15 farklı tedarikçi firma tarafından kullanılan ana kart yönetim denetleyicilerinde (BMC’ler) orta ila ciddi düzeyde güvenlik açıklarının keşfedilmesi, Aralık 2022’de ürün yazılımı kusurları tehlikesini vurguladı. Ürün yazılımı, daha fazla güvenlik tarayıcısının erişemeyeceği donanım düzeyine daha yakın olduğundan, güvenlik açıklarını bulun ve giderin. Ürün yazılımı bileşenleri çok temel olduğundan ve geniş çapta konuşlandırıldığından, birini ihlal etmek, bir saldırganın tüm ağlara erişmesini sağlayabilir.
BlackLotus, CosmicStrand ve MoonBounce gibi bootkit’ler ve rootkit’ler, Windows 11 gibi işletim sistemlerindeki bellenim güvenlik önlemlerine rağmen, saldırı yüzeyini aygıt yazılımı düzeyine genişletti.
Yani riskler ve zorluklar yüksek. Bu yıl Black Hat USA Startup Spotlight Yarışmasında finalist olan Binarly’nin kurucusu ve CEO’su Alex Matrosov, “Binarly tam da bu yüzden yaratıldı” diyor. Kısacası Binarly, ürün yazılımındaki bilinen ve bilinmeyen güvenlik açıklarını bulan bir ikili analiz aracı oluşturdu. Teknoloji ayrıca bağlantılı bağımlılıkları belirlemek için yazılım malzeme listelerinin (SBOM’ler) doğruluğunu ve eksiksizliğini değerlendirebilir.
Matrosov, “Tedarik zinciri güvenliğini geniş ölçekte ele almak ve kurcalama ve ürün yazılımı yerleştirme belirtilerini belirlemeye yardımcı olmak için Binarly Şeffaflık Platformunu inşa ediyoruz” diyor.
Binarly Ürün Yazılımına Nasıl Girer?
Matrosov, “Binarly’de, insanlar iyi ölçeklenemediği için otomasyona inanıyoruz ve işletim sisteminin altındaki saldırı yüzeylerini bulup hafifletmek için modern AI/ML’ye odaklanan yeni bir yaklaşıma öncülük ediyoruz” diyor.
Virüsten koruma yazılımlarında olduğu gibi, ürün yazılımı taraması da imzalara dayalı olarak bilinen sorunları tespit etmekten uzaklaşıyor ve daha önce bilinmeyen sorunları bulmak için kodu analiz etmeye doğru ilerliyor. Binarly, bilinen güvenlik açığı sınıflarını inceleyen, benzer kodun bölümlerini bulan, bu şekilde keşfedilen güvenlik açıklarını sınıflandıran ve bu yeni güvenlik açıklarının ne kadar istismar edilebilir olduğunu tahmin eden ve kanıtlayan makine öğrenimini uygular. Şekil, savunmasız kod parçacıklarını vurgulayan erişim açıklanabilirliğine sahip Derin Güvenlik Açığı Analizini göstermektedir.
Şirket, bu sürecin ürünlerin güvenlik açıklarıyla serbest bırakılmasını önleyebileceğini ve böylece hem Binarly müşterileri hem de onların alt müşterileri üzerindeki olay müdahale etkisini azaltabileceğini söylüyor. Binarly ayrıca, geliştiricilerin ürün yazılımlarını şirketin araçlarıyla taramak üzere yüklemelerine olanak tanıyan FwHunt’a da ev sahipliği yapar.
Matrosov, “Platformun çeşitli sorun sınıflarını belirleme yeteneğini daha da geliştirmek ve belirlenen güvenlik açıklarını belirleme ve çözme sürecini hızlandırmak için iddialı planlarımız var” diyor. Şirketinin geçen yıl 320’den fazla yüksek etkili güvenlik açığını belirlemek ve ifşa etmek için platformunu kullandığını da sözlerine ekledi.
Matrosov, “Geçtiğimiz çeyrekte, yalnızca sorunları bulmanın ötesine geçmemizi ve güvenlik profesyonellerinin ve geliştiricilerin bu sorunların nasıl çalıştığını ve bunları nasıl düzelteceklerini anlamalarına yardımcı olmak için hareket etmemizi sağlamak için yaptığımız bazı araştırmaları ürünleştirmeye odaklandık.” .
Geleceğe Sıkı Tutun
Yarışmada dört finalist Black Hat Başlangıç Tanıtımı — Binarly, Mobb, Endor Labs ve Gomboc — iş modellerini 9 Ağustos Çarşamba günü Las Vegas’taki Mandalay Bay’de bir jüri heyetine sunacaklar. Dark Reading’in genel yayın yönetmeni Kelly Jackson Higgins, 16:30 PT’de başlayan etkinlik.
Binarly ayrıca şirketin ortaya çıkardığı güvenlik açıklarının tanıtımını ve demolarını da vaat ediyor. Ayrıca Matrosov kitabının nüshalarını da imzalayacak. Rootkit’ler ve Bootkit’ler: Modern Kötü Amaçlı Yazılımları ve Yeni Nesil Tehditleri Tersine ÇevirmekIntel kıdemli güvenlik araştırmacısı Eugene Rodionov ve DARPA Bilgi İnovasyon Ofisi program yöneticisi Sergey Bratus ile birlikte yazılmıştır.
Şirket adı, -ly ekinin önerebileceği gibi bir zarf değildir. Bunun yerine Matrosov’un sörf sevgisinden kaynaklanıyor. Binarly, “ikili analiz” ile büyük, zor ve tehlikeli dalgaları ifade eden “gnarly” sörf terimini birleştirir – böylece şirket “bi-gnarly” sorunları ele alır.
Hızlı Tur
İnternet sitesi: https://binarly.io/
Kurulan: 13 Nisan 2021
Finansman aşaması: Tohum
Şimdiye kadar toplanan toplam finansman: 3,6 milyon dolar
Çalışan Sayısı: 16
Şirket bir grup olsaydı, grubun adı ne olurdu ve ne tür bir grup olurdu: Kötü Cihazlar (Punk Rock)
Pizzada ananas, evet mi hayır mı?: “Doğru yaparsan pizzadaki ananas gerçekten harika, yani evet.”