- Anthropic har lansert OSS Scanner, et gratis AI-basert verktøy for å oppdage sikkerhetsfeil i kritiske åpen kildekode-prosjekter.
- Det finnes diverse verktøy for skanning av OSS-sårbarheter som dekker alt fra nettverksinfrastruktur til webapplikasjoner og databaser.
- Sikkerhetshåndtering i åpen kildekode-programvare krever en balanse mellom automatiserte skannere og menneskelig validering for å unngå falske positiver.
Når det gjelder nettsikkerhet, er åpen kildekode-programvare et tveegget sverd. På den ene siden er det fantastisk fordi det lar hvem som helst forbedre koden og reduserer avhengigheten av én enkelt leverandør, men på den andre siden åpner det døren for at nettkriminelle kan finne sårbarheter før utviklere gjør det. Det er her sårbarhetsskannere kommer inn i bildet – verktøy designet for å skanne kode for hull som kan kompromittere hele systemer.
I denne sammenhengen har det dukket opp en nyhet som har skapt betydelig oppsikt i bransjen: lanseringen av OSS Scanner fra Anthropic. Dette er ikke bare et enkelt skanneprogram; det er en tjeneste som bruker generativ kunstig intelligens for å analysere åpen kildekode-prosjekter. Det er imidlertid viktig å merke seg at begrepet «OSS Scanner» kan referere til dette spesifikke verktøyet så vel som det generelle konseptet med skanning av åpen kildekode-programvare. Det finnes til og med mobilapplikasjoner med lignende navn for digitalisering av dokumenter, selv om vi her fokuserer på cybersikkerhet.
Anthropics OSS-skanner: AI i tjeneste for åpen kildekode
Anthropic innså at det fantes et fjell av potensielle sårbarheter i fri programvare. Faktisk oppdaget de rundt 29 000 potensielle sårbarheter på seks måneder, men innså at det var umulig å gjennomgå dem manuelt , ettersom de bare klarte å klassifisere rundt 6.000. For å overvinne denne flaskehalsen lanserte de OSS Scanner, en gratis og valgfri tjeneste som bruker deres kraftigste modeller, som Claude Mythos, til å analysere åpen kildekode-prosjekter.
Dette systemet er ikke banebrytende; det er inspirert av Googles OSS-Fuzz, men i stedet for å bruke tilfeldig input (fuzzing), utnytter det AIs evne til å forstå naturlig språk. Deltakende prosjekter mottar regelmessige analyser som inkluderer en detaljert forklaring av sårbarheten, en autonom spiller for å teste feilen, og om mulig en oppdatering for å fikse den. Interessant nok genereres alt dette uten forutgående menneskelig gjennomgang, noe som gjør det utrolig raskt, men det betyr også at falske positiver kan slippe gjennom.
Resultatene så langt er ganske lovende. I en test med 48 prosjekter ble 97 kritiske feil analysert, og de aller fleste var reelle. Tungvektsprosjekter som curl og wolfSSL har allerede testet det, og i tilfellet med curl hjalp det med å finne en av de mest alvorlige feilene som er rapportert de siste årene. For å bli med i dette programmet må vedlikeholdere søke via GitHub, forutsatt at prosjektet er kritisk for den globale infrastrukturen.
Generelle verktøy for skanning av åpen kildekode-programvare
Utover Anthropics forslag finnes det mange verktøy for å håndtere sikkerhet i OSS-økosystemet. Ideelt sett bør du ikke stole på bare ett, men heller utvikle en strategi som kombinerer Software Composition Analysis (SCA) og Bill of Materials (SBOM) for å vite nøyaktig hvilke biblioteker du bruker og hvilke som er utdaterte eller farlige.
Infrastruktur- og nettverksskannere
Hvis du trenger å sjekke systemets fundament, finnes det klassiske alternativer som aldri slår feil. For eksempel er OpenVAS en veteran som skanner endepunkter og nettverk med en massiv database. På den annen side har vi OpenSCAP, som fokuserer mer på samsvar med sikkerhetsstandarder og konfigurasjoner, noe som gjør det svært nyttig i Linux-miljøer. Hvis du foretrekker noe mer direkte fra kommandolinjen, er Nmap kongen for å oppdage åpne verter og porter, mens Nikto spesialiserer seg på webservere , søker etter farlige filer eller utdaterte programvareversjoner.
Verktøy for applikasjoner og databaser
Når vi dykker ned i webapplikasjonsnivået, endrer spillet seg. Wapiti bruker fuzzing-teknikker for å finne sårbare skript uten å se på kildekoden. Hvis problemet ligger i databasen, er SQLMAP det ultimate verktøyet for å oppdage SQL-injeksjoner og utnytte dem i kontrollerte miljøer. For de som søker noe mer profesjonelt og omfattende, tilbyr Burp Suite en kraftig fellesskapsversjon for å fange opp trafikk og analysere sårbarheter, mens Skipfish lager et interaktivt nettstedskart for å finne eksponerte stier og sårbarheter i SSL-sertifikater.
Utfordringen med sårbarhetshåndtering
Det er ikke så enkelt som å installere et program og glemme det. Det store problemet med gratisverktøy er at de noen ganger er komplekse å konfigurere eller genererer for mange varsler som ikke fører noen vei. Derfor er det viktig å se etter løsninger som tillater risikobasert prioritering ; en sårbarhet som tillater lesing av en offentlig fil er ikke det samme som en som tillater ekstern kjøring av kode uten autentisering.
For selskaper som ikke har råd til feil, tilbyr plattformer som Wiz en agentløs tilnærming. Dette betyr at de analyserer skyen gjennom API-er, unngår behovet for å installere programvare på hver maskin og oppnår fullstendig synlighet av containere, serverløse funksjoner og virtuelle maskiner i AWS eller Azure. Nøkkelen her er kontekst: å avgjøre om en sårbarhet virkelig kan utnyttes gitt den nåværende miljøkonfigurasjonen.
Å ha en robust sikkerhetsstrategi betyr å akseptere at AI og automatiserte skannere er til stor hjelp for å øke hastigheten, men menneskelig tilsyn er fortsatt det siste, uunnværlige filteret for å validere at en patch ikke ødelegger systemet, og at alvorlighetsgraden av risikoen vurderes riktig.
Lidenskapelig forfatter om verden av bytes og teknologi generelt. Jeg elsker å dele kunnskapen min gjennom å skrive, og det er det jeg skal gjøre i denne bloggen, vise deg alle de mest interessante tingene om dingser, programvare, maskinvare, teknologiske trender og mer. Målet mitt er å hjelpe deg med å navigere i den digitale verden på en enkel og underholdende måte.