Копилотамы и приложения с низким кодом создают новую «обширную поверхность для атак» - 4 способа решить эту проблему

В типичном предприятии насчитывается 80 000 приложений, созданных вне традиционного жизненного цикла разработки, и 62 % из них имеют уязвимости, говорится в новом исследовании. Но так не должно быть.

В среднем крупном предприятии сегодня насчитывается около 80 000 приложений, созданных на основе копипастов и низкокодовых платформ. Это создает потенциальный кошмар для безопасности, поскольку более шести из десяти (62 %) имеют уязвимости в системе безопасности, как показало недавнее исследование.

Исследование, опубликованное компанией Zenity, показывает, что использование корпоративных копипастов и низкокодовых разработок растет на 40 % из года в год. Исследование основано на данных, полученных от крупных организаций, но его результаты в равной степени применимы и к малому и среднему бизнесу.

В настоящее время типичный корпоративный клиент, участвовавший в исследовании, имеет в среднем 79 602 приложения, созданных на различных копьютерах и платформах с низким кодом. Для сравнения, по оценкам авторов исследования, среднее крупное предприятие имеет не менее 473 приложений на базе SaaS.

Под «копилотами» авторы исследования понимают целый ряд инструментов и платформ с низким уровнем кодирования, включая Microsoft Copilot, Power Platform, Salesforce, ServiceNow, Zapier, OpenAI и другие. По их оценкам, в средней крупной организации используется около семи платформ для копирования и низкокодового кода.

Среди 80 000 приложений и копилотов, разработанных вне традиционного жизненного цикла разработки ПО, насчитывается около 50 000 уязвимостей, говорится в исследовании. Основной риск заключается в том, что «бизнес-пользователи имеют возможность создавать приложения и „вторые пилоты“, не имея опыта кодирования и не имея надлежащих средств защиты», - отмечают авторы исследования. К основным техническим рискам, связанным с платформами «второго пилота» и «низкого кода», относятся неправомерное использование авторизации, сбои аутентификации, а также работа с данными и секретами, говорится в исследовании.

«При традиционной разработке приложений они тщательно создаются на протяжении всего жизненного цикла разработки программного обеспечения, где каждое приложение постоянно планируется, проектируется, реализуется, измеряется и анализируется», - объясняют они. «В современной разработке бизнес-приложений, однако, таких сдержек и противовесов не существует, и возникает новая форма теневого ИТ».

В рамках решений для копирования «каждый может создавать мощные бизнес-приложения и копировать их, которые обеспечивают доступ, передачу и хранение конфиденциальных данных, а также участвуют в критически важных бизнес-операциях всего парой щелчков мыши или с помощью текстовых подсказок на естественном языке», - говорится в исследовании. «Скорость и масштабы этой новой волны разработки приложений создают новую и обширную поверхность для атак».

Многие предприятия, поощряющие разработку приложений на основе второго пилота и низкокодового кода, «не в полной мере осознают, что им необходимо учитывать контекст и понимать не только количество создаваемых приложений и вторых пилотов, но и бизнес-контекст, например, с какими данными взаимодействует приложение, для кого оно предназначено и какую бизнес-функцию оно должно выполнять».

В результате «существует множество уязвимостей и неправильных конфигураций, которые сложно определить в контексте и понять, кто и что должен делать для снижения риска».

Еще одной проблемой является ненадежный гостевой доступ через копипаст и приложения с низким кодом. «Среднее предприятие, участвовавшее в исследовании, имеет более 8 641 случая доступа недоверенных гостевых пользователей к приложениям, разработанным с помощью вторых пилотов и low-code», - говорится в исследовании. Более 72% этих случаев «предоставляют привилегированный доступ недоверенным гостям; это означает, что неконтролируемые и неуправляемые гости могут создавать, изменять или удалять эти приложения».

Вот некоторые шаги, которые авторы исследования рекомендуют предпринять для устранения этих уязвимостей:

• Настроить безопасность заранее: Убедитесь в том, что имеются средства контроля, «чтобы отметить любое приложение, содержащее жестко закодированный секрет или небезопасный шаг при получении учетных данных», - призывают они. «Контекстуализируйте создаваемые приложения, чтобы убедиться, что критически важные бизнес-приложения, которые также вступают в контакт с конфиденциальными внутренними данными, имеют надлежащие средства контроля аутентификации. Как только это будет сделано, обеспечение надлежащей аутентификации в приложениях, требующих доступа к конфиденциальным данным, станет первоочередной задачей».
• Установите защитные ограждения: «В связи с природой вторых пилотов и ИИ в целом необходимо установить строгие ограждения, чтобы предотвратить чрезмерный обмен приложениями, неоправданное перекрытие доступа к конфиденциальным данным с помощью ИИ, совместное использование взаимодействий конечных пользователей со вторыми пилотами и многое другое. Без них предприятия сталкиваются с повышенным риском вредоносного внедрения и утечки данных».
• Регулируйте гостевой доступ: К гостевым пользователям «предъявляются иные стандарты безопасности, чем к штатным сотрудникам, но при этом они имеют привилегированный доступ к приложениям и вторым пилотам, созданным на платформах с низким кодом», отмечают авторы исследования. Очень важно «ограничить доступ к приложениям и вторым пилотам только теми, кому они необходимы для выполнения соответствующих обязанностей».
• Переосмыслите подключение к конфиденциальным данным: Авторы рекомендуют понять, какие приложения связаны с конфиденциальными данными. «Затем определите, как отправляются и принимаются данные в этих приложениях, и убедитесь, что все коннекторы, особенно те, которые имеют доступ к конфиденциальным данным, используют вызовы HTTPS».