Rob Gurzeev, CEO & Co-Founder of CyCognito – Interview Series

Rob Gurzeev, CEO dan Co-Founder of CyCognito, telah memimpin pengembangan solusi keamanan ofensif untuk sektor swasta dan badan intelijen.

Sebelum mendirikan CyCognito, ia menjabat sebagai Direktur Keamanan Ofensif dan kepala R&D di C4 Security (diakuisisi oleh Elbit Systems (ESLT )) dan CTO Departemen Produk Korps Intelijen 8200 Israel. Penghargaan yang diterimanya sebagai Perwira Angkatan Pertahanan Israel termasuk Penghargaan Keunggulan, Penghargaan Berpikir Kreatif, dan Penghargaan Sumber Kehidupan.

CyCognito didirikan oleh veteran badan intelijen nasional yang memahami bagaimana penyerang memanfaatkan titik buta dan bergabung dengan manajemen berpengalaman dari beberapa perusahaan keamanan siber paling tepercaya.

Apa yang awalnya menarik Anda ke keamanan siber?

Saya pertama kali tertarik dengan teknologi sekitar usia 13 atau 14. Saya mulai bergabung dengan saluran IRC dengan orang-orang yang penasaran dengan teknologi dan apa yang disebut “hacking” pada saat itu.

Orang-orang pada saat itu bereksperimen dengan berbagai hal menarik seperti kriptografi di aplikasi pesan. Mereka juga bereksperimen dengan berbagi file. Anak-anak melakukan lelucon pada teman-teman mereka dengan mengirimkan file eksekusi yang akan memicu tindakan lucu tertentu. Jika Anda memikirkannya, ini adalah dasar dari apa yang sekarang kita sebut ‘serangan teknik sosial’.

Semua ini membuat saya berpikir: apa jika seseorang dengan niat jahat mendapatkan teknologi ini untuk tujuan jahat?

Pengalaman awal ini yang memulai karir saya di bidang keamanan. Saya akhirnya bergabung dengan Unit Intelijen 8200 Israel melakukan pekerjaan pengintaian, dan kemudian mendirikan CyCognito.

Apakah Anda dapat membagikan kisah asal-usul di balik CyCognito?

CyCognito didirikan berdasarkan kesadaran bahwa penyerang selalu mendahului pembela. Mereka pintar, gigih, dan selalu mencari jalan terpendek. Dan sementara semua penyerang membutuhkan adalah satu titik lemah untuk menembus, tim keamanan harus mengamankan setiap titik masuk yang mungkin dalam permukaan serangan yang terus berkembang dan berubah. Ini adalah tantangan yang cukup besar.

Untuk memperburuk masalah, sebagian besar organisasi memiliki titik masuk potensial yang tidak terlihat oleh tim keamanan tetapi dapat ditemukan dengan mudah oleh aktor ancaman.

Suatu hari, saya duduk bersama Co-Founder saya, Dima Potekhin, dan kami bertekad untuk mengubah paradigma di mana bukan dengan mengirimkan agen atau memerintahkan pemindaian port untuk memindai beberapa rentang IP yang diketahui, kami akan menciptakan solusi yang bekerja seperti penyerang kelas dunia, yaitu dimulai dengan mengetahui hanya nama perusahaan dan kemudian melanjutkan untuk mengidentifikasi aset yang paling berisiko dan jalur terbuka yang paling menggoda.

Kami ingin mensimulasikan operasi ofensif penyerang, dimulai dari langkah pertama, di mana penyerang hanya mengetahui nama perusahaan target dan tujuannya adalah untuk mendapatkan akses ke data sensitif.

Jadi, pada tahun 2017, kami mengambil pengalaman kami dari badan intelijen nasional dan mulai mewujudkannya dengan misi membantu organisasi mencegah pelanggaran, dengan terus memetakan titik buta eksposur eksternal mereka dan menemukan jalur terpendek ke jaringan internal mereka. Ini memerlukan pemanfaatan tidak hanya pengetahuan ofensif cyber canggih, tetapi juga teknologi modern yang masih jarang digunakan dalam industri kami, seperti model mesin pembelajaran Bayesian, LLM, NLP, dan model data grafik.

Saat ini, kami membantu perusahaan yang sedang berkembang dan perusahaan Global 100 besar untuk mengamankan permukaan serangan mereka dari ancaman yang terus berkembang. Beberapa klien kami termasuk Colgate-Palmolive (CL ), Negara Bagian California, Berlitz, Hitachi, Tesco, hanya untuk menyebutkan beberapa.

Apa itu Manajemen Permukaan Serangan Eksternal?

Definisi buku teks dari Manajemen Permukaan Serangan Eksternal (EASM) mengacu pada proses dan teknologi yang digunakan untuk mengidentifikasi, menilai, dan mengelola eksposur aset digital suatu organisasi yang dapat diakses atau terlihat dari internet.

Permukaan serangan eksternal sangat luas dan kompleks. Suatu organisasi tunggal dapat memiliki ratusan dan ribuan sistem, aplikasi, instance cloud, rantai pasokan, perangkat IoT, dan data yang terpapar ke Internet—sering meluas ke anak perusahaan, awan multiple, dan aset yang dikelola oleh pihak ketiga.

Tim keamanan memiliki kemampuan terbatas untuk menemukan aset-aset ini. Mereka dibanjiri dengan ribuan peringatan, tetapi mereka tidak memiliki konteks untuk mengetahui mana yang kritis dan mana yang harus diprioritaskan.

Mengisolasi masalah yang benar-benar kritis pertama kali memerlukan visibilitas di seluruh permukaan serangan, tetapi yang lebih penting, memerlukan pemahaman yang menyeluruh tentang konteks dan tujuan aset yang terkena. Setelah itu ditetapkan, tim keamanan dapat menghitung jalur serangan dan memprediksi ancaman mana yang paling berarti—yang kemungkinan akan menyebabkan kerusakan moneter atau reputasi yang serius pada bisnis. Kemudian, organisasi dapat memprioritaskan dengan benar dan memperbaiki dampak maksimal.

Apakah Anda dapat membagikan pandangan Anda tentang pentingnya berpikir seperti penyerang untuk menemukan risiko yang tidak diketahui?

Menurut Verizon’s DBIR, 82% serangan berasal dari luar ke dalam. Selain itu, sebagian besar pelanggaran menurut Gartner terkait dengan aset yang tidak diketahui dan tidak dikelola.

Inilah mengapa mengadopsi pendekatan dari luar ke dalam untuk menilai permukaan serangan sangat penting untuk menilai dan mengelola risiko keamanan siber. Berdiri di atas kaki penyerang memberikan pandangan objektif tentang mahkota yang hidup dalam sistem Anda dan, yang lebih penting, mana yang terpapar dan rentan.

Seperti yang saya sebutkan sebelumnya, permukaan serangan terus berkembang dan kompleks. Sebagian besar tim keamanan kekurangan visibilitas penuh ke aset yang terpapar dan rentan. Penyerang tahu ini! Dan mereka akan terus-menerus menjelajahi permukaan serangan, berburu jalur terpendek dan celah yang tidak dipantau oleh tim keamanan. Sayangnya, satu celah keamanan sudah cukup bagi mereka untuk menembus. Sementara itu, tim keamanan memiliki tugas yang sulit untuk mengidentifikasi eksposur yang membuat organisasi mereka paling rentan, dan kemudian mengambil tindakan untuk melindungi titik-titik masuk tersebut.

Seberapa sering Anda mengidentifikasi ancaman yang disebabkan oleh aplikasi dan API eksternal yang tidak dipantau atau diuji?

Lebih sering dari yang kita inginkan. Kami baru-baru ini melakukan penelitian yang menunjukkan aplikasi dan instance cloud yang rentan, serta aplikasi web yang memaparkan data sensitif, termasuk API yang tidak aman dan informasi identitas pribadi (PII). Berikut adalah beberapa temuan kunci:

• 74 persen aset dengan PII rentan terhadap setidaknya satu eksploitasi besar yang diketahui, dan satu dari 10 memiliki setidaknya satu masalah yang mudah dieksploitasi.
• 70 persen aplikasi web memiliki celah keamanan yang parah, seperti kekurangan perlindungan WAF atau koneksi terenkripsi seperti HTTPS, sementara 25 persen dari semua aplikasi web (web apps) tidak memiliki keduanya.
• Perusahaan rata-rata global memiliki lebih dari 12.000 aplikasi web, yang termasuk API, aplikasi SaaS, server, dan database, di antara lainnya. Setidaknya 30 persen dari aplikasi web ini—lebih dari 3.000 aset—memiliki setidaknya satu kerentanan yang dapat dieksploitasi atau berisiko tinggi. Setengah dari aplikasi web yang berpotensi rentan ini dihosting di cloud.
• 98 persen aplikasi web berpotensi tidak memenuhi standar GDPR karena kekurangan kesempatan bagi pengguna untuk menolak cookie.

Penelitian kami terpisah, ada bukti yang cukup tentang ancaman-ancaman ini di luar sana saat ini. Eksploitasi MOVEit adalah contoh kasus, yang masih berlangsung.

Apakah Anda dapat membahas pentingnya konsolidasi proses dan alat untuk menguji dan mengelola permukaan serangan?

‘Stack bloat’ adalah sesuatu yang sebagian besar perusahaan alami. Ini terutama menonjol di bidang keamanan. Sebagian besar organisasi memiliki alat keamanan yang terisolasi dan tidak terhubung. Ada mantra di keamanan bahwa lebih banyak platform akan menghilangkan celah keamanan. Tetapi sebaliknya, ini membuka pintu bagi kesalahan manusia, redundansi, beban operasional yang meningkat, dan titik buta.

CyCognito dibangun untuk melakukan tugas banyak solusi titik warisan. Kami membantu perusahaan mengkonsolidasikan tumpukan mereka sehingga mereka dapat fokus pada pekerjaan mereka.

Apakah Anda dapat membahas beberapa cara bagaimana aktor jahat menggunakan LLM dan AI Generatif untuk menskalakan serangan?

Kami belum melihat serangan besar menggunakan LLM, tetapi ini hanya masalah waktu. Dari perspektif saya, LLM memiliki potensi untuk memberikan skala, cakupan, jangkauan, dan kecepatan yang lebih besar untuk berbagai tahap serangan cyber.

Misalnya, LLM memiliki potensi untuk mempercepat pengintaian otomatis, di mana penyerang dapat memetakan dan menemukan aset, merek, dan layanan suatu organisasi, bersama dengan informasi sensitif seperti kredensial yang terpapar. LLM juga dapat membantu dalam penemuan kerentanan, mengidentifikasi kelemahan dalam jaringan target, dan memfasilitasi eksploitasi melalui teknik seperti phishing atau serangan watering-hole untuk mendapatkan akses dan mengeksploitasi kerentanan jaringan. LLM juga dapat membantu dalam pencurian data dengan menyalin atau mengekstrak data sensitif dari jaringan.

Juga, aplikasi konsumen berbasis LLM, terutama ChatGPT, merupakan ancaman karena dapat digunakan baik secara sengaja maupun tidak sengaja oleh karyawan untuk membocorkan IP perusahaan.

Kampanye phishing yang ditargetkan menyediakan contoh lain. Phishing berkualitas tinggi didasarkan pada pemahaman yang mendalam tentang target; itu tepatnya apa yang dapat dilakukan oleh model bahasa besar dengan sangat baik, karena mereka memproses volume data yang besar dengan sangat cepat dan menyesuaikan pesan secara efektif.

Bagaimana perusahaan dapat menggunakan AI Generatif untuk melindungi diri?

Pertanyaan yang bagus. Itulah kabar baik dari semua ini. Jika penyerang dapat menggunakan gen AI, maka tim keamanan juga dapat melakukannya. Gen AI dapat membantu tim keamanan melakukan pengintaian pada perusahaan mereka sendiri dan memperbaiki kerentanan. Mereka dapat lebih cepat dan efektif memindai dan memetakan permukaan serangan mereka untuk menemukan aset sensitif yang terpapar, seperti informasi identitas pribadi (PII), file, dll.

Gen AI dapat sangat membantu memahami konteks bisnis dari setiap aset. Misalnya, dapat membantu mengenali database yang menyimpan PII dan berperan dalam transaksi pendapatan. Itu sangat berharga.

Gen AI juga dapat menentukan tujuan bisnis dari suatu aset. Misalnya, dapat membantu membedakan antara mekanisme pembayaran, database kritis, dan perangkat acak—dan mengklasifikasikan profil risikonya. Ini, pada gilirannya, memungkinkan tim keamanan untuk memprioritaskan risiko dengan lebih baik. Tanpa kemampuan untuk memprioritaskan, tim keamanan harus menyaring kerentanan yang tidak terbatas yang dilabeli ‘urgensi’ ketika sebagian besar sebenarnya tidak kritis.

Mengapa perusahaan harus berhati-hati tentang ketergantungan yang berlebihan pada AI Generatif untuk tujuan pertahanan?

AI Generatif memiliki potensi besar, tetapi ada masalah bawaan yang harus kita pecahkan sebagai industri.

Gambaran besar bagi saya adalah bahwa model AI Generatif dapat membuat tim keamanan menjadi lengah. Daya tarik otomatisasi yang lebih besar sangat besar, tetapi tinjauan manual sangat penting mengingat keadaan model AI Generatif saat ini. Misalnya, model AI Generatif ‘berhalusinasi’. Dengan kata lain, mereka menghasilkan output yang tidak akurat.

Juga, model AI Generatif (LLM, khususnya) tidak memahami konteks karena mereka dibangun pada analisis teks temporal statistik—yang juga dapat menyebabkan ‘halusinasi’ lebih lanjut yang sangat sulit ditemukan.

Saya memahami bahwa tim keamanan semakin mencari cara untuk melakukan ‘lebih dengan kurang’—tetapi pengawasan manusia akan (dan harus) selalu menjadi bagian dari proses keamanan.

Apakah Anda dapat membahas bagaimana CyCognito menawarkan manajemen permukaan serangan eksternal yang otomatis dan pengujian terus-menerus?

Tidak untuk terdengar seperti catatan yang rusak, tetapi, seperti yang saya sebutkan sebelumnya, permukaan serangan sangat luas dan kompleks—dan terus berkembang.

Kami membangun CyCognito untuk terus memetakan seluruh permukaan serangan di luar inti perusahaan untuk mencakup anak perusahaan, akuisisi, joint venture, dan operasi merek—dan mengatribusikan setiap aset kepada pemiliknya yang sah.

Ada beberapa kemampuan teknis yang patut disoroti.

Dalam proses penemuan permukaan serangan kotak hitam, platform kami menggunakan LLM sebagai salah satu dari beberapa sumber ‘hipotesis atribusi’ yang model ML Bayesian kami analisis untuk menentukan struktur bisnis organisasi (hingga ribuan unit bisnis dan anak perusahaan) dan mengatribusikan aset kepada pemiliknya (dalam skala jutaan aset IT) sepenuhnya otomatis.

Platform kami juga mempercepat klasifikasi aset melalui Pemrosesan Bahasa Alami (NLP) dan algoritma heuristik—tugas yang biasanya mahal dan intensif sumber daya.

Kami juga menyediakan konteks bisnis yang diperlukan untuk memprioritaskan risiko secara efektif. Bahkan jika kerentanan mempengaruhi seribu mesin, CyCognito dapat mengidentifikasi yang paling kritis dengan memberikan wawasan tentang tingkat eksposur, signifikansi bisnis, kemampuan eksploitasi, dan obrolan penyerang.

Kami mengambil pendekatan holistik untuk Manajemen Permukaan Serangan Eksternal yang mengatasi perangkap mengobati semua masalah kritis dengan urgensi yang sama. Kami memungkinkan keamanan untuk memprioritaskan vektor kritis sebenarnya, sehingga menghemat waktu dan biaya.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi CyCognito.