حوار مع نائب رئيس أمن المعلومات في Mysten Labs: الاعتبارات الأمنية وتصميم وممارسة Sui Blockchain

في الآونة الأخيرة ، أجرينا محادثة وجهًا لوجه مع كريستيان طومسون ، نائب الرئيس التنفيذي لأمن المعلومات في Mysten Labs ، لمعرفة رؤيته حول الترابط بين ممارسات الأمان ، بالإضافة إلى الملاحظات والتعليقات حول الممارسات الأمنية لمطوري Sui.

فيما يلي محتوى هذه المقابلة:

س 1. ما هي مسؤولية CISO بالنسبة لشركات التكنولوجيا؟

مسؤوليات كبار مسؤولي أمن المعلومات (CISOs) واسعة وتلعب دورًا حيويًا في تأمين بيئتنا الرقمية. تتمثل إحدى المهام الرئيسية في جمع معلومات استخباراتية عن التهديدات ، والتي تتضمن اكتساب نظرة ثاقبة في أذهان المهاجمين المحتملين: من هم ، ولماذا قد يستهدفوننا ، ومتى قد يهاجمون ، وما الذي يدفعهم ، ومدى مهارتهم في أساليب الهجوم. .

من خلال الحصول على رؤية واضحة للخصوم المحتملين وفهم قدراتهم ، يمكننا اتخاذ إجراءات استباقية لحماية أنظمتنا. يمكنك مقارنتها بأحجية الصور المقطوعة - إذا عرفنا من هم لاعبي بانوراما وكيف يعملون ، يمكننا تجميع القطع معًا بشكل أكثر كفاءة. على سبيل المثال ، يمكننا دمج تكتيكاتهم المعروفة مع مناطق في نظامنا من المحتمل أن تكون أكثر عرضة للخطر. إنه مثل وجود نظام دفاعي في مكانه لإطلاق ناقوس الخطر في اللحظة التي يحاول فيها شخص ما اختراق حدودنا الرقمية.

تمامًا مثل نظام الإنذار الذي ينبهنا عندما يحاول شخص ما اقتحام منزلنا ، يمكن أن ينبهنا هذا الإعداد الدفاعي في الوقت الفعلي لأي نشاط مشبوه. هذا يعني أنه يمكننا الاستجابة بسرعة للتهديدات المحتملة واتخاذ الخطوات المناسبة للتخفيف من المخاطر.

تغطي هذه التركيز مجموعة واسعة من المجالات ، بما في ذلك الأمن السيبراني ، وإدارة البيانات ، والمخاطر عبر المجالات ، والهندسة المعمارية ، والامتثال ، والحوكمة ، والمرونة ، وإعداد التقارير.

يمتد جزء من دور CISO أيضًا إلى حماية أعضاء الفريق الداخليين. نحن نبذل الكثير من الجهد لفهم مدى خطورة أعضاء فريقنا. يمكن أن تتغير مستويات المخاطر هذه بشكل كبير ، خاصة عندما يسافر أعضاء الفريق إلى مناطق عنيفة أو غير آمنة.

السؤال الثاني. عند التفكير في L1 blockchain مثل Sui ، كيف ستختلف مشكلات الأمان؟

من أجل إنشاء إستراتيجية دفاع متماسكة مثل Sui blockchain ، يجب دمج وظائف وخدمات متعددة. يجب أن تركز هذه الإستراتيجية على المناطق التي تعتبر ضعيفة ، لكنها لا تتوقف عند هذا الحد - يتحمل مجتمع Sui مسؤولية حماية مصالح النظام البيئي بأكمله ، بما في ذلك الشبكة والمطورين الذين يبنون التطبيقات على النظام الأساسي Sui. يعد تحقيق التميز في مجال الأمن مهمة مكلفة وصعبة ، خاصة بالنسبة للشركات الناشئة.

لمعالجة هذا الأمر ، تقوم مؤسسة Sui بتطوير منتج من شأنه توسيع نطاق التدابير الأمنية لتشمل النظام البيئي الأكبر. في الواقع ، ستزود مؤسسة Sui الشركات الصغيرة بأدوات وخدمات أمنية متاحة فقط للمؤسسات الأكبر حجمًا. وهذا يسمح لهم بالبناء في بيئة أكثر أمانًا ، مما يزيد من ثقة المستخدمين النهائيين والمنظمين. هدفنا هو التأكد من أنه عندما يبني الناس على Sui ، فهم ليسوا منتجين فحسب ، بل آمنين أيضًا.

السؤال 3. ما هي الأدوات والخدمات المستخدمة في عملية الحفاظ على أمان blockchain؟

يوضح الرسم البياني أدناه أنواع الخدمات والأدوات التي سأعتبرها فريق أمن ماهر لاستخدامها اليوم. تمثل هذه العناصر مجموعة متنوعة من الخدمات اللازمة لبناء إطار أمني قوي. هناك حاجة للاعتراف بأن الفعالية الحقيقية لا تكمن في الوجود الفردي لكل خدمة ، ولكن في التفاعل المعقد بينهما. وهذا يشمل فهم علاقاتهم المتبادلة ، والتسلسل الذي يتم تنفيذه فيه ، وأوجه التآزر التي يخلقونها.

! [Dialogue with Mysten Labs نائب رئيس أمن المعلومات: Sui Blockchain Security، Design and Practice] (https://img-cdn.gateio.im/resized-social/moments-69a80767fe-b2a3c9a779-dd1a6f-1c6801)

بالنسبة لهذه الخدمات الموصوفة (العناصر المدرجة في الرسم التخطيطي) ، تستخدم شبكة Sui أدوات محددة أو تعتمد على موفري الخدمة لنشرها. تخطط مؤسسة Sui لحزم هذه المكونات وإتاحتها لأي شركة تسعى إلى اعتمادها لمنفعتها الكاملة. وبالتالي ، فإن المناطق المجزأة في الرسم البياني تمثل مستودعات جيدة التنظيم ليتم استكشافها ، ومتاحة للكيانات التي تسعى إلى تعزيز الأمن.

السؤال الرابع. هناك العديد من العناصر في هذا المخطط. هل هم متساوون ومرتبطون ارتباطًا وثيقًا؟ أم أن هناك آلية للأولوية؟

نعم ، هناك أولويات ، والفلسفة الكامنة وراء هذا المخطط مدروسة جيدًا. مثل البدء من نقطة الصفر ومعرفة ما يحتاج إلى اهتمام فوري ، يمكنك التفكير فيه على أنه بناء كتلة أمان أساسية ، أو يمكنك اعتباره مجموعة أدوات أمان أساسية. قد تتضمن هذه الأداة ما نسميه "الدفاع عن العلامة التجارية" ، مما يعني توخي الحذر من أي ضرر قد يؤثر على سمعة شركتك. يتضمن جمع المعلومات لمراقبة وتخفيف أي علامة تجارية سلبية. بالإضافة إلى ذلك ، تعتبر "النزاهة" أيضًا أمرًا أساسيًا ، مما يعني أن مجموعة الأدوات لديها القدرة على اكتشاف الضرر المحتمل لصورة العلامة التجارية والتعامل معه.

الآن ، مجموعات الأدوات ليست ذات حجم واحد يناسب الجميع. قد تحتاج المنظمات المختلفة إلى مجموعات أدوات مختلفة مصممة لتناسب أغراضها الفريدة. على سبيل المثال ، قد تعطي شركة وثيقة الصلة بالترميز الأولوية لتطوير "قدرات اكتشاف الثغرات الأمنية". يتضمن ذلك فحص الأنظمة عن كثب بحثًا عن نقاط الضعف المحتملة وإجراء مهام مثل "التشويش" للتأكيد على اختبار التعليمات البرمجية الخاصة بهم. من ناحية أخرى ، فكر في شركة تمويل لامركزية مقابل شركة ألعاب. قد تنجذب شركة التمويل اللامركزية نحو مجموعة أدوات تركز على المخاطر التنظيمية والحوكمة والامتثال. على العكس من ذلك ، قد تركز شركة الألعاب بشكل أكبر على العمليات والذكاء وطبقات معينة من هندسة الأمان.

يلخص هذا الرسم البياني بشكل أساسي فكرة تكييف السياسات الأمنية مع الثقافات والأولويات المختلفة لأنواع مختلفة من الشركات.

غالبًا ما تفكر الشركات ، "ها هي كل مخاطري ، كيف يمكنني التخفيف منها؟" هل هذه هي الفكرة التي يجب البدء في التفكير فيها؟ أم ستكون هناك وجهات نظر أخرى؟

فى حد ذاته.

السؤال 5. يبدو أن مجموعات الأدوات هي طريقة أساسية للحفاظ على سلامة نظام blockchain بأكمله. بالنظر إلى أن الهدف من السلسلة العامة هو أنها لا مركزية وغير مرخصة. من الناحية الفنية ، كيف تحافظ على أمان الشبكة عندما يتمكن أي شخص من الوصول إليها والمشاركة فيها؟

نعم ، يلعب مفهوم مجموعات الأدوات دورًا رئيسيًا في الحفاظ على أمن النظام البيئي بأكمله. إن جمال blockchain العامة هو طبيعته اللامركزية وغير المرخصة ، والتي تسمح للكثير من الناس بفحص جوانبها. لذا فإن القدرة على بناء الأدوات اللازمة وتسهيل التعليم أمر بالغ الأهمية.

تخيل هذا: يحتاج الأشخاص داخل النظام البيئي إلى فهم ليس فقط ما يحدث ، ولكن أيضًا الأدوات المتاحة وكيفية استخدامها بفعالية. تجدر الإشارة إلى أن العديد من العوامل التي تؤثر على النظام البيئي تتجاوز blockchain نفسها. يمكن أن يكون لمناقشات وسائل التواصل الاجتماعي والخوف وعدم اليقين والشك (FUD) والاحتيال المحتمل تأثير على النظام البيئي. وهذا يستدعي التأكيد على أهمية الوعي الشامل.

العامل الرئيسي الثالث هو تبادل المعلومات داخل المجتمع. عندما يتمكن الأفراد من التواصل والتعاون ، فإنهم يعززون قاعدة المعرفة الجماعية. لذلك ، فهو نهج ثلاثي الأبعاد: التعليم من أجل المعرفة ، والمعلومات من أجل رؤى الصناعة ، وأدوات العمل. يوفر هذا المزيج للمجتمعات القدرة ليس فقط على فهم السلوكيات من جميع الأنواع ، ولكن أيضًا التأثير بشكل إيجابي على السلوكيات.

س 6. كيف يتم الاتصال الحالي بين النظام البيئي Sui؟

يتواصل النظام البيئي Sui بطرق متنوعة. قدمت قمة Validator Summit الأخيرة منصة لا تقدر بثمن للأفراد للتواصل مع بعضهم البعض وتبادل الأفكار. يوفر حدث Builder Houses أيضًا مثل هذه الفرصة للجميع. بالإضافة إلى ذلك ، علمت أن مؤسسة Sui تخطط لنشر سلسلة من المقالات تركز على Sui security في المستقبل القريب.

تمتد قنوات الاتصال اليومية عبر منصات مثل Discord و Telegram ، مما يسهل التفاعلات بين المدققين ومشغلي العقدة والأطراف المهتمة الأخرى. لم تعمل هذه المنتديات على زيادة الوعي حول التعاون فحسب ، بل توسعت أيضًا بمرور الوقت ، مما أدى إلى إنشاء منصة دائمة التطور لمناقشة المعرفة ومشاركتها.

Q7 ، تم تصميم Sui Move ليكون بطبيعته أكثر أمانًا من لغات برمجة blockchain الأخرى. كيف يؤثر ذلك على الطريقة التي تتعامل بها Sui مع الأمن؟

ليس هناك شك في أن Move أكثر أمانًا من بعض لغات البرمجة الأخرى. أود أن أضيف أن العديد من الفريق الأصلي المشاركين في تطوير Sui ركزوا على الأمن. لذلك لا يتعلق الأمر باللغة فحسب ، بل يتعلق بكيفية بناء المكونات المختلفة لـ Sui ، مما يجعلها أكثر مرونة ويصعب استغلالها. بالطبع ، هذا لا يعني أنه لا يوجد أشخاص أذكياء بنفس القدر في الأمن. إذا ما تم منحهم حوافز كافية ، فسوف يعملون بجد لإيجاد ثغرات. لذلك ، يحتاج الخبراء إلى فهم من ومتى وأين ولماذا وكيف حدث هذا. هذا ما نركز عليه.

السؤال الثامن. كيف يؤثر حدث الثغرة الأمنية في أماكن أخرى في Web3 على عمل Sui المستمر؟

لسوء الحظ ، عندما يكون هناك خرق في مساحة Web3 ، فإنه دائمًا ما يجذب الكثير من الاهتمام. ومع ذلك ، فهذه أيضًا تجارب تعليمية قيمة. إنها تحث الممارسين الأمنيين على الخوض في آليات نقاط الضعف - كيف ، ماذا ، متى ، من ، ولماذا. توفر هذه الرؤى نظرة ثاقبة إضافية في المجال الأوسع.

كرس فريق مؤسسة Sui موارد أمنية كبيرة لفهم هويات وقدرات هذه الجهات الفاعلة في التهديد ، مع التركيز على فك رموز أهدافهم ودوافعهم المفضلة.

تجلب لنا نقاط الضعف هذه اكتشافين مختلفين. أولاً ، هناك تعاطف مع المتضررين لأن هذه الأحداث تؤثر على أناس حقيقيين. ثانيًا ، هذه فرصة لتعزيز استراتيجية سوي. سمحت هذه الدروس لسوي بصقل وتعزيز موقفها ضد المخاطر المماثلة.

س 9. ما رأيك في الأمن في Web3 المستقبل؟

نحن نقف على عتبة حقبة جديدة تميزت بظهور Web3 والتقنيات غير العادية التي توفرها - الذكاء الاصطناعي والتعلم الآلي والواقع المعزز والواقع الافتراضي والمزيد. ما يثيرني هو الإمكانات الهائلة الكامنة في داخلي. نحن على وشك تجربة واجهات غامرة للغاية والوصول إلى المعلومات بشكل أسرع وبطرق لم تكن ممكنة من قبل.

يمتد هذا التحول إلى الأمان أيضًا. تخيل أن يكون لديك شريك في الذكاء الاصطناعي يمكنه تحديد التهديدات المحتملة لنا ، ربما حتى سيناريو الذكاء الاصطناعي مقابل الذكاء الاصطناعي. لا شك أن هذا هو ما نعمل على تحقيقه ، وأتوقع أن تكون Sui في طليعة هذه التقنيات المتقدمة.