I clienti di Tanium operano in settori delle infrastrutture critiche, tra cui figurano alcune delle più grandi banche, reti ospedaliere e agenzie governative del mondo. Affidano al nostro agente i loro endpoint più sensibili, il che significa che il software che forniamo deve soddisfare gli elevati standard che essi stessi si sono prefissati. Ecco perché individuiamo le nostre vulnerabilità prima che lo faccia chiunque altro.
Abbiamo recentemente annunciato su che Tanium sta partecipando al Progetto Glasswing di Anthropic, testando Claude Mythos 5 per attività di sicurezza difensiva, e abbiamo avviato iniziative simili con altri partner in anteprima riservata. Nel corso del nostro ciclo di sviluppo, abbiamo sperimentato modelli di intelligenza artificiale all’avanguardia per l’individuazione delle vulnerabilità e desideriamo condividere quanto stiamo apprendendo, insieme a una conseguenza pratica che i nostri clienti dovrebbero tenere in considerazione.
Superare i limiti delle pratiche tradizionali in materia di sicurezza delle applicazioni
Da anni, Tanium valuta costantemente i propri prodotti secondo le migliori pratiche del settore. Tanium effettua regolarmente test di penetrazione delle applicazioni, sia tramite il proprio team interno di sicurezza composto da esperti di prodotto, sia avvalendosi di rinomate società di consulenza esterne. Il team di ricerca e sviluppo dedicato alla sicurezza di Tanium ha integrato le catene di strumenti di fuzzing, SAST e DAST nel nostro ciclo di vita dello sviluppo. Sebbene il nostro programma di sicurezza sia ormai consolidato, stiamo comunque adottando tecnologie di intelligenza artificiale che migliorano in modo tangibile la sicurezza del nostro software.
Gli strumenti SAST sono in grado di individuare specifiche classi di vulnerabilità che possono essere espresse sotto forma di modello, come ad esempio un valore compromesso che raggiunge un sink o una chiamata API notoriamente errata. Gli strumenti DAST sono in grado di individuare le vulnerabilità più classiche delle applicazioni web, quali l’iniezione di tipo “ SQL ” o le configurazioni errate più comuni. Tuttavia, tali strumenti si dimostrano poco efficaci nell’individuare le vulnerabilità che richiedono una comprensione più approfondita del comportamento previsto e hanno inoltre difficoltà a tenere conto dell’interazione tra diversi componenti. Il rapporto segnale-rumore di questi strumenti è molto basso e il miglioramento della percentuale di veri positivi richiede una messa a punto approfondita e una manutenzione costante.
Finora, i bug complessi venivano solitamente individuati da ingegneri che conoscono a fondo l’architettura, il modello di minaccia e il codice sorgente del nostro software. Tuttavia, potenziare le capacità di sicurezza limitandosi ad aumentare l’organico non rappresenta una soluzione né sostenibile né realistica.
Nell’ultimo anno, i modelli di intelligenza artificiale all’avanguardia hanno compiuto notevoli progressi in termini di capacità di sicurezza informatica. Ora sono in grado di analizzare codebase complessi e di dedurre le funzionalità previste durante l’individuazione delle vulnerabilità. Sebbene commettano ancora errori e necessitino di supervisione, i nostri esperimenti hanno individuato numerose vulnerabilità di sicurezza che i nostri ingegneri della sicurezza hanno confermato essere significative. Nei nostri test interni, il rapporto segnale-rumore è risultato significativamente migliore rispetto a quello riscontrato con gli strumenti di sicurezza tradizionali. Grazie a queste funzionalità potenziate, l’estensione su larga scala dell’identificazione e della risoluzione delle vulnerabilità mediante l’intelligenza artificiale all’avanguardia è diventata una priorità urgente per il nostro team.
Strumenti diversi individuano errori diversi nello stesso codice
I nostri ingegneri della sicurezza hanno sviluppato un framework di valutazione personalizzato basato su un modello Frontier generico. Questo framework integra il modello di minaccia di Tanium', i confini di fiducia presenti nella nostra architettura, i comportamenti previsti in fase di progettazione e un corpus di dati sulle vulnerabilità tratto da anni di ricerche interne e dalla nostra storia di divulgazione. Questo framework ha messo in luce quei tipi di vulnerabilità che richiedono una conoscenza approfondita del sistema e del contesto – proprio quelle che gli strumenti tradizionali non sarebbero riusciti a individuare.
A parte ciò, abbiamo eseguito vari modelli e sistemi di scansione basati su agenti sullo stesso codice sorgente. A questi efficaci harness non è stato fornito alcun contesto specifico relativo a Tanium, e ciascuno di essi ha individuato bug validi, distinti da quelli rilevati da altri harness.
Se si considerano i risultati riportati da questi strumenti, la sovrapposizione risulta notevolmente inferiore a quanto ci aspettassimo. Non siamo ancora in grado di stabilire con certezza se si tratti di una caratteristica dei modelli, dell’harness, del nostro codice o del fatto che siamo ancora in una fase iniziale, ma l’implicazione pratica a breve termine è già sufficientemente chiara da giustificare un intervento: i flussi di lavoro relativi alla sicurezza agentica non dovrebbero basarsi su un unico modello o fornitore e dovrebbero integrare il contesto istituzionale per migliorare le prestazioni.
Continuiamo a investire nella creazione e nella messa a punto del contesto in cui inseriamo questi strumenti, spingendoci oltre i limiti del possibile piuttosto che accontentarci del primo approccio che funziona.
Tanium sta aumentando il volume e la frequenza delle patch di sicurezza
Il nostro impegno a fornire aggiornamenti di manutenzione ai nostri clienti con soluzioni on-premises con cadenza almeno mensile rimane immutato. Ciò che cambierà è la frequenza dei rilasci fuori banda e il numero di vulnerabilità rese note per ciascun rilascio. Ci impegniamo a rispettare SLA rigorosi per la risoluzione delle vulnerabilità che riteniamo sfruttabili, con tempi espressi in giorni per i problemi più critici, e intendiamo continuare a rispettarli, anche man mano che la nostra capacità di individuazione migliora.
Ciò significa che nei prossimi mesi dovrete aspettarvi un aumento degli avvisi di sicurezza, dei record “ CVE ” e delle patch di sicurezza da parte nostra, poiché continueremo ad applicare e a perfezionare queste tecniche in tutto il nostro stack. Desideriamo chiarire bene questa aspettativa, poiché un aumento del numero di “ CVE ” può essere facilmente frainteso. Non è un segnale che il nostro software stia peggiorando. Stiamo piuttosto migliorando nella capacità di individuare problemi di sicurezza latenti che sono difficili da individuare.
Si tratta di un fenomeno che i nostri colleghi del settore del software hanno osservato: Mozilla ha risolto 271 vulnerabilità a seguito della sua prima valutazione di Mythos (si apre in una nuova scheda) e Microsoft ha risolto più di 900 vulnerabilità di sicurezza il 9th’s settembre Patch Tuesday (si apre in una nuova scheda).
Oltre a individuare in modo proattivo le vulnerabilità nel nostro codice e a correggerle tempestivamente, informiamo in modo trasparente i nostri clienti in merito ai problemi di sicurezza noti. Continueremo ad adempiere ai nostri obblighi in qualità di Autorità di numerazione dell’ CVE e a comunicare in modo responsabile tali vulnerabilità (si veda https://security.tanium.com per gli avvisi pubblicati), poiché tali informazioni consentono ai clienti di valutare il proprio livello di esposizione e pianificare le misure correttive di conseguenza. Siamo consapevoli che l’applicazione delle patch possa comportare difficoltà operative per i nostri clienti e non prendiamo questa questione alla leggera. La realtà, tuttavia, è che il ritmo con cui vengono individuate le vulnerabilità e sviluppati gli exploit sta accelerando sia per i difensori che per gli aggressori, e anche i cicli di rilascio delle patch nel settore dovranno diventare più rapidi per garantire la sicurezza dei nostri sistemi.
Tanium si impegna a supportare i propri clienti nell’ottimizzazione dell’applicazione delle patch per le loro implementazioni di Tanium . Tutti i clienti hanno accesso all’ Endpoint Configuration di Tanium, progettato per consentire aggiornamenti sicuri, senza interruzioni e frequenti agli strumenti disponibili su Tanium client e endpoint . I clienti che utilizzano la versione on-premises devono inoltre aggiornare il proprio backend di Tanium per poter beneficiare di tutte queste patch di sicurezza. Le nostre versioni di manutenzione semestrali includono modifiche limitate al codice, mirate alla correzione di bug critici e di sicurezza, al fine di garantire la prevedibilità e la stabilità di cui i nostri clienti hanno bisogno per attuare cicli di aggiornamento rapidi.
E adesso?
Il team di ricerca e sviluppo in materia di sicurezza di Tanium continuerà a sviluppare e ad applicare le più avanzate capacità informatiche basate sull’intelligenza artificiale ai nostri prodotti software e alle nostre operazioni di sicurezza. Man mano che approfondiremo le nostre conoscenze in materia di progettazione degli harness, flussi di lavoro di triage e caratteristiche delle lacune nella copertura multimodello, intendiamo rendere pubbliche le nostre ricerche e continuare ad agire nel modo più corretto per garantire la sicurezza dei clienti di Tanium. I nostri clienti si affidano a Tanium per le loro operazioni IT e di sicurezza, in modo da potersi concentrare sulle sfide aziendali più importanti: individuare per primi le nostre vulnerabilità, prima che lo faccia chiunque altro, è il modo in cui continuiamo a guadagnarci tale fiducia.
Tanium'Le dichiarazioni e i contenuti relativi ai propri piani, orientamenti e intenzioni sono riservati e soggetti a modifiche senza preavviso, a esclusiva discrezione di Tanium'. Le informazioni riguardanti potenziali prodotti o funzionalità future hanno lo scopo di delineare la direzione generale dei prodotti di Tanium e non dovrebbero essere utilizzate come base per decisioni di acquisto, né sono incorporate in alcun contratto. Non costituisce un impegno, una promessa o un obbligo legale. Lo sviluppo, il lancio e la tempistica di eventuali prodotti o funzionalità futuri rimangono a esclusiva discrezione di Tanium'
