Rob Gurzeev, PDG et co-fondateur de CyCognito – Série d’entretiens

Rob Gurzeev, PDG et co-fondateur de CyCognito, a dirigé le développement de solutions de sécurité offensive pour le secteur privé et les agences de renseignement.

Avant de fonder CyCognito, il était directeur de la sécurité offensive et chef de la R&D chez C4 Security (acquis par Elbit Systems (ESLT )) et CTO du département des produits du corps des forces spéciales israéliennes 8200. Les distinctions qu’il a reçues en tant qu’officier des forces de défense israéliennes incluent le prix d’excellence, le prix de la pensée créative et le prix de la source de vie.

CyCognito a été fondé par des vétérans d’agences de renseignement nationales qui comprennent comment les attaquants exploitent les angles morts et sont rejoints par une équipe de direction expérimentée issue de certaines des sociétés de cybersécurité les plus fiables.

Qu’est-ce qui vous a initialement attiré vers la cybersécurité ?

Je me suis intéressé à la technologie pour la première fois vers l’âge de 13 ou 14 ans. J’ai commencé à fréquenter des canaux IRC avec des personnes curieuses de technologie et de ce qu’on appelait à l’époque le « hacking ».

Les gens à l’époque expérimentaient toutes sortes de choses intéressantes comme la cryptographie dans les applications de messagerie. Ils expérimentaient également le partage de fichiers. Les enfants faisaient des blagues à leurs amis en leur envoyant un fichier exécutable qui déclencherait une action drôle de quelque sorte. Si l’on y pense, c’était la base de ce que nous appelons aujourd’hui des attaques de « social engineering ».

Cela m’a fait réfléchir : et si une personne aux intentions malveillantes se procurait cette technologie à des fins malveillantes ?

Ces premières expériences ont lancé ma carrière dans la sécurité. J’ai fini par atterrir dans la force d’intelligence israélienne Unit 8200 en faisant du travail de reconnaissance, et plus tard, j’ai co-fondé CyCognito.

Pouvez-vous partager l’histoire de la création de CyCognito ?

CyCognito a été fondé sur la prise de conscience que les attaquants sont toujours en avance sur les défenseurs. Ils sont intelligents, sans relâche et toujours à la recherche du chemin le plus facile. Et tandis que tous les attaquants n’ont besoin que de un point faible pour percer, les équipes de sécurité doivent sécuriser tous les points d’entrée possibles dans une surface d’attaque en constante évolution. C’est tout un défi.

Pour aggraver le problème, la plupart des organisations ont des points d’entrée potentiels qui ne sont pas visibles pour les équipes de sécurité mais qui sont facilement découvrables par les acteurs menaçants.

Un jour, je me suis assis avec mon co-fondateur, Dima Potekhin, et nous nous sommes efforcés de changer le paradigme où, au lieu de déployer des agents ou d’instruire un scanner de ports pour analyser quelques plages d’adresses IP connues, nous allions créer une solution qui fonctionnerait comme un attaquant de classe mondiale, c’est-à-dire qu’elle commencerait en ne connaissant que le nom de l’entreprise, puis identifierait les actifs les plus à risque et les chemins d’accès les plus ouverts.

Nous voulions simuler une opération offensive d’attaque, en commençant par l’étape un, où l’attaquant ne connaît que le nom de l’entreprise ciblée et que son objectif est d’accéder à des données sensibles.

Donc, en 2017, nous avons pris notre expérience des agences de renseignement nationales et avons commencé à rendre cela possible avec pour mission d’aider les organisations à prévenir les violations de données en cartographiant en continu leurs angles morts d’exposition externe et en trouvant les chemins d’accès les plus faciles à leur réseau interne. Cela nécessitait d’utiliser non seulement des connaissances avancées en cybersécurité offensive, mais également des technologies modernes qui sont encore rarement utilisées dans notre industrie, comme les modèles d’apprentissage automatique bayésiens, les modèles de langage, le traitement automatique des langues et les modèles de données graphiques.

Aujourd’hui, nous aidons les entreprises émergentes et les grandes entreprises du Global 100 à sécuriser leur surface d’attaque contre les menaces croissantes. Certains de nos clients incluent Colgate-Palmolive (CL ), l’État de Californie, Berlitz, Hitachi, Tesco, pour n’en citer que quelques-uns.

Qu’est-ce que la gestion de la surface d’attaque externe ?

La définition de la gestion de la surface d’attaque externe (EASM) fait référence aux processus et technologies utilisés pour identifier, évaluer et gérer l’exposition des actifs numériques d’une organisation qui sont accessibles ou visibles depuis Internet.

Les surfaces d’attaque externes sont vastes et complexes. Une seule organisation peut avoir des centaines et des milliers de systèmes, d’applications, d’instances cloud, de chaînes d’approvisionnement, de périphériques IoT et de données exposées à Internet – souvent s’étendant sur des filiales, de multiples nuages et des actifs gérés par des tiers.

Les équipes de sécurité ont une capacité limitée pour découvrir ces actifs. Elles sont submergées par des milliers d’alertes, mais elles n’ont pas le contexte pour savoir lesquelles sont critiques et lesquelles donner la priorité.

Isoler les problèmes vraiment critiques en premier lieu nécessite une visibilité sur la surface d’attaque, mais encore plus important, cela nécessite une compréhension approfondie du contexte et de l’objectif des actifs affectés. Une fois cela établi, les équipes de sécurité peuvent calculer les chemins d’attaque et prédire quels menaces spécifiques comptent – celles susceptibles de causer des dommages monétaires ou de réputation importants à l’entreprise. Ensuite, l’organisation peut donner la priorité correctement et remédier pour un impact maximum.

Pouvez-vous partager vos vues sur l’importance de penser comme un attaquant pour découvrir des risques inconnus ?

Selon le DBIR de Verizon, 82 % des attaques proviennent de l’extérieur. De plus, la plupart des violations de données, selon Gartner, sont liées à des actifs inconnus et non gérés.

C’est précisément pourquoi adopter une approche de l’extérieur vers l’intérieur pour évaluer la surface d’attaque est critique pour évaluer et gérer les risques de cybersécurité. Se mettre à la place de l’attaquant fournit une vue objective des joyaux de la couronne qui vivent dans vos systèmes et, plus important encore, lesquels sont exposés et vulnérables.

Comme je l’ai mentionné précédemment, les surfaces d’attaque sont en constante évolution et complexes. La plupart des équipes de sécurité manquent de visibilité complète sur les actifs exposés et vulnérables. Les attaquants le savent ! Et ils vont explorer sans relâche la surface d’attaque, à la recherche du chemin le plus facile et de cette faille que les équipes de sécurité ne surveillent pas. Malheureusement, une faille de sécurité suffit pour pénétrer. Pendant ce temps, les équipes de sécurité ont la tâche difficile d’identifier les expositions qui rendent leurs organisations les plus vulnérables, puis de prendre des mesures pour protéger ces points d’entrée.

À quelle fréquence identifiez-vous des menaces dues à des applications et des API externes qui ne sont simplement pas surveillées ou testées ?

Plus souvent que nous ne le souhaiterions. Nous avons récemment mené une recherche sur les applications cloud publiques vulnérables, les applications mobiles et les applications Web qui exposent des données sensibles, y compris des API non sécurisées et des informations personnelles identifiables (PII). Voici quelques-unes des principales conclusions :

• 74 % des actifs avec PII sont vulnérables à au moins une faille majeure connue, et un sur dix a au moins un problème facilement exploitable.
• 70 % des applications Web ont des failles de sécurité graves, comme le manque de protection WAF ou d’une connexion chiffrée comme HTTPS, tandis que 25 % de toutes les applications Web (applications Web) manquaient les deux.
• L’entreprise globale typique a plus de 12 000 applications Web, qui incluent des API, des applications SaaS, des serveurs et des bases de données, entre autres. Au moins 30 % de ces applications Web – plus de 3 000 actifs – ont au moins une vulnérabilité exploitable ou à haut risque. La moitié de ces applications Web potentiellement vulnérables sont hébergées dans le cloud.
• 98 % des applications Web sont potentiellement non conformes au RGPD en raison du manque d’opportunité pour les utilisateurs de refuser les cookies.

Notre recherche à part, il y a suffisamment de preuves de ces menaces aujourd’hui. L’exploit MOVEit est un cas de figure, qui se poursuit encore.

Pouvez-vous discuter de l’importance de la consolidation des processus et des outils pour tester et gérer la surface d’attaque ?

Le « bloat de pile » est quelque chose que la plupart des entreprises subissent. C’est particulièrement prononcé dans la sécurité. La plupart des organisations ont des outils de sécurité cloisonnés et non connectés. Il y a eu ce mantra dans la sécurité selon lequel plus de plateformes éliminerait les failles de sécurité. Mais au lieu de cela, cela ouvre la porte aux erreurs humaines, aux redondances, à la charge opérationnelle accrue et aux angles morts.

CyCognito a été conçu pour faire le travail de nombreuses solutions legacy. Nous aidons les entreprises à consolider leur pile afin qu’elles puissent se concentrer sur leur travail.

Quelles sont certaines des manières dont les acteurs malveillants utilisent les LLM et l’IA générative pour amplifier les attaques ?

Nous n’avons pas encore vu d’attaques à grande échelle utilisant les LLM, mais cela ne saurait tarder. De mon point de vue, les LLM ont le potentiel de fournir une plus grande ampleur, une plus grande portée, une plus grande vitesse et une plus grande facilité à différentes étapes des cyberattaques.

Par exemple, les LLM ont le potentiel d’accélérer la reconnaissance automatisée, où les attaquants peuvent cartographier et découvrir les actifs, les marques et les services d’une organisation, ainsi que des informations sensibles telles que les informations d’identification exposées. Les LLM peuvent également aider à la découverte de vulnérabilités, en identifiant les faiblesses au sein d’un réseau ciblé, et faciliter l’exploitation par des techniques telles que le phishing ou les attaques de type « watering-hole » pour accéder et exploiter les vulnérabilités du réseau. Les LLM peuvent également aider au vol de données en copiant ou en exfiltrant des données sensibles du réseau.

De plus, les applications grand public basées sur les LLM, notamment ChatGPT, posent une menace car elles peuvent être utilisées à la fois intentionnellement et involontairement par les employés pour faire fuiter des informations de propriété intellectuelle de l’entreprise.

Les campagnes de phishing ciblées offrent un autre cas d’utilisation. Un phishing de haute qualité repose sur une compréhension approfondie de la cible ; c’est précisément ce que les grands modèles de langage peuvent faire très bien, car ils traitent de grands volumes de données très rapidement et personnalisent les messages efficacement.

Comment les entreprises peuvent-elles, à leur tour, utiliser l’IA générative pour se protéger ?

Excellente question. Voilà la bonne nouvelle à ce sujet. Si les attaquants peuvent utiliser l’IA générative, les équipes de sécurité le peuvent aussi. L’IA générative peut aider les équipes de sécurité à effectuer une reconnaissance sur leurs propres entreprises et à remédier aux vulnérabilités. Ils peuvent plus rapidement et à moindre coût analyser et cartographier leur propre surface d’attaque pour trouver des actifs sensibles exposés, comme les informations personnelles identifiables (PII), les fichiers, etc.

L’IA générative peut grandement aider à comprendre le contexte commercial de tout actif. Par exemple, elle peut aider à reconnaître une base de données contenant des PII et à jouer un rôle dans les transactions de revenus. C’est extrêmement précieux.

L’IA générative peut également déterminer l’objectif commercial d’un actif. Par exemple, elle peut aider à distinguer entre un mécanisme de paiement, une base de données critique et un appareil aléatoire – et à classifier son profil de risque. Cela, à son tour, permet aux équipes de sécurité de mieux prioriser les risques. Sans la capacité de prioriser, les équipes de sécurité doivent passer au crible des vulnérabilités infinies étiquetées « urgentes » alors que la plupart ne sont pas critiques pour la mission.

Pourquoi les entreprises devraient-elles être prudentes quant à leur dépendance excessive à l’égard de l’IA générative à des fins de défense ?

L’IA générative a un grand potentiel, mais il y a des problèmes inhérents que nous devons résoudre en tant qu’industrie.

L’image globale pour moi est que les modèles d’IA générative peuvent rendre les équipes de sécurité complaisantes. L’attrait d’une automatisation accrue est grand, mais la révision manuelle est critique étant donné l’état actuel des modèles d’IA générative. Par exemple, les modèles d’IA générative « hallucinent ». En d’autres termes, ils produisent des sorties inexactes.

De plus, les modèles d’IA générative (LLM, en particulier) ne comprennent pas le contexte car ils sont construits sur une analyse de texte statistique et temporel – ce qui peut également conduire à davantage de « hallucinations » très difficiles à repérer.

Je comprends que les équipes de sécurité cherchent de plus en plus à faire « plus avec moins » – mais la supervision humaine fera (et devrait) toujours partie du processus de sécurité.

Pouvez-vous discuter de la façon dont CyCognito propose une gestion automatisée de la surface d’attaque externe et des tests continus ?

Pas pour répéter ce que j’ai déjà dit, mais, comme je l’ai mentionné précédemment, les surfaces d’attaque sont vastes et complexes – et elles continuent de croître.

Nous avons construit CyCognito pour cartographier en continu l’ensemble de la surface d’attaque au-delà du noyau de l’entreprise pour englober les filiales, les acquisitions, les coentreprises et les opérations de marque – et attribuer chacun à son propriétaire légitime.

Il y a quelques capacités techniques à mettre en évidence.

Dans le processus de découverte de la surface d’attaque en boîte noire, notre plateforme utilise le LLM comme l’une des dizaines de sources d’hypothèses d’attribution que nos modèles d’apprentissage automatique bayésiens analysent pour déterminer la structure commerciale de l’organisation (jusqu’à 1000 unités commerciales et filiales) et attribuer les actifs aux propriétaires (à l’échelle de millions d’actifs informatiques) de manière complètement automatique.

La plateforme accélère également la classification des actifs par le biais du traitement automatique des langues et des algorithmes heuristiques – une tâche qui est généralement coûteuse et gourmande en ressources.

Nous fournissons également le contexte commercial nécessaire pour prioriser efficacement les risques. Même si une vulnérabilité affecte mille machines, CyCognito peut identifier la plus critique en fournissant des informations sur le niveau d’exposition, l’importance commerciale, l’exploitabilité et les discussions des hackers.

Nous prenons une approche holistique de la gestion de la surface d’attaque externe qui surmonte le piège de traiter tous les problèmes critiques avec une urgence égale. Nous permettons à la sécurité de prioriser les véritables vecteurs critiques, leur faisant ainsi gagner du temps et de l’argent.

Merci pour cette grande interview. Les lecteurs qui souhaitent en savoir plus peuvent visiter CyCognito.