Sinds de lente van dit jaar werken Isaac Patka van AI-beveiligingsbedrijf Shield3 en Paradigm-onderzoekspartner Sam, beter bekend als Samczsun, samen met blockchain-projecten om de veiligheid te verbeteren in de nasleep van cyberdreigingen die de industrie blijven teisteren.
Het duo lanceerde begin augustus SEAL 911, een Telegram-bot die is ontworpen om gebruikers in contact te brengen met doorgelichte beveiligingsexperts met als doel de openbaarmaking van cyberbeveiliging te verbeteren en snel DeFi-hacks te voorkomen die mogelijk honderden miljoenen dollars waard zijn.
Dat initiatief werd opgericht in de hoop meerdere branchegerelateerde hacks tegen te gaan die dit jaar hebben plaatsgevonden, waaronder de exploit van Curve Finance ter waarde van $70 miljoen in juli.
Nu hoopt het paar de lat hoger te leggen door een nieuw noodoefeninginitiatief op te zetten, ontworpen om opkomende blockchain-protocollen te helpen in hun strijd tegen kwaadaardige hackers en potentiële aanvalsvectoren.
Blockworks nam contact op met Patka om een beter beeld te krijgen van hun onderneming en de lessen die ze de afgelopen maanden hebben geleerd.
Blokkades: Kunt u ons door het begin van dit noodoefeninginitiatief leiden? Wat was de drijvende kracht daarachter?
Patka: Ik ontmoette Sam voor het eerst via onze wederzijdse vriendin Jeanne. Ik ontmoette Jeanne op DWeb-kamp 2022 toen ik enkele van mijn eerdere open source- en standaardprojecten presenteerde. Ik hoorde dat Sam hulp zocht bij het bouwen van een trainingsinfrastructuur waarmee protocolteams konden oefenen in een oorlogskamer voorafgaand aan een echte noodsituatie.
Het idee vond weerklank bij mij omdat ik op dat moment bezig was met onderzoek en hulpmiddelen met betrekking tot het identificeren en vermijden van sociale aanvallen en falende afhankelijkheid in gedecentraliseerde gemeenschappen.
Ik bood aan om te helpen een proof of concept van de grond te krijgen en na een snelle brainstormsessie in het voorjaar ging ik aan de slag met het schetsen van het boorraamwerk voor Compound Labs, het eerste team dat aanbood deel te nemen aan een oefening.
Blokkades: U noemde de rol van “alomvattende verkenning” in uw oefeningen. Hoe vormt deze eerste stap de basis voor de rest van de oefening?
Patka: In de verkenningsfase maak ik kennis met alle functies, slimme contracten, documenten en openbaar beschikbare informatie over het doelprotocol. Ik probeer erachter te komen wat het “controleoppervlak” is voor bevoorrechte gebruikers [of] beheerders, hoe het protocol interageert met [of] afhankelijk is van andere protocollen, hoe ze de gezondheid van het systeem monitoren, welke risicoprocessen er bestaan, hoe ze zaken als protocolupgrades of nieuwe functies introduceren, en of er inconsistenties in het systeem zitten als het over verschillende netwerken wordt ingezet.
Deze verkenning wordt de basis voor de tabletop-scenario's waarin we mogelijke problemen bespreken.
Blokkades: Het gebruik van tabletop-simulaties lijkt een interessante aanpak. Kunt u uitleggen wat er in deze simulaties zit en hoe ze de volgende stappen beïnvloeden?
Patka: Na de verkenningsfase stel ik een script samen met een paar scenario's en bespreek deze met het hele team tijdens een gesprek. Deze scenario's helpen ons hun incidentresponsprocedures, hun monitoring en hun sociale/communicatiestijl te begrijpen. De vragen die we ons op dit moment stellen zijn:
- “X” is gebeurd. Hoe werd het team gewaarschuwd? Was er monitoring die dit opmerkte, of heeft iemand uit de gemeenschap contact opgenomen met het team?
- Wie zijn de stakeholders en materiedeskundigen die hier mee om weten te gaan
- Als dit incident andere protocollen beïnvloedt, wie heeft dan de contactgegevens van dat team?
- Als hiervoor een reactie van een multi-sig vereist is, wie zijn dan de ondertekenaars en hoe neemt u contact met hen op? Hoe snel denk je dat ze zullen reageren?
Dit alles helpt ons potentiële ‘hotspots’ te vinden of dingen die we in een live scenario willen stresstesten.
Blokkades: Welke criteria gebruikt u om de protocolteams te selecteren waarmee u gaat oefenen? Heeft u voorwaarden?
Patka: In deze fase proberen we te werken met teams waarvan we denken dat we ze kunnen helpen door wat training te geven, maar ook van hen kunnen leren over hoe de beste protocolteams in de ruimte opereren, en die praktijken kunnen delen met de bredere gemeenschap.
Dus hoewel we geen specifieke vereisten hebben, is een team dat nu goed bij elkaar past een team dat bijdraagt aan een protocol dat vrij wijdverspreid wordt toegepast en dat al een paar incidenten heeft meegemaakt, zodat we verschillende teamstijlen kunnen leren kennen.
Omdat onze infrastructuur echter robuuster en gemakkelijker op te zetten wordt, zou ik het leuk vinden om eerder in hun protocol met een aantal teams samen te werken om wat training te geven aan mensen die nog nooit eerder in een oorlogsruimte zijn geweest.
Blokkades: Je eerste test was met het Compound-protocol. Kun jij je verdiepen in enkele van de unieke uitdagingen of lessen die je uit die eerste test hebt geleerd?
Patka: De grootste planningsuitdaging was het identificeren van een scenario dat niet te catastrofaal was om frustrerend te zijn, maar interessant genoeg om boeiend te zijn en enige diagnose en coördinatie met zich mee zou brengen.
We hebben verschillende zaken overwogen, zoals fouten in het externe protocol, governance-aanvallen en problemen met contractupgrades. Uiteindelijk hebben we een bug gesimuleerd waardoor het protocol langzaam geld begon te verliezen, zodat we konden zien hoe hun monitoring het proces zou oppikken en hoe ze zouden reageren.
Een van de grootste lessen hier betrof de sociale, coördinatielaag. Ik was onder de indruk van de nauwe samenwerking tussen de protocolontwikkelaars en de auditors en protocolbewakers bij het diagnosticeren van het probleem.
Op technisch niveau omvatte de eerste oefening ook veel nachtelijk debuggen van de infrastructuur, het verkrijgen van de netwerkvork en blokverkenner, en het monitoren van de stabiliteit van de infrastructuur.
Blokkades: U had het over het vermijden van zero-day-kwetsbaarheden in uw oefeningen. Kunt u de redenering achter dit besluit uitleggen en welke gevolgen dit heeft voor de integriteit van de oefening?
Patka: De reden dat we 'zero-day'-kwetsbaarheden of andere zeer wijdverbreide catastrofes vermijden, is zodat we het protocolteam kunnen betrekken bij iets waarop ze redelijkerwijs kunnen reageren, en iets dat binnen het ecosysteem van hun protocol ligt. We hebben bijvoorbeeld geen oefeningen gedaan rond zaken als compilerbugs of fouten in de consensuslaag.
Ik denk echter dat deze wijdverbreide problemen interessant zouden zijn om te simuleren in protocoloverschrijdende oefeningen waarbij we meerdere teams en misschien gebruikers van de protocollen allemaal kunnen laten communiceren met een forknet waar iets mis is gegaan om het realistisch te maken en sociale veerkracht op te bouwen.
Blokkades: U noemde Yearn's 'noodprocedurekaarten' tijdens uw test met hen. Hoe vaak komt deze praktijk voor bij andere protocollen, en zou u dit als standaard aanbevelen?
Patka: Ik heb nog geen andere protocollen gezien die noodprocedurekaarten zoals Yearn implementeren, maar ik zou het ten zeerste aanbevelen. In veel protocollen, maar vooral bij Yearn, zijn er veel externe integraties die specifieke context- en onderwerpexpertise vereisen.
Wanneer er een incident plaatsvindt, wilt u geen tijd besteden aan het opnieuw lezen van uw eigen documenten en contracten in plaats van actie te ondernemen. Dankzij noodprocedures voor specifieke scenario's kunnen teams sneller en met meer vertrouwen beslissingen nemen. Het schrijven van deze noodprocedures is een verplichte stap in het risk [and] diligence-proces van het inzetten van Yearn-strategieën.
Ik zou aanraden om noodprocedures toe te voegen aan de risico-/diligenceprocessen voor andere protocollen, bijvoorbeeld bij het beslissen om al dan niet te integreren met verschillende activa als onderpandbronnen of om ze aan markten toe te voegen.
Blokkades: Wat zijn enkele belangrijke prestatie-indicatoren waar u tijdens en na een oefening naar kijkt om de effectiviteit ervan te meten?
Patka: Ik zoek naar enkele indicatoren van onze prestaties als organisatoren van de oefening en hoe goed het team het deed. Van onze kant kijk ik naar de stabiliteit van onze infrastructuur en hoe goed het team zich aanpast aan de gesimuleerde omgeving.
Aan de projectkant houd ik een tijdlijn bij van het moment waarop emittenten worden ontdekt, hoe lang het duurt voordat er een diagnose is en hoe lang het duurt voordat er enige consensus bestaat over de te ondernemen actie.
We sturen ook een postmortemonderzoek naar teams om erachter te komen wat ze hebben geleerd, wat ze van plan zijn te verbeteren in hun processen en hoe we onze simulaties kunnen verbeteren.
Blokkades: Kunt u enkele overkoepelende trends of veelvoorkomende hiaten delen die u als gevolg van deze oefeningen in de protocolbeveiliging hebt opgemerkt?
Patka: Ik weet niet zeker of het een leemte is, maar er lijkt minder sprake te zijn van een formeel “op afroep”-systeem voor verschillende protocollen dan ik had verwacht. Er is een 'altijd online'-aspect van de cryptocultuur waarbij mensen er gewoon van uitgaan dat de juiste ontwikkelaar of multi-sig-ondertekenaar beschikbaar zal zijn wanneer dat nodig is.
Dit lijkt over het algemeen te werken, maar ik ben benieuwd of een verdere formalisering van rollen en schema's zou helpen. Ik heb ook gemerkt dat monitoring en beheer variëren voor protocollen over verschillende [laag-1's/laag-2's] waar code is geïmplementeerd. Ik denk dat er in de hele sector ruimte is voor verbetering als het gaat om de manier waarop protocollen die zich over meerdere netwerken uitstrekken, hun contracten beheren.
Blokkades: Zijn er plannen om in de toekomst deze oefeningen uit te breiden met meer protocollen of zelfs verschillende soorten tests?
Patka: We zijn zeker van plan om de oefeningen uit te breiden met verschillende soorten protocollen, of misschien meerdere protocollen tegelijk. We willen ook het punt bereiken waarop deze eenvoudig genoeg uit te voeren zijn, zodat teams regelmatig trainingen kunnen houden voor bijdragers uit de gemeenschap om hun ervaring op het gebied van incidentrespons op te bouwen. Ik zou ook graag in contact willen komen met nieuwe beveiligingsingenieurs die misschien iets willen leren over beveiliging door scenario's te ontwerpen en simulaties te configureren.
Dit interview is kort en duidelijk bewerkt.
Mis het volgende grote verhaal niet – word lid van onze gratis dagelijkse nieuwsbrief.
Volg het proces van Sam Bankman-Fried met het laatste nieuws uit de rechtszaal.
Bron: https://blockworks.co/news/blockchain-security-experts-team