Rob Gurzeev, CEO og Co-Founder af CyCognito – Interview Serie

Rob Gurzeev, CEO og Co-Founder af CyCognito, har ledet udviklingen af offensive sikkerheds løsninger både for den private sektor og efterretningstjenester.

Før han co-founderede CyCognito, var han direktør for Offensive Security og chef for R&D hos C4 Security (opkøbt af Elbit Systems (ESLT )) og CTO af Produktafdelingen i den israelske efterretningstjeneste, 8200. Han modtog flere priser som officer i Israels forsvar, herunder Award for Excellence, Creative Thinking Award og Source of Life Award.

CyCognito blev grundlagt af veteraner fra nationale efterretningstjenester, der forstår, hvordan angribere udnytter blinde punkter, og er suppleret med erfarne ledere fra nogle af de mest troværdige cybersikkerhedsfirmaer.

Hvad var det, der oprindeligt tiltrak dig til cybersikkerhed?

Jeg blev først interesseret i teknologi, da jeg var omkring 13 eller 14 år gammel. Jeg begyndte at deltage i IRC-kanaler med mennesker, der var nysgerrige efter teknologi og det, der på det tidspunkt blev kaldt “hacking”.

Folk på det tidspunkt eksperimenterede med alle mulige interessante ting som kryptografi i meddelelsesapps. De eksperimenterede også med fildeling. Børn spillede practical jokes på deres venner ved at sende en eksekverbar fil, der ville udløse en morsom handling af en slags. Hvis man tænker over det, var dette grundlaget for, hvad vi i dag kalder “social engineering”-angreb.

Dette gjorde mig til at tænke: Hvad hvis en person med onde intentioner fik fat i denne teknologi til ondsindet brug?

Disse tidlige oplevelser var det, der startede min karriere inden for sikkerhed. Jeg endte med at lande i den israelske enhed 8200 Intelligence Force, hvor jeg lavede rekognosceringsarbejde, og senere co-founderede CyCognito.

Kan du dele historien bag CyCognito?

CyCognito blev grundlagt på den viden, at angribere altid er foran forsvarerne. De er intelligente, uophørlige og søger altid den letteste vej. Og mens alle angribere kun behøver én svag punkt for at bryde igennem, skal sikkerhedsholdene sikre hver mulig indgangspunkt i en evigt voksende og altid udviklende angrebsflade. Det er ret udfordrende.

For at forværre problemet har de fleste organisationer potentielle indgangspunkter, der ikke er synlige for sikkerhedsholdene, men let opdagebare for trusler.

En dag satte jeg mig ned med min co-founder, Dima Potekhin, og vi satte os for at ændre paradigmets, hvor vi i stedet for at udrulle agenter eller instruere en portscanner til at scanne nogle kendte IP-rækker, ville skabe en løsning, der fungerede som en verdensklasse-angriber, det vil sige, at den ville starte med kun at kende et firma navn og derefter identificere de aktiver, der er mest påvirkelige, og de mest åbne vejene.

Vi ville simulere en angribers offensiv operation, startende fra trin ét, hvor angriberen kun kender målfirmaets navn og har til formål at få adgang til følsomme data.

Så, i 2017, tog vi vores erfaring fra nationale efterretningstjenester og begyndte at gøre dette til virkelighed med missionen om at hjælpe organisationer med at forhindre brud, ved kontinuerligt at kortlægge deres eksterne eksponeringsblinde punkter og finde vejene med mindst modstand ind i deres interne netværk. Dette krævede, at vi udnyttede ikke kun avanceret offensiv cybersikkerhedskundskab, men også moderne teknologi, der stadig er ret sjældent brugt i vores branche, som Bayesian maskinlæringsmodeller, LLM, NLP og grafdata modeller.

I dag hjælper vi nye og store Global 100-virksomheder med at sikre deres angrebsflader mod voksende trusler. Nogle af vores kunder inkluderer Colgate-Palmolive (CL ), Californiens stat, Berlitz, Hitachi, Tesco, for blot at nævne nogle få.

Hvad er Ekstern Angrebsflade Management?

Den lærebogsdefinition af Ekstern Angrebsflade Management (EASM) henviser til processer og teknologier, der bruges til at identificere, vurder og styre eksponeringen af en organisations digitale aktiver, der er tilgængelige eller synlige fra internettet.

Eksterne angrebsflader er enorme og komplekse. En enkelt organisation kan have hundredvis og tusindvis af systemer, applikationer, cloud-instanser, forsyningskæder, IoT-enheder og data, der er eksponeret på internettet – ofte spredt over datterselskaber, multiple cloud og aktiver, der administreres af tredjeparter.

Sikkerhedsholdene har begrænset evne til at opdage disse aktiver. De er overvældet af tusindvis af alarmer, men de har ikke konteksten til at vide, hvilke der er kritiske og hvilke, der skal prioriteres.

At isolere de virkelig kritiske problemer først kræver synlighed over angrebsfladen, men endnu vigtigere, det kræver en grundig forståelse af konteksten og formålet med de berørte aktiver. Når det er fastlagt, kan sikkerhedsholdene beregne angrebsveje og forudsige, hvilke specifikke trusler der betyder noget – dem, der sandsynligvis vil forårsage alvorlig monetær eller reputationsmæssig skade på virksomheden. Derefter kan organisationen prioritere korrekt og afhjælpe for maksimal effekt.

Kan du dele dine synspunkter på vigtigheden af at tænke som en angriber for at opdage ukendte risici?

Ifølge Verizon’s DBIR, 82% af angreb kommer udefra. Desuden er de fleste datakrænkelser ifølge Gartner relateret til ukendte og ikke-administrerede aktiver.

Dette er præcis, hvorfor det er kritisk at antage en outside-in-tilgang til at evaluere angrebsfladen for at vurder og styre cybersikkerhedsrisici. At træde i angriberens sko giver en objektiv vurdering af kronjuvelerne, der bor i systemerne, og hvilke, der er eksponeret og sårbare.

Som jeg nævnte tidligere, er angrebsflader evigt voksende og komplekse. De fleste sikkerhedshold mangler fuld-spektrum synlighed i forhold til eksponerede og sårbare aktiver. Angribere ved det! Og de vil uhindret udforske angrebsfladen, jagende efter den letteste vej og det ene hul, som sikkerhedsholdene ikke overvåger. Desværre er ét sikkerheds-hul alt, de behøver for at bryde igennem. Imens har sikkerhedsholdene den svære opgave at identificere de eksponeringer, der gør deres organisationer mest sårbare, og derefter tage handling for at beskytte disse indgangspunkter.

Hvor hyppigt identificerer du trusler, der skyldes eksterne applikationer og API’er, der simpelthen ikke overvåges eller testes?

Oftere, end vi ville ønske. Vi har nyligt gennemført forskning, der viser sårbare offentlige cloud-, mobile og web-applikationer, der eksponerer følsomme data, herunder usikrede API’er og personligt identificerbare oplysninger (PII). Her er nogle af de vigtigste resultater:

• 74 procent af aktiver med PII er sårbare over for mindst ét kendt stort udnyttelse, og en ud af ti har mindst ét let udnytteligt problem.
• 70 procent af web-applikationer har alvorlige sikkerhedslukninger, som manglende WAF-beskyttelse eller en krypteret forbindelse som HTTPS, mens 25 procent af alle web-applikationer (web-apps) manglede begge.
• Den typiske globale virksomhed har over 12.000 web-applikationer, der inkluderer API’er, SaaS-applikationer, servere og databaser, blandt andet. Mindst 30 procent af disse web-applikationer – over 3.000 aktiver – har mindst ét udnytteligt eller højrisiko-sårbarhed. Halvdelen af disse potentielt sårbare web-applikationer er hostet i cloud.
• 98 procent af web-applikationer er potentielt ikke GDPR-sammenlignelige på grund af manglende mulighed for brugere at afvise cookies.

Vores forskning ud over dette viser, at der er rigeligt bevis for disse trusler derude i dag. MOVEit-udnyttelse er et eksempel, der stadig er i gang.

Kan du diskutere vigtigheden af at konsolidere processer og værktøjer til at teste og administrere angrebsfladen?

“Stack bloat” er noget, de fleste virksomheder lider af. Det er særligt udtalt i sikkerhed. De fleste organisationer har siloede, ikke-tilsluttede sikkerheds-værktøjer. Der har været en mantra i sikkerhed, der siger, at flere platforme vil eliminere sikkerhedsgab. Men i stedet åbner det døren for menneskelige fejl, redundanser, øget operativt arbejdslast og blinde punkter.

CyCognito blev bygget til at udføre jobbet for mange legacy-point-løsninger. Vi hjælper virksomheder med at konsolidere deres stack, så de kan fokusere på at udføre deres arbejde.

Hvad er nogle måder, hvorpå dårlige aktører bruger LLM’er og Generative AI til at skala angreb?

Vi har endnu ikke set store angreb, der bruger LLM’er, men det er kun et spørgsmål om tid. Ifølge min opfattelse har LLM’er potentialet til at give større skala, omfang, rækkevidde og hastighed til forskellige faser af cyberangreb.

For eksempel har LLM’er potentialet til at accelerere automatiseret rekognoscering, hvor angribere kan kortlægge og opdage en organisations aktiver, mærker og tjenester, samt følsomme oplysninger som eksponerede legitimationsoplysninger. LLM’er kan også hjælpe med at opdage sårbarheder, identificere svagheder inden for et mål-netværk og faciliterer udnyttelse gennem teknikker som phishing eller vandhul-angreb for at få adgang og udnytte netværkssårbarheder. LLM’er kan også hjælpe med datatyveri ved at kopiere eller eksfiltrere følsomme data fra netværket.

Desuden kan forbrugerapplikationer baseret på LLM’er, især ChatGPT, udgøre en trussel, da de kan bruges både bevidst og ubevidst af medarbejdere til at lække virksomhedens IP.

Spear-phishing-kampagner giver endnu et eksempel. Højkvalitets-phishing er baseret på en dyb forståelse af målet; det er præcis, hvad store sprogmodeller kan gøre ret godt, fordi de processerer store mængder data meget hurtigt og tilpasse beskeder effektivt.

Hvordan kan virksomheder i stedet bruge Generative AI til at beskytte sig selv?

Godt spørgsmål. Det er det gode nyt til alt dette. Hvis angribere kan bruge gen AI, kan sikkerhedshold også. Gen AI kan hjælpe sikkerhedshold med at gøre rekognoscering på deres egne virksomheder og afhjælpe sårbarheder. De kan mere hurtigt og kosteffektivt scanne og kortlægge deres egen angrebsflade for at finde eksponerede følsomme aktiver, som personligt identificerbare oplysninger (PII), filer osv.

Gen AI kan også hjælpe med at forstå den forretningsmæssige kontekst af enhver aktiv. For eksempel kan det hjælpe med at genkende en database, der indeholder PII og spiller en rolle i revenue-transaktioner. Det er ekstremt værdifuldt.

Gen AI kan også bestemme den forretningsmæssige formål med en aktiv. For eksempel kan det hjælpe med at skelne mellem en betalingsmekanisme, en kritisk database og en tilfældig enhed – og klassificere dens risikoprofil. Dette giver sikkerhedshold mulighed for bedre at prioritere risici. Uden evnen til at prioritere, må sikkerhedsholdene gennemgå utallige sårbarheder, der er markeret som “urgent”, når de fleste ikke er mission-kritiske.

Hvorfor skal virksomheder være forsigtige med at være for afhængige af Generative AI til defensive formål?

Generative AI har stor potentiale, men der er indbyggede problemer, vi må arbejde igennem som en branche.

Det store billede for mig er, at gen AI-modeller kan gøre sikkerhedsholdene selvtilfredse. Faren for mere automatisering er stor, men manuel gennemgang er kritisk, given den nuværende tilstand af gen AI-modeller. For eksempel “hallucinerer” gen AI-modeller. Med andre ord producerer de ukorrekte output.

Desuden forstår gen AI-modeller (LLM’er specifikt) ikke kontekst, fordi de er bygget på statistisk, temporal tekstanalyse – hvilket også kan føre til yderligere “hallucinationer”, der er meget svære at spotte.

Jeg forstår, at sikkerhedshold søger at gøre “mere med mindre” – men menneskelig oversigt vil (og skal) altid være en del af sikkerhedsprocessen.

Kan du diskutere, hvordan CyCognito tilbyder automatiseret ekstern angrebsflade management og kontinuerlig test?

Ikke for at lyde som en brækket plade, men som jeg nævnte tidligere, er angrebsflader enorme og komplekse – og de fortsætter med at vokse.

Vi byggede CyCognito til at kontinuerligt kortlægge en hel angrebsflade ud over den korporative kerne til at omfatte datterselskaber, joint ventures og brand-operationer – og tilskrive hver til dens retmæssige ejer.

Der er nogle tekniske evner, der er værd at nævne.

I den sorte boks-angrebsflade-opdagelsesproces udnytter vores platform LLM som en af dusinvis af kilder til “tilskrivningshypoteser”, som vores Bayesian ML-modeller analyserer for at bestemme organisationens forretningsstruktur (op til 1000’er forretningsenheder og datterselskaber) og tilskrive aktiver til ejere (i skalaen af millioner af IT-aktiver) fuldstændig automatisk.

Platformen accelererer også aktiv-klassificering gennem Natural Language Processing (NLP) og heuristiske algoritmer – en opgave, der normalt er kostbar og ressourcekrævende.

Vi giver også den forretningsmæssige kontekst, der er nødvendig for at prioritere risici effektivt. Selv hvis en sårbarhed påvirker tusindvis af maskiner, kan CyCognito identificere den mest kritiske ved at give indsigt i eksponeringsniveau, forretningsmæssig betydning, udnyttelighed og hacker-snak.

Vi tager en holistisk tilgang til Ekstern Angrebsflade Management, der overvinder fælden ved at behandle alle kritiske problemer med samme urgensenhed. Vi giver sikkerhed mulighed for at prioritere de sande kritiske vektorer, hvilket sparer dem tid og penge.

Tak for det gode interview. Læsere, der ønsker at lære mere, skal besøge CyCognito.