Alon Noy, Astelian toimitusjohtaja ja toinen perustaja – haastattelusarja

Alon Noy on Astelian toimitusjohtaja ja toinen perustaja sekä kyberturvallisuusalan johtaja, jolla on yli 15 vuoden kokemus sekä hyökkäys- että puolustusturvallisuudesta. Hän palveli aiemmin Israelin yksikössä 8200 ja johti myöhemmin Israelin kansallista kyberturvallisuuden Red Team -ryhmää. Hänen tehtäviinsä kuului kriittisen infrastruktuurin häiriönsietokyvyn testaaminen sekä yhteistyö tietoturvatiimien kanssa todellisten hyökkäysreittien tunnistamiseksi ja torjumiseksi. Noy on myös johtanut suuria tutkimus- ja kehitysorganisaatioita, valmistunut Israelin Talpiot-ohjelmasta ja suorittanut tietojenkäsittelytieteen maisterintutkinnon Tel Aviv Universityssä. Kokemus sekä hyökkääjän että puolustajan näkökulmasta on auttanut muovaamaan Astelian toimintatapaa. Yhtiö keskittyy selvittämään, mitkä haavoittuvuudet ovat organisaation ympäristössä todellisuudessa saavutettavissa ja hyödynnettävissä.

Astelia on tekoälyyn perustuva kyberturvallisuusyritys, joka keskittyy hyökkäyspinnan ja haavoittuvuuksien hallintaan. Israelin kansallisen Red Team -ryhmän veteraanien ja entisten johtajien perustama yritys hyödyntää tekoälyä ja verkko-kohtaista analyysia selvittääkseen, mitkä haavoittuvuudet muodostavat todellisia hyökkäysreittejä sen sijaan, että se nojaisi ensisijaisesti yleisiin vakavuuspisteisiin. Alusta kartoittaa organisaation ympäristön vain luku -integraatioiden avulla, analysoi hyväksikäytön edellytyksiä verkon topologiaa vasten ja auttaa tietoturvatiimejä asettamaan etusijalle haavoittuvuudet, joiden saavutettavuus voidaan osoittaa. Samalla se tunnistaa korjausvaihtoehtoja, kuten päivitysten asentamisen, kokoonpanomuutokset, verkon segmentoinnin tai korvaavat hallintakeinot. Yrityksen laajempana tavoitteena on auttaa organisaatioita vähentämään tutkittavien haavoittuvuusilmoitusten määrää ja kohdentamaan resursseja altistumiin, joita hyökkääjät voisivat realistisesti hyödyntää.

Ennen Astelian perustamista työskentelit yli vuosikymmenen Israelin kansallisen turvallisuuden parissa, muun muassa Unit 8200:ssa ja Israelin kansallisen kyberturvallisuuden Red Team -ryhmän johdossa. Tehtävänäsi oli ajatella ja toimia hyökkääjän tavoin. Mitä nämä kokemukset opettivat sinulle siitä, miten kehittyneet hyökkäykset todellisuudessa etenevät, ja mikä kyberturvallisuusmarkkinoiden puute sai sinut lopulta perustamaan Astelian yhdessä toisen perustajan kanssa?

Yli vuosikymmenen ajan työni oli käytännössä ajatella kuin ihminen, joka yrittää murtautua sisään, eikä kuin ihminen, joka yrittää pitää hänet ulkona. Kokemuksen selkein opetus on, että kehittyneissä hyökkäyksissä on tuskin koskaan kyse yhdestä dramaattisesta aukosta puolustuksessa. Yleensä kyse on kahdesta tai kolmesta pienestä asiasta, joita kukaan ei pitänyt yksinään merkityksellisinä: tiliä ei koskaan poistettu käytöstä, verkon osa, jonka piti olla eristetty mutta ei ollutkaan, tarpeettoman laaja käyttöoikeus ja niin edelleen. Johtaessani kansallista Red Team -ryhmää käytimme paljon enemmän aikaa kohteen verkon todellisen toiminnan ymmärtämiseen kuin itse hyväksikäytön rakentamiseen. Kun tuntee reitit, niiden hyödyntäminen on melkein helppo osuus. Siirryttyäni puolustuksen puolelle aloin huomata tietyn kaavan. Pitkällä listalla oli ”kriittisiä” haavoittuvuuksia, mutta ei mitään todellista keinoa tietää, mitkä niistä hyökkääjä voisi saavuttaa. Astelia perustettiin ratkaisemaan tämä puute: saavutettavuusanalyysi, jota hyökkääjät käyttävät löytääkseen tiensä sisään, valjastetaan puolustajien käyttöön.

Astelia lähestyy haavoittuvuuksien hallintaa eri tavalla: se kartoittaa organisaation todellisen verkkotopologian ja hyödyntää agenttista tekoälyä selvittääkseen, mitkä haavoittuvuudet ovat aidosti saavutettavissa ja hyödynnettävissä. Miten tämä toimii käytännössä, ja miksi uskot perinteisen haavoittuvuuspisteytyksen usein johtavan puolustajat väärien asioiden äärelle?

Kartoittamme organisaation todellisen verkon eli sen, miten järjestelmät käytännössä liittyvät toisiinsa ja missä olemassa olevat verkkokontrollit jo estävät hyökkääjän etenemistä. Käytämme tähän vain luku -integraatioita. Kun meillä on kokonaiskuva, tekoäly käy läpi jokaisen haavoittuvuuden ja selvittää, mitä sen hyödyntäminen käytännössä edellyttäisi, esimerkiksi millaiset käyttöoikeudet tarvitaan, mitä reittiä verkossa pitäisi edetä ja minkä ehtojen pitäisi täyttyä. Sen jälkeen tekoäly vertaa kaikkia näitä tekijöitä verkon todelliseen topologiaan ja olemassa oleviin kontrolleihin. Kaikista skannerin ilmoittamista havainnoista tyypillisesti alle 1 % osoittautuu aidosti saavutettaviksi. CVSS:ää ja EPSS:ää vaivaa sama perustavanlaatuinen ongelma: ne pisteyttävät haavoittuvuuden ikään kuin kaikki verkot olisivat samanlaisia, ikään kuin järjestelmä olisi suoraan alttiina avoimessa internetissä tai ikään kuin koko toimialan hyväksikäyttötrendit kertoisivat jotain juuri sinun ympäristöstäsi. Useimmissa ympäristöissä kumpikaan oletus ei pidä paikkaansa. Kriittiseksi luokiteltu haavoittuvuus kolme verkkohyppyä segmentoidun verkon takana ei ole sama riski kuin julkisessa palvelimessa oleva haavoittuvuus. Toisaalta haavoittuvuus, jonka EPSS-pisteet ovat toimialalla korkeat, ei välttämättä ole lainkaan saavutettavissa sinun verkossasi. Pisteytykset kuvaavat vain tiettyä ajankohtaa eivätkä huomioi verkkoasi. Saavutettavuus muuttuu jatkuvasti, koska verkot ja niitä suojaavat kontrollit muuttuvat.

Olet väittänyt, että suuri osa siitä, mistä puolustajat ovat huolissaan, ei liity siihen, miten hyökkääjät todellisuudessa toimivat. Mitä turvallisuustiimit kokemuksesi mukaan ymmärtävät useimmiten väärin siitä, miten hyökkääjät tunnistavat heikkouksia ja ketjuttavat niitä toisiinsa, kun olet toteuttanut luvallisia hyökkäyksiä erittäin hyvin suojattuja ympäristöjä vastaan?

Yleinen oletus on, että hyökkääjät tavoittelevat vakavimmiksi luokiteltuja haavoittuvuuksia. Käytännössä toimimme harvoin niin. Tavoittelemme sitä, mikä vie meidät nopeimmin lähimmäksi päämääräämme. Usein kyse on jostakin, jonka skanneri on luokitellut keskitason tai matalan vakavuuden löydökseksi: väärin määritellyin käyttöoikeuksin suojatusta tiedostonjaosta, muka suljetusta projektista jäljelle jääneistä tunnuksista tai pienestä jalansijasta, josta tuli vaarallinen vasta, kun se yhdistettiin johonkin, jota kukaan ei pitänyt siihen liittyvänä. Skannerit arvioivat löydökset yksitellen. Hyökkäykset eivät kuitenkaan toimi niin: hyökkääjä tarkastelee aina, miten eri asiat liittyvät toisiinsa. Yksinään harmittomalta vaikuttava asia voi olla juuri se, mitä hyökkääjä tarvitsee siirtyäkseen vähäoikeuksiselta tililtä täyteen hallintaan. Useimmat puolustajat arvioivat yhä riskejä yksi löydös kerrallaan, ja siksi heiltä jäävät huomaamatta todellisuudessa merkitykselliset hyökkäysreitit.

Tekoäly vähentää huomattavasti aikaa ja asiantuntemusta, joita tarvitaan vastikään julkistettujen haavoittuvuuksien muuttamiseen toimiviksi hyväksikäyttömenetelmiksi. Miten tämä muuttaa kyberhyökkäysten taloudellisia edellytyksiä, ja millaiset hyökkääjät hyötyvät eniten yhä kyvykkäämmistä tekoälymalleista?

Aiemmin hyväksikäyttömenetelmän kehittämisen kallein osa oli asiantuntemus: bugin löytäminen, sen täsmällisen hyödyntämistavan selvittäminen ja menetelmän luotettavaksi tekeminen. Työ, johon asiantuntijatiimiltä kului usein kuukausia, voi nyt valmistua muutamassa tunnissa, kun asialla on yleinen hyökkääjä, jolla on käytössään huipputason malleja. Kyse on todellisesta muutoksesta taloudellisissa edellytyksissä. Uuden CVE-haavoittuvuuden valjastaminen hyökkäyskäyttöön vaati aiemmin huomattavia investointeja; nyt niitä tarvitaan tuskin lainkaan, ja aika haavoittuvuuden julkistamisesta toimivan hyväksikäyttömenetelmän valmistumiseen lyhenee jatkuvasti. Useimpia päivityssyklejä ei ole koskaan suunniteltu toimimaan näin nopeasti. Eniten tästä eivät hyödy huipputason valtiolliset toimijat, joilla oli jo ennestään vahvat hyökkäysvalmiudet. Hyötyjiä ovat pienemmät ryhmät ja tilaisuuteen tarttuvat rikolliset, joilla ei aiemmin ollut vastaavaa asiantuntemusta omasta takaa. Tekoäly antaa sen käytännössä heidän käyttöönsä.

Valkoisen talon GOLD EAGLE -aloite perustuu hallinnon, teknologiayritysten ja kriittisen infrastruktuurin toimijoiden tiiviimpään yhteistyöhön. Huipputason tekoälyä hyödynnetään haavoittuvuuksien tunnistamiseen ja korjaamiseen nopeammin. Miten tämä toimintamalli toimii hyökkääjän näkökulmasta, ja missä se voi vielä jäädä puutteelliseksi?

GOLD EAGLE tunnistaa aivan oikein, kuinka paljon aikaa kuluu päällekkäiseen työhön, kun eri organisaatiot etsivät ja arvioivat samaa julkistettua haavoittuvuutta toisistaan riippumatta ennen kuin kukaan ryhtyy tositoimiin. Tällaisen työn keskittäminen ja tekoälyn hyödyntäminen hallinnon ja infrastruktuurin toimijoiden välisen koordinoinnin nopeuttamiseksi vähentää aidosti aikaa, joka hyökkääjällä on käytettävissään. Hyökkääjän näkökulmasta juuri sillä on eniten merkitystä. Tässä pelissä nopeus ratkaisee kaiken. Mielestäni aloite jää kuitenkin puutteelliseksi siinä, ettei koko toimialan kattava koordinointi kerro yksittäiselle yritykselle, voiko tiettyä haavoittuvuutta hyödyntää sen omassa verkossa. Organisaatiolla voi olla käytössään hyvin priorisoitu uhkatietosyöte, mutta se ei silti välttämättä tiedä, koskeeko se juuri sitä. Viimeinen vaihe eli tilanteen tarkistaminen oman verkkotopologian perusteella on edelleen kunkin organisaation vastuulla.

Yli 100 teknologia-, kyberturvallisuus-, rahoitus- ja infrastruktuurialan organisaatiota on varoittanut, että puolustuksen vahvistamiseen voi olla vain rajallisesti aikaa ennen kuin tekoälyn mahdollistamat hyökkäykset yleistyvät huomattavasti. Oletteko samaa mieltä tilanteen kiireellisyydestä, ja mitä organisaatioiden pitäisi realistisesti saada aikaan tämän ”puolustajien aikaikkunan” aikana?

Olen samaa mieltä tilanteen kiireellisyydestä, vaikka perustelisin sitä hieman toisin. Tekoälyn mahdollistamat hyökkäykset eivät ole tulevaisuuden uhka: aika haavoittuvuuden julkistamisesta toimivan hyväksikäyttömenetelmän valmistumiseen lyhenee jo nyt nopeammin kuin useimmat organisaatiot ehtivät asentaa korjauksia. Kilpaa ei ole realistista yrittää voittaa pelkästään asentamalla korjaukset nopeammin. Sen sijaan tämän ajanjakson aikana on realistista perehtyä omaan toimintaympäristöön. Se tarkoittaa todellisen verkkotopologian tuntemista, sen selvittämistä, mitä haavoittuvuuksia voi todella hyödyntää, sekä toimien keskittämistä tähän pienempään joukkoon sen sijaan, että niitä hajautettaisiin tuhansiin teoreettisiin löydöksiin. Tänä aikana kannattaa myös kehittää korjausvaihtoehtoja päivitysten lisäksi, kuten verkon segmentointia tai kokoonpanomuutoksia, sillä pelkkä päivitysten asentamisnopeus ei pysy tekoälyn vauhdittaman hyväksikäyttömenetelmien kehittämisen tahdissa.

Yhteinen kyberpuolustus riippuu vahvasti siitä, että organisaatiot jakavat haavoittuvuuksia ja uhkia koskevaa tietoa. Mitä teknisiä tai kulttuurisia muutoksia tarvitaan, jotta hallitukset ja yksityiset yritykset voivat jakaa hyödyllistä tietoa riittävän nopeasti, mutta luomatta samalla uusia tietoturvariskejä?

Tekninen haaste on helpompi ratkaista. Vaikeampi ongelma on luottamus. Mikään organisaatio ei halua paljastaa oman toimintaympäristönsä heikkoutta ja ottaa riskiä siitä, että tieto voidaan yhdistää siihen – etenkin jos heikkous mainitaan myöhemmin tietomurtoa käsittelevässä raportissa. Toimiva ratkaisu on jakaa hyödyllistä tietoa niin, ettei siitä voi tunnistaa organisaatiota: kertoa, miten haavoittuvuutta voidaan hyödyntää, sen sijaan että kuvauksesta voisi päätellä, mistä yrityksestä on kyse. Tämä edellyttää parempaa infrastruktuuria ja sitä, että koneellisesti luettavaa uhkatietoa välitetään automaattisia kanavia pitkin PDF-tiedostojen ja postituslistojen sijaan. Infrastruktuuri ei kuitenkaan ole koskaan ollut varsinainen este. Esteenä on se, että useimmat organisaatiot kokevat tiedon jakamisen edelleen oikeudelliseksi riskiksi eivätkä keinoksi suojata itseään. Neutraaliin ja luotettavaan välittäjään kuuluu se, mitä GOLD EAGLE pyrkii tarjoamaan, ja se voisi auttaa merkittävästi muuttamaan tilannetta.

Astelia painottaa ”tavoitettavuutta” eikä pelkästään vakavuutta tai tunnetun hyväksikäyttötavan olemassaoloa. Kun tekoäly nopeuttaa haavoittuvuuksien hyväksikäyttömenetelmien kehittämistä ja tekee niistä mahdollisesti yleisempiä, nouseeko tavoitettavuus aiempaa tärkeämmäksi riskin mittariksi, ja miten tietoturvajohtajien tulisi arvioida haavoittuvuuksien priorisointia uudelleen tämän käsitteen pohjalta?

Tavoitettavuuden merkitys ei ole vain kasvamassa, vaan siitä on tulossa mittari, joka todella ratkaisee. Vakavuus on aina ollut vain arvio siitä, kuinka paljon vahinkoa jokin voi aiheuttaa; tavoitettavuus kertoo, voidaanko haavoittuvuutta hyväksikäyttää juuri nyt omassa ympäristössäsi. Puolustajat saattoivat aiemmin olettaa, että useimmat vähäisen vakavuuden havainnot voidaan jättää korjaamatta kuukausiksi, koska kukaan ei todennäköisesti käyttäisi niitä hyökkäyksissä. Tämä oletus ei enää päde, kun hyväksikäyttömenetelmien kehittäminen on nopeaa ja halpaa. Painopisteen on siirryttävä vakavuuden mukaan järjestetystä tehtävälistasta sellaisten altistumien poistamiseen, jotka ovat todella tavoitettavissa. Sen, mikä erottaa harvat merkitykselliset haavoittuvuudet kaikista muista, ratkaisee se, voiko hyökkääjä päästä niihin käsiksi todellisessa verkossasi. Tietoturvajohtajien tulisi pyytää näyttöä tavoitettavuudesta, ei uutta CVSS-pisteytyksen päälle lisättävää arvosanaa.

Astelia hyödyntää tekoälyagentteja myös haavoittuvuuksien hallinnan eri vaiheissa uusien altistumien tunnistamisesta korjaustoimien koordinointiin. Kuinka itsenäisesti kyberturvallisuusagenttien tulisi lopulta toimia, kun ne pystyvät tekemään muutoksia tuotantoympäristöihin, ja missä asioissa ihmisten tulisi ehdottomasti pysyä mukana?

Agenteilla tulisi olla todellista itsenäisyyttä analyysissä: verkon kartoittamisessa, hyväksikäytön edellytysten selvittämisessä, uusien tietoturvajulkistusten yhdistämisessä toisiinsa ja tavoitettavissa olevien haavoittuvuuksien esiin nostamisessa. Nopeudesta on eniten hyötyä juuri tässä, ja virhe tarkoittaa vain huonoa suositusta, jonka ihminen huomaa. Vedän selvän rajan valvomattomille tuotantoon tehtäville muutoksille. Ilman tietoa verkon tavoitettavuudesta korjaustoimea toteuttava agentti toimii arvauksen varassa, ja vääränlainen palomuurisääntö tai verkon segmentointiin tehty muutos voi aiheuttaa enemmän vahinkoa kuin haavoittuvuus, joka sillä oli tarkoitus korjata. Siksi myös suurin osa siitä, mitä nykyään markkinoidaan ”autonomisena korjaamisena”, on todellisuudessa tikettien automaattista luomista. Yritykset haluavat, että ihminen hyväksyy tällaiset muutokset, varsinkin kun korjauspäivitystä ei aina ole saatavilla. Oikea toimintamalli on, että agentit ehdottavat näyttöön perustuvia korjauksia ja ihminen hyväksyy ne ennen kuin mitään muutetaan tuotantoympäristössä. Rajaa voidaan höllentää tavoitettavuustiedon karttuessa ja luottamuksen kasvaessa tarkasti rajattuihin, hyvin testattuihin muutostyyppeihin, mutta tuotantoympäristössä toimiminen ilman valvontaa ei ole oikea lähtökohta.

Kun sekä hyökkääjät että puolustajat saavat tulevaisuudessa käyttöönsä yhä kyvykkäämpiä autonomisia tekoälyjärjestelmiä, miten arvioit hyökkäävän ja puolustavan kyberturvallisuuden välisen tasapainon muuttuvan, ja mikä erottaa seuraavaan vaiheeseen valmistautuneet organisaatiot niistä, jotka eivät ole siihen varautuneet?

Hyökkääjillä on tekoälyn ansiosta etulyöntiasema alkuvaiheessa, koska he tarvitsevat vain yhden toimivan reitin ja tekoäly soveltuu hyvin sen nopeaan löytämiseen: tiedustelu nopeutuu, hyväksikäyttömenetelmien kehittäminen nopeutuu ja tietojenkalasteluviesteistä tulee uskottavampia. Puolustajat eivät kurota tätä eroa umpeen käyttämällä tekoälyä samojen asioiden tekemiseen nopeammin. Ero kurotaan umpeen käyttämällä tekoälyä niiden haavoittuvuuksien löytämiseen ja poistamiseen, joihin omassa verkossa todella pääsee käsiksi, oman ympäristön olosuhteet huomioiden, sen sijaan että riskejä hallittaisiin yleisten, koko toimialaa koskevien uhkatietojen perusteella. Valmistautuneet organisaatiot erottuvat sen perusteella, ovatko ne siirtyneet tähän toimintatapaan ennen kuin niiden oli pakko ja pystyvätkö ne näyttöön perustuen kertomaan, mitkä niiden haavoittuvuuksista ovat todella hyödynnettävissä omassa ympäristössä, sen sijaan että ne luottaisivat korjausaikataulunsa pysyvän uhkien tahdissa. Organisaatioita, jotka hallitsevat riskejä edelleen yleisellä tasolla, yllättää jatkossakin jokin sellainen, jonka niiden oma haavoittuvuusskanneri arvioi vuotta aiemmin vähäiseksi prioriteetiksi.

Kiitos hienosta haastattelusta. Jos haluat oppia lisää, käy tutustumassa sivustoon Astelia.