Ben Bernstein, Huntressin kyberturvallisuusneuvonantajien johtaja – Interview Series

Ben Bernstein, Huntressin kyberturvallisuusneuvonantajien johtaja, on kyberturvallisuusalan ammattilainen, jolla on yli kymmenen vuoden kokemus teknisestä tuesta, järjestelmähallinnasta, asiakassuhteiden menestyksestä, teknisestä asiakkuuksien hallinnasta ja turvallisuusneuvonnan johtamisesta. Hän aloitti uransa käytännön IT‑tehtävissä, edeten tukipalveluista järjestelmähallintaan ennen siirtymistään asiakkuuksien hallintaan ja asiakassuhteiden menestykseen yrityksessä Integris. Bernstein vietti myöhemmin kolme vuotta Red Canaryssa, jossa hän hoiti yritysasiakkaiden suhteita teknisen asiakkuuspäällikön ja Senior Enterprise – Tekninen asiakkuuspäällikön roolissa. Liityttyään Huntressiin vuonna 2024 perustavana Teknisen asiakkuuspäällikön, hän on edennyt teknisen asiakkuuksien hallinnan johdossa ja johtaa nyt yrityksen kyberturvallisuusneuvonantajia hyödyntäen teknistä asiantuntemustaan ja asiakasyhteistyökokemustaan auttaakseen organisaatioita ymmärtämään ja reagoimaan kehittyviin kyberuhkiin.

Huntress on kyberturvallisuusyritys, joka tarjoaa täysin hallinnoidun turvallisuusalustan, jonka tarkoitus on suojata organisaatioita päätelaitteiden, identiteettien, lokien ja käyttäjien tasolla. Sen alusta yhdistää teknologioita, kuten Hallinnoitu päätelaitteiden havaitseminen ja reagointi (EDR), Identiteettien uhkien havaitseminen ja reagointi (ITDR), Turvallisuustiedon ja tapahtumien hallinta (SIEM) sekä turvallisuustietoisuuden koulutus, ja se toimii 24/7 AI‑keskitteisessä Security Operations Centerissa (SOC), jossa työskentelevät ihmisturvallisuusasiantuntijat. Huntressin mukaan sen teknologia suojaa tällä hetkellä yli 5 miljoonaa päätelaitetta ja 15 miljoonaa identiteettiä yli 277 000 yrityksessä, ja sen tiimi hoitaa uhkien havaitsemisen, tutkimuksen, reagoinnin ja korjaamisen asiakkaiden puolesta.

Aloitit urasi tukipalveluissa ja järjestelmähallinnassa ennen siirtymistäsi tekniseen asiakkuuksien hallintaan ja lopulta kyberturvallisuusneuvonnan johtoon Huntressissa. Miten tämä käytännön IT‑tausta on muokannut tapaasi ajatella turvallisuutta tänään, erityisesti kun samat työkalut, joihin ylläpitäjät luottavat, voivat myös muodostua hyökkääjän sisäänpääsypisteeksi?

Olen ikuisesti kiitollinen IT‑taustastani joka päivä, nyt kun olen omistautunut kyberpuolelle. Se antaa minulle käytännön näkökulman. Kun tiedät, miten käyttöjärjestelmät, sovellukset ja järjestelmäprosessit käyttäytyvät, kun kaikki toimii normaalisti, poikkeamat ja uhat erottuvat selvästi. IT‑aikani on myös kehittänyt ongelmanratkaisu‑ ja perimmäisen syyn löytämisen ajattelutavan. Opit nopeasti, että sinun on seurattava ketjua varmistaaksesi, että kartoitat täysin ongelman tai uhan.

Muistan luottaneeni voimakkaasti samoihin työkaluihin, kuten RMM:iin, joita uhkatoimijat nykyään väärinkäyttävät. Kun olen itse ottanut ne käyttöön, arvostan täysin niiden voimaa sekä IT‑ylläpitäjän että hyökkääjän käsissä. Koska RMM:t ovat kaikkialla, se asettaa painetta turvallisuustiimeille tarkastella kaikkea niiden suorituksen ympärillä tapahtuvaa toimintaa. RMM:n ajaminen koneella ei sinänsä ole pahantahtoista. Mutta jos tuo RMM yhtäkkiä alkaa pudottaa lisätyökaluja tai luoda tuntemattomia skriptejä, se pakottaa puolustajat lopettamaan luottamisen luotettaviin ohjelmistolistoihin ja keskittymään täysin käyttäytymisen havainnointiin.

AI:stä puhutaan usein kyberturvallisuudessa kehittyneinä autonomisina hyökkääjinä, mutta kuinka suuri osa AI:n välittömästä vaikutuksesta on vain se, että tavalliset kyberrikolliset tulevat nopeammiksi ja kykenevämmiksi? Oletammeko pisteessä, jossa suhteellisen vähän taitavat hyökkääjät voivat toteuttaa kampanjoita, jotka aiemmin vaativat paljon syvempää teknistä asiantuntemusta?

Tällä hetkellä on paljon paniikkia autonomisista AI‑hakkerointijärjestelmistä, mutta todellisuus on, että tämä ei ole uutta ammattitaitoa. Nämä mallit eivät murra verkkoihin käyttäen erittäin kehittyneitä tekniikoita. Ne tekevät täsmälleen sen, mitä ihmiskoodin harrastajat (script kiddies) ovat tehneet vuosia, eli skannaavat internetiin altistuneita, päivittämättömiä ja väärin konfiguroituja kohteita. Se saa otsikoita, koska ilmaus “autonomous AI” kuulostaa pelottavalta tai houkuttelevalta riippuen siitä, keneltä kysytään, mutta näiden hyökkäysten todelliset mekanismit ovat perusasioita.

Varsinainen ongelma, jonka kohtaamme, on se, että AI laskee kyberrikollisten kynnystä päästä alalle. Hyökkääjät voivat automatisoida hyökkäyksen työläät osat ja laajentaa toimintaansa ilman syvällistä teknistä asiantuntemusta. Tämä mahdollistaa vähäosaisten hyökkääjien toteuttaa kampanjoita paljon nopeammin, mikä asettaa suurta painetta yrityksille. Et voi enää asentaa turvallisuustyökalua ja unohtaa sitä. Organisaatioiden on oletettava, että niiden verkkoja tutkitaan jatkuvasti.

Huntress on havainnut hyökkääjien käyttävän LLM‑luomia infostealer‑skriptejä RMM‑tunkeutumisten aikana. Mitä tämä kertoo siitä, miten generatiivinen AI muuttaa kyberrikollisuuden taloustiedettä ja saavutettavuutta?

Se kertoo, että generatiivinen AI tehostaa kyberrikollisuuden operatiivista taakkaa. Infostealer‑skriptin kirjoittaminen ei ole uutta teknistä työtä, mutta se on perinteisesti vaatinut paljon kehittäjäaikaa tai erikoistyökalujen ostamista laittomilta foorumeilta. Käyttämällä LLM:ää uhrin verkossa hyökkääjät voivat luoda toimivia, räätälöityjä skriptejä tarpeen mukaan sen sijaan, että turvaisivat valmiiksi rakennettuun haittaohjelmistoon.

Vaikka näiden mallien käyttöön liittyy edelleen joitakin kustannuksia, sisäänpääsyn kynnys on alhaisempi kuin koskaan. Havaitsemme usein, että keskimääräiset hyökkääjät hyödyntävät näitä työkaluja työskennelläkseen nopeammin ja poistaakseen manuaaliset koodaustehtävät. Tämä muuttaa hyökkäyksen taloutta perusteellisesti tekemällä toteutusvaiheen erittäin saavutettavaksi, jolloin vähemmän taitavat toimijat voivat laajentaa toimintaansa ilman syvällistä teknistä asiantuntemusta.

Huntress raportoi 277 %:n vuosi‑vuodelta kasvun etävalvonta‑ ja hallintatyökalujen (RMM) väärinkäytöissä. Miksi lailliset RMM-alustat ovat niin houkutteleva vaihtoehto räätälöidylle haittaohjelmistolle, ja mitä etuja ne antavat hyökkääjille, kun ne saavat pääsyn?

RMM-työkalujen itsessään ei ole mitään luontaista pahaa. Ne palvelevat tärkeää tarkoitusta, auttaen IT‑ylläpitäjiä ja MSP‑yrityksiä työskentelemään tehokkaasti ja tukemaan käyttäjiä. Ongelma on, että räätälöidyt haittaohjelmat merkitään perinteisissä virustorjuntaohjelmissa, kun taas RMM‑työkalut ovat allekirjoitettuja, luotettuja ja kiertävät tavalliset suojausmekanismit. Hyökkääjälle vielä parempaa on se, että RMM‑agentit toimivat luonnollisesti kohonnutina järjestelmänvalvojan oikeuksilla ja tarjoavat sisäänrakennetun pysyvyyden, mikä tarkoittaa, että ne pysyvät aktiivisina järjestelmän uudelleenkäynnistyksen jälkeen ilman lisäponnistuksia pääsyn ylläpitämiseksi.

Kun hyökkääjä saa oman RMM‑agenttinsa käyntiin kohdekoneessa, hänellä on käytännössä etäohjauskonsoli. Hän voi siirtää tiedostoja sujuvasti molempiin suuntiin, ja usein hän asettaa RMM‑instanssinsa etukäteen haitallisilla skripteillä ja työkaluilla, jotka voidaan suorittaa kaikilla päätelaitteilla yhdellä napsautuksella. Koska sovellus itsessään on laillinen, puolustajat eivät voi yksinkertaisesti estää työkalua. Tämä pakottaa turvallisuustiimit luopumaan luotettujen ohjelmistolistojen varaan ja keskittymään käyttäytymisen havainnointiin, mikä tekee 24/7‑valvonnasta olennaista, jos haluaa napata hyökkääjän, joka väärinkäyttää hallinnollista ohjelmistoa.

Yksi Huntressin dokumentoima tekniikka on hyökkääjien “ketjuttama” useiden RMM‑työkalujen käyttö, jolloin telemetria hajautuu ja luodaan redundanssia pääsylle. Voisitko käydä läpi, miten tällainen tunkeutuminen yleensä etenee ja miksi se voi olla niin vaikea puolustajille tunnistaa?

Tässä on yksi erityisen mielenkiintoinen esimerkki, jonka saimme kiinni ja kirjoitimme siitä blogi kerran. Tunkeutuminen alkoi phishing‑sähköpostilla, jossa käytettiin väärennettyä liiketoimintadokumenttia, kuten “Network Solutions Agreement”. Uhri klikkasi sähköpostin linkkiä, päätyi sivulle, jonka takana oli väärennetty CAPTCHA, ja latasi sen, mitä hän luuli olevan tavallinen PDF‑ tai palveludokumentti. Todellisuudessa lataus oli suoritettava asennusohjelma. Kun käyttäjä kaksoisklikkasi tiedostoa avatakseen sopimuksen, hän asensi hiljaisesti laillisen, mutta valtuuttamattoman etäyhteystyökalun nimeltä Tiflux RMM.

Kun uhka-aktori sai Tiflux‑agentin käyntiin, hän käytti sen sisäänrakennettuja ominaisuuksia välittömästi työntääkseen ja sivulataakseen lisätyökaluja, kuten Splashtopia, ScreenConnectia ja UltraVNC:tä, täsmälleen samalle koneelle. On tärkeää huomata, että nämä kaikki ovat itsessään lisälegitiimejä RMM‑työkaluja.

Hyökkääjät tekevät näin luodakseen super‑pysyvyyttä. He tietävät, että jos IT‑ylläpitäjä havaitsee yhden valtuuttamattoman etätyökalun ja poistaa sen, hyökkääjällä on yhä kaksi tai kolme muuta aktiivista takaporttia odottamassa. Tämä taktiikka hajauttaa telemetriaa. Turvallisuusympäristöt näkevät vain erillisiä, allekirjoitettuja hallinnollisia sovelluksia, jotka toimivat samanaikaisesti ja soittavat kotiin laillisen toimittajan infrastruktuuriin. Ellei puolustaja aktiivisesti seuraa tätä toimintaa ja kysy, miksi yhdellä päätelaitteella yhtäkkiä tarvitaan useita eri etähallinta‑agentteja samana iltapäivänä, se sulautuu vain rutiininomaisen IT‑ylläpidon taustameluun.

24/7‑käyttäytymisen valvonnan lisäksi toinen tehokas kontrolli on päätepisteiden turvallisuusaseman hallinta ja sovellusten hallinta. Jos organisaatio määrittelee nimenomaisesti, mitkä RMM‑versiot ovat sallittuja koneillaan, se voi estää hyväksymättömien työkalujen suorittamisen kokonaan, pysäyttäen ketjuttamisen ennen kuin se alkaa.

Perinteiset turvallisuusmallit erottavat usein luotetun ja ei‑luotetun ohjelmiston, mutta RMM‑hyökkäykset hyödyntävät työkaluja, jotka voivat olla laillisia, allekirjoitettuja ja jo IT:n hyväksymiä. Tarkoittaako tämä, että puolustajien on siirryttävä pois kysymästä, onko sovellus luotettu, ja keskityttävä sen sijaan, onko sen käyttäytyminen luotettu?

Kyllä, ehdottomasti. Perinteinen binaarinen luottamusmalli on rikki. Binaarinen allekirjoitus suunniteltiin varmistamaan, että sovellus on peräisin lailliselta toimittajalta, ei takaamaan, että sen toiminnot ovat turvallisia.

Jos hyökkääjä käyttää allekirjoitettua RMM‑binaaria tai “living‑off‑the‑land”‑apuohjelmaa, itse suoritustiedosto on puhdas, mutta sen takana oleva toiminta on haitallista. Puolustajien on siirryttävä pois kysymästä “Onko tämä tiedosto luotettu?” ja alettava keskittyä siihen, onko sen käyttäytyminen järkevää kontekstissa. RMM:n ajaminen koneella ei ole itsessään pahaa. Mutta jos työkalu yhtäkkiä alkaa pudottaa lisäapuohjelmia, käynnistää tuntemattomia skriptejä tai suorittaa toimintoja klo 2 aamulla palvelutilin alla, se on merkki kompromissista. Konteksti ja käyttäytyminen ovat aina olleet tärkeitä, mutta kun hyökkääjät turvautuvat niin paljon luotettuun ohjelmistoon, ne ovat nyt tärkeämpiä kuin koskaan.

Kun tekoäly tiivistää ajan haavoittuvuuden tai konfiguraatiokuilun havaitsemisen ja sen hyödyntämisen välillä, miten se muuttaa turvallisuusaseman hallinnan roolia? Mitä identiteetti‑, päätepiste‑ ja etäyhteys‑heikkouksia organisaatioiden tulisi priorisoida ennen kuin hyökkääjillä on mahdollisuus hyödyntää niitä?

Turvallisuusasennon hallinta on tärkeämpää kuin koskaan, koska se auttaa organisaatioita proaktiivisesti sulkemaan yleiset turvallisuushaavoittuvuudet, joita hyökkääjät hyödyntävät päivittäin. Se täydentää havaitsemista ja reagointia tunnistamalla ja käsittelemällä jatkuvasti esimerkiksi virheellisiä asetuksia, liiallisia oikeuksia, luvattomia sovelluksia ja muita heikkouksia päätelaitteissa ja identiteeteissä. Kun haavoittuvuuden julkistamisen ja automatisoidun skannauksen välinen aika kutistuu tunneiksi, näiden aukkojen kaventaminen ennen kuin ne voidaan hyödyntää on olennaista. Organisaatioiden on ylläpidettävä johdonmukaista, vahvistettua asennetta eri ympäristöissä vähentääkseen kohtaamiensa tapahtumien määrää ja rajoittaakseen, mihin hyökkääjä pääsee, jos hän pääsee sisään.

Vaikka lähes jokainen kyberturvallisuusmyyjä mielellään \”kouluttaa\” (tai pelottelee) yleisöä siitä uhkasta tai turvallisuusalueesta, johon he myyvät ratkaisuja, todellinen prioriteettilista on jokaisen organisaation itse päätettävä asia. Jokainen yritys arvostaa CIA‑kolmion eri komponentteja eri tavoin, ja jokaisella yrityksellä on arkaluonteista dataa tallennettuna tai käytettävissä eri paikoissa. Todellinen neuvo, jonka useimpien yritysten tulisi kuulla, on arvioida, mitkä tiedot, omaisuudet tai tuotantojärjestelmät ovat kriittisimpiä niiden toiminnalle, ja sen jälkeen edetä taaksepäin suojatakseen tärkeintä.

Kasvaa huoli siitä, että tekoälyagentit lopulta toteuttavat merkittäviä osia hyökkäyksen elinkaaresta itsenäisesti. Mitä kykyjä tulisi parantaa, ennen kuin autonomiset kyberhyökkäykset muuttuvat merkittävästi vaarallisemmiksi kuin nykyiset tekoälyavusteiset hyökkäykset, ja valmistautuvatko puolustajat riittävän nopeasti?

Huoli autonomisista agenteista viittaa siihen, että kyseessä on tulevaisuuden ongelma, mutta näemme jo niiden toteuttavan hyökkäyksiä tänään. Kuitenkin nämä autonomiset hyökkäykset ovat kaukana täydellisestä. Katso äskettäistä JadePuffer‑kiristysohjelmakampanjaa. Se toteutettiin kokonaan tekoälyagentin toimesta, mutta se teki selviä virheitä. Malli näki toiminnan osia, mukaan lukien keksittyä Bitcoin‑lompakon osoitetta lunnausviestiä varten. Vieläkin naurettavampaa, tekoäly unohti tallentaa tai lähettää salausavaimen. Se vain tulosti satunnaisesti luodun avaimen väliaikaiseen konsolilähtöön ja sulki istunnon, mikä teki uhrin tietojen palauttamisesta matemaattisesti mahdotonta, vaikka hän maksaisi.

Totuus on, että taktiikoiden, tekniikoiden ja menettelytapojen näkökulmasta autonominen tekoäly, automatisoidut skriptit ja ihmishyökkääjät tekevät täsmälleen samaa. Ne hyödyntävät edelleen samoja internetiin altistuneita, haavoittuvia ja väärin konfiguroituja kohteita. Tekoälyn on silti kuljettava läpi perinteisen tappoketjun. Sen täytyy edelleen saavuttaa alkupääsy, nostaa oikeuksia, liikkua lateraalisesti ja suorittaa hyötykuormansa. JadePuffer‑tapauksessa se käytti vain tunnettua, paikkaukselta puuttuvaa haavoittuvuutta päästäkseen sisään ja kulki sitten kömpelösti verkon läpi.

Koska hyökkäyksen perusmekaniikat eivät ole muuttuneet, puolustajien ei tarvitse hylätä nykyistä toimintamalliaan. Tarvitaan edelleen kerroksellista suojaa, perus‑IT‑hygieniaa ja vahvaa käyttäytymisen havaitsemista. Muuttuu se paine ja nopeus, jolla puolustajien on käsiteltävä tapahtumia ja priorisoitava hälytyksiä. Kun tekoälyagentti tekee virheen, lukee virhelokin ja korjaa itseään sekunneissa jatkaakseen eteenpäin, puolustajien täytyy vain sopeutua siihen nopeaan tahtiin, jolla kyberhyökkäykset nyt etenevät.

Hyökkääjät omaksuvat tekoälyn, mutta puolustajilla on pääsy moniin samoihin teknologioihin. Missä näet tekoälyn tarjoavan suurimman puolustuksellisen edun: epätavallisen käyttäytymisen havaitseminen, telemetrian analysointi, haavoittuvuuksien priorisointi, reagoinnin automatisointi vai jossain täysin muussa?

Ensinnäkin se on erittäin tehokas sinisen tiimin korrelaatioon. Turvallisuustiimeillä ei ole dataprobleemaa; niillä on meluprobleema. Tekoäly on uskomattoman hyödyllinen hakemaan neulat heinäsuovasta, yhdistämään erilaiset, näennäisesti toisiinsa liittymättömät tapahtumat ja liimaamaan ne yhteen kertomaan täydellisen tarinan tunkeutumisesta.

Toiseksi tekoäly tekee puolustajille juuri sen, mitä se tekee hyökkääjille, eli kaventaa taitojen kuilua. Kun nuori SOC‑analyytikko kohtaa voimakkaasti peitellyn skriptin tai monimutkaisen hälytyksen, hän voi käyttää LLM:ää kääntääkseen tiedot välittömästi selkeäksi englanniksi. Se poistaa manuaalisen käänteissanalyysin raskauden ja mahdollistaa puolustajien triage‑ ja reagointikyvyn paljon nopeammin.

Lopuksi, katsottuna reaktiivisen puolustuksen yli, punaisilla ja violettaisilla tiimeillä on valtava mahdollisuus käyttää tekoälyä proaktiivisesti testaamaan ja vahvistamaan puolustuksia. Täysin määritellyt, ihmisten johtamat penetraatiotestit ovat edelleen ehdottoman välttämättömiä. Mutta tekoäly madaltaa teknistä kynnystä pienempien, atomisten testien suorittamiseen eri kerrosten validointiin turvallisuuspinossa. Sen sijaan, että odotettaisiin vuosittaista pen‑testiä tai ruksattaisiin sormia, kun todellinen orgaaninen uhka ilmestyy, organisaatiot voivat käyttää tekoälyä turvallisesti ja usein testatakseen omia ympäristöjään ja nähdä, mikä todella hajoaa.

Katsottaessa tulevaisuutta, odotatko kyberturvallisuusalan siirtyvän ympäristöön, jossa sekä hyökkääjät että puolustajat toimivat yhä enemmän autonomisten agenttien kautta? Jos näin on, mikä lopulta määrää, kenellä on etu, kun molempien osapuolten koneet voivat tunnistaa ja reagoida uhkiin koneen nopeudella?

AI ravistaa ehdottomasti maanalaista taloutta. Kyberrikollisuuden palveluna -pimeäverkkomarkkinat ovat menestyneet myymällä haittaohjelmia ja skriptejä, koska niiden luominen vaati perinteisesti erikoistuneita kehittäjätaitoja. AI muuttaa tämän ekosysteemin saavutettavuutta ja taloutta antamalla vähemmän taitaville toimijoille mahdollisuuden tuottaa omaa työkalua kysynnän mukaan. Sen todennäköisesti sulkee oven monilta perinteisiltä, hyllyltä löytyviltä haittaohjelmavalmistajilta. Miksi uhkatoimija maksaisi geneerisestä hyllyltä löytyvästä haittaohjelmasta maanalaisessa foorumissa, kun hän voi yksinkertaisesti pyytää LLM:ää luomaan räätälöidyn työkalun tarpeen mukaan?

Kun molemmat osapuolet ovat varustautuneet AI:lla, etu riippuu infrastruktuurista, hienosäädöstä ja valvonnasta. Se muuttuu taisteluksi siitä, kenellä on suurempi laskentabudjetti (kenellä on enemmän poltettavia tokeneita) ja kenellä on paremmin viritetty malli. Uhka-tekijöille testinä on, pystyykö heidän AI:nsä iteratiivisesti vianmääritykseen, virhelokien lukemiseen ja asianmukaiseen siirtymiseen, kun hyökkäys epäonnistuu. Puolustajille testinä on, ovatko havaitsemistyökalut todella viritettyjä ja onko dataputkistot asianmukaisesti kytkettyjä syöttämään AI:lle oikeaa telemetriaa reaaliajassa. Mutta tärkeämpää on, riippuuko sinulla ihmisen asiantuntijoista, joilla on liiketoimintaymmärrys, jotta he voivat tehdä kriittisiä harkintapäätöksiä, kuten lukea AI:n tulkintaa tapahtumasta ja päättää, eristetäänkö kompromettoitu kone vai otetaanko tuotantojärjestelmä pois verkosta uhan rajoittamiseksi.

Lopulta AI ei muuta turvallisuuden perusperiaatteita. Parhaiten menestyvät yritykset ovat ne, jotka jatkavat pientenkin asioiden tekemistä oikein. Kyse on hyökkäyspinnan pienentämisestä, haavoittuvuuksien paikkaamisesta, kokoonpanojen vahvistamisesta, 24/7‑valvonnasta, kompromissin oletuksesta ja puolustusten säännöllisestä proaktiivisesta testaamisesta. AI on vain nopeuttaja. Se, joka toteuttaa perusasiat nopeammin ja johdonmukaisemmin, on se, joka voittaa.

Kiitos erinomaisesta haastattelusta, lukijoiden, jotka haluavat oppia lisää, tulisi käydä Huntress-sivustolla.