Смелые прогнозы Imperva в области AppSec на 2025

Что ожидает безопасность приложений в 2025 году? Смелые прогнозы от компании Imperva, a Thales company:

1. Компании из списка Global 2000 могут потерять значительную часть интеллектуальной собственности из-за оперативной утечки данных. Генеративный AI создал новое приложение-убийцу: интерфейс естественного языка для работы с данными. Вместе с новым интерфейсом появился и новый вектор угрозы: быстрое внедрение. В 2025 году компании, входящие в 2000 крупнейших компаний мира, могут потерять значительную часть интеллектуальной собственности из-за взлома, джейлбрейка или другой ошибки, связанной с внедрением подсказок.
2. 2025 год ускорит погружение в «яму разочарования» Hype Cycle быстрее, чем ожидалось. На пике ажиотажа объем инвестиций в AI превысит $1T. По состоянию на IV квартал 2024 технологическое сообщество уже инвестировало 750 млрд долларов в AI. По слухам, технологические гиганты строят целые новые дата-центры и электростанции только для вычислений AI. Но первоначальными сценариями использования GenAI для клиентов будут скорее обычные порталы для сотрудников и клиентов, которые, в случае успеха, принесут некоторую экономию. Достаточно ли этого, чтобы окупить столь масштабные глобальные инвестиции? Поскольку безопасность быстрых внедрений все еще находится в зачаточном состоянии, 2025 год ускорит погружение в «яму разочарования» Hype Cycle быстрее, чем ожидалось.
3. Супер-инструмент для взлома с поддержкой GenAI переосмыслит понятие «скрипт-кидди» (Script kiddie). GenAI - это инструмент, а инструменты могут быть использованы как во благо, так и во зло. Злоумышленники уже используют GenAI для разведки, фишинговых кампаний и других хакерских действий, предшествующих взлому. По мнению исследователей, ChatGPT лучше справляется со взломом, чем модели Llama-2, FWIW. GPT-4 может использоваться для автономного выполнения атак, без предварительных знаний и обратной связи с человеком. Таким образом, сейчас GenAI используется как для разведки перед взломом, так и для повышения привилегий и латерального перемещения после взлома. В 2025 году предприимчивая группа злоумышленников объединит эти две фазы в единый супер-инструмент взлома, для которого потребуется только имя корпоративной цели, чтобы потерять боевые LLM. И тогда, когда произойдет утечка (или эксфильтрация) этого супервзломного комбо GenAI, защитники всего мира придут в ужас.
4. API Security преодолеет пропасть от ранних последователей до раннего большинства. Большинство предприятий заинтересованы в безопасности API, но еще не внедрили ее. А если и приняли, то находятся на очень ранней стадии зрелости безопасности API, используя решения в основном для обнаружения и инвентаризации API. Но, в конечном счете, сбор конечных точек API - это только первый шаг, потому что в какой-то момент вам придется их защищать. 2025 год станет годом, когда большинство корпоративных организаций в Северной Америке либо внедрят, либо планируют внедрить (в течение 24 месяцев) решения для обеспечения безопасности API. Они присоединятся к ранним последователям в области обнаружения, а некоторые перейдут к мониторингу. Первые последователи перейдут к анализу рисков и, наконец, к устранению последствий.
5. Возможны успешные атаки на цепочку поставок OSS. 2024 год едва не начался с грандиозного взрыва. Вредоносные злоумышленники путем многомесячной дисциплинированной социальной инженерии захватили поддержку XZ utils, широко используемой библиотеки сжатия открытого программного обеспечения (OSS). Взяв на себя разработку библиотеки, которая входит во многие современные дистрибутивы Linux, они кропотливо создали в ней скрытый бэкдор. Они выпустили вредоносный код, и он начал распространяться через ранние бета-версии дистрибутивов. Один героический сетевой администратор заметил, что из-за нового кода его SSH-сессии стали подключаться на полсекунды дольше. Его личное расследование выявило бэкдор. Он поднял тревогу, и бэкдор был удален. Если бы не он, эта государственная группировка могла бы скомпрометировать все миллионы систем на базе Linux, на которых работает современный интернет. В 2025 году атака OSS, подобная XZ Utils, действительно увенчается успехом, поскольку все остальные государственные субъекты увидели, как близко к своей цели подошел первоначальный злоумышленник. Ничто не мешает решительно настроенному злоумышленнику проводить подобные операции на десятках различных OSS-проектах; для успеха им достаточно одного или двух. На самом деле, возможно, они уже это сделали, и мы узнаем об этом только в 2025 году.

Итак, вот они, пять самых смелых прогнозов на 2025 год от Imperva. Если посмотреть на них в целом, то можно заметить, что здесь присутствует немного негатива. Но давайте также надеяться, что в 2025 году мир примет безопасность API.

Imperva — лидер в области комплексной цифровой безопасности, цель которого помочь организациям защитить свои данные и все пути к ним. Клиенты по всему миру доверяют Imperva защиту своих приложений, данных, веб-сайтов от кибер-атак.

Обращайтесь за персональной консультацией по решениям Imperva к специалистам Softprom.

Softprom — Value Added Distributor компании Imperva.