Rob Gurzeev, CEO og medgrunnlegger av CyCognito – Intervju-serie

Rob Gurzeev, CEO og medgrunnlegger av CyCognito, har ledet utviklingen av offensive sikkerhetsløsninger for både private sektorer og etterretningsbyråer.

Før han grunnla CyCognito, var han direktør for offensiv sikkerhet og leder for FoU i C4 Security (kjøpt av Elbit Systems (ESLT )) og CTO for produktavdelingen i den israelske etterretningstjenesten 8200. Utmerkelser han mottok som offiser i Israels forsvar inkluderte Award for Excellence, Creative Thinking Award og Source of Life Award.

CyCognito ble grunnlagt av veteraner fra nasjonale etterretningsbyråer som forstår hvordan angripere utnytter blinde flekker og ble slått sammen med erfarne ledere fra noen av de mest troverdige selskapene innen cybersikkerhet.

Hva var det som først tiltalte deg til cybersikkerhet?

Jeg ble først interessert i teknologi da jeg var 13 eller 14 år gammel. Jeg begynte å delta i IRC-kanaler med mennesker som var interesserte i teknologi og det som da ble kalt “hacking”.

Folk på den tiden eksperimenterte med alle mulige interessante ting, som kryptografi i meldingsapper og fildeling. Barn pranked sine venner ved å sende en eksekverbar fil som ville utløse en morsom handling av en eller annen type. Hvis du tenker på det, var dette grunnlaget for det vi i dag kaller ‘sosiale ingeniørangrep’.

Dette gjorde meg til å tenke: hva hvis en person med onde hensikter fikk tak i denne teknologien for å bruke den til onde formål?

Disse tidlige erfaringene var det som startet min karriere innen sikkerhet. Jeg endte til slutt i den israelske enheten 8200 Intelligence Force, der jeg gjorde rekognosceringsarbeid, og senere var med å grunnlegge CyCognito.

Kan du dele historien bak CyCognito?

CyCognito ble grunnlagt på bakgrunn av at angripere alltid er foran forsvarerne. De er smarte, uavbrutt og alltid på jakt etter den letteste veien. Og mens alle angripere bare trenger én svakhet for å bryte gjennom, må sikkerhetsteamene sikre hver mulig inngangspunkt i en stadig voksende og alltid endrende angrepsflate. Det er ganske en utfordring.

For å forverre problemet har de fleste organisasjonene potensielle inngangspunkter som ikke er synlige for sikkerhetsteamene, men som lett kan oppdages av trusler.

En dag satte jeg meg ned med min medgrunnlegger, Dima Potekhin, og vi bestemte oss for å skifte paradigmet der i stedet for å deployere agenter eller instruere en portscanner til å skanne noen kjente IP-områder, ville vi lage en løsning som fungerte som en verdensklasse-angriper, det vil si at den ville begynne med å vite bare selskapets navn og deretter identifisere de mest risikable aktiva og de mest tilgjengelige åpne stier.

Vi ville simulere en angripers offensiv operasjon, starting fra steg ett, der angriperen bare vet selskapets navn og målet er å få tilgang til sensitive data.

Så, i 2017, tok vi vår erfaring fra nasjonale etterretningsbyråer og begynte å gjøre dette mulig med misjonen om å hjelpe organisasjoner å forebygge brudd, ved å kontinuerlig kartlegge deres ytre eksponering og finne de letteste stier inn i deres interne nettverk. Dette krevde å utnytte ikke bare avansert offensiv kybernetisk kunnskap, men også moderne teknologi som fortsatt er ganske sjelden brukt i vår bransje, som Bayesian maskinlæringsmodeller, LLM, NLP og grafdata-modeller.

I dag hjelper vi nye og store Global 100-selskaper å sikre sine angrepsflater mot voksende trusler. Noen av våre kunder inkluderer Colgate-Palmolive (CL ), State of California, Berlitz, Hitachi, Tesco, for å nevne noen.

Hva er Ekstern Angrepsflatehåndtering?

Den lærebokdefinisjonen av Ekstern Angrepsflatehåndtering (EASM) refererer til prosessene og teknologiene som brukes til å identifisere, vurdere og håndtere eksponeringen av en organisasjons digitale aktiva som er tilgjengelige eller synlige fra internettet.

Eksterne angrepsflater er enorme og komplekse. En enkelt organisasjon kan ha hundredvis og tusenvis av systemer, applikasjoner, skyinstanser, leverandørkjeder, IoT-enheter og data eksponert mot internettet – ofte spredt over datterselskaper, flere skyer og aktiva håndtert av tredjeparter.

Sikkerhetsteamene har begrensede muligheter til å oppdage disse aktiva. De er oversvømmet av tusenvis av varsler, men de har ikke konteksten til å vite hvilke som er kritiske og hvilke som skal prioriteres.

Å isolere de virkelig kritiske problemene først krever synlighet over hele angrepsflaten, men enda viktigere, det krever en grundig forståelse av konteksten og formålet med de aktiva som er berørt. Når det er etablert, kan sikkerhetsteamene beregne angrepsveier og forutsi hvilke spesifikke trusler som er viktigst – de som sannsynligvis vil kunne forårsake alvorlig økonomisk eller omdømmesskade for bedriften. Deretter kan organisasjonen prioritere riktig og rette opp.

Kan du dele dine synspunkter på viktigheten av å tenke som en angriper for å oppdage ukjente risikoer?

Ifølge Verizon’s DBIR, 82% av angrepene kommer fra utsiden og inn. Videre er de fleste brudd ifølge Gartner relatert til ukjente og uhåndterte aktiva.

Dette er nettopp hvorfor det er kritisk å adoptere en uten-inn-tilnærming til å vurdere angrepsflaten for å vurdere og håndtere cybersikkerhetsrisiko. Å gå i angripers sko gir en objektiv visning av kronjuvelene som bor i systemene og, enda viktigere, hvilke som er eksponert og sårbar.

Som jeg nevnte tidligere, er angrepsflater i stadig vekst og komplekse. De fleste sikkerhetsteamene mangler fullspektrum-synlighet inn i eksponerte og sårbare aktiva. Angriperne vet dette! Og de vil uavbrutt utforske angrepsflaten, på jakt etter den letteste veien og den ene gapet som sikkerhetsteamene ikke overvåker. Dessverre er ett sikkerhetshull alt de trenger for å bryte inn. I mellomtiden har sikkerhetsteamene den vanskelige oppgaven å identifisere de eksponeringer som gjør organisasjonene mest sårbare, og deretter iverksette tiltak for å beskytte disse inngangspunktene.

Hvor ofte identifiserer du trusler som skyldes eksterne applikasjoner og API-er som bare ikke overvåkes eller testes?

Mer ofte enn vi ville ønske. Vi har nylig gjennomført forskning som viser sårbare offentlige sky-, mobile og web-applikasjoner som eksponerer sensitive data, inkludert usikrede API-er og personlig identifiserbar informasjon (PII). Her er noen av de viktigste funnene:

• 74 prosent av aktiva med PII er sårbare for minst ett kjent stort angrep, og en av ti har minst ett lett angrepbart problem.
• 70 prosent av web-applikasjoner har alvorlige sikkerhetshull, som manglende WAF-beskyttelse eller en kryptert forbindelse som HTTPS, mens 25 prosent av alle web-applikasjoner manglet begge.
• Den typiske globale bedriften har over 12 000 web-applikasjoner, som inkluderer API-er, SaaS-applikasjoner, servere og databaser, blant annet. Minst 30 prosent av disse web-applikasjonene – over 3 000 aktiva – har minst ett utnyttbart eller høyrisk-vulnerabilitet. Halvparten av disse potensielt sårbare web-applikasjonene er vertet i skyen.
• 98 prosent av web-applikasjonene er potensielt ikke samstemt med GDPR på grunn av manglende mulighet for brukerne til å avslå informasjonskapsler.

Vår forskning bortsett, finnes det mange bevis på disse truslene der ute i dag. MOVEit-utnytting er et eksempel, som fortsatt pågår.

Kan du diskutere viktigheten av å konsolidere prosessene og verktøyene for å teste og håndtere angrepsflaten?

‘Stack bloat’ er noe de fleste bedriftene lider av. Det er særlig uttalt i sikkerhet. De fleste organisasjonene har siloede, frakoblete sikkerhetsverktøy. Det har vært en mantra i sikkerhet at flere plattformer vil eliminere sikkerhetshull. Men i stedet åpner det døren for menneskelige feil, redundanser, økt operasjonell belastning og blinde flekker.

CyCognito ble bygget for å gjøre jobben til mange legacy punktløsninger. Vi hjelper selskaper å konsolidere sine stakker så de kan fokusere på å gjøre sine jobber.

Hva er noen måter som dårlige aktører bruker LLM og generativ AI til å skalerer angrep?

Vi har ennå ikke sett store angrep som bruker LLM, men det er bare en tidsak. Ifølge min mening har LLM potensialet til å gi større skala, omfang, rekkevidde og hastighet til ulike faser av cyberangrep.

For eksempel har LLM potensialet til å akselerere automatisert rekognosering, der angripere kan kartlegge og oppdage en organisasjons aktiva, varemerker og tjenester, samt sensitive informasjon som eksponerte legitimasjoner. LLM kan også assistere i å oppdage sårbarheter, identifisere svakheter innen en målrettet nettverk og fasilitere utnytting gjennom teknikker som phishing eller vanningshull-angrep for å få tilgang og utnytte nettverkssvakheter. LLM kan også bidra til datatyveri ved å kopiere eller eksfiltrere sensitive data fra nettverket.

Også forbrukerapplikasjoner basert på LLM, mest merkbart ChatGPT, utgjør en trussel, da de kan brukes både med og uten hensikt av ansatte til å lekke bedriftens IP.

Spear-phishing-kampanjer gir en annen brukssak. Høykvalitets-phishing er basert på dypt forståelse av målet; det er nettopp hva store språkmodeller kan gjøre ganske godt, fordi de prosesserer store mengder data svært raskt og tilpasser meldinger effektivt.

Hvordan kan bedrifter i sin tur bruke generativ AI til å beskytte seg selv?

Godt spørsmål. Det er det gode nyheten her. Hvis angripere kan bruke gen AI, kan også sikkerhetsteamene det. Gen AI kan hjelpe sikkerhetsteamene med å gjøre rekognosering på sine egne selskaper og rette opp sårbarheter. De kan raskere og mer kostnadseffektivt skanne og kartlegge sine egne angrepsflater for å finne eksponerte sensitive aktiva, som personlig identifiserbar informasjon (PII), filer osv.

Gen AI kan også hjelpe med å forstå bedriftskonteksten til enhver aktivum. For eksempel kan det hjelpe med å gjenkjenne en database som inneholder PII og spille en rolle i inntekts-transaksjoner. Det er ekstremt verdifullt.

Gen AI kan også bestemme bedriftsformålet med en aktivum. For eksempel kan det hjelpe med å skille mellom en betalingsmekanisme, en kritisk database og en tilfeldig enhet – og klassifisere dens risikoprofil. Dette gjør det mulig for sikkerhetsteamene å prioritere risiko bedre. Uten evnen til å prioritere, må sikkerhetsteamene gå gjennom endeløse sårbarheter merket som ‘urgent’ når de fleste faktisk ikke er kritiske.

Hvorfor bør bedrifter være forsiktige med å være for avhengige av generativ AI for defensive formål?

Generativ AI har stort potensial, men det er innebygde problemer vi må jobbe med som en bransje.

Det store bildet for meg er at gen AI-modeller kan gjøre sikkerhetsteamene selvtilfreds. Førsten med mer automatisering er stor, men manuell gjennomgang er kritisk gitt tilstanden av gen AI-modellene i dag. For eksempel produserer gen AI-modeller ‘hallusinasjoner’. Med andre ord, de produserer uriktige utdata.

Også gen AI-modeller (LLM, spesifikt) forstår ikke kontekst fordi de er bygget på statistisk, temporalt tekst-analyse – som også kan føre til ytterligere ‘hallusinasjoner’ som er svært vanskelige å spore.

Jeg forstår at sikkerhetsteamene stadig ser etter å gjøre ‘mer med mindre’ – men menneskelig tilsyn vil (og bør) alltid være en del av sikkerhetsprosessen.

Kan du diskutere hvordan CyCognito tilbyr automatisert ekstern angrepsflatehåndtering og kontinuerlig testing?

Ikke for å høres ut som en ødelagt plate, men som jeg nevnte tidligere, er angrepsflater enorme og komplekse – og de fortsetter å vokse.

Vi bygget CyCognito for å kontinuerlig kartlegge hele angrepsflaten utenfor det korporative kjernen til å omfatte datterselskaper, oppkjøp, joint ventures og varemerke-operasjoner – og tilskrive hver til sin rettmessige eier.

Det er noen tekniske evner som er verdt å fremheve.

I den sorte boks-angrepsflateoppdagelsesprosessen, utnytter vår plattform LLM som en av dusinvis av kilder for “tilskrivningshypoteser” som våre Bayesian ML-modeller analyserer for å bestemme organisasjonens forretningsstruktur (opptil 1000 forretningsenheter og datterselskaper) og tilskrive aktiva til eiere (i skalaen av millioner av IT-aktiva) fullstendig automatisk.

Plattformen akselerer også aktivum-klassifisering gjennom Natural Language Processing (NLP) og heuristiske algoritmer – en oppgave som vanligvis er kostbar og ressurskrevende.

Vi gir også den forretningskonteksten som er nødvendig for å prioritere risiko effektivt. Selv om en sårbarhet påvirker tusenvis av maskiner, kan CyCognito identifisere den mest kritiske ved å gi innsikt i eksponeringsnivå, forretningsmessig betydning, utnytting og hacker-snakk.

Vi tar en helhetlig tilnærming til Ekstern Angrepsflatehåndtering som overvinner fellen med å behandle alle kritiske problem som like urgente. Vi muliggjør sikkerhet til å prioritere sanne kritiske vektorer, og spar tid og penger.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, bør besøke CyCognito.