სთხოვეთ ხუთ უსაფრთხოების ინჟინერს, განსაზღვრონ „კიბერ საფრთხე“ და მიიღებთ ხუთ განსხვავებულ პასუხს, რომელთაგან თითოეული აღწერს ბოლო ინციდენტს, რომელმაც ისინი ღამით არ დააძინა. სწორედ ეს არის პრობლემა. საფრთხის კატეგორიები ადრე მარტივი იყო: ფიშინგი, მავნე პროგრამა, მოპარული პაროლი. დღეს, შეტევის ზედაპირი მოიცავს თქვენს მიერ დეველოპერების მიერ დაწერილ კოდს, მათ მიერ იმპორტირებული ღია კოდის პაკეტებს, pipelines, რომლებიც ქმნიან და აგზავნიან ამ კოდს და, სულ უფრო მეტად, თავად IDE-ში მოთავსებული ხელოვნური ინტელექტის ინსტრუმენტები.
ეს პოსტი აანალიზებს თანამედროვე პროგრამული უზრუნველყოფის ორგანიზაციების წინაშე მდგარ კიბერ საფრთხეების ძირითად ტიპებს, იმის მიხედვით, თუ როგორ ხდება შეტევები რეალურად პროგრამული უზრუნველყოფის შემუშავების სასიცოცხლო ციკლის განმავლობაში (SDLC), არა ათწლეულების წინანდელი ტერმინოლოგიური ლექსიკონიდან კოპირებულ ზოგად სიაში.
რატომ ვერ ფარავს კიბერ საფრთხეების ძველი ტიპები დღევანდელ რისკებს
„კიბერ საფრთხეების ტიპების“ შესახებ კონტენტის უმეტესობა უსაფრთხოებას კვლავ პერიმეტრის პრობლემად განიხილავს: firewall-ები, საბოლოო წერტილები, ფიშინგის ელფოსტა. ამ ჩარჩოს აზრი ჰქონდა მაშინ, როდესაც პროგრამული უზრუნველყოფა ძირითადად საკუთარი ძალებით იქმნებოდა და ნელა იგზავნებოდა. ეს არ არის სწორი, როდესაც:
- აპლიკაციები ასობით ღია კოდის დამოკიდებულებიდან არის აწყობილი, რომელთაგან ნებისმიერის კომპრომეტირება შესაძლებელია.
- კოდი გადაადგილდება CI/CD pipelineრომლებიც ფართო ნებართვებით და მცირე ადამიანური ზედამხედველობით მუშაობენ.
- კოდის მზარდი წილი ხელოვნური ინტელექტის მიერ გენერირებული ან ხელოვნური ინტელექტის დახმარებით ხორციელდება, რაც ცვლის როგორც წარმოქმნილი ხარვეზების მოცულობას, ასევე ბუნებას.
დღევანდელი საფრთხეების გაგება ნიშნავს იმის გაგებას, თუ საიდან იღებს სათავეს თითოეული მათგანი პროგრამული უზრუნველყოფის მიწოდების ჯაჭვში და არა მხოლოდ იმას, თუ რა ზიანს იწვევს საბოლოოდ.
კიბერ საფრთხეების ძირითადი ტიპები, რომლებსაც დღეს უსაფრთხოების ჯგუფები აწყდებიან
კიბერსაფრთხის თითოეული ტიპი, ახსნილი
1. მავნე პროგრამები პროგრამული უზრუნველყოფის მიწოდების ჯაჭვში
მავნე კოდი აღარ მოდის მხოლოდ ინფიცირებული ელფოსტის დანართის მეშვეობით. ის სულ უფრო ხშირად მოდის ღია კოდის პაკეტის, კომპრომეტირებული GitHub მოქმედების ან გაყალბებული ბილდის არტეფაქტის მეშვეობით. თავდამსხმელები აქვეყნებენ ან იტაცებენ პაკეტებს, ათავსებენ უკანა კარებსა და ტროიანებს დამოკიდებულებებში და ელოდებიან დეველოპერებს, რომ რუტინულად შეიყვანონ ისინი. install ბრძანებები.
სწორედ ამიტომ გახდა პროგრამული უზრუნველყოფის მიწოდების ჯაჭვზე თავდასხმები ერთ-ერთი ყველაზე სწრაფად მზარდი საფრთხის კატეგორია: ისინი იყენებენ ნდობას. დეველოპერი ენდობა პაკეტების რეესტრს ისევე, როგორც ენდობა საკუთარ კოდის რედაქტორს და თავდამსხმელებმა ეს იციან.
2. საიდუმლოებების გაჟონვა
პაროლები, API გასაღებები და ტოკენები, რომლებიც ჩაწერილია საწყის კოდში, კონფიგურაციის ფაილებში ან CI/CD ჟურნალები კვლავ რჩება დარღვევების ერთ-ერთ ყველაზე გავრცელებულ და ყველაზე პრევენციულ მიზეზად. როგორც კი საიდუმლო გახდება ცნობილი commitთუ ის საცავში, თუნდაც კერძოში, იქნება ეს, ის შეიძლება ვერსიების ისტორიაში დიდი ხნით მაინც დარჩეს მას შემდეგ, რაც ვინმე მის იქ ყოფნას გაახსენდება და გამჟღავნებული საიდუმლოებები ხშირად გაჟონვიდან რამდენიმე დღის შემდეგაც კი აქტიურდება.
3. დამოკიდებულება და ღია კოდის რისკები
ცნობილი CVE-ების გარდა, ეს კატეგორია მოიცავს შეტევის ნიმუშებს, რომლებიც კონკრეტულად მიზნად ისახავს დეველოპერების (და სულ უფრო ხშირად ხელოვნური ინტელექტის კოდირების ასისტენტების) მიერ პაკეტების შერჩევას:
- ტიპოქტაცია: მავნე პაკეტის გამოქვეყნება, რომლის სახელიც მატყუარად ჰგავს პოპულარულ პაკეტს.
- დამოკიდებულების დაბნეულობა: აწყობის სისტემის მოტყუება, რათა ის საჯარო პაკეტს ამოიღოს განკუთვნილი შიდა პაკეტის ნაცვლად.
- ჩაჯდომები: პაკეტის სახელის რეგისტრაცია, რომელსაც ხელოვნური ინტელექტის კოდირების ასისტენტი ჰალუცინაციებით უყურებს და ურჩევს, ამიტომ „სასარგებლო“ შემოთავაზება რეალური ბიბლიოთეკის ნაცვლად მავნე პროგრამას აინსტალირებს.
4. CI/CD და აშენება pipeline თავდასხმები
Pipelineმუშაობს მანქანის სიჩქარით, გაზრდილი, ხშირად ცუდად განსაზღვრული ნებართვებით და არაადამიანური იდენტობებით, რომლებიც იშვიათად მოწმდება ისე, როგორც მომხმარებლის ანგარიშები. ეს კომბინაცია მათ ეფექტურ სამიზნედ აქცევს: არაავტორიზებული კოდის ინექცია, დამოკიდებულების ჯაჭვის ბოროტად გამოყენებაარასაკმარისი წვდომის კონტროლი და კომპრომეტირებული აწყობის არტეფაქტები არის რისკის კატეგორიები, რომლებიც აშკარად არის მითითებული ისეთ ჩარჩოებში, როგორიცაა NIST SP 800-204D და OWASP Top 10. CI/CD უსაფრთხოების რისკები. ერთი კომპრომეტირებული GitHub მოქმედება შეიძლება ათასობით ში შესრულდეს. pipelineსანამ ვინმე შეამჩნევს.
5. ინფრასტრუქტურა, როგორც კოდი (IaC) არასწორი კონფიგურაციები
Terraform, CloudFormation, Kubernetes და Helm შაბლონები განსაზღვრავენ, თუ როგორ ხდება ინფრასტრუქტურის უზრუნველყოფა, რაც ნიშნავს მავნე ან დაუდევარ ბრძანებას. IaC ფაილი არა მხოლოდ აღწერს შეცდომას; ის მას მასშტაბურად იმეორებს, ყოველ ჯერზე, როდესაც შაბლონი გაშვებულია.
6. ხელოვნური ინტელექტის მიერ გენერირებული კოდის რისკი
ხელოვნური ინტელექტის კოდირების ასისტენტები წარმოების კოდის მზარდ წილს წერენ და ეს კოდი გაცილებით მეტ ხარვეზს შეიცავს, ვიდრე დახმარების გარეშე დაწერილი კოდი, მათ შორის ავთენტიფიკაციის და იდენტობისა და წვდომის მართვის პრობლემები. რისკი თავად ხელოვნური ინტელექტის ინსტრუმენტში არ არის; რისკი იმაში მდგომარეობს, რომ ხელოვნური ინტელექტის დახმარებით შექმნილი კოდი უფრო სწრაფად მიეწოდება, ვიდრე განხილვის პროცესების უმეტესობა იყო შექმნილი.
7. ხელოვნური ინტელექტის აგენტისა და MCP-ფენის საფრთხეები
როდესაც ხელოვნური ინტელექტი ავტომატური შევსებიდან ინსტრუმენტებზე წვდომის მქონე ავტონომიურ აგენტებზე გადადის, გაიხსნა საფრთხის ახალი ფენა: სწრაფი ინექცია, ხელსაწყოების მოწამვლა (როდესაც აგენტი მავნე ხელსაწყოს აღწერილობით მოტყუებით აიძულებს მას განახორციელოს გაუთვალისწინებელი ქმედებები) და დაუცველობები... მოდელის კონტექსტური პროტოკოლი (MCP) სერვერები, რომლებიც აგენტებს რეალურ სისტემებთან აკავშირებენ. ეს ფენა უხილავია მემკვიდრეობით მიღებული AppSec-ისა და საბოლოო წერტილის ხელსაწყოებისთვის, რადგან ის IDE-სა და აგენტის საკუთარ დეველოპერშია განთავსებული.cisიონების წარმოქმნა, არა სკანირებულ ფაილში.
8. ინსაიდერული მუქარა და მომსახურე პერსონალის კომპრომეტირება
ყველა საფრთხე გარეგანი არ არის. კომპრომეტირებული მომვლელის ანგარიშები, პრივილეგიების არაავტორიზებული გამოყენება და სანდო კონტრიბუტორების მიერ გადაუმოწმებელი ცვლილებები დარღვევების მნიშვნელოვან ნაწილს შეადგენს, სწორედ ამიტომ პაკეტის მფლობელობის ცვლილებებისა და მომვლელის რეპუტაციის თვალყურის დევნება კოდის სკანირებასთან შედარებით ისეთივე მნიშვნელოვანია.
ამ ტიპის კიბერ საფრთხეებს შორის საერთო ძაფი
ზემოთ მოცემულ სიას თუ შეხედავთ, ერთი და იგივე კანონზომიერება გამოჩნდება. ამ ტიპის კიბერ საფრთხეები არ წარმოადგენს რვა ერთმანეთთან დაუკავშირებელ პრობლემას; ისინი ერთი და იგივე შეტევის ზედაპირია, რომელიც ხუთი ფენიდან ჩანს. SDLC: კოდის შემქმნელების მიერ დაწერილი კოდი, მათ მიერ იმპორტირებული დამოკიდებულებები, pipelines-ები, რომლებიც ქმნიან და ავრცელებენ მას, ხელოვნური ინტელექტის მოდელები და აგენტები, რომლებიც ამჟამად ჩაშენებულია ამ სამუშაო პროცესში და თავად დეველოპერის გარემო. თავდამსხმელს არ სჭირდება ხუთივეს დარღვევა. ერთი სუსტი ფენა, როგორც წესი, საკმარისია, სწორედ ამიტომ, მათი იზოლირებულ კატეგორიებად მიჩნევა, თითოეულზე ცალკე ხელსაწყოს მიმაგრებით, მათ შორის ხარვეზებს ტოვებს.
რვა შეტყობინებიდან ერთ პრიორიტეტულ ხედამდე
ქსიგენი ხუთივე ფენას ერთი პლატფორმიდან იცავს, თითოეული საფრთხის ტიპისთვის წერტილოვანი ინსტრუმენტების ერთმანეთთან შეერთების ნაცვლად. Xygeni-ს მავნე პროგრამებისგან დაცვა აღმოაჩენს მავნე პაკეტებს და pipeline რეალურ დროში ჩარევა, მათ შორის ნულოვანი დღის საფრთხეები, რომლებსაც ჯერ არ აქვთ ცნობილი ხელმოწერა, შესაძლებლობა, რომლის შეთავაზებაც სკანერების უმეტესობას არ შეუძლია, რადგან ისინი ეყრდნობიან არსებულ აღმოჩენის წესებთან შესაბამისობას. საიდუმლოებები უსაფრთხოება სკანირებს 100-ზე მეტ საიდუმლოს და ბლოკავს მათ გახსნამდე commitდამუშავებული CI/CD მდე Build Security გამკაცრდეს pipelineარაავტორიზებული კოდის ინექციისა და სახიფათო IaC ბრძანებები. DevAI იცავს კოდს, როდესაც ხელოვნური ინტელექტის ასისტენტები წერენ მას, პირდაპირ IDE-ში, დეველოპერის სამუშაო პროცესში მოთხოვნების ან ხახუნის დამატების გარეშე. და რადგან Xygeni-ს ASPM ფენის მესამე მხარის სკანერებიდან მიღებულ მონაცემებსაც შთანთქავს, იგივე ხელოვნური ინტელექტით მართული დახარისხება და პრიორიტეტიზაცია გამოიყენება მიუხედავად იმისა, რისკი Xygeni-მ აღმოაჩინა თუ უკვე გამოყენებული ინსტრუმენტით, ამიტომ ხილვადობის კონსოლიდაცია არ ნიშნავს რაიმეს ამოღებას.
შედეგი არის ერთი პრიორიტეტული ხედვა იმის შესახებ, თუ რა არის რეალურად ექსპლუატაციადი კოდის, დამოკიდებულებების მიხედვით. pipelines, ხელოვნური ინტელექტის ხელსაწყოები და დეველოპერის გარემო, ყურადღებისთვის მებრძოლი რვა გათიშული შეტყობინების ნაცვლად. ამ ტიპის კიბერ საფრთხეებთან გამკლავება არ ნიშნავს ყოველი ახალი კატეგორიისთვის კიდევ ერთი ინსტრუმენტის დამატებას; საქმე ეხება უკვე არსებულებს შორის არსებული ხარვეზების შევსებას.
კითხვა-პასუხი
რა განსხვავებაა კიბერ საფრთხესა და დაუცველობას შორის?
დაუცველობა სისუსტეა, მაგალითად, მოძველებული დამოკიდებულება ან არასწორად კონფიგურირებული pipelineკიბერ საფრთხე ამ სისუსტის გამოყენების რეალური მცდელობაა. პროგრამულ უზრუნველყოფას შეიძლება ჰქონდეს ათასობით დაუცველობა და მის წინააღმდეგ ნულოვანი საფრთხე არ იყოს, ან ერთმა ექსპლუატირებულმა დაუცველობამ შეიძლება დარღვევა გამოიწვიოს. უსაფრთხოების ჯგუფები, რომლებიც მხოლოდ დაუცველობებს ითვლიან, ვერ ამჩნევენ, თუ რომელი მათგანი ხდება სინამდვილეში სამიზნე.
რა არის ყველაზე გავრცელებული კიბერ საფრთხე, რომლის წინაშეც ამჟამად პროგრამული უზრუნველყოფის ჯგუფები დგანან?
მიწოდების ჯაჭვის შეტევები და საიდუმლოებების გაჟონვა რჩება ორ ყველაზე გავრცელებულ შესვლის წერტილად, ძირითადად იმიტომ, რომ ისინი იყენებენ დეველოპერის რუტინულ ქცევას (პაკეტის ინსტალაცია, commit(კოდი) დახვეწილი ექსპლოიტის მოთხოვნის ნაცვლად. თავდამსხმელებს არ სჭირდებათ შეღწევა, თუ სანდო სამუშაო პროცესი მათ შესვლის საშუალებას აძლევს.
როგორ ცვლის ხელოვნური ინტელექტი კიბერ საფრთხეების ტიპებს, რომლებსაც უსაფრთხოების ჯგუფები აწყდებიან?
ხელოვნური ინტელექტი ძველების ჩანაცვლების ნაცვლად ორ ახალ საფრთხის ზედაპირს ამატებს. პირველ რიგში, ხელოვნური ინტელექტის მიერ გენერირებულ კოდს მეტი ხარვეზი აქვს, ვიდრე დახმარების გარეშე დაწერილ კოდს. მეორეც, ხელოვნური ინტელექტის კოდის ასისტენტები და აგენტები ნერგავენ სრულიად ახალ შეტევის ნიმუშებს, როგორიცაა slopsquatting (მავნე პროგრამა, რომელიც ხელოვნური ინტელექტის მიერ ჰალუცინაციებს იწვევს პაკეტის სახელის ქვეშ) და ინსტრუმენტების მოწამვლა MCP წვდომის მქონე ხელოვნური ინტელექტის აგენტების წინააღმდეგ. ორივე მათგანი იმ ფარგლებს გარეთაა, რის დასაჭერადაც AppSec-ის მემკვიდრეობითი ინსტრუმენტები შეიქმნა.
შეუძლია თუ არა კომპანიას ერთი ინსტრუმენტით დაიცვას თავი ყველა ამ ტიპის კიბერსაფრთხისგან?
არა ერთჯერადი სკანერით, რადგან საფრთხის თითოეული ტიპი (მავნე პროგრამა, საიდუმლოებები, დამოკიდებულების რისკი და ა.შ.) pipeline შეტევები, ხელოვნური ინტელექტის კოდის რისკი) როგორც წესი, სხვადასხვა წერტილზეა მიბმული. ამ ხარვეზს ავსებს პლატფორმა, რომელიც ფენებს ერთად ფარავს და ყველა მათგანში ანიჭებს პრიორიტეტს დასკვნებს, რვა ცალკეული შეტყობინების ნაცვლად, რომლებსაც საერთო კონტექსტი არ აქვთ.
