Σάιμον Έντουαρντς, Διευθύνων Σύμβουλος και Ιδρυτής της SE Labs – Σειρά Συνεντεύξεων

Simon Edwards, Διευθύνων Σύμβουλος και Ιδρυτής της SE Labs, είναι ειδικός σε δοκιμές κυβερνοασφάλειας με περισσότερα από τρεις δεκαετίες εμπειρίας που καλύπτουν έρευνα ασφαλείας, αξιολόγηση προϊόντων, τεχνική δημοσιογραφία και βιομηχανικά πρότυπα. Πριν ιδρύσει τη SE Labs το 2015, ο Edwards διηύθυνε τη Dennis Technology Labs, όπου ηγήθηκε πρωτοβουλιών δοκιμών ασφαλείας, και προηγουμένως πέρασε πολλά χρόνια ως τεχνολογικός δημοσιογράφος και εκδότης. Έχει επίσης κατέχει ανώτερες ηγετικές θέσεις στην Anti-Malware Testing Standards Organization (AMTSO), συμπεριλαμβανομένων των καθηκόντων Προέδρου, Διευθυντή και Συμπροέδρου. Ο Edwards δοκιμάζει προϊόντα ασφαλείας από τα μέσα της δεκαετίας του 1990 και πρωτοπόρησε στις πρώιμες πραγματικές δοκιμές anti‑malware που σχεδιάζονται για να αξιολογούν πώς οι τεχνολογίες ασφαλείας αποδίδουν απέναντι σε πλήρεις, μέσω του διαδικτύου επιθέσεις, αντί για απομονωμένα δείγματα κακόβουλου λογισμικού.

SE Labs είναι μια ανεξάρτητη εταιρεία δοκιμών και συμβουλευτικών υπηρεσιών κυβερνοασφάλειας που αξιολογεί πώς οι τεχνολογίες ασφαλείας αποδίδουν απέναντι σε ρεαλιστικές επιθέσεις. Οι ερευνητές της αναπαράγουν τεχνικές επιτιθέμενων σε όλη την αλυσίδα επίθεσης για να αξιολογήσουν προϊόντα όπως προστασία σημείου άκρου, Endpoint Detection and Response (EDR), υπηρεσίες ασφάλειας σύννεφου, τείχη προστασίας, ασφάλεια ηλεκτρονικού ταχυδρομείου και τεχνολογίες ανίχνευσης δικτύου. Μαζί με τις δημόσιες συγκριτικές δοκιμές, η SE Labs παρέχει πιστοποίηση, προχωρημένες δοκιμές ασφαλείας, επικύρωση προϊόντων και συμβουλευτικές υπηρεσίες για επιχειρήσεις και προμηθευτές κυβερνοασφάλειας. Η εταιρεία δημοσιεύει τις μεθοδολογίες δοκιμών της και τα πλαίσια προσομοίωσης απειλών και είναι πιστοποιημένη σύμφωνα με ISO/IEC 27001:2022 και BS EN ISO 9001:2015 για την παροχή δοκιμών προϊόντων IT ασφαλείας.

Η καριέρα σας εκτείνεται σε περισσότερα από τρεις δεκαετίες σε τεχνολογική δημοσιογραφία, συμβουλευτική ασφαλείας, ανεξάρτητες δοκιμές και ηγετικούς ρόλους στην Anti-Malware Testing Standards Organization (AMTSO). Πώς έχει διαμορφώσει αυτή η εμπειρία τον τρόπο με τον οποίο διαχωρίζετε τις πραγματικές προόδους στην κυβερνοασφάλεια με τεχνητή νοημοσύνη από τις τεχνολογίες που κυρίως τοποθετούνται ως «AI» για σκοπούς μάρκετινγκ;

Η δημοσιογραφία με δίδαξε να αμφισβητώ τις δηλώσεις, ενώ οι ανεξάρτητες δοκιμές με δίδαξαν ότι η μόνη αξιόπιστη απάντηση προέρχεται από αποδείξεις. Οι εταιρείες κυβερνοασφάλειας χρησιμοποιούν μηχανική μάθηση και αυτοματοποιημένη λήψη αποφάσεων εδώ και πολλά χρόνια, επομένως η προσθήκη του «AI» σε ένα όνομα προϊόντος δεν αντιπροσωπεύει απαραίτητα τεχνική πρόοδο.

Τρία βασικά στοιχεία που πρέπει να ληφθούν υπόψη: Τι κάνει πραγματικά η τεχνητή νοημοσύνη; Ποιο μετρήσιμο αποτέλεσμα ασφαλείας βελτιώνει; Και μπορεί ένας ανεξάρτητος δοκιμαστής να αναπαράγει αυτή τη βελτίωση;

Αν η απάντηση είναι απλώς ότι το προϊόν αναλύει μεγάλο όγκο δεδομένων ή αυτοματοποιεί μια υπάρχουσα διαδικασία, η ετικέτα AI μπορεί να αφορά περισσότερο τοποθέτηση παρά ικανότητα.

Μια πραγματική πρόοδος αποδίδει καλά απέναντι σε άγνωστες ή ολοκαίνουργιες επιθέσεις, βελτιώνει την προστασία ή την ανταπόκριση, μειώνει το βάρος στους αναλυτές, και το κάνει αυτό χωρίς να εισάγει μη αποδεκτούς κινδύνους. Οτιδήποτε άλλο είναι είτε μη βελτίωση είτε υποβάθμιση!

Το «AI‑driven» έχει γίνει κοινή αξίωση σε προϊόντα κυβερνοασφάλειας. Ποιες είναι οι πιο σημαντικές δυνατότητες που πρέπει να δοκιμαστούν ανεξάρτητα πριν μια οργάνωση αποδεχτεί ότι μια πλατφόρμα ασφαλείας με τεχνητή νοημοσύνη παρέχει ό,τι υπόσχεται ο προμηθευτής;

Δεν θα ξεκινούσα δοκιμάζοντας αν ένα προϊόν περιέχει AI. Θα ξεκινούσα δοκιμάζοντας τις ασφαλιστικές δηλώσεις που γίνονται για αυτό. Δεν με ενδιαφέρει ιδιαίτερα πώς λειτουργεί ένα προϊόν, αρκεί να λειτουργεί. Αυτός είναι ακριβώς ο στόχος του προγράμματος δοκιμών PIVOT, το οποίο κερδίζει πολύ έδαφος στη βιομηχανία αυτή τη στιγμή.

Η δοκιμή με αυτόν τον τρόπο σημαίνει την έκθεση του προϊόντος σε πλήρεις επιθέσεις και τη μέτρηση του πώς ανταποκρίνεται. Πιθανώς θα πρέπει να εντοπίζει τη δραστηριότητα και έπειτα να αποτρέπει την πρόοδο της επίθεσης. Αυτό εξαρτάται από το πώς το προϊόν είναι κατασκευασμένο και διαμορφωμένο. Και από τις διαφημιστικές δηλώσεις που κάνει ο προμηθευτής του.

Πρέπει επίσης να εξετάσουμε την ερευνητική ιστορία που παρουσιάζεται στον πελάτη. Κατάλαβε το σύστημα τι συνέβη, συνέδεσε τα σχετιζόμενα γεγονότα και έκανε τα αποδεικτικά στοιχεία ορατά στο άτομο που πρέπει να ενεργήσει;

Η δοκιμή θα πρέπει να περιλαμβάνει άγνωστες παραλλαγές, ρεαλιστικές ρυθμίσεις πελατών και κανονική επιχειρηματική δραστηριότητα. Πρέπει επίσης να μετρά τα ψευδώς θετικά, τις απαιτήσεις πόρων και τις ενέργειες που μπορεί να θεωρηθούν ενδεχομένως μη ασφαλείς. Εάν το σύστημα είναι αυτόνομο, πρέπει να γνωρίζουμε πότε ενεργεί, γιατί ενεργεί, ποιες άδειες χρησιμοποιεί και εάν οι αποφάσεις του μπορούν να αναιρεθούν.

Έχουμε δει μερικές ιστορίες στα νέα σχετικά με την AI ασφάλεια που παρεκκλίνει και υπερβαίνει τα όριά της και ενδεχομένως το νόμο. Η σημαντική ερώτηση δεν είναι αν η πλατφόρμα φαίνεται έξυπνη. Είναι αν παράγει σταθερά καλύτερα και πιο ασφαλή αποτελέσματα ασφαλείας.

Οι αυτόνομοι πράκτορες AI μπορούν ενδεχομένως να εκτελέσουν αναγνώριση, εκμετάλλευση, πλευρική κίνηση και άλλα στάδια μιας επίθεσης πολύ πιο γρήγορα από έναν ανθρώπινο επιτιθέμενο. Πώς πρέπει να αλλάξει η δοκιμή κυβερνοασφάλειας όταν οι επιθέσεις αρχίζουν να λειτουργούν με ταχύτητα μηχανής;

Η μονάδα δοκιμής πρέπει να αλλάξει από την ατομική τεχνική στην πλήρη εκστρατεία που λειτουργεί υπό χρονική πίεση. Με αυτό εννοώ ότι, αντί να δοκιμάζουμε διαφορετικούς τρόπους επίθεσης κατά τη διάρκεια ενός πρωινού ή μιας εβδομάδας, η δοκιμή ορισμένων μέτρων ασφαλείας πρέπει να γίνεται γρήγορα. Διαφορετικά δεν είναι ρεαλιστικό, και η ρεαλιστικότητα είναι πολύ σημαντική.

Οι παραδοσιακές δοκιμές μπορεί να αφήνουν βολικά κενά μεταξύ των σταδίων, ώστε κάθε γεγονός να μπορεί να εξεταστεί ξεχωριστά. Ένας αυτόνομος επιτιθέμενος μπορεί να συμπιέσει την ανίχνευση, την εκμετάλλευση και την πλευρική κίνηση σε πολύ πιο σύντομο χρονικό διάστημα. Αυτό θα μπορούσε να αποκαλύψει αδυναμίες που δεν είναι ορατές σε πιο αργές δοκιμές, όπως καθυστερήσεις στην τηλεμετρία, υπερφορτωμένα συστήματα και αμυντικές ενέργειες που φθάνουν μόνο μετά την επίτευξη του στόχου της επίθεσης.

Για να σας δώσουμε ένα εξαιρετικά απλό παράδειγμα, αν παραβιάσουμε ένα Mac, κατεβάσουμε όλα τα αρχεία του και κλέψουμε τους κωδικούς λογαριασμών, δεν έχει πολύ νόημα αν το antivirus εμφανιστεί μια μέρα αργότερα με τα κακά νέα.

Η δοκιμή των αντιδράσεων ασφαλείας σε επιτιθέμενους AI απαιτεί επομένως υψηλής ανάλυσης οργάνωση και ακριβή μέτρηση της καθυστέρησης ανίχνευσης και αντίδρασης. Πρέπει να εξετάζει αν η απόδοση επιδεινώνεται καθώς αυξάνονται ο όγκος και η ταχύτητα της δραστηριότητας, και αν η άμυνα μπορεί να διακόψει μια επίθεση χωρίς να περιμένει ανθρώπινη απόφαση σε κάθε στάδιο.

Η επίθεση μπορεί επίσης να προσαρμοστεί σε ό,τι ανακαλύπτει. Οι δοκιμές πρέπει να αντανακλούν αυτό, διατηρώντας την αλήθεια των δεδομένων, τα αποδεικτικά στοιχεία και τη δυνατότητα επανάληψης. Η ταχύτητα των μηχανών δεν πρέπει να σημαίνει εγκατάλειψη ελεγχόμενης μεθοδολογίας. Πρέπει να συνεχίσουμε να σχεδιάζουμε ελεγχόμενες δοκιμές που μπορούν να λειτουργούν και να μετρούν τα γεγονότα με την ίδια ταχύτητα όπως τα συστήματα που αξιολογούνται.

Το SE Labs χρησιμοποιεί ρεαλιστικά σενάρια επίθεσης βασισμένα στις τακτικές και τεχνικές ομάδων απειλών όπως η Scattered Spider. Πώς αναδημιουργείτε αυτούς τους αντιπάλους σε ένα ελεγχόμενο περιβάλλον διασφαλίζοντας ότι η δοκιμή αντικατοπτρίζει πώς θα εξελιχθεί μια πραγματική επίθεση και όχι απλώς έναν προκαθορισμένο κατάλογο ελέγχου;

Ξεκινάμε με τους στόχους του αντιπάλου, τις γνωστές συμπεριφορές και τις πιθανές αποφάσεις του, αντί να αντιμετωπίζουμε τις τεχνικές του ως λίστα αγορών.

Η δοκιμή ακολουθεί μια ρεαλιστική αλυσίδα επίθεσης μέσω ανίχνευσης, αρχικής πρόσβασης, εκτέλεσης, ανόρθωσης προνομίων, δραστηριότητας μετά τη διείσδυση και πλευρικής κίνησης. Σημαντικό είναι ότι ο δοκιμαστής μπορεί να χρησιμοποιήσει μόνο τις πληροφορίες που ανακαλύφθηκαν πραγματικά κατά την ανίχνευση και την επίθεση. Δεν παρέχουμε στον επιτιθέμενο γνώση που δεν θα ήταν διαθέσιμη σε μια πραγματική εμπλοκή.

Το σενάριο είναι περιορισμένο και προσεκτικά ελεγχόμενο, αλλά δεν αποτελεί απλώς μια σειρά προ-καθορισμένων πατημάτων κουμπιών. Εάν μια διαδρομή μπλοκαριστεί, ο επιτιθέμενος μπορεί να ακολουθήσει μια αξιόπιστη εναλλακτική εντός των κανόνων της δοκιμής. Αυτό επιτρέπει στο προϊόν ασφαλείας να επηρεάσει το πώς θα εξελιχθεί το σενάριο.

Ταυτόχρονα, κάθε σημαντική ενέργεια και αποτέλεσμα καταγράφεται ώστε να μπορούμε να εξηγήσουμε το αποτέλεσμα και να συγκρίνουμε τα προϊόντα δίκαια. Ο ελεγχόμενος χαρακτήρας δεν χρειάζεται να σημαίνει αυστηρά προγραμματισμένο. Πρέπει να σημαίνει ασφαλές, παρατηρήσιμο και υποστηριζόμενο από αποδείξεις.

Τα προϊόντα κυβερνοασφάλειας έχουν παραδοσιακά αξιολογηθεί έντονα με βάση την ικανότητά τους να ανιχνεύουν απειλές. Γιατί οι οργανισμοί θα πρέπει όλο και περισσότερο να εξετάζουν την προστασία, τον περιορισμό και την ανταπόκριση σε περιστατικά όταν αξιολογούν συστήματα ασφαλείας που βασίζονται στην AI;

Η ανίχνευση δεν είναι το ίδιο με την άμυνα. Μια πλατφόρμα μπορεί να δημιουργήσει μια ακριβή ειδοποίηση ενώ εξακολουθεί να επιτρέπει στον επιτιθέμενο να πετύχει τον στόχο του. Γι’ αυτό το πρόγραμμα δοκιμών PIVOT περιλαμβάνει τόσο την ανίχνευση όσο και την προστασία ως κοινά και ξεχωριστά μέρη της συνολικής δοκιμής.

Μπορείτε να συγκρίνετε την ανίχνευση κυβερνοασφάλειας με μια κάμερα CCTV. Πρέπει να παρατηρεί μια διείσδυση και να σας δίνει ενδείξεις για το τι συνέβη, αλλά δεν θα σταματήσει φυσικά έναν εισβολέα. Η προστασία κυβερνοασφάλειας είναι πολύ πιο ενεργή. Μπορεί να απομακρύνει ή με άλλο τρόπο να εξουδετερώσει έναν επιτιθέμενο, αποτρέποντας ζημιά.

Οι οργανισμοί πρέπει να γνωρίζουν αν το προϊόν απέτρεψε τη αρχική δραστηριότητα, διέκοψε την αλυσίδα της επίθεσης, περιορίσε τη πλευρική κίνηση, προστασία σημαντικών περιουσιακών στοιχείων και υποστήριξε την αποκατάσταση. Εάν μια επίθεση πετύχει, τα επόμενα ερωτήματα είναι πόσο γρήγορα περιορίστηκε και αν ο πελάτης έλαβε αρκετές αξιόπιστες πληροφορίες για να ανταποκριθεί αποτελεσματικά.

Αυτό γίνεται ιδιαίτερα σημαντικό με συστήματα που βασίζονται στην AI, επειδή, ενώ μπορούν να παράγουν πολύ πειστικά συνοψίματα του τι συνέβη, μια πειστική εξήγηση δεν αντικαθιστά την προστασία. Η εξήγηση πρέπει να υποστηρίζεται από αποδείξεις και να οδηγεί σε κατάλληλη ενέργεια.

Γι’ αυτό μετράμε την ανίχνευση και την προστασία ξεχωριστά. Επίσης εξετάζουμε αν η υποτιθέμενη ανίχνευση ήταν πραγματικά ορατή και χρήσιμη για τον πελάτη. Τελικά, η αξία ενός συστήματος ασφαλείας βρίσκεται στην αλλαγή του αποτελέσματος μιας επίθεσης, όχι απλώς στην παρατήρησή της.

Καθώς οι πλατφόρμες ασφαλείας εισάγουν αυτόνομους πράκτορες ικανούς να διερευνούν ειδοποιήσεις και να λαμβάνουν ενέργειες αποκατάστασης, πώς πρέπει τα ανεξάρτητα εργαστήρια να δοκιμάζουν ολόκληρη τη ροή εργασίας ανθρώπου-και-AI αντί να αξιολογούν την υποκείμενη τεχνολογία ανίχνευσης απομονωμένα;

Η δοκιμή πρέπει να ακολουθεί ολόκληρη τη διαδικασία από την πρώτη κακόβουλη δραστηριότητα μέχρι το τελικό αποτέλεσμα ασφαλείας, το οποίο μπορεί να είναι η διακοπή της επίθεσης ή η πλήρης επιτυχία της – ή κάτι ενδιάμεσο.

Πρέπει να εξετάσουμε τι παρατήρησε ο πράκτορας, τι συμπέρανε, τι συνέστησε ή έκανε, τι έδειξε στον ανθρώπινο χειριστή και πώς ανταποκρίθηκε ο χειριστής (ή ποιες επιλογές του παρουσιάστηκαν). Αυτό περιλαμβάνει την ποιότητα των αποδείξεων, τη σαφήνεια της παράδοσης, το απαιτούμενο χρόνο, τον αριθμό των παρεμβάσεων και αν ο άνθρωπος μπορούσε να καταλάβει, να αμφισβητήσει ή να αντιστρέψει την απόφαση του πράκτορα.

Διαφορετικές λειτουργικές λειτουργίες επίσης μετράνε. Ένας πράκτορας που προτείνει μια ενέργεια για έγκριση παρουσιάζει διαφορετικό κίνδυνο από αυτόν που μπορεί αυτόματα να απομονώσει συστήματα, να απενεργοποιήσει λογαριασμούς ή να αλλάξει ελέγχους ασφαλείας.

Ένα σύστημα δεν θεωρείται επιτυχές απλώς επειδή ο υποκείμενος ανιχνευτής του εντόπισε την επίθεση. Αν δημιουργεί μια ακατανόητη ουρά, κρύβει σημαντικά αποδεικτικά, προτείνει λανθασμένη αντίδραση ή λαμβάνει διαταρακτική ενέργεια, η συνολική ροή εργασίας έχει αποτύχει. Η ανεξάρτητη δοκιμή πρέπει να μετρά την συνδυαστική απόδοση της τεχνολογίας, των αυτόνομων στοιχείων της και των ανθρώπων που αναμένεται να τα χρησιμοποιούν.

Ένας κίνδυνος με τα τυποποιημένα πρότυπα ασφαλείας είναι ότι οι προμηθευτές μπορούν να βελτιστοποιήσουν τα προϊόντα ειδικά για τη δοκιμή. Πώς μπορεί η ανεξάρτητη δοκιμή να παραμείνει αναπαραγώγιμη και δίκαιη, ενώ ταυτόχρονα εισάγει αρκετή αβεβαιότητα ώστε να αποκαλύψει πώς αποδίδουν τα προϊόντα απέναντι σε άγνωστες επιθέσεις;

Η αναπαραγωγικότητα δεν απαιτεί την παροχή των ερωτήσεων της εξέτασης στους συμμετέχοντες εκ των προτέρων.

Μια αξιόπιστη δοκιμή πρέπει να δημοσιεύει τη μεθοδολογία, το περιβάλλον, τις αρχές βαθμολόγησης, τη διαμόρφωση του προϊόντος και τις απαιτήσεις αποδεικτικών στοιχείων. Οι προμηθευτές πρέπει να κατανοούν τους κανόνες και να έχουν δίκαιη ευκαιρία να επαληθεύσουν ότι τα προϊόντα τους λειτουργούν σωστά. Ωστόσο, η ακριβής εκστρατεία επίθεσης, τα φορτία και ορισμένα μονοπάτια επίθεσης πρέπει να παραμείνουν άγνωστα μέχρι τη διεξαγωγή της δοκιμής.

Για παράδειγμα, στο PIVOT δεν αποκαλύπτουμε ποιοι ομάδες επίθεσης θα αναπαραχθούν μέχρι να ολοκληρωθεί η δοκιμή. Οι πραγματικοί στόχοι δεν λαμβάνουν προειδοποίηση πριν ξεκινήσει μια επίθεση!

Μπορούμε να συνδυάσουμε έναν τυπικό πυρήνα, που υποστηρίζει συγκρίσεις στο χρόνο, με άγνωστες παραλλαγές που δοκιμάζουν τη γενική ικανότητα. Η δημιουργία βάσης αναφοράς και μια κρυφή ήσυχη περίοδος μπορούν να καθορίσουν πώς συμπεριφέρεται το προϊόν πριν από την επίθεση. Στη συνέχεια, η διαμόρφωση πρέπει να ελέγχεται, τα αρχεία καταγραφής να διατηρούνται και τυχόν ισχυρισμοί να ελέγχονται έναντι των αποδείξεων του δοκιμαστή.

Δικαιοσύνη σημαίνει την εφαρμογή των ίδιων κανόνων και προτύπων αποδεικτικών στοιχείων σε κάθε συμμετέχοντα. Δεν σημαίνει την επανάληψη μιας επίθεσης τόσο προβλέψιμης ώστε ο προμηθευτής να αναγνωρίζει το πρότυπο αντί για την απειλή.

Επιπλέον, η ριζική διαφάνεια βοηθά τους προμηθευτές να αναπαράγουν τις επιθέσεις, κάτι που είναι σημαντικό εάν θέλουν να διορθώσουν τυχόν προβλήματα που αντιμετωπίζουν, όπως η αποτυχία ανίχνευσης ή προστασίας έναντι μιας απειλής. Η SE Labs ουσιαστικά εκπαιδεύει τους πελάτες της όταν αντιμετωπίζουν προβλήματα.

Οι αυτόνομοι πράκτορες ασφαλείας εισάγουν μια διαφορετική κατηγορία κινδύνου επειδή μια λανθασμένη απόφαση μπορεί να προκαλέσει μια περιττή ή ακόμη και διαταρακτική ενέργεια αποκατάστασης. Πώς πρέπει η δοκιμή να μετρά τα ψευδώς θετικά, την εσφαλμένη λογική και τις ενδεχομένως επιβλαβείς αυτόνομες ενέργειες παράλληλα με την παραδοσιακή ακρίβεια ανίχνευσης;

Η παραδοσιακή δοκιμή ψευδώς θετικών είναι μόνο το πρώτο επίπεδο. Με έναν αυτόνομο πράκτορα, πρέπει να διακρίνουμε μεταξύ ψευδούς ειδοποίησης, μη υποστηριζόμενου συμπεράσματος και λανθασμένης ενέργειας. Κάθε ένα έχει διαφορετική πιθανή επίπτωση.

Οι δοκιμές πρέπει να εκθέτουν το σύστημα σε νόμιμη δραστηριότητα που μοιάζει με κακόβουλη συμπεριφορά, καθώς και σε ελλιπή, ασαφή ή παραπλανητικά αποδεικτικά. Εάν ο πράκτορας καταναλώνει μη αξιόπιστο περιεχόμενο, η δοκιμή πρέπει επίσης να εξετάσει αν αυτό το περιεχόμενο μπορεί να επηρεάσει ακατάλληλα τις αποφάσεις του.

Η λογική πρέπει να κρίνεται με βάση το εάν το συμπέρασμα υποστηρίζεται από τα διαθέσιμα αποδεικτικά, όχι από το πόσο πειστική ή βέβαιη φαίνεται η εξήγηση. Για τις αυτόνομες ενέργειες, πρέπει να μετράμε το εύρος, την αναλογικότητα, τη χρήση δικαιωμάτων, τους ελέγχους έγκρισης, την δυνατότητα ελέγχου και την αντιστροφή.

Η βαθμολόγηση πρέπει να αντανακλά τις συνέπειες. Μια περιττή ειδοποίηση είναι ενοχλητική· η απενεργοποίηση ενός σημαντικού λογαριασμού ή η απομόνωση ενός κρίσιμου συστήματος θα μπορούσε να διαταράξει τον οργανισμό. Ένα χρήσιμο μέτρο ασφαλείας, επομένως, πρέπει να λαμβάνει υπόψη τόσο τη συχνότητα των σφαλμάτων όσο και τη ζημιά που μπορεί να προκαλέσει κάθε σφάλμα.

Παρόλα αυτά, κάποιες φορές ο πελάτης επιλέγει μια πολιτική που προκαλεί προβλήματα. Αυτό δεν είναι απαραίτητα λάθος του προμηθευτή ασφαλείας.

Η δημιουργική AI και τα όλο και πιο ικανοποιητικά μοντέλα ανοιχτού κώδικα μειώνουν το εμπόδιο για την αυτοματοποίηση τμημάτων της διαδικασίας επίθεσης. Αναμένετε ότι η AI θα κάνει τις κυβερνοεπιθέσεις θεμελιωδώς πιο εξελιγμένες, ή ο μεγαλύτερος κίνδυνος είναι ότι οι επιτιθέμενοι θα μπορούν απλώς να λειτουργούν σε πολύ μεγαλύτερη κλίμακα και ταχύτητα;

Η προσδοκία μου είναι ότι ο πιο άμεσος κίνδυνος είναι η κλίμακα, η ταχύτητα και το μειωμένο κόστος.

Η AI μπορεί να βοηθήσει τους επιτιθέμενους να συλλέγουν πληροφορίες, να προσωποποιούν κοινωνική μηχανική, να τροποποιούν κώδικα και να συντονίζουν μέρη μιας εκστρατείας. Ορισμένες επιθέσεις θα γίνουν πιο εξελιγμένες ως αποτέλεσμα, ιδιαίτερα όταν η AI βοηθά στη σύνδεση υφιστάμενων τεχνικών ή στην προσαρμογή τους σε συγκεκριμένο στόχο. Ωστόσο, η AI δεν εξαλείφει την ανάγκη πρόσβασης, διαπιστευτηρίων, εκμεταλλεύσιμων αδυναμιών ή λαθών από τους υπερασπιστές.

Η AI επίσης δεν είναι πολύ καλή στην παραγωγή αξιόπιστων εκμεταλλεύσεων, κάτι που είναι ήδη δύσκολο ακόμη και για έναν ικανό άνθρωπο. Έτσι, μειώνει την πιθανότητα θεμελιωδώς πιο εξελιγμένων επιθέσεων, κατά τη γνώμη μου.

Η μεγαλύτερη αλλαγή είναι ότι δραστηριότητες που προηγουμένως απαιτούσαν χρόνο, δεξιότητα ή ομάδα ανθρώπων μπορούν να επιχειρηθούν πιο γρήγορα και σε πολύ περισσότερους στόχους. Η AI μπορεί να αυξήσει την ικανότητα των σχετικά συνηθισμένων επιτιθέμενων, ενώ επιτρέπει σε ικανούς επιτιθέμενους να εκτελούν περισσότερες επιχειρήσεις ταυτόχρονα.

Αυτό είναι σημαντικό ακόμη και αν οι υποκείμενες τεχνικές επίθεσης δεν είναι επαναστατικές. Ο κίνδυνος δεν είναι απαραίτητα μια εντελώς νέα μορφή κυβερνοεπίθεσης. Πρόκειται για γνωστές επιθέσεις που γίνονται πιο γρήγορες, φθηνότερες, πιο εξατομικευμένες και πολύ πιο πολυάριθμες.

Καθώς οι αμυντικοί και επιθετικοί πράκτορες AI γίνονται πιο αυτόνομοι, πώς πρέπει να φαίνεται ένα αξιόπιστο περιβάλλον δοκιμών κυβερνοασφάλειας για να συμβαδίζει; Μπορούμε τελικά να φτάσουμε σε σημείο όπου τα προϊόντα ασφαλείας θα πρέπει να αντιμετωπίζονται συνεχώς από προσαρμοστικούς αντιπάλους AI αντί να αξιολογούνται κυρίως μέσω περιοδικών δοκιμών ασφαλείας;

Ένα αξιόπιστο περιβάλλον θα πρέπει να μοιάζει με έναν ζωντανό οργανισμό αντί για μια συλλογή απομονωμένων στόχων. Θα πρέπει να περιλαμβάνει τελικά σημεία, συστήματα ταυτοποίησης, email, δίκτυα, υπηρεσίες cloud, ρεαλιστικούς χρήστες και κανονική επιχειρηματική δραστηριότητα. Πρέπει επίσης να παρέχει πλήρη οργανοποίηση ώστε κάθε απόφαση και συνέπεια να μπορούν να ανακατασκευαστούν.

Σε προσαρμοστικούς αντιπάλους θα μπορούσαν να δοθούν στόχοι και όρια, και στη συνέχεια να τους επιτραπεί να επιλέγουν διαδρομές ανάλογα με ό,τι ανακαλύπτουν και πώς ανταποκρίνεται το αμυντικό προϊόν. Η δοκιμή θα χρειάζεται ακόμη ελεγχόμενες αρχικές συνθήκες, αξιόπιστη περιγραφή του τι συνέβη πραγματικά και τη δυνατότητα επανάληψης σημαντικών γεγονότων. Χωρίς αυτά, οι προσαρμοστικές δοκιμές μπορεί να φαίνονται εντυπωσιακές αλλά να είναι επιστημονικά αδύναμες.

Προσδοκώ ότι οι δοκιμές θα γίνουν πιο συνεχείς, ιδιαίτερα όταν τα προϊόντα, τα μοντέλα και οι πολιτικές μπορούν να αλλάζουν συχνά. Ωστόσο, η συνεχής πρόκληση πρέπει να συμπληρώνει και όχι να αντικαθιστά τις περιοδικές συγκριτικές δοκιμές. Οι οργανισμοί χρειάζονται και τα δύο: ελεγχόμενα σημεία αναφοράς όπως το PIVOT που υποστηρίζουν τη λογοδοσία και τη σύγκριση, καθώς και συνεχή προσαρμοστική αξιολόγηση που αποκαλύπτει πώς συμπεριφέρονται τα συστήματα καθώς οι απειλές και τα ίδια τα προϊόντα αλλάζουν.

Πιστεύω ότι πρέπει να ανησυχούμε περισσότερο για το γεγονός ότι σχετικά ανειδίκευτοι άνθρωποι μπορούν να παραβιάσουν συστήματα και δίκτυα, παρά για τα ρομπότ που δημιουργούν την επόμενη γενιά τεχνολογίας κυβερνοεπίθεσης.

Σας ευχαριστούμε για τη σπουδαία συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα θα πρέπει να επισκεφθούν το SE Labs.