อนาคตความโปร่งใสซอฟต์แวร์: เจาะลึก SBOM และการมาถึงของ AI BOM

ซอฟต์แวร์สมัยใหม่ถูกสร้างขึ้นบนชั้นของความเกี่ยวเนื่อง (dependencies), ส่วนประกอบโอเพนซอร์ส, ไลบรารีจากบุคคลที่สาม และในปัจจุบันยังรวมถึงโมเดลปัญญาประดิษฐ์จากภายนอก สำหรับทีมความปลอดภัย การทำความเข้าใจสิ่งที่ทำงานอยู่ภายในแอปพลิเคชันอย่างถ่องแท้จึงกลายเป็นความจำเป็นเร่งด่วนในการดำเนินงาน มากกว่าแค่การทำตามกฎระเบียบ

นั่นคือแนวคิดพื้นฐานของ Software Bill of Materials หรือ SBOM

ใน recent episode of the SecurityWeek Podcast พิธีกร Brian “SchleiF” Schleifer ได้พูดคุยกับ Allan Friedman ผู้เชี่ยวชาญนโยบายความมั่นคงปลอดภัยไซเบอร์ เพื่อหารือเกี่ยวกับต้นกำเนิดของ SBOM, การใช้งานข้อมูลจริง, การเกิดขึ้นของ AI BOM, การบริหารจัดการช่องโหว่, VEX และทิศทางในอนาคตของความโปร่งใสในโลกซอฟต์แวร์

Friedman ผู้มีบทบาทสำคัญในการผลักดัน SBOM อธิบายเหตุผลที่แนวคิดนี้สำคัญด้วยนิยามที่เรียบง่ายว่า "ซอฟต์แวร์ไม่ได้ถูกเขียนขึ้น แต่มันถูกประกอบขึ้น และมันถูกประกอบขึ้นจากซอฟต์แวร์ที่มากขึ้นเรื่อยๆ"

ในเชิงปฏิบัติ SBOM คือการแสดงโครงสร้างส่วนประกอบที่ทำให้ซอฟต์แวร์ทำงานได้ แต่ Friedman เน้นย้ำว่าการสร้าง SBOM ไม่ใช่เป้าหมายสุดท้าย ทว่าคุณค่าที่แท้จริงคือสิ่งที่องค์กรและซัพพลายเออร์จะนำข้อมูลนั้นไปใช้งานต่อได้จริง

SBOM คือการตอบสนอง ไม่ใช่แค่การทำบัญชีรายชื่อ

การพูดคุยเรื่อง SBOM ในยุคแรกมุ่งเน้นไปที่ว่าผู้ผลิตจะสร้างเอกสารได้หรือไม่ แต่ในปัจจุบันคำถามที่สำคัญกว่าคือ "จะเกิดอะไรขึ้นหลังจากได้รับเอกสารนั้นมาแล้ว"

Friedman มองว่าความพร้อมในซัพพลายเชนซอฟต์แวร์วัดได้จากการที่ซัพพลายเออร์สามารถสร้าง SBOM ที่แม่นยำได้ ซึ่งจะทวีความสำคัญมากเมื่อเกิดเหตุการณ์เช่น Log4j หรือการโจมตีซัพพลายเชนวงกว้าง องค์กรที่เห็นส่วนประกอบภายในจะระบุความเสี่ยงได้เร็วกว่า ช่วยลดเวลาการตอบสนองจากหลายสัปดาห์เหลือเพียงไม่กี่นาที

เป้าหมายสูงสุดคือการรวมข้อมูล SBOM เข้ากับกระบวนการความปลอดภัยหลักขององค์กร ทั้งการจัดการช่องโหว่ สินทรัพย์ และความเสี่ยง มากกว่าจะเป็นเพียงเอกสารที่เก็บไว้เฉยๆ เนื่องจากผู้โจมตีไม่ได้จำกัดอยู่แค่ช่องโหว่ของชื่อผลิตภัณฑ์หลัก แต่อาจเจาะผ่านไลบรารีโอเพนซอร์สที่ล้าสมัยภายในแอปพลิเคชันนั้นๆ

ไม่ใช่ทุกช่องโหว่จะสร้างความเสี่ยงเท่ากัน

การมีข้อมูลที่มากขึ้นอาจนำไปสู่ปัญหาการแจ้งเตือนที่ล้นเกิน (vulnerpocalypse) Friedman จึงเสนอว่า Vulnerability Exploitability eXchange หรือ VEX คือคู่หูที่ขาดไม่ได้ของ SBOM เพื่อระบุว่าช่องโหว่ที่พบนั้นสามารถถูกโจมตีได้จริง (exploitable) ในสภาพแวดล้อมนั้นหรือไม่

ตัวอย่างเช่น แอปพลิเคชันอาจมีไลบรารีที่มีช่องโหว่ แต่ไม่ได้ใช้งานฟังก์ชันส่วนที่มีปัญหา VEX จะช่วยให้บริบทที่จำเป็นแก่ทีมความปลอดภัยในการจัดลำดับความสำคัญของงาน แทนที่จะต้องเสียทรัพยากรไปกับการตรวจสอบข้อมูลที่ไม่มีความเสี่ยงจริง

AI ทำให้ปัญหาความโปร่งใสซับซ้อนยิ่งขึ้น

เมื่อองค์กรฝัง Machine Learning และ Generative AI ลงในแอปพลิเคชัน บัญชีรายชื่อซอฟต์แวร์แบบดั้งเดิมอาจไม่เพียงพออีกต่อไป Friedman ระบุว่า AI BOM เป็นเรื่องที่หลีกเลี่ยงไม่ได้เพื่อบันทึกข้อมูลตัวโมเดล แหล่งที่มาของข้อมูลที่ใช้สนับสนุน และโครงสร้างพื้นฐานโดยรอบ

ความท้าทายใหม่เกิดขึ้นเมื่อระบบ AI มีความเป็นไดนามิกมากขึ้น เช่น เอเจนต์ที่สร้างเครื่องมือขึ้นมาใช้งานชั่วคราวแล้วสลายตัวไป Friedman เสนอว่าแนวทางแก้ไขอาจเป็นการผสานแนวคิด BOM เข้ากับระบบ Logging และสถาปัตยกรรมข้อมูล เพื่อให้องค์กรมีความโปร่งใสเพียงพอในการวิเคราะห์ย้อนหลังและบังคับใช้มาตรการควบคุม

ความโปร่งใสเพื่อประโยชน์ของฝ่ายป้องกัน

Friedman ท้าทายความกังวลที่ว่า SBOM จะเป็นประโยชน์ต่อผู้โจมตี โดยระบุว่าผู้โจมตีสามารถใช้ Reverse Engineering วิเคราะห์ซอฟต์แวร์ได้อยู่แล้ว แต่ฝ่ายป้องกันต่างหากที่ต้องการการมองเห็นนี้เพื่อดูแลระบบนับพันระบบ

มาตรฐาน SBOM ยังรองรับการปกปิดข้อมูล (redaction) ในส่วนที่เป็นความลับทางธุรกิจ ช่วยให้ซัพพลายเออร์เปิดเผยข้อมูลเท่าที่จำเป็นโดยไม่กระทบทรัพย์สินทางปัญญา สิ่งสำคัญคือการสร้างสมดุลระหว่างความกังวลเรื่องความลับและคุณค่าในการดำเนินงานเพื่อความปลอดภัย

จาก SBOM สู่ Omnibomb

ในอนาคต SBOM อาจเป็นเพียงส่วนหนึ่งของระบบนิเวศความโปร่งใสที่ใหญ่กว่า ซึ่ง Friedman เรียกว่า "omnibomb" โดยจะรวมถึง AI BOM, Cryptographic BOM (สำหรับการเปลี่ยนผ่านสู่ยุคหลังควอนตัม) และ Hardware BOM

อย่างไรก็ตาม ปัจจุบันยังต้องพัฒนาเรื่องการทำงานร่วมกันของเครื่องมือ (interoperability) ให้มีมาตรฐานเดียวกัน โดยหน่วยงานรัฐและอุตสาหกรรมกำลังร่วมกันกำหนดทิศทางเพื่อให้ข้อมูล SBOM สามารถใช้งานข้ามระบบได้อย่างมีประสิทธิภาพ

ท้ายที่สุด SBOM ไม่ได้ถูกออกแบบมาเพื่อแก้ปัญหาไซเบอร์ทุกอย่าง แต่มันคือโครงสร้างข้อมูลที่จะมอบคุณค่าด้านความปลอดภัยที่แท้จริงตามวิธีที่องค์กรนำไปใช้งาน

รับชมหรือฟังการสนทนาฉบับเต็มใน SecurityWeek Podcast กับ Allan Friedman เพื่อเจาะลึกรายละเอียดเกี่ยวกับ SBOM, AI BOM และอนาคตของความโปร่งใสซอฟต์แวร์