Emma Zaballos, Product Marketing Manager at CyCognito – Intervista della serie

Emma Zaballos è una ricercatrice di minacce appassionata di comprendere e contrastare le minacce di cybercrime. Emma ama monitorare i mercati oscuri, profilare le gang di ransomware e utilizzare l’intelligence per comprendere il cybercrime.

CyCognito, fondata da veterani di agenzie di intelligence nazionali, si specializza nella sicurezza informatica identificando potenziali vettori di attacco da una prospettiva esterna. La società fornisce alle organizzazioni informazioni su come gli aggressori potrebbero percepire i loro sistemi, evidenziando vulnerabilità, punti di ingresso potenziali e asset a rischio. Con sede a Palo Alto, CyCognito serve grandi aziende e società Fortune 500, tra cui Colgate-Palmolive (CL ) e Tesco

Ha una formazione diversificata nella ricerca sulla sicurezza informatica, nell’analisi delle minacce e nel marketing di prodotto. Cosa ha suscitato il suo interesse in questo campo e come la sua carriera è evoluta nell’exposure management?

Subito dopo il college, ho lavorato come analista in una causa legale internazionale che coinvolgeva il monitoraggio di una rete di attori negli Stati Uniti (e a livello internazionale). È stato un caso molto interessante e quando ho iniziato a cercare la prossima cosa, ho trovato un lavoro in una startup di monitoraggio del dark web (Terbium Labs, ora parte di Deloitte) dove ho essenzialmente proposto me stessa come “hey, non so nulla del dark web o della sicurezza informatica, ma ho esperienza nella tracciatura di reti e comportamenti e credo di poter imparare il resto”. E ha funzionato! Ho continuato a lavorare nella sicurezza informatica come esperta di materia con un focus su attori minacciosi fino al 2022, quando mi sono unita a CyCognito nel mio primo ruolo di marketing di prodotto. È stato grande continuare a lavorare nella sicurezza informatica, che è un’industria di cui sono molto appassionata, mentre provavo un nuovo ruolo. Mi piace che io possa soddisfare la mia passione per la narrazione basata sui dati scrivendo contenuti come il rapporto annuale di CyCognito sull’exposure management esterno.

Ha menzionato che non possiederà mai un Alexa. Cosa la preoccupa di più sui dispositivi smart home e cosa dovrebbe sapere la persona media sui rischi?

Se si trascorre del tempo a guardare il dark web, si vedrà che i cybercriminali hanno un enorme appetito per i dati, compresi i dati dei consumatori raccolti dalle aziende. I suoi dati sono una risorsa preziosa e sono quelli che molte aziende non possono o non vogliono proteggere adeguatamente. Lei come consumatore ha opzioni limitate per controllare come i suoi dati vengono raccolti, archiviati e gestiti, ma è importante essere il più possibile informati e controllare ciò che può. Ciò può significare diventare molto bravi a regolare le impostazioni nelle app o nei dispositivi o semplicemente rinunciare a alcuni prodotti.

Per necessità, se si ha un assistente smart abilitato sul telefono o un dispositivo smart home che richiede un prompt vocale, il microfono deve ascoltare costantemente per intercettare la richiesta. Anche se fidarsi che l’azienda stia proteggendo quelle registrazioni e cancellandole, io personalmente non mi piace l’idea di avere un microfono sempre acceso in casa.

Ci sono sicuramente servizi e prodotti di convenienza che raccolgono i miei dati e li utilizzo comunque, perché in qualche modo vale la pena per me. I prodotti smart home, tuttavia, sono qualcosa per cui ho personalmente tracciato una linea – sono ok a fisicamente andare e regolare le luci o fare una lista della spesa o qualsiasi altra cosa, invece di chiedere ad Alexa di farlo. L’Internet delle cose offre alcuni benefici incredibili per il consumatore, ma è anche stato un vantaggio per i cybercriminali.

Ha lavorato sia nel settore pubblico che in quello privato. Come differiscono le sfide di sicurezza informatica tra questi ambienti?

Quando ho lavorato con un contratto per il Dipartimento della Salute e dei Servizi Umani nel loro Centro di coordinamento per la sicurezza informatica del settore sanitario, si è concentrato molto più sull’approfondimento dei modelli e delle motivazioni dietro le azioni dei cybercriminali – capire perché hanno preso di mira le risorse sanitarie e quali raccomandazioni potremmo fare per rafforzare quelle difese. C’è più spazio per approfondire un progetto nel settore pubblico e ci sono alcuni funzionari pubblici incredibili che lavorano sulla sicurezza informatica nelle amministrazioni federali e statali. Nei miei ruoli di startup, ho anche potuto fare ricerche molto interessanti, ma è più veloce e più mirato su domande a portata più stretta. Una cosa che mi piace delle startup è che si può portare un po’ più della propria voce alla ricerca – sarebbe stato più difficile presentare qualcosa come il mio “Make Me Your Dark Web Personal Shopper” (DerbyCon 2019) a nome dell’HHS.

Nel suo recente articolo, ha evidenziato la rapida crescita del dark web. Quali fattori stanno guidando questa espansione e quali tendenze si vedono per i prossimi anni?

Il dark web è sempre morto, morente e sempre risorgente. Purtroppo, c’è un mercato costante per i dati rubati, malware, cybercrime-as-a-service e tutti gli altri tipi di beni associati al dark web, il che significa che anche se i dark web come Silk Road, AlphaBay e Agora sono scomparsi, nuovi mercati possono sorgere per prendere il loro posto. L’instabilità politica e finanziaria guida anche le persone verso il cybercrime.

È diventato un cliché, ma l’AI è una preoccupazione qui – rende più facile per un criminale non sofisticato migliorare le proprie abilità, forse utilizzando strumenti di codifica basati sull’AI o attraverso strumenti generativi di AI che possono generare contenuti di phishing convincenti.

Un altro fattore che guida la rinascita del dark web è un forte mercato delle criptovalute. La criptovaluta è il sangue vitale del cybercrime – il moderno mercato del ransomware esiste fondamentalmente a causa della criptovaluta – e un governo a favore della criptovaluta sotto la seconda amministrazione Trump è probabile che esacerbi il crimine del dark web. I tagli dell’amministrazione ai programmi federali di sicurezza informatica e di applicazione della legge, compreso il CISA, sono anche un vantaggio per i cybercriminali, perché gli Stati Uniti hanno storicamente guidato le azioni di applicazione della legge contro i principali mercati del dark web.

Quali sono alcuni dei più grandi malintesi sul dark web che le aziende e gli individui dovrebbero essere a conoscenza?

Il più grande malinteso che vedo è che il dark web è una grande entità misteriosa che è troppo complessa da capire o difendere. In realtà, rappresenta meno dell’1% di Internet – ma quella piccola dimensione maschera il suo vero impatto sulla sicurezza aziendale. Un altro mito comune è che il dark web sia impenetrabile o completamente anonimo. Mentre richiede strumenti specializzati come il browser Tor e i domini .onion, noi monitoriamo attivamente questi spazi ogni giorno. A causa della pubblicità dietro la chiusura del marketplace Silk Road, le organizzazioni spesso pensano che il dark web sia solo per vendere beni illegali, come droghe o armi, e non si rendono conto che è anche un grande e sofisticato mercato per asset e dati aziendali. La realtà è che il dark web è qualcosa che non solo è possibile, ma essenziale per le organizzazioni da capire, perché ha il potenziale di impattare direttamente sulla sicurezza di ogni azienda.

Ha menzionato che le organizzazioni dovrebbero “assumere l’esposizione”. Quali sono alcuni dei modi più trascurati in cui le aziende espongono involontariamente i propri dati online?

Ciò che trovo affascinante è quanto molte aziende non si rendano ancora conto della portata della loro esposizione e dei modi in cui potrebbero essere esposte attraverso il dark web. Vediamo regolarmente credenziali rubate che circolano sui mercati del dark web – non solo dettagli di accesso di base, ma account amministrativi e credenziali VPN che potrebbero fornire l’accesso completo alle infrastrutture critiche. Un’area particolarmente trascurata è quella dei dispositivi IoT. Questi dispositivi connessi apparentemente innocui possono essere compromessi e venduti per creare botnet o lanciare attacchi. Gli ambienti IT moderni sono diventati incredibilmente complessi, creando ciò che chiamiamo “superficie di attacco estesa” che va ben oltre ciò che la maggior parte delle organizzazioni immagina di avere. Stiamo parlando di servizi cloud, punti di accesso alla rete e sistemi integrati che molte aziende non si rendono nemmeno conto di esporre. La dura verità è che la maggior parte delle organizzazioni ha molti più punti di ingresso potenziali di quanto pensi, quindi è meglio assumere che ci sia un’esposizione là fuori piuttosto che fidarsi che le proprie difese esistenti siano perfette.

Come i cybercriminali stanno sfruttando l’AI per migliorare le loro operazioni sul dark web e come le aziende possono difendersi contro le minacce informatiche guidate dall’AI?

Il cybercrime non sta realmente creando nuovi tipi di attacchi – sta accelerando quelli che già conosciamo. Stiamo vedendo i criminali utilizzare l’AI per generare centinaia di email di phishing incredibilmente convincenti in pochi minuti, qualcosa che in passato richiedeva giorni o settimane per fare manualmente. Stanno sviluppando malware adattivo che può effettivamente cambiare il proprio comportamento per evitare la rilevazione e stanno utilizzando strumenti specializzati come WormGPT e FraudGPT che sono progettati specificamente per attività criminali. Forse la cosa più preoccupante è come stanno riuscendo a compromettere piattaforme di AI legittime – abbiamo visto credenziali rubate da importanti fornitori di AI che vengono vendute e c’è uno sforzo crescente per “sbloccare” gli strumenti di AI mainstream rimuovendo i loro limiti di sicurezza.

Ma la buona notizia è che non siamo indifesi. Le organizzazioni proattive stanno schierando sistemi di AI che lavorano 24 ore su 24 per monitorare i forum e i mercati del dark web. Questi strumenti possono analizzare milioni di post in pochi minuti, capire il linguaggio in codice dei criminali e rilevare modelli che gli analisti umani potrebbero perdere. Stiamo utilizzando l’AI per scansionare le credenziali rubate, monitorare i punti di accesso ai sistemi e fornire un precoce avvertimento di potenziali violazioni. La chiave è che il nostro AI difensivo può lavorare alla stessa velocità e scala degli strumenti criminali – è veramente l’unico modo per stare al passo con le minacce moderne.

CyCognito adotta una “prospettiva dell’aggressore” per identificare le vulnerabilità. Può spiegarci come questo approccio differisce dai metodi di test della sicurezza tradizionali?

Il nostro approccio inizia con la comprensione che gli ambienti IT moderni sono molto più complessi di quanto i modelli di sicurezza tradizionali suppongano. Non ci affidiamo a ciò che le organizzazioni conoscono per informare il nostro lavoro – quando gli aggressori prendono di mira un’organizzazione, non ricevono elenchi di asset o contesto dalla loro vittima, quindi noi andiamo avanti senza dati di base dai nostri clienti. In base a ciò, assemblamo una mappa dell’organizzazione e della sua superficie di attacco e collochiamo tutti i loro asset nel contesto di quella mappa.

Mappiamo l’intera superficie di attacco estesa, andando oltre gli asset noti per capire cosa gli aggressori vedono e possono sfruttare. Quando monitoriamo i mercati del dark web, non stiamo solo raccogliendo dati – stiamo capendo come le credenziali rubate, l’accesso privilegiato e le informazioni esposte creano percorsi all’interno di un’organizzazione. Sovrapporre questi rischi del dark web alla superficie di attacco esistente ci consente di fornire ai team di sicurezza una vera e propria prospettiva dell’aggressore sulle loro vulnerabilità. Questa prospettiva aiuta a capire non solo cosa potrebbe essere vulnerabile, ma cosa è effettivamente sfruttabile.

Come funziona il processo di scoperta basato sull’AI di CyCognito e cosa lo rende più efficace rispetto alle soluzioni di gestione della superficie di attacco esterna (EASM) convenzionali?

Partiamo da una comprensione fondamentale che la superficie di attacco di ogni organizzazione è significativamente più grande di quanto gli strumenti tradizionali suppongano. Il nostro processo di scoperta basato sull’AI inizia mappando ciò che chiamiamo “superficie di attacco estesa” – un concetto che va ben oltre le soluzioni EASM convenzionali che si concentrano solo sugli asset noti.

Il nostro processo è completo e proattivo. Scansioniamo continuamente per quattro tipi critici di esposizione: credenziali rubate, comprese le password hashate che gli aggressori potrebbero decriptare; account e credenziali di accesso privilegiato vendute sui mercati del dark web; informazioni basate su IP che potrebbero rivelare vulnerabilità di rete; e dati sensibili esposti attraverso violazioni passate. Ma trovare queste esposizioni è solo il primo passo.

Quindi mappiamo tutto ciò che chiamiamo il grafico della superficie di attacco. Questo è dove il contesto diventa tutto. Invece di fornire solo un elenco di vulnerabilità come fanno le soluzioni EASM convenzionali, mostriamo esattamente come le esposizioni del dark web si intersecano con l’infrastruttura esistente. Ciò consente ai team di sicurezza di vedere non solo dove sono finiti i loro dati, ma esattamente dove devono concentrare i loro sforzi di sicurezza successivi.

Pensateci come costruire una mappa strategica piuttosto che eseguire solo una scansione di sicurezza. Sovrapporre i rischi del dark web alla superficie di attacco reale fornisce ai team di sicurezza una visione chiara e azionabile delle loro lacune di sicurezza più critiche. Questa comprensione contestuale è essenziale per la priorità degli sforzi di rimedio in modo efficace e per garantire una risposta rapida e mirata alle minacce emergenti.

La priorità dei rischi è una grande sfida per i team di sicurezza. Come CyCognito differenzia tra vulnerabilità critiche e non critiche?

Priorizziamo le vulnerabilità capendo il loro contesto all’interno dell’intero ecosistema di sicurezza di un’organizzazione. Non basta sapere che una credenziale è stata esposta o che un punto di accesso è vulnerabile – dobbiamo capire cosa significa quell’esposizione in termini di impatto potenziale, e quell’impatto può variare a seconda del contesto aziendale dell’asset. Ci concentriamo in particolare sulle credenziali di accesso privilegiato, gli account amministrativi e i punti di accesso VPN, poiché spesso rappresentano il maggior rischio per il movimento laterale all’interno dei sistemi. Mappando queste esposizioni sul nostro grafico della superficie di attacco, possiamo mostrare ai team di sicurezza esattamente quali vulnerabilità rappresentano il maggior rischio per i loro asset più critici. Ciò aiuta a concentrare le loro risorse limitate dove avranno il maggior impatto.

Come vede l’evoluzione della sicurezza informatica nei prossimi cinque anni e quale ruolo avrà l’AI nel settore?

Ci troviamo in mezzo a un cambiamento fondamentale nel panorama della sicurezza informatica, in gran parte guidato dall’AI. Sul lato offensivo, stiamo già vedendo l’AI accelerare la scala e la sofisticazione degli attacchi in modi che sarebbero stati impossibili solo pochi anni fa. Nuovi strumenti di AI progettati specificamente per il cybercrime, come WormGPT e FraudGPT, stanno emergendo rapidamente e stiamo vedendo anche piattaforme di AI legittime che vengono compromesse o “sbloccate” per scopi malintenzionati.

Sul lato difensivo, l’AI non è più solo un vantaggio – sta diventando una necessità. La velocità e la scala degli attacchi moderni significano che l’analisi tradizionale condotta solo dagli esseri umani non può più tenere il passo. L’AI è essenziale per il monitoraggio delle minacce su larga scala, l’analisi dell’attività del dark web e la fornitura di capacità di risposta rapida che la sicurezza moderna richiede. Ma voglio sottolineare che la tecnologia da sola non è la risposta. Le organizzazioni che avranno più successo nel navigare questo nuovo panorama saranno quelle che combineranno capacità di AI avanzate con strategie di sicurezza proattive e una profonda comprensione della loro superficie di attacco estesa. I prossimi cinque anni saranno dedicati a trovare un equilibrio tra potenti strumenti di AI e pianificazione di sicurezza strategica e intelligente.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare CyCognito.