هوش مصنوعی و پایان امنیت از راه پنهانکاری
هوش مصنوعیخلاصهٔ کاملتر
هوش مصنوعی داره امنیت رو عوض میکنه، ولی به گفتهٔ راس هالِلیوک تو وبلاگ Venture in Security، مهمترین تغییر اونی نیست که همه دربارش حرف میزنن. نویسنده میگه بزرگترین اتفاق اینه که security by obscurity (یعنی امن موندن یه چیز فقط به این خاطر که کسی ازش خبر نداره) دیگه جواب نمیده. سالها گفتیم این یه استراتژی واقعی نیست، ولی در عمل همهمون بهش تکیه کرده بودیم.
دلیلش سادهست: خیلی از آسیبپذیریها و پیکربندیهای غلط فقط به این خاطر اکسپلویت نمیشدن که کسی پیداشون نمیکرد. مهاجمها هم نیرو و زیرساخت و حوصلهٔ محدود دارن. برای یه حملهٔ هدفمند باید شناسایی کنن، راه ورود پیدا کنن، اولویتبندی کنن، بدون لو رفتن اجرا کنن و بعدش هم دسترسیشون رو نگه دارن. نویسنده اسم این وضعیت رو یه مسئلهٔ اقتصادیِ تخصیص منابع میذاره.
کاری که هوش مصنوعی کرده اینه که هزینهٔ نهاییِ شناسایی و آمادهسازی حمله رو پایین آورده. یه ایجنت از بررسی پنجاههزارمین دامنه یا API endpoint یا ریپازیتوری خسته نمیشه و میتونه هزاران مسیر حمله رو موازی بررسی کنه و اطلاعات دهها منبع رو کنار هم بذاره. به گفتهٔ نویسنده نکته اینه که هوش مصنوعی حملهٔ جدیدی نساخته، بلکه همون تکنیکهای قدیمی رو بهشدت مقیاسپذیر کرده.
یه تضاد هم اینجا هست که نویسنده روش دست میذاره. شرکتها ماهها وقت میذارن تا محدودیت مدلها، حاکمیت داده و اجازهٔ عمل مستقل ایجنتها رو مشخص کنن، ولی مهاجم هیچکدوم از این محدودیتها رو نداره و فقط دنبال اثربخشیه. نتیجهش یه دورهٔ گذار خطرناکه که توش اتوماسیون تهاجمی داره خیلی سریعتر از توان دفاعی جلو میره.
توصیهٔ نویسنده برای تیمهای امنیتی سهتاست. اول کم کردن سطح در معرض خطر، با کارهای پایهای مثل design review، مدیریت دارایی، مدیریت آسیبپذیری، خودکار کردن وصلهها و تست نفوذ مداوم. دوم تقویت مزیت اصلی مدافعها یعنی اطلاعات و تلهمتری محیط، چیزی که مهاجم بهش دسترسی نداره. سوم سرمایهگذاری روی تابآوری سازمان: بکاپ تستشده، پاسخ به حادثه و محدود کردن دامنهٔ خسارت.
نکات کلیدی:
- به گفتهٔ نویسنده، امنیت مبتنی بر پنهانکاری دیگه جواب نمیده؛ هر پیکربندی اشتباهی بالاخره پیدا میشه.
- هوش مصنوعی حملهٔ تازهای نساخته، هزینهٔ شناسایی و آمادهسازی حمله رو به صفر نزدیک کرده.
- یه مهاجم تنها با کمک ایجنتها همون کاری رو میکنه که قبلاً یه تیم باید روش وقت میذاشت.
- مهاجمها محدودیت حاکمیت داده و سیاست مدل ندارن، برای همین اتوماسیون تهاجمی از دفاعی جلو زده.
- سه اولویت پیشنهادی: کاهش سطح در معرض خطر، استفاده از مزیت اطلاعاتیِ مدافع، و تابآوری سازمانی.
