داده در برابر اقدام: چرا پایگاهدادهها کافی نیستند؟
خانههای تسویه پدیدهای جدید در دنیای متنباز نیستند. از پایگاههای گزارش آسیبپذیری نرمافزار مانند NVD و سیستمعاملهای متنباز گرفته تا OSV و هر فید امنیتی که تاکنون استفاده کردهاید، کارکردی یکسان دارند: مدیریت ورودیهای یک لیست گزارشدهی. آنچه امسال رونمایی شد نوع جدیدی از گونه نیست، بلکه دامنه جدیدی از دادهها را هدف گرفته است. آسیبپذیریهای پیشازافشا در لایههای عمیق و پراکندهی اکوسیستم متراکماند. برخی در پروژههای بنیادین و برخی در وابستگیهای ناچیزی هستند که شاید توسعهدهنده اصلیشان را هم نشناسند. این حجم از داده از نظر ساختاری آشفتهترین، اما از نظر پوشش، کاملترین پروژه تحقیقاتی امنیتی تاریخ محسوب میشود. در معماری یونیکس و لایههای کانتینری، یک باگ در کوچکترین پکیج قدیمی دقیقاً با همان سطح دسترسی برنامه میزبان اجرا میشود؛ به همین دلیل هر اتصال ضعیف در زنجیره تأمین میتواند کل فرآیند را به خطر بیندازد.
کارخانه رفع خودکار در سایه گزارشها
استقلال دادهها و توقف آن در دیتابیس هیچگاه به معنای حل مشکل نبوده است. یک گزارش امنیتی که صرفاً در یک پایگاهداده ذخیره بماند، هیچ آسیبپذیری را خنثی نمیکند. نقطه عطف واقعی در اقدام عملی نهفته است؛ تبدیل همان گزارش به یک باینری بازسازیشده، تستشده و امضاگرفته که مستقیماً جایگزین نسخه آسیبپذیر در رجیستریهای شما شود. نه اینکه بگوییم گزارش منتشر شد و امیدواریم بهروز کنید؛ بلکه ارائه یک بیلد آماده که درست سر جای خودش قرار گیرد.
ما در چاینگارد سالهاست این چرخه کامل را در پسزمینه اجرا میکنیم. به محض انتشار هر اخطاریه عمومی، موتور بیلد ما فعال میشود، سورس کد را دریافت کرده، پچ را اعمال میکند و باینری نهایی را پیش از آنکه نیاز به درخواست مستقیم داشته باشیم امضا و منتشر میسازد. بیشتر CVEها در عرض 2 روز رفع میشوند و اکثریت قریب به اتفاق این فرآیند بدون دخالت ادمینهای انسانی تکمیل میگردد. ما تعهد SLA یکروزه برای آسیبپذیریهای فعالی که آژانس امنیت سایبری آمریکا (CISA) آنها را شناسایی کرده، داریم و تاکنون بیش از 100,000 مورد را متوقف کردهایم. آتنا تنها در این میان یک پنجره ورودی جدید برای همین کارخانه از پیش ساختهشده است. چند ماه پیش، وقتی تیمهای توسعه مدلهای مرزی از ما خواستند این فرآیند را برای آسیبپذیریهای غیرعمومی هم فعال کنیم، نتیجه همان ماشین آشنا با یک لوله دادهی جدید بود.
پیدایش سیل اطلاعات محرمانه؛ محصول جانبی هوش مصنوعی
چرا ناگهان حجم عظیمی از باگهای محرمانه در اکوسیستم متنباز ظاهر شده و چرا شرکتهای گوناگون روی کدهای یکسان بار محاسباتی سنگینی را اجرا میکنند؟ پاسخ ساده است؛ هیچکس از ابتدا برای این حجم داده برنامهریزی نکرده است. این طوفان اطلاعاتی، محصول جانبی یک تغییر روششناختی در تست نفوذ و تحلیل کد است.
مدلهای هوش مصنوعی نسل جدید دیگر کد را مانند یک فایل متنی یا کتابخانه صرف اسکن نمیکنند. آنها را مستقیماً در کنار یک محیط اجرای فعال، در کنار دیباگر متصل و در قالب یک محیط ایزوله قرار میدهند. وقتی به این مدلها دستور بشکن داده میشود، منطق آنها بهطور طبیعی باگهای context-aware و عمیق را آشکار میکند که اسکنرهای سنتی به دلیل فاقد زمینه اجرایی، از دید آنها پنهان ماندهاند. این رویکرد کدهای سفارشی و وابستگیهای پنهان را هدف میگیرد و در ازای آن، حجم انباشتهای از داده خام تولید میکند که نیاز دارد از طریق زنجیره اتوماسیون به رفع واقعی تبدیل شود. صنعت نرمافزار در حال گذار از دوره انباشت گزارش به دوره حذف خودکار ریسک است. پلتفرمهایی که صرفاً به جمعآوری داده اکتفا کنند، به زودی فراموش خواهند شد. برنده این نبرد، اکوسیستمی است که چرخه کشف تاخیر و بازسازی را به یک خط لوله بدون اصطکاک تبدیل کند و قبل از آگاهی ادمینها، تهدید را از زنجیره تأمین بیرون بکشد.
