روب غورزييف، الرئيس التنفيذي والشريك المؤسس لشركة CyCognito – سلسلة المقابلات

روب غورزييف، الرئيس التنفيذي والشريك المؤسس لشركة CyCognito، قاد تطوير حلول الأمن الهجومي للقطاع الخاص ووكالات الاستخبارات.

قبل تأسيس CyCognito، كان مدير الأمن الهجومي ورئيس البحث والتطوير في C4 Security (التي تم الاستحواذ عليها من قبل Elbit Systems (ESLT )) والرئيس التقني لفرع المنتجات في فوج الاستخبارات 8200 الإسرائيلي. وقد حصل على جوائز مثل جائزة التميز وجائزة التفكير الإبداعي وجائزة مصدر الحياة كضابط في القوات الإسرائيلية للدفاع.

CyCognito تم تأسيسها من قبل ветеранов من وكالات الاستخبارات الوطنية الذين يفهمون كيف يستغل المهاجمون النقاط العمياء وانضم إليهم إدارة مخضعة من بعض أكثر الشركات موثوقية في مجال الأمن السيبراني.

ما الذي جذبك في البداية إلى مجال الأمن السيبراني؟

لقد بدأت أهتم بالتكنولوجيا حول سن 13 أو 14. بدأت أ参ك في قنوات IRC مع أشخاص مهتمين بالتكنولوجيا وما كان يسمى “هاكينغ” في ذلك الوقت.

كان الناس في ذلك الوقت يجرّبون أشياء مثيرة للاهتمام مثل التشفير في تطبيقات المراسلة. كما كانوا يجرّبون مشاركة الملفات. كان الأطفال يلعبون مع أصدقائهم بإرسال ملف تنفيذي سيؤدي إلى إجراء ممتع من نوع ما. إذا فكرت في الأمر، هذا كان أساس ما نسميه اليوم “هجمات الهندسة الاجتماعية”.

كل هذا جعلني أفكر: ماذا لو شخص لديه نوايا سيئة حصل على هذه التكنولوجيا لأغراض خبيثة؟

تجاربي المبكرة هي ما بدأ مسيرتي في مجال الأمن. في النهاية، انتهيت بهم في وحدة الاستخبارات 8200 الإسرائيلية لأعمال الاستطلاع، ولاحقاً شاركت في تأسيس CyCognito.

يمكنك مشاركة قصة نشأة CyCognito؟

تم تأسيس CyCognito علىbasis الوعي بأن المهاجمين دائمًا يتقدمون على المدافعين. إنهم ذكيون، لا يكلون، ويدرسون دائمًا مسار أقل مقاومة. وفي حين أن المهاجمين بحاجة إلى نقطة ضعف واحدة فقط للاختراق، يجب على فرق الأمن تأمين كل نقطة دخول ممكنة في سطح الهجوم المتزايد دائمًا.

لجعل الأمور أسوأ، فإن معظم المنظمات لديها نقاط دخول محتملة غير مرئية لفرق الأمن ولكن يمكن للمهاجمين اكتشافها بسهولة.

في يوم من الأيام، جلست مع شريكي المؤسس، ديميتري بوتخين، وشرعنا في تغيير النموذج حيث بدلاً من نشر وكلاء أو توجيه مسح منفذ لفحص نطاقات IP معينة، سنخلق حلًا يعمل مثل مهاجم من الدرجة العالمية، مما يعني أنه سوف يبدأ بالمعرفة باسم الشركة فقط ثم يحدد الأصول الأكثر خطرًا والمسارات المفتوحة الأكثر جاذبية.

كنا نريد محاكاة عملية هجومية هجومية، بدءًا من الخطوة الأولى، حيث يعرف المهاجم فقط اسم الشركة والهدف هو الحصول على بيانات حساسة.

لذلك، في عام 2017، أخذنا خبرتنا من وكالات الاستخبارات الوطنية وبدأنا في جعل ذلك يحدث مع مهمة مساعدة المنظمات على منع الاختراقات، من خلال رسم خرائط استمرارية نقاط العرض العمياء وتحديد مسارات أقل مقاومة إلى الشبكات الداخلية. هذا يتطلب استخدام المعرفة الهجومية المتقدمة للغاية، ولكن أيضًا تكنولوجيا حديثة لا تزال نادرة الاستخدام في صناعتنا، مثل نماذج التعلم الآلي البايزيانية، واللغة الطبيعية، والرسومات البيانية.

اليوم، نساعد الشركات الناشئة والكبيرة من بين أفضل 100 شركة عالمية لتأمين أسطح الهجوم من التهديدات المتزايدة. بعض عملائنا يشمل Colgate-Palmolive (CL ) ، وState of California، وBerlitz، وHitachi، وTesco، على سبيل المثال لا الحصر.

ما هو إدارة سطح الهجوم الخارجي؟

التعريف المدرسي لإدارة سطح الهجوم الخارجي (EASM) يشير إلى العمليات والتكنولوجيا المستخدمة لتحديد وتقييم وإدارة التعرض للأصول الرقمية للشركة التي يمكن الوصول إليها أو رؤيتها من الإنترنت.

أسطح الهجوم الخارجية هي واسعة ومعقدة. يمكن لشركة واحدة أن يكون لديها مئات وألوف الأنظمة والتطبيقات و实例 السحابة والسلřet والاجهزة والبيانات المعرضة للإنترنت – غالبًا ما تتمدد عبر الشركات التابعة والغيوم المتعددة والأصول التي تديرها الأطراف الثالثة.

فرق الأمن لديها القدرة المحدودة على اكتشاف هذه الأصول. إنهم يغمرهم الآلاف من التنبيهات، ولكنهم لا يملكون السياق لفهم أيهما حرج وأيهما يجب تحديده أولاً.

فصلهم القضايا الحيوية أولاً يتطلب الرؤية عبر سطح الهجوم، ولكن أكثر من ذلك، يتطلب فهمًا عميقًا للسياق والغرض من الأصول المتأثرة. بمجرد تحديد ذلك، يمكن لفرق الأمن حساب مسارات الهجوم وتوقع التهديدات المحتملة التي قد تسبب ضررًا ماليًا أو تدميرًا للمكانة.

يمكنك مشاركة وجهات نظرك حول أهمية التفكير مثل المهاجم لاكتشاف المخاطر غير المعروفة؟

وفقًا لتقرير Verizon DBIR، 82% من الهجمات تأتي من الخارج. وعلاوة على ذلك، فإن معظم الاختراقات وفقًا لشركة Gartner تتعلق بالأصول غير المعروفة وغير المدارة.

هذا بالضبط لماذا اعتماد نهج خارجي لتقدير سطح الهجوم هو أمر حاسم لتقييم وإدارة مخاطر الأمن السيبراني. النظر من منظور المهاجم يوفر نظرة موضوعية للجوهر الذي يعيش داخل الأنظمة، وأهم من ذلك، الذي يتم الكشف عنه والتعرض له.

كما ذكرت سابقًا، أسطح الهجوم تتوسع وتعقد. معظم فرق الأمن تفتقر إلى الرؤية الكاملة للأصول المعرضة والمتعرضة للخطر. المهاجمون يعرفون ذلك! وسوف يستمرّون في استكشاف سطح الهجوم، باحثين عن مسار أقل مقاومة وفراغ واحد لا يراقبه فريق الأمن. للأسف، فراغ واحد هو كل ما يحتاجونه للاختراق. في غضون ذلك، يتعين على فرق الأمن مهمة صعبة لتحديد التعرّض الذي يجعل منظمتهم أكثر عرضة للخطر، ثم اتخاذ الإجراءات لحماية تلك النقاط الدخول.

كيف غالبًا ما تكتشف تهديدات ناجمة عن تطبيقات وواجهات برمجة التطبيقات الخارجية التي لا يتم رصدها أو اختبارها؟

أكثر مما نود. لقد أجرينا بحثًا يظهر تطبيقات سحابة عامة ومتحركة وويب معرضة وتعرض بيانات حساسة، بما في ذلك واجهات برمجة التطبيقات غير الآمنة ومعلومات تعريف شخصية (PII). هنا بعض النتائج الرئيسية:

• 74% من الأصول التي تحتوي على PII معرضة للاستغلال على الأقل من خلال ثغرة معروفة، وواحدة من كل 10 أصول لديها على الأقل مشكلة سهلة الاستغلال.
• 70% من التطبيقات الويب لديها فجوات أمنية خطيرة، مثل عدم وجود حماية WAF أو اتصال مشفر مثل HTTPS، في حين أن 25% من جميع التطبيقات الويب (تطبيقات الويب) لم تكن لديها كلاهما.
• الشركة النموذجية العالمية لديها أكثر من 12 ألف تطبيق ويب، والتي تشمل واجهات برمجة التطبيقات وتطبيقات السحابة والخادم والقواعد البيانية، من بين أمور أخرى. على الأقل 30% من هذه التطبيقات الويب – أكثر من 3000 أصل – لديها على الأقل ثغرة استغلال أو مخاطر عالية.
• 98% من التطبيقات الويب قد لا تكون متوافقة مع GDPR بسبب عدم وجود فرصة للمستخدمين لرفض ملفات تعريف الارتباط.

بحثنا إلى جانب ذلك، هناك أدلة كافية على هذه التهديدات هناك اليوم. استغلال MOVEit هو نقطة مرجعية، وهو لا يزال مستمرًا.

يمكنك مناقشة أهمية توحيد العمليات والأدوات لاختبار وإدارة سطح الهجوم؟

“استفحال المكدس” هو شيء يعاني منه معظم المؤسسات. إنه واضح بشكل خاص في الأمن. معظم المنظمات لديها أدوات أمنية منفصلة غير متصلة. لقد كان هناك شعار في الأمن يقول إن منصات أكثر ستزيل الفجوات الأمنية. ولكن بدلاً من ذلك، يفتح الباب أمام الأخطاء البشرية والازدواجية وزيادة العبء التشغيلي والنقاط العمياء.

تم بناء CyCognito للقيام بمهام العديد من حلول النقاط التقليدية. نساعد الشركات على توحيد مكدسها حتى يتمكنوا من التركيز على أداء مهامهم.

ما هي بعض الطرق التي يستخدم بها الجهات الفاسدة نماذج LLMs والذكاء الاصطناعي التوليدي لتوسيع الهجمات؟

لم نرى بعد هجمات واسعة النطاق باستخدام LLMs، ولكنها مسألة وقت. من منظوري، لدى LLMs إمكانية تقديم نطاق وأثر وسرعة أكبر لمختلف مراحل الهجمات السيبرانية.

على سبيل المثال، لدى LLMs إمكانية تسريع الاستطلاع الآلي، حيث يمكن للمهاجمين رسم خرائط واكتشاف أصول المنظمة والعلامات التجارية والخدمات، إلى جانب المعلومات الحساسة مثل بيانات الاعتماد المعرضة. يمكن أن تساعد LLMs أيضًا في اكتشاف الثغرات، وتحديد الضعف داخل الشبكة المستهدفة، وتسهيل الاستغلال من خلال تقنيات مثل الهجمات بالبريد الإلكتروني أو هجمات البرك المائية للاختراق والاستغلال. يمكن أن تساعد LLMs أيضًا في سرقة البيانات من خلال نسخ أو إخراج البيانات الحساسة من الشبكة.

أيضًا، تطبيقات المستهلكين القائمة على LLMs، وخاصة ChatGPT، تشكل تهديدًا لأنها يمكن استخدامها عمدًا أو غير عمد من قبل الموظفين لتسريب الملكية الفكرية للشركة.

كيف يمكن للشركات في المقابل استخدام الذكاء الاصطناعي التوليدي لحماية أنفسهم؟

سؤال رائع. هذا هو الجانب الجيد من كل هذا. إذا كان المهاجمون يستطيعون استخدام الذكاء الاصطناعي التوليدي، فيمكن لفرق الأمن القيام بذلك أيضًا. يمكن للذكاء الاصطناعي التوليدي مساعدة فرق الأمن على إجراء استطلاع على شركاتهم الخاصة وتصحيح الثغرات. يمكنهم مسح ومapping سطح الهجوم الخاص بهم بسرعة وفعالية من حيث التكلفة لاكتشاف الأصول الحساسة المعرضة، مثل معلومات تعريف شخصية (PII) والملفات، وغيرها.

يمكن للذكاء الاصطناعي التوليدي مساعدة فرق الأمن على فهم السياق التجاري لأي أصل. على سبيل المثال، يمكن أن تساعد في التعرف على قاعدة بيانات تحتوي على PII وتلعب دورًا في معاملات الإيرادات.

يمكن للذكاء الاصطناعي التوليدي أيضًا تحديد الغرض التجاري للأصل. على سبيل المثال، يمكن أن تساعد في التمييز بين آلية الدفع وقاعدة بيانات حرجة و جهاز عشوائي – وتصنيف ملف التعريف الخاص به. هذا بدوره يتيح لفرق الأمن تحديد الأولويات بشكل أفضل. بدون القدرة على تحديد الأولويات، يتعين على فرق الأمن العبور عبر ثغرات لا حصر لها تم تصنيفها على أنها “عاجلة” عندما تكون معظمها في الواقع غير حرجة.

لماذا ينبغي للشركات أن تكون حذرين من الاعتماد بشكل كبير على الذكاء الاصطناعي التوليدي لأغراض الدفاع؟

الذكاء الاصطناعي التوليدي له إمكانات كبيرة، ولكن هناك مشاكل متأصلة يجب أن نعمل من خلالها كصناعة.

الصورة الكبيرة بالنسبة لي هي أن نماذج الذكاء الاصطناعي التوليدي يمكن أن تجعل فرق الأمن متكاسلة. جاذبية المزيد من التأتمت هو كبير، ولكن المراجعة اليدوية هي أمر بالغ الأهمية بالنظر إلى حالة نماذج الذكاء الاصطناعي التوليدي اليوم. على سبيل المثال، تنتج نماذج الذكاء الاصطناعي التوليدي مخرجات غير دقيقة.

أيضًا، لا تفهم نماذج الذكاء الاصطناعي التوليدي السياق لأنها مبنية على تحليل النصوص الإحصائية والزمنية – مما يمكن أن يؤدي أيضًا إلى مزيد من “الhallucinations” التي من الصعب ملاحظتها.

أفهم أن فرق الأمن تتطلع إلى القيام بأكثر مع أقل – ولكن الرقابة البشرية يجب أن تكون دائمًا جزءًا من عملية الأمن.

يمكنك مناقشة كيف تقدم CyCognito إدارة سطح الهجوم الخارجي الآلي والاختبار المستمر؟

ليس من المفاجئ أن أقول ذلك مرة أخرى، ولكن كما ذكرت سابقًا، أسطح الهجوم واسعة ومعقدة – وتستمر في النمو.

قمنا ببناء CyCognito لترسم خرائط مستمرة لسطح الهجوم بأكمله بما في ذلك الشركات التابعة والاستحواذ والشراكات والعمليات التجارية – وتنسب كل أصل إلى صاحبه.

هناك بعض القدرات الفنية التي تبرز.

في عملية اكتشاف سطح الهجوم الأسود، يستخدم منصتنا LLM كواحد من العشرات من مصادر “فرضيات التعريف” التي تحللها نماذج التعلم الآلي البايزيانية لتحديد هيكل الأعمال (حتى 1000 وحدة أعمال وشركات فرعية) وتنسب الأصول إلى أصحابها (في حجم ملايين الأصول التكنولوجية) بشكل تام آلي.

المنصة تسرع أيضًا من تصنيف الأصول من خلال معالجة اللغة الطبيعية والخوارزميات الاستدلالية – وهي مهمة غالبًا ما تكون مكلفة ومستهلكة لل资源.

نحن أيضًا نقدم السياق التجاري اللازم لتحديد الأولويات بشكل فعال. حتى لو كانت الثغرة تؤثر على ألف جهاز، يمكن لمنصتنا CyCognito تحديد الأصل الأكثر حرجية من خلال تقديم رؤية في مستوى التعرض وأهمية الأعمال والاستغلال والكلام المخترق.

نقوم بمقاربة شاملة لإدارة سطح الهجوم الخارجي التي تتغلب على فخ معاملة جميع القضايا الحرجة مع نفس مستوى العاجلة. نقوم بتمكين الأمن لتحديد المتجهات الحرجة الحقيقية، مما يوفر لهم الوقت والمال.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا CyCognito.