Kaip „Block“ su „OpenAI“ technologija kuria DI grįstą saugumą

Bendrovės „Block“, sukūrusios „Square“, „Cash App“ ir „Afterpay“, saugumo komanda pasitelkia „OpenAI Defense Factory“. Čia DI ieško pažeidžiamumų, aptinka grėsmes ir į jas reaguoja tokiu mastu, kokio negalėtų aprėpti jokia žmonių komanda. Naudodama DI sistemas, įskaitant „OpenAI Daybreak“, „Block“ vos per kelias valandas atlieka darbus, kurie anksčiau trukdavo savaites.

„Block“ saugumo komanda daug dėmesio skiria atsakingam DI diegimui įvairiuose darbo procesuose – nuo kodo generavimo iki saugumo operacijų. „Svarbiausia – turėti naują komandos narį, su kuriuo galima didinti darbo mastą“, – sako informacijos saugumo vadovas Jamesas Nettesheimas. „Tai ne įprastas automatizavimas, kai reikėdavo nurodyti kiekvieną žingsnį. Galite užklausoje pateikti gana specifinę, neaiškiai apibrėžtą problemą ir spręsti ją kartu.“

Tokios užduotys kaip programinės įrangos klaidos nagrinėjimas ar žurnalo analizė užtrukdavo dienas ar savaites. Dabar komanda jas atlieka per gerokai trumpesnį laiką, o kiekvieną rezultatą vis tiek patikrina žmogus.

Pavyzdžiui, derinant grėsmių aptikimą praverčia tai, kad kiekvieno tyrimo metu išsaugomi neapdoroti užklausų duomenys, kuriais grindžiamos išvados. Dabar komanda gali per mažiau nei valandą patikrinti siūlomą aptikimo pakeitimą pagal septynių mėnesių darbinės aplinkos telemetrijos duomenis. Anksčiau tam reikėdavo rankiniu būdu iš naujo vykdyti užklausas dėl šimtų senų atvejų. Praktikoje tai buvo daroma retai, nes užimdavo labai daug laiko.

Komanda taip pat pradėjo atidžiau rinktis, kurį modelį naudoti konkrečiai užduočiai. „Anksčiau naudodavome naujausią modelį, bet dabar to nebereikia“, – sako jis. „Išmokome skirtingoms užduotims rinktis skirtingus modelius.“ „Block“ saugumo infrastruktūra sukurta „Daybreak“ pagrindu ir padeda paskirti užduotis tinkamam modeliui. Joje numatytos galimybės žmonėms perimti užduotis, o agentams – tikrinti vienas kito darbą. Komanda nuolat vertina šias sistemas pagal vidinius etaloninius testus ir veikimą realiomis sąlygomis. Prireikus ji koreguoja darbo metodus, taip pat perduoda darbą peržiūrėti žmogui, kai tai yra atsakingas pasirinkimas.

Automatizuota pirminio įvertinimo sistema leido darbą atlikti greičiau ir padidinti jo apimtį. „Block“ saugumo komandos pirminio įvertinimo pralaidumas išaugo 50 %, žvalgybinės informacijos rinkimo ir tyrimų apimtis – taip pat 50 %. Be to, atsirado visiškai nauja autonominės grėsmių paieškos galimybė. Nettesheimas sako: „Per ketvirtį sistema atlieka tyrimų, kuriems analitikai sugaištų apie 1 100 valandų, nes dabar kiekvienas įspėjimas išsamiai ištiriamas, aprėpiant visus su juo susijusius aspektus. Mūsų sistema kiekvieną įspėjimą nagrinėja taip, tarsi jis būtų vienintelis tą dieną.“

Įprasti skenavimo įrankiai pažymi pavienius pažeidžiamumus, nesusiedami jų tarpusavyje, tačiau su „Daybreak“ „Block“ saugumo komanda gali nuveikti kur kas daugiau. Modelis padeda kelti hipotezes apie atakų scenarijus ir sujungti atakų seką į visą įsilaužimo kelią nuo pradžios iki pabaigos, atskleisdamas pažeidžiamumus, kurie galėjo egzistuoti metų metus.

Vienu atveju įspėjimas apie vieną nešiojamąjį kompiuterį, vertinamas atskirai, atrodė kaip nedidelis saugumo taisyklių pažeidimas. Tačiau per tarpusavio peržiūrą modelis atsekė tik tarp kitko įrodymuose pasirodžiusį požymį, susiejo jį su „Block“ tapatybės valdymo žurnalais ir atskleidė gerokai daugiau problemų. „Vienas įprastas įspėjimas apie galinį įrenginį padėjo sustabdyti visą atakų kampaniją. Nė vienas atskiras įrankis tokios sąsajos nenustato. Šis signalas išryškėja tik susiejus dviejų produktų žurnalus“, – sako Jamesas.

Kitas atvejis, kai padėjo „Daybreak“, – neseniai vykusios testavimo spragoms nustatyti pratybos. Modeliui buvo pateiktos kelios užuominos apie vidinę sistemą. Per maždaug dvi valandas jis sudėliojo visą atakos kelią: SQL injekciją, privilegijų išplėtimą, įsitvirtinimą sistemoje, prisijungimo duomenų aptikimą ir perėjimą į kitas sistemas. Testavimą spragoms nustatyti atliekančiam specialistui tai paprastai užtruktų kelias dienas. Per neseniai vykusias testavimo spragoms nustatyti pratybas nuo bendro pažeidžiamumo aprašo pateikimo iki automatiškai pasiūlytos pataisos praėjo 18 minučių.

Pažeidžiamumų paieškos vertė priklauso nuo gebėjimo juos pašalinti. Nettesheimas paaiškina, kokį procesą jo komanda taiko kiekvienam radiniui: nustato, kurioje kodo vietoje slypi problema ir kas už tą kodą atsakingas, o tada imasi ją šalinti. „Pasiūlote pataisą, patvirtinate, ar pažeidžiamumą galima išnaudoti, o tada patikrinate, ar jį pašalinote. Procese dalyvaujantis žmogus jam vadovauja ir diegia kodo pakeitimus.“

Nors agentai techniškai pajėgūs, jie nežino organizacijos konteksto ar ankstesnių sprendimų motyvų. Šį kontekstą ir strategiją suteikia žmogus – būtent čia įsitraukia jo komanda ir atlieka papildomą peržiūrą. Kai DI sprendimų patikimumas pasitvirtins praktikoje, Nettesheimo teigimu, „pamažu didinsime prisiimamą riziką ir pradėsime jį naudoti jautresnėse sistemose“.

• Mažiau nei valanda siūlomam aptikimo pakeitimui patikrinti pagal septynių mėnesių telemetrijos duomenis.

• 18 minučių nuo bendro pažeidžiamumo aprašo pateikimo iki automatiškai pasiūlytos pataisos per neseniai vykusias testavimo spragoms nustatyti pratybas.

• Per ketvirtį sutaupoma apie 600 analitikų darbo valandų, anksčiau skirtų klaidingiems įspėjimams vertinti.

• Per ketvirtį atliekama tyrimų, kuriems analitikai sugaištų apie 1 100 darbo valandų.

• 50 % didesnis pirminio įvertinimo pralaidumas.

• 50 % didesnė žvalgybinės informacijos rinkimo ir tyrimų apimtis.

Vien aptikimo ir reagavimo darbas leido sutaupyti apie 600 analitikų darbo valandų per ketvirtį, anksčiau skirtų klaidingiems įspėjimams vertinti. Sutaupytą laiką komanda dabar skiria išsamesniems tyrimams ir atsakingam tolesniam automatizavimui.

Atakoms dažnėjant, o DI modeliams toliau tobulėjant, Nettesheimas mato galimybę iš anksto užkirsti kelią didesnei daliai pažeidžiamumų. Tai leistų saugumo komandoms mažiau laiko skirti pataisoms, o daugiau – prevenciniam ir strateginiam darbui.

„Suteikdama šias pažangias galimybes visiems, „OpenAI“ persveria pranašumą gynėjų naudai“, – sako jis. „Anksčiau jos paprastai buvo prieinamos tik garsiausioms technologijų bendrovėms ir valdžios institucijoms. Tačiau dabar visi – įskaitant ypatingos svarbos infrastruktūros valdytojus, mokyklas ir mažąsias įmones – gali pradėti naudoti šią technologiją savo tinklams ginti.“