Keith Stewart, Fondatore e Amministratore Delegato di Humanix – Serie di Interviste

Keith Stewart, Fondatore e Amministratore Delegato di Humanix, è un veterano della sicurezza informatica con oltre 25 anni di esperienza che spazia dalla gestione dei prodotti all’ingegneria, allo sviluppo aziendale e alla leadership esecutiva in alcune delle aziende più riconosciute del settore, tra cui Cisco, Brocade, Riverbed e vArmour. Prima di fondare Humanix nel 2023, ha ricoperto il ruolo di Amministratore Delegato ad interim e di Vicepresidente per i prodotti e l’ingegneria in vArmour, dove ha aiutato a guidare l’azienda attraverso l’acquisizione e la transizione a un modello di business basato su SaaS. Nel corso della sua carriera, Stewart ha guidato team globali, ha guidato importanti iniziative di prodotti di sicurezza informatica, ha partecipato ad attività di raccolta fondi e di fusioni e acquisizioni, e ha svolto un ruolo chiave nello sviluppo di tecnologie di sicurezza di nuova generazione. La sua vasta esperienza nella sicurezza aziendale e la sua profonda comprensione di come gli attaccanti sfruttino il comportamento umano lo hanno portato a fondare Humanix con la missione di proteggere le persone da attacchi di ingegneria sociale sempre più sofisticati.

Humanix è un’azienda di sicurezza informatica che sta facendo da pioniera in quello che chiama Human Threat Detection and Response (HTDR), una nuova categoria focalizzata sulla protezione del “livello umano” della sicurezza aziendale. Piuttosto che concentrarsi solo su endpoint, reti e infrastrutture, Humanix utilizza un’intelligenza artificiale conversazionale addestrata sulla psicologia umana e sui modelli di attacco linguistico per rilevare la manipolazione, l’inganno, l’impersonificazione e altre tattiche di ingegneria sociale attraverso interazioni vocali, chat, email, video e servizi di assistenza. La piattaforma è progettata per identificare gli attacchi in tempo reale, aiutando le organizzazioni a fermare le violazioni prima che gli attaccanti sfruttino dipendenti, contractor o clienti. L’approccio di Humanix riflette una crescente consapevolezza che la maggior parte degli attacchi informatici di successo si concentrano sulle persone piuttosto che sui sistemi, e l’azienda si propone di fornire ai team di sicurezza lo stesso livello di visibilità e capacità di risposta per le minacce mirate agli esseri umani che già hanno per le minacce informatiche tradizionali.

Ha guidato grandi trasformazioni in aziende come vArmour, tra cui transizioni SaaS, scaling di team di ingegneria e navigazione di acquisizioni. Qual è l’esatto gap o punto di svolta che l’ha portato a fondare Humanix, e perché si concentra così tanto sulla sicurezza degli esseri umani piuttosto che sui sistemi?

La più grande sfida nella postura di sicurezza di qualsiasi organizzazione è il rischio umano. Gli esseri umani sono sia il nostro asset difensivo più potente che la nostra area di vulnerabilità più persistente. Eppure, è un problema che è stato continuamente non affrontato. La risposta dell’industria è stata la formazione – cercando essenzialmente di trasformare il dipendente medio in un esperto di sicurezza informatica in una sessione di un’ora. Sappiamo che non funziona, ma non abbiamo avuto soluzioni migliori.

Due cose sono cambiate di recente, una per il peggio e una per il meglio. Prima, il peggio: l’intelligenza artificiale rende gli attacchi che colpiscono direttamente gli esseri umani molto più accessibili. Ora puoi essere un teenager dall’altra parte del mondo, non parlare una parola di inglese, non sapere nulla di un particolare business, e improvvisamente un modello di linguaggio ti fa conoscere quasi tutto e sembra quasi chiunque. Ciò crea un pericolo reale e presente.

Secondo, un cambiamento per il meglio: ora abbiamo la tecnologia per rilevare questi attacchi. I modelli di linguaggio sono molto bravi a comprendere la sfumatura e la complessità delle interazioni umane. Con l’intelligenza artificiale conversazionale, possiamo identificare modelli in quelle interazioni e rispondere quasi in tempo reale.

Non dobbiamo più affidarci solo a strategie obsolete e basate sulla formazione. Per la prima volta, abbiamo un modo per risolvere direttamente il problema della vulnerabilità umana. È per questo che abbiamo costruito Humanix.

Il suo lavoro si è sempre concentrato su grandi quantità di dati, analisi comportamentali e modelli di sicurezza basati su grafi. Come hanno influenzato queste esperienze l’approccio di Humanix nel rilevamento di attacchi che non assomigliano a violazioni tradizionali?

In superficie, rilevare attacchi di ingegneria sociale interattiva sembra scoraggiante. Ogni persona è diversa. Il linguaggio naturale è estremamente ad alto livello dimensionale. I modelli comportamentali basati su apprendimento automatico classico non comprendono il contesto e quindi spesso falliscono.

Tuttavia, quando si scende un po’ più in profondità, si può vedere che questa classe di attacco ha modelli come qualsiasi altra. Invece di overflow di buffer o zero day, gli attaccanti sfruttano lacune nei processi aziendali e la fiducia umana. Gli attaccanti hanno dei playbook che eseguono costantemente contro le organizzazioni, il che significa che dovremmo essere in grado di rilevare e rispondere a questi attacchi proprio come facciamo con endpoint, rete, cloud o identità.

Questa consapevolezza ci consente di combinare modelli di rilevamento e risposta classici che sappiamo essere efficaci – inclusa l’analisi comportamentale e la teoria dei grafi – con le capacità di ragionamento semantico dei modelli linguistici. Humanix utilizza questa combinazione per comprendere entità, relazioni, comportamento, rischio e interazione stessa. È così che creiamo una nuova classe di prodotto di rilevamento e risposta: Human Threat Detection and Response.

Gruppi emergenti come BlackFile stanno utilizzando phishing vocale e ingegneria sociale in tempo reale invece di tattiche pesanti basate su malware. Cosa ci dice questo spostamento sulla trasformazione del panorama delle minacce?

BlackFile fa parte di un più ampio spostamento verso attacchi che sono meno concentrati sull’introduzione di malware in un ambiente e più sull’uso del linguaggio naturale per far aprire la porta a una persona.

Questi gruppi hanno capito che una telefonata convincente, un pretesto plausibile e la giusta quantità di urgenza possono essere altrettanto efficaci di un exploit tecnico e spesso più difficili da rilevare per i team di sicurezza. La superficie di attacco non è cambiata molto quanto si è concentrata l’attenzione degli attaccanti. Le persone sono sempre state parte della superficie di attacco. Ciò che è cambiato è la scala, la maturità e la ripetibilità del playbook.

L’ingegneria sociale sta essere copiata, raffinata e industrializzata perché funziona. Sfrutta il modo in cui le aziende operano effettivamente, specialmente in flussi di lavoro in cui le persone sono tenute ad aiutare rapidamente, a risolvere eccezioni e a mantenere le cose in movimento.

Stiamo vedendo gli attaccanti impersonare i desk di aiuto IT e sfruttare direttamente i dipendenti per ottenere l’accesso. Perché le tecniche come vishing e manipolazione del desk di aiuto stanno diventando punti di ingresso primari così efficaci?

Le tecniche come vishing e manipolazione del desk di aiuto sono così efficaci perché sfruttano la combinazione di fiducia, urgenza e accesso trovata in molti flussi di lavoro di supporto e amministrativi.

Se voglio entrare nel tuo ambiente, posso spendere settimane a cercare un exploit tecnico. Oppure posso chiamare qualcuno che è stato addestrato ad aiutare, creare una storia credibile e farlo fare ciò che ho bisogno che faccia, che sia resettare una password, registrare un nuovo fattore di autenticazione a più fattori, cambiare un permesso o approvare una richiesta.

La persona all’altra estremità della chiamata sta spesso cercando di risolvere un problema reale con informazioni incomplete e sotto pressione temporale. È esattamente ciò che rende il desk di aiuto uno degli obiettivi più attraenti. È uno dei pochi posti in cui una conversazione può trasformarsi direttamente in accesso. Una volta che l’accesso è stato concesso, il resto può accadere molto rapidamente.

L’industria ha investito molto nella formazione degli impiegati, eppure le violazioni che colpiscono le persone continuano a salire. Dove sta fallendo la consapevolezza della sicurezza tradizionale, e cosa deve cambiare?

La formazione sulla consapevolezza della sicurezza è stata trattata come la principale difesa contro l’ingegneria sociale, anche se i risultati mostrano chiaramente i suoi limiti. Le organizzazioni continuano a investire pesantemente nella formazione, eppure gli attaccanti continuano a riuscire perché stanno bersagliando le persone in interazioni live, non testando se i dipendenti ricordano il materiale di un corso.

Un attacco di ingegneria sociale non è un quiz. È una persona all’altra estremità di una telefonata o di un thread di chat che crea urgenza, costruisce fiducia e cerca di far fare a qualcuno un’azione che non dovrebbe fare. Il modello attuale si rompe perché si aspetta che il dipendente riconosca e fermi l’attacco mentre l’attaccante sta attivamente manipolando l’interazione.

Quando qualcosa va storto, la risposta è spesso incolpare il dipendente e assegnargli ulteriore formazione. Ma il dipendente stava cercando di aiutare, che è esattamente ciò che l’azienda gli chiede di fare ogni giorno. Dobbiamo smettere di trattare l’ingegneria sociale come un problema di consapevolezza solo. È una classe di attacco, e dovremmo rilevarla e rispondere ad essa mentre l’interazione sta accadendo.

Humanix si posiziona intorno al rilevamento di attacchi contro le persone in tempo reale. Cosa significa l’osservabilità del rischio umano nella pratica?

L’osservabilità del rischio umano significa dare ai team di sicurezza la visibilità delle interazioni live in cui gli attaccanti cercano di manipolare le persone per cambiare l’accesso, bypassare una procedura richiesta o eseguire un’altra azione insicura per conto dell’attaccante.

Oggi, queste interazioni sono essenzialmente invisibili per la sicurezza. Qualcuno chiama il desk di aiuto, apre un ticket o inizia una chat. Una password viene resettata, un fattore di autenticazione a più fattori viene registrato, un permesso viene cambiato o un’eccezione viene approvata. Questi sono flussi di lavoro altamente sensibili, eppure i team di sicurezza non hanno visibilità e osservabilità.

Humanix cambia questo. Ci colleghiamo ai sistemi di comunicazione aziendale già in uso – Microsoft 365, ServiceNow , Zoom, Slack e molti altri. Humanix monitora azioni e interazioni su questi canali e le confronta con tattiche di attacco e procedure aziendali.

Il chiamante è stato correttamente verificato? Ha parlato per superare la verifica? C’è stata urgenza, impersonificazione o pressione per saltare un passaggio richiesto? L’agente stava per eseguire un’azione ad alto rischio? Come è cambiato il profilo di rischio man mano che la chiamata procedeva? Humanix fornisce rilevamento e risposta di sicurezza mentre l’interazione sta accadendo e lascia che il team di sicurezza sappia se qualcosa sembra sospetto.

Il fine ultimo di questa analisi non è punire le vittime dopo il fatto. È proteggerle nel momento. Se una conversazione diventa un attacco, il team di sicurezza deve saperlo.

Man mano che le tecnologie di voce e deepfake generate da AI migliorano, quanto siamo vicini al punto in cui la fiducia umana diventa la superficie di attacco più debole?

La fiducia umana è stata una delle superfici di attacco più deboli per molto tempo. L’intelligenza artificiale rende gli attacchi contro la fiducia più facili da creare, personalizzare e scalare.

Tuttavia, dobbiamo essere cauti per non esagerare con il caso specifico dei deepfake. I deepfake sono solo un mezzo che gli attaccanti possono utilizzare per manipolare qualcuno. In realtà, se guardiamo alla stragrande maggioranza degli attacchi di ingegneria sociale di successo degli ultimi anni, la maggior parte non erano deepfake – sono semplicemente attaccanti e truffatori che prendono in mano il telefono. Gruppi come Scattered Spider, ShinyHunters e BlackFile hanno dimostrato che una normale telefonata, un pretesto credibile e la giusta quantità di urgenza sono più che sufficienti per far fare a qualcuno un’azione per conto dell’attaccante.

I team di sicurezza devono concentrarsi sul messaggio, non sul mezzo. Qualcuno che viene pressato per violare una politica o approvare un’eccezione in circostanze sospette – questi sono i veri comportamenti a rischio. I rischi si trovano nell’interazione stessa e nell’azione che è progettata per indurre.

La fiducia non è qualcosa che possiamo rimuovere dal business. Le persone devono rispondere alle chiamate, risolvere problemi, approvare richieste e aiutarsi a vicenda. La risposta non può essere rendere tutti meno umani. Deve essere proteggere i momenti in cui la fiducia viene sfruttata.

Qual è il ruolo che l’AI dovrebbe svolgere nella difesa contro l’ingegneria sociale guidata da AI, e quali sono le più grandi sfide tecniche nel rilevamento della manipolazione in tempo reale?

L’intelligenza artificiale conversazionale sblocca l’opportunità di trasformare l’ingegneria sociale guidata da AI da un problema di formazione a un problema di rilevamento e risposta. I modelli linguistici ci consentono di applicare tutti i nostri apprendimenti da domini come endpoint o rete e applicarli al livello umano. Dobbiamo rilevare e rispondere a questi attacchi, non continuare a percorrere la strada futile di cercare di addestrarli via.

Ci sono molte sfide tecniche nel rendere questa visione una realtà. Il linguaggio naturale è altamente dimensionale, il che significa che ci sono innumerevoli modi diversi per esprimere lo stesso significato. Dire “Sono bloccato nel mio sistema” è una dichiarazione funzionalmente equivalente a dire “Ho bisogno che la mia password venga resettata”, anche se le parole “password” e “reset” non sono state utilizzate.

Un’altra sfida è l’importanza del contesto. Le interazioni umane sono contestuali e cumulative, e quindi anche la manipolazione umana. Un chiamante può sembrare calmo, cortese e credibile mentre sta ancora cercando di superare la verifica o di indurre qualcuno a eseguire un’azione insicura. Dobbiamo combinare più segnali e dati contestuali per separare con precisione il benigno dal malintenzionato.

Infine, ogni organizzazione è diversa. Ha procedure e norme diverse, quasi tutte non leggibili dalle macchine. Questo è un altro settore in cui l’AI può essere di grande aiuto – comprendere quelle politiche e confrontarle con comportamenti osservati nel mondo reale.

Molti strumenti di sicurezza si concentrano ancora su endpoint, reti e sistemi di identità. Come dovrebbero ripensare i CISO la loro architettura se il principale campo di battaglia si sposta verso il comportamento umano?

Prima di tutto, i CISO dovrebbero riconoscere formalmente ciò che tutti noi sappiamo intuitivamente: il capitale umano di un’organizzazione è una classe di asset (come endpoint, rete o cloud) che deve essere gestito. Le minacce e i rischi devono essere modellati e controllati con precisione.

Il framework di sicurezza informatica NIST fornisce già indicazioni su come farlo. L'”identificazione” e la “gestione” delle persone fanno parte del subset di identificazione del rischio (ID.AM) della gestione degli asset. Tuttavia, molte organizzazioni definiscono il problema del rischio umano come un problema di formazione e lo gestiscono solo attraverso il requisito di conformità della formazione sulla consapevolezza della sicurezza. Ciò deve cambiare.

Quando trattiamo il capitale umano come una propria classe di asset, questo apre i playbook standard che eseguiamo per ogni altra classe di asset. Quali sono i rischi chiave (ID.RA)? Come posso difendermi sistematicamente contro di essi (Protezione)? Quali sono i nostri sistemi e processi per rilevare se un attaccante sta per violare quelle difese o, peggio, se le ha già violate (Rilevamento)? Come l’organizzazione risponde per contenere la minaccia e restaurare i servizi (Risposta e Recupero)? Trattando il nostro capitale umano con lo stesso approccio sistematico che utilizziamo per ogni altra classe di asset, possiamo identificare meglio i rischi e priorizzare più efficacemente le risorse per gestire quei rischi.

Guardando avanti, si aspetta che gli attacchi al livello umano dominino il crimine informatico o vedremo un modello ibrido in cui l’automazione guidata da AI e l’ingegneria sociale si fondono in qualcosa di più difficile da difendere?

Sarà quasi certamente un modello di minaccia ibrido. Stiamo vivendo due cose simultaneamente. Primo, gli attaccanti stanno imparando a scalare i loro attacchi con l’AI, aumentando l’accesso e riducendo il costo di questa classe di attacco. Secondo, le aziende stanno attraversando una trasformazione agente guidata da AI, guidata dai servizi aziendali che stanno attaccando BlackFile e i suoi pari.

I servizi di assistenza clienti, i desk di aiuto, i servizi di assistenza, le operazioni finanziarie e i flussi di lavoro di supporto interno stanno tutti subendo una trasformazione da umani a AI. Ciò significa che vivremo un’esplosione nella superficie di attacco del linguaggio naturale mentre ci sbarazziamo del buon senso umano. I grandi modelli di linguaggio sono stati addestrati per rispondere a istruzioni e essere utili. I sospetti umani o i “presentimenti” che sono stati alcune delle nostre migliori difese contro gli attacchi di ingegneria sociale sono stati deliberatamente rimossi dalle risposte del modello. La transizione ai servizi consegnati da AI aumenterà alla fine il rischio di attacchi di ingegneria sociale, non lo ridurrà.

Di conseguenza, l’esposizione aziendale a questa classe di attacco è quasi certamente destinata a continuare a crescere nei prossimi anni. Gli esseri umani e gli agenti sono entrambi vulnerabili agli attacchi del linguaggio naturale. I team di sicurezza devono iniziare a pianificare oggi per un piano di difesa e risposta sistematico a questa nuova realtà.

Grazie per la grande intervista, lettori che desiderano saperne di più Humanix.