Rob Gurzeev, VD och medgrundare av CyCognito – Intervju-serie

Rob Gurzeev, VD och medgrundare av CyCognito, har lett utvecklingen av offensiva säkerhetslösningar för både den privata sektorn och underrättelsetjänster.

Innan han grundade CyCognito var han chef för offensiv säkerhet och chef för FoU på C4 Security (förvärvad av Elbit Systems (ESLT )) och CTO för produktavdelningen på den israeliska underrättelsetjänsten 8200. Utmärkelser han fick som officer i Israels försvarsmakt inkluderade utmärkelsen för utmärkt prestation, priset för kreativt tänkande och livskällans pris.

CyCognito grundades av veteraner från nationella underrättelsetjänster som förstår hur angripare utnyttjar blind fläckar och anslöt sig till erfarna chefer från några av de mest pålitliga cybersäkerhetsföretagen.

Vad var det som initialt drog dig till cybersäkerhet?

Jag blev först intresserad av teknologi när jag var runt 13 eller 14 år gammal. Jag började umgås i IRC-kanaler med människor som var nyfikna på teknologi och vad som då kallades “hacking”.

Människor på den tiden experimenterade med alla möjliga intressanta saker som kryptografi i meddelandeappar. De experimenterade också med fildelning. Barn skämtade med sina vänner genom att skicka en exekverbar fil som skulle utlösa en rolig åtgärd av något slag. Om man tänker på det var detta grunden för vad vi idag kallar “sociala ingenjörsattacker”.

Allt detta fick mig att tänka: vad händer om en person med dåliga avsikter får tag på denna teknik för skadliga syften?

Dessa tidiga upplevelser är vad som startade min karriär inom säkerhet. Jag hamnade så småningom i den israeliska underrättelsetjänsten 8200 och gjorde spaningsarbete, och senare var med och grundade CyCognito.

Kan du dela med dig av historien bakom CyCognito?

CyCognito grundades med insikt om att angripare alltid är före försvararna. De är smarta, outtröttliga och söker alltid den lättaste vägen. Och medan alla angripare bara behöver en svag punkt för att bryta igenom, måste säkerhetsteamen skydda varje möjlig ingångspunkt i en alltmer växande och föränderlig angreppsyta. Det är en rätt stor utmaning.

För att förvärra problemet har de flesta organisationer potentiella ingångspunkter som inte syns av säkerhetsteamen men som lätt kan upptäckas av hotaktörer.

En dag satte jag mig ner med min medgrundare, Dima Potekhin, och vi satte oss för att förändra paradigm där istället för att distribuera agenter eller instruera en portscanner att skanna ett fåtal kända IP-intervall, vi skulle skapa en lösning som fungerade som en världsklassangripare, det vill säga den skulle börja med att veta bara ett företags namn och sedan identifiera de tillgångar som var mest utsatta och de mest lockande öppna vägarna.

Vi ville simulera en angripares offensiva operation, från första steget, där angriparen bara känner till målföretagets namn och målet är att få tillgång till känsliga data.

Så, 2017, tog vi vår erfarenhet från nationella underrättelsetjänster och började göra detta med uppdraget att hjälpa organisationer förhindra dataintrång genom att kontinuerligt kartlägga deras externa exponeringsblindfläckar och hitta de lättaste vägarna in i deras interna nätverk. Detta krävde att vi utnyttjade inte bara avancerad offensiv cyberkunskap, utan också modern teknik som fortfarande är ganska sällsynt i vår bransch, som Bayesianska maskinlärningsmodeller, LLM, NLP och grafdatamodeller.

Idag hjälper vi nya och stora Global 100-företag att skydda sina angreppsytor från växande hot. Några av våra kunder inkluderar Colgate-Palmolive (CL ), delstaten Kalifornien, Berlitz, Hitachi, Tesco, för att nämna några.

Vad är External Attack Surface Management?

Den läroboksmässiga definitionen av External Attack Surface Management (EASM) hänvisar till processer och tekniker som används för att identifiera, bedöma och hantera exponeringen av en organisations digitala tillgångar som är tillgängliga eller synliga från internet.

Externa angreppsytor är omfattande och komplexa. En enda organisation kan ha hundratals och tusentals system, applikationer, molninstanser, leverantörskedjor, IoT-enheter och data som exponeras för internet – ofta spridda över dotterbolag, flera moln och tillgångar som hanteras av tredje parter.

Säkerhetsteamen har begränsad förmåga att upptäcka dessa tillgångar. De är överbelastade med tusentals larm, men de har inte sammanhanget för att veta vilka som är kritiska och vilka som ska prioriteras.

Att isolera de verkligt kritiska frågorna först kräver synlighet över angreppsytan, men ännu viktigare, det kräver en grundlig förståelse av sammanhanget och syftet med de påverkade tillgångarna. När det är etablerat kan säkerhetsteamen beräkna angreppsvägar och förutsäga vilka specifika hot som är viktiga – de som sannolikt kommer att orsaka allvarlig monetär eller ryktesmässig skada för företaget. Då kan organisationen prioritera korrekt och åtgärda för maximal effekt.

Kan du dela med dig av dina synsätt på vikten av att tänka som en angripare för att upptäcka okända risker?

Enligt Verizon DBIR 82% av attackerna kommer utifrån. Dessutom är de flesta dataintrång enligt Gartner relaterade till okända och ohanterade tillgångar.

Detta är exakt varför antagandet av en utifrån-in-approach för att utvärdera angreppsytan är avgörande för att bedöma och hantera cybersäkerhetsrisker. Att kliva in i angriparens skor ger en objektiv vy av kronjuvelerna som bor inom systemen och, viktigare, vilka som är exponerade och sårbara.

Som jag nämnde tidigare är angreppsytor alltid växande och komplexa. De flesta säkerhetsteamen saknar fullständig synlighet i exponerade och sårbara tillgångar. Angripare vet detta! Och de kommer obevekligt att utforska angreppsytan, leta efter den lättaste vägen och den ena luckan som säkerhetsteamen inte övervakar. Tyvärr behöver de bara en säkerhetslucka för att bryta in. Samtidigt har säkerhetsteamen den svåra uppgiften att identifiera exponeringarna som gör deras organisationer mest sårbara och sedan vidta åtgärder för att skydda dessa ingångspunkter.

Hur ofta identifierar du hot som beror på externa applikationer och API:er som inte övervakas eller testas?

Mer ofta än vi skulle vilja. Vi genomförde nyligen forskning som visade sårbara offentliga molnapplikationer, mobil- och webbapplikationer som exponerar känsliga data, inklusive oskyddade API:er och personligt identifierbar information (PII). Här är några av de viktigaste resultaten:

• 74 procent av tillgångarna med PII är sårbara för minst en känd stor exploatering, och en av tio har minst en lättexploaterbar fråga.
• 70 procent av webbapplikationerna har allvarliga säkerhetshål, som saknar WAF-skydd eller en krypterad anslutning som HTTPS, medan 25 procent av alla webbapplikationer (webbapplikationer) saknade båda.
• Den typiska globala företaget har över 12 000 webbapplikationer, som inkluderar API:er, SaaS-applikationer, servrar och databaser, bland annat. Minst 30 procent av dessa webbapplikationer – över 3 000 tillgångar – har minst en exploaterbar eller högriskvulnerabilitet. Hälften av dessa potentiellt sårbara webbapplikationer är värdar i molnet.
• 98 procent av webbapplikationerna är potentiellt icke-GDPR-kompatibla på grund av brist på möjlighet för användare att välja bort cookies.

Vår forskning bortsett, finns det gott om bevis för dessa hot där ute idag. MOVEit-exploateringen är ett exempel, som fortfarande pågår.

Kan du diskutera vikten av att konsolidera processer och verktyg för att testa och hantera angreppsytan?

“Stackbloat” är något som de flesta företag lider av. Det är särskilt uttalat i säkerhet. De flesta organisationer har siloade, frånkopplade säkerhetsverktyg. Det har funnits en mantra inom säkerhet som säger att fler plattformar kommer att eliminera säkerhetsluckor. Men istället öppnar det dörren för mänskliga misstag, redundanser, ökad operativ belastning och blind fläckar.

CyCognito byggdes för att göra jobbet för många äldre punktlösningar. Vi hjälper företag att konsolidera sin stack så att de kan fokusera på att göra sitt jobb.

Vilka är några sätt som illvilliga aktörer använder LLM och Generativ AI för att skala upp attacker?

Vi har ännu inte sett några storskaliga attacker som använder LLM, men det är bara en tidsfråga. Från min synvinkel har LLM potentialen att ge större skala, omfattning, räckvidd och hastighet till olika skeden av cyberattacker.

Till exempel har LLM potentialen att accelerera automatiserad spaning, där angripare kan kartlägga och upptäcka en organisations tillgångar, varumärken och tjänster, tillsammans med känslig information som exponerade autentiseringsuppgifter. LLM kan också hjälpa till vid upptäckt av sårbarheter, identifiera svagheter inom ett målnätverk och underlätta exploatering genom tekniker som phishing eller vattenhålattacker för att få tillgång och utnyttja nätverkssårbarheter. LLM kan också bidra till datastöld genom att kopiera eller exfiltrera känslig data från nätverket.

Även konsumentapplikationer baserade på LLM, mest anmärkningsvärt ChatGPT, utgör ett hot eftersom de kan användas både medvetet och omedvetet av anställda för att läcka företagshemligheter.

Spear-phishing-kampanjer ger ett annat användningsfall. Högkvalitativ phishing baseras på djup förståelse för målet; det är exakt vad stora språkmodeller kan göra ganska bra, eftersom de bearbetar stora mängder data mycket snabbt och anpassar meddelanden effektivt.

Hur kan företag i sin tur använda Generativ AI för att skydda sig?

Bra fråga. Det är den goda nyheten i allt detta. Om angripare kan använda gen AI, kan säkerhetsteamen också göra det. Gen AI kan hjälpa säkerhetsteamen att göra spaning på sina egna företag och åtgärda sårbarheter. De kan snabbare och mer kostnadseffektivt skanna och kartlägga sina egna angreppsytor för att hitta exponerade känsliga tillgångar, som personligt identifierbar information (PII), filer osv.

Gen AI kan också ge en grundlig förståelse av affärssammanhanget för varje tillgång. Till exempel kan det hjälpa till att känna igen en databas som innehåller PII och spela en roll i transaktioner som genererar intäkter. Det är extremt värdefullt.

Gen AI kan också bestämma affärssyftet med en tillgång. Till exempel kan det hjälpa till att skilja på en betalningsmekanism, en kritisk databas och en slumpmässig enhet – och klassificera dess riskprofil. Detta möjliggör i sin tur att säkerhetsteamen kan prioritera risker bättre. Utan förmågan att prioritera måste säkerhetsteamen gå igenom oändliga sårbarheter som märkts som “brådskande” när de flesta faktiskt inte är kritiska för uppdraget.

Varför bör företag vara försiktiga med att vara alltför beroende av Generativ AI för försvarsändamål?

Generativ AI har stor potential, men det finns inbyggda problem som vi måste arbeta igenom som bransch.

Den stora bilden för mig är att gen AI-modeller kan göra säkerhetsteamen självbelåtna. Förförelsen av mer automation är stor, men manuell granskning är avgörande med tanke på gen AI-modellernas tillstånd idag. Till exempel “hallucinerar” gen AI-modeller. Med andra ord producerar de felaktiga utdata.

Även gen AI-modeller (LLM, specifikt) förstår inte sammanhang eftersom de byggs på statistisk, temporalt textanalys – vilket också kan leda till ytterligare “hallucinationer” som är mycket svåra att upptäcka.

Jag förstår att säkerhetsteamen alltmer letar efter att “göra mer med mindre” – men mänsklig tillsyn kommer (och bör) alltid att vara en del av säkerhetsprocessen.

Kan du diskutera hur CyCognito erbjuder automatiserad extern angreppsytorhantering och kontinuerlig testning?

Inte för att låta som en trasig skiva, men som jag nämnde tidigare, är angreppsytor omfattande och komplexa – och de fortsätter att växa.

Vi byggde CyCognito för att kontinuerligt kartlägga en hel angreppsyta bortom den centrala kärnan för att omfatta dotterbolag, förvärv, joint ventures och varumärkesverksamhet – och attribuera var och en till dess rättmätiga ägare.

Det finns några tekniska funktioner som är värda att nämna.

I den svarta lådan angreppsytorupptäcktsprocessen använder vår plattform LLM som en av dussintals källor för “attributionshypoteser” som våra Bayesianska ML-modeller analyserar för att bestämma organisationens affärsstruktur (upp till 1000 affärsenheter och dotterbolag) och tilldela tillgångar till ägare (i skalan av miljontals IT-tillgångar) helt automatiskt.

Plattformen accelererar också tillgångsklassificering genom Natural Language Processing (NLP) och heuristiska algoritmer – en uppgift som vanligtvis är kostsam och resurskrävande.

Vi tillhandahåller också det affärssammanhang som behövs för att prioritera risker effektivt. Även om en sårbarhet påverkar tusen maskiner kan CyCognito identifiera den mest kritiska genom att ge insikt i exponeringsnivå, affärssignifikans, exploaterbarhet och hackarchatt.

Vi tar en holistisk approach till External Attack Surface Management som övervinner fällan att behandla alla kritiska frågor med lika stor brådska. Vi möjliggör för säkerhet att prioritera de verkligt kritiska vektorerna, vilket sparar dem tid och pengar.

Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka CyCognito.