Угрозы со стороны искусственного интеллекта требуют наступательного подхода к безопасности. Хаим Мазаль, CISO компании GitLab, рассказывает на портале The New Stack о том, как команды, возглавляемые инженерами, используют проактивную автоматизацию для остановки киберпреступников.

В июне Five Eyes («Пять глаз», разведывательный альянс пяти англоязычных стран: Австралии, Канады, Новой Зеландии, Великобритании и США) выпустил редкое совместное заявление. Они предупредили, что передовые модели ИИ, как ожидается, «превзойдут текущие отраслевые ожидания, коренным образом трансформируя как наступательные, так и оборонительные возможности кибербезопасности».

Это не теория; злоумышленники доказали свою способность обходить средства защиты. Уровень сложности для неискушенных злоумышленников, желающих осуществлять все более изощренные атаки, будет продолжать снижаться.

Для защитников предупреждение «Пяти глаз» сигнализирует о том, что существующие подходы к безопасности не соответствуют экспоненциальному росту скорости и масштабов действий злоумышленников. В этой среде защита поверхностей атаки не сработает. Нужно переходить в наступление.

Лучшая защита — это хорошее нападение

Специалисты по безопасности инстинктивно воспринимают появление мощных моделей как сугубо плохую новость. Но переживания по поводу темпов развития возможностей ИИ ничего не изменят в программе обеспечения безопасности. Практически все средства защиты изначально создавались как инструменты эксплуатации уязвимостей, и команды безопасности перепрофилировали их для защиты. Логика, лежащая в основе большинства используемых сегодня коммерческих инструментов безопасности, применима и здесь, и защитники также имеют право на использование передовых технологий.

Если злоумышленники теперь могут использовать ИИ для анализа активов организации и совершения атак на каждую уязвимость, защитникам необходим образ мышления, который заставит их сначала проанализировать свою собственную среду, используя ту же технологию. Этот инстинкт естественным образом вытекает из профессионального опыта, а не из осознанного выбора или метода.

Разные пути, разные подходы

CISO занимают свои должности несколькими разными путями. Некоторые приходят из отделов управления, рисков и соответствия требованиям, которые уже отвечают за риски. Некоторые приходят из ИТ-отделов, унаследовав безопасность вместе с остальной технологической инфраструктурой. Некоторые — из области архитектуры безопасности, они понимают, как фактически создавались системы. В последнее время всё большее число таких специалистов приходит из инженерных специальностей. Каждый путь формирует своё мировоззрение.

Опыт в сфере соответствия нормативным требованиям или ИТ, как правило, формирует оборонительное мышление: ждать, пока логирование, мониторинг или инцидент покажут, куда инвестировать. Инженерный опыт, особенно в компаниях-разработчиках ПО, как правило, формирует наступательно мышление: активный поиск уязвимостей во всей программе, подобно злоумышленнику.

Именно такое мышление нам сейчас нужно.

Мыслить как злоумышленник

Команды с наступательным мышлением видят себя создателями масштабируемых решений, которые автоматизируют результаты для бизнеса, постоянно выявляя потенциальные недостатки в программе, ландшафте угроз, инфраструктуре и каталоге активов.

Для этого требуется настоящая любознательность; понимание того, как всё устроено, почему всё устроено именно так и что может пойти не так. Это основа исследований в области безопасности в целом: огромное любопытство к тому, как всё работает, как должно себя вести и как можно получить результаты, выходящие за рамки предполагаемых пользовательских кейсов.

Изменения, которые я внес в свои команды, приближают нас к функциям, ориентированным на результат и управляемым инженерами. Каждая команда поддерживает автоматизированных агентов, которые выявляют риски, оценивают их, устраняют и сообщают о них в соответствии с конкретным бизнес-результатом. Безопасность приложений фокусируется на обеспечении инженерной поддержки, создании агентов, которые выполняют задачи от начала до конца на протяжении всего жизненного цикла разработки ПО. Команды по управлению и рискам становятся командами по обеспечению доверия и устойчивости бизнеса, ориентированными на постоянное подтверждение безопасности организации.

Создание правильного преимущества ИИ

Чтобы это работало, сосредоточьтесь на двух практических шагах.

Во-первых, нейтральность относительно моделей. Создавайте рабочие процессы, которые не привязаны к одной модели или поставщику, поскольку лучшие сегодня модели и инструменты ИИ могут оказаться неподходящими через шесть месяцев. Нейтральность относительно модели также означает нейтральность относительно развертывания, что дает командам по безопасности возможность запускать модели в изолированных или самостоятельно управляемых средах, когда этого требуют условия размещения данных или защита интеллектуальной собственности, а не только возможность смены поставщика.

Во-вторых, фокусировка. Делайте задачи агентов узкими и четко определенными. Если вы дадите агенту большую, расплывчатую задачу, он будет хорошо работать некоторое время, а затем потеряет ориентир и начнет генерировать все, что, по его мнению, удовлетворит запрос. Дайте ему конкретную задачу и уделите приоритетное внимание заблаговременному предоставлению правильного контекста, чтобы он мог более стабильно добиваться успеха. Именно так вы оркестрируете интеллектуальные результаты, не жертвуя точностью.

Не каждая программа готова с первого же дня перестроиться на работу с агентами, и это нормально. Если программа находится на начальном этапе этого пути, не стоит усложнять задачу: проанализируйте каждое ключевое направление, определите желаемый конкретный результат и двигайтесь в обратном направлении, используя уже имеющиеся инструменты, — не нужно сразу полагать, что вам необходим совершенно новый технологический стек.

Пришло время переосмыслить подход

Самый большой риск на данном этапе — это «паралич анализа». Планка, которую нужно преодолеть злоумышленникам, постоянно снижается, тогда как требования к защите, напротив, растут. Мы больше не можем позволить себе роскошь ждать инцидента или выпуска патча от вендора. Наши системы безопасности должны соответствовать вызовам времени, если мы не хотим стать жертвами того, что наши противники меняют тактику и методы атак.