Gestione delle vulnerabilità con l'AI

I modelli di AI avanzati hanno modificato la velocità e la scalabilità con cui i team di sicurezza e gli autori degli attacchi trovano le vulnerabilità. L'AI può trovare vulnerabilità in pochi minuti e gli aggressori possono sfruttarle più rapidamente che mai.

In Google abbiamo trasformato la gestione delle vulnerabilità utilizzando l'AI, come dimostrato nei progetti Naptime e Bigsleep. Utilizziamo l'AI per eseguire la scansione, identificare e correggere le vulnerabilità nella nostra infrastruttura. Collaboriamo anche con partner del settore, con i manutentori di progetti open source, i fornitori di chip e i produttori di hardware, per trovare e correggere i bug dell'AI prima che possano essere sfruttati.

Questo documento descrive come trovare e correggere le vulnerabilità nelle tue applicazioni adottando tecnologie di AI che ti aiutano a:

  • Sviluppa un programma di difesa dalle minacce basato sull'AI.
  • Esegui la scansione per rilevare vulnerabilità esterne.
  • Assegna la priorità agli asset e ai problemi.
  • Correggi le vulnerabilità critiche.
  • Monitora utilizzando playbook di risposta attivi.

Crea un programma di difesa dalle minacce basato sull'AI

Le minacce dell'AI differiscono da quelle convenzionali sia per tempistiche che per portata. I processi manuali per lo sviluppo, il test e il deployment delle correzioni per le tue applicazioni non sono più sufficienti. Devi invece implementare nuove strategie che includano la gestione automatizzata delle patch, il monitoraggio continuo, un'integrazione più stretta con le pipeline di sviluppo e la modernizzazione del software.

Per contribuire a modificare l'approccio della tua organizzazione alla gestione delle vulnerabilità, considera i seguenti principi:

  • La gestione delle vulnerabilità deve includere opzioni di AI e agentiche.
  • Tutto il software deve essere patchato.
  • I controlli devono rilevare e gestire continuamente la shadow AI, le integrazioni API interne non autorizzate, le estensioni del browser e gli strumenti gestiti localmente dagli sviluppatori.
  • La definizione di rischio critico della tua organizzazione deve riconoscere che i modelli possono sfruttare i percorsi di attacco, non solo le singole vulnerabilità.
  • La tua organizzazione deve essere in grado di intraprendere azioni correttive in pochi minuti.

Per creare un programma di difesa dalle minacce basato sull'AI, è necessario il supporto di sponsorizzazione dei dirigenti e di partner collaborativi nei team di sviluppo, operazioni, sicurezza e business. Nell'ambito del piano iniziale, completa quanto segue:

  • Stabilisci una governance e una proprietà chiare, inclusi un comitato, ruoli e un processo decisionale definiti.
  • Definisci i risultati e le metriche chiave (come il rispetto degli SLA, il volume delle eccezioni e la copertura degli asset) per monitorare i progressi e fare report alla leadership dirigenziale.
  • Crea policy, SLA e procedure di eccezione.

Il seguente diagramma mostra le fasi per la creazione di un programma efficace di difesa dalle minacce dell'AI. Ogni fase è descritta nelle sezioni rimanenti di questo documento.

Fasi del programma di difesa dalle minacce basata sull'AI.

Per aiutarti a creare e implementare un programma di difesa dalle minacce, contatta Mandiant Cybersecurity Consulting.

Fase 1: preparazione

Prima di eseguire il deployment degli scanner di vulnerabilità dell'AI nel tuo codebase, valuta il rischio per i tuoi asset. Dai la priorità ai tipi di scansioni e asset che devi scansionare utilizzando l'AI per evitare di sovraccaricare la pipeline di triage.

Scansione per esposizioni esterne

Gli asset più vulnerabili alle minacce dell'AI sono quelli esposti a internet, come:

  • VM Compute Engine
  • Cloud Run Functions
  • Cluster Google Kubernetes Engine (GKE)
  • Bucket Cloud Storage pubblici

Per mantenere un elenco completo di queste risorse nel tempo, attiva l'individuazione continua utilizzando un prodotto come Wiz Red Agent. Il rilevamento continuo è un processo automatizzato e continuo che esamina gli asset in tempo reale man mano che vengono creati o modificati. Wiz Red Agent può eseguire la scansione proattiva della tua rete esposta a internet per trovare applicazioni web attive, API esposte pubblicamente, software personalizzati e persino applicazioni con codifica delle vibrazioni.

Dopo aver trovato un asset, Wiz Red Agent può simulare attacchi reali per trovare vulnerabilità e creare catene di attacco. Quando Wiz Red Agent trova una vulnerabilità, invia i dati a Wiz Security Graph. Wiz Security Graph ti consente di vedere a quali asset interni si connette l'asset esposto a internet, in modo da poter mappare il potenziale impatto di una violazione esterna.

Ad esempio, supponiamo che uno sviluppatore crei un ambiente di test per un nuovo chatbot. Lo sviluppatore vuole testare il modo in cui il chatbot interagisce con i dati in tempo reale, quindi implementa un prototipo utilizzando Cloud Run. Per semplificare i test, lo sviluppatore consente chiamate non autenticate, il che rende pubblico il prototipo. Lo sviluppatore collega al prototipo un bucket Cloud Storage temporaneo che contiene uno snapshot dei dati reali degli utenti. Tuttavia, lo sviluppatore dimentica di eliminare l'ambiente di test.

In questo esempio, Wiz Red Agent può trovare il nuovo sottodominio *.run.app e contrassegnare l'asset come asset esposto a internet tramite la sua funzionalità di rilevamento continuo. L'agente Wiz Red può quindi interagire con il prototipo di chatbot per determinare che il chatbot è connesso a un endpoint API. Wiz Red Agent simula vari attacchi, ad esempio un attacco di prompt injection, per determinare eventuali vulnerabilità. Poiché lo sviluppatore non ha configurato una sicurezza adeguata, Wiz Red Agent rileva una vulnerabilità e determina che può spostarsi lateralmente nel bucket Cloud Storage. Wiz Red Agent invia i dati a Wiz Security Graph, che contrassegna questa vulnerabilità come priorità critica. I tuoi processi possono chiudere questo prototipo in pochi minuti.

Dai la priorità agli asset per l'analisi approfondita del codice

La scansione approfondita del codice monitora il flusso di dati e il codice sorgente per rilevare errori strutturali e backdoor di sicurezza mentre gli sviluppatori stanno ancora scrivendo il software. Tuttavia, la scansione approfondita del codice è un processo che richiede molte risorse e tempo per essere implementato per tutto il codice.

Per dare la priorità alle basi di codice che richiedono una scansione approfondita del codice, devi creare un inventario di tutti i repository per piattaforma o ambiente, ad esempio SaaS o self-hosted. Considera quanto segue:

  • L'accessibilità del codice sorgente o dei file binari (se sono disponibili pubblicamente o internamente). Se i tuoi binari sono disponibili pubblicamente, non esiste una vera protezione contro il reverse engineering basato su LLM.
  • Il linguaggio di programmazione (se il codice è in un linguaggio sicuro per la memoria come Go, Rust, Java o Python).
  • I privilegi richiesti dal codice per l'esecuzione.
  • La sensibilità degli asset a cui deve accedere il codice.

Implementa la scansione approfondita del codice per il codice con il rischio più elevato: codice accessibile pubblicamente, che utilizza linguaggi non sicuri per la memoria, che richiede privilegi elevati per l'esecuzione e che deve accedere a dati altamente sensibili.

Inoltre, determina se puoi adottare altre misure di mitigazione per proteggere il tuo codice. Considera quanto segue:

  • Prima di eseguire la scansione di componenti legacy o sottoutilizzati, valuta se possono essere ritirati o ritirati completamente, eliminando l'onere di manutenzione e sicurezza. In alcuni casi, puoi eseguire la migrazione ad alternative con una superficie di attacco più piccola.
  • Controlla lo stato delle patch. Se l'applicazione di patch è in ritardo, dai la priorità all'aggiornamento di queste dipendenze alle versioni moderne supportate.
  • Come strategia di definizione delle priorità a lungo termine, identifica i componenti critici scritti in linguaggi non sicuri per la memoria e cerca alternative sicure per la memoria. Se non esistono alternative più sicure, valuta la possibilità di inserirle in una roadmap per la riscrittura in linguaggi sicuri per la memoria per ridurre le vulnerabilità di sicurezza della memoria. Nel breve termine, valuta l'utilizzo di sandbox come mitigazione del rischio, ad esempio con GKE Sandbox.

Per dare la priorità agli asset, puoi utilizzare funzionalità di Wiz come le seguenti:

  • Catalogo dei servizi Wiz e inventario Wiz per determinare i rischi di esposizione e impatto associati ai tuoi asset.

    L'inventario di Wiz rileva automaticamente asset come macchine virtuali, database e repository di codice. L'inventario di Wiz può determinare se un asset è accessibile pubblicamente, gestisce input di utenti non attendibili o traffico API esterno e l'ambiente in cui viene eseguito l'asset. Il catalogo dei servizi Wiz può raggruppare queste risorse in servizi aziendali (ad esempio, il sistema di fatturazione o il portale clienti) a cui puoi assegnare la proprietà. Questi gruppi aiutano a identificare quali asset sono sistemi aziendali critici, quali sistemi hanno accesso a dati sensibili e chi è responsabile dell'applicazione.

  • Wiz Security Graph e Wiz Workload Scanner per identificare i repository del codice sorgente utilizzati in un ambiente di produzione live.

    Wiz Workload Scanner esamina il tuo ambiente per determinare se il codice è effettivamente in esecuzione nel tuo ambiente e traccia la tracciabilità del software per il tuo codice. Wiz Security Graph rileva le combinazioni tossiche per determinare se un potenziale problema è ad alto rischio. Puoi utilizzare queste informazioni per dare la priorità alla scansione approfondita del codice su percorsi di attacco ad alto rischio e potenziali vulnerabilità di movimento laterale.

  • Pipeline da codice a cloud di Wiz mappa la tracciabilità di un asset in produzione.

    La pipeline da codice a cloud di Wiz può dare la priorità al codice attivo e raggiungibile in produzione, determinare il repository di origine per le vulnerabilità e proteggere le configurazioni di Infrastructure as Code (IaC). La pipeline Wiz Code-to-Cloud ti consente di collegare il repository di codice all'utilizzo effettivo.

Fase 2: scansione e definizione delle priorità

Dopo aver creato il programma e aver dato la priorità agli asset in base al rischio, puoi utilizzare l'AI per trovare e valutare le vulnerabilità nel tuo ambiente.

Eseguire l'analisi approfondita del codebase

Quando completi la scansione approfondita del codice, utilizzi il ragionamento avanzato dell'AI per trovare difetti del codice complessi, associare i difetti alle vulnerabilità del cloud e ridurre i falsi positivi. Completa i seguenti tipi di scansione:

  • Scansioni di base: analizza continuamente il codice nel tuo IDE e nella pipeline CI/CD per trovare errori di codifica comuni, secret hardcoded e dipendenze vulnerabili.
  • Scansioni AI approfondite: analizza i codebase altamente critici con una logica aziendale complessa e identifica vulnerabilità concatenate o zero-day che SAST potrebbe non rilevare.

Per completare una scansione di base, puoi utilizzare Wiz Code per cercare segreti, trovare errori di configurazione IaC, completare i test di sicurezza delle applicazioni statiche (SAST) e identificare i rischi per la sicurezza nel software di terze parti utilizzando l'analisi della composizione del software (SCA).

Wiz Code contribuisce a far rispettare le tue norme di sicurezza valutando il codice nella baseline CI/CD e bloccando tutte le build che non soddisfano i tuoi standard. Wiz Code può controllare l'inventario per determinare quali vulnerabilità sono raggiungibili in produzione. Quando Wiz Code rileva una vulnerabilità, Wiz Green Agent analizza automaticamente il codice circostante e crea una patch per risolvere il problema. Se il problema viene rilevato nell'IDE dello sviluppatore, Green Agent può eseguire il refactoring del codice prima che lo sviluppatore esegua il commit della modifica nella pipeline. Se viene rilevato un problema nella pipeline CI/CD, Wiz Green Agent può creare automaticamente una richiesta di pull in GitHub o GitLab con la patch del codice.

Per completare una scansione AI approfondita, puoi eseguire il deployment di CodeMender (anteprima) con Gemini Enterprise Agent Platform. CodeMender (sviluppato da Google DeepMind) è un agente di ingegneria dell'AI autonomo e altamente specializzato che si concentra sul ragionamento, sul debug e sull'applicazione di patch a livello di codice. CodeMender si comporta come un ingegnere software senior autonomo che inserisce il codice in una sandbox, esegue una serie di test e corregge la logica di base. Le esecuzioni dei test potrebbero includere analisi dinamica, fuzzing e test di compilazione automatica. CodeMender può dare autonomamente la priorità ai bug in base all'impatto strutturale, correggere i problemi e refactoring del codice utilizzando un metodo iterativo.

Triage e pianificazione della correzione

Dopo aver compilato un elenco di vulnerabilità, puoi indirizzare i risultati di Wiz Code e CodeMender a motori come Wiz SAST Triage AI Engine per migliorare i risultati e determinare se i vettori di attacco sono sfruttabili. Wiz Security Graph può anche contribuire a migliorare il contesto utilizzando la pipeline dal codice al cloud. Wiz Red Agent può analizzare il sito attivo e convalidare il percorso di attacco.

Dopo aver completato il lavoro di triage, considera i seguenti suggerimenti per ottimizzare gli agenti AI e rimuovere i falsi positivi:

  • Chiedi agli ingegneri senior di esaminare un piccolo campione casuale di risultati per identificare i pattern, chiarire i limiti di attendibilità e perfezionare i processi di AI.
  • Crea competenze di AI basate sulla guida per la segnalazione delle vulnerabilità che definisce ciò che la tua organizzazione considera una vulnerabilità reale e non un falso positivo o un bug non di sicurezza.
  • Utilizza un agente AI per pianificare e scrivere scenari di test ed eseguirli in un ambiente sandbox.
  • Esegui gli agenti di AI su nuovi risultati di esempio e perfeziona i prompt e le competenze di AI finché non corrispondono alle tue decisioni umane.

Se dimostrare che una vulnerabilità è sfruttabile richiede più tempo dell'implementazione di una correzione a basso rischio, salta la procedura di riproduzione e procedi alla fase di correzione.

Fase 3: correzione

Per risolvere i problemi, devi implementare workflow ad alta velocità in grado di verificare, applicare patch e convalidare autonomamente le vulnerabilità su larga scala nell'IDE per sviluppatori, nel repository di codice e nell'ambiente di produzione.

Wiz Green Agent può creare automaticamente un piano di correzione in base ai dati disponibili. Attiva Wiz Workflows per avvisare i tuoi team SecOps utilizzando il tuo sistema di gestione dei ticket e inviare il piano di correzione a CodeMender. CodeMender crea la patch, testa la correzione in una sandbox sicura per evitare regressioni e crea la richiesta di pull per applicare la patch al tuo sistema. Uno sviluppatore può quindi esaminare la richiesta di pull e fare clic per eseguire il deployment della modifica.

Sebbene le pratiche di base per l'upgrade delle dipendenze non siano nuove, mantenere un sistema di applicazione di patch automatizzato e sano è una necessità fondamentale per far fronte al volume elevato di patch generate dalla scoperta basata sull'AI. La tua organizzazione deve essere pronta a ricevere rapidamente gli aggiornamenti senza interrompere i sistemi di produzione.

Per ottimizzare la procedura di correzione, ti consigliamo di adottare le seguenti pratiche:

  • Stabilisci la visibilità delle dipendenze: mantieni un inventario continuo delle dipendenze del software.
  • Automatizza la procedura di build e release: una volta completati i test e la qualifica, riduci al minimo i passaggi manuali necessari per rilasciare il codice e avviare gli upgrade.
  • Stabilisci una cadenza di upgrade continua: mantenere aggiornate regolarmente le dipendenze riduce al minimo il delta di codice quando viene rilasciata una patch di sicurezza. Un delta più piccolo significa meno rischi di modifiche che causano interruzioni e tempi di deployment più rapidi durante una patch di emergenza.
  • Testa le implementazioni con i deployment canary: implementa i deployment canary automatici e meccanismi di rollback robusti per gli upgrade delle dipendenze. I deployment canary ti consentono di testare le patch in produzione con un impatto minimo.

Modernizzare il software

Il passaggio da un flusso di lavoro di sviluppo convenzionale a un framework agentico richiede l'orchestrazione di agenti AI specializzati che si concentrano su attività specifiche come la creazione, la generazione di test e il controllo della sicurezza. I seguenti esempi descrivono come puoi introdurre gli agenti AI nel ciclo di vita dello sviluppo software:

  • Sviluppo: gli sviluppatori progettano e prototipano applicazioni con prompt in linguaggio naturale nella chat IDE o nella CLI.
  • Crea: i processi di AI aiutano gli sviluppatori a generare codice o a modificare il codice esistente con i completamenti del codice.
  • Test e manutenzione: gli sviluppatori e i team di garanzia di qualità utilizzano test basati sull'AI e refactoring automatizzato.
  • Rivedi ed esegui il deployment: gli sviluppatori utilizzano revisioni del codice basate sull'AI e il supporto per l'infrastruttura come codice.
  • Risoluzione dei problemi: gli sviluppatori utilizzano l'analisi dei problemi basata sull'AI in strumenti come Firebase Crashlytics per arresti anomali ed errori.
  • Operare: sviluppatori e ingegneri del software utilizzano gli agenti AI per comprendere e modificare le applicazioni esistenti.

Con la modernizzazione del software, la mitigazione della sicurezza e del debito tecnico viene spostata a sinistra verso agenti autonomi progettati per apportare piccole modifiche iterative al tuo ambiente. La modernizzazione del software si basa sui server Model Context Protocol (MCP), che forniscono ai modelli l'accesso diretto e in tempo reale a strumenti esterni e a dati ambientali in tempo reale.

Per ridurre il rischio di codice non sicuro all'inizio del ciclo di vita dello sviluppo del software, implementa agenti indipendenti in grado di analizzare le dipendenze durante la pianificazione, generare test unitari utilizzando le integrazioni degli strumenti ed eseguire revisioni del codice automatizzate direttamente all'interno del repository di origine. Incorporando regole specifiche del progetto, competenze specializzate e hook di comando deterministici direttamente nello spazio di lavoro dello sviluppatore, gli agenti di codifica diventano il principale punto di contatto per la riduzione del rischio. Per forzare gli agenti a eseguire i passaggi corretti, utilizza script deterministici e richiama le revisioni tra pari utilizzando agenti separati e specializzati. Gli agenti specializzati possono includere un agente di scansione di sicurezza, un agente di debug o un agente di red teaming automatizzato.

Per facilitare la modernizzazione del software, strumenti come Google Antigravity e Gemini Code Assist possono fungere da collaboratori indipendenti che acquisiscono, testano e risolvono i problemi prima che si verifichi la revisione umana o la creazione della pipeline centrale. Google Antigravity offre un'esperienza IDE e di gestione degli agenti completa, mentre Gemini Code Assist in Gemini CLI fornisce una CLI terminale per l'esecuzione headless. Puoi utilizzare varie competenze dell'agente in Wiz e in altri prodotti Google per facilitare il tuo processo di sviluppo. Agent Platform include modelli come Gemini 3.5 Pro e Flash, che forniscono ragionamento multi-step, finestre contestuali lunghe ed esecuzione di strumenti integrata.

Per ottenere una maggiore velocità di sviluppo, utilizza agenti in grado di pianificare in modo incrementale, testare continuamente ed esaminare piccole modifiche localmente prima di eseguire il commit. Questi agenti contribuiscono a garantire la stabilità del codebase ed eseguono rollback quando i commit sono piccoli e isolati.

Rafforzare le fondamenta della sicurezza

Prima di introdurre gli agenti nel tuo ambiente, assicurati di aver rafforzato in modo appropriato la tua infrastruttura e la pipeline SDLC. Prendi in considerazione le seguenti azioni per creare una base sicura:

  • Configura policy e controlli dell'accesso per ottenere visibilità sui componenti software, rilevare le vulnerabilità e risolvere i problemi prima di eseguire il deployment del software in produzione.
  • Utilizza immagini di base protette con Shielded VM, Confidential Computing e WizOS per proteggere il livello dell'applicazione, il livello del sistema operativo e il livello hardware.
  • Monitora le workstation degli sviluppatori e i runner di build CI/CD utilizzando Wiz Runtime Sensor per rilevare attacchi alla pipeline CI/CD live e fornire un contesto attivo in memoria.
  • Trova e correggi le deviazioni dal servizio di postura di sicurezza per mantenere un ambiente coerente con le tue policy di sicurezza.
  • Configura un gateway sicuro per l'utilizzo open source per applicare le tue policy di sicurezza utilizzando i connettori del registro Wiz.
  • Isola gli ambienti di sviluppo, gestione temporanea e produzione utilizzando regole firewall e segmentazione di rete rigorose.
  • Archivia tutti i log di pipeline, deployment e accesso in una posizione di archiviazione centralizzata e immutabile per il monitoraggio continuo e l'analisi forense.
  • Considera la pipeline CI/CD come infrastruttura immutabile per evitare manomissioni e deviazioni di configurazione. L'infrastruttura immutabile richiede anche l'uso di runner effimeri e di breve durata che non consentono a un malintenzionato di ottenere un punto d'appoggio permanente nella tua infrastruttura.
  • Memorizza tutte le modifiche ad applicazioni e cluster in repository di origine che consentono il controllo delle versioni e la revisione prima del deployment.

Per altre best practice, consulta Google Cloud piattaforma sicura minima praticabile.

Proteggere l'SDLC

Il Secure AI Framework (SAIF) descrive i controlli che devi implementare per garantire l'uso sicuro dell'AI nella pipeline SDLC. Gli elementi chiave da considerare quando si aggiunge l'AI includono:

  • Le persone devono mantenere il controllo per garantire la responsabilità e impedire agli agenti di agire in modo autonomo in situazioni critiche senza una chiara supervisione o attribuzione umana. Richiedi identità di agenti distinte, meccanismi di consenso dell'utente e input sicuri.
  • I poteri degli agenti devono rimanere limitati per garantire che possano svolgere solo lo scopo previsto e non aumentare i privilegi in modo inappropriato. Devi configurare controlli dell'accesso appropriati, la gestione delle credenziali con ambito e utilizzare il sandboxing per isolare i componenti in modo appropriato.
  • Tutte le azioni devono essere osservabili per garantire trasparenza e verificabilità e consentire decisioni di sicurezza e comprensione da parte degli utenti.

Gli attacchi alla supply chain possono compromettere un agente attendibile per modificare un database critico, manomettere il codice o esporre i segreti di produzione. Per la mitigazione, le pipeline SDLC che utilizzano l'AI si basano su best practice per la sicurezza, ad esempio:

  • Impostazioni dell'IDE e dello spazio di lavoro che controllano le estensioni del browser, le utilità CLI e i plug-in IDE per impedire agli assistenti di programmazione AI non approvati di esfiltrare righe di codebase proprietarie in endpoint di modelli esterni non verificati.
  • Controlli dell'accesso rigorosi per impedire modifiche non autorizzate. I controlli rigorosi di Identity and Access Management (IAM) e di autenticazione contribuiscono a garantire che tu conceda agli account di servizio della pipeline, inclusi gli account agente, solo le autorizzazioni minime obbligatorie, applichi l'autenticazione a più fattori per tutti gli utenti umani e riveda regolarmente l'accesso di utenti e agenti per assicurarti che rimanga aggiornato.
  • Protezioni del codice sorgente e della configurazione per garantire che il codice dannoso o accidentale non raggiunga mai la fase di compilazione. Considera quanto segue:
    • Assicurati che i rami vengano esaminati e che le richieste di pull o di unione vengano esaminate da peer autorizzati, in particolare da revisori umani.
    • Non consentire le opzioni di bypass per l'unione.
    • Assicurati che tutti i commit siano firmati per verificare l'autenticità del codice e impedire manomissioni non autorizzate.
    • Limitare la possibilità di creare fork del codice interno o di rendere pubblici repository privati per errore.
  • Gestione dinamica dei secret per evitare credenziali compromesse. Per gestire i secret in modo dinamico, elimina password, chiavi API e token hardcoded nel codice sorgente e nei file di configurazione. Gli strumenti di scansione automatica dei secret nei file IaC e di configurazione aiutano a trovare eventuali secret prima che i commit vengano accettati. Secret Manager ti consente di inserire le credenziali in modo dinamico in fase di runtime.
  • Automazione del controllo di sicurezza all'interno della pipeline per rilevare le vulnerabilità in anticipo. Prendi in considerazione una strategia di test che includa test SAST, SCA e DAST in modo da poter trovare vulnerabilità durante lo sviluppo, nelle librerie di terze parti e durante l'esecuzione delle applicazioni.
  • Pacchetti di applicazioni protetti per impedire la manomissione. Utilizza il controllo delle versioni immutabile per i pacchetti di build e analizza le immagini e i pacchetti container prima di eseguirne il push nel registro degli artefatti. Promuovi le stesse immagini dei container in tutti gli ambienti, inclusi sviluppo, gestione temporanea e produzione.

Fase 4: monitoraggio

Poiché gli attacchi agentic cambiano rapidamente il panorama delle minacce, devi monitorare continuamente i processi e identificare le opportunità di automazione. Devi anche essere in grado di rilevare e rispondere alle minacce create da vulnerabilità nel codice, indipendentemente da dove si trova. Per monitorare efficacemente le minacce, devi assicurarti che i sensori siano in posizione, stabilire metriche appropriate, completare le esecuzioni di simulazione e utilizzare playbook di risposta attivi e provati.

Wiz Defend si integra con Google Security Operations per migliorare i workflow SOC con avvisi e contesto della piattaforma Wiz. Wiz Defend monitora il comportamento di runtime, le configurazioni cloud, le identità e le vulnerabilità direttamente all'interno del tuo ambiente cloud. Wiz Defend organizza gli avvisi in tempo reale ed elabora le prove forensi in rilevamenti ad alta fedeltà e minacce consolidate. Wiz Blue Agent può esaminare i dati per determinare se una minaccia è reale. Wiz può quindi inviare avvisi prioritari a Google SecOps per ulteriori attività di risposta.

Google SecOps può importare i dati di telemetria da tutto il tuo ambiente per correlare gli eventi e coordinare i playbook di risposta. Questa telemetria include server on-premise, provider di identità SaaS, endpoint, firewall e ambienti multicloud. Google SecOps include un SOC agentico in grado di indagare automaticamente sugli avvisi per fornire un contesto aggiuntivo. Gli analisti possono porre domande in linguaggio naturale e l'agente può fornire contesto tecnico, telemetria e consigli su come risolvere i problemi. L'agente può anche automatizzare la creazione e la gestione delle regole di rilevamento delle minacce, identificare le lacune di rilevamento e generare automaticamente regole di rilevamento per le lacune.

L'Agentic Threat Intelligence può utilizzare i dati di Mandiant e VirusTotal per accelerare le indagini. Agentic Threat Intelligence automatizza attività complesse e dispendiose in termini di tempo, come il reverse engineering del codice, l'analisi del malware e la generazione di briefing personalizzati sulle minacce, liberando i team di sicurezza per altre attività critiche.

Il seguente diagramma mostra come i vari strumenti di monitoraggio interagiscono per aggiungere contesto, completare le attività automatizzate e dare la priorità agli avvisi.

Strumenti di monitoraggio delle minacce basati sull'AI.

Passaggi successivi