kokonaishaitallisuuspistemäärään, jolloin kourallinen vahvoja signaaleja painotetaan asianmukaisesti suurempaa määrää heikkoja signaaleja vasten.

FAQ #