पॉल रीड, अटैकआईक्यू में एडवर्सरी रिसर्च के वीपी – साक्षात्कार श्रृंखला

पॉल रीड, अटैकआईक्यू में एडवर्सरी रिसर्च के वीपी, साइबर सुरक्षा की तेजी से बदलती दुनिया में एक अनुभवी विशेषज्ञ हैं। प्रमुख प्रौद्योगिकी कंपनियों के लिए दो दशक से अधिक के समय तक प्रौद्योगिकी रणनीतिकार के रूप में काम करने के बाद, पॉल ने ग्राहकों, भागीदारों, विश्लेषकों और पत्रकारों को साइबर सुरक्षा परिदृश्य के माध्यम से नेविगेट करने में मदद की है। उनकी विशेषज्ञता साइबर सुरक्षा, बायोमेट्रिक्स, नेटवर्क सुरक्षा और क्रिप्टोग्राफी में है।

हाल ही में, उन्होंने ग्राहक परिवेश में उभरते खतरों का पता लगाने के लिए व्यवहार विश्लेषण का उपयोग करने पर केंद्रित साइबर खतरा शिकारी टीम का नेतृत्व किया है। पॉल प्रेंटिस हॉल श्रृंखला में कंप्यूटर नेटवर्किंग और वितरित प्रणाली में एक प्रकाशित लेखक हैं और साइबर सुरक्षा में कई पेटेंट रखते हैं।

अटैकआईक्यू एक प्रमुख साइबर सुरक्षा कंपनी है जो ब्रीच और हमला सिमुलेशन (बीएएस) और निरंतर सुरक्षा सत्यापन में विशेषज्ञता रखती है। इसका एडवर्सरियल एक्सपोजर वैलिडेशन प्लेटफ़ॉर्म एमआईटीआरई एटी एंड टी सी के आधार पर एम्यूलेशन का उपयोग सुरक्षा नियंत्रणों का परीक्षण करने, कमजोरियों की पहचान करने और उपचार को प्राथमिकता देने के लिए करता है। 2013 में स्थापित, अटैकआईक्यू संगठनों को अपने रक्षात्मक मुद्रा में सुधार करने, एसओसी की दक्षता में सुधार करने और जोखिम को कम करने में मदद करता है।

आप साइबर सुरक्षा के विभिन्न डोमेन में दो दशक से अधिक समय से नेतृत्व भूमिकाएं रखते हैं। आपकी रुचि एडवर्सरी रिसर्च में कैसे शुरू हुई, और यह यात्रा आपको अटैकआईक्यू तक कैसे ले आई?

मेरी साइबर सुरक्षा में यात्रा 25 साल से अधिक समय पहले शुरू हुई, जब मैं नोवेल नेटवर्क सेट कर रहा था और डायरेक्टरी सेवाओं की दुनिया में काम कर रहा था – नोवेल, माइक्रोसॉफ्ट एक्टिव डायरेक्टरी, एलडीएपी। उस शुरुआती अनुभव ने मुझे पहचान, प्रमाणीकरण और पहुंच के महत्व की शिक्षा दी, जो किसी भी सुरक्षा रणनीति का आधार है।

इसके बाद, मैं स्मार्ट कार्ड प्रमाणीकरण में चला गया, जहां मैं पीकेसीएस #11 लाइब्रेरी लिखने और सार्वजनिक कुंजी बुनियादी ढांचे (पीकेआई) के तेजी से उदय के दौरान खुद को डुबोया। उस युग के दौरान सममित और असममित क्रिप्टोग्राफी के साथ काम करने से मुझे यह समझने में मदद मिली कि कैसे एन्क्रिप्शन डिजिटल वातावरण में विश्वास को आकार देता है।

बाद में अपने करियर में, मैं डेटा वर्गीकरण में चला गया, जिसमें संगठनों को उनके डेटा के मूल्य को समझने में मदद करना शामिल था ताकि वे सबसे महत्वपूर्ण चीजों की रक्षा कर सकें। यह अनुभव स्वाभाविक रूप से उपयोगकर्ता और इकाई व्यवहार विश्लेषण (यूईबीए) में काम करने के लिए ले गया, जहां मुझे डेटा विज्ञान और मशीन लर्निंग, आर में प्रोग्रामिंग सहित, हाथों-हाथ अनुभव मिला।

अंततः, मुझे एक वैश्विक खतरा शिकारी टीम का नेतृत्व करने का अवसर मिला, जहां हमने राष्ट्र-राज्य विरोधियों की वास्तविक समय ट्रैकिंग की। यह एक तीव्र और आंखें खोलने वाला समय था। कोई बेहतर तरीका नहीं है अपने दैनिक कार्यों में उनसे निपटने के लिए विरोधियों के टैक्टिक्स, तकनीकों और प्रक्रियाओं (टीटीपी) को समझने के लिए।

यह तब था जब एक बार-बार आने वाली निराशा उत्पन्न हुई: हम अक्सर कहेंगे, “अगर वे केवल एक्स या वाई नियंत्रण में थे…” खतरे के बारे में जागरूकता और संचालन रक्षा तैयारी के बीच एक अंतर था।

यही वह था जो मुझे अटैकआईक्यू में लाया। वास्तविक दुनिया के विरोधियों की नकल करने और उनकी रक्षा की प्रभावशीलता को मान्य करने के लिए सीखने का अवसर – यह आकर्षक था। यहां, हम खतरों के बारे में केवल सिद्धांत नहीं बनाते हैं; हम उन्हें हर दिन परीक्षण, माप और सुधार करते हैं।

हमारी टीम एक मार्गदर्शक सिद्धांत के तहत काम करती है: “बुरा सोचें, अच्छा करें।” हम विरोधियों की तरह सोचते हैं न कि नुकसान पहुंचाने के लिए, बल्कि हमारे ग्राहकों को उनके लिए तैयार करने और उन्हें हराने में मदद करने के लिए।

टीआईटीईएस, इंटेरसेट और माइक्रो फोकस जैसी टीमों का नेतृत्व करने के बाद, आपके अनुभव ने खतरे की खुफिया और साथी सक्षम करने में आपके दृष्टिकोण को कैसे आकार दिया है और विरोधी नकल को संचालन करने के लिए?

टीआईटीईएस, इंटेरसेट और माइक्रो फोकस जैसी कंपनियों में तकनीकी और जाने के लिए बाजार में भूमिकाओं में काम करने के बाद, मुझे खतरे की खुफिया को संचालन परिणामों में अनुवाद करने की आवश्यकता की एक समग्र समझ विकसित हुई है। साथी सक्षम करने, विशेष रूप से, मुझे जटिल साइबर सुरक्षा समस्याओं को विभिन्न दर्शकों के लिए कार्रवाई योग्य और अर्थपूर्ण तरीके से संवाद करने के लिए सिखाया है, सीआईएसओ से लेकर फ्रंटलाइन एसओसी विश्लेषकों तक।

अटैकआईक्यू में, विरोधी नकल खतरे की नकल को पुनः चलाने के बारे में नहीं है; यह एमआईटीआरई एटी एंड टी सी फ्रेमवर्क के साथ संरेखित करने, विरोधियों को विश्वासघात के साथ अनुकरण करने और संगठनों को यह परीक्षण करने में मदद करने के बारे में है कि क्या उनकी रक्षा वास्तविक दुनिया के परिदृश्य में खड़े होंगे। इसके लिए तकनीकी कठोरता से अधिक की आवश्यकता होती है; यह शिक्षा, सहयोग और सुरक्षा पारिस्थितिकी तंत्र में हितधारकों को सक्षम करने की आवश्यकता है।

मेरी पिछली भूमिकाओं ने मुझे यह समझने में मदद की कि खुफिया और निष्पादन के बीच की खाई को कैसे पुल करें – कैसे खतरे के परिदृश्य को एक प्रोक्सी और मापने योग्य तरीके से संचालन करना है। यह अटैकआईक्यू में हमारे मिशन का सार है।

अब आप एक समय में विरोधी अनुसंधान का नेतृत्व कर रहे हैं जब हमलावर पैमाने पर एआई को अपना रहे हैं। हाल के वर्षों में आप आक्रामक एआई रणनीतियों को कैसे विकसित होते हुए देख रहे हैं – और रक्षक कैसे उनके साथ तालमेल बिठाने के लिए संघर्ष कर रहे हैं?

विरोधी एआई का लाभ उठाकर अपने संचालन की गति, सटीकता और पैमाने को बढ़ाने के लिए ले जा रहे हैं। हम अधिक व्यक्तिगत और विश्वसनीय फ़िशिंग लोर्स, एआई-जनित सामाजिक इंजीनियरिंग और हमलों की बढ़ी हुई स्केल और कुशलता देख रहे हैं। ये क्षमताएं पुनरावृत्ति और समझौते के बीच रक्षक की प्रतिक्रिया की खिड़की को कम कर देती हैं। कई संगठन अभी भी प्रतिक्रियात्मक प्रक्रियाओं और स्थिर पता नियमों पर निर्भर हैं, जो विरोधियों के साथ तालमेल बिठाने के लिए डिज़ाइन नहीं किए गए थे जो सीखते हैं और विकसित होते हैं। रक्षकों को निरंतर सत्यापन और एक्सपोज़र प्रबंधन को अपनाने की आवश्यकता है ताकि उस अंतर को बंद किया जा सके, अपनी रक्षा का परीक्षण वास्तविक परिस्थितियों में किया जा सके और नए विरोधी व्यवहारों के जवाब में तेजी से प्रतिक्रिया कर सकें।

विरोधी एआई को पारंपरिक साइबर खतरों से क्या अलग करता है, और आप क्यों मानते हैं कि प्रभावी ढंग से प्रतिक्रिया देने के लिए एक मानसिकता में बदलाव – न केवल उपकरणों में – की आवश्यकता है?

पारंपरिक खतरे अक्सर ज्ञात पैटर्न का पालन करते हैं जिन्हें रक्षक ट्रैक और शासन कर सकते हैं। विरोधी एआई रणनीतियों में एक नई स्तर की परिवर्तनशीलता और अनुकूलनशीलता पेश करती हैं जो उन धारणाओं को चुनौती देती हैं। यह नए हमले मार्ग उत्पन्न कर सकता है और गतिशील रूप से रक्षा से बच सकता है। इस बदलाव से निपटने के लिए नए उपकरणों को तैनात करने से अधिक की आवश्यकता है; यह एक रणनीतिक परिवर्तन की मांग करता है कि संगठन रक्षा के बारे में कैसे सोचते हैं। घटनाओं के बाद प्रतिक्रिया करने के बजाय, सुरक्षा टीमों को विरोधी तकनीकों, तकनीकों और प्रक्रियाओं (टीटीपी) का उपयोग करके विकसित होने वाले खतरों का अनुकरण करने की आवश्यकता है, और प्रोक्सी रूप से अपने नियंत्रणों का परीक्षण करने की आवश्यकता है कि उनकी प्रणालियां कैसे प्रतिक्रिया करती हैं। विरोधी सूचित मानसिकता, वास्तविक दुनिया के अनुकरण द्वारा समर्थित, इन नए जोखिमों का अनुमान लगाने और उन्हें प्रतिक्रिया देने के लिए महत्वपूर्ण है।

क्या आप बता सकते हैं कि अटैकआईक्यू खतरे की खुफिया को व्यावहारिक रक्षा में कैसे अनुवादित करता है, और यह प्रक्रिया जनरेटिव एआई के उदय के साथ कैसे बदल गई है?

पारंपरिक चुनौती खतरे की खुफिया के साथ संचालन है – अंतर्दृष्टि और कार्रवाई के बीच की खाई को पुल करना। विरोधी नकल इसे हल करती है ज्ञात खतरे व्यवहार के बारे में खुफिया जानकारी लेकर और इसे वर्तमान रक्षा का मूल्यांकन करने के लिए कार्यान्वित परीक्षण में बदल देती है। जनरेटिव एआई के साथ, खतरे का परिदृश्य अधिक तरल हो जाता है, अधिक परिवर्तनशील व्यवहार के साथ। अब अनुकरणों को न केवल स्थिर तकनीकों को प्रतिबिंबित करने की आवश्यकता है, बल्कि अनुकूली और संदर्भ-जागरूक व्यवहार भी है। अटैकआईक्यू में, लाइव खतरे की खुफिया एमआईटीआरई एटी एंड टी सी और मॉडल विरोधी व्यवहार के साथ संरेखित है और अनुकरण योजनाओं में निगला जाता है ताकि वास्तविक दुनिया के हमलों की नकल की जा सके। ये अनुकरण उत्पादन जैसे वातावरण में तैनात किए जाते हैं ताकि यह सत्यापित किया जा सके कि सुरक्षा नियंत्रण क्या अपेक्षित रूप से पता लगाते हैं, रोकते हैं या प्रतिक्रिया करते हैं।

निरंतर खतरा एक्सपोज़र प्रबंधन (सीटीईएम) साइबर लचीलापन रणनीतियों का एक मूल घटक बन रहा है। एआई-संचालित खतरों का सामना करते समय संगठनों को सीटीईएम कैसे अपनाना चाहिए?

सीटीईएम स्थिर जोखिम मूल्यांकन से गतिशील, बुद्धिमत्ता-संचालित सुरक्षा सत्यापन में बदलाव का प्रतिनिधित्व करता है। एआई-संचालित खतरों का सामना करते समय, संगठनों को एक्सपोज़र को एक चलती लक्ष्य के रूप में माना जाना चाहिए। इसका मतलब है कि सक्रिय परीक्षण के आधार पर एक्सपोज़र की पहचान करना और उन्हें प्राथमिकता देना, न कि केवल सैद्धांतिक जोखिम के आधार पर।

लाल और नीली टीमों को अनुकूल विरोधियों का अनुकरण करने और निरंतर रूप से पता लगाने और प्रतिक्रिया क्षमताओं का परीक्षण करने के लिए सहयोग करने की आवश्यकता है। जो संगठन इस दृष्टिकोण को अपनाते हैं वे तेजी से अनुकूलन करने, अपने निवेश और सुरक्षा नियंत्रणों को सत्यापित करने और तेजी से बदलते परिदृश्य के बीच लचीलापन बनाए रखने के लिए बेहतर स्थिति में हैं।

अटैकआईक्यू का “एआई सुरक्षा के आधार” पाठ्यक्रम एमआईटीआरई एटलस और एआई आरएमएफ जैसे जोखिम ढांचे को कवर करता है। आपको इन ढांचों के कौन से पहलू सबसे अधिक कम उपयोग या गलत समझ में आते हैं और उद्यम सेटिंग्स में?

हम जो सबसे आम गलतफहमी देखते हैं वह यह है कि ढांचे जैसे एमआईटीआरई एटलस और एआई जोखिम प्रबंधन ढांचे (एआई आरएमएफ) को अलग से संदर्भ सामग्री के रूप में माना जाता है, न कि सुरक्षा में लचीलापन बनाने के लिए संचालन उपकरण के रूप में।

एमआईटीआरई एटलस को अक्सर एआई/एमएल सिस्टम पर हमले की तकनीकों के स्थिर कैटलॉग के रूप में देखा जाता है। वास्तव में, एटलस एक रणनीतिक विरोधी अनुकरण ढांचा है जो सुरक्षा टीमों को एआई-विशिष्ट खतरों का अनुकरण करने में मदद करता है – डेटा जहर, मॉडल बचने, अनुमान में हेरफेर से – और उनकी पता लगाने, लॉगिंग और प्रतिक्रिया क्षमताओं को मान्य करने के लिए। समस्या यह है कि अधिकांश उद्यमों ने अभी तक एमएल पाइपलाइन के खिलाफ हमलों का पता लगाने के लिए दृश्यता या नियंत्रण नहीं बनाए हैं, जिससे ब्रीच और हमला सिमुलेशन रणनीतियों के माध्यम से एटीएलएस का प्रोक्सी उपयोग और भी महत्वपूर्ण हो जाता है। यह एक कम उपयोग किया जाने वाला उपकरण है जो एआई प्रणालियों के व्यवहार को विरोधी दबाव में परीक्षण करने के लिए है।

दूसरी ओर, एनआईएसटी के एआई आरएमएफ को अक्सर एक अनुपालन चेकलिस्ट के रूप में गलत समझा जाता है। वास्तव में, यह एक रणनीतिक शासन ढांचा है – एक जो संगठनों को एआई उपयोग के मामलों को मैप करने, जोखिमों को मापकर (विरोधियों द्वारा उत्पन्न जोखिमों सहित), उन्हें प्राथमिकता देकर और उन्हें पूरे सिस्टम जीवन चक्र में शामिल करके प्रबंधित करने में मदद करता है, और निरीक्षण को व्यवसाय प्राथमिकताओं के साथ संरेखित करता है। जहां एटलस तकनीकी है, एआई आरएमएफ रणनीतिक है। दोनों ढांचे अत्यधिक पूरक हैं: एटलस जोखिम को मान्य करने के लिए वास्तविक दुनिया के अनुकरण को सक्षम बनाता है, जबकि एआई आरएमएफ शासन प्रदान करता है जो जोखिमों का प्रबंधन करने और व्यवसाय प्राथमिकताओं के साथ संरेखित करने में मदद करता है।

हमारे एआई सुरक्षा के आधार पाठ्यक्रम में, हम सिखाते हैं कि इन ढांचों के सबसे कम उपयोग किए जाने वाले पहलुओं में से एक “मैप” और “माप” कार्य हैं – विशेष रूप से प्रारंभिक तैनाती में। ये कार्य संगठनों को न केवल प्रणाली उपयोग और दुरुपयोग परिदृश्यों को मॉडल करने में मदद करते हैं, बल्कि संदर्भ में विरोधी खतरों की पहचान करने में भी मदद करते हैं। एटलास के साथ जोड़कर, संगठन वास्तविक दुनिया में एआई सुरक्षा को संचालन करने में सक्षम होते हैं।

अंततः, अवसर यह है कि इन ढांचों को शैक्षणिक रूप से माना जाता है। जब एक साथ उपयोग किया जाता है, तो एआई आरएमएफ और एटलास एक खतरे से सूचित, जोखिम-संचालित दृष्टिकोण को एआई की सुरक्षा में सक्षम बनाते हैं, उच्च-स्तरीय शासन को वास्तविक दुनिया के आश्वासन में बदल देते हैं।

ओडब्ल्यूएएसपी टॉप 10 फॉर एलएलएमएस एक नए वर्ग के कमजोरियों को उजागर करता है। आपको कौन से खतरे लगता है कि सीआईएसओ सबसे अधिक तैयार नहीं हैं – और क्यों?

एलएलएम03: 2025 सप्लाई चेन कमजोरियां मौजूदा शासन और उद्यम ट्रस्ट धारणाओं में महत्वपूर्ण अंधे धब्बे का फायदा उठाती हैं जो नियंत्रणों से गुजरती हैं जो मूल रूप से एआई/एमएल सिस्टम के लिए डिज़ाइन नहीं किए गए थे। पारंपरिक सुरक्षा कार्यक्रम सॉफ़्टवेयर पैकेजों और कोड निर्भरताओं पर ध्यान केंद्रित करते हैं, लेकिन एआई मॉडल, अक्सर डेटा संपत्ति के रूप में माना जाता है, उसी स्क्रूटनी का अभाव है। यह संगठनों को समझौता करने वाले पूर्व-प्रशिक्षित मॉडल, जहरीले लोरा एडेप्टर, या हगिंग फेस मेल्स को उत्पादन वातावरण में बिना सत्यापन, कोड हस्ताक्षर, या व्यवहार मूल्यांकन के साथ ले जाने की अनुमति देता है। क्योंकि ये मॉडल स्थिर विश्लेषण या मैलवेयर हस्ताक्षरों को ट्रिगर नहीं करते हैं, वे स्लीपर खतरों के रूप में कार्य करते हैं, केवल विशिष्ट प्रॉम्प्ट या शर्तों के तहत सक्रिय होते हैं जो पता लगाने से बचते हैं।

प्रतिष्ठित एआई पारिस्थितिकी तंत्र या रजिस्ट्रियों द्वारा विश्वसनीय मानकों को लागू करने की धारणा इस समस्या को बढ़ा देती है। सुरक्षा टीमें मान सकती हैं कि उनके डेवसेकओपीएस पाइपलाइन और टीपीआरएम कार्यक्रम एआई जोखिमों को कवर करते हैं, लेकिन वास्तव में, अधिकांश डेटासेट वंशावली, मॉडल प्रोवेनेंस को लागू नहीं करते हैं, या एआई घटकों पर एसबीओएम-तुल्य नियंत्रण लागू नहीं करते हैं। हमलावर इस गलत विश्वास का फायदा उठाते हैं, खुले स्रोत मॉडल टूल्स को हैक करते हैं, एडेप्टर में बैकडोर लगाते हैं, या फाइन-ट्यूनिंग में उपयोग किए जाने वाले डेटा को जहर देते हैं, जिससे विश्वसनीय एआई कलाकृतियों में शांतिपूर्ण व्यवहार एम्बेड हो जाता है। बिना विरोधी लाल टीमिंग और शासन के, जो इन अंतरालों को स्पष्ट रूप से संबोधित करता है, यहां तक कि अच्छी तरह से सुरक्षित उद्यम भी विश्वसनीय लेकिन सत्यापित एआई कलाकृतियों के माध्यम से संचालन समझौते का जोखिम उठाते हैं।

जैसे ही लाल और नीली टीमें एआई-संचालित विरोधियों का अनुकरण शुरू करती हैं, विरोधी नकल कैसे विकसित होती है? क्या हम सिमुलेशन-आधारित सुरक्षा सत्यापन के एक नए युग में प्रवेश कर रहे हैं?

जैसे ही विरोधी अपने संचालन में एआई को एकीकृत करते हैं, विरोधी नकल को निर्धारित प्लेबुक से परे जाने की आवश्यकता है; लाल टीमों को गतिशील, एआई जैसे व्यवहारों का अनुकरण करना चाहिए: पिवोटिंग, विशेषाधिकार वृद्धि, और अनुकूल टैक्टिक्स, तकनीक, और प्रक्रियाएं, जो वास्तविक एआई-संचालित हमलावर की तरह कार्य करने के लिए मॉडल की जाती हैं।

हम एक नए युग में प्रवेश कर रहे हैं जहां अनुकरण निरंतर और बुद्धिमत्ता से निर्देशित होता है। यह अब एक बार का अभ्यास नहीं है; सिमुलेशन वास्तविक समय की खतरे की खुफिया और उत्पादन जैसे वातावरण में एकत्रित होते हैं, जो नियंत्रणों का परीक्षण करते हैं जो उभरते हुए, अप्रत्याशित परिस्थितियों में। सीटीईएम के साथ, यह दृष्टिकोण सुनिश्चित करता है कि सुरक्षा सत्यापन एक रणनीतिक, संचालन कार्य बन जाता है, न कि एक चेकबॉक्स।

आगे देखते हुए, आपको कौन से उभरते एआई जोखिम सबसे अधिक चिंतित करते हैं? और आप रक्षकों को आगे रहने के लिए सबसे बड़ा अवसर कहां देखते हैं?

सबसे चिंताजनक जोखिम यह है कि एआई जटिल हमलों के लिए प्रवेश बार को कम कर रहा है। जो एक बार गहरी तकनीकी कौशल की आवश्यकता थी, वह अब व्यापक एआई टूल्स के माध्यम से अधिक सुलभ है। एआई छिपी हुई जगहों का पता लगाने, शोषण कोड उत्पन्न करने और अनुकूलित फ़िशिंग अभियान बनाने के लिए स्वचालित रूप से पुनरावृत्ति कर सकता है, जो पारंपरिक रक्षा से अधिक तेजी से काम करता है।

दूसरी ओर, रक्षकों के पास एक समानांतर अवसर है: एआई और स्वचालन को प्रोक्सी रक्षा के लिए हार्नेस करना। अनुकरण को स्वचालित करके, पता लगाने में तेजी लाने और वास्तविक दुनिया के जोखिम के आधार पर एक्सपोज़र को प्राथमिकता देकर, सुरक्षा टीमें विरोधी चालों का अनुमान लगा सकती हैं, न कि केवल उन पर प्रतिक्रिया करें।

साक्षात्कार के लिए धन्यवाद, पाठक जो अधिक जानना चाहते हैं उन्हें अटैकआईक्यू पर जाना चाहिए।