Rob Gurzeev, CEO e Co-Fondatore di CyCognito – Serie di Interviste

Rob Gurzeev, CEO e Co-Fondatore di CyCognito, ha guidato lo sviluppo di soluzioni di sicurezza offensiva per il settore privato e le agenzie di intelligence.

Prima di fondare CyCognito, è stato Direttore della Sicurezza Offensiva e capo della Ricerca e Sviluppo presso C4 Security (acquisita da Elbit Systems (ESLT )) e CTO del Dipartimento di Prodotto del Corpo di Intelligence Israeli 8200. Gli onori che ha ricevuto come Ufficiale delle Forze di Difesa Israeliane includono il Premio per l’Eccellenza, il Premio per il Pensiero Creativo e il Premio Fonte di Vita.

CyCognito è stata fondata da veterani di agenzie di intelligence nazionali che comprendono come gli aggressori sfruttino i punti ciechi e si sono uniti a dirigenti esperti di alcune delle società di sicurezza più affidabili.

Cosa ti ha inizialmente attirato verso la sicurezza informatica?

Mi sono interessato per la prima volta alla tecnologia intorno ai 13 o 14 anni. Ho iniziato a frequentare canali IRC con persone curiose sulla tecnologia e su ciò che all’epoca veniva chiamato “hacking”.

Le persone all’epoca stavano sperimentando tutte le cose interessanti come la crittografia nelle app di messaggistica. Stavano anche sperimentando la condivisione di file. I ragazzi stavano scherzando con gli amici inviando un file eseguibile che avrebbe attivato un’azione divertente di qualche tipo. Se ci pensi, questo era la base di ciò che oggi chiamiamo “attacchi di ingegneria sociale”.

Tutto questo mi ha fatto pensare: e se una persona con intenzioni malvagie si fosse impossessata di questa tecnologia per scopi malvagi?

Queste prime esperienze sono state il punto di partenza della mia carriera nella sicurezza. Alla fine mi sono ritrovato nell’Unità di Intelligence 8200 delle Forze di Difesa Israeliane a fare lavori di ricognizione e in seguito ho co-fondato CyCognito.

Puoi condividere la storia di come è nata CyCognito?

CyCognito è nata dalla consapevolezza che gli aggressori sono sempre in vantaggio rispetto ai difensori. Sono intelligenti, implacabili e sempre alla ricerca del percorso di minor resistenza. E mentre tutti gli aggressori hanno bisogno di un punto debole per sfondare, i team di sicurezza devono proteggere ogni possibile punto di ingresso in una superficie di attacco in continua crescita e evoluzione. È una sfida piuttosto impegnativa.

Per aggravare il problema, la maggior parte delle organizzazioni ha punti di ingresso potenziali non visibili ai team di sicurezza, ma facilmente individuabili dagli attaccanti.

Un giorno, mi sono seduto con il mio co-fondatore, Dima Potekhin, e abbiamo cercato di cambiare il paradigma, anziché utilizzare agenti o istruire uno scanner di porte per scansionare alcuni IP noti, abbiamo creato una soluzione che funzionava come un attaccante di classe mondiale, ovvero iniziava conoscendo solo il nome di un’azienda e poi procedeva all’identificazione degli asset più a rischio e dei percorsi aperti più allettanti.

Volevamo simulare un’operazione offensiva di un attaccante, partendo dal primo passo, dove l’attaccante conosce solo il nome dell’azienda bersaglio e il suo obiettivo è accedere a dati sensibili.

Quindi, nel 2017, abbiamo iniziato a realizzare questo utilizzando l’esperienza acquisita nelle agenzie di intelligence nazionali con la missione di aiutare le organizzazioni a prevenire le violazioni, mappando continuamente i punti ciechi della loro esposizione esterna e trovando i percorsi di minor resistenza all’interno delle loro reti interne. Ciò ha richiesto l’utilizzo non solo di conoscenze avanzate di cyber-offense, ma anche di tecnologie moderne che sono ancora piuttosto rare nel nostro settore, come modelli di apprendimento automatico Bayesian, LLM, NLP e modelli di dati grafici.

Oggi, aiutiamo società emergenti e grandi aziende del Global 100 a proteggere le loro superfici di attacco da minacce in crescita. Alcuni dei nostri clienti includono Colgate-Palmolive (CL ), Stato della California, Berlitz, Hitachi, Tesco, solo per citarne alcuni.

Cosa è la Gestione della Superficie di Attacco Esterna?

La definizione di testo della Gestione della Superficie di Attacco Esterna (EASM) si riferisce ai processi e alle tecnologie utilizzate per identificare, valutare e gestire l’esposizione degli asset digitali di un’organizzazione che sono accessibili o visibili da Internet.

Le superfici di attacco esterne sono vaste e complesse. Un’organizzazione singola può avere centinaia e migliaia di sistemi, applicazioni, istanze cloud, catene di approvvigionamento, dispositivi IoT e dati esposti su Internet, spesso estesi su filiali, multi-cloud e asset gestiti da terze parti.

I team di sicurezza hanno una capacità limitata di scoprire questi asset. Sono inondati di migliaia di allarmi, ma non hanno il contesto per sapere quali sono critici e quali dare la priorità.

Isolare i problemi veramente critici per primi richiede visibilità sulla superficie di attacco, ma ancora più importante, richiede una comprensione approfondita del contesto e dello scopo degli asset interessati. Una volta stabilito questo, i team di sicurezza possono calcolare i percorsi di attacco e prevedere quali minacce specifiche contano—quelle che probabilmente causeranno gravi danni monetari o di reputazione all’azienda. Quindi, l’organizzazione può dare la priorità correttamente e porre rimedio per il massimo impatto.

Puoi condividere le tue opinioni sull’importanza di pensare come un attaccante per scoprire rischi sconosciuti?

Secondo il DBIR di Verizon, l’82% degli attacchi proviene dall’esterno. Inoltre, la maggior parte delle violazioni, secondo Gartner, è legata ad asset sconosciuti e non gestiti.

Questo è esattamente il motivo per cui adottare un approccio esterno per valutare la superficie di attacco è critico per valutare e gestire il rischio di sicurezza. Mettersi nei panni dell’attaccante fornisce una visione oggettiva dei “gioielli della corona” che vivono all’interno dei sistemi e, più importante, quali sono esposti e vulnerabili.

Come ho menzionato in precedenza, le superfici di attacco sono in continua crescita e complessità. La maggior parte dei team di sicurezza manca di visibilità a pieno spettro sugli asset esposti e vulnerabili. Gli attaccanti lo sanno! E esploreranno incessantemente la superficie di attacco, alla ricerca del percorso di minor resistenza e di quella singola breccia che i team di sicurezza non monitorano. Purtroppo, una singola breccia di sicurezza è tutto ciò di cui hanno bisogno per entrare. Nel frattempo, i team di sicurezza hanno il difficile compito di identificare le esposizioni che rendono le loro organizzazioni più vulnerabili e quindi agire per proteggere quei punti di ingresso.

Con quale frequenza identificate minacce dovute ad applicazioni e API esterne che semplicemente non vengono monitorate o testate?

Più spesso di quanto ci piaccia. Abbiamo recentemente condotto una ricerca che mostra applicazioni cloud, mobili e web vulnerabili che espongono dati sensibili, tra cui API non protette e informazioni personali identificative (PII). Ecco alcuni dei principali risultati:

• Il 74% degli asset con PII è vulnerabile a almeno una grande sfruttamento nota, e uno su dieci ha almeno un problema facilmente sfruttabile.
• Il 70% delle applicazioni web ha gravi lacune di sicurezza, come la mancanza di protezione WAF o di una connessione crittografata come HTTPS, mentre il 25% di tutte le applicazioni web (web app) mancava di entrambi.
• La tipica azienda globale ha oltre 12.000 applicazioni web, che includono API, applicazioni SaaS, server e database, tra gli altri. Almeno il 30% di queste applicazioni web—oltre 3.000 asset—ha almeno una vulnerabilità o un rischio alto.
• Il 98% delle applicazioni web è potenzialmente non conforme al GDPR a causa della mancanza di possibilità per gli utenti di rifiutare i cookie.

La nostra ricerca a parte, ci sono molte prove di queste minacce lì fuori oggi. L’exploit di MOVEit è un punto di riferimento, che è ancora in corso.

Puoi discutere l’importanza di consolidare i processi e gli strumenti per testare e gestire la superficie di attacco?

Il “blocco dello stack” è qualcosa che la maggior parte delle imprese subisce. È particolarmente pronunciato nella sicurezza. La maggior parte delle organizzazioni ha strumenti di sicurezza isolati e non connessi. C’è stato questo mantra nella sicurezza secondo cui più piattaforme eliminerebbero le lacune di sicurezza. Ma invece, apre la porta agli errori umani, alle ridondanze, all’aumento del carico operativo e ai punti ciechi.

CyCognito è stato costruito per fare il lavoro di molte soluzioni legacy punto-per-punto. Aiutiamo le aziende a consolidare il loro stack in modo che possano concentrarsi sul proprio lavoro.

Quali sono alcuni modi in cui gli attori malvagi utilizzano LLM e Intelligenza Artificiale Generativa per ampliare gli attacchi?

Non abbiamo ancora visto grandi attacchi che utilizzano LLM, ma è solo questione di tempo. Dal mio punto di vista, gli LLM hanno il potenziale per fornire maggiore scala, portata, velocità e portata a vari stadi di attacchi informatici.

Ad esempio, gli LLM hanno il potenziale per accelerare la ricognizione automatizzata, dove gli attaccanti possono mappare e scoprire gli asset, i marchi e i servizi di un’organizzazione, insieme a informazioni sensibili come le credenziali esposte. Gli LLM possono anche assistere nella scoperta delle vulnerabilità, identificando le debolezze all’interno di una rete bersaglio e facilitare lo sfruttamento attraverso tecniche come phishing o attacchi di “watering-hole” per ottenere l’accesso e sfruttare le vulnerabilità della rete. Gli LLM possono anche aiutare nel furto di dati copiando o esfiltrando dati sensibili dalla rete.

Inoltre, le applicazioni consumer basate su LLM, in particolare ChatGPT, rappresentano una minaccia poiché possono essere utilizzate sia intenzionalmente che inavvertitamente dagli dipendenti per far fuoriuscire la proprietà intellettuale dell’azienda.

Le campagne di phishing forniscono un altro caso d’uso. Il phishing di alta qualità si basa su una profonda comprensione del bersaglio; è esattamente ciò che i grandi modelli linguistici possono fare molto bene, poiché elaborano grandi volumi di dati molto velocemente e personalizzano i messaggi in modo efficace.

Come possono le aziende utilizzare l’Intelligenza Artificiale Generativa per proteggersi?

Ottima domanda. Questa è la buona notizia in tutto ciò. Se gli attaccanti possono utilizzare l’AI generativa, anche i team di sicurezza possono farlo. L’AI generativa può aiutare i team di sicurezza a fare la ricognizione sulle proprie aziende e a porre rimedio alle vulnerabilità. Possono scansionare e mappare più velocemente e a costo ridotto la propria superficie di attacco per trovare asset sensibili esposti, come informazioni personali identificative (PII), file, ecc.

L’AI generativa può aiutare notevolmente a comprendere il contesto aziendale di qualsiasi asset. Ad esempio, può aiutare a riconoscere un database che contiene PII e svolge un ruolo nelle transazioni di revenue. Ciò è estremamente prezioso.

L’AI generativa può anche determinare lo scopo aziendale di un asset. Ad esempio, può aiutare a distinguere tra un meccanismo di pagamento, un database critico e un dispositivo casuale—e classificare il suo profilo di rischio. Ciò, a sua volta, consente ai team di sicurezza di dare la priorità ai rischi in modo più efficace. Senza la capacità di dare la priorità, i team di sicurezza devono setacciare infinite vulnerabilità etichettate come “urgenti” quando la maggior parte non è in realtà mission-critica.

Perché le aziende dovrebbero essere caute nell’essere eccessivamente dipendenti dall’Intelligenza Artificiale Generativa per scopi difensivi?

L’Intelligenza Artificiale Generativa ha un grande potenziale, ma ci sono problemi intrinseci che dobbiamo affrontare come industria.

La visione d’insieme per me è che i modelli di AI generativa possono rendere i team di sicurezza compiaciuti. Il fascino dell’ulteriore automazione è grande, ma la revisione manuale è critica data l’attuale stato dei modelli di AI generativa. Ad esempio, i modelli di AI generativa “hallucinano”. In altre parole, producono output inaccurati.

Inoltre, i modelli di AI generativa (LLM, in particolare) non comprendono il contesto perché sono costruiti su analisi testuali statistiche e temporali—il che può anche portare a ulteriori “allucinazioni” molto difficili da rilevare.

Comprendo che i team di sicurezza stanno sempre più cercando di fare “più con meno”—ma la supervisione umana sarà (e dovrebbe essere) sempre parte del processo di sicurezza.

Puoi discutere come CyCognito offre la gestione automatizzata della superficie di attacco esterna e il testing continuo?

Non suonare come un disco rotto, ma come ho menzionato in precedenza, le superfici di attacco sono vaste e complesse—e continuano a crescere.

Abbiamo costruito CyCognito per mappare continuamente l’intera superficie di attacco al di là del nucleo aziendale per abbracciare filiali, acquisizioni, joint venture e operazioni di marchio—e attribuire ogni asset al suo legittimo proprietario.

Ci sono alcune capacità tecniche degne di nota.

Nel processo di scoperta della superficie di attacco in scatola nera, la nostra piattaforma sfrutta LLM come una delle decine di fonti per “ipotesi di attribuzione” che i nostri modelli di apprendimento automatico Bayesian analizzano per determinare la struttura aziendale (fino a 1000 unità aziendali e filiali) e assegnare asset ai proprietari (alla scala di milioni di asset IT) in modo completamente automatico.

La piattaforma accelera anche la classificazione degli asset attraverso l’elaborazione del linguaggio naturale (NLP) e algoritmi euristici—un compito che è generalmente costoso e intensivo in termini di risorse.

Forniamo anche il contesto aziendale necessario per dare la priorità ai rischi in modo efficace. Anche se una vulnerabilità colpisce mille macchine, CyCognito può identificare quella più critica fornendo informazioni sul livello di esposizione, sulla significatività aziendale, sulla sfruttabilità e sul chiacchiericcio degli hacker.

Adottiamo un approccio olistico alla Gestione della Superficie di Attacco Esterna che supera la trappola di trattare tutte le questioni critiche con pari urgenza. Abilitiamo la sicurezza a dare la priorità ai vettori critici veri, risparmiando loro tempo e denaro.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare CyCognito.