وایب‌کدینگ؛ شدو آی‌تی نسل جدید
هوش مصنوعیخلاصهٔ کامل‌تر
اندی گومبار، مهندس Detection and Response وب‌فلو، تو این پست می‌گه شدو آی‌تی شکل عوض کرده. قبلاً یکی از تیم مارکتینگ یه ابزار SaaS ثبت‌نام می‌کرد و اولین نشونه‌ش یه OAuth grant تأییدنشده تو لاگ بود؛ آزاردهنده ولی قابل تشخیص و مهار. الان همون اتفاق به شکل زیرساخت واقعی داخل اکانت ابری خودتون می‌افته، چون یه مهندس از ایجنت هوش مصنوعی خواسته تو یه بعدازظهر سرویس رو بالا بیاره.
نویسنده تأکید می‌کنه این با دور زدن عمدی فرق داره. اون مهندس داره کمک می‌کنه، فقط دلیلی نداره بدونه چیزی که دیپلوی کرده مشکل‌داره. سناریوی بد این شکلیه: ایجنت منابع رو تو اکانت AWS تیم می‌سازه، پورت‌های لازم رو باز می‌کنه و اپ رو بالا میاره. شش هفته بعد CSPM یه اندپوینت پابلیک با نقش IAM بیش‌ازحد مجاز رو فلگ می‌کنه، و تا اون موقع lateral movement (یعنی حرکت مهاجم از یه سیستم به سیستم‌های دیگه) دیگه فرضی نیست.
بیس‌لاینی که وب‌فلو دنبالشه دو لایه داره. لایهٔ پلتفرم یه بار سطح سازمان تنظیم میشه: محدود کردن پیش‌فرض دسترسی‌های IAM، اجباری کردن secrets manager تا کسی کردنشیال رو هاردکد نکنه، و پشت VPN بردن مقصدهای دیپلوی داخلی. لایهٔ فرایند قبل از شیپ اتفاق می‌افته: یه چک خودکار، کد و کانفیگ زیرساخت رو با بیس‌لاین می‌سنجه و تخلف‌ها رو بر اساس شدت دسته‌بندی می‌کنه، بعدش آدمی با دید امنیتی ریویو می‌کنه.
به گفتهٔ نویسنده CSPM لایهٔ گیرنده‌ست نه خط اول، چون فقط چیزی رو می‌بینه که دیپلوی شده؛ سخت‌ترین بخش اینه که اصلاً بفهمی همچین ابزاری وجود داره. برای همین سراغ سیگنال‌های رفتاری تو تله‌متری ابری می‌ره: ساخته‌شدن نقش IAM بیرون از پایپ‌لاین، منبع پابلیک جدید بدون رکورد تغییر، و کال API از لپ‌تاپ توسعه‌دهنده مستقیم به پروداکشن. آخرش هم می‌گه بیس‌لاینی که تو ویکی بمونه بی‌فایده‌ست؛ باید داخل همون ابزاری باشه که مهندس باهاش می‌سازه.
نکات کلیدی:
- شدو آی‌تی از SaaS sprawl به code sprawl رفته و پلی‌بوک تشخیص قدیمی جواب نمی‌ده
- ابزار ساخته‌شده با ایجنت داخل زیرساخت خودتون اجرا میشه، نقش IAM داره و شاید به دیتای پروداکشن هم برسه
- کنترل‌های پلتفرمی: IAM با حداقل دسترسی، اجبار secrets manager، دیپلوی پیش‌فرض پشت VPN
- کنترل‌های فرایندی: اول چک خودکار بیس‌لاین، بعد ریویو انسانی؛ هر چیزی با زیرساخت ابری یا IAM جدید به ریویو رسمی امنیت می‌ره
- CSPM فقط چیزی رو پیدا می‌کنه که دیپلوی شده، پس لایهٔ گیرنده‌ست نه پیشگیری
