TL;DR
En mayo de 2024, se lanzó cside como la primera solución de seguridad del lado del cliente. para integrar la IA en su producto.
Utilizamos modelos de código abierto autohospedados en nuestra propia infraestructura para analizar JavaScript en busca de intenciones maliciosas. Explique el comportamiento de los scripts en un lenguaje sencillo, realice un seguimiento de los cambios a lo largo del tiempo y automatice las revisiones de cumplimiento de los scripts PCI DSS 4.0.1.
A diferencia de las soluciones que aprovechan las API de IA de terceros, nuestra arquitectura evita la fuga de datos y protege la privacidad del usuario final mediante el uso de LLM de código abierto autohospedados. Para organizaciones con restricciones de IA, estas funciones se pueden desactivar. La IA es una superposición, no un requisito, pero ha demostrado ser increíblemente valiosa para GRC y los equipos de seguridad.
Seguridad del lado del cliente en la era de la IA
Cuando lanzamos cside en mayo de 2024, queríamos detectar ataques que otros no detectaban. Entonces tomamos una decisión que nos diferencia de todos los demás actores en el espacio de seguridad del lado del cliente: integramos la IA en el núcleo de nuestro producto desde el primer día.
En ese momento, éramos el único proveedor de soluciones que utilizaba LLM para abordar la seguridad de JavaScript del lado del cliente. Más tarde, el resto del mercado siguió nuestro ejemplo, pero la forma de implementar la IA es tan importante como la funcionalidad que proporciona.
Por qué la IA es importante para la seguridad de JavaScript
JavaScript es excepcionalmente difícil de analizar. Los proveedores de soluciones SAST también utilizan LLM para analizar código. Pero los scripts del lado del cliente cambian constantemente, se ofuscan a propósito y pueden comportarse de manera diferente según quién los esté viendo, dónde se encuentran o qué hora es.
La coincidencia de patrones tradicional se desmorona cuando los atacantes aleatorizan su código o se dirigen a usuarios específicos.
A diferencia de los sistemas operativos, los navegadores no fueron creados para brindar seguridad. Por eso cside ofrece múltiples enfoques para cubrir los huecos:
- Método Script (el más fácil): comprobamos el comportamiento de los scripts en el navegador y los recuperamos de nuestro lado, luego verificamos que sea el mismo script. No nos colocamos en la ruta de un script a menos que nos lo pidas explícitamente. Fácil de implementar, sin impacto en el rendimiento, y aun así puedes detener acciones de scripts o bloquear por URL, hash o dominio.
- Método Escaneo (el más rápido): si no puedes añadir un script a tu sitio, cside lo analiza utilizando inteligencia sobre amenazas procedente de miles de sitios web con miles de millones de visitas combinadas. Rápido de configurar y útil cuando la instalación de un script no es posible.
La combinación de estos modos nos acerca a la cobertura total que es técnicamente posible hoy en día.
Los LLM son realmente buenos para contextualizar JavaScript incluso cuando ha sido destrozado hasta quedar irreconocible. Un LLM puede observar código ofuscado, comprender su intención y señalar comportamientos que el análisis estático pasaría por alto por completo. Esa capacidad es increíblemente valiosa para la seguridad de JavaScript. Pero sólo si se implementa de manera responsable.
Arquitectura de IA responsable: por qué nos autohospedamos
cside ejecuta LLM de código abierto en nuestra propia infraestructura en la nube. Mantenemos un control total sobre los datos que fluyen a través de nuestros modelos.
A menudo, cuando las empresas ofrecen funciones habilitadas para IA, utilizan de forma predeterminada API de empresas de IA conocidas. Si bien esas empresas tienen datos de características que se utilizan en capacitación sin consentimiento, los datos se proporcionan a un tercero. En un mundo ideal, los datos nunca salen de su área de control.
Al ejecutar nosotros mismos modelos de código abierto, no hay riesgo de que el contenido del script se filtre a proveedores externos. No hay posibilidad de que los datos del cliente aparezcan en un conjunto de capacitación.
Cuando envía JavaScript a una API de terceros, confía en las políticas de manejo de datos de ese proveedor, que cambian activamente con el tiempo.
cside comprende los requisitos de seguridad y lo que se necesita para mantener sus datos seguros. Puede verificar nuestra postura de seguridad usted mismo en nuestro Centro de confianza, donde publicamos nuestra documentación SOC 2 Tipo II, pruebas de penetración y PCI DSS AOC.
Cómo cside utiliza la IA: 4 aplicaciones principales
Aquí es donde realmente se ejecuta la IA en nuestro producto.
1. Análisis de scripts en busca de intenciones maliciosas
Cada script que se carga en su sitio se analiza en su forma original y después de la desofuscación. El LLM busca patrones que indiquen comportamientos maliciosos:
- Robo de tokens de sesión
- Intercepción y filtración de datos no autorizada
- Recolección de credenciales
- Manipulación de formularios de pago
Esto se aplica tanto a los scripts de apariencia limpia como a los más alarmantes. Ya sea en el fragmento principal de JavaScript o en una pequeña subsolicitud.
La IA atrapa a ambos. Entiende el contexto de una manera que las detecciones basadas en expresiones regulares simplemente no pueden. y a diferencia escáneres, CSP o productos basados en agentes, estamos analizando la carga útil real que reciben sus usuarios, sabemos que es exactamente lo que obtuvo el usuario. No solo estamos verificando la información proporcionada por las amenazas o esperando que se activen las trampas del lado del cliente, aunque, por supuesto, también utilizamos esos métodos como capas en nuestro motor de detección.
La capa de IA de nuestro motor de detección es solo una de muchas capas diferentes, pero la IA puede ser muy eficaz para detectar comportamientos maliciosos ocultos.
2. Guión de razonamiento empresarial
- ¿Este widget de chat debería tener acceso a los datos del formulario?
- ¿Por qué aparece este script de análisis en su página de pago?
- ¿Es necesario ejecutar esta herramienta de marketing como parte del proceso de pago?
Proporcionamos un motivo comercial generado por LLM, que es un requisito de cumplimiento para algunos marcos.
Ahorro de horas de investigación a los equipos. En lugar de revisar cada cambio de hash del script o intentar encontrar quién lo agregó, obtiene una explicación en lenguaje sencillo de lo que hace cada script.
3. Explicar los cambios a lo largo del tiempo
Los guiones no permanecen estáticos. Muchos se actualizan constantemente. La semana pasada, script X realizó acciones relacionadas con la analítica. Esta semana, también accede a localStorage y realiza solicitudes a un nuevo dominio registrado que apunta a una dirección IP residente.
¿Qué cambió? ¿Importa?
La IA de cside genera explicaciones legibles por humanos para los cambios de guión. No es necesario ser un investigador de seguridad para comprender qué sucedió entre los cambios. La plataforma le dice exactamente qué es diferente y si genera inquietudes.
Esto es muy útil para las auditorías de cumplimiento. Cuando un auditor pregunta sobre el comportamiento del guión durante los últimos seis meses, usted tendrá explicaciones documentadas y con fecha y hora listas para usar. Nuestro seguimiento 100% histórico significa que nada se pierde.
4. IA para la automatización del cumplimiento de PCI DSS 4.0.1
Los requisitos 6.4.3 y 11.6.1 de PCI DSS 4.0.1 exigen una revisión continua de los scripts en las páginas de pago. La mayoría de los equipos manejan esto manualmente: cargando la página, inspeccionando los scripts, documentando todo y repitiendo el proceso semanal o mensualmente.
con Escudo PCI, la IA maneja la revisión automáticamente. Se analiza cada cambio de script en las páginas de pago. Si el cambio parece benigno, no es necesario realizar ninguna acción. Si muestra signos de comportamiento malicioso, recibirá una alerta con un desglose completo de lo sucedido.
Este enfoque ha sido validado por VikingCloud, quien confirmó que cside cumple con los requisitos PCI DSS 4.0.1 6.4.3 y 11.6.1 cuando se implementa correctamente. tu puedes leer el informe completo o descargarlo desde nuestro Centro de confianza.
Esto no es sólo conveniencia. Es la diferencia entre respuesta reactiva a incidentes y prevención proactiva de amenazas.
La flexibilidad es la respuesta
Entendemos que no todas las organizaciones están preparadas para adoptar la IA en toda su tecnología. Algunos tienen políticas internas contra el uso de IA. Otros quieren evaluarlo caso por caso.
Es por eso que todas nuestras funciones de IA se pueden desactivar. La superposición está ahí si la desea, pero no es obligatorio ejecutar cside.
Aún obtendrá visibilidad completa de la carga útil, bloqueo en tiempo real, seguimiento histórico e informes de cumplimiento sin IA.
Ya sea que esté utilizando el Método Script o el Método Escaneo, la plataforma ofrece visibilidad completa de los scripts y un diseño a prueba de fallos. La IA es una mejora y, para los equipos que pueden usarla, la capa de IA hace que todo sea más rápido y preciso.
Por qué esto importa ahora
Los ataques del lado del cliente son cada vez más sofisticados. Los atacantes saben que el lado del servidor y sus dependencias estáticas de código abierto están siendo monitoreados de cerca. Así que han ajustado su superficie de ataque y son:
- Utilizar scripts dinámicos del lado del cliente que cambian según el contexto del usuario, evitando la detección mediante análisis estáticos.
- Scripts muy confusos para evitar análisis estáticos.
- Explotar la brecha entre lo que permiten las especificaciones del navegador y cómo se construye realmente el navegador.
Las herramientas con casillas de verificación no pueden seguir el ritmo. Las infracciones de CSP no indican qué hay dentro de un script y son difíciles de gestionar. Los rastreadores reciben cargas útiles limpias, mientras que los usuarios reales ven las maliciosas. El monitoreo del comportamiento solo detecta ataques después de que ya se han ejecutado y es propenso a eludir métodos.
Las detecciones basadas en IA y un enfoque que combine métodos tienen las mejores posibilidades. Analiza el comportamiento en tiempo real, comprende el código ofuscado incluso cuando falla la desofuscación y señala anomalías que la coincidencia de patrones pasaría por alto.
Modelos autohospedados, infraestructura aislada y sin compartir datos con terceros. Así es como se obtienen los beneficios de la IA sin introducir nuevos riesgos ni enfrentar rechazos internos.
¿Listo para comprobar cside out? Empieza gratis o reservar una demostración para charlar con nuestro equipo.
