211service.com
Cyberbezpieczeństwo może chronić dane. A co z windami?
W związku z Cortex Xpanse firmy Palo Alto Networks
Zaawansowane funkcje cyberbezpieczeństwa są niezbędne do ochrony oprogramowania, systemów i danych w nowej erze chmury, internetu rzeczy i innych inteligentnych technologii. Na przykład w branży nieruchomości firmy są zaniepokojone możliwością porwania wind, a także zagrożonymi systemami zarządzania budynkami oraz systemami ogrzewania i chłodzenia.
Według Grega Belangera, wiceprezesa ds. technologii bezpieczeństwa w CBRE, największej na świecie firmie świadczącej usługi w zakresie nieruchomości komercyjnych i inwestycyjnej, zabezpieczanie przedsiębiorstwa stało się bardziej złożone — zespoły ds. bezpieczeństwa muszą znać elementy sterujące i sprzęt na nowych urządzeniach, a także znać ich wersję. oprogramowania sprzętowego i jakie luki w zabezpieczeniach są obecne. Na przykład, jeśli system ogrzewania, wentylacji i klimatyzacji (HVAC) jest podłączony do Internetu, pyta: czy oprogramowanie układowe, które obsługuje system HVAC, jest podatne na atak? Czy możesz znaleźć sposób na przemierzenie tej sieci i zaatakowanie pracowników tej firmy?
Zrozumienie słabych punktów przedsiębiorstwa ma kluczowe znaczenie dla ochrony aktywów fizycznych, ale inwestowanie w odpowiednie narzędzia może być również wyzwaniem, mówi Belanger. Sztuczna inteligencja i uczenie maszynowe wymagają dużych zbiorów danych, aby skutecznie dostarczać spostrzeżenia – wyjaśnia. W erze opartego na chmurze i przemysłowego internetu rzeczy granica staje się znacznie bardziej płynna. Stosując sztuczną inteligencję i uczenie maszynowe do zbiorów danych, mówi: Zaczynasz dostrzegać wzorce ryzyka i ryzykownych zachowań.
Kolejnym priorytetem przy zabezpieczaniu zasobów fizycznych jest przełożenie spostrzeżeń na metryki, które mogą zrozumieć liderzy zespołu zarządzającego, aby wspomóc podejmowanie decyzji. Dyrektorzy generalni i członkowie zarządów, którzy stają się coraz bardziej doświadczeni w zakresie bezpieczeństwa, mogą skorzystać z zagregowanych wyników zarządzania powierzchnią ataku. Wszyscy chcą wiedzieć, zwłaszcza po ataku takim jak Colonial Pipeline, czy to może się nam przytrafić? Jak bezpieczni jesteśmy? mówi Belanger. Ale jeśli Twoje przedsiębiorstwo jest w stanie przypisać zasługi do różnych funkcji lub je ocenić, to możliwe jest zmierzenie poprawy. Belanger kontynuuje: Nasza zdolność do sprawdzania wyniku, reagowania na zagrożenia, a następnie utrzymywania go w lepszym stanie jest kluczowym wskaźnikiem.
Dlatego zarządzanie powierzchnią ataku ma kluczowe znaczenie, kontynuuje Belanger. W rzeczywistości uzyskujemy widoczność CBRE tak, jak zrobiłby to atakujący, i często te narzędzia są zautomatyzowane. Widzimy więc znacznie więcej, niż jakikolwiek haker mógłby zobaczyć pojedynczo. Widzimy całe nasze środowisko.
Ten odcinek Business Lab jest produkowany we współpracy z Palo Alto Networks.
Pełny zapis
Laur Ruma: Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesu zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek. Naszym dzisiejszym tematem jest zabezpieczenie aktywów fizycznych. Oczywiście dużo uwagi poświęcono cyberbezpieczeństwu, ale przedsiębiorstwa mają również aktywa fizyczne, w tym infrastrukturę naftową i gazową, zakłady produkcyjne i nieruchomości. Kiedy dorzucisz fuzje i przejęcia, nieograniczoną liczbę instancji w chmurze, czujniki IoT i urządzenia na całym świecie, obszar ataku firmy może być szeroki, podatny na ataki i w dużej mierze nieznany.
Dwa słowa dla ciebie: porwane windy.
Moim gościem jest Greg Belanger, wiceprezes ds. technologii bezpieczeństwa w CBRE. CBRE jest największą na świecie firmą doradczą i inwestycyjną w zakresie nieruchomości komercyjnych, zatrudniającą ponad 100 000 pracowników na całym świecie.
Ten odcinek Business Lab jest produkowany we współpracy z Palo Alto Networks.
Witaj, Gregu.
Greg Belanger: Dzień dobry.
Laur: Na początek często mówi się, że każda firma to firma technologiczna. Jaką rolę odgrywa cyberbezpieczeństwo w nieruchomościach komercyjnych? Bezpieczeństwo fizyczne jest prawdopodobnie znane większości ludzi, ale co z systemami, czujnikami i danymi?
Grzegorz: CBRE od pięciu lat jest w podróży cyfrowej transformacji w oczekiwaniu na zmiany na naszym rynku. W przeszłości nikt nie myślał o nieruchomościach komercyjnych jako o firmie zajmującej się oprogramowaniem lub technologią, ale my to zmieniamy. Przyglądamy się, co stało się z innymi branżami, takimi jak Uber. To, co Uber zrobił taksówkom, a Airbnb hotelom, chcemy mieć pewność, że CBRE jest w czołówce. Postanowiliśmy więc dokonać przełomu i przekształcić się w firmę technologiczną. Jesteśmy firmą zajmującą się nieruchomościami komercyjnymi, w której technologia i dane są wyróżnikami. Dzięki temu jest o wiele więcej innowacji, aplikacji, migracji do chmury i technologii inteligentnego budynku. Kierownictwo CBRE wcześnie wiedziało, że w nowej erze potrzebujemy zaawansowanych funkcji cyberbezpieczeństwa, aby chronić naszych klientów na całym świecie. Dlatego zapewnienie bezpieczeństwa naszego oprogramowania i ochrona naszych danych to najważniejsze priorytety dla tej firmy rok do roku.
Laur: To naprawdę interesujące, ponieważ masz rację. Ludzie niekoniecznie myślą o tym, jak firma zajmująca się nieruchomościami mogłaby być firmą technologiczną. Czy to było trudne pięć lat? Czy uważasz, że trochę czasu zajęło ludziom zrozumienie wagi i pilności tej cyfrowej transformacji?
Grzegorz: To było wspaniałe pięć lat. Z pewnością była to dla nich zmiana, ale delikatna strona domu wprowadziła wiele zmian. Tak więc zmiana z firmy zajmującej się nieruchomościami komercyjnymi w firmę, która wykorzystuje nieruchomości komercyjne i oprogramowanie do zarządzania tymi budynkami, aby wykorzystać dane, które posiadamy o ludziach, również była dużą zmianą. Nie tylko zmienili zabezpieczenia, ale przenieśli się do praktyk, takich jak zwinne tworzenie oprogramowania, technologia mobilna i tym podobne. Bezpieczeństwo było tylko kolejną warstwą, która została dodana do już istniejącej zmiany. Dlatego nie mieliśmy CIO. Na czele mieliśmy dyrektora ds. transformacji cyfrowej.
Laur: To interesująca konfiguracja, ponieważ cyberbezpieczeństwo staje się po prostu całkowicie zintegrowane z wszystkim, co robisz. Nie jest uważany za osobny dodatek.
Grzegorz: Absolutnie. W rzeczywistości zostałem zatrudniony jako wiceprezes devSecOps, który integrował bezpieczeństwo ze wszystkimi zwinnymi praktykami tworzenia oprogramowania. Bezpieczeństwo koncentrowało się na tym, gdzie byliśmy pięć lat temu — kiedy będziesz gotowy do uruchomienia, przetestujemy Cię i powiemy, czy zamierzasz przejść do produkcji. Teraz jako partnerzy ściśle współpracujemy z naszymi programistami i staramy się przesunąć się jak najdalej w lewo. Tak więc przeprowadzanie testów i przekazywanie im pomysłów projektowych, modelowanie zagrożeń itp., aby spróbować upewnić się, że każde wydane przez nich oprogramowanie jest gotowe do działania już pierwszego dnia.
Laur : Aby dać ludziom zrozumienie, czym jest devSecOps, więc devOps to praktyka ciągłego rozwoju oprogramowania z naciskiem na operacje IT, a następnie dodajesz zabezpieczenia. Więc tak naprawdę angażujesz wszystkie te zespoły, aby budować lepsze oprogramowanie dla firmy w ogóle, a także je chronić.
Grzegorz: Dokładnie tak. Kluczem do tego jest to, że chcieliśmy, aby bezpieczeństwo było jak najbardziej zautomatyzowane. Kiedy myślisz o devOps, zajmuje to dużo procesu tworzenia oprogramowania i wdrażania oprogramowania oraz ciągłego robienia tego. Chcieliśmy mieć pewność, że bezpieczeństwo jest w tym samym świetle. Gdy przygotowywałeś się do tworzenia oprogramowania i migrowania oprogramowania, to bezpieczeństwo było zaangażowane na kluczowych etapach po drodze.
Laur: Kiedyś rozmawiałem z dyrektorem na temat porwanych wind. Czy mógłbyś podać naszym słuchaczom kilka przykładów konkretnych problemów związanych z cyberbezpieczeństwem, które mogą napotkać budynki i usługi związane z nieruchomościami, które różnią się od, powiedzmy, Ubera?
Grzegorz: Absolutnie. Problemem są porwane windy, systemy zarządzania budynkami, systemy HVAC. Dużo słyszy się o tych rzeczach w wiadomościach, coś, czego doświadczyliśmy osobiście. Przyglądamy się opracowywaniu aplikacji mobilnych, które można osadzić w telefonie, a następnie wykorzystać takie rzeczy, jak Bluetooth Low Energy, aby faktycznie otworzyć drzwi do naszych budynków. Więc kiedy myślisz o bezpieczeństwie fizycznym, pojawia się teraz punkt styku z technologią informacyjną i przemysłowym internetem rzeczy. Właściwie opracowaliśmy aplikację, która pozwoli pracownikowi wejść i użyć telefonu, aby otworzyć drzwi, aby uzyskać dostęp do swojego miejsca pracy.
Jeśli kiedykolwiek pracowałeś w miejscu, które jest tak duże, że muszą dać ci mapę, aby przejść z jednego miejsca do drugiego w biurze, opracowaliśmy tak zwane technologie punktów orientacyjnych, aby umożliwić użytkownikom tej aplikacji mobilnej nawigację między miejscami, w których się znajdują. siedzieć i gdzie znajdowała się sala konferencyjna, a po drodze udzielać im informacji zwrotnych. Wszystko to odbywa się za pośrednictwem Bluetooth i integracji z urządzeniami mobilnymi. Jako specjaliści ds. bezpieczeństwa musimy to chronić.
Musieliśmy przyjrzeć się temu urządzeniu mobilnemu, które było podłączone do czujnika, a ten czujnik był podłączony do bramki, a bramka do internetu, ale jak to wszystko działało? Jak dostały się dane? Jak to się wydostało? Upewnij się, że te urządzenia znajdują się w osobnych, segmentowanych sieciach. To wszystko są dla nas krytyczne obawy. Przeprowadziliśmy również testy penetracyjne tych aplikacji i urządzeń, aby upewnić się, że są one bezpieczne.
Przyglądamy się wszystkim zagrożeniom związanym z tymi nowymi technologiami w ramach naszego nowoczesnego zestawu umiejętności i przyglądamy się programistom. Tworzą te technologie, a zespoły zajmujące się infrastrukturą stawiają im czoła, gdy staramy się zabezpieczyć przedsiębiorstwo.
Laur: Trochę więcej o testach penetracyjnych lub testach pisakowych — wtedy właśnie próbowałeś sprawdzić, jak bezpieczna jest twoja sieć i środowisko?
Greg : Zgadza się. Płacimy ludziom za próby włamań. Hakowanie nie jest przestępstwem. Próbujemy płacić etycznym hakerom za włamywanie się do naszych systemów i informowanie nas, gdzie źli, prawdziwi źli ludzie mogą faktycznie znaleźć sposoby na zniszczenie naszych systemów.
Laur: Tak naprawdę mówimy o czymś, co wykracza poza inteligentny budynek. Kiedy przyjrzymy się niedawnym naruszeniom bezpieczeństwa cybernetycznego, na przykład włamaniu się do uzdatniania wody na Florydzie, widzimy, że powierzchnia budynku lub firmy jest w rzeczywistości dość szeroka i może pokazuje miejsca, które nie są najbardziej oczywiste dla ludzi lub testów pisemnych lub nieetycznych hakerów, aby faktycznie włamać się do budynku lub firmy.
Greg : Zgadza się. To stosunkowo nowa dziedzina. Istnieje wiele świetnych firm, które przyglądają się tej technologii operacyjnej (lub OT), aby spróbować wykonać test pisemny, aby znaleźć istniejące luki. To inna dyscyplina. Musisz znać niektóre kontrolki lub sprzęt, który zarządza tymi środowiskami, jakiego rodzaju oprogramowanie układowe jest stosowane na tych urządzeniach, a następnie jakie luki faktycznie występują w tym oprogramowaniu.
Różni się nieco od testów penetracyjnych IT lub rzeczy, które zwykle rozumiemy jako sterowniki i biblioteki, które również mogą mieć wbudowane luki w zabezpieczeniach. Następnie dodaj do tego, są teraz punkty styku. Więc jeśli masz system HVAC podłączony do Internetu, czy oprogramowanie układowe, które obsługuje system HVAC, jest podatne na atak? Czy możesz znaleźć sposób na przemierzenie tej sieci i zaatakowanie pracowników tej firmy? To są dla nas kluczowe kwestie.
Laur: Posiadanie odpowiednich narzędzi do obrony przedsiębiorstwa jest również wyzwaniem, ponieważ zabezpieczenia wciąż ewoluują, aby stawić czoła różnym zagrożeniom. Niektóre z nich mogą być bardziej zautomatyzowane, jak sztuczna inteligencja, ale najważniejsze jest zrozumienie podatności przedsiębiorstwa, prawda? A więc możliwa powierzchnia ataku całej Twojej firmy, zgadza się?
Grzegorz: Absolutnie. Sztuczna inteligencja i uczenie maszynowe wymagają dużych zbiorów danych, aby skutecznie dostarczać spostrzeżenia. W erze opartego na chmurze i przemysłowego Internetu rzeczy (IIoT) granica, o której próbujesz uzyskać informacje, staje się znacznie bardziej płynna. Tradycyjnie obwód był dobrze zdefiniowany. Był odporny na ataki, ale teraz, w przypadku instancji w chmurze, urządzenia IIoT mogą pojawiać się w Twojej sieci i mogą być narażone na dostęp do Internetu bez większego ostrzeżenia. Nawet w erze tradycyjnych obronnych dni, postrzeganie firmy jako atakującego z zewnątrz było trudnym zadaniem.
Teraz mamy bardziej nowoczesne narzędzia, które nie tylko wyświetlają te systemy w czasie rzeczywistym, ale także ostrzegają o lukach, które mogą wpłynąć na twoje wyniki. Widzimy takie rzeczy, jak ukryte IT, źle skonfigurowane urządzenia IoT, systemy w chmurze, a także znacznie lepszy wgląd w to, co dzieje się w naszych biurach na całym świecie. Stosując uczenie maszynowe AI do tego zbioru danych, zaczynasz dostrzegać wzorce ryzyka i ryzykownych zachowań.
Laur: Kiedy myślisz o wejściu na zewnątrz, jak na to patrzysz – jako osoba z zewnątrz, która przygląda się Twojej firmie i możliwym obszarom do wykorzystania?
Grzegorz: Koncepcja niektórych z tych narzędzi do zarządzania powierzchnią ataku polega na tym, że zapewniają nam taki sam wgląd w naszą firmę, jak każdy w Internecie. Naszą firmę trudno zobaczyć w całości. Kiedy myślisz o firmie wielkości CBRE, gdzie są wszystkie Twoje cyfrowe aktywa? Czy wiesz na pewno, że ktoś nie umieścił strony internetowej u dostawcy hostingu w chmurze, powiedzmy w Republice Południowej Afryki, a następnie nie użył twojego logo i twojego imienia i nazwiska, i nie użył ich do jakiegoś nieszkodliwego celu marketingowego, ale to nadal może mieć wpływ na Twoją markę? Tego typu rzeczy nie zawsze są ujawniane za pomocą zwykłych narzędzi, które skanujemy w naszym znanym środowisku.
Patrząc więc na zarządzanie powierzchnią ataku, wychodzimy i identyfikujemy wszystkie te zasoby, które mogą być powiązane z CBRE. Następnie innym zadaniem dla nas jest wejście i przyjrzenie się tym zasobom i faktyczne skorelowanie ich z tożsamością, przestrzenią CBRE IP. Tak więc w rzeczywistości uzyskujemy widoczność CBRE tak, jak zrobiłby to atakujący, i często te narzędzia są zautomatyzowane. Widzimy więc znacznie więcej niż jakikolwiek haker mógłby zobaczyć pojedynczo. Widzimy całe nasze środowisko.
Laur : Więc tak mierzysz swoją powierzchnię ataku.
Grzegorz: Dokładnie tak.
Laur: Próbujesz znaleźć wszystko, co możesz. Niektóre organizacje używają tego spisu jako miernika, na przykład jak szybko trwa pomiar wszystkich zasobów, aby wykonać pełną inwentaryzację zasobów, a następnie porównać go z tym, co widzą atakujący? Jak wspomniałeś, jeden atakujący może zobaczyć tylko jedną rzecz, ale atakujący często pracują jako zespół, jak to ostatnio widzieliśmy w przypadku exploita Colonial Pipeline. Więc jak to daje firmom przewagę?
Grzegorz: To podróż. Kiedy zaczynasz od zarządzania powierzchnią ataku, musisz zwrócić uwagę na to, czy wybrana przez Ciebie platforma zidentyfikuje wiele zasobów, które mogą, ale nie muszą być powiązane z Twoją firmą. Więc pierwszą rzeczą, na którą się przyjrzysz, jest jaki procent aktywów zidentyfikowaliśmy jako nasze aktywa? Pierwszym miernikiem jest to, ile udało Ci się odkryć? Ile zidentyfikowaliśmy? Co pozostaje do zrobienia? Stamtąd osobiście przeszliśmy dalej, aby przyjrzeć się naszym kolejnym pięciu dużym tematom. Na przykład: Czy nasze narzędzie do zarządzania powierzchnią ataku ujawniło wygasłe certyfikaty, konta w chmurze, o których być może nie byliśmy świadomi? Czy wykryliśmy złośliwe oprogramowanie wychodzące z jednego z naszych punktów obecności?
Podam przykład: mieliśmy przypadek, w którym wykryto złośliwe oprogramowanie wychodzące z jednego z naszych biur w Europie, więc natychmiast przystąpiliśmy do działania. Próbowaliśmy określić, jaki to zasób. Przez całe nasze życie nie mogliśmy określić, jaki był to zasób. Przyjrzeliśmy się etykiecie zasobu. To był laptop, ale nie mieliśmy go w naszej sieci. Nie był powiązany z użytkownikiem. Dzięki temu zdaliśmy sobie sprawę, że nasza sieć gości wychodziła z tego samego punktu obecności z tego biura, więc to było coś. Na szczęście nie był to prawdziwy incydent ze złośliwym oprogramowaniem, ale ktoś, kto był gościem w naszej sieci, miał coś, co stanowiło zasób, którego dotyczyła.
To są rodzaje spostrzeżeń, które zaczęliśmy gromadzić z zarządzania powierzchnią ataku w ciągu ostatnich trzech lat. Teraz chcemy być bardziej zaawansowani i spojrzeć na agregację wszystkich tych rzeczy w łączną ocenę, podobnie jak ocenę kredytową.
Laur : To niesamowite, możesz szybko wkroczyć do akcji, gdy zauważysz coś nie tak w globalnej sieci takiej jak ta. Wydaje się to pilne, prawda? Jak więc właściwie przekazać innym współpracownikom i dostawcom oraz wszystkim partnerom w całym łańcuchu i ekosystemie, jak ważne jest rozpoznanie zarządzania powierzchnią ataku? Również dla siebie, czy uważasz się za pioniera, a może lidera parady, w którym prowadzisz drogę dla wielu innych firm, aby zrozumiały, że ten rodzaj technologii i sposób myślenia o bezpieczeństwie jest tutaj, jakby to był prawdziwy rzecz?
Grzegorz: Choć bardzo chciałbym być nazywany wizjonerem, z pewnością nie jestem wizjonerem, ale są to koncepcje, które są znane od jakiegoś czasu. Dopiero teraz zaczynają być adoptowane na dużą skalę. Kiedy zacząłem mówić o zarządzaniu powierzchnią ataku, nie było to łatwe do zrozumienia.
Kiedy wyjaśnisz, co robisz i co faktycznie dadzą Ci narzędzia do zarządzania powierzchnią ataku, ten moment żarówki nastąpił bardzo szybko. Nasz CISO natychmiast dostrzegł wartość tego narzędzia, od razu powiedział, że musimy absolutnie upewnić się, że identyfikujemy wszystkie nasze aktywa. Czego więcej możemy wyciągnąć z tych systemów? To było wspaniałe. Widzieliśmy cień IT. Widzieliśmy konta w chmurze, o których istnieniu nie wiedzieliśmy. Widzieliśmy źle skonfigurowane urządzenia lub certyfikaty, które wkrótce wygasną. Tak więc wartość tego staje się natychmiast widoczna, ale jest to coś, co wymaga trochę wyjaśnienia.
Laur: Więc kiedy mówiłeś o łącznym wyniku zarządzania powierzchnią ataku, brzmi to jak coś, co jest nieco bardziej zrozumiałe dla zarządu i różnych dyrektorów generalnych i innych dyrektorów. Można więc powiedzieć, że poprawiamy się lub nie radzimy sobie w tym roku lub kwartale tak dobrze, jak patrzymy na wyniki zbiorczo jeden po drugim. Czy uważasz, że to zliczanie lub sposób na wprowadzenie karty wyników do bezpieczeństwa pomoże w dyskusji z dyrektorami generalnymi, dyrektorami i zarządami w ogóle?
Greg : Absolutnie. To od dawna trudność. Wszyscy chcą wiedzieć, zwłaszcza po ataku takim jak Colonial Pipeline, czy to może się nam przytrafić? Jak bezpieczni jesteśmy? Jaki jest nasz wynik lub czy możesz mi podać miernik, który powie mi, czy jestem bezpieczny, czy też nasz program jest skuteczny? Często podajemy im różne dane. Oto wszystkie luki, które mamy. Oto instancje złośliwego oprogramowania, które wykryliśmy i wyczyściliśmy. Oto wszystkie incydenty związane z bezpieczeństwem, które obserwujemy każdego dnia. Ale to niekoniecznie przekłada się na: czy jesteśmy bezpieczni? Czy stajemy się lepsi? Czy są obszary, na których możemy się skoncentrować? Tak więc, gdy patrzymy na podanie jednej metryki, z pewnością pomaga to wyjaśnić ten obraz. Jeśli możesz wyjaśnić, w jaki sposób uzyskano tę metrykę, w jaki sposób było to wiele czynników, takich jak certyfikaty, luki lub konfiguracja, a co z agregatem aplikacji skanującym testy bezpieczeństwa aplikacji?
Jeśli spojrzysz na to, jak zredukowaliśmy wszystkie nasze luki wysokiego ryzyka z perspektywy bezpieczeństwa aplikacji, to ma to wpływ na to. Więc wymyślenie tej formuły jest z pewnością trudne. To jest coś, co jest wyzwaniem, a ludzie tacy jak ja w służbie bezpieczeństwa rozwijają się na tego typu wyzwaniach. Ale z pewnością to jest miejsce, w którym widzę dyrektorów generalnych i rady dyrektorów, którzy zdecydowanie stają się bardziej doświadczeni w bezpieczeństwie, to jest to, gdzie widzę, że chcą, aby ta metryka się rozwijała. Chcą zobaczyć wynik, który da im poczucie komfortu, że idzie nam lepiej, a to nie jest coś statycznego. Nie jest to coś, co zawsze będzie się poprawiać, ponieważ cały czas pojawiają się nowe luki, nowe ataki i ten wynik się zmieni. Ale nasza zdolność do zobaczenia wyniku, reagowania na zagrożenia, a następnie utrzymywania go w lepszym stanie, jest dla nas kluczowym wskaźnikiem.
Laur: Czy uważasz, że zarządy i zespoły wykonawcze stają się coraz bardziej świadome bezpieczeństwa? To znaczy, to niemożliwe, prawda, nie widzieć nagłówków prawie co tydzień o tym czy innym włamaniu, ale czy to się przenika?
Grzegorz: Tak. Osobiście wiem, że dla nas zawsze otrzymujemy roczną listę priorytetów, które wychodzą od naszego CEO i naszego zarządu. Odkąd pracuję teraz w mojej firmie w CBRE, każdego roku jest to dla nas priorytet numer jeden lub drugi. Więc jest to najwyższy priorytet, ponieważ widzą nagłówki.
Jak powie ci każdy specjalista ds. bezpieczeństwa, za każdym razem, gdy coś wyjdzie z luki, dzień zerowy, atak taki jak Colonial Pipeline, wszyscy otrzymujemy to samo pytanie. Czy to może się zdarzyć tutaj? Czy jesteśmy zagrożeni? Więc tego typu rzeczy są absolutnie naglące dla naszej rady. Interesujące dla mnie jest to, że zarządy chcą teraz sprowadzić członków, którzy sami są bardziej wyczuleni na bezpieczeństwo i zadają trudne pytania. Co robisz z tymi lukami? Jak szybko można załatać? Jaki jest twój czas między podatnością a łataniem?
Są to rzeczy, które bezpośrednio przemawiają do naszego profesjonalnego języka bezpieczeństwa. Z pewnością są dla nas bardzo istotne, ale z pewnością są bardziej bezpośrednie i bardziej zainwestowane, i dają zarządowi poczucie komfortu, że ktoś po ich stronie mówi językiem bezpieczeństwa.
Laur : To znaczy, to właśnie chcesz zobaczyć, prawda? Oczywiście priorytety zarządu są ogromne, a jednym z nich jest osiąganie zysków, ale drugim jest nieutracanie zysku, a atak cyberbezpieczeństwa może temu zaszkodzić. Musisz więc upewnić się, że mówisz językiem całej firmy.
Greg : Absolutnie.
Laur : Mówiłeś trochę o tym, jak zarządzanie powierzchnią ataku faktycznie daje ci ten wgląd, aby wiedzieć, że sam komputer ma na sobie złośliwe oprogramowanie, ale nie wpłynęło to jeszcze na sieć. Czy istnieją inne spostrzeżenia z oprogramowania do zarządzania powierzchnią ataków, które po prostu Cię zaskoczyły lub uświadomiły, jak ważne było posiadanie tej umiejętności?
Greg : Tak. Jak wiele dużych firm, przeprowadzamy coroczny test pióra. Oznacza to, że zatrudniamy kogoś spoza naszej firmy, aby zaatakował nas tak, jak zrobiłby to zły facet. To daje nam poczucie, jak daleko mogą się posunąć. Różnica w stosunku do rzeczywistych ataków i firm, które zatrudniamy, polega na tym, że dajemy im ustalony czas. Mówimy: „Macie sześć tygodni, żeby się włamać i dotrzeć do naszego środowiska tak daleko, jak tylko się da” i dajemy im warunki zaangażowania. Możesz robić te rzeczy, ale nie możesz robić innych.
W latach, w których stosowaliśmy zarządzanie powierzchnią ataku, wspaniale było widzieć te ataki. Wracają i dają ci odczyt tydzień po tygodniu, to właśnie widzimy, to są rzeczy, które wykorzystaliśmy. Jesteśmy w stanie zobaczyć wiele z tych samych rzeczy, które oni są w stanie zobaczyć.
Na przykład w tym roku wskazali witrynę hostowaną w Republice Południowej Afryki. Powiedzieli, że obsługuje ten framework i wydaje się, że jest na tym dostawcy hostingu. Wygląda na to, że nie ma żadnych luk w zabezpieczeniach, ale atakujemy go i sprawdzamy, czy nie możemy się do niego włamać. Czy to twój adres IP? Tak tak to jest. Jesteśmy tego świadomi dzięki naszemu narzędziu do zarządzania powierzchnią ataku. Znamy aplikację. Niekoniecznie możemy to zabezpieczyć, ponieważ nie wytrzymaliśmy. To część Shadow IT.
Ale ponieważ odkryliśmy to, teraz możemy spróbować dowiedzieć się dokładnie, kto prowadził tę witrynę, co musi zrobić, aby ją zabezpieczyć, czy muszą ją umieścić w naszej zakładce i hostować za pomocą naszego standardowych korporacyjnych dostawców hostingu IT, tego typu rzeczy.
Jest to więc nieocenione z punktu widzenia postrzegania go jako testu piórkowego, jesteśmy w stanie zobaczyć wiele z tych samych rzeczy, które nasi testerzy penetracji widzą poprzez nasze zarządzanie powierzchnią ataku. Pocieszająca jest więc świadomość, że mamy oczy i wzrok na to samo, co napastnik.
Laur : Kiedy mówisz o tym, w jaki sposób faktycznie pomaga to Twojemu zespołowi ds. bezpieczeństwa w skuteczniejszym odpieraniu ataków? Jak pomaga w tym ASM lub zarządzanie powierzchnią ataku?
Greg : Widoczność to nazwa gry z punktu widzenia bezpieczeństwa. Chcieliśmy móc zobaczyć wszystko w naszym otoczeniu. Potem robisz krok poza to i mówisz, w porządku, teraz, gdy widzimy wszystko, jakie zachowanie widzimy z tych aktywów? To był kolejny krok, we współpracy z naszym partnerem w zarządzaniu powierzchnią ataku, aby zacząć obserwować zachowanie tych zasobów, niezależnie od tego, czy wskazują, że może to być kompromis, czy też istnieje jakaś luka. Przypomina to badanie emisji. Więc kiedy myślisz o swoim samochodzie i bierzesz go do testów emisji, podłączają urządzenie do rury wydechowej i widzą, co wychodzi z twojego samochodu, i dają ci ocenę zaliczoną lub negatywną.
Zarządzanie powierzchnią ataku jest bardzo podobne do tego. Z behawioralnego punktu widzenia jesteśmy w stanie przyjrzeć się wszystkim tym punktom obecności, wszystkim tym internetowym adresom IP i zobaczyć, co z nich wychodzi. To daje nam pewien wgląd w ich zachowanie. Następnie idziemy o krok dalej i faktycznie integrujemy to wszystko w czasie rzeczywistym z naszą kartą SIM, naszym systemem zarządzania incydentami bezpieczeństwa i zdarzeniami. Jest to monitorowane 24 godziny na dobę, 7 dni w tygodniu przez nasze centrum operacji bezpieczeństwa, dzięki czemu gdy widzimy coś, co podnosi poziom incydentu bezpieczeństwa, możemy na to zareagować w czasie rzeczywistym.
Laur: Dokładnie to, co chcesz zrobić, sprawić, by maszyny wykonywały wiele ciężkich zadań, a następnie sprowadzić ludzi, aby rzeczywiście zorientowali się, co się dzieje i co się dzieje, i zabezpieczyli całą firmę.
Grzegorz: Absolutnie tak.
Laur: Jak niemal wszechobecne przyjęcie usług w chmurze wpływa na sposób, w jaki myślisz o bezpieczeństwie i zarządzaniu powierzchnią ataku. Niezależnie od tego, czy jest to rozkręcona instancja, czy winda, nadal jest to powierzchnia, prawda?
Grzegorz: Zgadza się i jest to kluczowy problem. Kiedy myślisz o elastycznej naturze większości dostawców usług w chmurze, wiele infrastruktury można uruchomić w ciągu kilku minut, a Ty możesz, ale nie musisz, być świadomy tej infrastruktury, tego, jak jest połączona, jakie luki w niej zawiera. Zarządzanie powierzchnią ataku zapewnia nam taką samą widoczność, jaką miałby atakujący. Więc gdy wszystko się rozkręca, na przykład są źle skonfigurowane i w jakiś sposób wyciekają dane, nawet metadane, w pobliżu, hej, jestem tutaj, jestem serwerem sieciowym. Oto moja wersja. Oto mój numer, który daje napastnikowi mnóstwo informacji, których niekoniecznie chcemy, aby zobaczyli. Jakiego rodzaju luki istnieją w tym konkretnym serwerze WWW i jego wersji oraz jakie rzeczy mogę ujawnić? Już sama ekspozycja daje atakującym przyczółek. Mogą zacząć skanować ten konkretny zasób i szukać sposobów na brutalne wymuszenie lub pukanie do drzwi, aby rzeczywiście znaleźć sposób na wejście do naszego środowiska.
Tak więc z naszej perspektywy zarządzanie powierzchnią ataku zapewnia nam wgląd w to, czy patrzymy na wszystkie nasze środowiska chmurowe i możemy im powiedzieć, czego używamy i czego jesteśmy świadomi, a następnie mogą je monitorować pod kątem zmian w naszej postawie które wyjdą i przyjrzyjmy się, czy mamy aktywa, które niekoniecznie chcieliśmy ujawnić w Internecie, i co mówimy światu poprzez ujawnienie tych aktywów. Więc to z pewnością zmieniło dla nas, gdy myślimy o tym, jak działa nasze środowisko w chmurze. Pomogło nam to upewnić się, że nasze środowisko chmury, z wyjątkiem bardzo konkretnych punktów obecności, jest w dużej mierze zawarte w tej sieci chmury prywatnej.
Laur : To był dość trudny rok dla wielu ludzi i wielu branż, ale odgłosy pandemii w branży nieruchomości komercyjnych będą się powtarzać przez lata, jeśli nie dziesięciolecia. O czym myślisz inaczej w kwestii bezpieczeństwa z powodu pandemii?
Grzegorz: Z pewnością pierwszą rzeczą, jaka przyszła mi do głowy w zeszłym roku, kiedy wszyscy pracowali w domu, i myślę, że będzie to prawdą przez kilka lat, to jak chronić ludzi, którzy teraz pracują w domu? Jak chronimy pracowników, którzy są w sieci domowej ze swoimi rodzinami? Ich rodziny mogą nie mieć tych samych narzędzi bezpieczeństwa, co my, a nasze aktywa mogą być narażone. Dlatego przyjrzeliśmy się takim rzeczom jak Always On VPN, które chronią naszych pracowników przed wszystkim, co dzieje się w ich konkretnej sieci domowej. To z pewnością było pomocne. Przyglądamy się również nowym technologiom, takim jak Secure Access Service Edge, abyśmy mogli spróbować przybliżyć wszystkie nasze narzędzia i technologie osobom, które pracują w domu lub pracują z dowolnego miejsca.
W końcu myślę, że kładzie ogromny nacisk na bezpieczeństwo jako całość. Istnieje znacznie większa świadomość rzeczy, które wydarzyły się w ciągu ostatniego roku, a które naprawdę uświadomiły potrzebę dobrego programu bezpieczeństwa cybernetycznego. Skutkiem tego było to, że i tak już zła sytuacja, w której znalezienie naprawdę dobrych, niezawodnych specjalistów ds. bezpieczeństwa stała się jeszcze bardziej tragiczna. Bardzo trudno jest znaleźć, a ich sytuacja jest teraz inna. Wielu specjalistów ds. bezpieczeństwa pracuje w domu i chcą większej elastyczności, aby kontynuować pracę z domu, mieć elastyczny harmonogram lub pracować w innym biurze. Tak więc znalezienie naprawdę dobrych ludzi jest z pewnością trudniejsze po pandemii.
Laur : Myślę, że jest to problem nie tylko dla pracowników ochrony, ale ogólnie, ponieważ ludzie zmieniają sposób, w jaki żyją i chcą pracować. Powiedziałeś, że coś interesującego to tylko pomysł zabezpieczenia sieci domowej, co oznacza, że odpowiedzialność firmy zaczyna wykraczać poza zwykle dość dobrze zdefiniowane obszary firmy. Ponieważ w rzeczywistości, jeśli dom nie jest zabezpieczony, to sieć nie jest bezpieczna, a wtedy twój pracownik nie jest bezpieczny.
Greg : Zgadza się. Kiedy o tym myślisz, mamy pewną wiedzę o tym, kim są nasi najbardziej atakowani ludzie. Znamy niektóre osoby, które są częściej atakowane, ponieważ są jakiegoś rodzaju dyrektorami, lub pracują w kadrze kierowniczej, lub są na stanowisku, powiedzmy, w dziale prawnym lub finansowym, gdzie atakujący mógłby wykorzystać te pozycje do popełnienia oszustwa.
Myślenie o tym, jak chronimy tych ludzi, gdy pracują w domu, jest dla nas kluczową troską. W przypadku tej sieci Always On VPN wprowadzenie tego wszędzie było wyzwaniem, ale zrobiliśmy to w krótkim czasie. Teraz mamy takie samo bezpieczeństwo, jakie zapewniamy wszystkim naszym pracownikom, niezależnie od tego, czy są w domu, czy są w biurze, czy w kawiarni. Myślę, że to z pewnością ogranicza ryzyko.
Laur : Greg, bardzo dziękuję za przyłączenie się do nas dzisiaj w fantastycznej rozmowie w Business Lab.
Grzegorz: Dziękuję Ci. Bardzo to doceniam.
Był to Greg Belanger, wiceprezes ds. technologii bezpieczeństwa w CBRE, z którym rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles. To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Założyliśmy nas w 1899 roku w Massachusetts Institute of Technology i można nas znaleźć w druku, w Internecie oraz na wydarzeniach organizowanych każdego roku na całym świecie.
Więcej informacji o nas i programie znajdziesz na naszej stronie internetowej technologyreview.com. Program jest dostępny wszędzie tam, gdzie zdobędziesz swoje podcasty. Jeśli spodobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować. Business Lab to produkcja MIT Technology Review. Ten odcinek został wyprodukowany przez Collective Next. Dziękuję za słuchanie.
Ten odcinek podcastu został wyprodukowany przez Insights, dział zajmujący się treściami niestandardowymi MIT Technology Review. Nie został wyprodukowany przez redakcję MIT Technology Review.