Чуть больше года назад, до того как передовые ИИ-модели начали обнаруживать уязвимости в программном обеспечении в почти неуправляемом масштабе во время так называемого «вулнпокалипсиса», три отраслевых эксперта предложили концепцию «VulnOps».
VulnOps, как ее задумали Хизер Аткинс, Гади Эврон и Брюс Шнайер, представляет собой важный этап в эволюции киберзащиты с помощью ИИ, в рамках которого исследование уязвимостей и их устранение станут масштабируемыми, повторяемыми, автоматизированными и интегрированными в корпоративные операции. Они предположили, что эта новая эра организационного управления уязвимостями перейдет от управления уязвимостями с помощью ИИ к самовосстанавливающимся сетям.
С тех пор Cloud Security Alliance разработала операционную модель VulnOps, SANS опубликовала руководство по внедрению VulnOps и готовится запустить обучение по VulnOps, а практики начинают экспериментировать с составными технологиями, связанными с этой идеей.
Однако главный вопрос заключается в том, достаточно ли быстро развивается VulnOps, чтобы идти в ногу с лавиной обнаруженных уязвимостей.
Как говорит Эврон, генеральный директор и основатель платформы безопасности ИИ и управления доступом к данным Knostic, для CSO: «Я смотрю на мир прямо сейчас и вижу, что многие люди тратят огромные деньги на поиск уязвимостей. Но проблема в том: что мы будем делать, когда найдем их? И вот тут все становится действительно сложно».
Не программа управления уязвимостями вашего отца
Наиболее очевидным предшественником того, как VulnOps может вызвать смену парадигмы в управлении уязвимостями, является повсеместный сдвиг в разработке программного обеспечения, созданный DevOps. По данным IBM, DevOps — это «методология разработки программного обеспечения, которая ускоряет доставку высокопроизводительных приложений и услуг путем объединения и автоматизации работы команд разработки программного обеспечения (Dev) и ИТ-операций (Ops)».
Эксперты подчеркивают, что VulnOps, однако, не означает ускорение существующего управления уязвимостями путем добавления компонентов ИИ. Это совершенно новый подход к управлению уязвимостями, который полагается на ИИ-агентов для автоматизации и ускорения способов устранения уязвимостей организациями.
Они говорят, что это не что иное, как полная переработка существующих практик обнаружения, приоритизации и устранения уязвимостей.
«Основная философия заключается в переходе к более непрерывным автоматизированным процессам и более быстрым циклам обратной связи, как мы сделали с DevOps, где мы научились быстрее производить код», — говорит Рич Могулл, главный аналитик Cloud Security Alliance, для CSO. «Теперь мы переносим это в управление уязвимостями. Если вы подумаете о том, что отличало DevOps, то это была философия перехода от итеративного цикла к непрерывному циклу с быстрыми сбоями и циклами обратной связи».
Эд Скуди, президент SANS Technology Institute, утверждает, что ИИ должен стать центральным элементом работы по управлению уязвимостями. «Мы говорим о рабочем процессе, ориентированном на ИИ, где ИИ выполняет большую часть анализа, а люди только контролируют операцию», — говорит Скуди для CSO.
Однако не все убеждены, что VulnOps представляет собой такой фундаментальный отход от устоявшихся практик.
«Для меня это похоже на ребрендинг», — говорит Крис Элги, главный инструктор SANS и старший аналитик по безопасности в Counter Hack Challenges, для CSO.
«Организации всегда имели дело с управлением уязвимостями», — говорит Элги, который согласен с тем, что ускоряющийся темп обнаружения уязвимостей оказывает новое давление на организации, но сомневается, является ли VulnOps принципиально иной дисциплиной.
Умер ли человек в цикле?
Эксперты расходятся во мнениях по одному фундаментальному аспекту VulnOps, как они понимают эту концепцию в настоящее время. Разногласия сосредоточены на том, сколько человеческого контроля может сохраниться, когда устранение уязвимостей должно работать со скоростью ИИ.
«Самая большая трудность, с которой люди сталкиваются при исправлении уязвимостей в целом, заключается в том, что это нарушает рабочие процессы», — говорит Али Хан, CISO компании Iru, занимающейся безопасностью устройств на базе ИИ, для CSO. «Как правило, когда возникает уязвимость безопасности и ее необходимо исправить, приходится обновлять исходный код или сторонние пакеты поставки», — объясняет Хан.
«И обычно это приводит к нарушающим изменениям, особенно в устаревших системах, которые существуют давно и находятся в режиме обслуживания», — говорит Хан. «Вы не хотите останавливать компанию или уничтожать ее денежный поток, выпуская исправление, которое фактически останавливает бизнес-процесс».
Именно этот риск заставляет большинство специалистов по безопасности не спешить исключать людей из процесса.
Могулл из CSA предостерегает: «Мы далеки от полной автоматизации [устранения] части процесса. В конечном итоге нам понадобится больше, но мы еще не там, даже с сегодняшними инструментами», — говорит он.
Он также не предполагает, что VulnOps будет работать без человеческого надзора. «Помните, люди несут ответственность», — говорит Могулл. Он отмечает, что в рамках операционной модели CSA, которую он помог разработать, ИИ может принимать решения в рамках заранее определенных политик, но потенциально разрушительные изменения по-прежнему требуют вмешательства человека.
Скуди из SANS Technology Institute выступает за то, что он называет процессом «управление в цикле», где «у вас есть управление, которое решает: «Эй, если какое-либо действие, которое я предпринимаю, может попасть ниже этого уровня управления в цикле, просто сделайте это. Автоматизируйте это. Даже не думайте об этом».
«Каждая организация будет иметь свою собственную отдельную линию для применения управления в цикле, но вы можете сказать, например, что касается важных исправлений для рабочих станций Windows, развертывайте их, если они критичны, на поэтапной основе. То есть, другими словами, 25% в час или два, в течение полудня».
Однако Эврон из Knostic считает, что даже эти договоренности могут оказаться неустойчивыми по мере ускорения ИИ в обнаружении и эксплуатации уязвимостей.
«Одно из главных пониманий последних нескольких месяцев заключается в том, что человек в цикле мертв», — говорит он. «Мы просто не можем двигаться достаточно быстро для подавляющего большинства операций, чтобы иметь человека в цикле».
Кроме того, Эврон сомневается, останется ли автономное исправление адекватным решением. «Мы должны понимать, что исправление просто не будет достаточно быстрым», — говорит Эврон. «Мы должны начать рассматривать, как мы строим программы безопасности в мире, где исправление нежизнеспособно».
Автономное исправление может быть лишь переходным этапом
Эврон считает, что автоматическое исправление является необходимым промежуточным шагом, но даже полностью автоматизированное устранение в конечном итоге может оказаться недостаточным по мере ускорения ИИ в обнаружении и эксплуатации уязвимостей.
«Начните свою программу автономного исправления сегодня, но поймите, что нам нужно готовиться к миру без исправлений», — предупреждает он. «Если у нас есть человек в цикле, он просто исполнитель. Человек будет нести всю ответственность без полномочий и возможности понимать, что он делает».
Эврон утверждает, что отрасль должна перестать исключительно думать о поиске недостатков и их последующем устранении, а вместо этого должна выбирать программное обеспечение и защитные системы, которые предотвращают появление уязвимостей, обнаруживают и нейтрализуют эксплуатацию в первую очередь или делают отдельные уязвимости менее значительными.
Он видит три подхода к реализации этих превентивных систем. Первый — встраивать их непосредственно в ИИ-агенты для кодирования, а не полагаться в основном на сканирование уязвимостей после написания кода. «Контролируйте своих агентов для кодирования, и вы будете контролировать свой код, так что сам код будет генерироваться более безопасным», — говорит Эврон. Он также выступает за сканирование кода на наличие уязвимостей при его генерации, а не за ожидание, пока он попадет в традиционные конвейеры непрерывной интеграции.
Второй подход — обнаруживать и нейтрализовать атаки во время выполнения. Эврон описывает то, что он называет «исправлением на месте во время выполнения». На конференции [un]prompted в этом году Эврон выступил с докладом, демонстрирующим способы проведения исправлений на месте во время выполнения. «Когда атака происходит, она обнаруживается в журналах и исправляется», — говорит Эврон.
Третий подход к созданию системы, которая обходит текущий цикл исправлений, заключается в том, чтобы сделать исправления менее срочными за счет многоуровневой защиты, по словам Эврона. Он предлагает перейти к подходам, в которых критические уязвимости становятся вопросом многоуровневой защиты, «так что вам не обязательно исправлять их немедленно».
Шаги, которые CISO должны предпринять сейчас
По словам Эврона, самый важный шаг, который должны предпринять CISO для принятия VulnOps, — это перестать полагаться исключительно на устоявшиеся практики, которые могут помешать им осознать, как ИИ фундаментально меняет среду угроз.
Например, базовая гигиена безопасности остается важной, но ее нельзя рассматривать как достаточное реагирование на обнаружение уязвимостей, управляемое ИИ, говорит он. «Перестаньте бояться мечтать, мыслите шире и поймите, что, конечно, наши основы всегда важны; они нас не спасут», — добавляет он.
И все же другие эксперты сомневаются, как организации могут принять сложный новый мир VulnOps, не убедившись сначала в надежности своих основ безопасности. Элги из Counter Hack говорит: «Многие организации, возможно, большинство организаций, даже не имеют полного представления о своем инвентарном списке активов».
Хан из Iru говорит, что CISO должны начать думать о том, как безопасность и инженерия должны пересмотреть свои отношения, учитывая, что команды безопасности не могут просто передавать разработчикам заявки на исправление и ожидать более быстрых результатов. «Эта стена должна рухнуть, и команды должны чувствовать себя комфортно, внося технический вклад в системы», — говорит Хан.
Скуди из SANS Technology Institute советует CISO начать внедрять VulnOps, не пытаясь трансформировать все предприятие в новую парадигму. Он утверждает, что организации должны начать устанавливать границы управления, в рамках которых могут действовать ИИ-агенты.
«Если это выше порога, если это более высокий бизнес-риск, тогда вам нужно, чтобы человек проверил это», — говорит Скуди. «Но если это ниже порога управления в цикле, то внедряйте».
Эврон уверен, что CISO могут рассчитывать на то, что их существующие команды справятся с переходом к VulnOps, особенно если они уменьшат свою зависимость от инструментов сканирования уязвимостей, которые выдают так много отчетов об уязвимостях. «Существующие команды могут справиться с этим, но не с текущими технологиями, которые они используют», — говорит он. «Мы должны перестать бездумно платить за большие сервисы сканирования, потому что узким местом всегда было исправление и патчинг».
Он добавляет: «Поэтому создание системы, в которой мы доверяем автономному исправлению, — это то, что мы должны сделать прямо сейчас, в краткосрочной перспективе, а в долгосрочной перспективе в наших планах мы должны понимать, что не сможем полагаться на исправление».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Cynthia Brumfield
