「エンタープライズセキュリティ」が機能を停止する場所
あらゆる会社がセキュリティについて話しています。
実際には攻撃されていることが生き残っています。
ホワイトペーパーからセキュリティを学びませんでした。 私たちは実際の違反からそれを学びました - 自動化された悪用農場を対象とする何百もの賭けを処理するカジノを守ることから、フィンテックシステムはライブペイアウト、およびソーシャルプラットフォームを扱う。
第5次主要プラットフォームを堅くした時、次のことを実現しました。
セキュリティは部門ではありません。 エンジニアリングマインドセットです。
攻撃面の現実
スケールで操作すると、攻撃面になります。
Gitコミットで漏れたAPIキーです。
auth ロジックを変換するデプロイメントロールバック。
署名検証なしでWebhookエンドポイント。
ログアウト後、階段のセッションを提供するキャッシュレイヤー。
これらは仮説ではありません。 彼らは弱点の攻撃者が最初に見つかる - あなたの監視ソフトウェアはまだ存在していない。
レッスン1 - 可視性は新しいファイアウォールです
見えないものを守ることはできません。
従来のシステムモニターのエンドポイントとリクエスト。 しかし、現代の攻撃は、マイクロサービス、ペイロードのタイミング、およびユーザーの行動パターン間の関係を悪用します。
リクエストだけではなく、行動的な意図を追跡し始めます。
Brute™の防衛エンジンは、実行前に攻撃を阻止するために学習しました。
活動ではなく、インテントをモデル化することで、積極的なセキュリティから予測防衛へと移行しました。
レッスン2 — 自動化は敵ではありません
ほとんどのチームが自動化を恐れています。なぜなら、生産を破るのを見てきたからです。
しかし、実質の危険は十分に速いことを自動化しません。
当社のインシデントレスポンスフレームワークは、自動リキャリブレーションの周りに設計されています。脅威がスパイクされると、しきい値がリアルタイムで調整されます。
人間の遅れ無し。 レビューのチケットを待っていません。
ポストモレテムを書いて終了したら、システムがすでに独自の防衛を繰り返しています。
自動化は人間を置き換えることではありません。その瞬間のためにそれらを保存しています。
レッスン3 - ストレステストのすべて(あなたの自己を破る)
これまで、攻撃者達がクライアントに手を差し伸べる前に、すでにそれ自身をやっていました。
私達はシミュレートします:
- SQLiとペイロードのインジェクションをグローバル通貨下に配置
- Brute-forceのauthの洪水は分散されたbotnetsを模倣します
- 総合的なDDoSは10xの予想される交通レベルでサージします
- サーバレスエンドポイントを横断したセッションシグネチャ
あなたのシステムがすでにあなた自身の赤いチームに当たるとき 10,000 回, 実際の攻撃は感じを開始します... 元.
2024年に単独で、67M+の要求が守られ、単一のBuildrbrandの展開は成功した違反を経験しました。
レッスン4 - 目に見えないセキュリティ
セキュリティーは、セキュリティに気付くことはありません。
ユーザーがレイテンシー、割込み、または「セキュリティポップアップ」に気付いた場合、攻撃者よりも迅速に製品をバイパスします。
そのため、Bruteは動作層の一部として設計されていましたが、ボルトオンではありません。 すべてのBuildrbrandシステムでサイレントに実行されます。セットアップ、追加の請求書なし、許可プロンプトはありません。
エンドユーザにリアルタイム、自己治癒、そして完全に見えないことです。
レッスン5 - 人間はまだ勝つ
AIは適応できますが、コンテキストを理解できません。
何かが普通に見えますが、間違っていると、それは人間の本能がまだリードしている場所です。
すべての異常な Brute はフィードバック ループを通してパスを検出します: 人間はモデルを検証し、精製し、そして再訓練します。
これは、システムが漂流せずに学習し続ける方法です。
結果:進化する防衛モデル — 人間の判断を失わない。
ビッグガーレッスン
ほとんどの会社は保険の方針のような保証を扱います。
酸素のように扱います。
コードコミットからCDNエッジまで、プラットフォームのすべてのレイヤーを流れるので、オンとオフにしないでください。
真実は、すべての攻撃を停止しません。
しかし、あなたのプラットフォームが各々から吸収し、適応し、そして進化できるならば、あなたは追い求めたようにセキュリティを扱うすべての競合他社を追い出します。
