Los clientes de Tanium abarcan sectores de infraestructuras críticas, entre los que se incluyen algunos de los bancos, redes hospitalarias y organismos públicos más importantes del mundo. Confían en nuestro agente para sus dispositivos finales más sensibles, lo que significa que el software que suministramos debe cumplir con los elevados estándares que ellos mismos se han fijado. Por eso nos encargamos de detectar nuestras propias vulnerabilidades antes de que lo haga nadie más.
Recientemente hemos anunciado en y que Tanium participa en el Proyecto Glasswing de Anthropic, donde se está probando Claude Mythos 5 para tareas de seguridad defensiva, y hemos puesto en marcha iniciativas similares con otros socios en fase de prueba privada. A lo largo de nuestro ciclo de vida de desarrollo, hemos estado experimentando con modelos de IA de vanguardia para la detección de vulnerabilidades, y deseamos compartir lo que estamos aprendiendo, junto con una consecuencia práctica que nuestros clientes deberían tener en cuenta.
Ampliar los límites de las prácticas tradicionales de seguridad de las aplicaciones
Durante años, Tanium ha evaluado continuamente nuestro producto de acuerdo con las mejores prácticas del sector. Tanium lleva a cabo periódicamente pruebas de penetración de aplicaciones, tanto a cargo de su equipo interno de seguridad, formado por expertos en productos, como de consultoras externas de reconocido prestigio. El equipo de I+D en seguridad de Tanium ha integrado cadenas de herramientas de fuzzing, SAST y DAST en nuestro ciclo de vida de desarrollo. Aunque nuestro programa de seguridad está bien consolidado, también estamos incorporando tecnologías de inteligencia artificial que mejoran de forma cuantificable la seguridad de nuestro software.
Las herramientas SAST pueden detectar clases específicas de vulnerabilidades que pueden expresarse como un patrón, como, por ejemplo, un valor contaminado que llega a un receptor o una llamada a una API que se sabe que es defectuosa. Las herramientas DAST pueden detectar vulnerabilidades típicas de las aplicaciones web, como la inyección SQL o errores de configuración habituales. Sin embargo, estas herramientas no ofrecen un buen rendimiento a la hora de detectar vulnerabilidades que requieran un conocimiento más profundo del comportamiento esperado y, además, tienen dificultades para tener en cuenta la interacción entre varios componentes. La relación señal-ruido de estas herramientas es muy baja, y para mejorar la tasa de verdaderos positivos se requiere un ajuste minucioso y un mantenimiento continuo.
Hasta ahora, los errores complejos solían ser detectados por ingenieros que conocían a fondo la arquitectura, el modelo de amenazas y el código fuente de nuestro software. Sin embargo, ampliar las capacidades de seguridad limitándose a aumentar la plantilla no es una solución ni sostenible ni realista.
Durante el último año, los modelos de IA de vanguardia han avanzado considerablemente en cuanto a sus capacidades de ciberseguridad. Ahora pueden analizar códigos fuente complejos e interpretar la funcionalidad prevista mientras detectan vulnerabilidades. Aunque siguen cometiendo errores y necesitan supervisión, nuestros experimentos han puesto de manifiesto numerosas vulnerabilidades de seguridad que nuestros ingenieros de seguridad han confirmado que tienen repercusiones. En nuestras pruebas internas, la relación señal-ruido resultó significativamente mejor que la que observamos en las herramientas de seguridad tradicionales. Gracias a estas capacidades mejoradas, ampliar la identificación y la corrección de vulnerabilidades mediante inteligencia artificial de vanguardia se ha convertido en una prioridad urgente para nuestro equipo.
Las distintas herramientas detectan errores distintos en el mismo código
Nuestros ingenieros de seguridad han desarrollado un entorno de evaluación a medida basado en un modelo Frontier de uso general. Este marco integra el modelo de amenazas de Tanium, los límites de confianza que existen en nuestra arquitectura, los comportamientos previstos en el diseño y un conjunto de datos sobre vulnerabilidades extraídos de años de investigación propia y de nuestro historial de divulgación. Este conjunto de herramientas ha permitido detectar aquellos tipos de vulnerabilidades que requieren un profundo conocimiento del sistema y del contexto, es decir, aquellas que las herramientas tradicionales no habrían podido identificar.
Por otra parte, hemos aplicado diversos modelos y sistemas de análisis basados en agentes a la misma base de código. A estos eficaces conjuntos de pruebas no se les proporcionó ningún contexto específico de Tanium, y cada uno de ellos detectó errores válidos distintos de los encontrados por otros conjuntos de pruebas.
En el conjunto de los resultados que ofrecen estas herramientas, el solapamiento es considerablemente menor de lo que esperábamos. Aún no estamos en condiciones de afirmar con certeza si se trata de una característica de los modelos, del conjunto de pruebas, de nuestro código fuente o de lo incipiente que es nuestra investigación, pero las implicaciones prácticas a corto plazo ya son lo suficientemente claras como para actuar en consecuencia: los flujos de trabajo de seguridad basados en agentes no deben depender de un único modelo o proveedor y deben incorporar el contexto institucional para mejorar el rendimiento.
Seguimos invirtiendo en desarrollar y perfeccionar el contexto con el que alimentamos estas herramientas, ampliando los límites de lo posible en este ámbito en lugar de conformarnos con el primer enfoque que funcione.
Tanium está aumentando el volumen y la rapidez de sus parches de seguridad
Nuestro compromiso de proporcionar versiones de mantenimiento a nuestros clientes con soluciones locales con una periodicidad mínima mensual se mantiene sin cambios. Lo que cambiará es la frecuencia de las publicaciones fuera de ciclo y el número de vulnerabilidades reveladas en cada publicación. Nos comprometemos a cumplir unos acuerdos de nivel de servicio (SLA) exigentes para la corrección de las vulnerabilidades que consideramos explotables, con plazos expresados en días para los problemas más críticos, y tenemos la intención de seguir cumpliéndolos, incluso a medida que mejore nuestra capacidad de detección.
Esto significa que debe prever un aumento de los avisos de seguridad, los registros CVE y los parches de seguridad por nuestra parte en los próximos meses, a medida que continuemos aplicando y perfeccionando estas técnicas en toda nuestra pila de aplicaciones. Queremos dejar clara esta expectativa, ya que es fácil malinterpretar un aumento en el número de CVE. Esto no significa que nuestro software esté empeorando. Más bien, cada vez somos más eficaces a la hora de detectar problemas de seguridad latentes que resultan difíciles de identificar.
Se trata de una tendencia que han observado nuestros homólogos del sector del software: Mozilla corrigió 271 vulnerabilidades como resultado de su primera evaluación de Mythos (se abre en una nueva pestaña) y Microsoft corrigió más de 900 vulnerabilidades de seguridad el 9th’s de septiembre, en el «Patch Tuesday» (se abre en una nueva pestaña).
Además de buscar de forma proactiva vulnerabilidades en nuestro código fuente y corregirlos sin demora, informamos de forma transparente a nuestros clientes sobre los problemas de seguridad conocidos. Seguiremos cumpliendo con nuestras obligaciones como autoridad de numeración CVE y divulgando de forma responsable estas vulnerabilidades (consulte https://security.tanium.com para ver los avisos publicados), ya que esta información permite a los clientes evaluar su exposición y planificar las medidas correctivas oportunas. Somos conscientes de que la aplicación de parches puede suponer un reto operativo para nuestros clientes, y no nos lo tomamos a la ligera. Sin embargo, la realidad es que el ritmo de descubrimiento de vulnerabilidades y de desarrollo de exploits se está acelerando tanto para los defensores como para los atacantes, y los ciclos de parches en el sector también tendrán que acelerarse para mantener la seguridad de nuestros sistemas.
Tanium se compromete a ayudar a nuestros clientes a optimizar la aplicación de parches en sus implementaciones de Tanium. Todos los clientes tienen acceso a la función «Endpoint Configuration» de Tanium, diseñada para permitir actualizaciones seguras, fluidas y frecuentes del cliente de Tanium y de las herramientas para terminales. Los clientes que utilicen la solución en sus propias instalaciones también deben actualizar su servidor central de Tanium para poder beneficiarse de todos estos parches de seguridad. Nuestras versiones de mantenimiento semestrales incluyen cambios limitados en el código, centrados en la corrección de errores críticos y de seguridad, con el fin de ofrecer la previsibilidad y la estabilidad que nuestros clientes necesitan para implementar ciclos de actualización rápidos.
¿Y ahora qué?
El equipo de I+D en materia de seguridad de Tanium seguirá desarrollando y aplicando capacidades cibernéticas de vanguardia basadas en la inteligencia artificial a nuestros productos de software y a nuestras operaciones de seguridad. A medida que aprendamos más sobre el diseño de los arneses, el flujo de trabajo de triaje y cómo se presenta la brecha de cobertura entre distintos modelos, tenemos la intención de compartir públicamente nuestra investigación y seguir actuando de la forma más adecuada para garantizar la seguridad de los clientes de Tanium. Nuestros clientes confían en Tanium para sus operaciones de TI y seguridad, lo que les permite centrarse en los retos empresariales más importantes; y detectar nuestras propias vulnerabilidades antes que nadie es la forma en que seguimos ganándonos esa confianza.
Las declaraciones y el contenido de Tanium relativos a sus planes, orientaciones e intenciones son confidenciales y están sujetos a cambios sin previo aviso, a la entera discreción de Tanium. La información sobre posibles productos o funcionalidades futuras tiene como objetivo describir la dirección general de los productos de Tanium y no debe utilizarse como base para tomar una decisión de compra, ni está incorporada en ningún contrato. No constituye un compromiso, promesa ni obligación legal. El desarrollo, el lanzamiento y el calendario de cualquier producto o funcionalidad futuros quedan a la entera discreción de Tanium.
