Co się naprawdę stało i dlaczego ma to dla ciebie znaczenie?

Doniesienia wskazują, że jedno z najbardziej zaawansowanych laboratoriów AI ujawniło własny kod źródłowy przez pojedynczy źle skonfigurowany plik. Szczegółem, który zasługuje na twoją uwagę, nie jest firma. Jest nim to, jak zwyczajna była ta usterka. Nie był to błyskotliwy atak pokonujący błyskotliwą obronę. Było to źle pozostawione ustawienie, a to samo ustawienie istnieje w większości organizacji, które nigdy nie spojrzały.

Dlaczego podstawy wciąż biją to, co błyskotliwe?

Ponieważ typowy incydent to nie zero-day. To publiczny bucket, ujawniony klucz, zależność, której nikt nie przejrzał, albo plik konfiguracyjny wdrożony z błędną flagą. Wyrafinowanie twojego produktu nie chroni cię przed polem pozostawionym bez zaznaczenia w twojej infrastrukturze. Najbardziej kompetentna organizacja inżynieryjna w danej dziedzinie wciąż może stracić swoje rodzinne srebra przez rutynową błędną konfigurację, i to jest właśnie sedno sprawy.

Jak w praktyce wygląda dyscyplina konfiguracji?

Jest nieefektowna i powtarzalna. Konfigurację przegląda się, zanim trafi na produkcję, a nie dopiero po incydencie. Dostęp podlega zasadzie najmniejszych uprawnień, dzięki czemu pojedynczy błąd ujawnia niewiele. Istnieje aktualny rejestr tego, co jest publiczne, a co prywatne. Kontrola zmian jest realna, a imiennie wskazana osoba odpowiada za to, co trafia na zewnątrz. Nic z tego nie jest ekscytujące. Wszystko to stanowi różnicę między spokojnym kwartałem a naruszeniem, które tłumaczysz swojej radzie nadzorczej.

Od czego firma powinna zacząć?

Załóż, że ujawnienie już istnieje, i wyrusz na jego poszukiwanie. Skontroluj, co jest publicznie dostępne, kto może zmieniać konfigurację i czy ktokolwiek faktycznie ponosi tę odpowiedzialność. Większość organizacji odkrywa, że odpowiedź na ostatnie pytanie brzmi nikt konkretny, i to jest prawdziwy wniosek. Napraw to, a większość ryzyka pójdzie w ślad za tym. Dyscyplina nie jest tutaj kosztem. To najtańsze ubezpieczenie, jakie kiedykolwiek kupisz.

Czytaj dalej: Która pozycja w Twoim bilansie jest najbardziej niebezpieczna?  ·  Alphabet pozyskuje 80 miliardów dolarów na AI. To Twój sygnał, by przestać konkurować w infrastrukturze.