- Anthropic har lanceret OSS Scanner, et gratis AI-baseret værktøj til at opdage sikkerhedsfejl i kritiske open source-projekter.
- Der findes forskellige OSS-sårbarhedsscanningsværktøjer, der dækker alt fra netværksinfrastruktur til webapplikationer og databaser.
- Sikkerhedsstyring i open source-software kræver en balance mellem automatiserede scannere og menneskelig validering for at undgå falske positiver.
Når det kommer til cybersikkerhed, er open source-software et tveægget sværd. På den ene side er det fantastisk, fordi det giver alle mulighed for at forbedre koden og reducerer afhængigheden af en enkelt leverandør, men på den anden side giver det cyberkriminelle mulighed for at finde sårbarheder, før udviklere gør det. Det er her, sårbarhedsscannere kommer ind i billedet – værktøjer designet til at scanne kode for huller, der kan kompromittere hele systemer.
I denne sammenhæng er der dukket en nyhed op, der har skabt betydelig opmærksomhed i branchen: lanceringen af OSS Scanner fra Anthropic. Dette er ikke bare et simpelt scanningsprogram; det er en tjeneste, der inkorporerer generativ kunstig intelligens til at analysere open source-projekter. Det er dog vigtigt at bemærke, at udtrykket "OSS Scanner" kan henvise til dette specifikke værktøj såvel som det generelle koncept med scanning af open source-software. Der findes endda mobilapplikationer med lignende navne til digitalisering af dokumenter, selvom vi her fokuserer på cybersikkerhed.
Anthropics OSS-scanner: AI i open sources tjeneste
Anthropic indså, at der var et bjerg af potentielle sårbarheder i fri software. Faktisk opdagede de omkring 29.000 potentielle sårbarheder på seks måneder, men indså, at det var en umulig opgave at gennemgå dem manuelt , da de kun var i stand til at klassificere omkring 6.000. For at overvinde denne flaskehals udgav de OSS Scanner, en gratis og valgfri tjeneste, der bruger deres mest kraftfulde modeller, såsom Claude Mythos, til at analysere open source-projekter.
Dette system er ikke banebrydende; det er inspireret af Googles OSS-Fuzz, men i stedet for at bruge tilfældigt input (fuzzing) udnytter det AI's evne til at forstå naturligt sprog. Deltagende projekter modtager regelmæssige analyser, der inkluderer en detaljeret forklaring af sårbarheden, en autonom spiller til at teste fejlen og, hvis muligt, en programrettelse til at rette den. Interessant nok genereres alt dette uden forudgående menneskelig gennemgang, hvilket gør det utrolig hurtigt, men det betyder også, at falske positiver kan slippe igennem.
Resultaterne indtil videre er ret lovende. I en test med 48 projekter blev 97 kritiske fejl analyseret, og langt de fleste var reelle. Tunge projekter som curl og wolfSSL har allerede testet det, og i tilfældet med curl hjalp det med at finde en af de mest alvorlige fejl, der er rapporteret i de senere år. For at deltage i dette program skal vedligeholdere ansøge via GitHub, forudsat at projektet er kritisk for den globale infrastruktur.
Generelle værktøjer til scanning af open source-software
Ud over Anthropics forslag findes der mange værktøjer til at styre sikkerheden i OSS-økosystemet. Ideelt set bør man ikke kun stole på ét, men snarere udvikle en strategi, der kombinerer Software Composition Analysis (SCA) og Bill of Materials (SBOM) for at vide præcis, hvilke biblioteker man bruger , og hvilke der er forældede eller farlige.
Infrastruktur- og netværksscannere
Hvis du har brug for at tjekke fundamentet i dit system, er der klassiske muligheder, der aldrig slår fejl. For eksempel er OpenVAS en veteran, der scanner endpoints og netværk med en massiv database. På den anden side er der OpenSCAP, som fokuserer mere på overholdelse af sikkerhedsstandarder og konfigurationer, hvilket gør det meget nyttigt i Linux-miljøer. Hvis du foretrækker noget mere direkte fra kommandolinjen, er Nmap kongen til at finde åbne værter og porte, mens Nikto specialiserer sig i webservere , søgning efter farlige filer eller forældede softwareversioner.
Værktøjer til applikationer og databaser
Når vi dykker ned i webapplikationsniveauet, ændrer spillet sig. Wapiti bruger fuzzing-teknikker til at finde sårbare scripts uden at se på kildekoden. Hvis problemet ligger i databasen, er SQLMAP det ultimative værktøj til at detektere SQL-injektioner og udnytte dem i kontrollerede miljøer. For dem, der søger noget mere professionelt og omfattende, tilbyder Burp Suite en kraftfuld community-version til at opfange trafik og analysere sårbarheder, mens Skipfish opretter et interaktivt sitemap til at finde eksponerede stier og sårbarheder i SSL-certifikater.
Udfordringen med sårbarhedshåndtering
Det er ikke så simpelt som at installere et program og glemme alt om det. Det store problem med gratis værktøjer er, at de nogle gange er komplekse at konfigurere eller genererer for mange advarsler, der ikke fører nogen steder hen. Derfor er det vigtigt at lede efter løsninger, der muliggør risikobaseret prioritering ; en sårbarhed, der tillader læsning af en offentlig fil, er ikke det samme som en, der tillader fjernudførelse af kode uden godkendelse.
For virksomheder, der ikke har råd til fejl, tilbyder platforme som Wiz en agentløs tilgang. Det betyder, at de analyserer skyen via API'er, hvilket undgår behovet for at installere software på hver maskine og opnår fuldstændig synlighed af containere, serverløse funktioner og virtuelle maskiner i AWS eller Azure. Nøglen her er kontekst: at afgøre, om en sårbarhed virkelig kan udnyttes i betragtning af den nuværende miljøkonfiguration.
At have en robust sikkerhedsstrategi betyder at acceptere, at AI og automatiserede scannere er en kæmpe hjælp til at opnå hastighed, men menneskeligt tilsyn er fortsat det sidste, uundværlige filter til at validere, at en patch ikke ødelægger systemet, og at risikoens alvor vurderes korrekt.
Passioneret forfatter om bytes-verdenen og teknologien generelt. Jeg elsker at dele min viden gennem skrivning, og det er det, jeg vil gøre i denne blog, vise dig alle de mest interessante ting om gadgets, software, hardware, teknologiske trends og mere. Mit mål er at hjælpe dig med at navigere i den digitale verden på en enkel og underholdende måde.