Ben Bernstein, Manager al Consilierilor în Cibersecuritate la Huntress – Seria de Interviuri

Ben Bernstein, Manager al Consilierilor în Cibersecuritate la Huntress, este un profesionist în cibersecuritate cu peste un deceniu de experiență ce acoperă suport tehnic, administrarea sistemelor, succesul clienților, managementul conturilor tehnice și conducerea în consiliere de securitate. Și-a început cariera în roluri IT practice, evoluind de la lucrul la helpdesk la administrarea sistemelor, înainte de a trece la managementul conturilor și succesul clienților la Integris. Bernstein a petrecut apoi trei ani la Red Canary, unde a gestionat relațiile cu clienții enterprise în calitate de Manager de Cont Tehnic și Manager Senior de Cont Tehnic pentru Întreprinderi. De când s-a alăturat Huntress în 2024 ca Manager de Cont Tehnic fondator, a avansat în conducerea managementului conturilor tehnice și acum coordonează Consilierii în Cibersecuritate ai companiei, bazându-se pe combinația sa de expertiză tehnică și experiență orientată spre clienți pentru a ajuta organizațiile să înțeleagă și să răspundă mai bine la amenințările cibernetice în evoluție.

Huntress este o companie de cibersecuritate care oferă o platformă de securitate complet gestionată, concepută să protejeze organizațiile la nivel de endpoint-uri, identități, jurnale și utilizatori. Platforma sa combină tehnologii precum Managed Endpoint Detection and Response (EDR), Identity Threat Detection and Response (ITDR), Security Information and Event Management (SIEM) și instruire de conștientizare a securității, alături de un Centru de Operațiuni de Securitate (SOC) centrat pe AI, funcționând 24/7 și susținut de experți umani în securitate. Huntress afirmă că tehnologia sa protejează în prezent peste 5 milioane de endpoint-uri și 15 milioane de identități în peste 277.000 de afaceri, echipa sa ocupându-se de detectarea amenințărilor, investigare, răspuns și remediere în numele clienților.

V-ați început cariera în helpdesk și administrarea sistemelor înainte de a trece prin managementul conturilor tehnice și, în final, în conducerea consilierii în cibersecuritate la Huntress. Cum a modelat această experiență practică în IT modul în care gândiți securitatea astăzi, în special când aceleași instrumente de care se bazează administratorii pot deveni și puncte de intrare pentru atacatori?

Sunt recunoscător pentru background-ul meu în IT în fiecare zi, acum că fac parte din echipa dedicată ciberneticii. Îmi oferă o perspectivă practică. Când știi cum se comportă sistemele de operare, aplicațiile și procesele de sistem în condiții normale, anomaliile și amenințările ies în evidență. Timpul petrecut în IT mi-a dezvoltat și o mentalitate de depanare și identificare a cauzei rădăcină. Înveți repede că trebuie să urmărești firul pentru a te asigura că delimitezi pe deplin o problemă sau o amenințare.

Îmi amintesc că mă bazam intens pe aceleași instrumente, cum ar fi RMM-urile, care astăzi sunt abuzate de actori rău intenționați. Fiind eu însumi cel care le-a implementat, apreciez pe deplin puterea lor în mâinile atât ale unui administrator IT, cât și ale unui atacator. Deoarece RMM-urile sunt pretutindeni, acestea pun presiune pe echipele de securitate să analizeze toată activitatea din jurul execuției lor. Prezența unui RMM pe o mașină nu este în mod inerent răuvoitoare. Dar dacă acel RMM începe brusc să descarce instrumente suplimentare sau să genereze scripturi necunoscute, forțează apărătorii să renunțe la listele de software de încredere și să se concentreze exclusiv pe observarea comportamentelor.

AI este adesea discutat în domeniul cibersecurității în termeni de atacatori autonomi sofisticați, dar cât de mult din impactul imediat al AI constă pur și simplu în a face infractorii cibernetici obișnuiți mai rapizi și mai capabili? Ajungem la un punct în care atacatorii cu abilități relativ scăzute pot desfășura campanii care anterior necesitau o expertiză tehnică mult mai profundă?

Există multă panică în prezent legată de sistemele de hacking autonome bazate pe AI, dar realitatea de la fața locului este că aceasta nu reprezintă o tehnică nouă. Aceste modele nu pătrund în rețele utilizând tehnici extrem de sofisticate. Ele fac exact ceea ce au făcut de ani de zile tinerii programatori umani, scanând pentru active expuse pe internet, neactualizate și configurate greșit. Atrage atenția pentru că expresia “AI autonom” sună înfricoșător sau atrăgător, în funcție de perspectivă, dar mecanismele reale ale acestor atacuri sunt de bază.

Problema reală cu care ne confruntăm este că AI reduce bariera de intrare pentru infractorii cibernetici. Atacatorii pot automatiza părțile plictisitoare ale unui exploit și pot scala operațiunile fără a necesita o expertiză tehnică profundă. Aceasta permite atacatorilor cu abilități reduse să desfășoare campanii mult mai rapid, ceea ce exercită o presiune considerabilă asupra afacerilor. Nu mai poți instala un instrument de securitate și să uiți de el. Organizațiile trebuie să presupună că rețelele lor sunt în permanență supuse sondajelor.

Huntress a observat atacatori care utilizează scripturi infostealer generate de LLM în timpul intruziunilor prin RMM. Ce ne spune acest lucru despre modul în care AI generativ schimbă economia și accesibilitatea criminalității cibernetice?

Ne arată că AI generativ simplifică sarcina operațională a criminalității cibernetice. Scrierea unui script infostealer nu este o muncă tehnică nouă, dar în mod tradițional necesita mult timp de dezvoltare sau achiziționarea de instrumente specializate de pe un forum subteran. Folosind un LLM în interiorul rețelei victimei, atacatorii pot genera scripturi funcționale și personalizate la cerere, în loc să se bazeze pe malware preconstruit.

Deși accesarea acestor modele implică în continuare un anumit cost, bariera de intrare este mai mică ca niciodată. Observăm adesea atacatori medii care folosesc aceste instrumente pentru a lucra mai rapid și a elimina sarcinile de codare manuală. Aceasta schimbă fundamental economia unui atac, făcând faza de execuție foarte accesibilă, permițând actorilor cu competențe reduse să își scaleze operațiunile fără a avea nevoie de expertiză tehnică profundă.

Huntress a raportat o creștere de 277% de la an la an în abuzul de instrumente de monitorizare și management la distanță (RMM). De ce au devenit platformele legitime RMM o alternativă atât de atractivă pentru malware-ul personalizat și ce avantaje oferă atacatorilor odată ce obțin accesul?

Nu există nimic inerent rău în instrumentele RMM. Ele au un scop vital, ajutând administratorii IT și furnizorii de servicii gestionate (MSP) să lucreze eficient și să sprijine utilizatorii. Problema este că malware-ul personalizat este semnalat de software-ul antivirus tradițional, în timp ce RMM-urile sunt semnate, de încredere și ocolesc controalele de securitate standard. Mai mult, pentru un atacator, agenții RMM rulează în mod natural cu privilegii administrative ridicate și oferă persistență încorporată, ceea ce înseamnă că rămân activi peste reporniri ale sistemului fără a necesita efort suplimentar pentru a menține accesul.

După ce un atacator reușește să ruleze propriul său agent RMM pe o mașină țintă, de fapt deține o consolă de control la distanță. Poate transfera fișiere în ambele sensuri fără probleme și, de obicei, își configurează în prealabil instanța RMM cu scripturi și instrumente malițioase gata de execuție pe toate punctele finale printr-un singur click. Deoarece aplicația în sine este legitimă, apărătorii nu pot pur și simplu să blocheze instrumentul. Aceasta obligă echipele de securitate să nu se bazeze pe listele de software de încredere și să se concentreze pe observarea comportamentului, ceea ce face ca monitorizarea 24/7 să fie esențială dacă doriți să prindeți un atacator care abuzează de software administrativ.

O tehnică documentată de Huntress este „daisy‑chaining” a mai multor instrumente RMM de către atacatori pentru a fragmenta telemetria și a crea acces redundant. Ne puteți descrie cum se desfășoară, în mod tipic, o astfel de intruziune și de ce poate fi atât de dificil pentru apărători să recunoască ce se întâmplă?

Iată un exemplu deosebit de interesant pe care l‑am capturat și am scris un blog despre el. Intruziunea a început cu un e‑mail de phishing care folosea o capcană sub forma unui document de afaceri fals, cum ar fi „Network Solutions Agreement”. Victima a făcut click pe linkul din e‑mail, a ajuns pe o pagină protejată de un CAPTCHA fals și a descărcat ceea ce credea că este un PDF standard sau un document de serviciu. În realitate, descărcarea era un instalator executabil. Când utilizatorul a dublu‑clickat pe fișier pentru a deschide acordul, a instalat silențios un instrument legitim, dar neautorizat, de acces la distanță numit Tiflux RMM.

După ce actorul amenințător a pus în funcțiune agentul Tiflux inițial, a folosit imediat capacitățile încorporate ale acestuia pentru a împinge și a încărca suplimentar instrumente precum Splashtop, ScreenConnect și UltraVNC pe aceeași mașină. Este important de remarcat că toate acestea sunt, de asemenea, instrumente RMM legitime.

Atacatorii fac acest lucru pentru a stabili o persistență superioară. Ei știu că, dacă un administrator IT observă un instrument de acces la distanță neautorizat și îl dezinstalează, atacatorul are în continuare două sau trei alte backdooruri active în așteptare. Această tactică fragmentă telemetria. Platformele de securitate văd doar aplicații administrative semnate, separate, care rulează simultan și comunică cu infrastructura legitimă a furnizorului. Dacă un apărător nu monitorizează activ acea activitate și nu se întreabă de ce un singur punct final are nevoie brusc de mai mulți agenți de management la distanță instalați în aceeași după‑amiază, totul se contopește cu zgomotul obișnuit al întreținerii IT.

Dincolo de monitorizarea comportamentală 24/7, un alt control eficient aici este gestionarea posturii de securitate a punctelor finale și controlul aplicațiilor. Dacă o organizație definește explicit ce variante specifice de RMM sunt autorizate să ruleze pe mașinile lor, poate restricționa execuția instrumentelor neaprobate, oprind lanțul de tip daisy‑chain înainte să înceapă.

Modelele tradiționale de securitate disting adesea între software de încredere și software neîncredere, dar atacurile RMM exploatează instrumente care pot fi legitime, semnate și deja aprobate de IT. Înseamnă asta că apărătorii trebuie să renunțe la întrebarea dacă o aplicație este de încredere și să se concentreze în schimb pe dacă comportamentul său este de încredere?

Da, absolut. Modelul tradițional de încredere binară este rupt. Semnarea binară a fost concepută pentru a verifica că o aplicație provine de la un furnizor legitim, nu pentru a garanta că acțiunile sale sunt sigure.

Dacă un atacator folosește un binar RMM semnat sau o utilitate living‑off‑the‑land, executabilul în sine este curat, dar activitatea din spatele său este malițioasă. Apărătorii trebuie să treacă de întrebarea „Este acest fișier de încredere?” și să se concentreze pe dacă comportamentul său are sens în context. A avea un RMM care rulează pe o mașină nu este în mod inerent rău. Dar dacă acel instrument începe brusc să descarce utilități suplimentare, să genereze scripturi necunoscute sau să execute la ora 2 dimineața sub un cont de serviciu, acesta este un indicator de compromitere. Contextul și comportamentul au fost întotdeauna importante, dar, având în vedere că atacatorii se bazează atât de mult pe software de încredere, ele contează acum mai mult ca niciodată.

Pe măsură ce AI comprimă timpul dintre descoperirea unei vulnerabilități sau a unei lacune de configurare și exploatarea acesteia, cum se schimbă rolul gestionării posturii de securitate? Ce slăbiciuni ale identității, punctelor finale și accesului la distanță ar trebui organizațiile să prioritizeze înainte ca atacatorii să aibă ocazia să le exploateze?

Gestionarea posturii de securitate contează acum mai mult ca niciodată, deoarece ajută organizațiile să închidă proactiv golurile de securitate comune pe care atacatorii le exploatează zilnic. Aceasta completează detectarea și răspunsul prin identificarea și remedierea continuă a problemelor precum configurările greșite, permisiunile excesive, aplicațiile neautorizate și alte vulnerabilități în punctele finale și identități. Când fereastra dintre divulgarea vulnerabilității și scanarea automată se micșorează la câteva ore, reducerea acestor goluri înainte de a fi exploatate devine esențială. Organizațiile trebuie să mențină o postură consecventă și întărită în toate mediile pentru a reduce numărul incidentelor și pentru a limita ce poate accesa un atacator dacă reușește să pătrundă.

Deși aproape fiecare furnizor de securitate cibernetică va „educa” (sau speria) publicul despre amenințarea sau domeniul de securitate pentru care vinde soluții, lista reală de priorități este ceva ce fiecare organizație trebuie să stabilească singură. Fiecare companie valorizează diferite componente ale triadei CIA, iar fiecare firmă are date sensibile stocate sau accesate în locuri diferite. Sfatul real pe care majoritatea afacerilor trebuie să-l audă este să evalueze ce date, active sau sisteme de producție sunt cele mai critice pentru operațiunile lor și apoi să lucreze înapoi de acolo pentru a proteja ceea ce contează cel mai mult.

Există o preocupare tot mai mare că agenții AI vor ajunge să execute părți semnificative ale ciclului de atac în mod autonom. Ce capabilități ar trebui să se îmbunătățească înainte ca atacurile cibernetice autonome să devină semnificativ mai periculoase decât atacurile asistate de AI de astăzi și sunt apărătorii suficient de rapizi în pregătire?

Îngrijorarea legată de agenții autonomi sugerează că este o problemă viitoare, dar deja îi vedem executând atacuri în prezent. Totuși, aceste atacuri autonome sunt departe de a fi perfecte. Priviți campania recentă de ransomware JadePuffer. A fost condusă în totalitate de un agent AI, dar a comis greșeli evidente. Modelul a hallucinat părți ale operațiunii, inclusiv a inventat o adresă falsă de portofel Bitcoin pentru nota de răscumpărare. Și, mai ridicol, AI-ul a uitat să salveze sau să transmită cheia de criptare. A tipărit pur și simplu cheia generată aleatoriu într-o ieșire temporară de consolă și a închis sesiunea, făcând imposibilă recuperarea datelor de către victimă chiar dacă ar fi plătit.

Realitatea concretă este că, din perspectiva tacticilor, tehnicilor și procedurilor, AI autonom, scripturile automate și atacatorii umani fac exact același lucru. Ei exploatează în continuare aceleași tipuri de active expuse pe internet, vulnerabile și configurate greșit. AI-ul trebuie în continuare să parcurgă lanțul de distrugere standard. Trebuie să obțină acces inițial, să ridice permisiunile, să se deplaseze lateral și să execute sarcina sa. În cazul JadePuffer, a folosit pur și simplu o vulnerabilitate cunoscută și nepatchuită pentru a-și face intrarea și apoi a rătăcit prin rețea.

Deoarece mecanismele de bază ale atacului nu s-au schimbat, apărătorii nu trebuie să renunțe la manualul lor actual. Este în continuare necesară securitatea stratificată, igiena de bază a IT-ului și detectarea comportamentală puternică. Ce se modifică este presiunea și viteza cu care apărătorii trebuie să proceseze evenimentele și să prioritizeze alertele. Când un agent AI face o greșeală, citește jurnalul de erori și se autocorectează în câteva secunde pentru a continua, apărătorii trebuie pur și simplu să se adapteze la viteza rapidă cu care atacurile cibernetice evoluează acum.

Atacatorii adoptă AI, dar apărătorii au acces la multe dintre aceleași tehnologii. Unde vedeți că AI oferă cel mai mare avantaj defensiv: detectarea comportamentului neobișnuit, analiza telemetriei, prioritizarea vulnerabilităților, automatizarea răspunsului sau în altă parte complet diferită?

În primul rând, este extrem de eficient pentru corelarea echipei albastre. Echipele de securitate nu au o problemă de date; au o problemă de zgomot. AI-ul este incredibil de util pentru a extrage acele ace din carul cu fân, luând evenimente disparate, aparent nelegate, și îmbinându-le pentru a spune întreaga poveste a unei intruziuni.

În al doilea rând, AI-ul face pentru apărători exact ceea ce face pentru atacatori, reducând decalajul de competențe. Când un analist junior SOC se confruntă cu un script puternic ofuscat sau cu o alertă complexă, poate folosi un LLM pentru a traduce instantaneu datele în limba engleză simplă. Elimină munca manuală de inginerie inversă și permite apărătorilor să prioritizeze și să răspundă mult mai rapid.

În final, privindu-se dincolo de apărarea reactivă, există o oportunitate enormă pentru echipele roșii și purpurii de a folosi AI pentru a testa și valida în mod proactiv apărarea. Testele de penetrare complet definite și conduse de oameni rămân absolut necesare. Dar AI-ul reduce bariera tehnică pentru rularea de teste mai mici, atomice, pentru a valida diferite straturi ale unui stack de securitate. În loc să aștepte un test de penetrare anual sau să își încrucișeze degetele când apare o amenințare organică reală, organizațiile pot folosi AI pentru a testa în siguranță și frecvent propriile medii și a vedea ce se rupe efectiv.

Privind spre viitor, așteptați ca industria de securitate cibernetică să intre într-un mediu în care atât atacatorii, cât și apărătorii operează din ce în ce mai mult prin agenți autonomi? Dacă da, ce va determina în final cine are avantajul când mașinile de pe ambele părți pot identifica și reacționa la amenințări cu viteza mașinilor?

AI zguduie cu siguranță economia subterană. Piața darknet pentru cybercrime‑as‑a‑service a prosperat vânzând malware și scripturi, deoarece acestea necesitau în mod tradițional abilități specializate de dezvoltare pentru a fi create. AI schimbă accesibilitatea și economia acelui ecosistem permițând operatorilor cu competențe reduse să‑și genereze propriile instrumente la cerere. Probabil va închide ușa pentru mulți furnizori de malware legacy, gata de utilizare. De ce ar plăti un actor de amenințare pentru malware generic gata de utilizare pe un forum subteran când poate pur și simplu să solicite unui LLM să genereze instrumente personalizate la cerere?

Atunci când ambele părți sunt echipate cu AI, avantajul se reduce la infrastructură, reglare și supraveghere. Devine o luptă între cine are bugetul de calcul (cine are mai multe tokenuri de consumat) și cine are modelul cel mai bine reglat. Pentru actori de amenințare, testul este dacă AI‑ul lor poate depana iterativ, să citească jurnalele de erori și să se redirecționeze corespunzător când un exploit eșuează. Pentru apărători, testul este dacă detectorii dumneavoastră sunt cu adevărat reglați și dacă conductele de date sunt conectate corect pentru a furniza AI‑ului telemetria potrivită în timp real. Dar, mai important, depinde de existența experților umani cu context de business în buclă pentru a lua decizii critice, cum ar fi să citească interpretarea AI‑ului asupra unui incident și să decidă dacă se izolează o mașină compromisă sau se scoate un sistem de producție offline pentru a conține o amenințare.

În final, AI nu schimbă fundamentele securității. Afacerile care vor avea cele mai bune rezultate sunt cele care continuă să facă corect lucrurile mici. Totul se rezumă la reducerea suprafeței de atac, aplicarea patch‑urilor pentru vulnerabilități, consolidarea configurațiilor, monitorizarea 24/7, presupunerea compromiterii și testarea proactivă regulată a apărării. AI este doar un accelerator. Cel care execută bazele mai repede și mai constant este cel care câștigă.

Vă mulțumim pentru interviul excelent, cititorii care doresc să afle mai multe ar trebui să viziteze Huntress.