Вартан Падарян
Доверенные фреймворки в MLSecOps
Заведующий лабораторией ИСП РАН, к. ф.-м. н.
КОГДА СХОДЯТСЯ ЗВЕЗДЫ
Безопасность программного обеспечения — глобальный вызов, без решения которого в настоящее время не может функционировать и развиваться ни одно общество. Взрывное развитие ИИ-технологий только усложнило ситуацию. Скорость развития ИИ, с которой мы столкнулись, заставляет постоянно актуализировать угрозы как традиционного ПО, так и реализующего технологии ИИ, пересматривать подходы к обеспечению доверия и в частности — безопасности.
Понятие доверия как к ПО, так и к в более широком смысле — доверие к системам, состоит из: безопасности, функциональной надежности и качества, импортозамещения (локализации). Доверенное ПО жизненно необходимо как нашей стране, находящейся под беспрецедентным санкционным давлением, так и любой другой, ставящей своей целью суверенное развитие.
Может показаться, что сформулированное понятие доверия противоречит естественному ходу развития ИТ-технологий. С каждым годом ПО ставится архитектурно сложней. Усложняется его сборка, возрастает объем стороннего ПО, необходимого для разработки и последую- щего функционирования, в первую очередь — стороннего ПО с открытым исходным кодом.
“
Когда программная система собирается из десятков и сотен миллионов строк кода, атаки через цепочку поставки становятся критичной угрозой
Любой разработчик, действуя в отдельности, уже не способен обеспечить безопасность того ПО, которое он разрабатывает. Наглядный пример тому — компания Google, которая несколько лет назад заявила о невозможности в одиночку обеспечивать безопасность ядра операционной системы Linux.
Но безопасность не может быть единственной целью. Она теряет смысл, если ПО при этом теряет функциональность и общую конкурентоспособность. Необходимо помогать разработчику в гармонизации безопасности и функциональности разрабатываемого ПО, сохранении эффективности бизнес-процессов. Для построения экосистемы доверенной разработки необходимо дать отечественному разработчику передовые технологии анализа разрабатываемого ПО, методическую поддержку и возможности равноправной кооперации с другими участниками рынка.
Но безопасность не может быть единственной целью. Она теряет смысл, если ПО при этом теряет функциональность и общую конкурентоспособность. Необходимо помогать разработчику в гармонизации безопасности и функциональности разрабатываемого ПО, сохранении эффективности бизнес-процессов. Для построения экосистемы доверенной разработки необходимо дать отечествен- ному разработчику передовые технологии анализа разра- батываемого ПО, методическую поддержку и возможности равноправной кооперации с другими участниками рынка.
Наличие данных технологий позволяет создавать методики анализа программного кода и обеспечивает необходимый уровень доверия программных средств.
Институт системного программирования им. В. П. Иванникова Российской академии наук (ИСП РАН) ведет исследования в области разработки безопасного программного обеспечения более 20 лет. На их основе создан полный стек технологий безопасной разработки программного обеспечения от безопасной компиляции до технологий анализа бинарного кода. Наличие данных технологий позволяет создавать методики анализа программного кода и обеспечивает необходимый уровень доверия программных средств. Инструментальные средства анализа программного кода, разработанные ИСП РАН, внедрены как в ведущих мировых компаниях, так и более чем в 100 отечественных предприятиях.
Значительная доля исследований посвящена также искусственному интеллекту. Например, созданный на базе ИСП РАН исследовательский центр доверенного искусственного интеллекта (ИЦ ДИИ) получил государственную поддержку в 2021 году по результатам конкурсных отборов в рамках федерального проекта «Искусственный интеллект», а в 2025 году вошел в число победителей третьей волны конкурса.
С 2019 года ИСП РАН стал центром компетенций по вопросам безопасной разработки и анализа кода сертифицируемого ПО ФСТЭК России. Испытательные лаборатории и органы по сертификации получили доступ к технологиям ИСП РАН, а их сотрудники начали проходить дополнительное проф. образование.
“
Тенденция по совместной работе регуляторов, вендоров и научно-технических институтов — яркая и вынужденная отличительная черта современности
ФСТЭК России запустил ряд проектов, направленных одновременно на повышение безопасности программ и на снижение издержек у компаний-разработчиков. В 2021 году был запущен проект по анализу безопасности ядра операционной системы Linux. В последствии направление работ было расширено, исследования безопасности стали проводиться в отношении следующего слоя системных программ, влияние которых на безопасность разрабатываемых программных продуктов критично.
Результаты данных работ привели к созданию Центра исследований безопасности системного ПО, где в рамках консорциума российские компании-разработчики совместно трудятся над анализом и исправлением уязвимостей общей части кодовой базы своих продуктов — в компонентах с открытым исходным кодом (NodeJS, Python, Podman, Qemu, Nginx и др.). Доступ к репозиторию с кодом может получить любая российская компания, методики и результаты анализа доступны членам консорциума, открытой организации, которая постоянно пополняется.
Наличие данных технологий позволяет создавать методики анализа программного кода и обеспечивает необходимый уровень доверия программных средств.
Грамотная организация системы проверки открытых программных компонентов помогает создать устойчивую и при этом суверенную экосистему разработки безопасного ПО. Такая структура обеспечивает развитие отрасли таким образом, что перекрыть извне доступ к технологии и превратить оборудование в «кирпичи» становится невозможно. Другой инициативой ФСТЭК стала унифицированная среда разработки безопасного отечественного ПО, исполнителем которого также стал ИСП РАН. Задачи проекта — определить инструментарий, обеспечивающий должное качество проверки кода, интегрировать его, сформировать общие требования и стандарты. Среда предлагает пополняемый набор инструментов, в числе которых традиционные инструменты статического и динамического анализа кода и специализированные инструменты выявления утечек информации из памяти и т. д.
Развитие ИИ-технологий требует особого внимания к вопросам надежности и доверия используемых компонентов. Уже в ближайшие годы станет критически важным гарантировать доверие существующих решений с использованием технологий ИИ. Это создаст мощный стимул для развития рынка и производителей соответствующих продуктов.
Приведенный опыт полезен не только для России, но и для других стран, стремящихся создавать собственные независимые и доверенные технологические решения. Это одно из серьезных экспортных преимуществ России на международном рынке информационной безопасности. Системный подход нужен при создании суверенной ИТ-инфраструктуры любого независимого государства, которое ведет независимую политику.
Прогноз на 1 год
В России будет развиваться коллективная работа над безопасностью общеупотребимых программных компонент с открытым исходным кодом. Наподобие сообщества, занимающегося анализом безопасности системного программного обеспечения, будут возникать и оформляться отраслевые сообщества, в которых займутся анализом прикладного ПО, используемого в кредитно-финансовом секторе, электроэнергетике, транспорте. Отечественные разработчики технологий и инструментов РБПО начнут понемногу выводить на рынок решения, в которых будет задействован ИИ.
В течение ближайшего года мы можем ожидать появления методик проверки ПО, реализующего технологии ИИ. Их применение повысит доверие к объектам критической инфраструктуры, использующих технологии ИИ. Эти методики будут учитывать специальные требования по информационной безопасности и особенностям конкретных отраслей экономики, сформулированные ФОИВ.
Прогноз на 3 год
Национальная система стандартов в области РБПО покроет базовые потребности разработчиков, будут определены технологические требования ко всему стеку инструментов жизненного цикла ПО, включая ИИ. Появится возможность экспортировать модель отечественной РБПО-экосистемы. Возникнут отечественные облачные платформы доверенной разработки, пользователями которых будут не только российские компании, но и представители ближнего зарубежья.
Ожидается появление государственных механизмов учета, тестирования и сертификации продуктов с элементами ИИ, учитывающих проверенные доверенные фреймворки, модели и базы данных. Государство проявляет осторожность к использованию новых технологий, поэтому далеко не каждое решение коммерческого сектора сможет применяться без дополнительного контроля над вопросами информационной безопасности и доверия.
