Rob Gurzeev, CEO i współzałożyciel CyCognito – seria wywiadów

Rob Gurzeev, CEO i współzałożyciel CyCognito, kierował rozwojem rozwiązań z zakresu bezpieczeństwa ofensywnego dla sektora prywatnego i agencji wywiadowczych.

Przed założeniem CyCognito, był dyrektorem ds. bezpieczeństwa ofensywnego i kierownikiem działu badań i rozwoju w firmie C4 Security (nabyty przez Elbit Systems (ESLT )) oraz CTO departamentu produktowego 8200 Izraelskiego Korpusu Wywiadowczego. Wyróżnienia, które otrzymał jako oficer Izraelskich Sił Obronnych, obejmowały Nagrodę za Wybitne Osiągnięcia, Nagrodę za Kreatywne Myślenie oraz Nagrodę za Źródło Życia.

CyCognito zostało założone przez weteranów agencji wywiadowczych, którzy rozumieją, jak atakujący wykorzystują punkty ślepe i dołączyli do doświadczonych menedżerów z niektórych z najbardziej zaufanych firm z branży cyberbezpieczeństwa.

Czym pierwotnie zainteresowało Cię cyberbezpieczeństwo?

Po raz pierwszy zainteresowałem się technologią w wieku 13 lub 14 lat. Zacząłem uczestniczyć w kanałach IRC z ludźmi zainteresowanymi technologią i tym, co wówczas nazywano „hackingiem”.

Ludzie w tamtym czasie eksperymentowali z różnymi interesującymi rzeczami, takimi jak kryptografia w aplikacjach messengera. Eksperymentowali również z udostępnianiem plików. Dzieci robiły żarty na swoich przyjaciołach, wysyłając plik wykonywalny, który wywoływał zabawną akcję. Jeśli o tym pomyślisz, to była to podstawa tego, co dziś nazywamy atakami „inżynierii społecznej”.

To wszystko sprawiło, że pomyślałem: co, jeśli osoba o złych intencjach dostałaby się do tej technologii w celach niegodziwych?

Te wczesne doświadczenia były początkiem mojej kariery w dziedzinie bezpieczeństwa. Ostatecznie trafiłem do izraelskiej jednostki wywiadowczej 8200, gdzie wykonywałem pracę rozpoznawczą, a później współzałożyłem CyCognito.

Czy mógłbyś podzielić się historią powstania CyCognito?

CyCognito zostało założone w oparciu o świadomość, że atakujący zawsze są o krok przed obrońcami. Są oni inteligentni, nieustępliwi i zawsze szukają najłatwiejszej drogi. A podczas gdy atakującym wystarczy jeden słaby punkt, aby się przebić, zespoły bezpieczeństwa muszą zabezpieczyć każdy możliwy punkt wejścia w stale rosnącej, nieustannie ewoluującej powierzchni ataku. To dość duże wyzwanie.

Aby jeszcze bardziej skomplikować problem, większość organizacji ma potencjalne punkty wejścia niewidoczne dla zespołów bezpieczeństwa, ale łatwo odkrywalne przez aktorów zagrożeń.

Pewnego dnia usiadłem z moim współzałożycielem, Dimą Potiechinem, i postanowiliśmy zmienić paradygmat, zamiast wdrożenia agentów lub poinstruowania skanera portów do skanowania kilku znanych zakresów IP, stworzyliśmy rozwiązanie, które działa jak światowej klasy atakujący, czyli zaczynało od nazwy firmy, a następnie identyfikowało aktywa podatne na największe ryzyko i najbardziej kuszące otwarte ścieżki.

Chcieliśmy symulować ofensywną operację atakującego, zaczynając od kroku pierwszego, gdzie atakujący zna tylko nazwę firmy i jego celem jest uzyskanie dostępu do wrażliwych danych.

W 2017 roku, wykorzystaliśmy nasze doświadczenie w agencjach wywiadowczych i zaczęliśmy to realizować, z misją pomocy organizacjom w zapobieganiu naruszeniom, poprzez ciągłe mapowanie ich zewnętrznych punktów ślepych i znajdowanie ścieżek najmniejszego oporu do ich wewnętrznych sieci. Wymagało to wykorzystania nie tylko zaawansowanej wiedzy o cyberbezpieczeństwie, ale także nowoczesnej technologii, która jest nadal dość rzadko stosowana w naszej branży, takiej jak modele uczenia maszynowego opartego na Bayesie, LLM, NLP i modele danych grafowych.

Dziś pomagamy firmom z branży Global 100 zabezpieczyć swoją powierzchnię ataku przed rosnącymi zagrożeniami. Niektórzy z naszych klientów to Colgate-Palmolive (CL ), stan Kalifornia, Berlitz, Hitachi, Tesco, by wymienić tylko kilku.

Czym jest Zarządzanie Zewnętrzną Powierzchnią Ataku?

Definicja podręcznika Zarządzania Zewnętrzną Powierzchnią Ataku (EASM) odnosi się do procesów i technologii używanych do identyfikacji, oceny i zarządzania narażeniem cyfrowych aktywów organizacji, które są dostępne lub widoczne z Internetu.

Zewnętrzne powierzchnie ataku są ogromne i złożone. Jedna organizacja może mieć setki i tysiące systemów, aplikacji, instancji chmury, łańcuchów dostaw, urządzeń IoT i danych narażonych na Internet – często rozciągających się na spółki zależne, wiele chmur i aktywa zarządzane przez strony trzecie.

Zespoły bezpieczeństwa mają ograniczoną możliwość odkrycia tych aktywów. Zalewane są tysiącami alertów, ale nie mają kontekstu, by wiedzieć, które są krytyczne i które należy priorytetowo traktować.

Izolowanie prawdziwych problemów wymaga widoczności na powierzchni ataku, ale co więcej, wymaga głębokiego zrozumienia kontekstu i celu dotkniętych aktywów. Gdy to się ustanowi, zespoły bezpieczeństwa mogą obliczyć ścieżki ataku i przewidzieć, które konkretnie groźby są ważne – te, które mogą spowodować poważne szkody finansowe lub szkodę dla reputacji firmy. Następnie organizacja może priorytetowo traktować i naprawiać maksymalny wpływ.

Czy mógłbyś podzielić się swoimi poglądami na temat ważności myślenia jak atakujący, aby odkryć nieznane ryzyka?

Zgodnie z Verizon’s DBIR, 82% ataków pochodzi z zewnątrz. Ponadto, większość naruszeń, zgodnie z Gartnerem, jest związana z nieznanymi i niezarządzanymi aktywami.

To właśnie dlatego przyjęcie podejścia zewnętrznego do oceny powierzchni ataku jest kluczowe dla oceny i zarządzania ryzykiem cyberbezpieczeństwa. Wkroczenie w buty atakującego zapewnia obiektywny widok koronnych klejnotów, które mieszczą się w Twoich systemach i, co więcej, które są narażone i podatne.

Jak wcześniej wspomniałem, powierzchnie ataku są nieustannie rosnące i złożone. Większość zespołów bezpieczeństwa nie ma pełnej widoczności na narażone i podatne aktywa. Atakujący wiedzą o tym! I będą nieustannie badać powierzchnię ataku, szukając ścieżki najmniejszego oporu i tej jednej luki, której zespoły bezpieczeństwa nie monitorują. Niestety, jeden punkt słabości jest wszystkim, czego potrzebują, aby się przebić. Tymczasem zespoły bezpieczeństwa mają trudne zadanie identyfikowania narażonych aktywów, które najbardziej narażają ich organizację, i następnie podejmowania działań w celu ochrony tych punktów wejścia.

Jak często identyfikujesz zagrożenia wynikające z zewnętrznych aplikacji i interfejsów API, które po prostu nie są monitorowane ani testowane?

Częściej niż bylibyśmy skłonni przyznać. Przeprowadziliśmy niedawno badania, które ujawniły podatne aplikacje chmury publicznej, mobilne i aplikacje internetowe, narażające wrażliwe dane, w tym niezabezpieczone interfejsy API i dane osobowe (PII). Oto niektóre z kluczowych wyników:

• 74 procent aktywów z PII jest podatnych na co najmniej jeden znany duży exploit, a jeden na dziesięć ma co najmniej jeden łatwo wykorzystywalny problem.
• 70 procent aplikacji internetowych ma poważne luki w zabezpieczeniach, takie jak brak ochrony WAF lub zaszyfrowanego połączenia, takiego jak HTTPS, podczas gdy 25 procent wszystkich aplikacji internetowych (aplikacje internetowe) nie miało ani jednego.
• Typowa globalna firma ma ponad 12 tysięcy aplikacji internetowych, które obejmują interfejsy API, aplikacje SaaS, serwery i bazy danych, między innymi. Co najmniej 30 procent tych aplikacji internetowych – ponad 3 000 aktywów – ma co najmniej jedną eksploatowalną lub wysokie ryzyko podatność. Połowa tych potencjalnie podatnych aplikacji internetowych jest hostowana w chmurze.
• 98 procent aplikacji internetowych jest potencjalnie niezgodnych z RODO z powodu braku możliwości dla użytkowników, aby zrezygnować z plików cookie.

Nasze badania poza tym, istnieje wiele dowodów na te zagrożenia. Eksploitacja MOVEit jest przypadkiem, który nadal trwa.

Czy mógłbyś omówić ważność konsolidacji procesów i narzędzi do testowania i zarządzania powierzchnią ataku?

„Zablokowanie stosu” to coś, z czym większość przedsiębiorstw się boryka. Jest to szczególnie widoczne w bezpieczeństwie. Większość organizacji ma rozproszone, niepołączone narzędzia bezpieczeństwa. Istnieje taki mantryzmu w bezpieczeństwie, że więcej platform wyeliminuje luki w zabezpieczeniach. Ale zamiast tego, otwiera się drzwi dla błędów ludzkich, redundancji, zwiększonego obciążenia operacyjnego i punktów ślepych.

CyCognito zostało zbudowane, aby wykonać pracę wielu starszych rozwiązań punktowych. Pomagamy firmom konsolidować swój stos, aby mogły się skoncentrować na wykonywaniu swojej pracy.

Jakimi sposobami aktorzy złej woli wykorzystują LLM i generatywne AI do skalowania ataków?

Jeszcze nie widzieliśmy dużych ataków z użyciem LLM, ale to tylko kwestia czasu. Z mojego punktu widzenia, LLM ma potencjał zapewnienia większej skali, zakresu, zasięgu i prędkości różnym etapom cyberataków.

Na przykład, LLM ma potencjał przyspieszyć automatyczne rozpoznanie, gdzie atakujący mogą mapować i odkrywać aktywa, marki i usługi organizacji, wraz z wrażliwymi informacjami, takimi jak narażone poświadczenia. LLM mogą również pomóc w odkryciu podatności, identyfikowaniu słabości w sieci docelowej i ułatwić eksploatację za pomocą taktyk, jak phishing lub ataki na „wodopoje”, aby uzyskać dostęp i wykorzystać podatności sieci. LLM mogą również pomóc w kradzieży danych, kopiując lub wykradając wrażliwe dane z sieci.

Ponadto, aplikacje konsumenckie oparte na LLM, takie jak ChatGPT, stanowią zagrożenie, ponieważ mogą być używane zarówno celowo, jak i niecelowo przez pracowników, aby ujawnić własność intelektualną firmy.

Kampanie phishingowe zapewniają kolejny przypadek użycia. Phishing o wysokiej jakości oparty jest na głębokim zrozumieniu celu; to właśnie to, co duże modele językowe mogą robić bardzo dobrze, ponieważ przetwarzają duże ilości danych bardzo szybko i dostosowują wiadomości skutecznie.

Jak przedsiębiorstwa mogą z kolei wykorzystać generatywne AI do ochrony siebie?

Dobrze postawione pytanie. To dobra wiadomość. Jeśli atakujący mogą wykorzystywać AI gen, to zespoły bezpieczeństwa również mogą. AI gen może pomóc zespołom bezpieczeństwa w rozpoznaniu własnej firmy i usunięciu podatności. Mogą one szybciej i bardziej efektywnie skanować i mapować własną powierzchnię ataku, aby znaleźć narażone wrażliwe aktywa, takie jak dane osobowe (PII), pliki itp.

AI gen może również pomóc w zrozumieniu kontekstu biznesowego każdego aktywa. Na przykład, może pomóc rozpoznać bazę danych zawierającą PII i odegrać rolę w transakcjach przychodowych. To jest niezwykle cenne.

AI gen może również określić cel biznesowy aktywa. Na przykład, może pomóc odróżnić mechanizm płatniczy, krytyczną bazę danych i losowe urządzenie – i sklasyfikować jego profil ryzyka. To z kolei umożliwia zespołom bezpieczeństwa lepsze priorytetowanie ryzyka. Bez możliwości priorytetowego traktowania, zespoły bezpieczeństwa muszą przeczesać niezliczone podatności oznaczone jako „pilne”, kiedy większość z nich nie jest tak naprawdę krytyczna.

Dlaczego przedsiębiorstwa powinny być ostrożne, będąc zbyt zależnymi od generatywnego AI do celów obronnych?

Generatywne AI ma ogromny potencjał, ale są pewne wewnętrzne problemy, które musimy rozwiązać jako branża.

Duży obraz dla mnie jest taki, że modele AI gen mogą sprawić, że zespoły bezpieczeństwa staną się samozadowolone. Oczarowanie większą automatyzacją jest wielkie, ale przegląd ręczny jest krytyczny, biorąc pod uwagę stan modeli AI gen dzisiaj. Na przykład, modele AI gen „hallucynują”. Innymi słowy, produkują niedokładne dane wyjściowe.

Ponadto, modele AI gen (LLM, konkretnie) nie rozumieją kontekstu, ponieważ są zbudowane na analizie statystycznej i temporalnej – co również może prowadzić do dalszych „hallucynacji”, które są bardzo trudne do zauważenia.

Rozumiem, że zespoły bezpieczeństwa coraz częściej szukają sposobów, aby „zrobić więcej z mniej” – ale nadzór ludzki zawsze będzie częścią procesu bezpieczeństwa.

Czy mógłbyś omówić, jak CyCognito oferuje automatyczne zarządzanie zewnętrzną powierzchnią ataku i ciągłe testowanie?

Nie chcę brzmieć jak płyta, ale jak wcześniej wspomniałem, powierzchnie ataku są ogromne i złożone – i nadal rosną.

Zbudowaliśmy CyCognito, aby ciągle mapować całą powierzchnię ataku, wykraczając poza rdzeń korporacyjny, aby objąć spółki zależne, przejęcia, spółki joint-venture i operacje marki – i przypisać każdą do jej właściciela.

Istnieją pewne możliwości techniczne, które warto podkreślić.

W procesie odkrywania powierzchni ataku, nasza platforma wykorzystuje LLM jako jeden z dziesiątek źródeł „hipotez atrybucji”, które nasze modele uczenia maszynowego opartego na Bayesie analizują, aby określić strukturę biznesową organizacji (do 1000 jednostek biznesowych) i przypisać aktywa do właścicieli (w skali milionów aktywów IT) w sposób całkowicie automatyczny.

Platforma również przyspiesza klasyfikację aktywów za pomocą przetwarzania języka naturalnego (NLP) i algorytmów heurystycznych – zadanie, które jest generalnie kosztowne i wymaga dużych zasobów.

Dostarczamy również kontekst biznesowy niezbędny do skutecznego priorytetowego traktowania ryzyka. Nawet jeśli podatność dotyczy tysiąca maszyn, CyCognito może zidentyfikować najbardziej krytyczną, dostarczając wgląd w poziom narażenia, znaczenie biznesowe, wykorzystywalność i rozmowę hakera.

Podejmujemy holistyczne podejście do Zarządzania Zewnętrzną Powierzchnią Ataku, które pokonuje pułapkę traktowania wszystkich krytycznych problemów z równą pilnością. Umożliwiamy zespołom bezpieczeństwa priorytetowe traktowanie prawdziwych wektorów krytycznych, oszczędzając im czas i pieniądze.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić CyCognito.