Így épít a Block MI-alapú védelmet az OpenAI technológiájával

A Square, a Cash App és az Afterpay mögött álló Block biztonsági csapata az OpenAI Defense Factory megoldását használja: az MI olyan léptékben végzi a sérülékenységek feltárását, az észlelést és a reagálást, amellyel egyetlen emberi csapat sem tudná tartani a lépést. Az olyan MI-rendszerekkel, mint az OpenAI Daybreak, a Block néhány óra alatt elvégzi azt a munkát, amely korábban hetekig tartott.

A Block biztonsági csapata arra összpontosít, hogy felelősen vezesse be az MI-t a munkafolyamatokba, legyen szó kódgenerálásról vagy biztonsági műveletekről. „A lényeg, hogy egy új csapattársat kapunk, akivel növelhetjük a kapacitásunkat” – mondja James Nettesheim információbiztonsági igazgató. „Ez nem olyan, mint a hagyományos automatizálás, ahol mindent lépésről lépésre kellett meghatározni. Felvethetünk neki egy meglehetősen egyedi, nem teljesen egyértelmű problémát, és közösen dolgozhatunk a megoldásán.”

Az olyan feladatok, mint egy szoftverhiba felülvizsgálata vagy egy napló elemzése, korábban napokat vagy heteket vettek igénybe. A csapat most ennek az időnek a töredéke alatt végez velük, miközben továbbra is ember ellenőriz minden eredményt.

Az észlelés finomhangolásához például minden vizsgálatnál megőrzik a bizonyítékul szolgáló nyers lekérdezési adatokat. Így a csapat kevesebb mint egy óra alatt tesztelhet egy javasolt észlelési módosítást hét hónapnyi éles telemetriai adaton. Ehhez korábban több száz régi esetet kellett kézzel újra lekérdezni, amire a gyakorlatban ritkán került sor, annyira időigényes volt.

A csapat azt is tudatosabban választja meg, hogy melyik feladathoz melyik modellt használja. „Régebben mindig a legújabb modellt használtuk, de erre már nincs szükség” – mondja. „Meg kellett tanulnunk, hogyan válasszunk különböző modelleket a különböző feladatokhoz.” A Block biztonsági végrehajtási környezete a Daybreakre épül, és segít a megfelelő modellhez irányítani a feladatokat. Olyan kapcsolódási pontokat is tartalmaz, amelyeken keresztül az emberek átvehetik a feladatokat, az ügynökök pedig ellenőrizhetik egymás munkáját. A csapat belső tesztek és a valós működés során nyújtott teljesítmény alapján folyamatosan értékeli ezeket a rendszereket, és szükség esetén módosítja a megközelítését. Ha a felelős eljárás ezt kívánja, emberi felülvizsgálatra irányítja a munkát.

Az automatizált triázsrendszernek köszönhetően több munka készül el, gyorsabban. A Block biztonsági csapatánál a triázs adatátviteli egysége 50%-kal nőtt, az információgyűjtés és a vizsgálatok volumene szintén 50%-kal bővült, és egy teljesen új, önálló fenyegetésvadászati képesség is megjelent. Nettesheim így fogalmaz: „Ez negyedévente körülbelül 1100 elemzői munkaórányi vizsgálatot végez el, mert most már minden riasztásnál teljes körű, mélyreható vizsgálat zajlik, amely a riasztás minden érintett elemére kiterjed. A rendszerünk minden riasztással úgy foglalkozik, mintha az lenne aznap az egyetlen.”

A hagyományos vizsgálóeszközök egy-egy sérülékenységet önmagában jeleznek, a Block biztonsági csapata azonban a Daybreakkel ennél sokkal tovább juthat. A modell segít hipotéziseket alkotni a támadási mintákról, és támadások sorozatát egy teljes, a rendszer feltöréséhez vezető útvonallá összekapcsolni. Így olyan sérülékenységeket is felszínre hoz, amelyek akár évek óta jelen lehettek.

Egy esetben egyetlen laptop riasztása önmagában csupán kisebb szabályzatsértésnek tűnt. A kölcsönös felülvizsgálat során azonban a modell utánajárt egy, a bizonyítékok között csak mellékesen megjelenő jelnek, összevetette azt a Block identitáskezelési naplóival, és jóval több problémát tárt fel. „Egy szokványos végponti riasztásból egy támadási kampány felszámolása lett. Ezt az összefüggést önmagában egyetlen eszköz sem tárja fel. A jel csak két termék naplóinak együttes vizsgálatával mutatkozik meg” – mondja James.

A Daybreak egy közelmúltbeli támadásszimulációs gyakorlat során is segítséget nyújtott. A modell kapott néhány támpontot egy belső rendszerről, majd mintegy két óra alatt összeállított egy teljes támadási útvonalat: SQL-injektálás, jogosultságkiterjesztés, tartós hozzáférés kialakítása, hitelesítő adatok feltérképezése, majd továbbjutás más rendszerekbe. Ez egy támadásszimulációt végző szakembernek jellemzően több napjába telne. A közelmúltbeli támadásszimulációs gyakorlatokon 18 perc telt el a sérülékenység vázlatos leírásának beküldésétől az automatikus javítási javaslat elkészültéig.

A sérülékenységek feltárása csak annyit ér, amennyire ki is tudjuk javítani őket. Nettesheim bemutatja, milyen folyamatot követ a csapata minden feltárt hibánál: megkeresik a probléma helyét a kódban, azonosítják a felelősét, majd hozzálátnak a javításhoz. „Javítást javaslunk, megerősítjük a hiba kihasználhatóságát, majd ellenőrizzük, hogy valóban kijavítottuk-e. A folyamatot végig ember irányítja, és ő élesíti a kódmódosításokat is.”

Bár az ügynökök technikailag felkészültek, nem ismerik a szervezet sajátosságait vagy a korábbi döntések mögötti megfontolásokat. Ezt a háttértudást és a stratégiát ember biztosítja. Itt kapcsolódik be Nettesheim csapata, hogy emberi felülvizsgálattal egészítse ki a folyamatot. Ahogy az MI ítélőképessége a gyakorlatban is bizonyít, Nettesheim szerint „fokozatosan emeljük majd a vállalt kockázat szintjét, hogy érzékenyebb rendszereknél is használhassuk”.

• Kevesebb mint egy óra egy javasolt észlelési módosítás tesztelésére hét hónapnyi telemetriai adaton.

• 18 perc a sérülékenység vázlatos leírásának beküldésétől az automatikus javítási javaslatig a közelmúltbeli támadásszimulációs gyakorlatokon.

• Negyedévente mintegy 600 elemzői munkaóra szabadul fel a téves riasztások triázsa alól.

• Negyedévente körülbelül 1100 elemzői munkaórányi elvégzett vizsgálat.

• 50%-kal nőtt a triázs adatátviteli egysége.

• 50%-kal bővült az információgyűjtés és a vizsgálatok volumene.

Önmagában az észlelési és reagálási munka mintegy 600 elemzői munkaórát szabadított fel negyedévente, amelyet korábban a téves riasztások triázsára fordítottak. A felszabadult időnek köszönhetően a csapat most többet foglalkozhat mélyreható vizsgálatokkal és az automatizálás felelős bővítésével.

Ahogy a támadások üteme gyorsul, az MI-modellek pedig folyamatosan fejlődnek, Nettesheim lehetőséget lát arra, hogy már eleve kevesebb sérülékenység kerüljön a rendszerekbe. Így a biztonsági csapatok kevesebb időt fordíthatnának javításokra, és többet a megelőző, stratégiai munkára.

„Az OpenAI a védekező felek javára billenti az erőviszonyokat azzal, hogy ezeket a fejlett képességeket mindenki számára elérhetővé teszi” – mondja. „Eddig ezek jellemzően csak a legjelentősebb technológiai vállalatok és a kormányzatok kezében voltak. Most viszont mindenki – a kritikus infrastruktúrák üzemeltetői, az iskolák és a kisvállalkozások is – elkezdheti használni ezt a technológiát a hálózatai védelmére.”