1. Оршил: Та яагаад үүнийг анзаараагүй байх
Хэрэв та Вегаст болсон Black Hat 2025 арга хэмжээнд оролцоогүй эсвэл захиалгат сургалтын төлбөрийг төлөөгүй бол орчин үеийн AppSec-ийн хамгийн практик хичээлүүдийн нэгийг алгассан байх. Бид хэрхэн хийхийг харуулсан. Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах одоо шуугиан тарьсангүй: хамт кодын автомат засвархөгжүүлэгчид хиймэл оюун ухаан аюулгүй байдлыг бий болгож байгааг харж чадна pull requests үйлдвэрлэлд гарахаас өмнө эмзэг байдлыг нөхдөг. Мэдэгдэлд живэхийн оронд уг яриа хэрхэн хийхийг авч үзсэн програмын аюулгүй байдлын автоматжуулалт болон аппсек автоматжуулалт дуу чимээг шүүх, бодит эрсдэлийг эрэмбэлэх, засваруудыг шууд нэгтгэхэд туслах pipelineТа бас яаж гэдгийг нь харах болно автоматжуулсан програмын аюулгүй байдлын туршилт энэ бүхнийг нэгтгэж, багуудад аюулгүй байдлыг алдагдуулахгүйгээр хурдан хөдлөх боломжийг олгодог.
2. Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах арга гэж юу вэ?
Энгийнээр хэлбэл, Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах сэжигтэй үйл ажиллагааг илрүүлдэг ба яаралтай арга хэмжээ авдаг үүнийг хязгаарлах эсвэл засах.
- Илрүүлэх → Гажиг, хортой код эсвэл халдлагын шинж тэмдгийг тодорхойлдог.
- хариу арга хэмжээ → Асуудлыг хурдан засах, хандалтыг цуцлах эсвэл эвдэрсэн үйл явцыг зогсоох арга хэмжээ авна.
Уламжлалт аюул занал илрүүлэх, хариу арга хэмжээ авах хэрэгслүүд нь төгсгөлийн цэгүүдэд төвлөрдөг бол орчин үеийн аюул занал илрүүлэх, хариу арга хэмжээ авах шийдлүүд нь ... pipelineболон код. Хөгжүүлэгчдийн хувьд хамгийн үр дүнтэй аргыг ашигладаг бодит цагийн аюул заналхийллийг илрүүлэх дотор нь гүйдэг pull requests болон CI/CD, бодит ажлын урсгалд газрыг шууд засахыг баталгаажуулдаг.
Илрүүлэлт болон хариу арга хэмжээний тактикийн талаарх лавлагааны хүрээг үзнэ үү. MITRE ATT&CK® хүрээ.
3. Бодит цагийн аюул заналхийллийг илрүүлэх технологийн өсөлт
Өнөөгийн аюул занал хурдацтай хөгжиж байна. Халдагчид донтолтын хордлогоос эхлээд бүх зүйлийг автоматжуулдаг pipeline хөндлөнгийн оролцоо. Тиймээс, бодит цагийн аюул заналхийллийг илрүүлэх цаашид сонголттой мэт санагдахаа больсон, энэ нь орчин үеийн хувьд зайлшгүй шаардлагатай pipelines.
Жишээлбэл:
- Нууц задруулсан мэдээлэл хэдхэн минутын дотор тархаж, хүчирхийлэлд хүргэж болзошгүй.
- Дараагийн бүтээлтийн үед хортой хамаарал үүсч болзошгүй.
- Хуурамч CI ажлын урсгал нь кодыг шалгалтгүйгээр үйлдвэрлэлд түлхэж чадна.
Үүний үр дүнд, бодит цаг хугацаанд илрүүлж, хожим хариу өгөх нь танай бизнесийг аюулгүй байлгах эсвэл халдлагад өртөх хоёрын хооронд ялгааг бий болгодог. Орчин үеийн аюул занал илрүүлэх болон хариу арга хэмжээ авах шийдлүүд хурд болон автоматжуулсан нөхөн сэргээлтийг онцолсон бол уламжлалт хэрэгслүүд зөвхөн сэрэмжлүүлэгт хэт найдсаар байна.
4. Бодит байдал дахь AppSec автоматжуулалт PipelineХиймэл оюун ухаанаар ажилладаг эмзэг байдлыг автоматаар арилгах системтэй s
Ихэнх хөгжүүлэгчдэд өөр програм хэрэггүй dashboard, тэдэнд код байгаа газарт ажилладаг аюулгүй байдал хэрэгтэй. Энэ бол амлалт юм аппсек автоматжуулалтЦиклийн төгсгөлд хянан үзэхийг хүлээхийн оронд автоматжуулалтыг хэрэгжүүлдэг guardrails шууд орно pull requests болон CI/CD ажлын байр.
Бодит байдал дээр, програмын аюулгүй байдлын автоматжуулалт:
- Код дахь эмзэг байдлыг тэмдэглэж, нэгтгэхээс өмнө засдаг.
- Суулгах үед хортой хамаарлыг хаадаг.
- Нууцыг хэд хоногийн дараа биш, тэр даруй хүчингүй болгодог.
Энэ арга нь чимээ шуугианыг бууруулж, хүн бүрт итгэх итгэлийг бий болгодог pipeline ажиллуулах нь анхдагчаар аюулгүй хэвээр байна. Та үүнийг хослуулах үед Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах or кодын автомат засвар, асуудлууд нь хөгжүүлэгчдийн үрэлтгүйгээр илрүүлэлтээс шийдэл рүү шилждэг.
5. Хэрэглээний аюулгүй байдлын автоматжуулсан туршилтын үйл ажиллагаа
Уламжлалт туршилт нь илрүүлэх үед зогсдог тул багуудын ажиллагааг удаашруулдаг. Автоматжуулсан програмын аюулгүй байдлын туршилт таны дотор тасралтгүй ажиллах замаар үүнийг өөрчилдөг CI/CD pipelineГараар хянаж үзэхийг хүлээхийн оронд туршилтууд бүр дээр явагддаг pull request мөн барих.
Жинхэнэ давуу тал нь туршилт болон засварлалт хосолсон үед бий болдог. Автомат засвартай бол, автоматжуулсан програмын аюулгүй байдлын туршилт зөвхөн асуудлуудыг тодорхойлоод зогсохгүй, кодын автомат засвар тэдгээрийг шууд засварлаж, таны шууд нэгтгэж болох PR-уудыг түлхдэг.
Хосолсон програмын аюулгүй байдлын автоматжуулалт болон аппсек автоматжуулалт, туршилт нь зүгээр л хаалганаас илүү зүйл болж хувирдаг. Энэ нь эмзэг байдлыг олсон даруйдаа засдаг өөрийгөө эдгээх үйл явц болж хувирдаг.
6. Дахин тоглуулалтаар та юу авах вэ
Black Hat дээр шууд тоглолтыг үзээгүй юу? Ингээд л гүйцэж үзэх боломж байна. Бүрэн давталт нь онол биш, харин үүнийг харуулж байна. Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах, кодын автомат засварБолон програмын аюулгүй байдлын автоматжуулалт бодитоор гүйж байна pipelines.
Дахин тоглуулахыг авахад та дараах зүйлийг авах болно:
- Бүтэн хуралдааны бичлэг → 20 минутын практик үзүүлбэрүүд, ямар ч шуугиангүй.
- Слайд + хоол авч явах → Багийнхантайгаа практик ойлголтоо хуваалц.
- Автоматаар засах ажиллагаа явагдаж байна → Үзэх автоматжуулсан програмын аюулгүй байдлын туршилт гадаргуугийн асуудлууд болон хиймэл оюун ухаан нь тэдгээрийг засахын тулд аюулгүй PR-уудыг түлхдэг.
- Үнэгүй туршилтын сонголт → Өөрийн тохиргоонд Autofix-г туршаад үзээрэй pipeline хэрхэн яаж байгааг хараарай аппсек автоматжуулалт үнэндээ ажилладаг.
7. Xygeni-ийн хиймэл оюун ухаанаар эмзэг байдлыг автоматаар арилгах болон кодыг автоматаар засах нь үйл ажиллагаагаа явуулж байна
Хөгжүүлэгчдийг найдахаас өөр аргагүй болгохын оронд dashboardтэд ховор шалгадаг, Ксигени илгээгч бодит цагийн аюулыг илрүүлэх мөн ажлын урсгал дотор шууд нөхөн сэргээлт хийх:
- In Pull Requests → кодын автомат засвар аюулгүй засваруудыг шууд хэрэгжүүлдэг тул эмзэг байдал хэзээ ч овоолж хуримтлагддаггүй.
- In CI/CD Pipelines → Систем нь бүтээгдхүүнийг гаргахаас өмнө хөндлөнгийн оролцоотой ажлын урсгал эсвэл сэжигтэй ажлуудыг тэмдэглэдэг.
- Хамааралтай үед → Энэ нь ашиглагдаж болох багцуудыг контексттэй нь тодруулдаг тул та үнэхээр чухал зүйлийг засах болно.
Ингэснээр систем нь зөвхөн аюул заналыг илрүүлээд зогсохгүй, тэдгээрийг эх үүсвэр дээр нь хааж, засдаг. Энэ нь Xygeni-г хүргэлтийг удаашруулахгүйгээр шуурхай засч залруулах үйлчилгээ нэмснээр уламжлалт хэрэгслүүдээс ялгаруулдаг.
8. Хөгжүүлэлтийн багуудад зориулсан програмын аюулгүй байдлын автоматжуулалтын гол давуу талууд
Хамгийн гол нь Xygeni's аюул занал илрүүлэх, хариу арга хэмжээ авах шийдэл хурд болон нарийвчлалыг хангадаг:
- Бодит цаг хамгаалалт → Систем нь асуудлыг хэдэн цагийн дараа биш, харин гарсан даруйд нь илрүүлдэг.
- Хөгжүүлэгчээс эхлээд засвар үйлчилгээ → Автомат засвар нь аюулгүй байдлыг бий болгодог pull requests зөвхөн анхааруулга төдийгүй засваруудтай.
- Нийлүүлэлтийн сүлжээний хамрах хүрээ → Энэ нь код, хамаарал, нууц болон бусад зүйлсийг хамгаалдаг. pipelines.
- Цөөн худал эерэг → Хүрэх боломжтой байдал болон ашиглах боломжтой байдал гэх мэт контекстэд мэдрэмтгий шүүлтүүрүүд нь чухал зүйлд анхаарлаа төвлөрүүлдэг.
- Илүү хурдан хүргэх → Аюулгүй байдал нь таны урсгалыг тасалдуулахгүйгээр өөрийгөө хангадаг.
Үүний дагуу Xygeni эргэдэг бодит цагийн аюулыг илрүүлэх хөгжүүлэгчид болон аюулгүй байдлын багуудын аль алиных нь хувьд практик давуу тал болгон ашигладаг.
9. Дүгнэлт: Анхааруулгаас AppSec автоматжуулалт хүртэл
Програм хангамжийн хангамжийн сүлжээ бол шинэ тулааны талбар юм. Зөвхөн илрүүлэлтэд найдах нь хангалтгүй болсон. Танд зөвхөн эрсдэлийг тэмдэглээд зогсохгүй, мөн ... тэдгээрийг бодит цаг хугацаанд нь засах.
Xygeni үүнийг нэгтгэснээр боломжтой болгодог Хиймэл оюун ухааны автоматжуулсан эмзэг байдлыг арилгах, програмын аюулгүй байдлын автоматжуулалтБолон автоматжуулсан програмын аюулгүй байдлын туршилт хөгжүүлэгчийн доторх ажлын урсгалууд.
