Мајк Вијачек, оснивач и технички директор компаније Stairwell – серија интервјуа

Мајк Вијак је технички директор и оснивач компаније Stairwell. Страствено се бави безбедношћу и изградњом тимске културе засноване на сарадњи, искрености и посвећености помагању клијентима да надмудре нападаче. Пре оснивања Stairwell-а, Мајк је био суоснивач и главни службеник за безбедност компаније Alphabet's Chronicle, а такође је основао и групу за анализу претњи компаније Google.

Стубиште је компанија за сајбер безбедност која помаже организацијама да открију и одговоре на претње користећи приступ заснован на подацима. Њихова платформа континуирано прикупља и анализира датотеке током времена, омогућавајући праћење у реалном времену, ретроспективно тражење претњи и увиде засноване на вештачкој интелигенцији. Са напредном статичком и бихевиоралном анализом, Stairwell опрема безбедносне тимове да идентификују претње нултог дана и брже доносе информисане одлуке.

Ви сте основали Стубиште након што сте водили безбедносне напоре у Google TAG-у и Chronicle-у. Коју сте празнину у сајбер безбедности видели која вас је убедила да је време да изградите нешто ново?

Након што сам водио безбедност у Google TAG-у и изградио Chronicle, видео сам исти покварени образац свуда: тимови за обавештајне информације о претњама радили су пре напада, SOC-ови током напада, а IR тимови након тога, сви покушавајући да одговоре на исто фундаментално питање различитим алатима, различитим подацима и потпуно различитим начинима размишљања. Нема континуитета. Нема заједничке истине. Није ствар у томе да је идеја била погрешна - већ у томе да је имплементација била погрешна.

Већи део индустрије је изграђен око трупаца. Али трупци су мерења по мери. То су интерпретације. Запажања. Крхки су и направљени су да одговоре на јучерашња питања. Ако трупац то није обухватио, немате среће. А још горе, раст обима трупаца је скуп и неодржив.

Предузећа заборављају своју најважнију имовину – сирове датотеке. Извршне датотеке, скрипте, DLL-ови, ту живи истина. Датотеке не лажу. Оне се не мењају у зависности од тога ко их посматра. А ако имате сирове артефакте, можете да урадите нешто што ниједан алат заснован на логовима никада није могао: да упоредите сличности, детектујете варијанте, откријете везе и одговорите на свако питање током целог времена.

Тако сам изградио Стубиште да се све ово обједини. Једна платформа. Један извор истине. Континуирано анализирање онога што се заправо одвија у вашем окружењу — не само онога што се о томе бележи. Када сваки тим ради на основу истих доказа, сви постају бољи. Бржа тријажа. Паметније откривање. Дубље истраге. Тако престајемо да се боримо против јучерашњег продора и почињемо да се боримо пред следећим.

Стубиште има за циљ да браниоцима пружи могућност да размишљају као нападачи. Како ваша платформа практично омогућава ово и које врсте организација имају највише користи од тог приступа?

Нападачи не чекају упозорења. Они не делују изоловано. Није их брига за вашу политику чувања логова, склоност ка ризику или буџетске проблеме.

Они уче ваше алате, избегавају ваше контроле и повезују датотеке, инфраструктуру и време како би тихо стигли до свог циља. Браниоци треба да ураде исто – да размишљају о односима, а не о упозорењима. То је начин размишљања. Стубиште даје вам.

Практично, ово почиње увидом у све што се покреће. Прикупљамо и чувамо сирове артефакте — извршне датотеке, скрипте, програме за учитавање, корисне податке — и континуирано их анализирамо. Не само када се први пут виде. Заувек. То значи да можете да ловите као противник: пронађете изгубљену датотеку, преусмерите се на њене варијанте, идентификујете програм за учитавање, пратите је до поновне употребе инфраструктуре и откријете сваку фазу кампање.

Не морате да обрнете инжењеринг сваког узорка. Стубиште аутоматизује то. Не морате да погађате шта датотека ради. СтубиштеИнтелигентна анализа вам говори. Не морате да се питате како још изгледа. СтубиштеОткривање варијанти вам показује.

Ко има користи? Свако ко је уморан од летења на слепо.

Ако сте циљ високе вредности — критична инфраструктура, финансије, одбрана — не можете себи приуштити нагађање. Ако сте витки тим, Стубиште претвара вас у мултипликатор силе. Ако се давите у упозорењима, ми вам помажемо да се пробијете кроз буку и да свако упозорење одмах спустите на земљу.

Закључак: нападачи размишљају у односима. Сада то могу и браниоци – увек са погледом на све из птичје перспективе.

Ваше искуство укључује рад у NSA, Google-у и Chronicle-у. Како су та искуства обликовала ваше разумевање претњи националним државама и сталних претњи, посебно у вези са заштитом критичне инфраструктуре?

Размишљам о безбедности као о проблему претраживања података. Хајде да прикупимо, сачувамо и анализирамо што је више могуће података и пронађемо одговоре на питања унутар тих података. Недостајући део података за већину организација су њихове стварне датотеке. Ваше датотеке су ваша највреднија имовина. Безбедносни тимови у предузећима не могу да одговоре на најосновније питање – да ли се неки од ваших обавештајних података о претњама налазе на лаптопу вашег генералног директора? Стубиште обавештава вас одмах и континуирано након тога.

Стубиште управља са преко 8 милијарди виђења датотека користећи Google Cloud Bigtable. Које су биле највеће инжењерске препреке у изградњи система за анализу претњи који функционише у овој размери?

Једна од ствари на коју смо највише поносни јесте то што смо пронашли инжењерско решење за ефикасно прикупљање, складиштење и анализу сваке извршне датотеке у предузећу. Континуирано анализирамо ове датотеке у односу на наш корпус злонамерног софтвера, YARA правила и извештаје о претњама. Свака нова датотека се испитује – у року од неколико секунди. Занимљиво је да је процес толико једноставан да купци често траже да провере да ли се датотеке прикупљају. Када им покажемо да ради, често се изненаде колико мало процесора заузима.

Рекао си да желиш Стубиште да уради за сајбер безбедност оно што је Гугл урадио за претрагу. Шта то значи у смислу корисничког искуства и правца производа?

Ми смо ефикасно претраживач за ваше извршне датотеке и повезане датотеке. Омогућавамо безбедносним тимовима да одговоре на питања о својим датотекама. Питања попут – да ли је ова датотека злонамерни софтвер? Да ли постоје неке варијанте ове датотеке било где у нашим системима? Које крајње тачке имају овај злонамерни софтвер? Да ли је ова недавно идентификована рањива датотека на неком од наших уређаја? Да ли је ова датотека уобичајена? Да ли има заједничке сроднике негде другде? Где се налази? И КАДА је стигла?

Један од СтубиштеГлавне предности овог система су његова способност да спроводи проактивно и ретроспективно лов на претње — што значи да може да детектује активне претње и да открије прошле нападе који су можда прошли незапажено. По чему се овај приступ разликује од традиционалних безбедносних алата као што су SIEM (системи за управљање безбедносним информацијама и догађајима) или EDR (платформе за детекцију и одговор на крајње тачке), који се често фокусирају на упозорења у реалном времену?

Традиционални алати попут SIEM-ова и EDR-ова су за сада направљени. Фокусирају се на упозорења у реалном времену и детекције у одређеном тренутку. Корисни су у тренутку, али не препознају ништа што није покренуло правило или што је промакло када нико није гледао.

Стубиште функционише другачије. Не питамо само шта се догодило. Питамо шта је икада било у вашем окружењу.

Чувамо и континуирано анализирамо сирове датотеке — сваку извршну датотеку, сваку скрипту — током целог времена. Дакле, чак и ако је нешто обрисано, преименовано, поново упаковано или неактивно, и даље можете да га пронађете. И даље га анализирате. И даље га баците на нулу.

То значи да можете проактивно да тражите пре упозорења. И ретроспективно након пробоја — чак и месецима касније, са пуним контекстом и комплетном историјом. Покушајте то да урадите са SIEM-ом који је застарео своје логове или EDR-ом који види само оно што се тренутно покреће.

Стубиште даје вам моћ да питате: „Да ли се ово икада десило у нашем окружењу?“ И добијете прави одговор, а не само „не недавно“ или „не можемо рећи“. То је разлика.

Са све већим интересовањем федералних организација за вештачку интелигенцију и откривање претњи, како видите СтубиштеДопринос модела вештачке интелигенције одбрани на националном нивоу?

Федералним браниоцима није потребно више контролних табли. Потребни су им бржи одговори, јаснија намера и алати који прате противнике који понављају брже од циклуса владиних набавки.

СтубиштеПриступ вештачкој интелигенцији није само уграђени класификатори. Изграђен је на дубокој основи милијарди артефаката из стварног света, глобалне распрострањености датотека, порекла варијанти и година понашања претњи. Комбинујемо екстракцију статичких и бихевиоралних карактеристика са структурираним подстицајима LLM-а како бисмо објаснили зашто је нешто важно — не само да бисмо означили да би могло бити.

То значи да можемо дати браниоцима на националном нивоу оно што ретко добијају:

• Тренутни увид у сумњиве датотеке на нивоу обрнутог инжењеринга... све њих. Присиљавамо нападаче на сценарио у којем сви губе: Или будите идентични са „goodware-ом“, или будите јединствени и будите ухваћени. Не постоји средње решење, и ми то искоришћавамо.
• Одговори богати контекстом о намери, функционалности и односима
• Детекција која препознаје варијанте не прекида се када противници препакују или преименују свој злонамерни софтвер. У ствари, што више противници пакују, то се више истичу!

Продавци брзо користе вештачку интелигенцију да би аутоматизовали оно што се одувек радило. Користимо вештачку интелигенцију да бисмо решили проблеме на начин на који је требало да буду решени од самог почетка, али никада нисмо имали технологију да то постигнемо.

Већ размишљамо као противник. Наши модели су обучени да анализирају, приписују и окрећу. То је управо оно што је федералним агенцијама потребно - не само више упозорења, већ способност да разумеју и реагују пре него што следећа кампања удари.

Безбедносни тимови су често преоптерећени упозорењима и лажно позитивним резултатима. Како Стубиште помоћи у смањењу те буке, а истовремено истаћи најкритичније претње?

Стубиште помаже безбедносним тимовима да операционализују своје обавештајне податке о претњама. Један од најтежих делова безбедности је откривање које су крајње тачке заражене злонамерним софтвером. Стубиште идентификује те уређаје за неколико секунди. Стубиште Интелигентна анализа, наша функција заснована на вештачкој интелигенцији, чини тријажу датотека једноставним. Док наша могућност „Run-to-Ground“ користи распрострањеност датотека унутар вашег предузећа и у свим предузећима како би циљани злонамерни софтвер учинила готово немогућим за рад.

Нападачи све више користе вештачку интелигенцију како би створили избегавајуће и стално еволуирајуће претње. Како је Стубиште помагање одбрамбеним лицима да прате ову промену у офанзивним техникама?

У свету где се вештачка интелигенција може користити за лако креирање „нултог дана“ малвера који нико никада раније није видео, тестирају се безбедносни приступи. Традиционални алати попут EDR-ова, који користе потписе и приступе бихевиоралном потпису, не препознају нови малвер. Стубиште анализира за шта је датотека написана. Стубиште је у доброј позицији да пронађе никада раније виђени злонамерни софтвер који је креирала вештачка интелигенција јер користи технике анализе датотека и претраживања података за истраживање.

Која је најчешћа заблуда коју имају лидери безбедности о свом стању претњи – и како то функционише? Стубиште помоћи у затварању те празнине?

Свет је прихватио идеју да су EDR-ови савршени. Реалност је да они пружају лажни осећај сигурности. Нажалост, EDR-ови се ослањају на бихевиоралне потписе и морају се ажурирати сваког дана. Њихова слабост је што не анализирају датотеке на сваком уређају, сваког дана. Стубиште је следећа генерација безбедности која користи сигналну интелигенцију, укључујући датотеке вашег предузећа, како би се приступ претраживању података донео у безбедност и истражио злонамерни софтвер за неколико секунди.

Коначно, како дефинишете успех – не само у пословном смислу, већ и у смислу утицаја на браниоце и заједницу сајбер безбедности у целини?

Успех може бити много ствари, али нема ништа боље од позива од муштерије која каже да Стубиште пронашао је део злонамерног софтвера на уређају или УСБ-у који је EDR или други безбедносни алати пропустили и спречили пренос злонамерног софтвера на други систем.

Хвала вам на одличном интервјуу, читаоци који желе да сазнају више треба да посете Стубиште.