På säkerhetsområdet fokuserar de flesta på defensivt arbete – det vill säga hur vi kan försvara oss mot angrepp. Men precis som i sportens värld är anfall bästa försvar. Inte ska vi vänta på att andra ska hitta och nyttja sårbarheter i våra egna system – det är bättre vi hittar dem själva och åtgärdar dem.
Detta är vad David Brumley på Carnegie Mellon University fokuserar på i sin forskning. Hans mål är helt enkelt ”Checking the World’s Software for Exploitable Bugs.”
Om du tycker det låter som en överdrift, en utopi eller något som ligger alldeles för långt in i framtiden – glöm det. David och hans team har redan en mjukvara som automatiskt jobbar sig igenom binärkoden till en produkt och inte bara automatiskt hittar sårbarheter, utan också automagiskt utvecklar exploits för de mest kritiska.
När de körde sin mjukvara på en stor känd öppenkällkodsprodukt hittade de fler än 13 000 okända unika buggar som kan krascha programmet, och över 150 buggar som de automatiskt kunde utveckla exploits till. Och utvecklarna bakom denna mjukvara är inte vilka som helst. De flesta ingår i ”the Plaid Parliament of Pwning” (PPP), en hackargrupp som rankas som en av världens bästa sedan flera år tillbaka. Så de vet vad de snackar om.
Läs mer: Fler krönikor om enterprise architecture
Jag har varit inne på detta tidigare i dessa krönikor, både när det gäller säkerhet och enterprise architecture-modellering. Framtiden ligger i automatiska metoder för att samla in och nyttja information. Det må gälla att bygga korrekta modeller över ens företag, analysera dessa och välja bästa framtida läge, eller det må gälla att säkerställa att ens systems är svåra att ta sig in i för utomstående.
Idag är de här sysslorna nästan helt manuella. Därmed är de känsliga för tillgång på expertis, dyra, och felbenägna. Mycket snart borde vi automatisera dem. Framtiden är snart här!
