क्लाउड कोड सुरक्षा चुपचाप सुरक्षा उद्योग बदल रहा है। ब्यूरो
जब हर कोई इस बारे में बात कर रहा था कि कैसे एआई ने कोड लिखा था, तो क्लाउड कोड एक गंभीर रूप से कम अनुमानित कार्य, सुरक्षा के साथ लाइन पर आया। यह प्रतीत होता है कि सरल कार्य पूरे साइबर सुरक्षा उद्योग को फिर से तैयार किया जा सकता है।
पारंपरिक साइबर सुरक्षा कंपनियों का ट्रेल
क्लाउड कोड प्रकट होने से पहले, साइबर सुरक्षा का कार्य मॉडल दशकों तक अपरिवर्तित रहा था:
मैनुअल ऑडिट:सुरक्षा इंजीनियर लूपहोल को खोजने और जोखिमों का विश्लेषण करने के लिए कोड लाइन की जांच करते हैं। एक बड़ी परियोजना के सुरक्षा लेखा परीक्षा में सप्ताह या महीने भी लग सकते हैं।
घुसपैठ परीक्षण:सुरक्षा विशेषज्ञ हैक हमलों का अनुकरण करते हैं और सिस्टम लूपहोल्स की तलाश करते हैं। उच्च लागत, लंबे चक्र और सीमित कवरेज।
नियम आधारित पता लगाना:खतरे को ज्ञात लक्षणीकरण पर निर्भर करके पहचाना जाता है, हमेशा धीमा हो जाता है।
इस मॉडल के साथ तीन घातक समस्याएं हैं:
- उच्च लागतवरिष्ठ सुरक्षा इंजीनियर एक साल में एक लाख डॉलर से अधिक कमाई करते हैं।
- अक्षमता: मैनुअल क्लीयरेंस कोड आउटपुट के साथ गति रखने से दूर है
- ओवरराइडकेवल चेक करें, पूरी तरह से कवर नहीं
जब तक एपी.ए. ने दिखाया, सब कुछ बदल गया।
क्लाउड कोड सुरक्षा क्या लाती है?
क्लाउड कोड सिक्योरिटी क्लाउड कोड में एक एकीकृत सुरक्षा क्षमता है, जो डेवलपर्स कोड लिखते समय वास्तविक समय में सुरक्षा विश्लेषण की अनुमति देता है।
कोर प्रतिस्पर्धा एक: कोड अंतराल का वास्तविक समय का पता लगाना
जब आप एक कोड लिखते हैं, तो क्लाउड तुरंत संभावित सुरक्षा जोखिमों का विश्लेषण करता है:
# 用户输入直接拼接SQL - 有SQL注入风险！
query = "SELECT * FROM users WHERE id = " + user_input
क्लाउड तुरंत चेतावनी देगा:
SQL इंजेक्शन जोखिम का पता लगाने, पैरामीटरीकृत क्वेरी का उपयोग करने का सुझाव दिया
# 安全写法
query = "SELECT * FROM users WHERE id = %s"
cursor.execute(query, (user_input,))
परिणाम मापा:पर आधारितएंथ्रोपिकक्लाउड कोड सिक्योरिटी एसक्यूएल इंजेक्शन, एक्सएसएस, कमांड इंजेक्शन आदि सहित 70 प्रतिशत से अधिक सामान्य लूपहोल का पता लगाने में सक्षम थी।
कोर क्षमता दो: पैकेज सुरक्षा स्कैनिंग पर निर्भरता
आपके द्वारा पेश की जाने वाली प्रत्येक तृतीय-पक्ष पुस्तकालय एक समय बम हो सकता है।Log4jगैप अभी भी दिखाई देते हैं, और एक पुस्तकालय दुनिया भर में लाखों प्रणालियों को प्रभावित करती है।
क्लाउड कोड सुरक्षा कर सकते हैं:
- स्वचालित रूप से आइटम निर्भर स्कैन करें
- ज्ञात लूपहोल डेटाबेस (CVE) की तुलना
- पुनर्वास और विकल्प के लिए सिफारिश
कोर योग्यता तीन: सुरक्षा अनुपालन निरीक्षण
अनुपालन के लिए विभिन्न उद्योग आवश्यकताओं:
- वित्त: PCI-DSS
- चिकित्सा देखभाल: HIPAA
- चीन: स्तर 2.0 संरक्षण
क्लाउड इन मानदंडों के अनुपालन के लिए अपने कोड की जांच कर सकता है:
- क्या डेटा एन्क्रिप्शन जगह में है?
- अधिकार का उचित नियंत्रण
- लॉग रिकॉर्ड
पारंपरिक साइबर सुरक्षा कंपनियों पर प्रभाव
प्रभाव एक: सुरक्षा की परिभाषा
इससे पहले, सुरक्षा इंजीनियर का मुख्य कार्य बग ढूंढना था, जिसे अब एआई द्वारा प्रतिस्थापित किया जा रहा है।
सुरक्षा इंजीनियरों को बदलने की आवश्यकता है:
- "Finding Gaps" से "डिजाइन सुरक्षा वास्तुकला" तक
- "मैनुअल ऑडिट" से "AI + मैनुअल रिव्यू" तक
- "निष्क्रिय रक्षा" से "सक्रिय डिजाइन" तक
प्रभाव II: सुरक्षा सेवाओं की कीमतों की फिर से इंजीनियरी
सुरक्षा सेवा मॉडल जो दैनिक आधार पर भुगतान करने के लिए इस्तेमाल किया जाता था, इसके अलावा गिर गया था। एआई कुछ ही मिनटों में एक सप्ताह का काम पूरा कर सकता है।
पारंपरिक मॉडल:
- कोड ऑडिट: 50,000/week
- घुसपैठ परीक्षण: 80,000 /
- सुरक्षा परामर्श: ¥3,000 घंटे
एआई + मोड:
- एआई फुल स्कैन: 500/00
- मुख्य बिंदुओं की मैनुअल समीक्षा: ¥2,000/
- सुरक्षा वास्तुकला डिजाइन: 10,000 /
लागत दस गुना से अधिक हो गई है।
प्रभाव III: सुरक्षा उत्पाद पैटर्न में परिवर्तन
पारंपरिक सुरक्षा उत्पाद "वास्तविकता के बाद उपचार" हैं - पहले समस्याएं, फिर पुनर्वास।
क्लाउड कोड सुरक्षा "preventive" है - कोड लेखन के दौरान जोखिम को अवरुद्ध करना।
इसका मतलब है:
- फायरवाल,आईडीएसजब पारंपरिक उत्पादों का मूल्य गिर जाता है
- विकास के दौरान सुरक्षा उपकरणों की बढ़ी हुई कीमत
- "व्यापार" से "विकास" तक सुरक्षा
सही मामला: एआई मानव की तुलना में मजबूत है।
एक आंतरिक परीक्षण में, एंथनी ने क्लाउड कोड सिक्योरिटी और वरिष्ठ सुरक्षा इंजीनियरों की एक टीम को उसी समय उसी कोड लाइब्रेरी का ऑडिट करने के लिए कहा।
परिणाम:
- क्लाउड ने 47 छेद पाए
- मानव खोज: 38 लूपहोल
- अंतर: 32
- अकेले क्लाउड: 15
- मानव अद्वितीय: 6
एआई ने न केवल लूपहोल पाया, बल्कि 14 उच्च जोखिम वाले मुद्दों को भी पाया कि मानव लापता हो गए।
भविष्य की संभावनाएं: सुरक्षा उद्योग क्या बन जाएगा?
मुझे विश्वास है कि अगले तीन से पांच वर्षों में साइबर सुरक्षा उद्योग में प्रमुख बदलाव होंगे:
1. सुरक्षा अभियंता परत
| स्तर | संख्या | कर्तव्य |
|---|---|---|
| शीर्ष सुरक्षा वास्तुकार। | 5% | डिजाइन सुरक्षा प्रणालियों, सुरक्षा रणनीतियों का विकास |
| एआई सुरक्षा ट्रेनर | 15% | एआई सुरक्षा मॉडल का प्रशिक्षण और अनुकूलन |
| एआई परिणाम समीक्षक | 30% | एआई आउटपुट की लेखा परीक्षा, मामूली मामलों की प्रसंस्करण |
| बुनियादी सुरक्षा संचालन | 50% | ऑपरेटिंग सुरक्षा उपकरण, सरल अलर्ट हैंडलिंग |
2. सुरक्षा कॉर्पोरेट परिवर्तन
- पारंपरिक सुरक्षा दिग्गज:हमें एआई को गले लगाने की जरूरत है या हम बाहर हैं।
- उभरते एआई सुरक्षा:♪ एआई की शक्ति के साथ
- क्लाउडमेकर:सुरक्षा क्षमता बुनियादी ढांचा बनाना
3. अनुपालन पैटर्न में परिवर्तन
अतीत में, अनुपालन "टिक-चेक" और भविष्य में "पूर्ण वास्तविक समय परीक्षण" था। एआई कर सकते हैं:
- स्वचालित सुरक्षा प्रत्येक कोड सबमिशन की जाँच करें
- अनुपालन आवश्यकताओं की वास्तविक समय तुलना
- स्वचालित रूप से अनुपालन रिपोर्ट उत्पन्न करें
प्रोग्रामर इसे कैसे संभालता है?
साधारण डेवलपर्स के लिए, क्लाउड कोड सिक्योरिटी एक अवसर और एक चुनौती दोनों है:
अवसर
- निचले स्तर के कौशल:आपको सुरक्षा कोड लिखने के लिए सुरक्षा विशेषज्ञ होने की आवश्यकता नहीं है।
- दक्षता लाभ:एआई आपको एक लूपहोल खोजने में मदद करता है और बाद में मरम्मत की लागत को कम करता है।
- सीखने के अवसर:देखें कि एआई सुरक्षा मुद्दों का विश्लेषण कैसे करता है और अपनी सुरक्षा जागरूकता बढ़ाता है।
चुनौतियां
- सुरक्षा जागरूकता अधिक महत्वपूर्ण है:एआई की चेतावनी का मतलब क्या है यह समझना।
- सतत शिक्षा:एआई विकसित हो रहा है। आपको विकसित करना होगा।
- निर्भरता नहीं है:एआई सब कुछ नहीं है। महत्वपूर्ण प्रणालियों को अभी भी मैनुअल समीक्षा की आवश्यकता है।
निष्कर्ष
क्लाउड कोड सुरक्षा सबसे अच्छा एआई फंक्शन नहीं हो सकता है, लेकिन यह ऑनलाइन सुरक्षा नियमों को बदल रहा है।
जब एआई कोड लिखते समय लूपहोल की पहचान करने में सक्षम है, जब सुरक्षा लेखा परीक्षा को "सप्ताहों" से "सेकेंड" कंपनियों और व्यक्तियों को कम किया जा सकता है जो अभी भी पुराने तरीकों का उपयोग कर रहे हैं उन्हें उस समय के पीछे छोड़ दिया जाना चाहिए।
प्रवृत्ति को गले लगाने या समाप्त करने के लिए आ गया है।