Mike Wiacek, grundare och CTO på Stairwell – Intervjuserie

Mike Wiacek är CTO och grundare av Stairwell. Han är passionerad om säkerhet och bygger ett team med en kultur som bygger på samarbete, ärlighet och en dedikation till att hjälpa kunder att överlista angripare. Innan han grundade Stairwell var Mike medgrundare och Chief Security Officer på Alphabets Chronicle och grundade också Googles Threat Analysis Group.

Stairwell är ett cybersäkerhetsföretag som hjälper organisationer att upptäcka och svara på hot med hjälp av en dataförst-approach. Dess plattform samlar kontinuerligt in och analyserar filer över tid, vilket möjliggör realtidsövervakning, retrospektiv hotjakt och AI-drivna insikter. Med avancerad statisk och beteendeanalys utrustar Stairwell säkerhetsteam med möjlighet att identifiera noll-dag-hot och fatta informerade beslut snabbare.

Du grundade Stairwell efter att ha lett säkerhetsinsatser på Google (GOOGL ) TAG och Chronicle. Vilken lucka såg du i cybersäkerhetslandskapet som övertygade dig om att det var dags att bygga något nytt?

Efter att ha lett säkerhet på Google TAG och byggt Chronicle, såg jag samma trasiga mönster spelas ut överallt: hot-intelligensteam arbetade före angreppet, SOCs under och IR-team efteråt, alla försökte besvara samma grundläggande fråga med olika verktyg, olika data och helt olika tankesätt. Ingen kontinuitet. Inga delade sanningar. Det var inte idén som var fel – det var genomförandet.

Större delen av branschen bygger på loggar. Men loggar är specialtillverkade mätningar. De är tolkningar. Observationer. De är sköra och byggda för att besvara gårdagens frågor. Om loggen inte fångade det, är du utan tur. Och värre ändå, log-volymtillväxt är kostsam och ohållbar.

Företag glömmer bort sin viktigaste tillgång – de råa filerna. De körbara filerna, skripten, DLL: erna, det är där sanningen bor. Filer ljuger inte. De förändras inte beroende på vem som observerar dem. Och om du har de råa artefakterna, kan du göra något som inget loggbaserat verktyg någonsin kunde: matcha likhet, upptäcka varianter, upptäcka relationer och besvara varje fråga över all tid.

Så jag byggde Stairwell för att förena allt detta. En plattform. En källa till sanning. Kontinuerlig analys av vad som faktiskt körs i din miljö – inte bara vad som loggas om det. När varje team arbetar från samma bevis, blir de alla bättre. Snabbare triage. Smartare upptäckt. Djupare utredningar. Det är så vi slutar kämpa mot gårdagens intrång och börjar komma före nästa.

Stairwell syftar till att ge försvarare förmågan att tänka som angripare. Hur möjliggör din plattform detta praktiskt, och vilka typer av organisationer har störst nytta av den här metoden?

Angripare väntar inte på varningar. De opererar inte i silos. De bryr sig inte om din loggbevarandeprincip, riskaptit eller budgetära problem.

De lär sig dina verktyg, undviker dina kontroller och kedjar samman filer, infrastruktur och timing för att tyst nå sitt mål. Försvarare behöver göra detsamma – tänka i relationer, inte varningar. Det är den mentalitet Stairwell ger dig.

Praktiskt sett börjar detta med insikt i allt som körs. Vi samlar in och bevarar råa artefakter – körbara filer, skript, laddare, nyttolaster – och analyserar dem kontinuerligt. Inte bara när de först ses. För alltid. Det betyder att du kan jaga som en motståndare: hitta en borttappad fil, pivota till dess varianter, identifiera laddaren, spåra den till återanvändning av infrastruktur och avslöja varje skede i kampanjen.

Du behöver inte omvända konstruera varje prov. Stairwell automatiserar det. Du behöver inte gissa vad en fil gör. Stairwells Intelligent Analys berättar för dig. Du behöver inte undra vad som ser ut som det. Stairwells Variantupptäckt visar dig.

Vem har nytta? Alla som är trötta på att flyga blind.

Om du är ett högt värderat mål – kritisk infrastruktur, finans, försvar – kan du inte ha någon gissning. Om du är ett litet team, förvandlar Stairwell dig till en kraftmultiplikator. Om du drunknar i varningar, hjälper vi dig att skära igenom bruset och köra varje varning till marken.

Slutresultat: angripare tänker i relationer. Nu kan försvarare också – med en fågelperspektiv på allt, alltid.

Din bakgrund omfattar arbete på NSA, Google och Chronicle. Hur har dessa erfarenheter format din förståelse för nationella och bestående hot, särskilt i förhållande till att skydda kritisk infrastruktur?

Jag tänker på säkerhet som ett data-sökproblem. Låt oss samla in, lagra och analysera så mycket data som möjligt och hitta svar på frågor inom den datan. Den saknade biten av data för de flesta organisationer är deras faktiska filer. Dina filer är din viktigaste tillgång. Säkerhetsteam på företag kan inte besvara den mest grundläggande frågan – Finns någon av vår hot-intelligens på VD: s laptop? Stairwell låter dig veta omedelbart och kontinuerligt därefter.

Stairwell hanterar över 8 miljarder filobservationer med hjälp av Google Cloud Bigtable. Vilka var de största tekniska utmaningarna när du byggde ett hotanalys-system som fungerar i den här skalan?

En av de saker vi är mest stolta över är att vi har hittat en teknisk lösning för att effektivt samla in, lagra och analysera varje körbar fil i ett företag. Vi analyserar kontinuerligt dessa filer mot vår malware-samling, YARA-regler, hotrapporter. Varje ny fil undersöks – inom sekunder. Intressant nog är processen så lätt att kunder ofta frågar om filerna samlas in. När vi visar dem att det fungerar är de ofta förvånade över hur lite CPU det upptar.

Du har sagt att du vill att Stairwell ska göra för cybersäkerhet vad Google gjorde för sökning. Vad betyder det i termer av användarupplevelse och produktinriktning?

Vi är i princip en sökmotor för dina körbara filer och relaterade filer. Vi låter säkerhetsteam besvara frågor om sina filer. Frågor som – är den här filen malware? Finns det några varianter av den här filen någonstans i våra system? Vilka slutpunkter har den här malware? Är den här nyligen identifierade sårbara filen på någon av våra enheter? Är den här filen vanlig? Har den vanliga syskon någon annanstans? Var är den? Och NÄR anlände den?

En av Stairwells kärnstyrkor är dess förmåga att bedriva proaktiv och retrospektiv hotjakt – vilket innebär att den kan upptäcka aktiva hot och avslöja tidigare attacker som kanske inte upptäcktes. Hur skiljer sig den här metoden från traditionella säkerhetsverktyg som SIEM (Security Information and Event Management-system) eller EDR (Endpoint Detection and Response-plattformar), som ofta fokuserar på realtidsvarningar?

Traditionella verktyg som SIEM och EDR är byggda för NU. De fokuserar på realtidsvarningar och punkt-i-tiden-identifieringar. Användbara i ögonblicket, men blinda för allt som inte utlöste en regel eller som smet förbi när ingen tittade.

Stairwell fungerar annorlunda. Vi frågar inte bara vad som HÄNDE. Vi frågar vad som HAR NÅGONSIN varit i din miljö.

Vi bevarar och analyserar kontinuerligt råa filer – varje körbar fil, varje skript – över all tid. Så även om något raderades, bytte namn, omförpackades eller var inaktivt, kan du fortfarande hitta det. Fortfarande analysera det. Och fortfarande köra det till marken.

Det betyder att du kan jaga proaktivt FÖRE varningen. Och retrospektivt EFTER intrången – även månader senare, med full kontext och full historia. Försök att göra det med en SIEM som åldrades ut sina loggar eller en EDR som bara ser vad som körs just nu.

Stairwell ger dig möjligheten att fråga: HAR DETTA NÅGONSIN varit i vår miljö? Och få ett riktigt svar, inte bara “inte nyligen” eller “vi kan inte säga”. Det är skillnaden.

Med ökande intresse från federala organisationer för AI och hot-detektering, hur ser du att Stairwells AI-modeller bidrar till försvaret på nationell nivå?

Federala försvarare behöver inte fler instrumentpaneler. De behöver snabbare svar, tydligare avsikt och verktyg som håller jämna steg med motståndare som itererar snabbare än den statliga upphandlingscykeln.

Stairwells tillvägagångssätt för AI är inte bara påskruvat klassificerare. Det är byggt på en djup grund av miljarder realvärldens artefakter, global filprevalens, variantlinje och år av hotbeteende. Vi kombinerar statisk och beteendefunktionsextrahering med strukturerad LLM-promptning för att förklara VARFÖR något är viktigt – inte bara flagga att det kanske är.

Det betyder att vi kan ge nationella försvarare vad de sällan får:

• Omedelbar omvänd ingenjör-nivåinsikt i misstänkta filer… alla av dem. Vi tvingar angripare in i en förlorarförlust-situation: Antingen vara identiska med “godkända”, eller vara unika och bli fångade. Det finns inget mittläge, och vi utnyttjar det.
• Sammanhangsrika svar om avsikt, funktionalitet och relationer
• Variant-medveten upptäckt som inte bryts när angripare omförpackar eller byter namn på sin malware. I själva verket, ju mer angripare packar, desto mer sticker de ut!

AI används hastigt av leverantörer för att automatisera vad som alltid har gjorts. Vi använder AI för att lösa problem på det sätt som de borde ha lösats från början, men vi hade aldrig tekniken för att åstadkomma.

Vi tänker redan som motståndare. Våra modeller är tränade för att dissekera, attribuera och pivota. Det är exakt vad federala byråer behöver – inte bara fler varningar, utan förmågan att FÖRSTÅ och svara innan nästa kampanj träffar.

Säkerhetsteam är ofta överväldigade av varningar och falska positiva. Hur hjälper Stairwell till att minska det bruset samtidigt som de viktigaste hoten fortfarande identifieras?

Stairwell hjälper säkerhetsteam att operationalisera sin hot-intelligens. En av de svåraste delarna av säkerhet är att ta reda på vilka slutpunkter som har smittats med malware. Stairwell identifierar dessa enheter på sekunder. Stairwells Intelligent Analys gör fil-triage trivialt. Medan vår Run-to-Ground-funktion använder förekomsten av filer inom ditt företag och över alla företag för att göra riktad malware nästan omöjlig att operera.

Angripare använder alltmer AI för att skapa mer undvikande och ständigt utvecklande hot. Hur hjälper Stairwell försvarare att hålla jämna steg med den här förändringen i offensiva tekniker?

I en värld där AI kan användas för att enkelt skapa “noll-dag”-malware som ingen har sett förut, testas säkerhetsmetoder. Traditionella verktyg som EDR, som använder signaturer och beteendesignaturer, är blinda för ny malware. Stairwell analyserar vad filen är skriven för att göra. Stairwell är väl positionerad för att hitta aldrig tidigare sedd malware skapad av AI eftersom den använder filanalys och data-sök-tekniker för att undersöka.

Vad är den vanligaste missuppfattningen säkerhetsledare har om sin hot-postur – och hur hjälper Stairwell till att stänga den luckan?

Världen har accepterat att EDR är perfekta. Verkligheten är att de ger en falsk känsla av säkerhet. Tyvärr måste EDR uppdateras varje dag och de analyserar inte filerna på varje enhet varje dag. Stairwell är nästa generations säkerhet med hjälp av signalintelligens, inklusive ditt företags filer, för att bringa en data-sök-approach till säkerhet för att undersöka malware på sekunder.

Slutligen, hur definierar du framgång – inte bara i affärstermer, utan i termer av påverkan på försvarare och cybersäkerhetsgemenskapen som helhet?

Framgång kan vara många saker, men det finns inget bättre än att få ett samtal från en kund som säger att Stairwell hittade en bit malware på en enhet eller USB som EDR eller andra säkerhetsverktyg missade och förhindrade att malware överfördes till ett annat system.

Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka Stairwell.