A Block órákra rövidítette a hetekig tartó biztonsági munkát

A biztonsági csapat új munkatársként használja az AI-t

Az OpenAI október 14-i beszámolója szerint a Block biztonsági csapata az OpenAI Defense Factory nevű megközelítését alkalmazza. Ennek lényege, hogy mesterséges intelligenciával támogatják a sérülékenységek felderítését, a fenyegetések észlelését és az incidensekre adott válaszokat.

James Nettesheim, a Block információbiztonsági vezetője szerint a Daybreak és az OpenAI eszközei lerövidítik az emberi szándéktól a cselekvésig tartó időt. Úgy fogalmazott, hogy korábban úgy tűnt, a támadóknál van az előny, mert gyorsabban és rugalmasabban mozognak, az új eszközök azonban lehetővé teszik a védekező oldal számára, hogy felvegye velük a versenyt.

A Block az AI-t kódgenerálásban és biztonsági műveletekben is használja. Nettesheim szerint az eszköz egy új, skálázható munkatársként működik. A csapat egyedi, akár nehezen pontosítható problémákat is megadhat neki, majd együtt dolgozhat a megoldáson, miközben az emberi ellenőrzés megmarad.

Órák alatt vizsgálják vissza a korábbi adatokat

A Block egyik példája a biztonsági észlelések finomhangolása. Minden vizsgálat eltárolja a nyers lekérdezési bizonyítékokat, ezért a csapat egy javasolt szabálymódosítást hét hónapnyi éles telemetria alapján kevesebb mint egy óra alatt vissza tud játszani. Korábban ehhez több száz régi esetet kellett volna kézzel újra lekérdezni, ezért az ilyen ellenőrzések sokszor elmaradtak.

A vállalat a feladatokhoz különböző modelleket választ. A Daybreakre épülő biztonsági rendszer a megfelelő modellhez irányítja a munkát, lehetőséget ad emberi beavatkozásra, és az ügynökök egymás munkájának ellenőrzését is támogatja. A csapat belső mérőszámokkal és valós teljesítmény alapján folyamatosan értékeli a rendszereket, szükség esetén pedig emberi felülvizsgálatra irányítja a feladatot.

Az automatizált riasztáskezelés a Block szerint 50 százalékkal növelte a triázs áteresztőképességét, és ugyanekkora javulást hozott a hírszerzési munkában és a vizsgálatokban. Emellett új, autonóm fenyegetésvadászati képességet is bevezettek. A rendszer negyedévente körülbelül 1100 elemzői munkaórányi vizsgálatot végez el, mivel minden riasztást teljes körűen kivizsgál.

Egyetlen riasztásból teljes támadási lánc rajzolódhat ki

A hagyományos keresőeszközök gyakran külön-külön jelzik a sérülékenységeket. A Daybreak ezzel szemben a Block szerint támadási mintákat állít fel, és több támadási lépést teljes kompromittálási útvonallá kapcsolhat össze. Így olyan hibák is felszínre kerülhetnek, amelyek akár évekig rejtve maradtak.

Egy esetben egy laptopon észlelt riasztás önmagában kisebb szabályzat megsértésének tűnt. A modell azonban egy, a bizonyítékok között csak mellékesen szereplő jelzést összekapcsolt a Block identitásnaplóival, és további problémák nagyobb csoportját tárta fel. Nettesheim ezt úgy írta le, hogy egy rutinszerű végponti riasztásból egy teljes kampány felszámolása lett.

Egy vörös csapatos biztonsági gyakorlat során a modell néhány, egy belső rendszerről szóló támpontból körülbelül két óra alatt teljes támadási útvonalat épített fel. Ebben SQL-injektálás, jogosultságkiterjesztés, kezdeti hozzáférés, hitelesítő adatok felderítése és más rendszerek felé történő továbblépés is szerepelt. Az OpenAI szerint egy emberi vörös csapatos szakértőnek ez jellemzően több napig tartana.

A javításnál továbbra is ember irányít

A sérülékenységek megtalálása után a Block folyamata meghatározza, hol található a hiba a kódban, és ki felel érte. Ezután a rendszer javítást javasol, ellenőrzi a kihasználhatóságot, majd azt is megvizsgálja, hogy a javítás valóban megszüntette-e a problémát. A kódmódosításokat ember vezeti és telepíti.

A közelmúltbeli vörös csapatos gyakorlatokban egy magas szintű sérülékenység beküldése és az automatikus javítási javaslat elkészülése között 18 perc telt el. A rendszer működésének része az emberi felülvizsgálat, mert az ügynökök nem rendelkeznek a szervezet korábbi döntéseinek hátterével és teljes kontextusával.

A folyamat a Block szerint negyedévente körülbelül 600 elemzői munkaórát szabadít fel, amely korábban téves pozitív riasztások kezelésére ment el. Ezt az időt a csapat mélyebb vizsgálatokra és további automatizálásra fordítja. Nettesheim szerint ahogy a rendszer megbízhatósága gyakorlati használatban igazolódik, fokozatosan érzékenyebb rendszerek feladatainál is alkalmazhatják.