Alon Noy, administrerende direktør og medgründer av Astelia – intervjuserie

Alon Noy, administrerende direktør og medgründer av Astelia, er en ledende aktør innen cybersikkerhet med over 15 års erfaring fra både offensiv og defensiv sikkerhet. Tidligere tjenestegjorde han i Israels Unit 8200, før han senere ledet det israelske nasjonale Red Team for cybersikkerhet. Arbeidet hans omfattet blant annet stresstesting av kritisk infrastruktur og samarbeid med sikkerhetsteam for å identifisere og håndtere reelle angrepsveier. Noy har også ledet store forsknings- og utviklingsorganisasjoner, er utdannet fra Israels Talpiot-program og har en mastergrad (M.Sc.) i informatikk fra Tel Aviv University. Erfaringen hans fra både angriperens og forsvarerens perspektiv bidro til å forme tilnærmingen bak Astelia, som fokuserer på å fastslå hvilke sårbarheter som faktisk er tilgjengelige og kan utnyttes i en organisasjons miljø.

Astelia er et AI-basert cybersikkerhetsselskap med fokus på håndtering av eksponeringer og sårbarheter. Selskapet ble grunnlagt av veteraner og tidligere ledere fra Israels nasjonale Red Team, og bruker AI og nettverksspesifikke analyser for å fastslå hvilke sårbarheter som utgjør reelle angrepsveier, i stedet for å basere seg hovedsakelig på generiske alvorlighetsgrader. Plattformen kartlegger en organisasjons miljø gjennom skrivebeskyttede integrasjoner, analyserer kravene for å utnytte sårbarheter opp mot nettverkstopologien og hjelper sikkerhetsteam med å prioritere sårbarheter som beviselig er tilgjengelige. Den identifiserer også mulige utbedringstiltak, som oppdateringer, konfigurasjonsendringer, nettverkssegmentering eller kompenserende kontroller. Selskapets overordnede mål er å hjelpe virksomheter med å redusere mengden sårbarhetsvarsler de må undersøke, og konsentrere ressursene om eksponeringer som angripere realistisk sett kan utnytte.

Før du grunnla Astelia, tilbrakte du mer enn et tiår innen israelsk nasjonal sikkerhet. Du tjenestegjorde blant annet i Unit 8200 og ledet Israels nasjonale Red Team for cybersikkerhet, der du skulle tenke og operere som en angriper. Hva lærte disse erfaringene deg om hvordan avanserte angrep faktisk utspiller seg, og hvilket udekket behov i cybersikkerhetsmarkedet førte til at du var med på å grunnlegge Astelia?

I over ti år gikk jobben min i bunn og grunn ut på å tenke som den som prøver å bryte seg inn, ikke den som prøver å holde uvedkommende ute. Den tydeligste lærdommen fra den erfaringen er at avanserte angrep nesten aldri skyldes ett dramatisk hull i muren. Som regel dreier det seg om to eller tre små ting som ingen trodde hadde betydning hver for seg: en konto som aldri ble deaktivert, en del av nettverket som skulle ha vært isolert, men ikke var det, en tillatelse som var videre enn nødvendig, og så videre. Da jeg ledet det nasjonale Red Team, brukte vi langt mer tid på å forstå hvordan nettverket til et mål faktisk fungerte, enn på å utvikle selve utnyttelsen. Når du først vet hvor angrepsveiene går, er det nesten den enkleste delen å utnytte dem. Da jeg gikk over til forsvarssiden, begynte jeg å legge merke til et mønster. Det fantes en lang liste over «kritiske» sårbarheter, men ingen reell måte å vite hvilke av dem en angriper faktisk kunne nå på. Det er dette udekkede behovet Astelia ble utviklet for å dekke: Vi tar nåbarhetsanalyse, prosessen angripere bruker for å finne veien inn, og bruker den til forsvarernes fordel.

Astelia har en annen tilnærming til sårbarhetshåndtering: Selskapet kartlegger en organisasjons faktiske nettverkstopologi og bruker agentisk AI til å fastslå hvilke sårbarheter som virkelig er tilgjengelige og kan utnyttes. Hvordan fungerer dette i praksis, og hvorfor mener du at tradisjonell poengsetting av sårbarheter ofte fører til at forsvarere prioriterer feil?

Vi kartlegger organisasjonens faktiske nettverk – hvordan systemene i virkeligheten er koblet til hverandre, og hvor eksisterende nettverkskontroller allerede står i veien for en angriper – ved hjelp av skrivebeskyttede integrasjoner. Når vi har dette bildet, går AI-en gjennom hver sårbarhet og fastslår hva som faktisk skal til for å utnytte den, for eksempel hvilken tilgang som kreves, hvilken vei gjennom nettverket som må tas, og hvilke betingelser som må være oppfylt. Deretter kontrollerer den alt dette opp mot den faktiske topologien og de eksisterende kontrollene. Av alt en skanner varsler om, viser det seg vanligvis at mindre enn 1 % faktisk er tilgjengelig. CVSS og EPSS støter begge på det samme grunnleggende problemet: De gir sårbarheter en poengsum som om alle nettverk var like, som om systemet var eksponert på det åpne internett, eller som om trender for utnyttelse på tvers av en hel bransje sa noe om akkurat ditt miljø. I de fleste miljøer stemmer ingen av disse forutsetningene. En feil med kritisk alvorlighetsgrad tre hopp bak et segmentert nettverk innebærer ikke samme risiko som en feil på en server som er tilgjengelig fra internett. Og en sårbarhet med høy EPSS-poengsum på bransjenivå er kanskje ikke tilgjengelig i nettverket ditt i det hele tatt. Slike poengsummer er fastsatt på et bestemt tidspunkt og gjenspeiler ikke nettverket ditt. Muligheten for å nå sårbarheter endrer seg stadig, fordi nettverkene – og kontrollene som beskytter dem – også gjør det.

Du har hevdet at mye av det forsvarere bekymrer seg for, ikke er relevant for hvordan angripere faktisk opererer. Ut fra erfaringen din med å gjennomføre autoriserte angrep mot svært godt sikrede miljøer: Hva er det sikkerhetsteam oftest misforstår ved måten angripere finner svakheter og kjeder dem sammen på?

Det er en vanlig antakelse at angripere går etter det som er vurdert som mest alvorlig. I praksis gjør vi sjelden det. Vi går etter det som raskest bringer oss nærmest målet, og ofte er det noe skanneren har vurdert som middels eller lav risiko: en fildeling med feil tillatelser, påloggingsopplysninger som ligger igjen etter et prosjekt som angivelig er avsluttet, eller et lite fotfeste som først ble farlig da det ble kombinert med noe annet som ingen trodde hadde sammenheng med det. Skannere vurderer funn hver for seg. Angrep fungerer ikke slik; en angriper ser alltid på hvordan ting henger sammen. Noe som virker ufarlig i seg selv, kan være akkurat det en angriper trenger for å gå fra en konto med lave privilegier til full kontroll. De fleste forsvarere er fortsatt innrettet mot å vurdere risiko ett funn om gangen, og derfor overser de stadig angrepsveiene som faktisk betyr noe.

KI reduserer dramatisk tiden og ekspertisen som kreves for å gjøre nylig offentliggjorte sårbarheter om til fungerende utnyttelseskode. Hvordan endrer dette økonomien i cyberangrep, og hvilke typer angripere har mest å tjene på stadig mer avanserte KI-modeller?

Det som tidligere gjorde det kostbart å utvikle en utnyttelse, var ekspertisen: å finne feilen, finne ut nøyaktig hvordan den kunne utløses, og få utnyttelsen til å fungere pålitelig. Det som ofte ville tatt et team av eksperter flere måneder, kan nå ta noen timer for en vanlig angriper med tilgang til de mest avanserte modellene. Dette endrer virkelig de økonomiske forutsetningene. Å gjøre en ny CVE-sårbarhet om til et våpen krevde tidligere betydelige investeringer; nå kreves det knapt noen, og tiden fra en sårbarhet offentliggjøres til det finnes en fungerende utnyttelse, blir stadig kortere. De fleste rutiner for oppdatering var aldri utformet for å holde et slikt tempo. De angriperne som tjener mest på dette, er ikke de fremste statlige aktørene, som allerede hadde sterke offensive evner. Det er de mindre gruppene og opportunistiske kriminelle som aldri hadde slik ekspertise internt, og KI gir dem i praksis tilgang til den.

Det hvite hus’ GOLD EAGLE-initiativ bygger på tettere samarbeid mellom myndigheter, teknologiselskaper og aktører innen kritisk infrastruktur, der de mest avanserte KI-modellene brukes til å identifisere og utbedre sårbarheter raskere. Sett fra en angripers perspektiv, hva gjør denne modellen riktig, og hvor kan den fortsatt komme til kort?

GOLD EAGLE peker med rette på hvor mye tid som går tapt på dobbeltarbeid, når ulike organisasjoner skanner etter og vurderer den samme offentliggjorte sårbarheten hver for seg før noen faktisk handler. Å samle dette arbeidet og bruke KI til å få myndigheter og infrastrukturoperatører til å samordne seg raskere, reduserer reelt sett tiden angripere har til rådighet. Sett fra en angripers perspektiv er det den viktigste delen. I dette spillet er fart alt. Der jeg mener initiativet kommer til kort, er at samordning på tvers av bransjen ikke forteller et enkelt selskap om en bestemt sårbarhet kan nås fra selskapets eget nettverk. En organisasjon kan ha tilgang til en godt prioritert trusselstrøm og likevel ikke vite om informasjonen gjelder den. Det siste trinnet – å kontrollere dette opp mot organisasjonens egen nettverkstopologi – er fortsatt hver enkelt organisasjons ansvar.

Mer enn 100 organisasjoner innen teknologi, cybersikkerhet, finans og infrastruktur har advart om at det kan være et begrenset tidsrom til å styrke forsvaret før KI-drevne angrep blir langt mer utbredt. Deler du denne oppfatningen av hvor mye det haster, og hva bør organisasjoner realistisk sett få til i løpet av dette «tidsvinduet for forsvarerne»?

Jeg deler oppfatningen av at det haster, selv om jeg ville formulert årsaken litt annerledes. KI-drevne angrep er ikke en framtidig bekymring; tiden fra en sårbarhet offentliggjøres til det finnes en fungerende utnyttelse, blir allerede kortere raskere enn de fleste organisasjoner klarer å installere oppdateringer. Det er ikke realistisk å tro at man kan vinne dette kappløpet bare ved å installere oppdateringer raskere. Det som er realistisk, er å bruke denne perioden til å forstå sitt eget miljø. Det innebærer å kjenne den faktiske nettverkstopologien, vite hvilke sårbarheter som faktisk kan nås, og konsentrere innsatsen om dette mindre utvalget i stedet for å spre den utover tusenvis av teoretiske funn. Det er også verdt å bruke tiden til å utvikle flere alternativer for utbedring enn bare oppdateringer, for eksempel segmentering eller konfigurasjonsendringer, siden raskere oppdateringer alene ikke vil holde tritt med KI-akselerert utvikling av utnyttelser.

Kollektivt cyberforsvar avhenger i stor grad av at organisasjoner deler informasjon om sårbarheter og trusler. Hva må endres, teknisk eller kulturelt, for at myndigheter og private selskaper skal kunne dele nyttig informasjon raskt nok til at det får betydning, uten samtidig å skape nye sikkerhetsrisikoer?

Den tekniske utfordringen er den som er enklest å løse. Tillit er det vanskeligere problemet. Ingen organisasjoner ønsker å opplyse om en svakhet i sitt eget miljø og risikere at den spores tilbake til dem, særlig hvis den senere dukker opp i en rapport om et sikkerhetsbrudd. Det som fungerer, er å dele nyttig informasjon uten at den kan knyttes til en bestemt organisasjon: mønsteret for hvordan noe kan utnyttes, snarere enn en beskrivelse som er så spesifikk at den peker ut ett selskap. Det krever bedre infrastruktur og maskinlesbare trusseldata som formidles gjennom automatiserte kanaler i stedet for PDF-filer og e-postlister, men infrastrukturen har egentlig aldri vært problemet. Problemet er at deling fortsatt oppfattes som en juridisk risiko av de fleste organisasjoner, snarere enn som noe som beskytter dem. En nøytral og betrodd mellommann er en del av det GOLD EAGLE har som mål å tilby, og det kan bidra mye til å endre dette.

Astelia legger vekt på «nåbarhet» snarere enn bare alvorlighetsgrad eller hvorvidt det finnes en kjent utnyttelse. Etter hvert som KI gjør det raskere og potensielt vanligere å utvikle utnyttelser, blir nåbarhet da et viktigere mål på risiko, og hvordan bør CISO-er tenke nytt om prioriteringen av sårbarheter ut fra dette begrepet?

Nåbarhet blir ikke bare viktigere; det blir målet som faktisk er utslagsgivende. Alvorlighetsgrad har alltid vært et anslag på hvor stor skade noe kan gjøre, mens nåbarhet viser om det kan utnyttes i miljøet ditt akkurat nå. Forsvarere pleide å satse på at de fleste funn med lav alvorlighetsgrad kunne stå uoppdatert i månedsvis fordi ingen realistisk sett ville utnytte dem. Den antakelsen holder ikke lenger når det går raskt og er billig å utvikle utnyttelser. Prioriteringen må gå fra en restanseliste rangert etter alvorlighetsgrad til å fjerne eksponeringer som faktisk er nåbare. Det som skiller det lille antallet sårbarheter som betyr noe, fra alle de andre, er om en angriper kan nå dem i det faktiske nettverket ditt. CISO-er bør be om dokumentasjon på nåbarhet, ikke enda en poengsum lagt oppå CVSS.

Astelia bruker også KI-agenter på deler av sårbarhetshåndteringen, fra å identifisere nye eksponeringer til å koordinere utbedring. Hvor stor selvstendighet bør cybersikkerhetsagenter til syvende og sist ha når de kan gjøre endringer i produksjonsmiljøer, og hvor bør mennesker fortsatt være tett involvert?

Agenter bør ha reell selvstendighet i analysearbeidet: kartlegge nettverket, finne ut hva som kreves for å utnytte sårbarheter, sammenholde nye opplysninger og avdekke hva som er nåbart. Det er her hastighet betyr mest, og en feil fører bare til en dårlig anbefaling som et menneske kan fange opp. Jeg setter en klar grense ved endringer i produksjonsmiljøet uten tilsyn. Uten data om nåbarhet i nettverket gjetter en agent når den prøver å iverksette en løsning, og en feil brannmurregel eller segmenteringsendring kan gjøre større skade enn sårbarheten den skulle lukke. Det er også derfor mye av det som i dag markedsføres som «autonom utbedring», i realiteten er automatisk oppretting av saker. Virksomheter vil at et menneske skal godkjenne slike endringer, særlig fordi det ikke alltid finnes en oppdatering å installere. Den riktige modellen er agenter som foreslår løsninger underbygget av dokumentasjon, med en person som godkjenner dem før noe berører produksjonsmiljøet. Det vil bli mindre strengt etter hvert som dataene om nåbarhet blir bedre og tilliten øker til smalere, godt utprøvde endringskategorier, men jeg ville ikke startet med handlinger uten tilsyn i produksjonsmiljøet.

Fremover, etter hvert som både angripere og forsvarere får tilgang til stadig mer avanserte autonome KI-systemer, hvordan tror du balansen mellom offensiv og defensiv cybersikkerhet vil endre seg, og hva vil skille organisasjoner som er forberedt på neste fase, fra dem som ikke er det?

Angripere har et forsprang tidlig i bruken av KI fordi de bare trenger én fungerende vei inn, og KI egner seg godt til å finne en slik vei raskt: rekognosering går raskere, utvikling av utnyttelser går raskere, og phishing-innhold blir mer overbevisende. Forsvarere tetter ikke dette gapet ved å bruke KI til å gjøre de samme tingene raskere. De tetter det ved å bruke KI til å oppdage og fjerne sårbarhetene som faktisk er nåbare i deres eget nettverk, basert på deres egen kontekst, i stedet for å håndtere risiko ut fra generiske trusseldata for hele bransjen. Det som vil skille organisasjoner som er forberedt, er om de gjorde denne omstillingen før de ble tvunget til det, og om de kan dokumentere hvilke av sårbarhetene deres som faktisk kan utnyttes i deres eget miljø, i stedet for å håpe at oppdateringsplanen holder tritt. Organisasjoner som fortsatt håndterer risiko i en generisk kontekst, vil stadig bli tatt på senga av noe deres egen skanner vurderte som lavt prioritert året før.

Takk for et flott intervju. Lesere som ønsker å vite mer, kan besøke Astelia.