CryptoSlate
Forescout araştırmacıları, ticari olarak temin edilebilir yapay zekâyı kullanarak gömülü ağ yazılımında daha önce bilinmeyen 66 güvenlik açığı buldu; bu açıklar, ağ üzerinden iletişim kuran bağlı cihazlara ait 10 TCP/IP yığınında doğrulanmış 99 kusurluk partinin bir parçası. Sistem, klasik kod analizini Anthropic'in Claude modelleriyle birleştirdi ve her bulguyu dinamik test onaylamadan önce hem açık kaynak kodu hem de sahipli ikili dosyaları inceledi.
Asıl haber güvenlik ekipleri için ekonomisi: Yaklaşık 10 saatlik otomatik analiz ve 80 saatlik dinamik doğrulama, statik analiz yaklaşık 935 dolar model harcamasına mal olurken toplam model harcamasının 1.200 ila 2.300 dolar olduğu tahmin ediliyor. Forescout'un önceki Project Memoria çalışması yaklaşık dokuz aylık manuel kod analizi almıştı; ancak bu karşılaştırma farklı hedef kümelerini kapsıyor ve sistemin kendisini kurma maliyetini dışlıyor.
Neden önemli
Bu yaklaşım uzman araştırmasının yerini almıyor. Daha önce incelenmiş bir hedef kümesinde bilinen sorunların yalnızca %40'ını yeniden keşfetti ve uygulamaya özgü mantık ile tasarım kusurlarını bulmada daha zayıftı. Ama maliyet eğrisi önemli: Bu fiyat noktasındaki güvenlik açığı keşfi, aynı araçları herkesin kullanabilmesi nedeniyle savunucular ile saldırganlar arasındaki dengeyi değiştiriyor.
Bulgular ayrıca bir yamalama boşluğunu da ortaya koyuyor. Siemens'in 13 Ekim tarihli duyurusu, kimlik doğrulamasız uzaktan bir saldırganın cihaz belleğini okuyabileceği veya hizmet reddine yol açabileceği APOGEE, TALON ve Desigo bina otomasyonu ürünlerindeki kusurları kapsıyor. APOGEE PXC ve TALON varyantları için güncellemeler mevcut, ancak listelenen birkaç eski APOGEE MBC/MEC ve Desigo ürünü için planlanmış bir düzeltme yok ve FTP/web hizmetlerini devre dışı bırakmak veya ağ segmentasyonu gibi önlemler gerekiyor.
Piyasa etkisi
lwIP yığını için açık kaynak bir düzeltme 26 Ekim'de yayımlandı ve kötü niyetli bir aracının bir cihazın ağ hizmetlerini dondurmasına yol açabilecek MQTT ayrıştırma kusurunu ele alıyor. Sözleşme süreci hâlâ tamamlanmadı; üç sahipli yığın hâlâ araştırma altında ve Ethernut isimli bir satıcı henüz yanıt vermedi. İşletmeciler gereksiz servis erişimlerini kapatmalı, yamalanamayan cihazları izole etmeli ve mevcut düzeltmeleri uygulamalı. Daha hızlı keşif ancak satıcılar gerçekten yamaları dağıttığında fayda sağlar.
Sıkça sorulan sorular
-
Forescout'un yapay zekâ destekli araştırması kaç güvenlik açığı buldu?
Ekip, 10 TCP/IP yığınında 66'sı daha önce bilinmeyen olmak üzere 99 güvenlik açığını doğruladı. Yeni bulgulardan 54'ünü, hâlâ güncel sürümleri etkiledikleri için satıcılara veya bakımcılara bildirdi.
-
Yapay zekâ destekli güvenlik açığı araştırması ne kadar tuttu?
Statik analiz yaklaşık 935 dolar model harcamasına mal olurken Forescout, toplam model harcamasının kabaca 1.200 ila 2.300 dolar olduğunu tahmin ediyor. Bu, hazır kurulmuş bir sistemin kullanılmasını kapsıyor; arkasındaki uzman araştırması ve kurulumu değil.
-
Yapay zekâ yaklaşımı manuel güvenlik araştırmasıyla nasıl karşılaştırılır?
Forescout yaklaşık 10 saatlik otomatik analiz ve 80 saatlik dinamik doğrulama kaydetti; buna karşılık önceki Project Memoria çalışmasında kabaca dokuz aylık manuel kod analizi yapılmıştı. Karşılaştırma farklı hedef kümelerini kapsıyor, dolayısıyla kontrollü bir kıyaslama değil.
-
Hangi cihazlar için bu kusurlara karşı bir düzeltme planlanmıyor?
Siemens, etkilenen APOGEE PXC ve TALON varyantları için güncellemeleri listeliyor, ancak listelenen birkaç eski APOGEE MBC/MEC ve Desigo ürünü için planlanmış bir düzeltme yok. Siemens, FTP/web hizmetlerini devre dışı bırakmak veya denetleyicileri ağ segmentasyonu arkasına yerleştirmek dahil sorunlara özgü önlemler…
-
Güvenlik açığı bulmak için yapay zekâ kullanmanın sınırları nelerdir?
Sistem, daha önce incelenmiş bir hedef kümesinde 82 bilinen sorundan yalnızca 33'ünü, yani yaklaşık %40'ını yeniden keşfetti ve uygulamaya özgü mantık ile tasarım kusurlarını bulmada daha az etkiliydi. Yine de 80 saatlik insan doğrulaması gerektirdi.
WatcherGuru
CoinTelegraph
Lookonchain
Crypto News
CoinDesk