Rob Gurzeev, CEO e Co-Fundador da CyCognito – Série de Entrevistas

Rob Gurzeev, CEO e Co-Fundador da CyCognito, liderou o desenvolvimento de soluções de segurança ofensiva para o setor privado e agências de inteligência.

Antes de fundar a CyCognito, ele foi Diretor de Segurança Ofensiva e chefe de P&D da C4 Security (adquirida pela Elbit Systems (ESLT )) e CTO do Departamento de Produtos do Corpo de Inteligência Israelense 8200. Honrarias que ele recebeu como Oficial das Forças de Defesa de Israel incluíram o Prêmio de Excelência, o Prêmio de Pensamento Criativo e o Prêmio de Fonte de Vida.

CyCognito foi fundada por veteranos de agências de inteligência nacional que entendem como os atacantes exploram pontos cegos e foi acompanhada por gestores experientes de algumas das empresas de segurança cibernética mais confiáveis.

O que o atraiu inicialmente para a segurança cibernética?

Eu me interessei pela tecnologia pela primeira vez por volta dos 13 ou 14 anos. Comecei a participar de canais IRC com pessoas curiosas sobre tecnologia e o que era chamado de “hacking” na época.

As pessoas naquela época estavam experimentando todo tipo de coisas interessantes, como criptografia em aplicativos de mensagens. Eles também estavam experimentando o compartilhamento de arquivos. Os jovens estavam brincando com seus amigos, enviando arquivos executáveis que desencadeavam ações engraçadas. Se você pensar sobre isso, essa foi a base do que hoje chamamos de ataques de “engenharia social”.

Isso me fez pensar: e se uma pessoa com más intenções obtivesse essa tecnologia para fins maliciosos?

Essas experiências iniciais são o que iniciaram minha carreira em segurança. Eu eventualmente me juntei à Força de Inteligência Unit 8200 de Israel, fazendo trabalhos de reconhecimento, e mais tarde co-fundei a CyCognito.

Pode compartilhar a história de fundação da CyCognito?

A CyCognito foi fundada com a consciência de que os atacantes estão sempre à frente dos defensores. Eles são inteligentes, implacáveis e sempre procuram o caminho de menor resistência. E enquanto todos os atacantes precisam é de um ponto fraco para quebrar, as equipes de segurança precisam proteger todos os possíveis pontos de entrada em uma superfície de ataque em constante crescimento e evolução. É um desafio considerável.

Para piorar o problema, a maioria das organizações tem pontos de entrada potenciais que não são vistos pelas equipes de segurança, mas facilmente descobertos por atores ameaçadores.

Um dia, eu me sentei com meu co-fundador, Dima Potekhin, e decidimos mudar o paradigma, onde, em vez de implantar agentes ou instruir um scanner de portas para varrer alguns intervalos de IP conhecidos, criaríamos uma solução que funcionasse como um atacante de classe mundial, ou seja, começaria sabendo apenas o nome de uma empresa e, em seguida, identificaria os ativos mais arriscados e os caminhos abertos mais tentadores.

Queríamos simular uma operação ofensiva de ataque, começando do passo um, onde o atacante sabe apenas o nome da empresa-alvo e seu objetivo é obter acesso a dados sensíveis.

Então, em 2017, pegamos nossa experiência em agências de inteligência nacional e começamos a tornar isso real com a missão de ajudar as organizações a prevenir violações, mapeando continuamente seus pontos cegos de exposição externa e encontrando os caminhos de menor resistência para suas redes internas. Isso exigia aproveitar não apenas conhecimento cibernético ofensivo avançado, mas também tecnologia moderna que é raramente usada em nossa indústria, como modelos de aprendizado de máquina bayesiano, LLM, NLP e modelos de dados gráficos.

Hoje, ajudamos empresas emergentes e grandes empresas do Global 100 a proteger suas superfícies de ataque contra ameaças crescentes. Alguns de nossos clientes incluem Colgate-Palmolive (CL ), Estado da Califórnia, Berlitz, Hitachi, Tesco, para citar apenas alguns.

O que é Gerenciamento de Superfície de Ataque Externa?

A definição de livro didático de Gerenciamento de Superfície de Ataque Externa (EASM) refere-se aos processos e tecnologias usados para identificar, avaliar e gerenciar a exposição dos ativos digitais de uma organização que são acessíveis ou visíveis na internet.

As superfícies de ataque externas são vastas e complexas. Uma organização pode ter centenas e milhares de sistemas, aplicativos, instâncias de nuvem, cadeias de suprimentos, dispositivos IoT e dados expostos na Internet — frequentemente se estendendo por subsidiárias, múltiplas nuvens e ativos gerenciados por terceiros.

As equipes de segurança têm uma capacidade limitada de descobrir esses ativos. Elas são inundadas com milhares de alertas, mas não têm o contexto para saber quais são críticos e quais priorizar.

Isolar os problemas críticos primeiro requer visibilidade em toda a superfície de ataque, mas, mais importante ainda, requer uma compreensão profunda do contexto e propósito dos ativos afetados. Uma vez que isso seja estabelecido, as equipes de segurança podem calcular caminhos de ataque e prever quais ameaças específicas importam — aquelas prováveis de causar danos monetários ou de reputação graves à empresa. Então, a organização pode priorizar corretamente e remediar para o máximo impacto.

Pode compartilhar suas visões sobre a importância de pensar como um atacante para descobrir riscos desconhecidos?

De acordo com o DBIR da Verizon, 82% dos ataques vêm de fora para dentro. Além disso, a maioria das violações, de acordo com a Gartner, está relacionada a ativos desconhecidos e não gerenciados.

É exatamente por isso que adotar uma abordagem de fora para dentro para avaliar a superfície de ataque é crítica para avaliar e gerenciar o risco de segurança cibernética. Colocar-se no lugar do atacante fornece uma visão objetiva das “joias da coroa” que vivem dentro dos sistemas e, mais importante, quais estão expostas e vulneráveis.

Como mencionei anteriormente, as superfícies de ataque estão em constante crescimento e complexidade. A maioria das equipes de segurança carece de visibilidade de espectro completo em ativos expostos e vulneráveis. Os atacantes sabem disso! E eles vão explorar relentemente a superfície de ataque, caçando o caminho de menor resistência e aquela única brecha que as equipes de segurança não monitoram. Infelizmente, uma única brecha de segurança é tudo o que eles precisam para quebrar. Enquanto isso, as equipes de segurança têm a tarefa difícil de identificar as exposições que tornam suas organizações mais vulneráveis e, em seguida, tomar ação para proteger esses pontos de entrada.

Com que frequência você identifica ameaças devido a aplicações e APIs externas que simplesmente não estão sendo monitoradas ou testadas?

Mais frequentemente do que gostaríamos. Recentemente, realizamos pesquisa mostrando aplicações e instâncias de nuvem vulneráveis, expostas, incluindo dados sensíveis, como informações de identificação pessoal (PII). Aqui estão alguns dos principais resultados:

• 74 por cento dos ativos com PII são vulneráveis a pelo menos uma grande exploração conhecida, e um em cada 10 têm pelo menos um problema facilmente explorável.
• 70 por cento das aplicações web têm lacunas de segurança graves, como falta de proteção WAF ou uma conexão criptografada como HTTPS, enquanto 25 por cento de todas as aplicações web (aplicativos web) careciam de ambas.
• A típica empresa global tem mais de 12 mil aplicações web, que incluem APIs, aplicações SaaS, servidores e bancos de dados, entre outros. Pelo menos 30 por cento dessas aplicações web — mais de 3.000 ativos — têm pelo menos uma vulnerabilidade explorável ou de alto risco. Metade dessas aplicações web potencialmente vulneráveis é hospedada na nuvem.
• 98 por cento das aplicações web são potencialmente não conformes com o GDPR devido à falta de oportunidade para os usuários optarem por não usar cookies.

Nossa pesquisa, além disso, há evidências abundantes dessas ameaças por aí hoje. O exploit MOVEit é um ponto de referência, que ainda está em andamento.

Pode discutir a importância de consolidar os processos e ferramentas para testar e gerenciar a superfície de ataque?

A ‘inchaço de pilha’ é algo que a maioria das empresas sofre. É particularmente pronunciada na segurança. A maioria das organizações tem ferramentas de segurança desconectadas e isoladas. Há sido um mantra na segurança de que mais plataformas eliminarão lacunas de segurança. Mas, em vez disso, abre a porta para erros humanos, redundâncias, carga operacional aumentada e pontos cegos.

A CyCognito foi construída para fazer o trabalho de muitas soluções legadas de ponto. Nós ajudamos as empresas a consolidar sua pilha para que possam se concentrar em fazer seus trabalhos.

Quais são algumas maneiras pelas quais atores mal-intencionados estão usando LLMs e IA Geradora para ampliar ataques?

Ainda não vimos ataques em grande escala usando LLMs, mas é apenas uma questão de tempo. Na minha perspectiva, os LLMs têm o potencial de fornecer maior escala, alcance, velocidade e amplitude a várias etapas de ataques cibernéticos.

Por exemplo, os LLMs têm o potencial de acelerar a reconhecimento automatizada, onde os atacantes podem mapear e descobrir os ativos, marcas e serviços de uma organização, juntamente com informações sensíveis, como credenciais expostas. Os LLMs também podem ajudar na descoberta de vulnerabilidades, identificando fraquezas dentro de uma rede-alvo e facilitar a exploração por meio de técnicas como phishing ou ataques de “watering-hole” para obter acesso e explorar vulnerabilidades de rede. Os LLMs também podem auxiliar no roubo de dados, copiando ou exfiltrando dados sensíveis da rede.

Além disso, aplicações de consumidor baseadas em LLMs, mais notavelmente o ChatGPT, representam uma ameaça, pois podem ser usadas intencionalmente e não intencionalmente por funcionários para vazar propriedade intelectual da empresa.

Campanhas de phishing fornecem outro caso de uso. Phishing de alta qualidade é baseado em uma compreensão profunda do alvo; é exatamente o que os grandes modelos de linguagem podem fazer muito bem, pois processam grandes volumes de dados muito rapidamente e personalizam mensagens com eficácia.

Como as empresas podem, por sua vez, usar IA Geradora para se proteger?

Boa pergunta. Essa é a boa notícia em tudo isso. Se os atacantes podem usar IA geradora, as equipes de segurança também podem. A IA geradora pode ajudar as equipes de segurança a fazer reconhecimento em suas próprias empresas e remediar vulnerabilidades. Eles podem varrer e mapear suas próprias superfícies de ataque mais rapidamente e com menor custo para encontrar ativos sensíveis expostos, como informações de identificação pessoal (PII), arquivos, etc.

A IA geradora pode ajudar significativamente a entender o contexto empresarial de qualquer ativo. Por exemplo, pode ajudar a reconhecer um banco de dados que contém PII e desempenha um papel em transações de receita. Isso é extremamente valioso.

A IA geradora também pode determinar o propósito comercial de um ativo. Por exemplo, pode ajudar a distinguir entre um mecanismo de pagamento, um banco de dados crítico e um dispositivo aleatório — e classificar seu perfil de risco. Isso, por sua vez, permite que as equipes de segurança priorizem o risco com mais eficácia. Sem a capacidade de priorizar, as equipes de segurança têm que vasculhar vulnerabilidades intermináveis rotuladas como ‘urgentes’ quando a maioria não é, na verdade, crítica para a missão.

Por que as empresas devem ter cuidado para não confiar demais na IA Geradora para fins defensivos?

A IA geradora tem um grande potencial, mas há questões inerentes que precisamos trabalhar como uma indústria.

A visão geral para mim é que os modelos de IA geradora podem tornar as equipes de segurança complacentes. O apelo da automação adicional é grande, mas a revisão manual é crítica, dado o estado atual dos modelos de IA geradora. Por exemplo, os modelos de IA geradora ‘alucinam’. Em outras palavras, produzem saídas imprecisas.

Além disso, os modelos de IA geradora (LLMs, especificamente) não entendem o contexto porque são construídos com base em análise de texto estatística e temporal — o que também pode levar a ‘alucinações’ adicionais que são muito difíceis de detectar.

Entendo que as equipes de segurança estão cada vez mais procurando fazer ‘mais com menos’ — mas a supervisão humana sempre fará parte do processo de segurança.

Pode discutir como a CyCognito oferece gerenciamento de superfície de ataque externa automatizado e testes contínuos?

Não soa como um disco riscado, mas, como mencionei anteriormente, as superfícies de ataque são vastas e complexas — e continuam a crescer.

Construímos a CyCognito para mapear continuamente toda a superfície de ataque, além do núcleo da empresa, para abranger subsidiárias, aquisições, joint ventures e operações de marca — e atribuir cada uma ao seu proprietário legítimo.

Há algumas capacidades técnicas dignas de nota.

No processo de descoberta de superfície de ataque em caixa preta, nossa plataforma aproveita o LLM como uma das dezenas de fontes de ‘hipóteses de atribuição’ que nossos modelos de aprendizado de máquina bayesiano analisam para determinar a estrutura de negócios da organização (até 1000 unidades de negócios e subsidiárias) e atribuir ativos a proprietários (na escala de milhões de ativos de TI) completamente automaticamente.

A plataforma também acelera a classificação de ativos por meio do processamento de linguagem natural (NLP) e algoritmos heurísticos — uma tarefa que geralmente é custosa e intensiva em recursos.

Também fornecemos o contexto empresarial necessário para priorizar riscos com eficácia. Mesmo que uma vulnerabilidade afete mil máquinas, a CyCognito pode identificar a mais crítica, fornecendo insights sobre o nível de exposição, significado comercial, explorabilidade e conversa de hackers.

Nós adotamos uma abordagem holística para o Gerenciamento de Superfície de Ataque Externa, que supera a armadilha de tratar todos os problemas críticos com igual urgência. Nós permitimos que a segurança priorize os vetores críticos verdadeiros, economizando tempo e dinheiro.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar CyCognito.