Block AI-alapú biztonsági megoldása drámaian gyorsul, 18 perc alatt javítanak sebezhetőségeket

A Block, a Square, a Cash App és az Afterpay mögötti cég biztonsági csapata az OpenAI Defense Factory-t használja, ahol az AI képes a sebezhetőségek felderítésére, észlelése, valamint reagálása olyan méretekben, amivel egy emberi csapat nem tud lépést tartani. Az OpenAI Daybreak-hez hasonló AI rendszerekkel a Block órák alatt végez olyan munkával, ami korábban hetekig tartott.

„Az AI lerövidíti az emberi szándék és a cselekvés közötti időt. Sokáig azt feltételeztük, hogy a támadóknak van előnyük, mert gyorsabbak és agilisabbak. De a Daybreakhez és az OpenAI eszközeinek fejlődéséhez hasonlókkal a védők tűzzel tudnak tűzzel harcolni, és lépést tudnak tartani az AI-adoptáció gyors ütemével” — mondta James Nettesheim, a Block vezető információbiztonsági igazgatója.

Gyorsabb elemzés és reagálás

A Block biztonsági csapata felelősségteljesen alkalmazza az AI-t a munkafolyamataiban, legyen szó kódgenerálásról vagy biztonsági műveletekről. „Ez lényegében egy új csapattárs, akivel együtt tudunk skálázódni” — mondta Nettesheim. „Nem olyan, mint egy hagyományos automatizálás, ahol lépésről lépésre kellett haladni. Meg lehet vele oldani egy meglehetősen egyedi, kétértelmű problémát, és közösen dolgozni rajta.”

Olyan projektek, mint egy szoftverhiba áttekintése vagy egy napló elemzése napokig vagy hetekig tartott. Most a csapat töredékidő alatt végezheti el ezeket a projekteket, miközben az ember továbbra is validál minden eredményt.

Például a detektálási finomhangolás (detection tuning) esetében minden vizsgálat tárolja a nyers lekérdezési bizonyítékokat, így a csapat most kevesebb mint egy óra alatt képes egy javasolt detektálási változást hét hónapnyi produktív telemetrián lejátszani. Ez a munka korábban több száz régi esetet kellett kézzel lekérdezni, és gyakran nem is történt meg a gyakorlatban, mert annyira időigényes volt.

Új támadási mintázatok és teljes folyamatok

A hagyományos szkennelési eszközök csak egyetlen sebezhetőséget jelölnek meg elkülönítve, de a Block biztonsági csapata a Daybreak segítségével sokkal többre képes. A modell segít hipotéziseket felállítani támadási mintázatokról, és egy sor támadást egy teljes végpontok közötti kompromisszum útvonalba tud láncolni, olyan sebezhetőségeket felszínre hozva, amelyek évek óta fennállhattak.

Egy esetben egyetlen laptopon lévő riasztás önmagában kisebb szabályozási problémának tűnt. Azonban a modell egy olyan jelzést követett, amely csak véletlenül jelent meg a bizonyítékokban, összekapcsolta a Block identitásnaplóival, és sokkal nagyobb problémát tárt fel.

„Egy rutinszerű végponti riasztás egy teljes kampány felszámolásává vált. Egyetlen eszköz sem tudja ezt a két naplótermék naplóinak adatait összekapcsolni” — mondta James. Egy másik példában a Daybreak segített egy közelmúltbeli vörös csapat (red team) gyakorlat során. A modell kapott néhány tippet egy belső rendszerről, és körülbelül két óra alatt összeállított egy teljes támadási útvonalat — SQL-injekció, jogosultság-emelés, egy belépési pont, hitelesítő adatok felsorolása, és pivotálás más rendszerekre. Ez általában több napig tartott volna egy emberi vörös csapatnak.

A legutóbbi vörös csapat gyakorlatok során a magas szintű sebezhetőség benyújtásától az automatizált javítási javaslatig tartó idő 18 perc volt. A sebezhetőségek megtalálása csak annyira jó, mint a javításuk képessége. Nettesheim bemutatja a csapat által minden felfedezésnél használt folyamatot: megtalálni, hol él a probléma a kódban, és azonosítani, ki a felelős érte, majd áttérni a javításra. „Javasolsz egy javítást, megerősíted a kihasználhatóságot, majd ellenőrzöd, hogy kijavítottad-e, miközben egy ember irányítja és telepíti a kódváltoztatásokat.”

Míg az ügynökök technikailag képesek, nem hordozzák magukban a szervezet kontextusát vagy a korábbi döntések mögötti érvelést. Az ember biztosítja ezt a kontextust és stratégiát, és itt jön be a csapat, hogy emberi felülvizsgálati réteget biztosítson. Ahogy az AI ítélőképessége a gyakorlatban is beigazolódik, Nettesheim szerint „lassan emeljük a kockázati szintet, hogy érzékenyebb rendszereknek is használhassuk.”

Az automatizált triázsrendszer gyorsabb és több munkát eredményezett. A Block biztonsági csapata 50%-os növekedést tapasztalt a triázs átviteli sebességében, 50%-os növekedést az intelligencia-gyűjtésben és a vizsgálatokban, valamint egy teljesen új autonóm vadászati képességet. Nettesheim szerint „Ez negyedévenként körülbelül 1100 elemzői órát fordít vizsgálatra, mert minden riasztás teljes, mélyreható vizsgálatot kap az összes érintett elemet illetően. A rendszerünk minden riasztást úgy kezel, mintha az lenne az egyetlen riasztásunk azon a napon.”

A detektálási és reagálási munka önmagában körülbelül 600 elemzői órát szabadított fel negyedévenként, ami korábban a hamis pozitívok triázsolására ment el. Ezzel az idővel a csapat most mélyebb vizsgálatokra és több automatizálás felelős kiépítésére fordít időt. A Block biztonsági csapata negyedévenként 600 elemzői órát takarít meg a hamis pozitívok szűrésével.