Yapay zekânın yazılım açıklarını çok daha kısa sürede ortaya çıkarması, güvenlik ekiplerinin güncelleme süreçlerini yeniden şekillendiriyor. IBM ile Red Hat, açık kaynak yazılımların korunmasını hedefleyen Project Lightwell girişimini Palo Alto Networks’ün katılımıyla genişletti. Yeni iş birliği, güvenlik yaması yayınlanmadan önce sanal koruma katmanı oluşturarak kurumların kritik açıklara karşı daha hızlı önlem almasını amaçlıyor.

Ağ Katmanında Koruma Yazılım Güncellemesini Beklemeyecek

IBM, Red Hat ile Palo Alto Networks tarafından geliştirilen modelde güvenlik süreci iki aşamalı ilerliyor. Palo Alto Networks, yeni tespit edilen güvenlik açığına yönelik ağ seviyesinde sanal yama (virtual patching) uygulayarak saldırı girişimlerini engelliyor. Project Lightwell ise aynı süreçte açık kaynak yazılım bileşenleri için doğrulanmış düzeltmeleri hazırlayarak kurumların güvenli şekilde test edip devreye alabileceği güncellemeleri sunuyor.

Siber güvenlik ekipleri, kritik güvenlik açığı keşfedildiğinde resmi yazılım yaması hazır olmasa bile koruma sağlayabiliyor. Ağ seviyesinde uygulanan sanal güvenlik katmanı, saldırganların zafiyeti kullanmasını zorlaştırırken BT ekipleri planlı bakım süreçlerini kesintiye uğratmadan kalıcı güncellemeyi uygulayabiliyor. Sanal yama teknolojisi özellikle sıfır gün saldırıları sırasında riskin azaltılmasında önemli rol üstleniyor.

Palo Alto Networks CEO’su Nikesh Arora, yapay zekânın güvenlik açıklarının bulunmasıyla saldırıya dönüşmesi arasındaki süreyi haftalardan dakikalara indirdiğini belirterek klasik yama yönetimi yaklaşımının artık aynı hızda ilerleyemediğini ifade etti. Şirket, bu nedenle ağ koruması ile yazılım düzeltmesini aynı güvenlik zinciri içinde birleştirmeyi hedefliyor.

Project Lightwell Açık Kaynak Güvenliğini Genişletiyor

Project Lightwell yalnızca açık kaynak kütüphanelerini kapsamıyor. Platform; ticari yazılımlar, operasyonel teknoloji sistemleri (OT), bağlı cihazlar ile kurumsal uygulamalar için de daha geniş bir zafiyet yönetimi yaklaşımı sunuyor. Güvenlik açığı doğrulandıktan sonra koruma mekanizmasının aynı gün devreye alınabilmesi, fidye yazılımı saldırıları ile otomatik istismar kampanyalarına karşı önemli avantaj sağlıyor.

Ortaklar, ilerleyen dönemde yazılım üreticileri, güvenlik ekipleri ile teknoloji sağlayıcıları arasında standartlaştırılmış güvenlik açığı paylaşım süreci oluşturmayı planlıyor. Koordine edilmiş zafiyet bildirimi modeli sayesinde güvenlik düzeltmelerinin daha kısa sürede geliştirilmesi, anonimleştirilmiş saldırı telemetrisiyle gerçek tehdit eğilimlerinin analiz edilmesi hedefleniyor.

IBM Yönetim Kurulu Başkanı Arvind Krishna, Project Lightwell’in kurumsal şirketlerin her gün kullandığı açık kaynak altyapısını daha güvenli hâle getirmek amacıyla geliştirildiğini belirtti. Krishna, Palo Alto Networks ortaklığının kaynak kodundan ağ katmanına kadar uzanan bütünleşik koruma sağlayacağını vurguladı.

Açık Kaynak Yazılımlardaki Risk Artmaya Devam Ediyor

IBM ile Red Hat, Project Lightwell’i geçen ay 5 milyar dolarlık yatırım planı ve 20 binden fazla mühendisin desteğiyle duyurdu. İlk kullanıcılar arasında Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa ile Wells Fargo gibi büyük finans kuruluşları yer aldı.

Platformun temelinde yapay zekâ destekli güvenlik doğrulaması bulunuyor. Gelişmiş modeller, milyonlarca satırlık açık kaynak kodunu analiz ederek güvenlik düzeltmelerini doğruluyor. Ardından bu modeller kurumsal ortamlarda güvenli şekilde uygulanabilecek paketler oluşturuyor. Otomatik güvenlik doğrulaması özellikle yazılım tedarik zinciri güvenliği açısından yeni nesil yaklaşımlar arasında değerlendiriliyor.

Black Duck tarafından yayınlanan araştırmalar, Fortune 500 şirketlerinin yüzde 90’dan fazlasının açık kaynak yazılımlara bağımlı olduğunu ortaya koyuyor. Aynı araştırma, incelenen kod tabanlarının yüzde 86’sında en az bir açık kaynak güvenlik açığı bulunduğunu gösterirken yüksek veya kritik risk seviyesindeki zafiyet oranının bir yıl içinde yüzde 74’ten yüzde 81’e yükseldiğini ortaya koyuyor. Yapay zekânın güvenlik açığı keşfetme hızının artması, kurumların yalnızca yama yayınlanmasını bekleyen geleneksel güvenlik modelinden uzaklaşarak proaktif koruma stratejilerine yönelmesini hızlandırıyor.