Keith Stewart, Fondator și CEO al Humanix – Seria de interviuri

Keith Stewart, Fondator și CEO al Humanix, este un veteran în domeniul securității cibernetice, cu peste 25 de ani de experiență în managementul produselor, inginerie, dezvoltare de afaceri și conducere executivă în unele dintre cele mai recunoscute companii din industrie, inclusiv Cisco, Brocade, Riverbed și vArmour. Înainte de a fonda Humanix în 2023, el a ocupat funcția de CEO interimar și SVP de produse și inginerie la vArmour, unde a ajutat compania să traverseze procesul de achiziție și trecerea la un model de afaceri bazat pe SaaS. Pe parcursul carierei sale, Stewart a condus echipe globale, a inițiat proiecte majore de securitate cibernetică, a participat la activități de strângere de fonduri și fuziuni și achiziții, și a jucat un rol cheie în dezvoltarea tehnologiilor de securitate de ultimă generație. Experiența sa vastă în securitatea întreprinderilor și înțelegerea profundă a modului în care atacatorii exploatează comportamentul uman l-au determinat să înființeze Humanix, cu misiunea de a proteja oamenii de atacurile de inginerie socială din ce în ce mai sofisticate.

Humanix este o companie de securitate cibernetică care pionierază ceea ce numește Detectare și Răspuns la Amenințări Umane (HTDR), o nouă categorie axată pe protejarea “stratului uman” al securității întreprinderilor. În loc să se concentreze exclusiv pe puncte de acces, rețele și infrastructură, Humanix utilizează inteligența artificială conversațională antrenată pe psihologia umană și modele de atacuri cibernetice pentru a detecta manipularea, înșelăciunea, impersonarea și alte tactici de inginerie socială prin intermediul interacțiunilor vocale, chat, e-mail, video și servicii de asistență. Platforma este proiectată pentru a identifica atacurile în timp real, ajutând organizațiile să prevină încălcarea securității înainte ca atacatorii să exploateze angajații, contractori sau clienții. Abordarea Humanix reflectă o recunoaștere în creștere a faptului că majoritatea atacurilor cibernetice de succes vizează oamenii, nu sistemele, și compania își propune să ofere echipelor de securitate același nivel de vizibilitate și capacități de răspuns pentru amenințările care vizează oamenii, pe care le au deja pentru amenințările cibernetice tradiționale.

Ați condus transformări majore în cadrul unor companii precum vArmour, inclusiv tranziții SaaS, extinderea echipelor de ingineri și navigarea unei achiziții. Ce anume a determinat decizia de a fonda Humanix, și de ce v-ați concentrat atât de mult pe securizarea oamenilor, și nu a sistemelor?

Cea mai mare provocare în orice postură de securitate a unei organizații este riscul uman. Oamenii sunt atât cea mai puternică resursă defensivă, cât și cea mai mare zonă de vulnerabilitate persistentă. Însă această problemă a fost continuu neglijată. Răspunsul industriei a fost reprezentat de training — încercând, în esență, să transforme angajații obișnuiți în experți în securitate cibernetică într-o sesiune de o oră. Știm că nu funcționează, dar nu am avut soluții mai bune.

Două lucruri s-au schimbat recent, unul în rău și unul în bine. Mai întâi, cel rău: inteligența artificială face ca atacurile care vizează direct oamenii să fie mult mai accesibile. Acum poți fi un adolescent de cealaltă parte a lumii, să nu vorbești o vorbă de engleză, să nu știi nimic despre o anumită afacere și, brusc, un model de limbaj mare îți permite să știi aproape orice și să sune ca oricine. Acest lucru creează un pericol real și iminent.

În al doilea rând, o schimbare în bine: acum avem tehnologia pentru a detecta aceste atacuri. Modelele de limbaj mare sunt foarte bune la înțelegerea nuanțelor și complexității interacțiunilor umane. Cu inteligența artificială conversațională, putem identifica modele în aceste interacțiuni și răspunde în timp real.

Nu mai trebuie să ne bazăm doar pe strategii învechite, axate pe training. Pentru prima dată, avem o modalitate de a rezolva direct problema vulnerabilității umane. De aceea am construit Humanix.

Lucrul dvs. s-a axat de mult timp pe date la scară largă, analize comportamentale și modele de securitate bazate pe grafuri. Cum au influențat aceste experiențe abordarea Humanix de detectare a atacurilor care nu semănă cu încălcări tradiționale?

La suprafață, detectarea atacurilor de inginerie socială interactivă pare descurajantă. Fiecare persoană este diferită. Limbajul natural este extrem de dimensional. Modelele comportamentale clasice bazate pe învățarea automată nu înțeleg contextul și, astfel, deseori dau greș.

Însă, atunci când ne uităm mai profund, putem vedea că această clasă de atacuri are modele, la fel ca orice altă clasă de atacuri. În loc de suprascrieri de buffer sau zero-day, atacatorii exploatează lacunele în procesele de afaceri și încrederea umană. Atacatorii au cărți de joc pe care le rulează consecvent împotriva organizațiilor, ceea ce înseamnă că ar trebui să putem detecta și răspunde la aceste atacuri, la fel cum o facem pentru puncte de acces, rețele, cloud sau identitate.

Această înțelegere ne permite să combinăm modele de detectare și răspuns clasice, pe care le știm că sunt eficiente, inclusiv analiza comportamentală și teoria grafurilor, cu capacitățile de raționament semantic ale modelelor de limbaj. Humanix utilizează această combinație pentru a înțelege entități, relații, comportament, risc și interacțiunea în sine. Acesta este modul în care creăm o nouă clasă de produse de detectare și răspuns: Detectare și Răspuns la Amenințări Umane.

Grupuri emergente, cum ar fi BlackFile, folosesc phishing vocal și inginerie socială în timp real, în loc de tactici grele de malware. Ce ne spune această schimbare despre modul în care se schimbă peisajul amenințărilor?

BlackFile face parte dintr-o schimbare mai largă către atacuri care nu se axează pe introducerea de malware într-un mediu, ci mai degrabă pe utilizarea limbajului natural pentru a determina o persoană să deschidă ușa.

Aceste grupuri au descoperit că un apel telefonic convingător, un pretext plauzibil și cantitatea potrivită de urgență pot fi la fel de eficiente ca o exploatare tehnică și, adesea, mai greu de detectat de către echipele de securitate. Suprafața de atac nu s-a schimbat atât de mult pe cât s-a schimbat focalizarea atacatorilor. Oamenii au fost întotdeauna parte a suprafeței de atac. Ce s-a schimbat este scala, maturitatea și reproductibilitatea cărții de joc.

Ingineria socială este copiată, rafinată și industrializată pentru că funcționează. Ea profită de modul în care funcționează afacerile, în special în fluxurile de lucru în care oamenii sunt așteptați să ajute rapid, să rezolve excepții și să mențină lucrurile în mișcare.

Atacatorii se deghizează în echipe de asistență IT și exploatează direct angajații pentru a obține acces. De ce tehnici precum vishing și manipularea asistenței devin puncte de intrare primare atât de eficiente?

Tehnicile precum vishing și manipularea asistenței sunt atât de eficiente pentru că exploatează combinația de încredere, urgență și acces găsită în multe fluxuri de lucru de suport și administrative.

Dacă vreau să intru în mediul dvs., pot petrece săptămâni căutând o exploatare tehnică. Sau pot suna pe cineva care este instruit să ajute, să creez o poveste credibilă și să-l determin să facă ceea ce am nevoie, indiferent dacă este vorba despre resetarea unei parole, înregistrarea unui nou factor de autentificare, modificarea unei permisiuni sau aprobarea unei solicitări.

Persona de la celălalt capăt al apelului este adesea încercând să rezolve o problemă care pare reală, sub presiunea timpului, cu informații incomplete. Acesta este exact ceea ce face asistența atât de atractivă ca țintă. Este unul dintre puținele locuri în care o conversație poate deveni direct în acces. Odată ce accesul este acordat, restul poate avea loc foarte repede.

Industria a investit masiv în trainingul angajaților, însă încălcările care vizează oamenii continuă să crească. Unde se situează trainingul de conștientizare a securității în ceea ce privește eficacitatea?

Trainingul de conștientizare a securității a fost tratat ca principala apărare împotriva ingineriei sociale, chiar dacă rezultatele arată clar limitele sale. Organizațiile continuă să investească masiv în training, însă atacatorii continuă să reușească pentru că vizează oameni în interacțiuni live, nu pentru a testa dacă angajații își amintesc materialul de la un curs.

Un atac de inginerie socială nu este un test. Este o persoană de la celălalt capăt al apelului sau al unui chat care creează urgență, construiește încredere și încearcă să determine pe cineva să ia o acțiune pe care nu ar trebui să o ia. Modelul actual se prăbușește pentru că se așteaptă ca angajatul să recunoască și să oprească atacul în timp ce atacatorul manipulează activ interacțiunea.

Când ceva merge prost, răspunsul este adesea să învinovățească angajatul și să aloce mai mult training. Însă angajatul încerca, de obicei, să ajute, ceea ce este exact ceea ce afacerea îi cere să facă în fiecare zi. Trebuie să încetăm a trata ingineria socială ca pe o problemă de conștientizare a securității. Este o clasă de atacuri, și ar trebui să detectăm și să răspundem la ea în timp ce interacțiunea are loc.

Humanix se poziționează în jurul detectării atacurilor asupra oamenilor în timp real. Ce înseamnă observabilitatea riscului uman în practică?

Observabilitatea riscului uman înseamnă a oferi echipelor de securitate vizibilitate în interacțiunile live în care atacatorii încearcă să manipuleze oamenii pentru a schimba accesul, a ocoli o procedură necesară sau a lua o altă acțiune nesigură în numele atacatorului.

Astăzi, aceste interacțiuni sunt efectiv invizibile pentru securitate. Cineva sună la asistență, deschide un bilet sau începe un chat. O parolă este resetată, un factor de autentificare este înregistrat, o permisiune este modificată sau o excepție este aprobată. Acestea sunt fluxuri de lucru extrem de sensibile, însă echipele de securitate nu au vizibilitate și observabilitate.

Humanix schimbă acest lucru. Ne conectăm la sistemele de comunicare ale întreprinderii deja în uz — Microsoft 365, ServiceNow , Zoom, Slack și multe altele. Humanix monitorizează acțiunile și interacțiunile pe aceste canale și le compară cu tactici de atac și proceduri corporative.

A fost apelantul corect verificat? A reușit să ocolească verificarea? A existat urgență, impersonare sau presiune pentru a ocoli o etapă necesară? A fost agentul pe punctul de a lua o acțiune cu risc ridicat? Cum a fost schimbat profilul de risc pe măsură ce apelul a progresat? Humanix oferă detectare și răspuns de securitate în timp ce interacțiunea are loc și informează echipa de securitate dacă ceva pare suspect.

Scopul final al acestei analize nu este de a pedepsi victimele după faptă. Este de a le proteja în momentul respectiv. Dacă o conversație devine un atac, echipa de securitate trebuie să știe.

Pe măsură ce tehnologiile de voce generate de inteligență artificială și deepfake se îmbunătățesc, cât de aproape suntem de a face ca încrederea umană să devină cea mai slabă suprafață de atac?

Increderea umană a fost una dintre cele mai slabe suprafețe de atac de mult timp. Inteligența artificială face ca atacurile care vizează încrederea să fie mai ușor de creat, personalizat și escaladat.

Însă, trebuie să fim atenți să nu exagerăm în ceea ce privește cazul specific al deepfake-urilor. Deepfake-urile sunt doar un mediu pe care atacatorii îl pot folosi pentru a manipula pe cineva. În fapt, dacă privim majoritatea atacurilor de inginerie socială de succes din ultimii ani, majoritatea nu au fost deepfake-uri — sunt pur și simplu atacatori și escroci care iau telefonul. Grupuri precum Scattered Spider, ShinyHunters și BlackFile au demonstrat că un apel telefonic normal, un pretext credibil și cantitatea potrivită de urgență sunt suficiente pentru a determina pe cineva să ia o acțiune în numele atacatorului.

Echipele de securitate trebuie să se concentreze asupra mesajului, nu asupra mediului. Cineva care este presat să încalce o politică sau să aprobe o excepție în circumstanțe suspecte — acestea sunt comportamentele cu adevărat riscante. Riscurile se află în interacțiunea în sine și în acțiunea pe care este destinată să o inducă.

Increderea nu este ceva pe care putem să o înlăturăm din afaceri. Oamenii trebuie să răspundă la apeluri, să rezolve probleme, să aprobe solicitări și să se ajute reciproc. Răspunsul nu poate fi să facem pe toată lumea mai puțin uman. Trebuie să protejăm momentele în care încrederea este exploatată.

Care ar trebui să fie rolul inteligenței artificiale în apărarea împotriva ingineriei sociale conduse de inteligență artificială, și care sunt cele mai mari provocări tehnice în detectarea manipulării în timp real?

Inteligența artificială conversațională deschide oportunitatea de a transforma ingineria socială condusă de inteligență artificială dintr-o problemă de training într-una de detectare și răspuns. Modelele de limbaj ne permit să aplicăm toate învățămintele din domenii precum puncte de acces sau rețele și să le aplicăm stratului uman. Trebuie să detectăm și să răspundem la aceste atacuri, nu să continuăm pe drumul inutil de a încerca să le antrenăm.

Există multe provocări tehnice în a face această viziune realitate. Limbajul natural este extrem de dimensional, ceea ce înseamnă că există nenumărate modalități de a transmite același înțeles. Spunând “Sunt blocat din sistem” este o declarație funcțional echivalentă cu “Am nevoie de parola mea resetată”, chiar dacă cuvintele “parolă” și “reset” nu au fost folosite.

Altă provocare este importanța contextului. Interacțiunile umane sunt contextuale și cumulative, și, prin urmare, și manipularea umană. Un apelant poate suna calm, politicos și credibil, în timp ce îl convinge pe cineva să ocolească verificarea sau să ia o acțiune nesigură. Trebuie să combinăm multiple semnale și date contextuale pentru a separa cu acuratețe interacțiunile benigne de cele maligne.

În final, fiecare organizație este diferită. Are proceduri și norme diferite, aproape toate fiind necitibile de mașini. Acesta este un alt domeniu în care inteligența artificială poate fi de mare ajutor — înțelegerea acestor politici și compararea lor cu comportamentele observate din lumea reală.

Majoritatea instrumentelor de securitate se concentrează încă pe puncte de acces, rețele și sisteme de identitate. Cum ar trebui să reconsidere CISO-ii arhitectura lor dacă principala zonă de luptă se mută către comportamentul uman?

Mai întâi, CISO-ii ar trebui să recunoască oficial ceea ce știm cu toții intuitiv: capitalul uman al unei organizații este o clasă de active (la fel ca puncte de acces, rețele sau cloud) care trebuie gestionată. Amenințările și riscurile trebuie modelate și controlate cu acuratețe.

Cadrul de securitate cibernetică NIST oferă deja îndrumări despre cum să facă acest lucru. “Identificarea” și “managementul” oamenilor fac parte din subsetul de identificare a riscurilor (ID.AM) din cadrul de identificare a riscurilor. Însă, multe organizații definesc problema riscului uman ca pe o problemă de training și o gestionează doar prin cerința de conformitate a trainingului de conștientizare a securității. Acest lucru trebuie să se schimbe.

Când tratăm capitalul uman ca pe o clasă de active în sine, acest lucru deschide calea către play-book-urile standard pe care le rulează pentru orice altă clasă de active. Care sunt riscurile cheie (ID.RA)? Cum pot să mă apăr sistematic împotriva lor (Protejează)? Care sunt sistemele și procesele noastre pentru a detecta dacă un atacator este pe punctul de a încălca aceste apărări sau, și mai rău, a și făcut-o deja (Detectează)? Cum răspunde organizația pentru a conține amenințarea și, în final, pentru a restaura serviciile (Răspunde și Recuperează)? Prin abordarea sistematică a capitalului nostru uman, la fel cum o facem pentru orice altă clasă de active, putem identifica mai clar riscurile și prioritiza mai eficient resursele pentru a gestiona aceste riscuri.

Privind înainte, așteptați-vă ca atacurile la nivel uman să devină dominante în criminalitatea cibernetică, sau vom vedea un model hibrid în care automatizarea condusă de inteligență artificială și ingineria socială se vor combina în ceva mai greu de apărat?

Va fi, probabil, un model de amenințare mixt. Avem două lucruri care se întâmplă simultan. Mai întâi, atacatorii învață să-și scaleze atacurile cu inteligență artificială, crescând accesul și reducând costul acestei clase de atac. În al doilea rând, întreprinderile însele trec printr-o transformare condusă de inteligență artificială, condusă de serviciile de afaceri care sunt atacate de BlackFile și de ceilalți.

Asistența clienților, asistența, serviciul de asistență, operațiunile financiare și fluxurile de lucru interne de suport sunt transformate de la livrare umană la livrare prin inteligență artificială. Acest lucru înseamnă că vom experimenta o explozie a suprafeței de atac de limbaj natural, în timp ce ne vom pierde simțul comun uman. Modelele de limbaj mari sunt antrenate pentru a răspunde la instrucțiuni și a fi utile. Suspiciunea umană sau “simțul” care au fost unele dintre cele mai bune apărări împotriva atacurilor de inginerie socială au fost intenționat eliminate din răspunsurile modelului.

Trecerea la servicii livrate prin inteligență artificială va crește, în cele din urmă, riscul de atacuri de inginerie socială, nu îl va reduce. Ca urmare, expunerea întreprinderilor la această clasă de atacuri va crește, probabil, în următorii ani. Oamenii și agenții sunt amândoi vulnerabili la atacurile de limbaj natural. Echipele de securitate trebuie să înceapă să planifice astăzi pentru un plan de apărare și răspuns sistematic la această nouă realitate.

Mulțumim pentru acest interviu minunat, cititorilor care doresc să afle mai multe despre Humanix.