Według analizy Cisco Talos opublikowanej 4 sierpnia atakujący używają AI do tworzenia kodu, skalowania operacji oraz badań podatności. Badacze oparli opis na artefaktach i logach promptów pozostawionych na systemach z asystentami kodującymi. Dla zarządu proponujemy z tego wyprowadzić zadanie: powiązać inwestycje obronne z przeglądem ekspozycji usług, ochrony sekretów i zdolności zespołu do szybkiej analizy alertów.
Czy przyjęlibyśmy wniosek o zakup zabezpieczenia, gdyby jego jedynym uzasadnieniem było zdanie „atakujący korzystają z AI”? Przed decyzją poprośmy o wskazanie usługi, sposobu jej ochrony i działania, które zakup ma usprawnić. Analizę Talos potraktujmy jako punkt wyjścia do takiej rozmowy. Zapiszmy, co wiemy o wykorzystaniu AI przez atakujących, a następnie sprawdźmy, co potrafimy powiedzieć o własnej obronie. Czy znamy powód udostępnienia wybranej usługi? Kto może sprawdzić dostęp do jej sekretów? Kto rozstrzyga, co zrobić z dotyczącym jej alertem? Poniższe zalecenia są propozycją redakcyjnego przeglądu według tych trzech pytań, a nie opisem zaniedbań konkretnej firmy.
Logi promptów pokazują zastosowania AI
Jak podaje Cisco Talos, podstawą analizy były ślady pozostawione na systemach używających asystentów kodujących: artefakty oraz logi promptów, czyli zapis poleceń kierowanych do modeli. W opisie badaczy pojawiają się trzy zastosowania AI: tworzenie kodu, skalowanie operacji i badanie podatności. Zachowajmy ten podział podczas rozmowy o zagrożeniu, zamiast zamykać ją w ogólnym haśle o ataku wspomaganym przez AI.
Dla każdego zastosowania postawmy osobne pytanie o obronę. Przy tworzeniu kodu zapytajmy, jak zespół sprawdzi podejrzane działanie dotyczące wybranej usługi. Przy skalowaniu operacji przejrzyjmy sposób ustalania kolejności analizy alertów. Przy badaniach podatności sprawdźmy, czy potrafimy wskazać usługi wymagające przeglądu ekspozycji. To proponowane kierunki kontroli; nie zakładajmy z góry, że któryś zadziała.
Nie wyliczajmy na tej podstawie, o ile skrócił się czas ataku. Dostępne ustalenia nie dają porównywalnej miary wzrostu za ostatnie trzy miesiące. W ocenie zagrożenia nie zakładajmy też, że samo użycie AI przesądza o tym, co atakujący potrafi i czy mu się powiedzie.
Inwestycję w obronę przed użyciem AI uzasadniajmy wskazaniem zadania, które zespół ma wykonywać sprawniej.
Procedurę sprawdź na usłudze i alercie
Po lekturze analizy Talos proponujemy zestawić opisane zasady z możliwością wykonania konkretnej czynności. Wybierzmy usługę dostępną z internetu i poprośmy jej opiekuna o wskazanie uzasadnienia tej dostępności. Porównajmy odpowiedź z aktualnym zapisem w dokumentacji. Jeśli nie da się ustalić właściciela albo celu udostępnienia, zapiszmy dokładnie tę niewiadomą i przypiszmy jej wyjaśnienie.
W tej samej usłudze przejrzyjmy zasady dostępu do sekretów. Poprośmy o pokazanie, gdzie zarządza się uprawnieniami i kto może potwierdzić ich aktualność. Nie przepisujmy wartości sekretów do notatki z przeglądu. Zapiszmy zakres sprawdzenia, odpowiedzialnego za dostęp oraz to, co wymaga wyjaśnienia. Gdy dostępna jest wyłącznie instrukcja, poprośmy również o możliwość sprawdzenia jej wykonania.
Następnie wybierzmy zamknięty alert, o ile zespół dysponuje takim materiałem. Odtwórzmy kolejność analizy, czyli kto przyjął sygnał, jakie informacje zebrał i na czym oparł decyzję o zakończeniu pracy. Porównajmy ten przebieg z procedurą. Wskażmy miejsca oczekiwania na dane lub decyzję, jeśli wynikają z zapisu obsługi. Bez takiego zapisu pozostawmy czas analizy jako nieustalony. Kompetencje zespołu oceniajmy przez uzasadnienie decyzji i zdolność znalezienia potrzebnych informacji; odnotujmy konkretny brak wymagający ćwiczenia lub uzupełnienia instrukcji.
Budżet przypisz do ustalenia z przeglądu
Przy omawianiu analizy Talos z zarządem zacznijmy od wyników przeglądu usług, sekretów i alertów. Każdy wniosek o wydatek połączmy z ustaleniem dotyczącym własnego środowiska. Jeśli zabrakło informacji o właścicielu usługi, zapiszmy, że odpowiedzialność za nią nie jest uporządkowana. Jeżeli analiza alertu zatrzymała się na niedostępnych danych, opiszmy, jak proponowana zmiana ma zapewnić do nich dostęp.
Poprośmy wnioskodawcę o przedstawienie czynności do sprawdzenia po wdrożeniu. Może to być ponowne odtworzenie obsługi alertu albo potwierdzenie uprawnień do sekretów wybranej usługi. Przy każdej propozycji zapiszmy koszt, osobę odpowiedzialną i kryterium odbioru, ustalone we własnej organizacji. Nie wpisujmy oczekiwanej oszczędności czasu bez punktu odniesienia zebranego podczas przeglądu.
Oddzielnie rozpatrzmy zadania wymagające czasu zespołu: wyjaśnienie zasad dostępu, uzupełnienie dokumentacji usługi czy przećwiczenie decyzji przy alercie. Dla każdego z nich ustalmy wykonawcę i termin sprawdzenia rezultatu. Przy planowaniu zakupów pozostawmy miejsce na wynik „najpierw trzeba zebrać dane”. Nie uzasadniajmy pilności wydatku tempem wzrostu ataków, którego dostępny materiał nie pozwala porównać.
W ocenie gotowości zespołu wymagajmy uzasadnienia decyzji dotyczącej alertu oraz wskazania brakujących danych.
W polskiej firmie ustal własną ekspozycję
Analizę Talos wykorzystajmy do przeglądu we własnej organizacji, bez przypisywania jej wyników polskim ofiarom. W dostępnych ustaleniach nie ma danych o takich ofiarach. Nie określajmy więc na tej podstawie skali ataków na polskie przedsiębiorstwa ani prawdopodobieństwa zdarzenia w konkretnej firmie.
Wybierzmy usługę, od której zależy nasza działalność, i ograniczmy do niej pierwszy przegląd. Poprośmy jej właściciela oraz osobę analizującą alerty o wspólne wskazanie informacji potrzebnych do decyzji. Jeśli nie potrafią ich odnaleźć, zapiszmy brak przy tej usłudze. Jeżeli potrafią, odnotujmy, co faktycznie sprawdzono. Wynik przedstawmy zarządowi wraz z zakresem kontroli; sprawdzenia pojedynczej usługi nie rozszerzajmy na ocenę całej firmy.
Co z tym zrobić w poniedziałek
- W 30 minut przejrzyj wpis jednej usługi dostępnej z internetu. Zapisz jej właściciela, uzasadnienie dostępności i datę ostatniego potwierdzenia tych informacji. Brak odpowiedzi przypisz do wyjaśnienia konkretnej osobie.
- W 30 minut sprawdź z opiekunem tej usługi dostępny wykaz uprawnień do jej sekretów. Ustal, kto zatwierdza dostęp i gdzie można potwierdzić jego aktualność. Zanotuj braki bez kopiowania sekretów.
- W 30 minut prześledź zapis obsługi jednego zamkniętego alertu. Wskaż podstawę decyzji, dostępne znaczniki czasu oraz ewentualne oczekiwanie na informacje. Jeśli materiału brakuje, zapisz, co trzeba zacząć rejestrować, aby następna ocena była możliwa.
Budżet obronny oprzyjmy na sprawdzonych potrzebach usług i zespołu. Od każdej inwestycji wymagajmy wskazania, jak pomoże chronić sekrety, kontrolować ekspozycję albo podejmować decyzje przy alertach. Kompetencje uwzględnijmy w planie obrony jako zadanie do rozwijania i sprawdzania w pracy zespołu.
Źródła
Redakcja cyberinsight.pl.