Utilizatorii adevărați nu sunt întotdeauna umani - și asta nu ar trebui să vă sperie

Citește și: Cine (sau ce) avem încredere online

Internetul a fost construit pe presupunerea că oamenii sunt singurii utilizatori adevărați. Este coaptă în fluxurile noastre de autentificare, CAPTCHA-urile noastre, heuristica noastră de securitate și chiar limba noastră. vorbim despre "utilizatori" ca oameni, și "boți" ca amenințări.

Dar această presupunere se rupe.

Astăzi, unii dintre cei mai importanți actori din sistemele software nu sunt deloc umani.Ei sunt agenți: piese de software fără cap, automatizate, credențializate care fac totul de la recuperarea datelor privind salariile la reconcilierea cererilor de asigurare la prelucrarea redevențelor la scară.Ei sunt profund integrați în serviciile pe care ne bazăm în fiecare zi, și totuși, multe platforme le tratează ca pe intruziuni.

„Este timpul să nu mai confundăm automatizarea cu adversarii”, spune Laurent Léveillé, Community Manager la Deck. „Mulți dintre acești roboți nu sunt atacatori.

Moștenirea modelelor de încredere centrată pe om

Echipele de securitate s-au bazat mult timp pe o heuristică binară: oamenii sunt buni; mașinile sunt rele. Acest lucru a condus la o proliferare a CAPTCHA-urilor, a filtrelor bot, a limitatorilor ratei și a snifferilor utilizator-agent care nu fac distincție între automatizarea adversară și agenții productivi.

Aceste modele au funcționat pentru un timp. Dar internetul modern rulează pe API-uri, sarcini programate și declanșatori fără server. Agenții interni și integrările externe se comportă la fel ca roboții, pentru că sunt.

"Ceea ce vedem acum este că aceleași heuristici concepute pentru a-i ține pe actorii răi afară rupe cazurile legitime de utilizare în interior", spune YG Leboeuf, co-fondator al Deck.de la companii aeriene la furnizori de asigurări de sănătate"

O definiție mai bună a „adevăratului”

Cum de a distinge între roboți dăunătoare și cele utile?

Deck propune o schimbare: de la modelele primite de oameni la cadrele primite de intenții. utilizatorii adevărați nu sunt definiți de biologia lor, ci de comportamentul lor.

Un utilizator real este:

• Autentificate: Ele sunt ceea ce pretind a fi.
• Permis: Ei accesează ceea ce ar trebui să aibă.
• Scop: acțiunile lor sunt coerente cu un caz de utilizare cunoscut și permis.

Luați în considerare un agent programat care trage date de cheltuieli de la 150 de conturi de angajați la sfârșitul fiecărei luni. este acreditat, scalabil și audibil.

Între timp, un om real s-ar putea angaja într-o activitate erratică sau rău intenționată care zboară sub radar pur și simplu pentru că folosește un browser.

Aceasta este o paradigmă defectuoasă.Trebuie să o întoarcem.

Costurile ascunse ale gresirii

Clasificarea greșită a agenților ca amenințări nu duce doar la un UX rău.

• Eșecul produsului: fluxurile automate se întrerup în tăcere. Payroll nu rulează. Rapoartele nu sunt depuse. Datele sunt pierdute.
• Clienții: Utilizatorii dau vina pe produs, nu pe regulile de securitate.
• Datorii de inginerie: Dezvoltatorii sunt forțați să creeze excepții ad-hoc.
• Punctele ascunse de securitate: Excepțiile slăbesc sistemele, deschizând căi pentru abuzuri reale.

La Deck, un client a construit un flux de lucru în mai multe etape care se bazează pe un agent intern care sincronizează datele EOB pe timp de noapte. Când furnizorul lor de securitate moștenit a început să limiteze rata agentului, a creat o cascadă de eșecuri în aval.

Proiectarea unei identități hibride

Sistemele moderne trebuie să găzduiască atât oameni, cât și non-umani în modelele lor de încredere.

• Separate credentials: Don’t reuse human tokens for agents. Use scoped service accounts.
• Limitele ratei de intenție: Se așteaptă ca agenții să se miște rapid și să funcționeze 24/7.
• Auditabilitate: Agenții ar trebui să înregistreze acțiunile lor.
• Managementul ciclului de viață: urmăriți proprietatea agentului, rotiți secretele și eliminați procesele depășite.
• Liniile de bază comportamentale: Monitorizați ce arată "normal" pentru fiecare identitate.

Schimbări culturale în securitate

Securitatea nu este doar despre a spune "nu."Este despre a permite sistemelor să funcționeze așa cum au intenționat, în siguranță.

„Echipele care câștigă nu sunt cele cu cele mai rigide apărări”, spune Léveillé. „Ele sunt cele care proiectează infrastructura care înțelege diferența dintre risc și frecare.”

Aceasta înseamnă:

• Trecerea de la capacitate la capacitate
• Înlocuirea regulilor de detectare bluntă cu analiza contextuală
• Construirea nu numai pentru prevenire, ci și pentru reziliență

Nu-ți fie frică de agenți, învață de la ei.

Nu fiecare utilizator este uman, nu este o amenințare, este o realitate și, din ce în ce mai mult, este o oportunitate.

Prin recunoașterea și respectarea automatizării ca parte a bazei de utilizatori, deblocăm o fiabilitate mai bună, scară mai rapidă și sisteme mai puternice.

Este timpul să încetăm să întrebăm: „Este acesta un bot?” și să începem să întrebăm: „Este acest lucru de încredere?”