AI och sårbarheter
Säkerhet när AI hittar sårbarheterna
AI gör det snabbare och billigare att hitta sårbarheter. Det gäller både för angripare och för dem som försvarar. Här förklarar vi hur vi ser på det och vad vi gör.
Läget
Uppdateringarna hinner inte med
Förr tog det lång tid att hitta en sårbarhet och bygga ett angrepp. Nu kan AI göra en stor del av arbetet. Fler sårbarheter hittas, och tiden från upptäckt till angrepp blir kortare.
Utrustning i industrin uppdateras sällan. Många maskiner kan bara uppdateras när produktionen står still. Därför finns kända sårbarheter kvar i utrustningen under lång tid.
Slutsatsen är enkel. Skyddet måste fungera även när det finns sårbarheter som ingen har hunnit rätta.
Fler sårbarheter hittas
AI kan gå igenom stora mängder kod och program på kort tid. Fel som legat gömda i åratal kommer fram.
Kortare tid att agera
När en sårbarhet blir känd kan ett angrepp finnas snabbt. Tiden för att uppdatera blir kortare.
Gammal utrustning blir kvar
Maskiner används i många år. Det tar tid innan alla sårbarheter är rättade eller utrustningen är utbytt.
Vårt svar
Fyra lager som skyddar även när det finns fel
Ingen kan lova att en produkt saknar fel. Därför bygger vi skyddet i lager. Om ett lager inte räcker, tar nästa vid.
1. Det som inte syns kan inte angripas
Låset gör utrustningen osynlig för den som saknar behörighet. Inga portar är öppna inåt. Låset stoppar all trafik som inte en regel i XMS tillåter. En angripare kan inte angripa det som inte går att hitta, hur snabbt AI än arbetar.
2. Följderna blir små
Om något ändå går fel ska skadan bli liten. Varje behörighet gäller bestämda maskiner under en bestämd tid. Användaren och låset kontrollerar varandra två gånger i minuten. En behörighet som dras in slutar gälla direkt.
3. Rättningen är snabb och öppen
Vi tar emot och prioriterar rapporter löpande under svensk kontorstid. För en allvarlig sårbarhet sätter vi direkt ett team på uppgiften. Teamet söker orsaken, informerar kunderna och tar fram en snabb rättning.
4. Vi använder AI själva
Vi använder AI på ett mycket genomtänkt sätt. Målet är att få de största möjliga fördelarna för cybersäkerheten. AI hjälper oss både när vi utvecklar och när vi testar säkerheten i XoT.
Lager 1 och 2
Skyddet bygger på att utrustningen inte syns
En angripare börjar ofta med att söka igenom nätverket efter utrustning som svarar. AI gör den sökningen snabbare. Bakom ett lås svarar utrustningen bara den som har en giltig nyckel.
Allt nekas från början
Låset släpper bara igenom det som en regel uttryckligen tillåter. All annan trafik stoppas. Utrustningen bakom låset syns inte för andra.
Inga lösenord att gissa
Varje person och varje enhet har ett eget certifikat. Det finns inga lösenord som AI kan gissa eller lura fram.
Snabb avstängning
Ni kan stänga av en användare eller en leverantör direkt. Med en egen certifikatutfärdare kan ni också spärra och byta certifikat.
Spår att följa
XMS loggar vem som nådde vad, när och hur länge. Loggarna kan skickas till ert SIEM, ett system som samlar och analyserar loggar.
Lager 3
Så rättar vi sårbarheter i XoT
Ett team börjar direkt
En allvarlig sårbarhet får ett eget team utan dröjsmål. Teamet söker grundorsaken, informerar kunderna och tar fram en rättning.
Fel hos andra rättas snabbt
XoT bygger delvis på programvara från andra. När felet finns där rättar vi det så snart leverantören har en lösning. Tar leverantören för lång tid på sig, stänger vi ibland hålet själva. Det gör vi med en tillfällig lösning tills leverantören har rättat grundfelet.
Öppet om sårbarheter
Allvarliga och kända sårbarheter publicerar vi på support.xertified.com. Sårbarheter som utnyttjas rapporterar vi till ENISA inom 24 timmar.
Säkra uppdateringar
Uppdateringarna är signerade. En uppdatering av XoT-S1 kan inte göra låset obrukbart.
Gratis i fem år
Supportperioden är fem år för alla våra produkter. Under den tiden är säkerhetsuppdateringarna gratis.
Rapporter är välkomna
Vi har inget program där vi betalar för rapporter. I stället välkomnar vi alla att rapportera sårbarheter till oss på ett ansvarsfullt sätt.
Lager 4
Så använder vi AI i vårt eget arbete
AI ger försvarare samma fördelar som angripare. Vi vill vara först med att hitta felen i våra egna produkter.
I utvecklingen
Vi använder AI med tydliga regler för kodens kvalitet, för test och för ramverk inom cybersäkerhet. Utvecklingen bygger på Microsoft SDL.
I säkerhetstesterna
Vi använder AI när vi testar säkerheten i XoT. Våra partner gör också penetrationstester.
Tillsammans med AI-företagen
Vi deltar i de program som AI-företagen har för säkerhetsarbete. Där får försvarare tillgång till verktyg för att hitta sårbarheter.
Ärligt talat
Det här lovar vi inte
Det finns mycket marknadsföring om AI och säkerhet. Därför säger vi också tydligt vad vi inte lovar.
Att XoT inte går att hacka
Ingen programvara är helt fri från fel. Vi säger aldrig att XoT inte går att hacka.
Att XoT är AI-säkert
Det finns ingen standard för att vara AI-säker. Vi använder inte den sortens ord.
Att XoT ersätter uppdateringar
Låset ger er tid. Ni behöver fortfarande uppdatera eller byta ut sårbar utrustning när ni kan.
Att XoT stoppar den som har behörighet
Den som har fått åtkomst kan missbruka den. Därför ska behörigheterna vara små, och loggarna ska granskas.
Frågor att ställa
Frågor som du kan ställa till alla leverantörer
AI ändrar inte vad en bra leverantör ska göra. Men takten ökar. Ställ de här frågorna till alla leverantörer, också till oss.
| Fråga | Vårt svar |
|---|---|
| Vad syns av produkten i nätverket för den som saknar behörighet? | Ingenting. Låset svarar inte, och inga portar är öppna inåt. |
| Vad kan en angripare nå om en behörighet missbrukas? | Bara de maskiner som behörigheten gäller, och bara under en bestämd tid. |
| Hur snabbt rättar ni en allvarlig sårbarhet? | Ett team börjar direkt. Fel i programvara från andra rättar vi så snart leverantören har en lösning. Ibland stänger vi hålet tillfälligt innan dess. |
| Var publicerar ni sårbarheter? | På support.xertified.com. Sårbarheter som utnyttjas rapporterar vi till ENISA inom 24 timmar. |
| Hur länge får produkten säkerhetsuppdateringar? | I fem år. Uppdateringarna är gratis. |
| Är uppdateringarna signerade? | Ja. En uppdatering av XoT-S1 kan inte göra låset obrukbart. |
| Kan vi få en förteckning över programvarans delar, en SBOM? | Ja, för varje version. |
| Hur testas produkten, och av vem? | Vi testar i varje utvecklingscykel, också med AI. Våra partner gör penetrationstester. |
| Hur använder ni AI när ni utvecklar? | Med tydliga regler för kodens kvalitet, för test och för cybersäkerhet. |
| Kan vi stänga av en användare direkt? | Ja. En behörighet som dras in slutar gälla direkt. |
| Kan vi följa vad som händer? | Ja. Loggarna kan skickas till ert SIEM. |
| Får ni själva ge sårbarheter ett CVE-nummer? | Inte än. Ett CVE-nummer är en internationell beteckning för en känd sårbarhet. |
Rapporterna från penetrationstesterna får du under sekretessavtal.
Från vår VD
Förtroende byggs när något händer
Alla leverantörer kommer att ha sårbarheter. Den som påstår något annat har inte letat tillräckligt, i alla fall inte med AI. Därför lovar vi aldrig att XoT inte går att hacka. Vi lovar i stället tre saker som går att kontrollera. Dem arbetar vi med varje dag.
Synas mindre. Utrustning som inte syns kan inte angripas, hur snabbt AI än letar.
Förlora mindre. Varje behörighet gäller rätt maskin under rätt tid. Om något går fel blir skadan liten.
Rätta snabbare. En allvarlig sårbarhet får ett eget team direkt, och vi är öppna med vad som har hänt.
Vi har inte alla svar. Men vi har valt vår strategi, och vi bygger organisationen för den. Förtroende byggs inte med stora ord. Det byggs av hur vi agerar den dag något händer.
Vill du veta mer?
Vi svarar gärna på frågor om hur XoT hanterar sårbarheter. Vi hjälper dig också att börja med den maskin som är mest utsatt.