В това интервю за Help Net Security Нейтън Смоленски, главен директор по информационна сигурност (CISO) в Qualys, говори за това как екипите по сигурност могат да се справят с нарастващия обем от уязвимости, открити от изкуствен интелект. Той обяснява защо ръководителите по сигурността трябва да следят средния прозорец на излагане (average window of exposure) вместо стандартното средно време за отстраняване (MTTR), и защо само малка част от разкритите слабости — под един процент през 2025 г. — представляват активен риск.
Смоленски разглежда също как екипите могат да изградят доверие в автономното отстраняване на уязвимости чрез категоризиране на активите по нива, човешки преглед и процеси за връщане към предходно състояние (rollback), както и защо автоматизираните корекции се нуждаят от възпроизводими доказателства, преди някой да ги приеме.
Телеметрията от реалния свят потвърждава, че това не е просто прогноза; промяната в обема се вижда в данните. Glasswing на Anthropic докладва повече от 6000 проблема с висока или критична степен на опасност, когато е бил използван срещу 1000 софтуерни пакета с отворен код, а Mozilla откри 22 проблема във Firefox. Това е голям брой проблеми, като значителен процент от тях са оценени с висока степен на опасност или по-лошо. Според FIRST през тази година ще бъдат докладвани около 66 000 уязвимости.
По-голямото предизвикателство е не само самият обем, но и промяната в качеството, при която откритите и валидирани от изкуствен интелект уязвимости все по-често водят до дистанционно изпълнение на код. Изкуственият интелект може да преминава през различни проблеми и да навързва множество уязвимости, които иначе биха били оценени с ниска степен на опасност, довеждайки до експлоатация. Управлението на този огромен приток на CVE и уязвимости ще бъде важно, но това не е показателят, който ръководителите по сигурността трябва да проследяват.
Числото, което трябва да се следи, е разликата между момента, в който потвърден експлойт е изложен във вашата конкретна среда — което може да е дълго време преди откриването или оповестяването — и момента, в който този проблем е валидиран като коригиран или затворен. Това не е същото като стандартното средно време за отстраняване (Mean Time To Remediate, или MTTR), при което броячът стартира от момента на оповестяване. Вместо това тази метрика е средният прозорец на излагане (AWE). Използвайки тази стойност, можете да посочите много конкретни данни за това кои проблеми имат значение за вашата организация, как тези експлойти представляват бизнес риск и колко бързо биват отстранявани. Докладването на AWE демонстрира как се концентрирате върху онези проблеми, които биха заобиколили съществуващите ви процеси за сигурност.
Хипер-приоритизацията стъпва върху описа на вашите ИТ активи и данните за уязвимости, каналите ви за разузнаване на заплахи и вашите решения за управление на риска. Компаниите вече трябва да приоритизират кои проблеми да отстраняват първо въз основа на техния конкретен бизнес контекст или нивото на риск, което тези проблеми представляват за уникалната им ИТ инфраструктура. Не всеки риск е еднакъв. Това, което прави хипер-приоритизацията, е да вземе този подход и да го превърне във вземане на решения в реално време, за разлика от месечните статични електронни таблици — когато имате потенциален експлойт във вашата инфраструктура, който е мишена на автоматизирани атаки, задвижвани от изкуствен интелект, искате да реагирате незабавно. Това може да се променя в реално време с откриването на нови пътища за атака или при верижно свързване на комбинации от експлойти.
Подходът към риска, основан на доказателства, е нов за много екипи, но всъщност представлява еволюция на традиционното управление на уязвимости, основано на риска. Те са свикнали да вземат решения въз основа на общи оценки за риск като CVSS и някои ограничени рискови фактори, а не въз основа на това какъв е конкретният риск за приложенията, които движат техния бизнес, и кои техни специфични проблеми са обект на таргетирана експлоатация. Чрез съпоставяне на богата на контекст бизнес обосновка за всеки риск и актуализиране на тази стойност в реално време, можете да решите къде да вложите най-много усилия, за да предотвратите най-големите потенциални финансови загуби.
В най-новия доклад на отдела за изследване на заплахите на Qualys (Threat Research Unit — TRU) разгледахме десетките хиляди открити проблеми със сигурността и колко от тях бяха с активен риск, превърнати в оръжие и насочени от атакуващи. През 2025 г. бяха оповестени 48 172 уязвимости — от тях TRU идентифицира 357, които бяха едновременно дистанционно експлоатируеми и активно превърнати в оръжие за нападение. Това представлява 0,74 процента от общия брой. Това прави много по-лесно фокусирането върху конкретни проблеми, които представляват активен риск.
Ситуацията около потенциалните проблеми обаче ще се променя постоянно. С откриването на нови проблеми дадена минала уязвимост, която преди е била подценена, защото експлоатацията ѝ е зависела от конкретни условия, може внезапно да се превърне в проблем, чието отстраняване е от по-критично значение. Например проблем с изпълнение на код е сериозен, но ако атакуващият се нуждае от локални привилегии и достъп до машината, за да използва тази уязвимост, тя е по-трудна за експлоатиране. След това възниква нов проблем, който засяга нивата на привилегии и преодолява тази бариера — внезапно тези експлойти могат да бъдат свързани във верига за дистанционно изпълнение на код, което е много по-рисковано.
Следователно това обновяване на информацията за заплахите в реално време е от решаващо значение. Искате да знаете кога ситуациите и обстоятелствата се променят и къде тези експлойти стават възможни, така че да можете да правите промени в плановете си за приоритизиране и отстраняване на уязвимости според нуждите, за да сте в крак с развиващите се рискове. Отговорността за тези решения винаги остава на компанията, така че поддържането на тези данни актуални и релевантни е важно.
Автономното отстраняване на уязвимости съществува от няколко години, но приемането му от екипите е трудно. Много от тях са виждали проблемите, които може да причини една неуспешна корекция за сигурност, и не искат да създават подобни затруднения в оперативната си дейност занапред. Това може да бъде решение, което ограничава професионалното развитие.
Една заблуда тук е, че автоматизираното инсталиране на корекции за сигурност е подход от типа „всичко или нищо“. Чрез категоризиране на активите по нива можете да внедрявате обновления към активи с нисък риск. След като корекцията е приложена, можете да преминете към внедряване за следващото ниво активи и така нататък. Това гарантира, че стандартните корекции за сигурност могат да бъдат внедрявани на активи, които не са от критично значение за дейността, така че да могат да бъдат проверени за потенциални проблеми, преди да бъдат разпространени до всички. Предпазните механизми с участието на човек (Human-in-the-loop) са друг начин да се гарантира, че в началните етапи автоматизацията извършва пакетирането или промяната в конфигурацията и ги подготвя за преглед и одобрение на следващите стъпки от човек.
Това освобождава време на вашия екип да работи по онези проблеми, които са по-трудни за внедряване, или които са върху системи от критично значение за дейността и трябва да бъдат тествани по-задълбочено. Можете също така да освободите време, като прилагате мерки за намаляване на риска без инсталиране на корекции или като използвате виртуални кръпки върху приложенията, за да предотвратите експлойти, докато подготвяте корекцията за сигурност.
Един от начините за изграждане на доверие е използването на изкуствен интелект за тестване на надеждността на корекциите за сигурност и за проверка за потенциални проблеми преди внедряване, както и за създаване на процеси за връщане към предходно състояние. Ефективното им изпълнение намалява потенциалния риск. През изминалата година внедрихме над 150 милиона корекции за сигурност, като 40 милиона от тях бяха напълно автономни — процентът на връщане назад беше под 0,1 процента.
Тази работа е необходима. Бързината е необходима. А опитите да се влага човешки труд по-бързо няма да бъдат достатъчни, за да се справим с опитите за експлоатация или с въвежданите регулации. В пространството на федералното правителство на САЩ директивата BOD 26-04 беше обявена през юни и тя изисква федералните агенции да отстраняват конкретни критични проблеми в рамките на три дни, в допълнение към извършването на криминалистичен анализ (триаж). Внедряването на корекции за сигурност в такъв мащаб е трудно, но сроковете не подлежат на преговори – те трябва да бъдат спазени. Възможно е да се изпълни този краен срок ефективно и по повторяем начин, но подходът трябва да бъде различен.
Фокусирането върху важното е целта на сигурността. Не искаме да укрепваме защитата на системите просто заради самото укрепване, а защото те подкрепят конкретните бизнес цели или задачи, които са от съществено значение за организацията.
Намаляването на количеството излишен шум около проблемите е първата стъпка. Като пример имахме клиент, който имаше над 62,5 милиона предупреждения за сигурност и записи на данни за събития от Qualys и други външни източници. Помогнахме на тази организация да ги филтрира, като се фокусирахме единствено върху данните от CISA KEV – това намали постъпващите данни с 94 процента, оставяйки 2,17 милиона предупреждения. След това Qualys разгледа аспекти като контекста на активите и колко важен е съответният актив за бизнеса, което намали броя до 304 000 предупреждения. Накрая проведохме симулация за тестване на възможността за експлоатация чрез безопасен тестов код, валидирайки кои от тези проблеми подлежат на експлоатация и следователно са с най-висок приоритет. Това сведе броя на проблемите до около 60 000 – по-малко от 0,1 процента от първоначалната цифра.
В крайна сметка трябва да разделим това, което възможностите на изкуствения интелект предлагат, от валидирането на неговите предложения. Освен това е изключително важно да се изискват възпроизводими доказателства от всеки процес на изкуствен интелект или автоматизация, за да се гарантира, че съществува телеметрия, проверима от човек, потвърждаваща отстраняването на уязвимостта. Този подход на валидиране е от съществено значение за екипите, които имат толкова много проблеми за проследяване и управление. Избягването на шума около изкуствения интелект и фокусирането върху реални, практични и повторяеми процеси и резултати за сигурността е единственият начин екипите да осигурят това, от което бизнесът се нуждае.
- автоматизация
- CISO
- киберсигурност
- мнение
- инсталиране на корекции за сигурност
- Qualys
- стратегия
- съвети
- управление на уязвимости