Žemės drebėjimai dvyniai: kai žlunga pasitikėjimas ir keičiasi imperijos

Žemės drebėjimai dvyniai: kai žlunga pasitikėjimas ir keičiasi imperijos

Technologijų aplinka patiria didelių perversmų. Viena vertus, skaitmeninė infrastruktūra, kuria grindžiamos mūsų įmonės, susiduria su negailestinga aktyviai išnaudojamų pažeidžiamumų užtvara. Tuo pačiu metu keičiasi technologijų galios geografija, o Niujorkas vis labiau meta iššūkį ilgalaikiam Silicio slėnio, kaip JAV technologijų talentų centro, dominavimui [1]. Šie pokyčiai nėra pavieniai; jie rodo gilų, sisteminį pokytį, reikalaujantį iš esmės iš naujo įvertinti pasitikėjimą, atsparumą ir naujovių ateitį.

Pažeidžiamumo puolimas: pasitikėjimo krizė

Pastarieji mėnesiai išryškino didelius saugumo iššūkius pagrindiniams technologijų tiekėjams. Tokios įmonės kaip „Apple“, „Microsoft“ ir „Cisco“, dažnai laikomos skaitmeninės infrastruktūros ramsčiais, atskleidė aktyviai išnaudotus pažeidžiamumus ir esminius trūkumus. Tai nėra teorinė rizika; jie kelia tiesioginę grėsmę organizacijoms visame pasaulyje.

„Apple“ neseniai pašalino keletą aktyviai išnaudotų pažeidžiamumų. Pavyzdžiui, „CVE-2023-42916“ ir „CVE-2023-42917“, abu „WebKit“ trūkumai, buvo aktyviai naudojami laukinėje gamtoje ir turėjo įtakos „iPhone“ ir „iPad“ [2, 3]. Šie pažeidžiamumai pabrėžia, kad net griežtai kontroliuojamos ekosistemos yra jautrios sudėtingiems išpuoliams. Milijonams vartotojų tai reiškia, kad asmeniniai įrenginiai, dažnai naudojami norint pasiekti įmonių tinklus, gali tapti tiesioginiais kompromiso taškais. Šis scenarijus pabrėžia tradicinių tinklo perimetrų eroziją, todėl kiekvieno darbuotojo įrenginys gali tapti užpuoliko įėjimo tašku.

„Microsoft“ taip pat susidūrė su dideliais saugumo iššūkiais. „CVE-2023-36025“ pažeidžiamumas, „Windows Defender SmartScreen“ apėjimas, buvo aktyviai išnaudojamas, leidžiantis užpuolikams apeiti saugos funkcijas [4, 5]. Tokie išnaudojimai prieš pagrindinius saugos produktus rodo, kad Windows aplinkoje būtina nedelsiant pataisyti. Reguliarūs „Microsoft“ pataisų antradienio atnaujinimai, kurie dažnai pašalina dešimtis pažeidžiamumų, atspindi nuolatines pastangas, kurių reikia norint apsaugoti didžiulę ekosistemą [6]. Didėjantis AI naudojimas pažeidžiamumui aptikti, nors ir žada nustatyti trūkumus, taip pat pabrėžia didėjantį saugumo problemų sudėtingumą ir apimtį, kurias net pažangiems įrankiams sunku išspręsti [7]. Tai rodo, kad pažeidžiamumo atradimo ir išnaudojimo tempas gali viršyti tradicines žmogaus vadovaujamas gynybos pastangas.

„Cisco“, pagrindinis tinklo infrastruktūros tiekėjas, taip pat išleido patarimus dėl kritinių pažeidžiamumų. Pavyzdžiui, „CVE-2023-20198“, „Cisco IOS XE“ žiniatinklio vartotojo sąsajos privilegijų eskalavimo trūkumas, buvo aktyviai išnaudojamas ir jam buvo suteiktas 10,0 CVSS balas [8, 9]. Puikus CVSS balas rodo maksimalų sunkumą ir galimą poveikį, dažnai su tiesioginiu išnaudojimu. Organizacijoms, priklausančioms nuo „Cisco“ infrastruktūros, dėl tokių pažeidžiamumų reikia skubiai pataisyti ir sušvelninti, kad būtų išvengta plataus tinklo pavojaus.

Didelio sunkumo, aktyviai išnaudojamų šių pramonės lyderių pažeidžiamumų paplitimas rodo, kad sisteminis iššūkis išlaikyti pasitikėjimą pagrindiniais technologijų tiekėjais. Tai išryškina plintančią grėsmę, kurioje net ir gerai išteklius turinčios įmonės stengiasi aplenkti sudėtingus užpuolikus. Technologijų lyderiams ši situacija reikalauja nedelsiant imtis veiksmų: teikti pirmenybę pataisymui ir švelninimui bei iš esmės iš naujo įvertinti tiekimo grandinės saugumą ir pardavėjų priklausomybę. Tai nėra teorinė rizika; jie yra aktyvūs išnaudojimai, reikalaujantys skubaus dėmesio [10].

Imperija keičiasi: didėjanti Niujorko įtaka

Nors skaitmeninė infrastruktūra susiduria su saugumo iššūkiais, technologijų talentų geografinis pasiskirstymas taip pat smarkiai keičiasi. Niujorkas neseniai buvo nustatytas kaip geriausių technologijų talentų rinka Šiaurės Amerikoje, pranokstanti Bay Area [11]. Tai žymi reikšmingą perėjimą nuo dešimtmečių, kai Silicio slėnis buvo neginčijamas talentų, kapitalo ir inovacijų epicentras.

Šis pokytis turi didelių pasekmių technologijų specialistams ir organizacijoms:

• Talentų įgijimas: Bay Area įmonės gali patirti didesnę konkurenciją ir potencialią talentų migraciją, o Niujorke įsikūrusios įmonės gali pasiekti gilesnį ir įvairesnį talentų telkinį [11]. Dėl to reikia iš naujo įvertinti atlygį, naudą ir įmonės kultūrą.
• Karjeros mobilumas: Technologijų specialistams Niujorkas siūlo patrauklią alternatyvą, galinčią užtikrinti skirtingą darbo ir asmeninio gyvenimo pusiausvyrą, platesnį pramonės krypčių spektrą (fintech, žiniasklaidos, mados technologijos, AI) ir skirtingą pragyvenimo išlaidų dinamiką, palyginti su didelėmis Bay Area išlaidomis [11].
• Inovacijų centrai: technologijų energijos decentralizavimas galėtų paskatinti naujus inovacijų centrus, o tai gali sukelti iššūkį monokultūrai, kuri kartais buvo būdinga Silicio slėniui. Rizikos kapitalas ir startuolių ekosistemos vis labiau gali žvelgti į rytus [11].

Metamas iššūkis ilgalaikiam Bay Area dominavimui, kurį lemia savita technologijų kultūra ir didėjančios išlaidos. Niujorko pakilimas rodo JAV technologijų pramonės brendimą, judant link labiau paskirstyto ir potencialiai atsparesnio modelio, o ne vieno geografinio centro.

Tarpusavyje susiję iššūkiai: trapumas, talentas ir dirbtinio intelekto paradoksas

Šie du iš pažiūros skirtingi pokyčiai – nuolatiniai saugumo iššūkiai ir geografinis technologijų talentų pokytis – yra tarpusavyje susiję. Jie atskleidžia gilesnį sistemos pažeidžiamumą ir pabrėžia, kad skubiai reikia naujo požiūrio į technologijų lyderystę.

Dabartinė saugumo aplinka reikalauja išskirtinio lygio talentų: aukštos kvalifikacijos saugos inžinierių, grėsmių ieškotojų ir incidentų šalininkų, gebančių ne tik pataisyti, bet ir numatyti, kurti naujoves ir apsiginti nuo sudėtingų, aktyviai išnaudojamų grėsmių. Tradiciniai technologijų centrai, istoriškai pritraukę geriausius talentus, dabar susiduria su savo patrauklumo pokyčiais. Pagrindinis klausimas yra tai, ar besikuriantys technologijų centrai, tokie kaip Niujorkas, gali išugdyti gilius, specializuotus saugumo inžinerijos talentus, reikalingus kovai su sudėtingais pažeidžiamumu, ar platesnis talentų pasiskirstymas sumenkins esamą žinių bagažą, reikalingą šioms svarbioms kovoms.

Dirbtinio intelekto vaidmuo yra sudėtinga dinamika. Nors dirbtinio intelekto valdomos sistemos vis dažniau naudojamos pažeidžiamumui aptikti ir apsisaugoti [7], pats AI sukuria naujus atakų paviršius, sudėtingumą ir reikalavimus saugumo komandoms. Priemonės, skirtos saugumui didinti, taip pat prisideda prie besikeičiančios grėsmės kraštovaizdžio. Dirbtinio intelekto paremtam pasauliui užtikrinti reikia didžiulių ir specializuotų talentų – asmenų, kurie supranta priešpriešinį mašininį mokymąsi, greitą injekciją ir būdingus didelių kalbų modelių šališkus ir silpnuosius aspektus, neapsiribojant tradiciniais kodavimo įgūdžiais.

Tradicinis centralizuotos technologijų energijos modelis, pasikliaujantis keletu monolitinių tiekėjų saugumo užtikrinimo ir talentų sutelkimo į brangius izoliuotus centrus, pasirodo netinkamas. Nuolatiniai pažeidžiamumo iššūkiai rodo, kad numanomas pasitikėjimas pagrindiniais pardavėjais nebėra pakankama saugumo strategija. Perėjimas link tokių centrų kaip Niujorkas reiškia platesnę decentralizaciją, kuri, jei būtų veiksmingai valdoma, galėtų paskatinti atsparesnę ir įvairesnę technologijų ekosistemą.

Technologijų lyderiams žinia aiški:

1. Iš naujo įvertinkite tiekėjo pasitikėjimą: Nepakanka pasikliauti vien pardavėjo saugumu. Organizacijos turi prisiimti galimus kompromisus, kurti daugiasluoksnes gynybos priemones ir reikalauti skaidrumo iš savo technologijų partnerių.
2. Pirmenybę teikite paskirstytam talentų įgijimui: konkurencija dėl kvalifikuotų talentų yra pasaulinė ir paskirstyta. Pažvelkite ne tik į tradicinius centrus, investuokite į nuotolinio darbo infrastruktūrą ir įgyvendinkite įvairias įdarbinimo strategijas, kad pasiektumėte aukščiausius saugumo ir inžinerinius protus. Niujorko augimas rodo, kad talentai ieško naujos aplinkos ir iššūkių.
3. Strategiškai integruoti dirbtinį intelektą: Pasinaudokite AI gynybos pajėgumams, tačiau kritiškai supraskite jo apribojimus ir naujus atakos vektorius, kuriuos jis pristato. Investuokite į komandas, galinčias apsaugoti AI sistemas, o ne tik jas įdiegti.

Technologijų sektorius atsidūrė kritiniame taške. Skaitmeninė infrastruktūra susiduria su nuolatinėmis grėsmėmis, o tradiciniai technologijų galios centrai vystosi. Organizacijos, kurios prisitaikys, imasi decentralizavimo ir aktyviai investuoja į atsparias sistemas ir įvairius talentus, turės geresnes sąlygas prisitaikyti prie šių pokyčių ir kurti saugias, novatoriškas technologijas ateičiai.

Šaltiniai

[1] CBRE, „Scoring Tech Talent 2023“, 2023 m. spalio mėn. URL: https://www.cbre.com/insights/reports/scoring-tech-talent-2023 [2] „Apple“ palaikymas, „Apie iOS 17.1.2 ir iPadOS 17.1.2 saugos turinį“, 2023 m. lapkričio 30 d. URL: https://support.apple.com/en-us/HT213984 [3] CISA, „Žinomas išnaudotų pažeidžiamų vietų katalogas“, CVE-2023-42916, CVE-2023-42917. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog 4 [5] CISA, „Žinomas išnaudotų pažeidžiamų vietų katalogas“, CVE-2023-36025. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [6] „Microsoft“ saugos atsakymų centras, „2023 m. lapkričio mėn. saugos naujinimo laidos pastabos“, 2023 m. lapkričio 14 d. URL: https://msrc.microsoft.com/update-guide/releaseNote/2023-11 [7] IBM Security, „AI vaidmuo kibernetinėje saugoje: galimybės ir iššūkiai“, 2023 m. URL: https://www.ibm.com/blogs/security/2023/08/the-role-of-ai-in-cybersecurity-opportunities-and-challenges/ [8] „Cisco Talos Intelligence Group“, „Cisco IOS XE Web UI Privilege Escalation Vulnerability“, 2023 m. spalio mėn. URL: https://talosintelligence.com/vulnerability_reports/TALOS-2023-1857 [9] CISA, „Žinomas išnaudotų pažeidžiamumų katalogas“, CVE-2023-20198. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [10] CISA, „Žinomas išnaudotų pažeidžiamų vietų katalogas“. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [11] „Bloomberg“, „Niujorkas dabar yra geriausių technologijų talentų rinka Šiaurės Amerikoje“, 2023 m. spalio 26 d. URL: https://www.bloomberg.com/news/articles/2023-10-26/new-york-city-is-now-the-top-tech-talent-market-in-north-america