Zu den Kunden von Tanium zählen Unternehmen aus Bereichen kritischer Infrastruktur, darunter einige der größten Banken, Krankenhausverbünde und Regierungsbehörden weltweit. Sie vertrauen unserem Agenten bei ihren sensibelsten Endgeräten, was bedeutet, dass die von uns gelieferte Software den hohen Standards entsprechen muss, die sie sich selbst gesetzt haben. Deshalb spüren wir unsere eigenen Schwachstellen auf, bevor es andere tun können.
Wir haben kürzlich unter bekannt gegeben, dass Tanium am „Project Glasswing“ von Anthropic teilnimmt, um „Claude Mythos 5 “ für defensive Sicherheitsaufgaben zu testen, und wir haben ähnliche Initiativen mit anderen Partnern im Rahmen einer privaten Vorschau gestartet. Im Laufe unseres gesamten Entwicklungszyklus haben wir mit innovativen KI-Modellen zur Erkennung von Sicherheitslücken experimentiert – und wir möchten unsere Erkenntnisse weitergeben sowie auf eine praktische Konsequenz hinweisen, die unsere Kunden berücksichtigen sollten.
Die Grenzen herkömmlicher Verfahren zur Anwendungssicherheit erweitern
Seit Jahren bewertet Tanium sein Produkt kontinuierlich anhand der branchenüblichen Best-Practices. Tanium führt regelmäßig Penetrationstests für Anwendungen durch, die sowohl von seinem internen Sicherheitsteam aus Produktexperten als auch von renommierten externen Beratungsunternehmen durchgeführt werden. Das Forschungs- und Entwicklungsteam für Sicherheit bei Tanium hat Fuzzing-, SAST- und DAST-Toolchains in unseren Entwicklungszyklus integriert. Obwohl unser Sicherheitsprogramm bereits ausgereift ist, setzen wir zudem KI-Technologien ein, die die Sicherheit unserer Software messbar verbessern.
SAST-Tools können bestimmte Kategorien von Schwachstellen aufspüren, die sich als Muster darstellen lassen, wie beispielsweise einen „tainted“ Wert, der eine „Sink“-Komponente erreicht, oder einen bekanntermaßen fehlerhaften API-Aufruf. DAST-Tools können typische Schwachstellen in Webanwendungen wie SQL-Injection oder häufige Konfigurationsfehler aufdecken. Allerdings sind diese Werkzeuge nur unzureichend in der Lage, Schwachstellen aufzudecken, die ein tieferes Verständnis des erwarteten Verhaltens erfordern, und haben zudem Schwierigkeiten, die Wechselwirkungen zwischen mehreren Komponenten zu berücksichtigen. Das Signal-Rausch-Verhältnis dieser Tools ist sehr gering, und die Verbesserung der Rate der echten Treffer erfordert umfangreiche Feinabstimmung und kontinuierliche Wartung.
Bislang wurden komplexe Fehler in der Regel von Entwicklern entdeckt, die über fundierte Kenntnisse der Architektur, des Bedrohungsmodells und des Quellcodes unserer Software verfügen. Allerdings ist der Ausbau der Sicherheitskapazitäten allein durch die Aufstockung des Personals weder eine nachhaltige noch eine realistische Lösung.
Im vergangenen Jahr haben die neuesten KI-Modelle erhebliche Fortschritte hinsichtlich ihrer Cybersicherheitsfähigkeiten erzielt. Sie sind nun in der Lage, komplexe Codebasen zu analysieren und die beabsichtigte Funktionalität zu erschließen, während sie Schwachstellen aufspüren. Auch wenn sie nach wie vor Fehler machen und einer Beaufsichtigung bedürfen, haben unsere Experimente zahlreiche Sicherheitslücken aufgedeckt, deren Auswirkungen unsere Sicherheitsingenieure bestätigt haben. In unseren internen Tests war das Signal-Rausch-Verhältnis deutlich besser als bei herkömmlichen Sicherheitstools. Angesichts dieser verbesserten Fähigkeiten ist die Ausweitung der Identifizierung und Behebung von Sicherheitslücken mithilfe modernster KI für unser Team zu einer dringenden Priorität geworden.
Verschiedene Tools finden unterschiedliche Fehler im selben Code
Unsere Sicherheitsingenieure haben auf der Grundlage eines universellen Frontier-Modells einen maßgeschneiderten Evaluierungsrahmen entwickelt. Dieses Framework berücksichtigt das Bedrohungsmodell von Tanium, die in unserer Architektur vorhandenen Vertrauensgrenzen, die vom Design her beabsichtigten Verhaltensweisen sowie einen Korpus an Schwachstellendaten, der auf unserer langjährigen eigenen Forschungsarbeit und unserer Offenlegungshistorie basiert. Dieser Test hat Schwachstellen aufgedeckt, deren Erkennung fundierte Systemkenntnisse und ein umfassendes Verständnis des Kontexts erfordern – also genau jene Art von Schwachstellen, die mit herkömmlichen Tools nicht hätte erkannt werden können.
Unabhängig davon haben wir verschiedene Modelle und agentenbasierte Scansysteme auf derselben Codebasis getestet. Diesen leistungsfähigen Testsuiten wurde kein Tanium-spezifischer Kontext vorgegeben, und jede von ihnen entdeckte gültige Fehler, die sich von den von anderen Testsuiten gefundenen unterschieden.
Betrachtet man die von diesen Tools gemeldeten Ergebnisse insgesamt, so ist die Überschneidung deutlich geringer, als wir erwartet hatten. Wir können noch nicht endgültig sagen, ob dies auf die Modelle, das Framework, unsere Codebasis oder darauf zurückzuführen ist, dass wir uns noch in einem sehr frühen Stadium befinden; doch die kurzfristigen praktischen Konsequenzen sind bereits klar genug, um entsprechend zu handeln: Agente-basierte Sicherheits-Workflows sollten sich nicht auf ein einziges Modell oder einen einzigen Anbieter stützen und den institutionellen Kontext einbeziehen, um die Leistung zu verbessern.
Wir investieren weiterhin in den Aufbau und die Optimierung des Kontexts, mit dem wir diese Tools füttern, und erweitern dabei die Grenzen des Möglichen, anstatt uns mit dem ersten Ansatz zufrieden zu geben, der funktioniert.
Tanium erhöht das Volumen und die Geschwindigkeit seiner Sicherheitspatches
Unsere Verpflichtung, unseren Kunden mit lokalen Installationen mindestens einmal monatlich Wartungsversionen zur Verfügung zu stellen, bleibt unverändert. Was sich ändern wird, ist die Häufigkeit der außerplanmäßigen Veröffentlichungen sowie die Anzahl der bei jeder Veröffentlichung offengelegten Sicherheitslücken. Wir verpflichten uns zur Einhaltung strenger SLAs für die Behebung von Schwachstellen, die wir als ausnutzbar einstufen; bei den kritischsten Problemen werden diese in Tagen gemessen, und wir beabsichtigen, diese weiterhin einzuhalten, auch wenn sich unsere Erkennungsfähigkeiten verbessern.
Das bedeutet, dass Sie in den kommenden Monaten mit einer Zunahme von Sicherheitshinweisen, CVE-Einträgen und Sicherheitspatches unsererseits rechnen sollten, da wir diese Techniken weiterhin in unserem gesamten System anwenden und weiterentwickeln werden. Wir möchten diese Erwartung klar darlegen, da eine steigende Anzahl von CVEs leicht falsch interpretiert werden kann. Dies ist kein Anzeichen dafür, dass unsere Software schlechter wird. Vielmehr werden wir immer besser darin, latente Sicherheitsprobleme aufzudecken, die schwer zu finden sind.
Dies ist ein Muster, das unsere Kollegen in der Softwarebranche beobachtet haben: Mozilla hat im Anschluss an seine erste Auswertung von Mythos 271 Sicherheitslücken behoben (wird in einem neuen Tab geöffnet) sowie Microsoft hat am 9th’s . „Patch Tuesday“ im September mehr als 900 Sicherheitslücken behoben (wird in einem neuen Tab geöffnet).
Wir suchen nicht nur proaktiv in unserem Code nach Schwachstellen und beheben diese umgehend, sondern informieren unsere Kunden auch transparent über bekannte Sicherheitsprobleme. Wir werden unseren Verpflichtungen als CVE-Nummerierungsstelle weiterhin nachkommen und diese Sicherheitslücken verantwortungsbewusst offenlegen (veröffentlichte Sicherheitshinweise finden Sie unter https://security.tanium.com ), da diese Informationen es unseren Kunden ermöglichen, das Ausmaß der Gefährdung einzuschätzen und entsprechende Abhilfemaßnahmen zu planen. Wir sind uns bewusst, dass die Installation von Patches für unsere Kunden betriebliche Herausforderungen mit sich bringen kann, und wir nehmen dies sehr ernst. Tatsache ist jedoch, dass sich das Tempo, mit dem Sicherheitslücken entdeckt und Exploits entwickelt werden, sowohl für Verteidiger als auch für Angreifer beschleunigt, und dass auch die Patch-Zyklen in der Branche schneller werden müssen, um die Sicherheit unserer Systeme zu gewährleisten.
Tanium hat es sich zur Aufgabe gemacht, unsere Kunden bei der Optimierung der Patch-Verwaltung für ihre Tanium-Implementierungen zu unterstützen. Alle Kunden haben Zugriff auf die Endpunktkonfiguration von Tanium, die darauf ausgelegt ist, sichere, nahtlose und regelmäßige Upgrades des Tanium-Clients und der Endpunkt-Tools zu ermöglichen. Kunden mit einer lokalen Installation müssen zudem ihr Tanium-Backend aktualisieren, um von all diesen Sicherheitspatches profitieren zu können. Unsere halbjährlichen Wartungsversionen enthalten nur wenige Codeänderungen, die sich auf kritische Fehler und Sicherheitslücken konzentrieren, um die Vorhersehbarkeit und Stabilität zu gewährleisten, die unsere Kunden für die Umsetzung schneller Upgrade-Zyklen benötigen.
Was kommt als Nächstes?
Das Forschungs- und Entwicklungsteam für Sicherheit bei Tanium wird auch weiterhin innovative KI-basierte Cyberfähigkeiten entwickeln und in unseren Softwareprodukten sowie in unseren Sicherheitsabläufen einsetzen. In dem Maße, wie wir mehr über das Design von Sicherheits-Harnesses, den Triage-Workflow und die Ausprägung der Deckungslücke bei mehreren Modellen erfahren, beabsichtigen wir, unsere Forschungsergebnisse öffentlich zugänglich zu machen und weiterhin das Richtige für die Sicherheit der Kunden von Tanium zu tun. Unsere Kunden vertrauen bei ihren IT- und Sicherheitsabläufen auf Tanium, damit sie sich auf ihre entscheidenden geschäftlichen Herausforderungen konzentrieren können – und indem wir unsere eigenen Schwachstellen als Erste aufspüren, noch bevor es andere tun, verdienen wir uns dieses Vertrauen immer wieder aufs Neue.
Die Aussagen und Inhalte von Tanium bezüglich seiner Pläne, Ausrichtungen und Absichten sind vertraulich und können nach alleinigem Ermessen von Tanium ohne vorherige Ankündigung geändert werden. Informationen zu potenziellen zukünftigen Produkten oder Funktionen sollen die allgemeine Produktausrichtung von Tanium skizzieren und sollten nicht als Grundlage für Kaufentscheidungen herangezogen werden, noch sind sie Bestandteil eines Vertrags. Es handelt sich weder um eine Zusage, ein Versprechen noch um eine rechtliche Verpflichtung. Die Entwicklung, Veröffentlichung und der Zeitpunkt der Einführung künftiger Produkte oder Funktionen liegen weiterhin im alleinigen Ermessen von Tanium.
