Rob Gurzeev, CEO en mede-oprichter van CyCognito – Interviewreeks

Rob Gurzeev, CEO en mede-oprichter van CyCognito, heeft de ontwikkeling van offensieve beveiligingsoplossingen voor zowel de private sector als inlichtingendiensten geleid.

Voordat hij CyCognito oprichtte, was hij directeur van Offensieve Beveiliging en hoofd van Onderzoek en Ontwikkeling bij C4 Security (overgenomen door Elbit Systems (ESLT )) en CTO van de Productafdeling van de 8200 Israelische Inlichtingencorps. De onderscheidingen die hij ontving als officier van de Israëlische Verdedigingskrachten omvatten de Award for Excellence, de Creative Thinking Award en de Source of Life Award.

CyCognito is opgericht door veteranen van nationale inlichtingendiensten die weten hoe aanvallers blind spots exploiteren en wordt vergezeld door ervaren management van enkele van de meest vertrouwde cybersecuritybedrijven.

Wat trok je aanvankelijk aan naar cybersecurity?

Ik werd voor het eerst geïnteresseerd in technologie rond de leeftijd van 13 of 14. Ik begon me te verdiepen in IRC-kanalen met mensen die geïnteresseerd waren in technologie en wat toen “hacking” werd genoemd.

Mensen in die tijd experimenteerden met allerlei interessante dingen, zoals cryptografie in messenger-apps. Ze experimenteerden ook met bestandsdeling. Kinderen maakten grappen met hun vrienden door een uitvoerbaar bestand te sturen dat een grappige actie zou uitvoeren. Als je erover nadenkt, was dit de basis voor wat we vandaag “sociale ingenieursaanvallen” noemen.

Dit alles maakte me aan het denken: wat als iemand met slechte bedoelingen deze technologie in handen krijgt voor kwaadaardige doeleinden?

Deze vroege ervaringen zijn wat mijn carrière in beveiliging startte. Uiteindelijk belandde ik in de Israëlische Eenheid 8200 Inlichtingencorps, waar ik verkenningwerk deed, en later mede-oprichter werd van CyCognito.

Kunt u het verhaal achter CyCognito delen?

CyCognito is opgericht met het besef dat aanvallers altijd voorop lopen bij verdedigers. Ze zijn slim, meedogenloos en zoeken altijd naar de weg van de minste weerstand. En terwijl alle aanvallers maar één zwakke plek nodig hebben om door te breken, moeten beveiligingsteams elke mogelijke toegangspunt in een steeds groter wordend, altijd evoluerend aanvalsoppervlak beveiligen. Het is een behoorlijke uitdaging.

Om het probleem te verergeren, hebben de meeste organisaties potentiële toegangspunten die onzichtbaar zijn voor beveiligingsteams, maar gemakkelijk door dreigingsactoren kunnen worden ontdekt.

Op een dag zat ik met mijn mede-oprichter, Dima Potekhin, en we besloten om het paradigma te veranderen, waarin we in plaats van het inzetten van agenten of het instrueren van een poortscanner om een paar bekende IP-bereiken te scannen, een oplossing zouden creëren die werkte als een wereldklasse-aanvaller, wat betekent dat het zou beginnen met alleen de naam van een bedrijf te kennen en vervolgens de assets zou identificeren die het meest risicovol zijn en de meest verleidelijke open pathways.

We wilden een aanvallersoffensief simuleren, beginnend vanaf stap één, waar de aanvaller alleen de naam van het doelbedrijf kent en het doel heeft om toegang te krijgen tot gevoelige gegevens.

Dus, in 2017, namen we onze ervaring uit de nationale inlichtingendiensten en begonnen we dit te realiseren met de missie om organisaties te helpen om inbraken te voorkomen, door continu hun externe blootstelling blind spots in kaart te brengen en de paden van de minste weerstand naar hun interne netwerken te vinden. Dit vereiste het gebruik van niet alleen geavanceerde offensieve cyberkennis, maar ook moderne technologie die nog zelden in onze branche wordt gebruikt, zoals Bayesiaanse machine learning-modellen, LLM, NLP en grafische gegevensmodellen.

Vandaag helpen we opkomende en grote Global 100-bedrijven hun aanvalsoppervlak te beveiligen tegen groeiende bedreigingen. Enkele van onze klanten zijn Colgate-Palmolive (CL ), de staat Californië, Berlitz, Hitachi, Tesco, om er maar een paar te noemen.

Wat is Extern Aanvalsoppervlakbeheer?

De leerboekdefinitie van Extern Aanvalsoppervlakbeheer (EASM) verwijst naar de processen en technologieën die worden gebruikt om de blootstelling van de digitale assets van een organisatie te identificeren, te beoordelen en te beheren die toegankelijk of zichtbaar zijn vanaf het internet.

Externe aanvalsoppervlakken zijn uitgebreid en complex. Een enkele organisatie kan honderden en duizenden systemen, toepassingen, cloud-exemplaren, supply chains, IoT-apparaten en gegevens hebben die aan het internet zijn blootgesteld – vaak verspreid over dochterondernemingen, meerdere clouds en assets die door derden worden beheerd.

Beveiligingsteams hebben een beperkte mogelijkheid om deze assets te ontdekken. Ze worden overspoeld met duizenden meldingen, maar ze hebben niet de context om te weten welke kritiek zijn en welke prioriteit te geven.

Het isoleren van de werkelijk kritieke kwesties vereist zichtbaarheid over het hele aanvalsoppervlak, maar nog belangrijker, het vereist een grondig begrip van de context en het doel van de getroffen assets. Zodra dat is vastgesteld, kunnen beveiligingsteams aanvalsPaden berekenen en voorspellen welke specifieke bedreigingen ertoe doen – die waarschijnlijk ernstige monetaire of reputatieschade aan het bedrijf zullen veroorzaken. Vervolgens kan de organisatie correct prioriteren en herstellen voor maximale impact.

Kunt u uw mening delen over het belang van het denken als een aanvaller om onbekende risico’s te ontdekken?

Volgens Verizon’s DBIR, 82% van de aanvallen komt van buitenaf. Bovendien zijn de meeste inbraken volgens Gartner gerelateerd aan onbekende en onbeheerde assets.

Dit is precies waarom het aannemen van een buiten-in-benadering om het aanvalsoppervlak te evalueren, cruciaal is voor het beoordelen en beheren van cybersecurity-risico’s. Het in de schoenen van de aanvaller stappen biedt een objectief beeld van de kroonjuwelen die binnen uw systemen leven en, belangrijker nog, welke zijn blootgesteld en kwetsbaar.

Aanvallers weten dit! En ze zullen onvermoeibaar het aanvalsoppervlak verkennen, op zoek naar de weg van de minste weerstand en die ene gap die beveiligingsteams niet in de gaten houden. Helaas is één beveiligingsgap alles wat ze nodig hebben om in te breken. Ondertussen hebben beveiligingsteams de moeilijke taak om de blootstellingen te identificeren die hun organisaties het meest kwetsbaar maken en vervolgens actie te ondernemen om die toegangspunten te beschermen.

Hoe vaak identificeert u bedreigingen die te wijten zijn aan externe toepassingen en API’s die eenvoudigweg niet worden bewaakt of getest?

Vaker dan we zouden willen. We hebben onlangs onderzoek uitgevoerd naar kwetsbare openbare cloud-, mobiele en webtoepassingen die gevoelige gegevens blootleggen, waaronder onbeveiligde API’s en persoonlijk identificeerbare informatie (PII). Hier zijn enkele van de belangrijkste bevindingen:

• 74 procent van de assets met PII is kwetsbaar voor ten minste één bekende grote exploit, en één op de tien heeft ten minste één gemakkelijk te exploiteren probleem.
• 70 procent van de webtoepassingen heeft ernstige beveiligingsgaten, zoals het ontbreken van WAF-bescherming of een versleutelde verbinding zoals HTTPS, terwijl 25 procent van alle webtoepassingen (webapps) geen van beide had.
• Het typische wereldwijde bedrijf heeft meer dan 12.000 webapps, die API’s, SaaS-toepassingen, servers en databases omvatten, onder andere. Ten minste 30 procent van deze webapps – meer dan 3.000 assets – heeft ten minste één exploiteerbare of hoogrisicovulnerabiliteit. De helft van deze potentieel kwetsbare webapps wordt gehost in de cloud.
• 98 procent van de webapps is mogelijk niet GDPR-conform vanwege het ontbreken van de mogelijkheid voor gebruikers om uit cookies uit te schrijven.

Ons onderzoek terzijde, er is overvloedig bewijs van deze bedreigingen vandaag. De MOVEit-exploit is een testcase, die nog steeds gaande is.

Kunt u de belangrijkheid van het consolideren van de processen en tools om het aanvalsoppervlak te testen en te beheren, bespreken?

‘Stack bloat’ is iets waar de meeste ondernemingen last van hebben. Het is vooral uitgesproken in beveiliging. De meeste organisaties hebben gesiloede, niet-verbonden beveiligingshulpmiddelen. Er is een mantra in beveiliging dat meer platforms beveiligingsgaten zullen elimineren. Maar in plaats daarvan opent het de deur voor menselijke fouten, redundantie, toegenomen operationele belasting en blind spots.

CyCognito is gebouwd om de taak van veel legacy-pointoplossingen te doen. We helpen bedrijven hun stack te consolideren, zodat ze zich kunnen concentreren op hun werk.

Wat zijn enkele manieren waarop slechte actoren LLM’s en Generatieve AI gebruiken om aanvallen te vergroten?

We hebben nog geen grootschalige aanvallen met LLM’s gezien, maar het is slechts een kwestie van tijd. Vanuit mijn perspectief hebben LLM’s het potentieel om grotere schaal, bereik, snelheid en omvang te geven aan verschillende fasen van cyberaanvallen.

Bijvoorbeeld hebben LLM’s het potentieel om geautomatiseerde verkenning te versnellen, waarbij aanvallers de assets, merken en diensten van een organisatie in kaart kunnen brengen, evenals gevoelige informatie zoals blootgestelde referenties. LLM’s kunnen ook helpen bij het ontdekken van kwetsbaarheden, het identificeren van zwakheden binnen een doelnetwerk en het vergemakkelijken van exploitatie via technieken zoals phishing of watering-hole-aanvallen om toegang te krijgen en netwerkzwakheden te exploiteren. LLM’s kunnen ook helpen bij het stelen van gegevens door gevoelige gegevens van het netwerk te kopiëren of te extraheren.

Ook consumententoepassingen op basis van LLM’s, meest opvallend ChatGPT, vormen een bedreiging, omdat ze zowel opzettelijk als onopzettelijk door werknemers kunnen worden gebruikt om bedrijfs-IP te lekken.

Spear-phishing-campagnes bieden een ander gebruiksscenario. Hoge kwaliteit phishing is gebaseerd op diepgaande kennis van het doel; dat is precies wat grote taalmodellen heel goed kunnen doen, omdat ze grote hoeveelheden gegevens snel verwerken en berichten effectief aanpassen.

Hoe kunnen ondernemingen op hun beurt Generatieve AI gebruiken om zichzelf te beschermen?

Goede vraag. Dat is het goede nieuws hier. Als aanvallers gen AI kunnen gebruiken, kunnen beveiligingsteams dat ook. Gen AI kan beveiligingsteams helpen om verkenning uit te voeren op hun eigen bedrijven en kwetsbaarheden te herstellen. Ze kunnen sneller en tegen lagere kosten hun eigen aanvalsoppervlak scannen en in kaart brengen om blootgestelde gevoelige assets te vinden, zoals persoonlijk identificeerbare informatie (PII), bestanden enz.

Gen AI kan ook helpen om de businesscontext van een asset te begrijpen. Bijvoorbeeld kan het helpen om een database te herkennen die PII bevat en een rol speelt in omzettransacties. Dat is extreem waardevol.

Gen AI kan ook het bedrijfsdoel van een asset bepalen. Bijvoorbeeld kan het helpen om een betalingmechanisme, een kritieke database en een willekeurig apparaat te onderscheiden – en het risicoprofiel ervan te classificeren. Dit stelt beveiligingsteams in staat om beter risico’s te prioriteren. Zonder de mogelijkheid om te prioriteren, moeten beveiligingsteams door eindeloze kwetsbaarheden heen werken die als “dringend” zijn gelabeld, terwijl de meeste niet mission-critisch zijn.

Waarom moeten ondernemingen voorzichtig zijn met het te veel vertrouwen op Generatieve AI voor defensieve doeleinden?

Generatieve AI heeft een groot potentieel, maar er zijn inherente problemen die we als industrie moeten oplossen.

Het grote plaatje voor mij is dat gen AI-modellen beveiligingsteams lui kunnen maken. De aantrekkingskracht van meer automatisering is groot, maar handmatige controle is kritiek, gezien de staat van gen AI-modellen vandaag. Bijvoorbeeld produceren gen AI-modellen “hallucinaties”. Met andere woorden, ze produceren onnauwkeurige uitvoer.

Ook begrijpen gen AI-modellen (LLM’s in het bijzonder) de context niet, omdat ze zijn gebouwd op statistische, temporele tekstanalyse – wat ook kan leiden tot verdere “hallucinaties” die moeilijk te herkennen zijn.

Ik begrijp dat beveiligingsteams steeds meer proberen om “meer met minder” te doen – maar menselijke toezicht zal (en moet) altijd deel uitmaken van het beveiligingsproces.

Kunt u bespreken hoe CyCognito geautomatiseerd extern aanvalsoppervlakbeheer en continue testing biedt?

Niet om te klinken als een gebroken record, maar zoals ik eerder vermeldde, zijn aanvalsoppervlakken uitgebreid en complex – en ze blijven groeien.

We hebben CyCognito gebouwd om continu het hele aanvalsoppervlak in kaart te brengen, voorbij de kern van het bedrijf, om dochterondernemingen, overnames, joint ventures en merkoperaties te omvatten – en elk ervan toe te wijzen aan de rechtmatige eigenaar.

Er zijn een paar technische mogelijkheden die de moeite waard zijn om te benoemen.

In het zwarte doos-aanvalsoppervlakontdekkingsproces maakt ons platform gebruik van LLM als een van de tientallen bronnen voor “toewijzingshypotheken” die onze Bayesiaanse ML-modellen analyseren om de bedrijfsstructuur van de organisatie te bepalen (tot 1000 bedrijfseenheden en dochterondernemingen) en assets toe te wijzen aan eigenaren (op een schaal van miljoenen IT-assets) volledig automatisch.

Het platform versnelt ook assetclassificatie via Natural Language Processing (NLP) en heuristische algoritmen – een taak die over het algemeen duur en resource-intensief is.

We bieden ook de businesscontext die nodig is om risico’s effectief te prioriteren. Zelfs als een kwetsbaarheid duizend machines aantast, kan CyCognito de meest kritieke identificeren door inzicht te bieden in de blootstellingsniveau, bedrijfsbetekenis, exploiteerbaarheid en hacker-gedrag.

We nemen een holistische aanpak voor Extern Aanvalsoppervlakbeheer, die de valkuil overwint van het behandelen van alle kritieke kwesties met gelijke urgentie. We stellen beveiliging in staat om echte kritieke vectoren te prioriteren, waardoor ze tijd en geld besparen.

Dank u voor het geweldige interview, lezers die meer willen leren, moeten bezoeken CyCognito.