Патчи для ПО стали инструкциями для атак из-за ИИ

Искусственный интеллект сократил окно эксплуатации уязвимостей до часов

Искусственный интеллект (ИИ) трансформировал ландшафт кибербезопасности, сократив время от публикации исправления до появления рабочего эксплойта с недель до нескольких часов. Продвинутые модели ИИ позволяют злоумышленникам быстрее анализировать опубликованные исправления и создавать эксплойты, опережая команды безопасности. Публикация патча теперь фактически становится инструкцией для атаки.

Продукт ускоряет создание эксплойтов из патчей

Традиционная практика безопасности предполагает, что после обнаружения уязвимости нулевого дня (zero-day) вендор выпускает исправление, публикует идентификатор CVE, подробные примечания к выпуску и сам патч. Эта прозрачность позволяла пользователям и защитникам оперативно устранять угрозы. Однако современные ИИ-модели позволяют злоумышленникам проводить обратный инжиниринг исправленной версии по сравнению с уязвимой и генерировать эксплойт за считанные часы. По оценкам, автоматическое сравнение версий занимает около 2 часов, создание рабочего эксплойта — 8 часов, а массовое сканирование и эксплуатация начинаются через 24 часа. Для простых уязвимостей это время может сокращаться до одного часа. Многие корпоративные конвейеры установки исправлений в это время еще находятся на этапе тестирования. Окно уязвимости начинается с момента публикации патча и остается открытым до его установки.

Локально размещаемое ПО подвержено риску, облачные решения защищены

В отличие от программного обеспечения как услуги (SaaS), где вендор немедленно обновляет сервис, защищая всех клиентов одновременно, локально размещаемое (self-managed) ПО имеет окно уязвимости. Задержка между публикацией исправления вендором и его установкой клиентом может составлять часы, дни или недели. Если раньше эта задержка была приемлемой, то теперь она представляет значительный риск. Ответственные SaaS-вендоры применяют многоуровневую защиту своих сервисов, снимая эту нагрузку с клиента. В эпоху ИИ максимальная прозрачность при публикации исправлений больше не является однозначно положительным фактором, поскольку она дает преимущество злоумышленникам. Вместо полной секретности предлагаются новые методы приватного раскрытия информации, сохраняющие доверие, но не вооружающие атакующих.

Ускорить установку патчей и использовать защищенные каналы

Вендоры должны рассматривать скорость разработки исправлений как метрику безопасности и отслеживать время до выпуска патча (time-to-patch) в соответствии со строгими соглашениями об уровне обслуживания (SLA). Необходимо установить новый график выпусков, соответствующий скорости действий злоумышленников. Важно доставлять конфиденциальные раскрытия и исправления через доверенный канал, создав безопасный центр для патча и деталей уязвимости. Это даст клиентам преимущество перед публикацией информации в открытом доступе. Клиенты, использующие локально размещаемое ПО, должны изменить подход к установке исправлений. С момента готовности исправления следует считать, что противник уже работает над эксплойтом. Необходимо ускорить переход на аутентифицированные каналы доступа, автоматизировать и сжимать временные рамки установки патчей, а также поддерживать актуальность платформ. Усиление защиты сред, включая сетевую безопасность, конфигурацию и управление правами доступа, является обязательным. Скорость установки патчей стала критически важной метрикой безопасности, которую учитывают советы директоров и регуляторы. Рассмотрение возможности использования автоматизации или миграции на SaaS может быть оправданным при недостатке ресурсов.

Источник: JFrog Security