IT News פורטל המחשוב העסקי וההייטק של ישראל
יוזמת Lightwell תיקנה חולשות שלא היו מוכרות קודם לכן בספריות Java בקוד פתוח. החברות מזהירות כי בעידן סוכני ה-AI, גם חולשות שנחשבות לבעלות סיכון נמוך יכולות להשתלב בשרשרת תקיפה ולהוביל לפריצה למערכות ארגוניות
IBM ו-Red Hat הודיעו כי יוזמת Lightwell שלהן תיקנה יותר מ-400 חולשות שלא היו מוכרות קודם לכן בספריות Java בסיסיות בקוד פתוח. במקביל, החברות הודיעו על זמינות כללית של Lightwell Clearinghouse, המאפשרת ללקוחות ארגוניים להעביר ספריות קוד פתוח ספציפיות לבדיקה, תיעדוף ותיקון.
לדברי החברות, השימוש הגובר בסוכני AI אוטונומיים משנה את תמונת האיומים. סוכנים מתקדמים מסוגלים לחבר מספר חולשות, גם כאלה שנחשבות בפני עצמן לבעלות סיכון נמוך, לכדי שרשרת תקיפה שעלולה להוביל לפריצה בעלת השפעה עסקית. מצב זה מגדיל את החשיבות של איתור ותיקון חולשות הנמצאות בליבת היישומים הארגוניים הקריטיים.
באמצעות Lightwell שתי החברות מבקשות לחזק את שכבת הקוד הפתוח שעליה נשענים יישומים ארגוניים מכיוון שלדבריהן זיהוי חולשות לבדו כבר אינו מספיק, והגנה על תשתיות ארגוניות מפני איומים מודרניים דורשת גם פיתוח מהיר של תיקונים והטמעתם בסביבות ייצור.
במסגרת היוזמה, IBM ו-Red Hat איתרו ותיקנו יותר מ-400 בעיות שלא היו מוכרות קודם לכן בתוכנות הנמצאות בשימוש נרחב בסביבות ייצור. החברות גם התאימו את התיקונים לגרסאות קוד קודמות, כדי לאפשר את שילובם במערכות פעילות.
לדברי החברות, היקף התיקונים ממחיש כי גם בסיסי קוד שנחשבו במשך שנים ליציבים דורשים כיום הקשחה מתמשכת. היכולת של כלי AI לנצל חולשות במהירות ולהשתמש בהן כחלק משרשרת תקיפה הופכת רכיבים ותיקים לשכבת סיכון שדורשת טיפול יזום.
אבטחת קוד פתוח בסביבות פרודקשן
Lightwell משלבת מומחיות בהנדסת קוד פתוח של IBM ו-Red Hat, את הקשרים של Red Hat עם קהילות הקוד הפתוח, תהליכי עבודה הנדסיים המסתייעים ב-AI ויכולות של Red Hat בתחום שרשרת אספקת תוכנה מאובטחת.
המערכת נועדה לפתח במהירות תיקונים המותאמים לגרסאות ספציפיות של ספריות קוד פתוח הנמצאות בשימוש במערכות פרודקשן. התיקונים מופצים באמצעות מאגרים מאובטחים המשתלבים ישירות בתהליכי ה-IT הקיימים של הלקוחות. כך יכולים ארגונים להתמודד עם חולשות מורכבות או חדשות מבלי להחליף את כלי הסריקה, מאגרי התוכנה, תהליכי ה-CI/CD או תהליכי האימות שבהם הם כבר משתמשים. צוותי IT יכולים לקבל גישה לתיקונים מאומתים, לשלב את הרכיבים המתוקנים בתהליכי העבודה הקיימים ולהקים תהליך תפעולי מסודר לטיפול בחולשות באמצעות Lightwell Network.
עם הזמינות הכללית של Lightwell Clearinghouse, לקוחות יכולים כעת לפנות ישירות למערך ההנדסי הייעודי של IBM ו-Red Hat ולהעביר חולשות ספציפיות בקוד פתוח לצורך ניתוח, תיעדוף ותיקון. התהליך יכול לכלול גם התאמת תיקונים לגרסאות קוד קודמות שעדיין נמצאות בשימוש.
בהתאם למודל הקוד הפתוח של Red Hat, תיקונים רלוונטיים שמפותחים במסגרת Lightwell מועברים גם חזרה לפרוייקטי המקור בקוד הפתוח, בהתאם לכללי גילוי אחראי. כך יכולה קהילת הקוד הפתוח הרחבה ליהנות מהתיקונים, תוך שמירה על תקופות האמברגו הנדרשות עבור משתתפי Lightwell Clearinghouse.
״סוכני AI שינו את נוף האיומים כמעט בן לילה, והם מסוגלים לנצל רכיבי תוכנה ישנים במהירות של מכונה״, אמר גונאר הלקסון, סגן נשיא ומנהל כללי של Lightwell ב-Red Hat. ״לא משנה אם בסיס הקוד בן עשר שנים או נחשב ליציב, מספיק פירצה קטנה אחת כדי לבנות ממנו שרשרת תקיפה. איתור הבאגים הוא רק חצי מהעבודה. האתגר האמיתי הוא להתאים את התיקונים ישירות ליישומים פעילים בסביבות ייצור, כך שהלקוחות לא יצטרכו לבחור בין אבטחה לבין זמינות המערכות. העובדה שהצלחנו לאתר ולנטרל יותר מ-400 חולשות חדשות בזמן קצר ממחישה את המהירות שבה Lightwell יכולה לפעול, ואנחנו רק בתחילת הדרך״.
