Категорія: Обчислення в Хмарі

Огляд

6 червня 2025 року президент Дональд Трамп видав нове виконавче розпорядження (EO), “підтримка вибору зусиль щодо зміцнення кібербезпеки нації та внесення змін до виконавчого розпорядження 13694 та виконавчого розпорядження 14144”, яке і вносить зміни до змін та заміни частин президента Бідена 2025 EO 14144 (про які ми обговорювали в січневому Юриді) та переробляють Президент Обаму 2015.

Нова директива зберігає багато стратегічних цілей попередньої адміністрації, таких як фокус на безпечній розробці програмного забезпечення, видимості федеральної мережі та боротьбу з шкідливими діями з кібер. Однак він змінює підхід федерального уряду, в тому числі, зменшуючи обсяг директив попереднього ЕО, усунувши деякі найбільш встановлені вимоги, накладені Байденом ЕО, та закінчуючи певні ініціативи цифрової ідентичності.

EO також робить оновлений акцент на використанні штучного інтелекту (AI) для підвищення кібербезпеки, стверджуючи, що AI “має потенціал для перетворення кібер -захисту шляхом швидкого виявлення вразливих місць, збільшення масштабу методів виявлення загрози та автоматизації кібер -захисту”.

Компанії, які розробляють або надають програмне забезпечення, апаратне забезпечення, хмарні послуги чи інші цифрові продукти та послуги федеральним агенціям США, можуть особливо вигодити від ознайомлення з оновленим ЕО та враховують його наслідки для управління ризиками кібербезпеки, а також урядової залучення.

Ключові теми та стратегічні зрушення

Менше за рецептом, більша гнучкість: ЕО усуває багато детальних директив та термінів, накладених на агенції попереднім ЕО.

Постійний акцент на модернізації: EO підтверджує федеральні кібер-пріоритети, такі як вдосконалена хмарна безпека, полювання на загрози, захист космічних систем та підготовка до обчислень після кванту (PQC), хоча і з більшою розсудом, залишеною агенціям щодо впровадження.

Орієнтований на SAI Security Focus: EO Sourows замислювався над діяльністю федерального уряду з кібербезпеки штучного інтелекту, зосередившись на відстеженні та пом'якшенні вразливості, а не на більш широких дослідженнях чи пілотних програмах, що стосуються сектору.

Усунення зусиль цифрової ідентифікації: EO відкликає директиви щодо посиленого використання та пропонування цифрових ідентифікаційних документів. Факти, що супроводжують ЕО, стверджує, що ці директиви “сприяли б шахрайству та інших зловживань” іноземними громадянами.

Підсумок ключових розділів

Нижче ми надаємо підсумок отриманого ЕО після впровадження змін, направлених президентом Трампом:

Сек. 2, операціоналізація прозорості та безпеки в сторонніх ланцюгах постачання програмного забезпечення: Міністерство торгівлі через NIST оновить безпечну рамку розробки програмного забезпечення (SSDF) та NIST SP 800-53 (Контроль безпеки та конфіденційності для інформаційних систем та організацій) та скликати державно-приватний консорціум для розробки подальших вказівок. Однак EO скасовує мандат EO 14144 щодо виконання вимог щодо атестації CISA в далеку.

Сек. 3. Поліпшення кібербезпеки федеральних систем: Агентства повинні продовжувати вдосконалювати видимість мережі, посилення конфігурацій хмари та дозволяючи CISA проводити активне полювання на загрозу через ініціативу стійких можливостей доступу. EO також вимагає покращити базові лінії безпеки FedRamp та захист космічних систем. Конкретні пілоти щодо управління фішингами, стійкі до ідентичності, були скасовані.

Сек. 4. Забезпечення федеральних комунікацій: EO підтримує директиви, пов'язані з безпечною маршрутизацією в Інтернеті, шифруванням трафіку DNS та плануванням переходу на загальний уряд до PQC. Він відкликає конкретні вимоги, щоб включити підтримку PQC у всі відповідні клопотання про агентство, а також відмовились від попередніх мандатів щодо шифрування урядових бірж електронної пошти.

Сек. 5. Просування безпеки з штучним інтелектом та в умовах: Департаменти оборонної та внутрішньої безпеки повинні включати вразливі програми, пов'язані з AI, в уразливі програми вразливості. EO відкликає більш широкі директиви для досліджень безпеки AI та пілотних проектів з енергетичного сектору.

Сек. 6. Вирівнювання політики до практики: Агентства повинні визначити пріоритетні інвестиції, які покращують видимість мережі та контроль безпеки. Крім того, Далека рада повинна реалізувати “Кібер -трест позначки США” споживчого Інтернету про вимогу маркування речей для відповідних постачальників федерального уряду. EO видаляє явні посилання на нульову архітектуру довіри, виявлення кінцевої точки та розгортання відповідей та ризики концентрації постачальників.

Перегляди до виконавчого розпорядження 13694: EO обмежує застосування кібер -санкцій лише “іноземним особам”, що відображає політичне рішення про потенційну відповідальність за каюти проти американських осіб.

Компанія Commvault представила розширені можливості криптографії після кванту, спрямовані на допомогу клієнтам у захисті даних проти виникаючих загроз безпеці, пов'язаних з квантовими обчисленнями.

Компанія покращила свою криптографічну рамку спритності, додавши підтримку хаммінгу квазіциклічного (HQC), помилки, що виправляє алгоритм на основі коду, призначений для захисту від ризику, що зашифрована інформація, що перехоплена сьогодні, може бути розшифрована в майбутньому за допомогою квантових комп'ютерів.

Квантові ризики

Очікується, що квантові обчислення створить нові ризики з кібербезпеки, при цьому галузеві опитування підкреслюють широку стурбованість серед фахівців з технологій. Відповідно до опитування аудиторських обчислювальних обчислювальних апаратів Інформаційних систем, 63% фахівців з технологій та кібербезпеки передбачають, що квантові обчислення збільшать або змістить ризики кібербезпеки, а 50% вважають, що це може ввести в себе проблеми з регуляторними та дотриманнями.

Компанія Commvault надала підтримку квантових стійких стандартів шифрування, таких як кристали-кікер, кристали-дилітії, сфінс+та сокол, як рекомендували Національний інститут стандартів та технологій (NIST), з серпня 2024 року. Клієнти здатні вирішити нові загрози безпеки за допомогою функцій криптографічної агільності Commvault, інтегровані в Commvault Cloud Platfll “.

Білл О'Коннелл, головний директор з питань безпеки Commvault, сказав,

“Квантова загроза не є теоретичною. Ми були одними з перших постачальників кібер-стійкості, які вирішують обчислення після квадратів, і, інтегруючи нові алгоритми, такі як HQC та просуваючи нашу криптовалютність, ми надаємо нашим клієнтам інструменти для переміщення цього складного пейзажу.

Промислові програми

Такі сектори, як фінанси та охорона здоров'я, де регулювання та необхідність довгострокового захисту даних суворої, очікується, що вони отримають користь від розширених можливостей криптографії після кванту. Інструменти аналізу ризиків Commvault Cloud дозволяють клієнтам класифікувати дані та застосовувати нові криптографічні заходи за потребою, з акцентом на легкість реалізації за допомогою простого налаштування конфігурації.

Філ Гудвін, дослідницький віце -президент у IDC, прокоментував,

“Quantum readiness has become a business imperative, particularly for industries which handle data that remains sensitive for decades. The time when currently encrypted data can be decrypted using quantum technology is closer than many people think. Commvault's early adoption of quantum-resistant cryptography and commitment to crypto-agility positions it at the forefront among data protection software vendors in proactively addressing quantum threats. Organizations with sensitive, long-term data Потрібно підготуватися зараз до квантового світу “.

Клієнти Commvault також підкреслили значення цих оновлень. Джефф Дей, заступник головного директора з питань інформаційної безпеки Міністерства транспорту штату Невада, заявив,

“Commvault був неоціненним партнером у нашій подорожі до підвищення кібер-стійкості. Їх керівництво у прийнятті криптографії після квантму в поєднанні з їх криптовалютністю-це саме те, що нам потрібно для виконання суворих державних мандрів та захисту високочутливої ​​інформації від нових квантових загроз”.

Пітер Хорс, головний директор з питань інформаційної безпеки Британської медичної асоціації, додав, додав,

“Захист конфіденційних даних є першорядними, і довгострокова загроза квантової дешифрування є суттєвою проблемою. Швидка інтеграція квантових стандартів NIST, зокрема HQC, дає нам велику впевненість у тому, що наша критична інформація зараз захищена і добре в майбутньому. Їх прихильність до криптовалютності є важливою для медичних організацій, як, наприклад,”.

Наявність

Розширені можливості криптографії після кванту, включаючи підтримку алгоритму HQC, доступні для клієнтів Commvault Cloud, використовуючи версію програмного забезпечення CPR 2024 (11.36) або новіші.

Співбесіда Перш ніж AI стане звичним явищем у підприємствах, корпоративні лідери повинні взяти на себе постійний режим тестування безпеки, налаштований на нюанси моделей AI.

Це вид генерального директора Chatterbox Labs Денні Коулмена та CTO Stuart Battersby, який розмовляв Реєстр Звернувшись про те, чому компанії повільно переходять від пілотних тестів AI до виробничого розгортання.

“Прийняття підприємств сьогодні лише на 10 відсотків”, – сказав Коулман. “МакКінсі каже, що це ринок чотирьох трильйонів доларів. Як ти насправді коли -небудь збираєшся рухатись цим, якщо ти продовжуєш випускати речі, які люди не знають, безпечно використовувати, або вони навіть не знають не лише впливу підприємства, а суспільний вплив?”

Він додав: “Люди на підприємстві, вони не зовсім готові до цієї технології, не керуючи її та безпекою”.

У січні консалтингова фірма McKinsey опублікувала звіт, що вивчає нереалізований потенціал штучного інтелекту (AI) на робочому місці.

У звіті “Суперагенція на робочому місці: надання можливості людям розблокувати повний потенціал AI”, виявив зростаючий інтерес та інвестиції в технологію ШІ, але повільне прийняття.

… Що вам потрібно зробити, це не довіряти риториці ні постачальника моделі, ні постачальнику Guardrail, тому що всі скажуть вам, що це дуже безпечно та безпечно.

“Лідери хочуть збільшити інвестиції в АІ та прискорити розвиток, але вони борються з тим, як зробити AI безпечним на робочому місці”, – йдеться у звіті.

Коулман стверджує, що традиційна кібербезпека та безпека AI стикаються, але більшість команд Infosec не наздогнали, не маючи передумови, щоб зрозуміти унікальні атаки AI. Він вказав на придбання Cisco надійного інтелекту та придбання Palo Alto Networks Protect AI як прикладів деяких гравців, які застосували правильний підхід.

Баттерсбі сказав, що ключовим для організацій, які хочуть розгорнути AI в масштабі, є прийняття режиму безперервного тестування на основі того, що насправді робить послуга AI.

“Отже, перше – подумати про те, що є безпечним та безпечним для вашого використання”, – пояснив він. “І тоді те, що вам потрібно зробити, – це не довіряти риториці ні постачальника моделі, ні постачальнику Guardrail, тому що всі скажуть вам, що це дуже безпечно і безпечно”.

Це критично, стверджує Баттерсбі, оскільки навіть уповноважені користувачі системи AI можуть змусити її пошкодити речі.

“Те, що ми намагаємося перейти до вас, – це те, що фільтри безпеки вмісту, огородження недостатньо хороші”, – сказав Коулман. “І це не зміниться найближчим часом. Це повинно бути набагато більш шаруватим”.

Незважаючи на те, що це може спричинити певну вартість, Баттерсбі стверджує, що постійне тестування може допомогти знизити витрати – наприклад, показавши, що менші, більш доступні моделі настільки ж безпечні для конкретних випадків використання.

Повне інтерв'ю випливає…

Сьогоднішнє робоче середовище – це текуче. Люди отримують доступ до систем із поєднання особистих та корпоративних пристроїв у домашніх мережах, спільних просторах та хмарних платформ, які змінюються на годину. Ми більше не можемо покладатися на застарілі припущення, такі як довіра на основі місцезнаходження або власність на пристрої. Команди безпеки зараз покладаються на захист користувачів, даних та доступу в середовищі, де периметр був замінений ідентичністю, контекстом та поведінкою. Щоб не відставати, інфраструктура повинна розвиватися. Він повинен бути таким же децентралізованим, масштабованим та адаптивним, як підтримує робочу силу.

Прочитайте також: Маркетингові юридичні послуги для складу та вантажоперевезень робочої сили

Безпека на основі периметра більше не відповідає моделі

Традиційні архітектури безпеки були побудовані на припущенні, що загрози виникають поза чітко визначеним мережевим периметром. Брандмауери, VPN та системи виявлення вторгнень були розгорнуті для захисту внутрішніх ресурсів від зовнішніх суб'єктів. Однак зростання хмарних обчислень, віддалених робіт та мобільних пристроїв розмило ці межі, зробивши звичайну модель на основі периметра.

У сьогоднішньому децентралізованому робочому середовищі користувачі отримують доступ до організаційних ресурсів з різних місць та пристроїв, часто поза традиційним мережевим периметром. Ця зміна призвела до посилення залежності від управління ідентичністю та доступом, оскільки загрози зараз часто випливають із компрометованих облікових даних та неправильно налаштованих засобів доступу, а не прямих вторгнень у мережу.

Визнаючи ці виклики, Національний інститут стандартів та технологій (NIST) підкреслив обмеження безпеки на основі периметра. Їх публікація, NIST SP 800-207представляє модель Zero Trust Architecture (ZTA), яка підкреслює постійну перевірку ідентичностей користувачів та привілеї доступу, незалежно від їх розташування в межах або поза мережею. Перехід до таких моделей вимагає від організацій переосмислити свої стратегії безпеки, зосереджуючись на захисті даних та ресурсів через надійні перевірки ідентичності та засоби доступу, а не на те, щоб покластись на самотожні захисту.

Безпека повинна слідувати особі, а не пристрою

У розподіленому середовищі пристрої не є надійною основою для контролю доступу. Один користувач може перемикатися між ноутбуком компанії, особистим планшетом або публічною мережею протягом того ж дня. Ідентичність діяльності та контекст, в якому вона виникає, важливіша, ніж апаратне забезпечення.

Рішення безпеки повинні враховувати користувача, до чого вони отримують доступ, де, який пристрій вони використовують, та умови ризику. Цей зсув вимагає інфраструктури, яка побудована навколо ідентичності, а не розташування чи пристрою. Традиційні моделі аутентифікації часто пропускають критичні загрози, такі як компроміс довіри, бічний рух або несанкціонований доступ до хмарних служб.

Щоб увімкнути доступ до контексту доступ до динамічних середовищ, багато організацій рухаються до Тканина ідентичності. Цей підхід з'єднує ідентичність, доступ, поведінку та управління в єдиний уніфікований шар. Це дозволяє безпеці слідкувати за користувачем у різних системах, не покладаючись на статичні межі чи припущення про довіру. Цей фундамент є важливим для забезпечення децентралізованої роботи, не сповільнюючи її.

Як виглядає стек безпеки, готового до майбутнього

Розробка інфраструктури для децентралізованої робочої сили означає повністю переосмислити фундамент. Це вже не достатньо, щоб захистити пристрої чи мережі ізольовано. Стійкий стек безпеки повинен пояснювати плинність доступу, зростаючу складність екосистем SaaS та необхідність прийняття рішень у режимі реального часу навколо ідентичності та ризику. Фокус зміщується від блокування речей до розуміння того, хто отримує доступ до чого, звідки та за яких умов.

Ідентичність та управління доступом як основне

Основою цієї нової моделі є ідентичність. Управління ідентичністю керує всіма автентифікацією, запитом на доступу та виконанням політики. Коли IAM щільно інтегрується з єдиним входом, багатофакторною автентифікацією та робочими процесами життєвого циклу користувачів, він стає координаційним рівнем для всіх інших функцій безпеки. Він визначає, що можуть робити користувачі, яких систем вони торкаються, і коли їх доступ повинен змінюватися.

Постійна оцінка ризику та доступ до контексту

Замість того, щоб покладатися на політику статичного доступу, організації, що переносяться вперед, рухаються до постійних оцінок, заснованих на ризику. Рішення доступу приймаються в контексті, враховуючи поведінку користувачів, поставу пристрою, місцезнаходження та історичні закономірності. Цей підхід дозволяє більш точне виконання та швидший реагування, коли щось відхиляється від норми. IBM досліджує цей перехід до розумніших, адаптивних моделей доступу у своєму посібнику з врівноваження ризику цифрової ідентичності та досвіду користувачів.

Видимість та управління в Саасі та Хмара

Прогалини у видимості залишаються одним з найбільших ризиків у децентралізованих умовах. Оскільки відділи приймають інструменти SaaS без ІТ -участі, групи безпеки намагаються відстежувати, де протікає дані, як до них доступ та хто має постійний доступ. Для закриття цього циклу необхідний специфічний для хмари моніторинг, щоб забезпечити уявлення в режимі реального часу у використанні додатків, дозволи на доступ та поведінку користувачів. Мета управління – не обмежити дії, а забезпечити контроль завдяки більш глибокому розумінню того, як взаємодіють системи, дані та ідентичності.

Децентралізація вимагає перехресної безпеки

Оскільки організації охоплюють децентралізовані робочі моделі, традиційні силоси між подібними відділами, HR та операціями стають бар'єрами для ефективної безпеки. Управління життєвим циклом ідентичності від борту до депуляції потребує безшовної співпраці в цих функціях. Без координованих зусиль з'являються прогалини, що призводять до потенційних ризиків безпеки та питань дотримання.

Помітно, 83% компаній використовують міжфункціональні команди Для підвищення спритності та підтримки конкурентної переваги. Ці команди сприяють руйнуванню силосів, сприянні інноваціям та забезпеченню інтеграції заходів безпеки по всій організації. Вирівнюючи різноманітні відділи, організації можуть більш ефективно керувати контролем доступу, контролювати діяльність користувачів та реагувати на загрози в режимі реального часу.

Реалізація об'єднаної рамки управління ідентичністю є важливим у цьому контексті. Така рамка гарантує, що політика застосовується послідовно, права доступу належним чином призначаються, а будь -які аномалії негайно вирішуються. Цей цілісний підхід зміцнює безпеку та підтримує дотримання нормативних стандартів.

Переосмислення інструментів та архітектури для масштабу

Будівництво інфраструктури безпеки, яка підтримує зростання, означає відхід від жорстких, монолітних систем. Спадкові інструменти часто борються за адаптацію до нових вимог до бізнесу, багаторазового прийняття або розширення Всесвіту додатків SaaS. Оскільки організації стають більш децентралізованими та динамічними, їх архітектура безпеки повинна слідувати за цим.

Модульний, перший підхід API дозволяє забезпечити більшу гнучкість. Коли компоненти можуть чисто інтегруватися та розвиватися незалежно, команди отримують свободу приймати нові можливості, не ремонтуючи весь стек. Ця структура покращує спритність і зменшує оперативне перетягування, що уповільнює інновації.

Масштабованість не потребує повного відновлення. Він починається з невеликих кроків з високим впливом. Почніть з консолідації систем ідентичності для встановлення єдиного джерела істини. Централізація дотримання політики, щоб рішення про доступ відповідали в умовах середовища. Шар в адаптивних елементах управління, що реагують на поведінку та ризик, а не статичні ролі чи конфігурації.

Висновок

Інфраструктура безпеки повинна розвиватися поряд з робочою силою, яку вона підтримує. Люди працюють у місцях, платформах та пристроях, часто за межами кордонів традиційні системи були побудовані для захисту. У цьому середовищі довіра не може залежати від сегментів мережі чи офісних стін. Він повинен дотримуватися індивіда та адаптуватися до їх поведінки та контексту.

Побудова такої стійкості починається з ідентичності. Це стає якоряною точкою для доступу, моніторингу та управління. Майбутнє безпечної роботи буде формуватися за допомогою гнучких, розумних та узгоджень з тим, як організації насправді працюють.

00:00 Спікер a

Поговоримо про стабільні монети. Це зростаючий куточок криптовалюти, звертаючи увагу як з боку регуляторів, так і з боку інвесторів. Багато хто прив’язаний до одного до долара США, діючи як цифрова версія готівки, яка живе на блокчейні. На відміну від біткойна з його летючими коливами в будь -якому напрямку, стабільні монети призначені для того, щоб зробити одне, зберігати їхню цінність стабільною. І ця стабільність робить їх корисними не лише для криптовалют, а для платежів, грошових переказів, навіть заощаджень. Їх також тестують центральними банками та фінтех -компаній як потенційного фундаменту для нової ери швидших, ефективних глобальних платежів, але вони не без ризиків. Довіра залежить від того, що їх підтримує, як правило, готівка та казначейства США та надійність емітента. Tether і Circle з двох – дві найбільші компанії в цьому просторі, обидва видають власні стабільні монети. І коли цей простір зростає, стабільні монети могли відігравати центральну роль у формуванні майбутнього цифрових грошей, до тих пір, поки довіра, прозорість та регулювання можуть не відставати.

Великі мовні моделі (LLM) добре кодують. Це сприяло виникненню інструментів програмування AI-AI, починаючи від Github Copilot до AI IDE та розширення IDE, таких як Claude Code, Cursor, Windsurf, Codeium та ROO.

Це також демократизовано деякі елементи розвитку, кодування вібру, де ви “Забудьте, що код навіть існує“.

Не все кодування AI-AIS-це кодування Vibe. Незважаючи на те, що ризик безпеки виникає, чим більше розробників видаляються з деталей створеного коду, а більше не розробників отримують доступ до ризикованого програмного забезпечення Vibe Code.

LLMS генерує небезпечний код, Vibe Coders Moreso

Зрозуміло, що в даний час код, покоління AI, не захищений за замовчуванням. На основі Баксбенчдесь від 25% до 70% робочих результатів кодування від провідних моделей містять вразливості. Деякі дослідження також показали, що користувачі, який надає AI Assistant, створить більш вразливий код, в першу чергу через надмірну впевненість у створеному коді. Останні вдосконалення моделі значно знизили поширеність вразливості, але ще потрібно зробити.

Коли ми конкретно дивимось на кодування Vibe, спостерігається ще більш різке збільшення ризику. Помітні анекдоти перейшли на широку обізнаність, як, наприклад, підприємець SaaS, що кодує Vibe SaaS, додаток, на жаль, стало захисною піньятою від твердих секретів, відсутності перевірки аутентифікації та авторизації та багато іншого:

Це продовжує відбуватися:

Поліпшення безпеки коду, що генерується AI

Традиційний інструмент для безпеки програмного забезпечення все ще має заслуги у забезпеченні коду, незалежно від участі ШІ. Сканування SAST, SCA та таємниць, які сканують, всі мають роль. Поява програмування AI-асистів збільшує важливість переміщення таких сканів, що залишилися, наскільки це можливо, в IDE. Сканування часу та відновлення часу продовжує залишатися вирішальним. Створення та прийняття безпечних рамок та бібліотек за замовчуванням також можуть зменшити ризик.
Спадкові підходи вбік, помічники кодування AI принесли із собою одну нову можливість здійснити важелі щодо безпеки додатків: Правила файлів.

Правила файлів

Файли правил – це новий шаблон, який дозволяє вам надавати стандартні вказівки помічникам кодування AI.

Ви можете використовувати ці правила для створення конкретного контексту проекту, компанії чи розробників, уподобань чи робочих процесів. Найпопулярніші інструменти кодування AI пропонують правила, починаючи від Github Copilot Спеціальні інструкції для репозиторію або кодекс Агенти.mdДопомога КонвенціїКлайн Спеціальні інструкціїКлод Claude.mdКурсор Правилаі Віндсерф Правила.

Правила файлів для безпеки

Дослідження послідовно виявляють, що створені підказки можуть значно зменшити кількість вразливостей у коді, що генерується AI. Файли правил пропонують ідеальний метод для централізації та стандартизації цих, орієнтованих на безпеку, спонукаючи вдосконалення.

Щоб методично розробити файл правил для безпеки, ми розглядаємо найкращу практику для файлів правил, вразливості, найпоширеніші в коді, що генерується AI, та найкращі практики на основі досліджень у спонуканні до безпечного генерації коду.

Найкращі практики для файлів правил

1. Зосередьтеся на чітких, стисливих та дієвих інструкціях

2. аймферів до їх відповідного обсягу, наприклад, конкретної мови програмування

3. Розбити складні вказівки на менші, атомні та складені правила

4. дотримуйтесь загальних правил стислими; менше 500 рядків

Небезпечні звички в коді, що генерується AI

Загалом, систематичний огляд показує, що CWE-94 (ін'єкція коду), CWE-78 (ін'єкція команд ОС), CWE-190 (ціле переповнення або обгортання), CWE-306 (відсутня автентифікація для критичної функції) та CWE-434 (необмежена завантаження файлів) є загальною. Звичайно, тут є методологічні ухили, оскільки більшість досліджень спеціально орієнтовані 25 найнебезпечніші слабкі сторони програмного забезпечення MITER MITER.

Не дивно, що мова також має значення, коли мова йде про вразливості програмного забезпечення. Ці закономірності, звичайно, відображають загальні вразливості, незалежно від участі в ШІ. Наприклад, питання управління пам'яттю надмірно представлені в C/C ++. Для Python, з іншого боку, десеріалізація ненадійних даних та вразливості, пов'язаних з XML, частіше зустрічаються.

Найкращі практики на основі досліджень у спонуканні до безпечного генерації коду

Ранні дослідження в цьому домені Встановлено, що “просте додавання терміна” захищено “до оперативного способу призвело до зменшення середньої щільності слабкості генерованого коду на 28,15%, 37,03%та 42,85%для GPT-3, GPT-3,5 та GPT-4”. У цьому ж документі було встановлено, що швидке виділення верхніх CWE був найбільш ефективним (“Генерувати захищений код Python, який запобігає найвищі слабкі сторони безпеки, перелічені в CWE для наступного:”), порівняно з підказками на основі персон та наївними підказками безпеки.
Можливих загальних префіксів, Інше дослідження Знайдено “Ви розробник, який дуже усвідомлює безпеку і уникає слабких місць у коді”. зміг зменшити ризик вразливого коду в одному проході на 47-56% в середньому, залежно від моделі. Ця вища альтернатива, такі як “Переконайтесь, що кожен рядок захищений” та “Вивчіть свій код за рядком і переконайтеся, що кожен рядок є безпечним”.

Файли захищених правил відкритого джерела

Файли правил ще не повинні побачити широке прийняття випадків використання безпеки. Найкращий файл правил безпеки – це один звичай для вашої організації. Однак, щоб допомогти відключити проблему порожньої сторінки, Ми відкриємо набір базових файлів безпечних правил. Ці правила були створені за допомогою Близнюків, використовуючи підказку, яка кодує вказівки, викладені вище.

Перегляньте файли правил з відкритим кодом на Github!

Ми створили правила, спрямовані на набір загальних мов та рамок:

Сумісні правила доступні для всіх наступних популярних помічників та інструментів кодування AI:

Якщо ви зараз генеруєте код з AI, і ви не користуєтесь файлом правил для вигоди від безпеки, почніть тут.

Ми також Відкрити пошук використовуваного підказки. Ми вітаємо внески, будь то покриття для додаткових мов та рамок, або пропонують вдосконалення на основі доказів.

Посилання

Академічні документи

Платформа резервного копіювання даних Rubrik незабаром захистить різноманітні сервіси хмарних баз даних та завантаження хмарних хмарних робочих місць.

Ці нові можливості будуть випущені в найближчі місяці, за словами керівників постачальників під час конференції компанії Rubrik в Інтернеті в середу.

Крім підтримки бази даних, платформа Rubrik також отримає користь від нових служб, спеціально розроблених для Oracle Cloud, починаючи з захисту для баз даних Oracle Cloud та рішення Oracle Cloud VMware.

Rubrik – це платформа резервного копіювання даних та відновлення, яка в минулому позиціонувала себе як спеціаліст з кібербезпеки, але він схилявся до ролі кібербезпеки, яке його програмне забезпечення може грати під час цьогорічної конференції.

Сучасна кібербезпека потребує швидкого та точного відновлення даних,-сказав Біпул Сінга, співзасновник та генеральний директор Rubrik.

ІТ -інфраструктура, ймовірно, вже була порушена загрозами, які або чекають піддання детонації в магазинах даних, або невидимо через законні, але порушені перевірки безпеки, сказав він. Наявність точки відновлення, яку адміністратор знає, є чистим та доступним, забезпечує єдину реальну форму захисту.

“Кожен лідер повинен діяти за припущенням, що зловмисники врешті -решт знайдуть свій шлях”, – сказав Сінга.

Це повідомлення про те, що більше ІТ -лідерських та резервних постачальників починають перетравлювати і розуміти, – сказав Кріста Кейс, аналітик групи Futurum.

Резервне копіювання даних та безпека почали об'єднатися з точки зору первинної відповідальності та безперервності бізнесу, сказала вона. Організації також повинні застосувати багато контрольних списків охорони здоров'я для резервного копіювання, тим більше, що більше покладаються на державні хмарні послуги.

“Це набагато поза питанням просто підтримки даних”, – сказав Кейс. “Йдеться про те, щоб взяти достатню кількість копій, щоб уникнути втрати даних, підтвердження відновлення цих копій та відновлення якомога швидше, щоб полегшити безперервність бізнесу”.

Захисники бази даних

Програмне забезпечення резервного копіювання Rubrik захистить кілька керованих хмарних баз даних у найближчі місяці в різних публічних та приватних гіперсалерах, повідомляє компанія.

Початкові реляційні бази даних, які захистить платформа, включають AWS RDS та Microsoft Azure SQL. Ці два позначають початок нового фокусу на захист від реляційної бази даних для компанії з додатковими двигунами бази даних, запланованими в майбутньому, включаючи MySQL, AWS Aurora, Oracle та багато іншого, заявили прес -секретарів Rubrik під час конференції.

Реляційна база даних зазвичай зберігає критичні дані про місію, що робить її цільовою для атак через його часто важливе значення для місії та наскільки легко до них можна отримати доступ через загальні протоколи, сказав Кейс.

“Реляційні бази даних можуть бути високоцінними цілями, оскільки вони часто зберігають структуровану, чутливу інформацію, таку як дані про охорону здоров'я, і ​​вони все частіше використовуються”,-сказав Кейс. “До них доступ до стандартизованих мов, таких як SQL, а це означає, що зловмисники можуть – і зробити – використовувати це”.

Компанія також планує захистити нереляційні хмарні бази даних, починаючи з AWS DynamodB та Azure Cosmos DB в найближчі місяці. За словами прес -секретаря.

Згідно з дослідженнями CASE вразливості хмари є загальним вектором компромісів з безпеки. Це означає, що ці хмарні служби бази даних – це ще один вектор безпеки, на який резервні команди повинні звернути увагу, коли вони складаються в стеках технологій підприємства, сказала вона.

“Неструктуровані бази даних будуть схильні до загальних вразливих місць, таких як неправильні конфігурації, перенапружені користувачі [and] Відсутність шифрування “, – сказав Кейс.

Рубрік – не єдиний резервний постачальник, який надає пріоритет хмарних навантажень цієї весни. У минулому місяці конкуренти Druva та Commvault розширили служби захисту для хмарних VM та баз даних.

Зараз Druva захищає зберігання Azure SQL та Azure Blob, спираючись на нове партнерство з HyperScaler. Обидві послуги доступні сьогодні, за даними компанії.

Платформа Commvault захистить віртуальні машини, що працюють на віртуалізації Red Hat OpenShift, з очікуваним запуском нової послуги цієї осені, повідомляє компанія.

Сильна безпека

Щоб повторити фокус компанії на кібербезпеці, віртуальна конференція “Рубрік” запропонувала більше півдесятка сесій обговорення кібербезпеки з запрошеними доповідачами для різних потреб підприємств.

Доповідачів включали Рона Росса, колишнього співробітника NIST та Роб Джойса, колишнього директора з кібербезпеки в Агентстві національної безпеки (NSA). Обидва обговорили, як організації повинні підготуватися до кібератак у конференції.

За словами Росса та Джойса. Просто застосування програмних патчів та збереження інвентаризації пристроїв може допомогти стримувати цифрові вторгнення, сказали вони.

Джойс сказав, що сучасні кібератаки йдуть за повноваженнями користувачів та ідентичностями, що повторюють попередні настрої Сінги, що адміністрації безпеки та резервного копіювання повинні вважати компромісами, що є питанням, коли і ні.

Ці законні дані дозволяють зловмисникам ініціювати напади “пожвавлення-земля”, які експлуатують або корумповані існуючі та довірені системи в середовищі для створення перебоїв у сервісі, сказав він. Оскільки ці напади важко виявити порівняно з законними операціями, вторгнення може виявити вразливості довгий час до початку нападу.

Зловмисники будуть знати вашу мережу краще, ніж люди, які володіють нею та керувати не ним.

Федеральні організації, такі як АНБ, можуть більш безпосередньо боротися з загрозами національної держави, сказав Джойс, але організації будь-яких розмірів, які забезпечують національну інфраструктуру чи торгівлю, однаково вразливі.

“Зловмисники будуть знати вашу мережу краще, ніж люди, які володіють нею та керувати не цим”, – сказав Джойс. “Коли ти проти [People’s Republic of China]це досить грізний виклик “.

NIST пропонує широкий спектр контрольних списків та орієнтирів безпеки, які організації можуть використовувати як вихідну точку для створення плану кібер-резиденції та відновлення, залежно від конкретного апаратного та програмного стеку, сказав Росс.

Організації повинні визначити найважливішу шкоду, яка може відбутися, і забезпечити, що існує оперативний план продовжувати бізнес, щоб уникнути простоїв, сказав він.

“Ви ставитесь до смоктання грудної рани перед вішалками”, – сказав Росс.

Обидва сказали, що поєднання державних та приватних партнерств, а також сильної федеральної політики та підтримки є життєво важливим для підтримки кібер-резиденції по всій країні.

Навіть якщо політична підтримка Wanes, власне планування організації може запобігти простою та втрати бізнесу, сказав Джойс.

“Майте план і потійте деталі”, – сказав він. “Час простою неприйнятний. Це екзистенційна загроза”.

Тім Маккарті – письменник новин для інформаційної техніки, що охоплює хмару та зберігання даних.