„SentinelOne“: kenkėjiško kodo analizė – ne savaitės, o valandos

Sudėtingos kenkėjiškos programos atvirkštinė inžinerija net ir aukščiausio lygio saugumo tyrėjui gali užtrukti nuo keturių iki šešių savaičių. Tai kruopštumo reikalaujantis darbas: tyrėjai narsto programinę įrangą, kad suprastų jos veikimą, o atradę naujos informacijos dažnai grįžta prie ankstesnių tyrimo žingsnių. „SentinelOne“ DI vadovas Gregoras Stewartas teigia, kad „OpenAI Daybreak“ dabar gali atlikti atvirkštinės inžinerijos analizę, kokybe prilygstančią žmogaus darbui, per maždaug aštuonias valandas.

Sutrumpindama išsamiai analizei reikalingą laiką, „OpenAI“ suteikia „SentinelOne“ tyrėjams galimybę ištirti daugiau kenkėjiškų programų ir susieti skirtingų pavyzdžių tyrimo rezultatus. Toks platesnis vaizdas dažnai atskleidžia ryšius, kurių tiriant pavienius atvejus galima nepastebėti. Stewartas šią galimybę apibūdina kaip „tokio lygio žvalgybinę informaciją, kokios anksčiau niekada negalėjome sau leisti“.

„Daybreak“ suteikia saugumo specialistams prieigą prie „OpenAI“ modelių, skirtų kibernetinio saugumo užduotims. „SentinelOne“ šias galimybes naudoja kenkėjiškos programinės įrangos atvirkštinei inžinerijai – ją analizuoja siekdama suprasti, kaip ji veikia. Spartesnė analizė leidžia įmonės tyrėjams ištirti daugiau pavyzdžių.

Stewartas pabrėžia, kad už rezultatą ir toliau atsako jo komanda. „Vienintelis dalykas, kurio negalima automatizuoti, yra atsakomybė“, – sako jis. „Paimkime sprendimą keisti architektūrą. Tokį sprendimą vis tiek norėtume patikėti žmogui, o pavienės pataisos ar pakeitimai, kurie iš esmės nekeičia programinės įrangos veikimo, galbūt labiau tiktų automatizuoti“, – priduria jis.

Anksčiau „SentinelOne“ tyrėjų komandos galėdavo išsamiai tirti tik įdomiausias ar svarbiausias aptiktas grėsmes. „Atvirkštinės inžinerijos metodais galėdavome išanalizuoti tik labai nedaug programų“, – sako Stewartas. Turėdami mažiau pavyzdžių palyginimui, jie turėjo ir mažiau galimybių pastebėti ryšius tarp grėsmių.

Spartesnė analizė naudojant „Daybreak“ suteikia tyrėjams daugiau galimybių palyginti kenkėjiškų programų pavyzdžius ir ieškoti bendrų komponentų. Pavyzdžiui, dviejuose iš pažiūros nesusijusiuose pavyzdžiuose rastas bendras komponentas galėtų tapti užuomina, kuria tyrėjai remtųsi atlikdami tyrimą klientui.

Lyginant didesnio skaičiaus pavyzdžių tyrimo rezultatus, taip pat išryškėja platesni ryšiai tarp grėsmių. Pasak Stewarto, šių ryšių nustatymas „padėtų užkirsti kelią grėsmėms anksčiau ir aktyviau imtis prevencinių apsaugos priemonių“.

Stewarto teigimu, prieiga prie „OpenAI“ kibernetinio saugumo priemonių leidžia daugiau „SentinelOne“ darbuotojų prisiimti atsakomybę už saugumo užduotis. „Dabar beveik visi gali naudotis tokio lygio ekspertinėmis žiniomis, kurių dar galbūt prieš kelis mėnesius labai trūko“, – sako jis. Daugiau komandos narių gali patys tirti problemas, užuot pasikliovę nedidele specialistų grupe.

Stewartas nori integruoti „OpenAI“ kibernetinio saugumo priemones į kodo kūrimą, kad „SentinelOne“ kūrėjai galėtų spręsti saugumo problemas dar kurdami programinę įrangą.