Mike Wiacek, grundlægger og CTO af Stairwell – Interviewsammenkald

Mike Wiacek er CTO og grundlægger af Stairwell. Han er passioneret omkring sikkerhed og opbygning af et holdkultur, der er rodnet i samarbejde, ærlighed og en dedikation til at hjælpe kunderne med at overliste angribere. Før han grundlagde Stairwell, var Mike medstifter og Chief Security Officer af Alphabets Chronicle og grundlagde også Googles Threat Analysis Group.

Stairwell er et cybersecurity-selskab, der hjælper organisationer med at opdage og reagere på trusler ved hjælp af en data-først-tilgang. Dets platform indsamler og analyserer kontinuerligt filer over tid, hvilket muliggør realtids-overvågning, retrospektiv trusselsjagt og AI-drevne indsigt. Med avanceret statisk ogadfærdsmæssig analyse udstyrer Stairwell sikkerhedshold med at identificere zero-day-trusler og træffe informerede beslutninger hurtigere.

Du grundlagde Stairwell efter at have ledet sikkerhedsindsatsen hos Google (GOOGL ) TAG og Chronicle. Hvad var det, du så, som en lukketthed i sikkerhedslandskabet, der overbeviste dig om, at det var tid at bygge noget nyt?

Efter at have ledet sikkerheden hos Google TAG og bygget Chronicle, så jeg den samme brudte mønster spille sig ud overalt: trusselsintelligenshold arbejdede før angrebet, SOC’er under angrebet og IR-hold efter angrebet, alle forsøgte at besvare det samme grundlæggende spørgsmål med forskellige værktøjer, forskellige data og helt forskellige tanker. Ingen kontinuitet. Ingen fælles sandhed. Det var ikke, at idéen var forkert — det var, at implementeringen var.

Det meste af industrien er bygget op omkring logfiler. Men logfiler er specialtilpassede målinger. De er fortolkninger. Observationer. De er skrøbelige og bygget til at besvare gårsdagens spørgsmål. Hvis logfilen ikke fik fat i det, er du ude af held. Og værre endnu, log-volum-vækst er kostbar og uholdbar.

Virksomheder glemmer om deres vigtigste aktiv — de rå filer. De eksekverbare filer, script, DLL’er, det er der, sandheden bor. Filer lyver ikke. De ændrer sig ikke afhængigt af, hvem der observerer dem. Og hvis du har de rå artefakter, kan du gøre noget, som ingen log-baseret værktøj nogensinde kunne: matche ligheder, opdage varianter, opdage relationer og besvare hvert spørgsmål på tværs af alle tid.

Så jeg byggede Stairwell for at samle alt dette. En platform. En kilde til sandhed. Kontinuerligt analyserer, hvad der faktisk kører i jeres miljø — ikke kun, hvad der bliver logget om det. Når hvert hold arbejder fra samme bevis, bliver de alle bedre. Hurtigere triage. Smartere detection. Dybere undersøgelser. Det er, hvordan vi stopper med at kæmpe mod gårsdagens dataangreb og begynder at komme foran det næste.

Stairwell har til formål at give forsvarerne mulighed for at tænke som angribere. Hvordan giver jeres platform praktisk mulighed for dette, og hvilke typer organisationer nyder mest af denne tilgang?

Angribere venter ikke på alarmsignaler. De opererer ikke i siloer. De bekymrer sig ikke om jeres log-retention-politik, risikoappetit eller budgetmæssige bekymringer.

De lærer jeres værktøjer at kende, undgår jeres kontroller, og kæder filer, infrastruktur og timing sammen for at nå deres mål stille og roligt. Forsvarere har brug for at gøre det samme — tænke i relationer, ikke alarmsignaler. Det er den tankegang, Stairwell giver jer.

Praktisk set begynder dette med indsigt i alt, der kører. Vi indsamler og bevarer rå artefakter — eksekverbare filer, script, loaders, payloads — og analyserer dem kontinuerligt. Ikke kun, når de først ses. For evigt. Det betyder, at I kan jage som en modstander: Find en dumpet fil, skift til dens varianter, identificer loaderen, spore den til infrastruktur-genbrug og afsløre hver fase af kampagnen.

I behøver ikke at reverse-engineere hver enkelt prøve. Stairwell automatiserer det. I behøver ikke at gætte, hvad en fil gør. Stairwells Intelligent Analyse fortæller jer. I behøver ikke at undre jer over, hvad der ligner det. Stairwells Variant-opdagelse viser jer.

Hvem nyder godt af det? Enhver, der er træt af at flyve blindt.

Hvis du er et højt-værdigt mål — kritisk infrastruktur, finans, forsvar — kan du ikke tillade dig at gætte. Hvis du er et slankt hold, gør Stairwell jer til en kraftmultiplikator. Hvis du er overvældet af alarmsignaler, hjælper vi jer med at skære igennem støjen og køre hver alarm til jorden.

Bundlinjen er: Angribere tænker i relationer. Nu kan forsvarere også – med en fugleperspektiv på alt, altid.

Din baggrund omfatter arbejde hos NSA, Google og Chronicle. Hvordan har disse oplevelser formet din forståelse af nationale og vedvarende trusler, især i forhold til beskyttelse af kritisk infrastruktur?

Jeg tænker om sikkerhed som et datasøgningsproblem. Lad os indsamle, gemme og analysere så meget data som muligt og finde svar på spørgsmål inden for den data. Den manglende del af data for de fleste organisationer er deres faktiske filer. Jeres filer er jeres mest værdifulde aktiv. Sikkerhedshold i virksomheder kan ikke besvare det mest grundlæggende spørgsmål — Er der nogen af jeres trusselsintelligens fundet på jeres CEOs laptop? Stairwell fortæller jer det med det samme og herefter kontinuerligt.

Stairwell håndterer over 8 milliarder fil-observationer ved hjælp af Google Cloud Bigtable. Hvad var de største tekniske udfordringer ved at bygge et trusselsanalyse-system, der opererer på denne skala?

En af de ting, vi er mest stolte af, er, at vi har fundet en teknisk løsning til at indsamle, gemme og analysere hver enkelt eksekverbar fil i en virksomhed. Vi analyserer kontinuerligt disse filer mod vores malware-korpus, YARA-regler, trusselsrapporter. Enhver ny fil undersøges — inden for sekunder. Interessant nok er processen så letvægts, at kunder ofte spørger, om filerne bliver indsamlet. Når vi viser dem, at det fungerer, er de ofte overraskede over, hvor lidt CPU det optager.

Du har sagt, at du vil have Stairwell til at gøre for cybersecurity, hvad Google gjorde for søgning. Hvad betyder det i forhold til brugeroplevelse og produktretning?

Vi er effektivt en søgemaskine for jeres eksekverbare filer og relaterede filer. Vi giver sikkerhedshold mulighed for at besvare spørgsmål om deres filer. Spørgsmål som — Er denne fil malware? Er der nogen varianter af denne fil et sted i vores systemer? Hvilke endpunkter har denne malware? Er denne nyligt identificerede sårbarhed på nogen af vores enheder? Er denne fil almindelig? Har den almindelige søskende et sted andre steder? Hvor er den? Og HVORNÅR ankom den?

En af Stairwells kernekompetencer er dens evne til at udføre proaktiv og retrospektiv trusselsjagt — det vil sige, at den kan både opdage aktive trusler og afsløre tidligere angreb, der måske er gået ubemærket hen.

Traditionelle værktøjer som SIEM’er og EDR’er er bygget til nu. De fokuserer på realtids-alarm og punkt-i-tiden-opdaging. Nyttig i øjeblikket, men blinde for alt, der ikke udløste en regel eller gled forbi, mens ingen så på.

Stairwell fungerer anderledes. Vi spørger ikke kun, hvad der skete. Vi spørger, hvad der nogensinde har været i jeres miljø.

Vi bevarer og analyserer kontinuerligt rå filer — hver enkelt eksekverbar fil, hver enkelt script — på tværs af alle tid. Så selv hvis noget blev slettet, omdøbt, genpakket eller inaktivt, kan I stadig finde det. Stadig analysere det. Og stadig køre det til jorden.

Det betyder, at I kan jage proaktivt før alarmen. Og retrospektivt efter dataangrebet — selv måneder senere, med fuld kontekst og fuld historik. Prøv at gøre det med en SIEM, der har udgået sine logfiler eller en EDR, der kun ser, hvad der kører lige nu.

Stairwell giver jer mulighed for at spørge: “Har dette nogensinde været i vores miljø?” Og få et rigtigt svar, ikke kun “ikke for nylig” eller “vi kan ikke sige det”. Det er forskellen.

Med den voksende interesse fra føderale organisationer i AI og trusselsdetektion, hvordan ser du på Stairwells AI-modellers bidrag til forsvaret på nationalt niveau?

Føderale forsvarere har brug for hurtigere svar, klarere intention og værktøjer, der kan følge med angribere, der itererer hurtigere end den regeringsmæssige anskaffelsescyklus.

Stairwells tilgang til AI er ikke kun boltet-på klassificatorer. Det er bygget på en dyb grund af milliarder af realverden-arterfakter, global fil-prævalens, variant-linje og års trusselsadfærd. Vi kombinerer statisk og adfærdsmæssig funktionsekstraktion med struktureret LLM-prompt til at forklare, hvorfor noget er vigtigt — ikke kun flag, at det måske er.

Det betyder, at vi kan give nationale forsvarere, hvad de sjældent får:

• Øjeblikkelig indsigt på reverse-engineer-niveau i mistænkelige filer… alle af dem. Vi tvinger angribere ind i en taber-taber-situation: Enten er de identiske med “godt software”, eller er de unikke og bliver fanget. Der er ingen mellemgrund, og vi udnytter det.
• Kontekst-rige svar om intention, funktion og relationer
• Variant-bevidst opdaging, der ikke bryder, når angribere genpakker eller omdøber deres malware. Faktisk, jo mere angribere pakker, jo mere står de ud!

AI bliver hastigt brugt af leverandører til at automatisere, hvad der altid er blevet gjort. Vi bruger AI til at løse problemer på den måde, de burde være løst fra starten, men vi havde aldrig teknologien til at opnå.

Vi tænker allerede som modstanderen. Vores modeller er trænet til at dissekere, tilskrive og skifte. Det er præcis, hvad føderale agenturer har brug for — ikke kun flere alarmsignaler, men evnen til at forstå og reagere før den næste kampagne rammer.

Sikkerhedshold er ofte overvældet af alarmsignaler og falske positiver. Hvordan hjælper Stairwell med at reducere støjen, mens de stadig fremhæver de mest kritiske trusler?

Stairwell hjælper sikkerhedshold med at operationalisere deres trusselsintelligens. En af de sværeste dele af sikkerhed er at finde ud af, hvilke endpunkter, der er inficeret med malware. Stairwell identificerer disse enheder på sekunder. Stairwells Intelligent Analyse gør fil-triage let. Mens vores Run-to-Ground-kapacitet bruger fil-prævalens inden for jeres virksomhed og på tværs af alle virksomheder til at gøre målrettet malware næsten umuligt at operere.

Angribere er mere og mere begyndt at bruge AI til at skabe mere undvigende og konstant udviklende trusler. Hvordan hjælper Stairwell forsvarerne med at holde trit med denne ændring i offensiv taktik?

I en verden, hvor AI kan bruges til let at skabe “zero-day”-malware, der ingen har set før, bliver sikkerheds tilgange testet. Traditionelle værktøjer som EDR’er, der bruger signaturer og adfærdssignatur-tilgange, er blinde for ny malware. Stairwell analyserer, hvad filen er skrevet til at gøre. Stairwell er godt placeret til at finde aldrig set malware skabt af AI, fordi det bruger fil-analyse og datasøgnings-teknikker til at undersøge.

Hvad er den mest almindelige misforståelse, sikkerhedsledere har om deres trusselsposition — og hvordan hjælper Stairwell med at lukke denne lukketthed?

Verden har accepteret, at EDR’er er perfekte. Virkeligheden er, at de giver en falsk fornemmelse af sikkerhed. Desværre afhænger EDR’er af adfærdssignaturer og skal opdateres hver dag. Deres svaghed er, at de ikke analyserer filerne på hver enkelt enhed, hver dag. Stairwell er den næste generation af sikkerhed, der bruger signal-intelligens, herunder jeres virksomheds filer, til at bringe en datasøgnings-tilgang til sikkerhed til at undersøge malware på sekunder.

Til sidst, hvordan definerer du succes — ikke kun i forretningsmæssige termer, men i forhold til impact på forsvarere og det samlede sikkerhedsfællesskab?

Succes kan være mange ting, men der er intet bedre end at få en opringning fra en kunde, som siger, at Stairwell fandt et stykke malware på en enhed eller USB, som EDR eller andre sikkerheds-værktøjer missede og forhindrede malware i at blive overført til et andet system.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Stairwell.