Keith Stewart, Humanixin perustaja ja toimitusjohtaja – Haastattelusarja

Keith Stewart, Humanixin perustaja ja toimitusjohtaja, on kyberturva-alan veteraani, jolla on yli 25 vuoden kokemus tuotejohtamisesta, insinööritöistä, liiketoimintakehityksestä ja johtamisesta alan tunnetuimmissa yrityksissä, kuten Cisco, Brocade, Riverbed ja vArmour. Ennen Humanixin perustamista vuonna 2023 hän toimi vArmourin vt. toimitusjohtajana ja tuote- ja insinööripäällikkönä, jossa hän auttoi yritystä kokoamis- ja siirtymäprosessissa pilvipohjaiseen liiketoimintamalliin. Uransa aikana Stewart on johtanut globaaleja tiimejä, johtanut merkittäviä kyberturva-alan tuotealoitteita, osallistunut rahoitustoimiin ja yritysostoihin sekä ollut avainroolissa kehittämässä seuraavan sukupolven turvallisuusteknologioita. Hänen laaja taustansa yritysturva-alalla ja syvä ymmärrys siitä, miten hyökkääjät hyödyntävät ihmiskäyttäytymistä, johtivat hänet perustamaan Humanixin tehtävänään suojella ihmisiä yhä monimutkaisemmilta sosiaalisen insinöörityön hyökkäyksiltä.

Humanix on kyberturva-alan yritys, joka on edelläkävijä “ihmisen tason” turvallisuuden suojaamisessa, jota se kutsuu Human Threat Detection and Response (HTDR):ksi. Sen sijaan, että keskittyisi pelkästään päätepisteisiin, verkkoihin ja infrastruktuuriin, Humanix käyttää keskustelupalvelun AI:ta, joka on koulutettu ihmisen psykologiaan ja luonnollisen kielen hyökkäysmalliin, havaitsemaan manipulointia, petosta, henkilön impersonointia ja muita sosiaalisen insinöörityön taktiikoita ääni-, chat-, sähköposti-, video- ja palvelupöytävuorovaikutuksissa. Alusta on suunniteltu tunnistamaan hyökkäykset reaaliajassa, jotta organisaatiot voivat estää rikkomiset ennen kuin hyökkääjät hyödyntävät työntekijöitä, alihankkijoita tai asiakkaita. Humanixin lähestymistapa heijastaa kasvavaa ymmärrystä siitä, että useimmat onnistuneet kyberhyökkäykset kohdistuvat ihmisiin eikä järjestelmiin, ja yritys pyrkii tarjoamaan turvallisuustiimeille saman tason näkyvyyttä ja vastauskykyä ihmisten kohdistamiin uhkiin kuin perinteisiin kybertuhkiin.

Olet johtanut merkittäviä muutoksia yrityksissä kuten vArmour, mukaan lukien SaaS-siirtymät, insinööritiimien skaalaus ja kokoamisprosessin navigointi. Mikä tarkka aukko tai käännepiste johti sinut perustamaan Humanixin, ja miksi keskittyä niin voimakkaasti ihmisten sijaan järjestelmien turvaamiseen?

Jokaisen organisaation turvallisuusasemassa suurin haaste on ihmisen riski. Ihmiset ovat sekä voimakkain puolustusvariemme että suurin jatkuva haavoittuvuutemme. Tämä on kuitenkin ongelma, jota ei ole jatkuvasti ratkaistu. Alan vastaus on ollut koulutus – tehokkaasti yrittäen muuttaa keskivertotyöntekijä kyberturva-asiantuntijaksi yhden tunnin istunnossa. Tiedämme, ettei se toimi, mutta meillä ei ole ollut parempia ratkaisuja.

Kaksi asiaa on muuttunut äskettäin, yksi huonommaksi ja yksi paremmaksi. Ensinnäkin, huonommaksi: AI tekee hyökkäykset, jotka kohdistuvat ihmisiin suoraan, helpommaksi. Voit nyt olla teini ikäinen toisella puolella maailmaa, et puhu sanaakaan englantia, et tiedä mitään tietyistä yrityksistä, ja yhtäkkiä LLM antaa sinulle melkein kaiken tiedon ja kuulostaa melkein kenen tahansa ääneltä. Tämä luo todellisen ja nykyisen vaaran.

Toiseksi, muutos paremmaksi: meillä on nyt teknologia havaitsemaan nämä hyökkäykset. LLM:t ovat erittäin hyviä ymmärtämään ihmisten vuorovaikutuksen nuansseja ja monimutkaisuutta. Keskustelupalvelun AI:n avulla voimme tunnistaa näiden vuorovaikutusten mallit ja reagoida lähes reaaliajassa.

Emme enää tarvitse turvautua vain vanhanaikaisiin, koulutukseen perustuviin strategioihin. Ensimmäistä kertaa meillä on keino ratkaista suoraan ihmisen haavoittuvuuden ongelmaa. Tämän vuoksi rakensimme Humanixin.

Työsi on pitkään keskittynyt laajamittaiseen dataan, käyttäytymisanalytiikkaan ja graafipohjaisiin turvallisuusmalleihin. Miten nämä kokemukset muovasivat Humanixin lähestymistapaa havaitsemaan hyökkäykset, jotka eivät näytä perinteisiltä rikkomisilta?

Pinnan alla näyttää siltä, että interaktiivisten sosiaalisen insinöörityön hyökkäysten havaitseminen on haasteellista. Jokainen ihminen on erilainen. Luonnollinen kieli on erittäin korkeaukkonen. Perinteiset ML-keskeiset käyttäytymismallit eivät ymmärrä asiayhteyttä, ja ne usein virheellisesti toimivat.

Kuitenkin, kun perehdyt asiaan tarkemmin, voit nähdä, että tämä hyökkäysluokka on kuin mikä tahansa muu. Sen sijaan, että puhuisimme puskurin ylittämisestä tai nollapäivähyökkäyksistä, hyökkääjät hyödyntävät liiketoimintaprosessien aukkoja ja ihmisten luottamusta. Hyökkääjillä on pelikirjat, joita he ajoittain suorittavat organisaatioita vastaan, mikä tarkoittaa, että meidän pitäisi pystyä havaitsemaan ja reagoimaan näihin hyökkäyksiin samalla tavalla kuin teemme päätepisteissä, verkoissa, pilvessä tai identiteettipalveluissa.

Tämä oivallus sallii meidän yhdistää klassisia havainto- ja vastausmalleja, joita tiedämme olevan tehokkaita – mukaan lukien käyttäytymisanalytiikka ja graafiteoria – kielen mallien semanttisen päättelyn kykyihin. Humanix käyttää tätä yhdistelmää ymmärtääkseen entiteettejä, suhteita, käyttäytymistä, riskiä ja vuorovaikutusta itse. Tässä tapaamme luomme uuden luokan havainto- ja vastaustuotteen: Human Threat Detection and Response.

Uudet ryhmät, kuten BlackFile, käyttävät äänifishauksia ja reaaliaikaisia sosiaalisen insinöörityön hyökkäyksiä sen sijaan, että käyttäisivät malware-voittoisia taktiikoita. Mitä tämä muutos kertoo meille siitä, miten uhkakuvamme on muuttumassa?

BlackFile on osa laajempaa muutosta hyökkäyksistä, jotka eivät ole enää vain saada malware-ominaisuuksia ympäristöön, vaan käyttävät luonnollista kieltä saadakseen henkilön avaamaan oven.

Nämä ryhmät ovat keksineet, että uskottava puhelu, uskottava esitys ja oikea määrä kiirettä voi olla yhtä tehokas kuin tekninen hyökkäys, ja usein vaikeampi turvallisuustiimille havaita. Hyökkäyspinta-alaa ei ole muuttunut niin paljon kuin hyökkääjien fokus on muuttunut. Ihmiset ovat aina olleet osa hyökkäyspinta-alaa. Mitä on muuttunut, on hyökkäysten aste, kypsyys ja toistettavuus.

Sosiaalinen insinööritaito on kopioitu, jalostettu ja teollistettu, koska se toimii. Se hyödyntää sitä, miten liiketoiminta tosiasiallisesti toimii, erityisesti työvirroissa, joissa ihmiset odotetaan auttavan nopeasti, ratkaisevan poikkeuksia ja pitävän asiat liikkeessä.

Miksi tekniikat, kuten vishing ja asiakaspalvelun manipulointi, ovat tulleet niin tehokkaiksi ensisijaisiksi pääsykohteiksi?

Tekniikat, kuten vishing ja asiakaspalvelun manipulointi, ovat niin tehokkaita, koska ne hyödyntävät luottamusta, kiirettä ja pääsyä monissa tukipalvelu- ja hallinnollisissa työvirroissa.

Jos haluan päästä ympäristöösi, voin viettää viikkoja etsimässä teknistä hyökkäystä. Vai voinkutsua jotakuta, joka on koulutettu auttamaan, luoda uskottavan tarinan ja saada heidät tekemään sen, mitä tarvitsen, olipa se salasanan resetointi, uuden MFA-tekijän rekisteröinti, oikeuksien muuttaminen tai pyynnön hyväksyntä.

Ihminen toisessa päässä puhelua on usein yrittävä ratkaista oikeaa ongelmaa aikapaineen alla, epätäydellisillä tiedoilla. Tämä on juuri sitä, mikä tekee asiakaspalvelusta yhden houkuttelevimmista kohteista. Se on yksi harvoista paikoista, jossa keskustelu voi muuttua suoraan pääsyksi. Kun pääsy on myönnetty, loput voi tapahtua hyvin nopeasti.

Alan on investoinut voimakkaasti työntekijöiden koulutukseen, mutta ihmisille kohdistuvat rikkomiset jatkavat kasvamista. Missä perinteinen turvallisuustietoisuus jää lyhyeksi, ja mitä on muutettava?

Turvallisuustietoisuuskoulutusta on pidetty ensisijaisena puolustuskeinona sosiaalista insinööritaitoa vastaan, vaikka tulokset osoittavat sen rajoitukset. Organisaatiot jatkavat voimakkaasti koulutuksiin panostamista, mutta hyökkääjät jatkavat onnistumistaan, koska he kohdistavat hyökkäyksensä ihmisille live-vuorovaikutuksissa eikä testaa, muistavatko työntekijät materiaalia kurssilta.

Sosiaalisen insinöörityön hyökkäys ei ole quiz. Se on ihminen toisessa päässä puhelua tai chat-keskustelua, joka luo kiirettä, rakentaa luottamusta ja yrittää saada jonkun tekemään toiminnon, jonka he eivät pitäisi tehdä. Nykyinen malli menee rikki, koska se odottaa, että työntekijä tunnistaa ja estää hyökkäyksen, kun hyökkääjä on aktiivisesti manipuloimassa vuorovaikutusta.

Kun jotain menee pieleen, vastaus on usein syyttää työntekijää ja määrätä lisää koulutusta. Mutta työntekijä yritti yleensä auttaa, mikä on juuri sitä, mitä liiketoiminta pyytää heiltä joka päivä. Meidän on lopetettava käsittely sosiaalista insinööritaitoa vain tietoisuuden ongelmana. Se on hyökkäysluokka, ja meidän on havaittava ja reagoitava siihen, kun vuorovaikutus on tapahtumassa.

Humanix asettaa itsensä hyökkäysten havaitsemiseksi ihmisille reaaliajassa. Mitä ihmisen riskin havaittavuus näyttää käytännössä?

Ihmisen riskin havaittavuus tarkoittaa antamista turvallisuustiimille näkyvyyttä live-vuorovaikutuksiin, joissa hyökkääjät yrittävät manipuloida ihmisiä muuttamaan pääsyä, ohittamaan vaaditun menettelyn tai tekemään jonkin toisen turvattoman toiminnon hyökkääjän puolesta.

Tänä päivänä nämä vuorovaikutukset ovat turvallisuuden kannalta tehokkaasti näkymättömiä. Joku soittaa asiakaspalveluun, avaa lipun, aloittaa chatin. Salasana resetoidaan, MFA-tekijä rekisteröidään, oikeus muutetaan tai poikkeus hyväksytään. Nämä ovat erittäin herkkästi työvirroja, mutta turvallisuustiimit eivät ole näkymättömiä ja havaittavissa.

Humanix muuttaa tämän. Meidän liittymme yrityksen jo käyttämiin viestintäjärjestelmiin – Microsoft 365, ServiceNow , Zoom, Slack jne. Humanix seuraa toimia ja vuorovaikutuksia näiden kanavien kautta ja vertaa niitä hyökkäystaktiikoihin ja yrityksen menettelyihin.

Olisiko soittaja oikein todennettu? Puhuiko hän tiensä ympäri todennusta? Olisiko kiirettä, impersonointia tai painetta ohittaa vaadittu askel? Olisiko agentti juuri tekemässä korkean riskin toimintaa? Miten riskiprofiili on muuttunut puhelun edetessä? Humanix tarjoaa turvallisuuden havainto- ja vastaustoiminnan vuorovaikutuksen aikana ja ilmoittaa turvallisuustiimille, jos jotain epäilyttävää havaitaan.

Lopullinen tavoite tästä analyysistä ei ole rangaista uhreja jälkikäteen. Se on suojella heitä silloin, kun se on tarpeen. Jos keskustelu muuttuu hyökkäykseksi, turvallisuustiimin on tiedettävä siitä.

Kun AI-generoitu ääni ja deepfake-tekniikat paranevat, olemme lähellä tilannetta, jossa ihmisten luottamus muodostuu heikoimmaksi hyökkäyspinta-alaksi?

Ihmisten luottamus on ollut yksi heikoimmista hyökkäyspinta-aloista pitkään. AI tekee hyökkäykset, jotka kohdistuvat luottamukseen, helpommaksi.

Kuitenkin, meidän on oltava varovaisia, ettemme yliarvioi tätä tiettyä “deepfake”-tapauksia. Deepfake on vain yksi medium, jonka hyökkääjät voivat käyttää manipuloidakseen jonkun. Itse asiassa, jos tarkastelemme suurinta osaa onnistuneista sosiaalisen insinöörityön hyökkäyksistä viime vuosina, useimmat eivät olleet deepfakeja – ne olivat vain ihmishyökkääjiä ja huijareita, jotka ottivat puhelimessa yhteyttä. Ryhmät, kuten Scattered Spider, ShinyHunters ja BlackFile, ovat osoittaneet, että normaali puhelu, uskottava esitys ja oikea määrä kiirettä on tarpeeksi saada jonkun tekemään toiminnon hyökkääjän puolesta.

Turvallisuustiimien on keskityttävä viestiin, ei välineeseen. Joku, jota painostetaan rikkomaan käytäntöä tai hyväksymään poikkeus epäilyttävissä olosuhteissa – nämä ovat todelliset riskialttiit käyttäytymiset. Riskit piilevät vuorovaikutuksessa itsessään ja toiminnassa, jota se on tarkoitettu aiheuttamaan.

Luottamus ei ole jotain, mitä voidaan poistaa liiketoiminnasta. Ihmiset on pakko vastata puheluihin, ratkaista ongelmia, hyväksyä pyynnöksiä ja auttaa toisiaan. Vastaus ei voi olla tehdä kaikki vähemmän inhimillisiksi. Se on suojella niitä hetkiä, jolloin luottamusta hyödynnetään.

Mikä rooli AI:lla tulisi olla puolustautuessa AI-käyttöisiä sosiaalisen insinöörityön hyökkäyksiä vastaan, ja mitkä ovat suurimmat tekniset haasteet manipulaation havaitsemisessa reaaliajassa?

Keskustelupalvelun AI avaa mahdollisuuden muuttaa AI-käyttöisiä sosiaalisen insinöörityön hyökkäyksiä koulutusongelmasta havainto- ja vastaustoiminnan ongelman. Kielen mallit sallivat soveltaa kaikkia oppimiamme alueilta, kuten päätepisteistä, verkoista, pilvestä tai identiteettipalveluista, ihmisen tasoalueelle. Meidän on havaittava ja reagoitava näihin hyökkäyksiin, emme jatkossa yrittää kouluttaa niitä pois.

On monia teknisiä haasteita tämän vision toteuttamisessa. Luonnollinen kieli on erittäin moniulotteinen, mikä tarkoittaa, että on lukemattomia eri tavoja välittää samaa merkitystä. Sanomalla “Olen lukittu järjestelmaani” on toiminnallinen vastaavuus lauseelle “Tarvitsen salasanan resetointi”, vaikka sanoja “salasana” ja “reset” ei käytetä.

Toinen haaste on asiayhteyden tärkeys. Ihmisten vuorovaikutukset ovat asiayhteydellisiä ja kasaantuvia, ja siten myös ihmisten manipulointi. Puhelija voi kuulostaa rauhalliselta, kohteliaalta ja uskottavalta, samalla ohjatessaan jonkun ympäri todennusta tai turvattoman toiminnon suorittamista. Meidän on yhdistettävä useita signaaleja ja asiayhteyden tietoja yhteen, jotta voidaan erottaa viat vaarattomista.

Lopulta, jokainen organisaatio on erilainen. Se on erilaisia prosesseja ja normeja, joista suurin osa ei ole koneellisesti luettavissa. Tässä on alue, jossa AI voi olla suuri apu – ymmärtämällä näitä käytäntöjä ja vertaamalla niitä havaittuun käyttäytymiseen.

Monet turvallisuustyökalut keskittyvät edelleen päätepisteisiin, verkkoihin ja identiteettijärjestelmiin. Miten CISO:t tulisi uudelleenarvioida arkkitehtuuriaan, jos ensisijainen taistelukenttä siirtyy ihmisten käyttäytymiseen?

Ensinnäkin, CISO:t tulisi virallisesti tunnustaa, mitä me kaikki intuitiivisesti tiedämme: organisaation ihmispääoma on omaisuusluokka (kuten päätepiste, verkko tai pilvi), jota on hallittava. Uhkat ja riskit on mallinnettava ja hallittava.

NISTin kyberturva-kehys antaa jo ohjeita siitä, miten tämä voidaan tehdä. “Ihmisten” tunnistaminen ja hallinta on osa “Asset Management” (ID.AM) -osaa riskien tunnistamisessa. Kuitenkin monissa organisaatioissa ihmisen riskiongelmaa pidetään koulutusongelmana, ja se hallitaan ainoastaan turvallisuustietoisuuskoulutuksen vaatimuksen kautta. Tämä on muututtava.

Kun käsittely ihmispääomaa omaksi omaisuusluokakseen, avaa tämä standardit, joita suoritamme jokaiselle muulle omaisuusluokalle. Mitkä ovat avainriskit (ID.RA)? Miten puolustaudun systemaattisesti näitä riskejä vastaan (Protect)? Mitkä ovat järjestelmämme ja prosessimme havaitsemaan, onko hyökkääjä murtamassa näitä puolustuksia tai onko jo murtanut (Detect)? Miten organisaatio reagoi sisäistääkseen uhan ja lopulta palauttaa palvelut (Respond ja Recover)? Ottamalla samaa systemaattista lähestymistapaa ihmispääomaamme kuin mihin tahansa muuhun omaisuusluokkaan, voimme tunnistaa riskit ja priorisoida resursseja tehokkaammin riskien hallintaan.

Miten näet tulevaisuuden? Odotatko, että ihmiskerroshyökkäykset tulevat hallitsemaan kyberrikollisuutta, vai näetkö hybridimallin, jossa AI-vetoinen automaatio ja sosiaalinen insinööritaito yhdistyvät joksikin, jota on vaikeampi puolustautua?

Se tulee olemaan sekoitusmalli. Meillä on kaksi asiaa tapahtumassa samanaikaisesti. Ensinnäkin, hyökkääjät ovat oppineet skaalaamaan hyökkäyksiään AI:n avulla, lisäämällä pääsyä ja alentamalla tämän hyökkäysluokan kustannuksia. Toiseksi, yritykset itse käyvät läpi agenteille perustuvan AI-muutoksen, jota johtavat juuri ne liiketoimintapalvelut, jotka hyökkääjät hyökkäävät BlackFilen ja sen kaltaisten ryhmien kautta.

Asiakaspalvelu, asiakaspalvelupöytä, palvelupöytä, talousoperaatiot ja sisäinen tukityö on kaikki muuttumassa ihmisten toimittamasta palvelusta AI-palveluksi. Tämä tarkoittaa, että kohtaamme luonnollisen kielen hyökkäyspinta-alan räjähdysmäisen kasvun ja yhtä aikaa menetämme inhimillisen ymmärryksen. Suuret kielen mallit on koulutettu vastaamaan ohjeisiin ja olemaan avuliaita. Inhimillinen epäilys tai “vatsanpohjan” tunne, joka on ollut yksi parhaimmista puolustuksistamme sosiaalista insinööritaitoa vastaan, on tietoisesti poistettu mallivastauksista.

Siirtymä AI-palveluihin lopulta lisää sosiaalisen insinööritaidon hyökkäyksen riskiä, eikä vähennä sitä. Organisaatioiden altistus tälle hyökkäysluokalle on melkein varmasti jatkossa kasvamassa seuraavien vuosien aikana. Sekä ihmiset että agentit ovat haavoittuvia luonnollisen kielen hyökkäyksille. Turvallisuustiimien on aloitettava suunnittelun systemaattiseen puolustus- ja vastausstrategiaan tähän uuteen todellisuuteen.

Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää Humanixista.