โรบ กูร์ゼฟ, CEO และผู้ร่วมก่อตั้ง CyCognito – ซีรีส์สัมภาษณ์

โรบ กูร์ゼฟ, CEO และผู้ร่วมก่อตั้ง CyCognito, ได้นำการพัฒนาโซลูชันความปลอดภัยเชิงรุกสำหรับทั้งภาคเอกชนและหน่วยงานข่าวกรอง

ก่อนที่จะก่อตั้ง CyCognito, เขาเคยดำรงตำแหน่งเป็น Director of Offensive Security และหัวหน้า R&D ที่ C4 Security (ซึ่งถูกซื้อโดย Elbit Systems (ESLT )) และ CTO ของ Product Department ของ 8200 Israeli Intelligence Corps เขาได้รับรางวัล Award for Excellence, Creative Thinking Award และ Source of Life Award ในฐานะเจ้าหน้าที่ของ Israel Defense Forces

CyCognito ก่อตั้งโดยอดีตเจ้าหน้าที่ของหน่วยงานข่าวกรองแห่งชาติที่เข้าใจว่าผู้โจมตีจะใช้จุดอ่อนที่ไม่ทราบ และได้รับการเข้าร่วมโดยผู้จัดการที่มีประสบการณ์จากบริษัทความปลอดภัยทางไซเบอร์ที่เชื่อถือได้มากที่สุด

สิ่งใดที่ดึงดูดคุณเข้าสู่ด้านความปลอดภัยทางไซเบอร์?

ฉันเริ่มสนใจเทคโนโลยีตั้งแต่อายุ 13 หรือ 14 ปี ฉันเริ่มเข้าร่วมช่อง IRC กับคนอื่นๆ ที่สนใจเทคโนโลยีและเรียกว่า “การแฮก” ในสมัยนั้น

คนในสมัยนั้นกำลังทดลองสิ่งที่น่าสนใจ เช่น การเข้ารหัสในแอปส่งข้อความ และการแชร์ไฟล์ เด็กๆ ก็เล่นการหลอกลวงเพื่อนๆ โดยการส่งไฟล์แบบ実行ที่จะกระตุ้นการกระทำที่ตลกๆ หากคุณคิดถึงสิ่งนี้ มันคือพื้นฐานของสิ่งที่เรียกว่า “การโจมตีทางสังคม” ในปัจจุบัน

สิ่งเหล่านี้ทำให้ฉันคิดว่า: หากบุคคลที่มีเจตนาไม่ดีได้ครอบครองเทคโนโลยีนี้เพื่อจุดประสงค์ที่ไม่ดี?

ประสบการณ์เหล่านี้เป็นจุดเริ่มต้นของอาชีพด้านความปลอดภัยของฉัน ฉันจบลงที่ Israeli Unit 8200 Intelligence Force โดยทำงานด้านการสำรวจ และต่อมาได้ร่วมก่อตั้ง CyCognito

คุณสามารถแบ่งปันเรื่องราวการก่อตั้ง CyCognito ได้หรือไม่?

CyCognito ก่อตั้งขึ้นจากความตระหนักว่าผู้โจมตีมักจะอยู่หน้าผู้ป้องกันเสมอ พวกเขามีความฉลาด มีความก้าวร้าว และมักจะค้นหาวิธีที่ง่ายที่สุดในการโจมตี และในขณะที่ผู้โจมตีต้องการเพียงจุดอ่อนเพียงจุดเดียวในการเจาะเข้าไป แต่ทีมความปลอดภัยต้องป้องกันทุกจุดเข้าถึงที่เป็นไปได้ในพื้นที่โจมตีที่กำลังเติบโตและเปลี่ยนแปลงอยู่เสมอ

เพื่อเพิ่มปัญหาให้มากขึ้น ส่วนใหญ่ขององค์กรมีจุดเข้าถึงที่ไม่ทราบซึ่งไม่สามารถมองเห็นได้โดยทีมความปลอดภัย แต่ผู้โจมตีสามารถค้นพบได้ง่ายๆ

วันหนึ่ง ฉันนั่งลงกับ Co-founder ของฉัน Dima Potekhin และเราตั้งเป้าหมายที่จะเปลี่ยนพาราได้ม์โดยที่แทนที่จะใช้เอเจนต์หรือสแกนเนอร์แบบพอร์ต เราจะสร้างโซลูชันที่ทำงานเหมือนผู้โจมตีที่มีคุณภาพสูง ซึ่งจะเริ่มต้นด้วยการรู้เพียงชื่อของบริษัทเท่านั้น แล้วจึงค้นหาสินทรัพย์ที่มีความเสี่ยงมากที่สุดและเส้นทางที่เปิดกว้างที่สุด

เราต้องการจำลองการโจมตีของฝ่ายโจมตี โดยเริ่มตั้งแต่ขั้นตอนที่ 1 โดยที่ผู้โจมตีรู้เพียงชื่อของบริษัทเป้าหมายและเป้าหมายคือการเข้าถึงข้อมูลที่ละเอียดอ่อน

ดังนั้น ในปี 2017 เราได้นำประสบการณ์จากหน่วยงานข่าวกรองแห่งชาติและเริ่มสร้างสิ่งนี้ขึ้น โดยมีภารกิจในการช่วยให้องค์กรป้องกันการละเมิดความปลอดภัย โดยการทำแผนที่จุดอ่อนด้านนอกอย่างต่อเนื่องและค้นหาวิธีการที่ง่ายที่สุดในการเข้าถึงเครือข่ายภายใน

วันนี้ เราช่วยให้บริษัทที่เกิดใหม่และบริษัทขนาดใหญ่ใน Global 100 ป้องกันพื้นที่โจมตีจากภัยคุกคามที่เพิ่มขึ้น ลูกค้าบางรายของเรารวมถึง Colgate-Palmolive (CL ), State of California, Berlitz, Hitachi, Tesco เพื่อชื่อไม่กี่ราย

อะไรคือ External Attack Surface Management?

คำจำกัดความจากตำราของ External Attack Surface Management (EASM) หมายถึงกระบวนการและเทคโนโลยีที่ใช้ในการระบุ ประเมิน และจัดการการเปิดเผยของสินทรัพย์ดิจิทัลขององค์กรที่สามารถเข้าถึงหรือมองเห็นได้จากอินเทอร์เน็ต

พื้นที่โจมตีภายนอกมีขนาดใหญ่และซับซ้อน องค์กรเดียวสามารถมีระบบหลายร้อยหรือหลายพันระบบ แอปพลิเคชัน คลาวด์ อินเทอร์เน็ตของสรรพสิ่ง และข้อมูลที่เปิดเผยต่ออินเทอร์เน็ต ซึ่งมักจะกระจายไปทั่วบริษัทย่อย มัลติคลาวด์ และสินทรัพย์ที่จัดการโดยบุคคลที่สาม

ทีมความปลอดภัยมีความสามารถในการค้นพบสินทรัพย์เหล่านี้อย่างจำกัด พวกเขาต้องจัดการกับแจ้งเตือนหลายพันรายการ แต่ไม่มีบริบทที่จะทราบว่า哪些รายการเป็นเรื่องสำคัญและควรให้ความสำคัญ

การแยกปัญหาที่สำคัญออกมาขั้นแรกต้องการการมองเห็นข้ามพื้นที่โจมตี แต่ที่สำคัญกว่านั้นคือต้องการความเข้าใจอย่างลึกซึ้งเกี่ยวกับบริบทและวัตถุประสงค์ของสินทรัพย์ที่ได้รับผลกระทบ เมื่อได้กำหนดสิ่งนี้แล้ว ทีมความปลอดภัยสามารถคำนวณเส้นทางการโจมตีและคาดการณ์ว่าภัยคุกคามใดที่มีแนวโน้มที่จะก่อให้เกิดความเสียหายทางการเงินหรือชื่อเสียงที่ร้ายแรงต่อธุรกิจ จากนั้น องค์กรสามารถจัดลำดับความสำคัญได้อย่างถูกต้องและแก้ไขปัญหาให้ได้ผลสูงสุด

คุณสามารถแบ่งปันความคิดเห็นเกี่ยวกับความสำคัญของการคิดเหมือนผู้โจมตีเพื่อค้นหาความเสี่ยงที่ไม่รู้จัก?

ตาม Verizon’s DBIR, 82% ของการโจมตีมาจากภายนอกเข้ามา นอกจากนี้ การละเมิดส่วนใหญ่ตาม Gartner เกี่ยวข้องกับสินทรัพย์ที่ไม่รู้จักและไม่ได้จัดการ

สิ่งนี้เป็นเหตุผลที่การนำแนวทางจากภายนอกเข้ามาประเมินพื้นที่โจมตีเป็นสิ่งสำคัญสำหรับการประเมินและจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์ การสวมบทบาทของผู้โจมตีให้เราได้มุมมองที่เป็นกลางของ “มงกุฎเพชร” ที่อยู่ภายในระบบของเรา และสิ่งสำคัญกว่านั้นคือทราบว่าสิ่งใดที่ถูกเปิดเผยและอ่อนแอ

ตามที่ฉันกล่าวไว้ก่อนหน้านี้ พื้นที่โจมตีมีขนาดใหญ่และซับซ้อน ทีมความปลอดภัยส่วนใหญ่ไม่มีการมองเห็นอย่างเต็มรูปแบบเกี่ยวกับสินทรัพย์ที่ถูกเปิดเผยและอ่อนแอ ผู้โจมตีรู้สิ่งนี้! และพวกเขาจะสำรวจพื้นที่โจมตีอย่างไม่หยุดยั้งเพื่อค้นหาวิธีการที่ง่ายที่สุดและช่องโหว่ที่ทีมความปลอดภัยไม่ตรวจสอบ

คุณสามารถถามเกี่ยวกับวิธีการระบุภัยคุกคามที่เกิดจากแอปพลิเคชันและ API ภายนอกที่ไม่ได้รับการตรวจสอบหรือทดสอบ?

บ่อยกว่าที่เราต้องการ เราได้ทำ การวิจัยที่แสดงให้เห็นถึงความอ่อนแอของคลาวด์, มือถือ และเว็บแอปพลิเคชันที่เปิดเผยข้อมูลที่ละเอียดอ่อน รวมถึง API ที่ไม่ได้รับการรักษาความปลอดภัยและข้อมูลส่วนบุคคล (PII) ต่อไปนี้คือผลการวิจัยที่สำคัญ:

• 74% ของสินทรัพย์ที่มี PII มีความอ่อนแอต่อการโจมตีที่รู้จักอย่างน้อยหนึ่งครั้ง และหนึ่งในสิบมีปัญหาอย่างง่ายที่สามารถใช้ประโยชน์ได้
• 70% ของเว็บแอปพลิเคชันมีช่องโหว่ด้านความปลอดภัยที่รุนแรง เช่น ไม่มีการป้องกัน WAF หรือการเชื่อมต่อที่เข้ารหัส เช่น HTTPS ในขณะที่ 25% ของเว็บแอปพลิเคชันทั้งหมดไม่มีทั้งสองอย่าง
• องค์กรระดับโลกทั่วไปมีเว็บแอปพลิเคชันมากกว่า 12,000 รายการ ซึ่งรวมถึง API, แอปพลิเคชัน SaaS, เซิร์ฟเวอร์ และฐานข้อมูล เป็นต้น มากกว่า 3,000 สินทรัพย์ (30%) มีช่องโหว่หรือความเสี่ยงที่สูง
• 98% ของเว็บแอปพลิเคชันอาจไม่ปฏิบัติตาม GDPR เนื่องจากไม่มีโอกาสให้ผู้ใช้เลือกไม่ใช้คุกกี้

การวิจัยของเรานอกเหนือจากหลักฐานอื่นๆ ที่มีอยู่ในปัจจุบัน MOVEit exploit เป็นตัวอย่างที่ยังคงดำเนินอยู่

คุณสามารถพูดถึงความสำคัญของการรวมกระบวนการและเครื่องมือในการทดสอบและจัดการพื้นที่โจมตี?

‘Stack bloat’ เป็นสิ่งที่องค์กรส่วนใหญ่ต้องเผชิญ มันเกิดขึ้นอย่างมากในด้านความปลอดภัย องค์กรส่วนใหญ่มีเครื่องมือความปลอดภัยที่แยกจากกันและไม่เชื่อมต่อ มีคำขวัญในด้านความปลอดภัยที่ว่าเครื่องมือที่มากขึ้นจะกำจัดช่องโหว่ด้านความปลอดภัย แต่แทนที่จะทำให้เกิดความผิดพลาดของมนุษย์ ความซ้ำซ้อน การเพิ่มภาระการทำงาน และช่องโหว่

CyCognito ถูกสร้างขึ้นเพื่อทำหน้าที่ของโซลูชันจุดหลายตัว เราช่วยให้บริษัทสามารถรวมสแต็กของตนเพื่อให้สามารถมุ่งเน้นไปที่การทำงานของตน

วิธีการใดบ้างที่ผู้กระทำความผิดใช้ LLMs และ Generative AI เพื่อขยายการโจมตี?

เรายังไม่เห็นการโจมตีในระดับใหญ่ที่ใช้ LLMs แต่มันคือเรื่องของเวลา LLMs มีศักยภาพที่จะให้ขนาด สโคป ความเร็ว และความครอบคลุมที่มากขึ้นในการโจมตีทางไซเบอร์

ตัวอย่างเช่น LLMs มีศักยภาพในการเร่งการสำรวจอัตโนมัติ โดยที่ผู้โจมตีสามารถทำแผนที่และค้นหาสินทรัพย์ แบรนด์ และบริการขององค์กร รวมถึงข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลรับรองการเข้าถึงที่ถูกเปิดเผย LLMs ยังสามารถช่วยในการค้นหาช่องโหว่ภายในเครือข่ายที่เป็นเป้าหมาย และอำนวยความสะดวกในการโจมตีโดยใช้เทคนิค เช่น การส่งอีเมลหลอกลวงหรือการโจมตีแบบ watering-hole เพื่อเข้าถึงและใช้ประโยชน์จากช่องโหว่ของเครือข่าย

LLMs ยังสามารถช่วยในการขโมยข้อมูลโดยการคัดลอกหรือส่งต่อข้อมูลที่ละเอียดอ่อนออกจากเครือข่าย

นอกจากนี้ แอปพลิเคชันสำหรับผู้บริโภคที่ใช้ LLMs เช่น ChatGPT อาจถูกใช้โดยเจตนาหรือไม่เจตนาโดยพนักงานเพื่อ洩ข้อมูลทรัพย์สินทางปัญญาของบริษัท

องค์กรสามารถใช้ Generative AI เพื่อป้องกันตัวเองได้อย่างไร?

คำถามที่ดี นั่นคือข่าวดีสำหรับทุกคน หากผู้โจมตีสามารถใช้ Gen AI ได้ ทีมความปลอดภัยก็สามารถใช้ได้เช่นกัน Gen AI สามารถช่วยให้ทีมความปลอดภัยทำการสำรวจของตนเองและแก้ไขช่องโหว่ได้อย่างรวดเร็วและคุ้มค่า

Gen AI สามารถช่วยให้เข้าใจบริบททางธุรกิจของสินทรัพย์ใดๆ ได้ ตัวอย่างเช่น สามารถช่วยให้ทราบว่าฐานข้อมูลที่เก็บ PII มีบทบาทในการทำธุรกรรมรายได้ ซึ่งเป็นสิ่งที่มีคุณค่ามาก

Gen AI ยังสามารถกำหนดวัตถุประสงค์ทางธุรกิจของสินทรัพย์ได้ ตัวอย่างเช่น สามารถช่วยให้แยกแยะระหว่างเครื่องมือการชำระเงิน ฐานข้อมูลที่สำคัญ และอุปกรณ์ที่ไม่สำคัญ และจัดจำแนกโปรไฟล์ความเสี่ยงได้ ซึ่งจะช่วยให้ทีมความปลอดภัยสามารถจัดลำดับความสำคัญของความเสี่ยงได้ดีขึ้น

ทำไมองค์กร nênระมัดระวังในการพึ่งพา Generative AI มากเกินไปเพื่อจุดประสงค์ในการป้องกัน?

Generative AI มีศักยภาพที่ดี แต่มีปัญหาในอุตสาหกรรมที่เราต้องแก้ไข รูปภาพใหญ่สำหรับฉันคือโมเดล Gen AI สามารถทำให้ทีมความปลอดภัยมีความมั่นใจมากเกินไป การดึงดูดของการทำให้自动มากขึ้นเป็นสิ่งที่ดี แต่การตรวจสอบด้วยตนเองเป็นสิ่งสำคัญ เนื่องจากโมเดล Gen AI ในปัจจุบันสามารถสร้างผลลัพธ์ที่ไม่ถูกต้องได้

นอกจากนี้ โมเดล Gen AI (LLMs) ไม่เข้าใจบริบทเนื่องจากถูกสร้างขึ้นจากวิเคราะห์ข้อความทางสถิติและเวลา ซึ่งสามารถนำไปสู่การ “hallucinations” ที่ยากต่อการตรวจจับได้

ฉันเข้าใจว่าทีมความปลอดภัยกำลังมองหาวิธีในการทำ “มากกว่า” ด้วย “น้อยกว่า” แต่การตรวจสอบด้วยตนเองจะยังคงเป็นส่วนหนึ่งของกระบวนการความปลอดภัยเสมอ

คุณสามารถอธิบายได้อย่างไรว่า CyCognito เสนอการบริหารจัดการพื้นที่โจมตีภายนอกอัตโนมัติและทดสอบอย่างต่อเนื่อง?

ไม่ต้องเสียงเหมือนบันทึกที่เสียหาย แต่ตามที่ฉันกล่าวไว้ก่อนหน้านี้ พื้นที่โจมตีมีขนาดใหญ่และซับซ้อน และยังคงเติบโตอย่างต่อเนื่อง

เราสร้าง CyCognito ขึ้นเพื่อทำแผนที่พื้นที่โจมตีทั้งหมดอย่างต่อเนื่อง โดยครอบคลุมบริษัทย่อย การเข้าซื้อกิจการ ร่วมทุน และการดำเนินงานของแบรนด์ และกำหนดให้กับเจ้าของที่เหมาะสม

มีความสามารถทางเทคนิคที่น่าสนใจบางอย่างที่ควรเน้นย้ำ

ในกระบวนการค้นพบพื้นที่โจมตีแบบกล่องดำ แพลตฟอร์มของเรานำ LLM มาใช้เป็นหนึ่งในหลายแหล่งของ “attribution hypotheses” ที่โมเดล Bayesian ML ของเราวิเคราะห์เพื่อกำหนดโครงสร้างธุรกิจขององค์กร (ถึง 1,000 หน่วยธุรกิจและบริษัทย่อย) และกำหนดสินทรัพย์ให้กับเจ้าของ (ในระดับล้านของสินทรัพย์ IT) อย่างสมบูรณ์อัตโนมัติ

แพลตฟอร์มของเรายังเร่งการจำแนกประเภทสินทรัพย์ผ่าน NLP และอัลกอริทึมเชิงอุปนัย ซึ่งเป็นงานที่มีค่าใช้จ่ายสูงและต้องการทรัพยากร

เรายังให้บริบททางธุรกิจที่จำเป็นในการจัดลำดับความสำคัญของความเสี่ยงอย่างมีประสิทธิภาพ แม้ว่าช่องโหว่จะส่งผลกระทบต่อเครื่องหลายพันเครื่อง CyCognito สามารถระบุเครื่องที่สำคัญที่สุดโดยให้ข้อมูลเชิงลึกเกี่ยวกับระดับการเปิดเผย ความสำคัญทางธุรกิจ ความสามารถในการใช้ประโยชน์ และการคุยกันของแฮกเกอร์

เรานำแนวทางที่ครอบคลุมในการบริหารจัดการพื้นที่โจมตีภายนอก ซึ่งเอาชนะการหลอกลวงในการรักษาความสำคัญของปัญหาเท่ากัน เราอนุญาตให้ทีมความปลอดภัยจัดลำดับความสำคัญของเวกเตอร์ที่สำคัญจริงๆ โดยช่วยให้พวกเขาสามารถประหยัดเวลาและเงิน

ขอขอบคุณสำหรับการสัมภาษณ์ที่ดี ผู้อ่านสามารถเยี่ยมชม CyCognito เพื่อเรียนรู้เพิ่มเติม