Sind 100%ige Sicherheitsgarantien möglich?

Es gibt keine Software ohne Fehler, oder? Obwohl dies eine weit verbreitete Meinung ist, treffen wir Annahmen, die hinaus jener Prämisse beruhen, dass Software in unserem täglichen digitalen Leben keine Fehler aufweist . Wir vertrauen darauf, dass Identitätsanbieter (IDPs) die Authentifizierung richtig zeugen, Betriebssysteme ihre Spezifikationen perfekt gerecht werden und Finanztransaktionen immer wie beabsichtigt laufen. Noch deutlicher vertrauen wir unsrige physische Sicherheit jener Software an, während wir in Flugzeuge steigen, ein Karre pendeln, dasjenige lebhaft unsrige Einhaltung von Fahrspuren oder unseren Leerschritt zum Vordermann korrigiert, oder uns bestimmten Operationen unterziehen. Welches macht dasjenige möglich? Oder divergent gefragt: Warum hinschlagen Flugzeuge nicht wegen unterlegen Software vom Himmel?

Software-Qualitätssicherung lehnt sich an wissenschaftliche und technische Tools an. Eine Möglichkeit, die Softwarequalität sicherzustellen und zu verbessern, besteht darin, sie familiär zu zeugen und so vielen Menschen wie möglich verdongeln Anreiz zu schenken, sie zu knacken.

Eine andere ist die Verwendung von Entwurfsmustern oder Well-Architecture-Frameworks, die in jener Technologie verwurzelt sind. Während bspw. nicht jedes Softwareprojekt dem gleichen Wasserpegel an Prüfung unterzogen werden kann wie jener Linux-Kernel, jener seit dieser Zeit Jahrzehnten geprüft wird, können Softwareprojekte Quellcode öffnen, um eine Prüfung einzuladen, oder Programmcode pro Audits unterbreiten, in jener Hoffnung, irgendwas davon zu profitieren die Sicherheitsgarantien.

Und natürlich wird getestet. Ob statisch, energiegeladen oder in Echtzeit; erfolgt durch den Entwickler oder durch ein dediziertes Team; Testen ist ein wichtiger Teil jener Softwareentwicklung. Unter kritischer Software ist dasjenige Testen normalerweise ein völlig separates Projekt, dasjenige von einem separaten Team mit spezifischem Fachwissen bearbeitet wird.

Testen ist gut, erhebt Gewiss keinen Anspruch hinaus Vollständigkeit. Es gibt keine Gewährleistung hierfür, dass wir leer Fehler gefunden nach sich ziehen, da wir nicht wissen, von welchen Fehlern wir nichts wissen. Nach sich ziehen wir da unter freiem Himmel schon 99 % jener Linux-Kernel-Bugs gefunden? 50%? 10%?

Dieser „absolute“ Anspruch

Dies Forschungsgebiet jener formalen Methoden sucht nachdem Möglichkeiten, Ihnen zu versichern, dass es keine Fehler in einer bestimmten Software gibt, wie z. B. Ihrem Börsenmakler oder Ihrer Zertifizierungsstelle. Die Grundidee besteht darin, Software in Mathematik zu hinüberfahren, wo die Gesamtheit lichtvoll definiert ist, und dann verdongeln tatsächlichen Demonstration hierfür zu erbringen, dass die Software fehlerfrei funktioniert. Aufwärts solche Weise können Sie sicher sein, dass Ihre Software fehlerfrei ist, genauso wie Sie sicher sein können, dass jede Zahl in eine Multiplikation von Primzahlen zerlegt werden kann. (Einplanen Sie, dass ich nicht definiere, welches ein Fehler ist. Dies wird sich qua Problem herausstellen, wie wir später sehen werden.)

Formale Methodentechniken werden seit dieser Zeit langem pro kritische Software verwendet, waren jedoch extrem rechen- und aufwandsintensiv und wurden von dort nur hinaus kleine Softwareteile angewendet, wie z. B. verdongeln begrenzten Teil jener Chip-Firmware oder ein Authentifizierungsprotokoll. In den letzten Jahren nach sich ziehen fortschrittliche Theorembeweiser wie Z3 und Kompagnie es möglich gemacht, solche Technologie in einem größeren Kontext anzuwenden. Mittlerweile gibt es formal verifizierte Programmiersprachen, Betriebssysteme und Compiler, die zu 100 % in Übereinstimmung mit ihrer Spezifikation laufen. Die Gebrauch dieser Technologien erfordert immer noch sowohl fortgeschrittenes Fachwissen qua nicht zuletzt sehr viel Rechenleistung, welches sie pro die meisten Unternehmen unerschwinglich teuer macht.

Große Cloud-Versorger resultieren eine formelle Inspektion ihres grundlegenden Stacks durch, um ein hohes Wasserpegel an Sicherheitsgarantie zu glücken. Amazon und Microsoft nach sich ziehen spezielle Forschungsgruppen, die mit Ingenieurteams zusammenarbeiten, um formale Verifizierungsmethoden in kritische Infrastrukturen wie Speicher oder Netzwerke zu integrieren. Beispiele sind AWS S3 und EBS und Azure Blockchain. Hinwieder die wirklich interessante Tatsache ist, dass Cloud-Versorger in den letzten Jahren versucht nach sich ziehen, die formale Verifizierung zu einem Standardprodukt zu zeugen, um sie an ihre Kunden zu verkaufen.

Fehlkonfigurationen entscheidend trennen?

Vorjahr hat AWS zwei Funktionen veröffentlicht, die die formelle Verifizierung nutzen, um Probleme anzugehen, die ihre Kunden seit dieser Zeit langem plagen, nämlich Netzwerk- und IAM-Fehlkonfigurationen. Netzwerkzugriff und IAM-Konfigurationen sind komplex, selbst pro ein einzelnes Konto, und solche Kompliziertheit nimmt in einer großen Organisation mit verteilter Entscheidungsfindung und Governance drastisch zu. AWS geht darauf ein, während es seinen Kunden einfache Kontrollen wie „S3-Buckets sollten nicht dem Web ausgesetzt werden“ oder „Internetverkehr zu EC2-Instanzen muss durch eine Firewall umziehen“ gibt und garantiert, dass sie in jedem möglichen Konfigurationsszenario angewendet werden.

AWS ist nicht dasjenige erste Unternehmen, dasjenige dasjenige Problem jener Fehlkonfiguration angeht, selbst im Rahmen AWS-spezifischen Problemen wie offenen S3-Buckets. CSPM-Versorger vereinnahmen sich seit dieser Zeit einiger Zeit mit diesem Problem, während sie die VPC-Konfiguration und IAM-Schlingern zerlegen und Fälle identifizieren, in denen die Berechtigungen zu locker sind, Sicherheitsfunktionen nicht ordnungsgemäß verwendet werden und Statistik im Web offengelegt werden können. Welches gibt es Neues?

Nun, hier kommt die absolute Gewährleistung ins Spiel. Eine CSPM-Lösungskonzept funktioniert, während sie eine denn schlechte oder bekannte gute verkettete Liste von Fehlkonfigurationen erstellt, manchmal Kontext aus Ihrer Umgebung hinzufügt und entsprechende Ergebnisse liefert. Netzwerk- und IAM-Analysatoren untersuchen jede potenzielle IAM- oder Netzwerkanfrage und garantieren, dass sie nicht zu unerwünschten Zugriffen in Übereinstimmung mit Ihrer Spezifikation resultieren (z. B. „kein Internetzugriff“). Dieser Unterschied liegt in den Garantien pro falsch negative Ergebnisse.

Während AWS behauptet, hinaus keinen Kern irgendwas verfehlen zu nach sich ziehen, erheben CSPM-Versorger keine solche Behauptung. Im Gegenteil, CSPM-Versorger sind immer hinaus jener Suche nachdem neuen Fehlkonfigurationen, um sie zu katalogisieren und zu wiedererkennen, welches ein Eingeständnis ist, dass sie solche Fehlkonfigurationen zuvor nicht erkannt nach sich ziehen.

Manche Mängel jener formalen Verifizierung

Die formale Verifizierung eignet sich hervorragend, um genau definierte Probleme wie Speichersicherheitsprobleme zu finden. Schwierig wird es jedoch beim Versuch, logische Fehler zu finden, da solche erfordern, dass angegeben wird, welches jener Programmcode praktisch tun soll, und genau dasjenige tut jener Programmcode selbst.

Zum verdongeln erfordert die formale Verifizierung die Festlegung lichtvoll definierter Ziele. Während manche Ziele, wie dasjenige Verhindern des Zugriffs hinaus dasjenige Web, reibungslos genug erscheinen, sind sie es realiter nicht. Die AWS IAM Analyzer-Dokumentation enthält verdongeln ganzen Teilbereich, jener definiert, welches „publik“ bedeutet, und ist voller Vorbehalte. Die Garantien, die es bietet, sind nur so gut wie die mathematischen Behauptungen, die es kodiert hat.

Es stellt sich nicht zuletzt die Frage jener Verdeckung. AWS-Analyzer decken nur manche wenige wichtige AWS-Services ab. Wenn Sie den Datenverkehr verbleibend verdongeln ausgehenden Verbindungskanal in Ihr Netzwerk leiten, würde jener Analysator dies nicht wissen. Wenn ein Tätigkeit Zugriff hinaus zwei IAM-Schlingern hat und sie kombinieren kann, um aus einem vertraulichen öffentlichen Bucket zu Vorlesung halten und in verdongeln öffentlichen zu schreiben, würde jener Analysator dies nicht wissen. Nichtsdestotrotz bietet die formale Verifizierung pro eine wohldefinierte Untermenge des Fehlkonfigurationsproblems stärkere Garantien qua je zuvor.

Um hinaus die oben gestellte Frage des relativen Vorteils zurückzukommen, jener Unterschied besteht darin, dass jener IAM- und Netzwerkanalysator behauptet, dass seine verkettete Liste jener erkannten Probleme umfassend ist, während CSPM behauptet, dass seine verkettete Liste jede heute bekannte Fehlkonfiguration abdeckt. Hier ist die Schlüsselfrage: Sollte es Sie interessieren?

Sollten wir uns um absolute Garantien kümmern?

Betrachten Sie dasjenige folgende Szenario. Sie besitzen ein CSPM und sehen sich den AWS-Netzwerk- und IAM-Analyzer an. Wenn Sie die Ergebnisse jener beiden vergleichen, stellen Sie steif, dass sie genau die gleichen Probleme identifiziert nach sich ziehen. Nachher einiger Plackerei beheben Sie jedes einzelne Problem hinaus dieser verkettete Liste. Wenn Sie sich nur hinaus Ihr CSPM verlassen, nach sich ziehen Sie dasjenige Gefühl, dass Sie jetzt an einem guten Ort sind und Sicherheitsressourcen jenseitig einsetzen können. Während Sie dem Potpourri AWS-Analysatoren hinzufügen, wissen Sie jetzt – mit einer AWS-Gewährleistung –, dass Sie an einem guten Ort sind. Sind dasjenige die gleichen Ergebnisse?

Sogar wenn wir den Vorbehalt jener formalen Verifizierung vernachlässigen und davon leer werden, dass sie 100 % jener Probleme erfasst, wäre die Messung jener Vorteile oppositionell erkennungsbasierten Diensten wie CSPM eine Ritus pro jede einzelne Organisation mit ihrer eigenen Sicherheitsrisikobereitschaft. Manche würden solche absoluten Garantien wegweisend finden, während andere wahrscheinlich an bestehenden Kontrollen festhalten würden.

Selbige Fragen sind nicht hinaus CSPM unbelehrbar. Die gleichen Vergleiche könnten pro SAST/DAST/IAST-Tools und formal verifizierte Software beschäftigt werden, um nur ein Leitvorstellung zu nennen.

Unabhängig von den Entscheidungen einzelner Organisationen wäre ein spannender Nebenerscheinung dieser neuen Technologie eine unabhängige Möglichkeit, mit jener Messung jener Falsch-Negativ-Raten von Sicherheitslösungen zu beginnen, Versorger dazu zu drängen, besser zu werden, und ihnen klare Hinweise zu liefern, wo sie sich verbessern zu tun sein. Dies an und pro sich ist ein enormer Mitgliedsbeitrag zur Cybersicherheitsbranche.