Güvenlik tartışmalarını yazılım geliştirme yaşam döngüsünün erken aşamalarına dahil etmek için “sola kaydırma”nın bir parçası olarak kuruluşlar, yazılım tasarımındaki güvenlik kusurlarını belirlemek için tehdit modellemeye bakmaya başlıyor. Geliştiricilerin makine öğrenimini uygulamalarına giderek daha fazla dahil etmesiyle birlikte, organizasyona yönelik risklerin belirlenmesi için tehdit modelleme gerekli hale geliyor.
“İnsanlar hâlâ bu çok yeni teknolojiyi kullandığınızda şu fikirle boğuşuyor: [machine learning]Berryville Makine Öğrenimi Enstitüsü’nün kurucu ortağı Gary McGraw şöyle diyor: “Bu, bir takım riskleri de beraberinde getiriyor” diyor ve ekliyor: “‘Şu risk var ve şu da var’ deme gibi kıskanılacak bir konumdayım. Risk var ve gökyüzü düşüyor’ ve herkes şöyle diyor: ‘Peki bu konuda ne yapmam gerekiyor?'”
McGraw, makine öğrenimi riskiyle ilgili pek çok konuşma yapıldığını ancak zorluğun bunların nasıl ele alınacağını bulmakta yattığını söylüyor. Tehdit modelleme – kuruluşa zarar verebilecek tehdit türlerinin belirlenmesi – kuruluşların derinlemesine düşünmesine yardımcı olur makine öğrenimi sistemlerinde güvenlik riskleri veri zehirlenmesi, girdi manipülasyonu ve veri çıkarma gibi. Geliştiriciler tehdit modelleme yoluyla tasarımlarındaki güvenlik kusurlarını anlayabilirlerse, geliştirme sırasında ve üretim öncesinde güvenlik testlerine harcanan süre azalacaktır. NIST’in Yazılımın Geliştirici Doğrulamasına İlişkin Minimum Standartlara İlişkin Yönergeleri Tasarım düzeyindeki güvenlik sorunlarını aramak için tehdit modellemeyi önerir.
IriusRisk’in tehdit modelleme aracı, hem tehdit modellemeyi hem de mimari risk analizini otomatikleştirerek bu zorluğun üstesinden gelir. Geliştiriciler ve güvenlik ekipleri, diyagramlar ve tehdit modelleri oluşturmak için kodu araca aktarabilir. Tehdit modelleme şablonları Tehdit modellemeyi, diyagram oluşturma araçlarına veya risk analizine aşina olmayanlar için bile erişilebilir hale getirin.
Yeni başlatılan AI ve ML Güvenlik Kitaplığı, IriusRisk kullanan kuruluşların, güvenlik risklerinin ne olduğunu ve bu risklerin nasıl azaltılacağını anlamak için planladıkları makine öğrenimi sistemini tehdit modellemesine olanak tanır.
Aynı zamanda IriusRisk’in danışma kurulu üyesi olan McGraw, “Nihayet insanların riski ele almak ve riski kontrol etmek için kullanabileceği makineler üretmeye başlıyoruz” diyor. “Makine öğrenimini sisteminize kattığınızda [system] tasarım yapıyorsanız ve IriusRisk’i kullanıyorsanız, artık hangi risklerin söz konusu olduğunu ve bu konuda ne yapmanız gerektiğini biliyorsunuz.”
ML Tehdit Modellemesi Nasıl Görünüyor?
IriusRisk’in AI ve ML Güvenlik Kitaplığı kuruluşların gerekli soruları sormasına yardımcı olur. Örneğin:
- Makine öğrenimi modelini eğitmek için kullanılan verilerin nereden geldiğini sormak. Ayrıca herhangi birinin, makinenin yanlış bir şey yapmasını sağlamak için yanlış veya kötü amaçlı verileri yerleştirme fırsatına sahip olup olmadığını sormak da önemlidir.
- Makinenin üretime girdikten sonra nasıl öğrenmeye devam ettiğini düşünün. Çevrimiçi olan ve kullanıcılardan öğrenmeye devam eden makine öğrenimi sistemleri, çevrimiçi olmayanlara göre daha tehlikelidir. “Bu kimin kullandığına bağlı. Sizinkiler mi? Kötü insanlar mı? Twitter’daki herkes mi yoksa X mi?” McGraw, sakıncalı bilgiler öğrendikten sonra çevrimdışına alınması gereken geçmiş proje örneklerinin bulunduğunu belirtti.
- Makineden gizli bilgilerin alınıp alınamayacağını sorun. Gizli bilgileri makine öğrenimi algoritmanıza koyarsanız, bu bilgiler kriptografik yöntemlerle korunmaz ve çıkarılabilir. McGraw, “Veriyi makineye koyarsanız, makinede olur” diyor. “Makine öğrenimi sisteminizi kullanan kişilerin bu gizli verileri alamamasını sağlamayı düşünmelisiniz.”
AI ve ML Güvenlik Kitaplığı, makine öğrenimi tehditlerinin bir sınıflandırması olan BIML ML Güvenlik Risk Çerçevesi’nin yanı sıra McGraw tarafından geliştirilen tipik makine öğrenimi bileşenlerinin mimari risk değerlendirmesini temel alır. Çerçeve, projenin erken tasarım ve geliştirme aşamalarında makine öğrenimini kullanan uygulamalar ve hizmetler üreten geliştiriciler, mühendisler ve tasarımcılar tarafından kullanılmak üzere tasarlanmıştır. IriusRisk’in kütüphanesi sayesinde makine öğrenimini kullanan herkes BIML’in çerçevesini kullanabilir.
AI ve ML Güvenlik Kitaplığı, IriusRisk müşterilerinin ve platformun topluluk sürümünü kullananların kullanımına açıktır.
Tehdit Modelleme Zamanı
IriusRisk CEO’su Stephen de Vries’e göre AI ve ML Güvenlik Kütüphanesi, kuruluşların AI ve ML sistemlerinin nasıl analiz edileceği ve güvenliğinin sağlanacağı konusundaki ilgisine yanıt olarak geliştirildi.
De Vries yaptığı açıklamada, “Finans ve teknoloji sektörlerindeki müşterilerimizden, makine öğrenimi sistemlerinin nasıl analiz edileceği ve güvenliğinin nasıl sağlanacağı konusunda rehberlik almak için ilginin arttığını gördük” dedi. “Bunlar genellikle henüz tasarım aşamasında olan yeni projeler olduğundan, burada tehdit modellemesi yapmak büyük değer katıyor çünkü bu ekipler güvenlik hedef direklerinin nerede olduğunu çok hızlı bir şekilde anlayacaklar. – ve oraya ulaşmak için ne yapmaları gerektiğini.”
Kitaplık, makine öğrenimi kullanımına ilişkin görünürlüğe sahip olmayan kuruluşlara yardımcı olmaz. Tıpkı kuruluşların gölge BT’ye sahip olabileceği gibi – McGraw, farklı iş paydaşlarının kendi sunucularını ve Web uygulamalarını BT gözetimi olmadan kurduğu durumlarda, gölge makine öğrenimine de sahip olabileceklerini söylüyor. Farklı departmanlar yeni uygulamaları ve araçları deniyor ancak bireysel çalışanların kullandıkları ile BT ve güvenlik ekiplerinin bildiği riskler arasında bir boşluk var.
McGraw şöyle diyor: “Herkes, ‘Kuruluşumda makine öğrenimi olduğunu sanmıyorum’ diyor. Ama öyle olduğunu öğrendikleri anda, onu her yerde buluyorlar.”
Birçok kuruluş Tehdit modellemeyi dahil etmeyin yazılım tasarımı sırasında ve bir kişinin tehditleri teker teker analiz ettiği manuel süreçlere dayananlar.
McGraw, “Olgun bir tehdit modelleme programınız varsa ve IriusRisk gibi bir araç kullanıyorsanız, artık makine öğrenimini de yönetebilirsiniz. Yani zaten en iyisini yapan insanlar daha da iyisini yapacak” diyor. “Peki ya tehdit modelleme yapmayanlar? Belki de başlamalılar. Bu yeni değil. Bunu yapmanın zamanı geldi.”
