Güvenliğin Varsayılan Olarak Basit ve Güvenli Olması Gerekir: Google

Google’ın bulut güvenliği ürün yönetimi direktörü Abhishek A Hemrajani, geçtiğimiz ay Mumbai’de düzenlenen Google Bulut Güvenlik Zirvesi’ndeki açılış konuşmasında şunları söyledi: “Çakışan veya kopyalanan araçlar olduğundan güvenlik karmaşık geliyor. Sistemde boşluklar var. güvence altına alınmamış ve karmaşıklık da silolardan kaynaklanıyor.”

“Bir şirket büyüdükçe kimlik, platform ve güvenlik izlemeden sorumlu farklı ekipler ortaya çıkar. Bu yapbozun hangi parçasına kimin sahip olduğunu bilmiyoruz, ancak bir şekilde hepsinin bir araya gelmesi ve bu bağlamda optimize edilmesi gerekiyor.” dedi.

ISMG’ye, geleneksel güvenlik yaklaşımlarının tehditlerin hızını, hızını ve karmaşıklığını ele alma konusunda yetersiz kalmaya devam ettiğini söyledi. “Saldırganlar, bulut ve uç cihazları hedef alan sıfır gün güvenlik açıklarından yararlanarak giderek daha karmaşık teknikler kullanıyor. Tüm bunlar, sorunu daha da büyütüyor [worse]”dedi

Bu arada saldırganlar, tekniklerini doğaçlama yapmak ve daha karmaşık tehdit vektörleri sunmak için yapay zekayı kullanıyor. Buna ayak uydurabilmek için defans oyuncularının da yapay zekayı benimsemesi gerekiyor.

Yapay Zeka Kuşağı: Güvenliğin Dönüm Noktası

Nisan ayında Google Cloud Next ’24’te konuşan Google Cloud’un kıdemli güvenlik personeli Anton Chuvakin şunları söyledi: “Yapay zekanın gelişmesiyle birlikte savunmaları da geliştirmemiz gerekiyor. Bu, özellikle güvenlik kontrollerine yönelik uyarlanabilirlik ve dayanıklılık gereksinimleri için geçerlidir.”

Google’da bulut güvenliği Gemini + UX’in kıdemli yöneticisi Steph Hay, “Google mühendisleri yapay zekanın güvenliğini sağlamak ve yapay zekayı güvenlik uygulayıcılarına sunmak için çalışıyor” dedi. “Gen AI, güvenliğin dönüm noktasını temsil ediyor. Güvenlik iş akışlarını dönüştürecek ve savunmacıya avantaj sağlayacak.”

Hay, gen yapay zekası ve güvenlik için üç makro trendi özetledi:

1. Yapay zekaya yönelik saldırılar artıyor ve bu nedenle varsayılan olarak güvenli çözümlere ihtiyaç duyuluyor.
2. Büyük dil modelleri her zaman verimli veya yeterli değildir. Özel sistemler ve aracılar gereklidir.
3. Gen yapay zekasına güven tam olarak sağlanmadı. Bağlamsallaştırılmış yanıtlar gereklidir.

SAIF ile Yapay Zekanın Güvenliğini Sağlama

Geçen yıl Google, buluttaki yapay zeka sistemlerini ve iş yüklerini güvence altına almaya yönelik kavramsal bir çerçeve olan Güvenli Yapay Zeka Çerçevesi (SAIF)’yi başlattı. SAIF, yapay zeka/makine öğrenimi modeli risk yönetimi, güvenlik ve gizlilik gibi güvenlik profesyonellerinin en önemli endişelerini gidermek ve uygulanan yapay zeka modellerinin varsayılan olarak güvenli olmasını sağlamaya yardımcı olmak üzere tasarlanmıştır.

Google Cloud, bu çerçeve aracılığıyla en güvenli yapay zeka platformunu sunmayı hedefliyor. Aynı zamanda Gemini’yi kullanarak güvenlik yaşam döngüsünü yarı özerk ve nihayetinde özerk olacak şekilde geliştirmek istiyor.

Yakınsama

Google ayrıca güvenlik ürünlerinin yakınlaştırılmasını ve yapay zekanın tüm güvenlik ekosistemine yerleştirilmesini de savunuyor. Google, Mandiant, VirusTotal ve Google Cloud Platform aracılığıyla güvenli gezinmenin yanı sıra bu yakınlaşmayı da sağlamayı umuyor.

Google, Güvenlik Komuta Merkezi veya SCC aracılığıyla platform merkezli bir yaklaşım benimseyerek bu yakınlaşmayı mümkün kılıyor. Hemrajani, SCC’nin bulut güvenlik duruşu yönetimi, Kubernetes güvenlik duruşu yönetimi, yetki yönetimi ve tehdit istihbaratı gibi güvenlik kategorilerini birleştirmek için tasarlandığını söyledi. Güvenlik bilgileri ve olay yönetimi ile güvenlik düzenlemesi, otomasyon ve müdahalenin de birleşmesi gerekiyor.

“SCC, maruz kaldığınız riski bütünsel bir şekilde modelleyebilmeniz için tüm bunları bir araya getiriyor” dedi. “Bulut risk yönetimi ile güvenlik operasyonları arasında bir yakınlaşma gücünün olduğunun da farkındayız. Gerçekten fayda sağlamak için bunları daha da yakınlaştırmamız ve bir araya getirmemiz gerekiyor.”

SecOps’u Dönüştürmek

Tehditlerin hacmi, hızı ve çeşitliliği onlarca yılda çok arttı ve eski SecOps bu tür tehditleri doğru bir şekilde tespit etmek için uygun değil. İlk olarak, içgörü elde etmek ve temel nedeni analiz etmek için yeterli telemetri verisi veya bağlam yok. Tehdidin ve tehdit aktörünün örgütle alakalı olup olmadığı belli değil. İkincisi, geleneksel güvenlik operasyonları, güvenlik analistleri gibi güvenlik profesyonellerine ihtiyaç duyar, ancak bu yetenek günümüzde oldukça azdır.

Hemrajani, “Çıkarım raporumuz, geçen yılki ihlallerin %63’ünün harici bir kuruluş tarafından rapor edildiğini söylüyor. Bunu en aza indirmemiz ve sınırsız bir şekilde ölçeklendirmemiz gerekiyor.” dedi. Bu boşluk yapay zeka destekli tehdit istihbaratı aracılığıyla kapatılabilir.

Uygulamalı Tehdit İstihbaratı

“Gerçek şu ki, tehdit istihbaratını almak ve hedeflenen sonuçlara ulaşmak hala çok zor. Bunun nedeni çoğu zaman ekiplerin gürültülü olması; bazen doğru yolda kesişmemeleri ya da yetersiz sonuçlara sahip olmanızdır. Bunu yeni Uygulamalı çözümümüzle çözmek istiyoruz. Tehdit İstihbaratı teklifi,” dedi Hemrajani.

Google Cloud, Uygulamalı Tehdit İstihbaratının tehditleri daha proaktif bir şekilde tanımlamaya ve bunlara yanıt vermeye yardımcı olabileceğine inanıyor. Bunu, Mandiant’ın tehdit istihbarat ekibinin küratörlüğünü yaptığı güvenlik telemetrisini uzlaşma göstergelerine karşı sürekli olarak analiz edip değerlendirerek yapar.

Gizli Sos: SecLM

Genel amaçlı Yüksek Lisans’lar gerçek dünyadaki güvenlik sorunlarını çözme yeteneğine sahip değildir. Bu nedenle Google, güvenlik konusunda uzmanlaşmış bir API olan SecLM ile yapay zeka yeteneklerini güvenlik ürünlerine ve platformlarına aşılıyor. API, birden fazla modeli, iş mantığını, erişim ve temellendirmeyi, güvenlikle ilgili görevlerin minimum girdiyle çözülmesine yardımcı olabilecek uyumlu bir sistemde birleştirir.

“Yapay Zeka Güvenliği için Ürün Vizyonu” başlıklı Google teknik incelemesine göre SecLM, güvenliğe özel görevler için ayarlanmıştır ve Google DeepMind’ın yapay zeka alanındaki en son ilerlemelerinin yanı sıra Google’ın tehdit istihbaratı ve güvenlik verilerinden de yararlanmaktadır. SecLM, Vertex AI hizmet platformunu kullanarak kurumsal düzeyde gizlilik, güvenlik ve uyumluluk garantileri sunabilir. Müşteri istemlerini ve yanıtlarını kaydetmez veya bunları Google modellerini eğitmek için kullanmaz (aşağıdaki resme bakın).

“SecLM [part of Gemini in security] açık ve genişletilebilir bir platformda güvenlik içgörülerini genel yapay zeka çözümlerine sunarak müşterilerimizin güvenlik operasyonlarını dönüştürmelerine yardımcı olabiliriz. Deloitte & Touche müdürü Upen Sachdev, “SOC modernizasyon çabalarımızın, SecLM’nin kişiselleştirme ve orkestrasyon yeteneklerinin sağladığı daha hızlı değer elde etme süresinden özellikle yararlandığını görüyoruz” dedi.