Алона Ноя, генерального директора та співзасновника Astelia, — серія інтерв’ю

Алон Ной, генеральний директор і співзасновник Astelia, — фахівець із кібербезпеки з понад 15-річним досвідом у наступальній і захисній безпеці. Раніше він служив у підрозділі 8200 Армії оборони Ізраїлю, а згодом очолив Національну команду червоного тестування кібербезпеки Ізраїлю. У межах цієї роботи він, зокрема, проводив стрес-тестування критичної інфраструктури та співпрацював із командами безпеки, щоб виявляти й усувати реальні шляхи атак. Ной також керував великими науково-дослідними організаціями, закінчив програму Talpiot і здобув ступінь магістра комп’ютерних наук у Tel Aviv University. Досвід роботи з погляду як нападника, так і захисника допоміг сформувати підхід Astelia, зосереджений на визначенні того, які вразливості в середовищі організації справді доступні для атак і можуть бути використані.

Astelia — компанія у сфері кібербезпеки, що від початку створювалася з використанням ШІ та спеціалізується на управлінні поверхнею атаки й вразливостями. Компанія, заснована ветеранами та колишніми керівниками Національної червоної команди Ізраїлю, використовує ШІ й аналіз, адаптований до конкретної мережі, щоб визначати, які вразливості створюють реальні шляхи для атак, а не покладатися переважно на загальні оцінки критичності. Її платформа за допомогою інтеграцій лише для читання створює карту середовища організації, зіставляє вимоги для експлуатації вразливостей із топологією мережі та допомагає командам безпеки визначати пріоритетність вразливостей, доступність яких для атак підтверджена. Водночас вона вказує на можливі способи усунення проблем, як-от встановлення виправлень, зміни конфігурації, сегментація або компенсувальні заходи контролю. Загальна мета компанії — допомогти підприємствам скоротити кількість сповіщень про вразливості, які потрібно розслідувати, і зосередити ресурси на тих ризиках, якими нападники справді можуть скористатися.

Перш ніж заснувати Astelia, ви понад десять років працювали у сфері національної безпеки Ізраїлю, зокрема в підрозділі 8200 і на посаді керівника Національної команди червоного тестування кібербезпеки Ізраїлю, де мали мислити й діяти як нападник. Чого цей досвід навчив вас про те, як насправді відбуваються складні кібератаки, і яка прогалина на ринку кібербезпеки зрештою спонукала вас стати співзасновником Astelia?

Понад десять років моя робота фактично полягала в тому, щоб мислити як людина, яка намагається проникнути всередину, а не як та, що намагається їй завадити. Найчіткіший урок із цього досвіду полягає в тому, що складні атаки майже ніколи не зводяться до однієї великої діри в захисті. Зазвичай це дві чи три дрібниці, які окремо ніхто не вважав важливими: обліковий запис, який так і не деактивували; частина мережі, яку мали ізолювати, але не ізолювали; дозвіл, обсяг якого перевищував необхідний, тощо. Коли я очолював Національну червону команду, ми витрачали набагато більше часу на те, щоб зрозуміти, як насправді працює мережа цілі, ніж на створення самого експлойта. Коли знаєш, де проходять шляхи, скористатися ними — чи не найлегша частина. Перейшовши на бік захисту, я почав помічати закономірність. Існував довгий перелік «критичних» вразливостей, але не було реального способу з’ясувати, яких із них нападник справді може досягти. Саме цю прогалину й покликана усунути Astelia: вона використовує аналіз доступності — процес, за допомогою якого нападники шукають шлях усередину, — на користь захисників.

Astelia застосовує інший підхід до управління вразливостями: створює карту фактичної топології мережі організації та використовує агентний ШІ, щоб визначити, до яких вразливостей справді можна дістатися й які з них можна експлуатувати. Як це працює на практиці й чому, на вашу думку, традиційне оцінювання вразливостей часто призводить до хибної пріоритизації завдань захисників?

За допомогою інтеграцій лише для читання ми створюємо карту фактичної мережі організації: з’ясовуємо, як системи насправді пов’язані між собою та де наявні засоби мережевого контролю вже стають на заваді нападникові. Отримавши таке уявлення, ШІ аналізує кожну вразливість і визначає, що саме потрібно для її експлуатації: наприклад, який рівень доступу необхідний, яким шляхом треба пройти через мережу та які умови мають виконуватися. Потім він звіряє все це з реальною топологією та наявними засобами контролю. Зазвичай справді доступними для атак виявляються менш ніж 1% усіх вразливостей, позначених сканером. CVSS і EPSS мають ту саму фундаментальну проблему: вони оцінюють вразливість так, наче всі мережі однакові, наче система безпосередньо відкрита в інтернеті або наче загальногалузеві тенденції експлуатації щось говорять про конкретне середовище вашої організації. У більшості середовищ жодне з цих припущень не відповідає дійсності. Помилка з критичним рейтингом у сегментованій мережі, до якої ведуть три переходи, — це не такий самий ризик, як помилка на сервері, доступному з публічного інтернету. Так само вразливість із високим показником EPSS у масштабах галузі може бути взагалі недоступною у вашій мережі. Ці оцінки фіксують ситуацію на певний момент і не відображають особливостей вашої мережі. Доступність постійно змінюється, адже змінюються і мережі, і засоби їхнього захисту.

Ви стверджували, що багато з того, що непокоїть захисників, не має стосунку до того, як діють справжні нападники. Спираючись на свій досвід проведення санкціонованих атак на добре захищені середовища, скажіть, що саме команди безпеки найчастіше неправильно розуміють у тому, як нападники виявляють слабкі місця та поєднують їх між собою?

Поширене припущення полягає в тому, що зловмисники атакують те, що має найвищий рівень критичності. На практиці ми рідко так робимо. Ми атакуємо те, що найшвидше наближає нас до мети, і часто це щось, що сканер оцінив як загрозу середнього або низького рівня: спільна мережева папка з неправильними дозволами, облікові дані, що залишилися від проєкту, який нібито закрили, або невеликий плацдарм, який став небезпечним лише в поєднанні з чимось іншим, що ніхто не вважав пов’язаним із ним. Сканери оцінюють кожну виявлену проблему окремо. Атаки так не працюють: зловмисник завжди дивиться на те, як усе пов’язано між собою. Те, що саме по собі здається нешкідливим, може бути саме тим, що потрібно зловмиснику, аби перейти від облікового запису з низькими привілеями до повного контролю. Більшість фахівців із захисту досі оцінюють ризик, розглядаючи кожну проблему окремо, і саме тому вони постійно не помічають шляхів, які насправді мають значення.

ШІ суттєво скорочує час і рівень експертних знань, необхідних для перетворення нещодавно оприлюднених уразливостей на дієві експлойти. Як це змінює економіку кібератак і які типи зловмисників найбільше виграють від дедалі потужніших моделей ШІ?

Раніше найдорожчою складовою створення експлойта були експертні знання: знайти помилку, з’ясувати, як саме її використати, і забезпечити надійну роботу експлойта. Те, на що команді фахівців часто знадобилися б місяці, звичайний зловмисник із доступом до передових моделей тепер може зробити за кілька годин. Це справді змінює економіку процесу. Раніше перетворення нової CVE на дієвий інструмент атаки вимагало значних вкладень; тепер майже не вимагає, а проміжок між оприлюдненням уразливості та появою дієвого експлойта постійно скорочується. Більшість циклів встановлення виправлень ніколи не були розраховані на такий темп. Найбільше від цього виграють не найпотужніші державні актори, які й раніше мали значні наступальні спроможності. Виграють менші групи й злочинці, які діють ситуативно й ніколи не мали відповідних експертних знань у власній команді: ШІ фактично надає їм ці знання.

Ініціатива GOLD EAGLE Білого дому передбачає тіснішу співпрацю між урядом, технологічними компаніями та операторами критичної інфраструктури, а передові моделі ШІ використовують для швидшого виявлення й усунення вразливостей. Що в цій моделі зроблено правильно з погляду зловмисника і в чому вона може не спрацювати?

GOLD EAGLE правильно визначає, скільки часу марнується на дублювання роботи, коли різні організації самостійно сканують системи й оцінюють ту саму оприлюднену вразливість, перш ніж хтось узагалі починає діяти. Централізація цієї роботи та використання ШІ для пришвидшення координації між урядом і операторами інфраструктури справді скорочують час, який має зловмисник, і саме це, з його погляду, найважливіше. У цій грі швидкість — це все. На мою думку, слабке місце в тому, що координація в масштабах усієї галузі не дає жодній окремій компанії відповіді на запитання, чи можна дістатися до певної вразливості з її внутрішньої мережі. Організація може мати доступ до добре пріоритизованого потоку даних про загрози й усе одно не знати, чи стосуються вони її. Перевірити це на власній мережевій топології — відповідальність кожної організації.

Понад 100 організацій у сферах технологій, кібербезпеки, фінансів та інфраструктури попередили, що часу на посилення захисту може залишитися небагато, перш ніж атаки з використанням ШІ значно поширяться. Чи поділяєте ви це відчуття невідкладності й чого організаціям реалістично варто досягти протягом цього «вікна для захисників»?

Я поділяю це відчуття невідкладності, хоча сформулював би причину трохи інакше. Атаки з використанням ШІ — це не загроза майбутнього: проміжок між оприлюдненням уразливості та появою дієвого експлойта вже скорочується швидше, ніж більшість організацій встигає встановлювати виправлення. Самою лише швидшою інсталяцією виправлень виграти ці перегони нереалістично. Реалістично ж використати цей період, щоб розібратися у власному середовищі. Це означає знати реальну топологію мережі, розуміти, до яких уразливостей справді можна дістатися, і зосередити зусилля на цій меншій кількості проблем, а не розпорошувати їх на тисячі теоретичних знахідок. Також варто використати цей час, щоб розробити способи усунення проблем, крім встановлення виправлень, наприклад сегментацію мережі чи зміни конфігурації, адже самі лише темпи встановлення виправлень не встигатимуть за розробленням експлойтів, яке прискорює ШІ.

Колективний кіберзахист значною мірою залежить від обміну даними про вразливості та загрози між організаціями. Що має змінитися — з технічного чи культурного погляду, — щоб урядові установи й приватні компанії могли обмінюватися корисною інформацією достатньо швидко, аби вона мала значення, і водночас не створювати нових ризиків для безпеки?

Технічну проблему розв’язати легше. Складніше питання — довіра. Жодна організація не хоче розкривати слабке місце у власному середовищі й ризикувати, що його пов’яжуть із нею, особливо якщо згодом про нього згадають у звіті про витік даних. Дієвий підхід — ділитися корисною інформацією, яка не дає змоги встановити, про кого йдеться: описувати схему використання вразливості, а не надавати настільки конкретні відомості, що вони вказують на певну компанію. Для цього потрібна краща інфраструктура — машиночитані дані про загрози мають передаватися автоматизованими каналами, а не через PDF-файли й списки розсилки. Однак інфраструктура ніколи не була справжньою перешкодою. Перешкода в тому, що для більшості організацій обмін інформацією досі означає юридичний ризик, а не захист. Нейтральний надійний посередник — один зі складників того, що має забезпечити GOLD EAGLE, і це могло б суттєво змінити ситуацію.

Astelia наголошує на «досяжності», а не просто на рівні критичності чи наявності відомого експлойту. Оскільки ШІ пришвидшує створення експлойтів і потенційно робить його поширенішим, чи стає досяжність важливішим показником ризику і як керівникам з інформаційної безпеки варто переглянути пріоритизацію вразливостей з огляду на це поняття?

Досяжність не просто стає важливішою — це показник, який фактично визначає рівень ризику. Тяжкість завжди була приблизною оцінкою того, якої шкоди щось могло б завдати; досяжність показує, чи можна скористатися вразливістю у вашому середовищі саме зараз. Раніше фахівці із захисту виходили з того, що більшість знахідок із низьким рівнем критичності можуть місяцями залишатися невиправленими, адже навряд чи хтось насправді використає їх для атаки. Це припущення більше не справджується, коли створювати експлойти стає швидко й дешево. Потрібно перейти від переліку невиправлених вразливостей, упорядкованого за рівнем критичності, до усунення тих, якими справді можна скористатися. Від невеликої кількості важливих вразливостей решту відрізняє те, чи може зловмисник дістатися до них у вашій реальній мережі. Керівникам з інформаційної безпеки слід вимагати доказів досяжності, а не ще одного бала на додачу до CVSS.

Astelia також застосовує агентів ШІ на різних етапах життєвого циклу роботи з уразливостями — від виявлення нових вразливостей до координації їх усунення. Наскільки автономними зрештою мають бути агенти з кібербезпеки, якщо вони здатні вносити зміни в продуктивні середовища, і на яких етапах люди мають обов’язково залишатися залученими?

Агенти мають бути справді автономними в аналітичній роботі: картографуванні мережі, визначенні вимог для експлуатації вразливостей, зіставленні нових повідомлень про загрози та виявленні того, до чого можна дістатися. Саме тут швидкість має найбільше значення, а помилка лише призводить до хибної рекомендації, яку помітить людина. Я чітко проводжу межу там, де йдеться про зміни в продуктивному середовищі без нагляду. Не маючи даних про досяжність у мережі, агент, який застосовує виправлення, діє навмання, а невдале правило брандмауера чи зміна сегментації мережі можуть завдати більшої шкоди, ніж вразливість, яку мали усунути. Саме тому більшість того, що сьогодні рекламують як «автономне усунення вразливостей», насправді зводиться до автоматичного створення заявок. Підприємства хочуть, щоб такі зміни затверджувала людина, особливо з огляду на те, що виправлення не завжди доступне. Оптимальна модель — агенти, які пропонують обґрунтовані доказами виправлення, а людина дає згоду, перш ніж будь-що зміниться в продуктивному середовищі. Межі автономності можна буде розширювати в міру вдосконалення даних про досяжність і зростання довіри до вузьких, ретельно перевірених категорій змін, але я б не починав із дій у продуктивному середовищі без нагляду.

Якщо дивитися в майбутнє, то як, на вашу думку, зміниться баланс між наступальними й оборонними напрямами кібербезпеки, коли і зловмисники, і фахівці із захисту отримають доступ до дедалі потужніших автономних систем ШІ? І що відрізнятиме організації, готові до наступного етапу, від тих, які до нього не підготувалися?

На початковому етапі ШІ дає зловмисникам перевагу, оскільки їм достатньо знайти один дієвий шлях, а ШІ добре вміє швидко його відшукати: розвідка пришвидшується, розробка експлойтів пришвидшується, фішингові повідомлення стають переконливішими. Фахівці із захисту не скоротять цей відрив, просто використовуючи ШІ для швидшого виконання тих самих завдань. Вони скоротять його, застосовуючи ШІ для виявлення й усунення вразливостей, до яких справді можна дістатися у їхній мережі, з урахуванням специфіки їхнього середовища, а не керуючи ризиками на основі загальних галузевих даних про загрози. Організації, готові до цього, вирізнятимуться тим, чи встигли вони перейти до такого підходу до того, як обставини змусили їх це зробити, і чи можуть вони, спираючись на докази, сказати, якими з їхніх вразливостей справді можна скористатися в їхньому середовищі, замість того щоб сподіватися, що графік встановлення виправлень не відставатиме від загроз. Організації, які й далі оцінюють ризики без урахування особливостей власного середовища, знову й знову заскочить зненацька загроза, яку їхній власний сканер ще рік тому визначив як низькопріоритетну.

Дякуємо за чудове інтерв’ю! Читачі, які хочуть дізнатися більше, можуть відвідати сайт Astelia.