Lepsze cyberbezpieczeństwo oznacza znajdowanie nieznanych niewiadomych

W związku z Cortex Xpanse firmy Palo Alto Networks

W ciągu ostatnich kilku miesięcy serwery Microsoft Exchange były jak kumpel w szał karmienia rekinów . Podmioty zajmujące się zagrożeniami zaatakowały krytyczne luki dnia zerowego w oprogramowaniu pocztowym: bezlitosną kampanię cybernetyczną, którą rząd USA określił jako powszechna eksploatacja krajowa i międzynarodowa które mogą mieć wpływ na setki tysięcy ludzi na całym świecie. Uzyskanie wglądu w taki problem wymaga pełnego zrozumienia wszystkich zasobów podłączonych do sieci firmy. Ten rodzaj ciągłego śledzenia zapasów nie jest skalowany w zależności od sposobu pracy ludzi, ale maszyny mogą z łatwością sobie z tym poradzić.

Dla dyrektorów biznesowych z wieloma priorytetami po pandemii nadszedł czas, aby zacząć priorytetyzować bezpieczeństwo. W dzisiejszych czasach jest prawie niemożliwe, aby prowadzić prawie dowolną wielkość firmy, w której w przypadku awarii IT Twoja firma nadal może działać, zauważa Matt Kraning, dyrektor ds. technologii i współzałożyciel Cortex Xpanse, niedawno przejętego dostawcy oprogramowania do zarządzania powierzchnią ataków. przez Palo Alto Networks.

Możesz zapytać, dlaczego firmy po prostu nie łatają swoich systemów i nie powodują zniknięcia tych problemów. Gdyby to było takie proste. O ile firmy nie wdrożyły sposobu na znajdowanie i śledzenie swoich aktywów, to rzekomo proste pytanie jest łamigłówką.

Ale firmom trudno jest odpowiedzieć na proste pytanie: a mianowicie, ile mają routerów, serwerów lub zasobów? Jeśli dyrektorzy ds. cyberbezpieczeństwa nie znają odpowiedzi, niemożliwe jest przekazanie zarządowi dokładnego poziomu podatności na zagrożenia. A jeśli zarząd nie rozumie ryzyka – i jest zaskoczony czymś jeszcze gorszym niż Exchange Server i ataki SolarWinds 2020 – cóż, historia prawie pisze się sama.

Dlatego Kraning uważa, że ​​tak ważne jest stworzenie minimalnego zestawu standardów. I, jak mówi, zarządy i kadra kierownicza muszą być minimalnie zaznajomieni pod pewnymi względami z ryzykiem cyberbezpieczeństwa i analizą tych wskaźników. Ponieważ bez tego poziomu zrozumienia zarządy nie zadają właściwych pytań, a dyrektorzy ds. cyberbezpieczeństwa nie prowadzą właściwych rozmów.

Kraning uważa, że ​​zarządzanie usługami ataków to lepszy sposób na zabezpieczenie firm za pomocą ciągłego procesu odkrywania zasobów, w tym wszystkich zasobów dostępnych w publicznym Internecie — co nazywa nieznanymi niewiadomymi. Nowe zasoby mogą pojawiać się z dowolnego miejsca w dowolnym czasie. W rzeczywistości jest to problem, który można rozwiązać w dużej mierze za pomocą wielu technologii, które są opracowywane, mówi Kraning. Kiedy już wiesz, że problem istnieje, naprawienie go jest raczej proste. I to jest lepsze nie tylko dla firm, ale dla całego ekosystemu korporacyjnego.

Pokaż notatki i linki:

Plan przywództwa do podjęcia jutro , Badanie Global CEO Survey, PwC

Pełny zapis

Laur Ruma : Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesowym zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek.

Naszym dzisiejszym tematem jest zarządzanie powierzchnią ataku. Skąd przyjdzie kolejne naruszenie cyberbezpieczeństwa? Przedsiębiorstwa mają coraz więcej elementów podłączonych do swojego Internetu, w tym stale rozwijające się sieci i starzejącą się infrastrukturę. A gdy atakujący stają się bardziej kreatywni, dyrektorzy również będą musieli.

Dwa słowa dla Ciebie: nieznane niewiadome.

Moim gościem jest Matt Kraning, dyrektor ds. technologii i współzałożyciel firmy Expanse, która została niedawno przejęta przez Palo Alto Networks. Matt jest ekspertem w dziedzinie optymalizacji na dużą skalę, wykrywania rozproszonego i algorytmów uczenia maszynowego działających w systemach masowo równoległych. Przed współzałożeniem Expanse, Matt pracował dla DARPA, między innymi w Afganistanie. Matt posiada tytuły doktora i magistra na Uniwersytecie Stanforda. Ten odcinek Business Lab jest produkowany we współpracy z Palo Alto Networks. Witaj, Mat.

Matt Kraning : Dziękuję bardzo. Bardzo się cieszę, że tu jestem.

Laur : Od samego początku byłeś ekspertem w dziedzinie rozproszonego wykrywania na dużą skalę i algorytmów uczenia maszynowego działających w systemach masowo równoległych. W jaki sposób ta wiedza doprowadziła Cię do współtworzenia firmy zajmującej się zarządzaniem powierzchnią ataku?

Matt : Cóż, powiem kilka rzeczy. Nazwaliśmy to zarządzaniem powierzchnią ataku, ale w rzeczywistości była to bardzo długa droga do tego i tak naprawdę nie postanowiliśmy, wiedząc, że dokładnie tak będzie się to nazywać lub co dokładnie będziemy robić. Nie ma więc nawet kategorii Gartnera, która jest pewnym sposobem potwierdzania istnienia segmentu rynku. To właściwie wciąż wychodzi. Tak więc obszar zarządzania powierzchnią ataku właściwie wymyśliliśmy sami. A wiele inwencji oznacza, że ​​jest w tym wiele odkryć.

W przeciwieństwie do wielu firm zajmujących się bezpieczeństwem korporacyjnym i IT, w których w wielu przypadkach większość zakładanych firm zwykle wchodzi na istniejący rynek — zwykle dokonują stopniowego lub ewolucyjnego postępu w stosunku do tego, co już zostało wynalezione — faktycznie wzięliśmy innego podejścia i powiedział: „Naprawdę, ze świeżymi oczami, pytamy: „Czego nie jest dziś serwowany na rynku?” I wpadł na pomysł: „Czy internet, ze wszystkimi jego obietnicami, jest rzeczywiście będzie strategiczną odpowiedzialnością dla organizacji, a nie tylko strategicznym aktywem?

Opracowaliśmy wiele technik i technologii, aby zasadniczo patrzeć na cały Internet jako zbiór danych: do ciągłego gromadzenia informacji o Internecie, w którym tak naprawdę pochodzi nasze doświadczenie zarówno ze środowisk akademickich, jak i z naszej pracy w obronie i społeczności wywiadowczych, w miejscach takich jak DARPA oraz w różnych miejscach w amerykańskich agencjach wywiadowczych. I powiedzieliśmy, że w Internecie wydaje się, że jest cała masa zepsutych rzeczy i, co zaskakujące, wiele z nich jest faktycznie związanych z bardzo dużymi, bardzo ważnymi firmami. To właśnie drapanie w odpowiedzi na to pytanie doprowadziło nas do założenia firmy Expanse, a następnie stworzenia pierwszego i wiodącego produktu w dziedzinie znanej obecnie jako zarządzanie powierzchnią ataku, która polega na zrozumieniu wszystkich posiadanych zasobów. zrozumienie zagrożeń, jakie mogą stwarzać, a następnie rozwiązywanie problemów.

Ale kiedy założyliśmy Expanse w 2012 roku, nie wiedzieliśmy, że będzie to zarządzanie powierzchnią ataku. Nie mieliśmy nawet nazwy zarządzanie powierzchnią ataku. Zamiast tego był bardzo skoncentrowany na problemach: „Widzimy wiele dziwnych i niebezpiecznych rzeczy w Internecie oraz wiele luk w zabezpieczeniach. Dużo klikajmy na to dwukrotnie i zobaczmy, czy istnieje sposób na zbudowanie biznesu na tym tle.

Laur : A jak bardzo zmienił się internet w ciągu tych dziewięciu krótkich lat, prawda? Kiedy mówisz o tym zestawie danych i próbujesz znaleźć informacje o tym, gdzie znajdują się największe zagrożenia bezpieczeństwa, jak trudno było je znaleźć? Czy rozejrzałeś się i zobaczyłeś: „Och, spójrz, istnieją całe zbiory danych, które można łatwo prześledzić wstecz do tych firm. Przeciekają. Lub „Rzeczy nie są bezpieczne”.

Matt : Uwielbiam zdanie: „Wszystko jest oczywiste, gdy znasz odpowiedź”. Myślę, że początkowo jednym z głównych wyzwań jest to, że aby chociażby pokazać, jak duży jest ten problem, trzeba zebrać dane. A zbieranie danych nie jest łatwe, zwłaszcza w trybie ciągłym lub regularnym, tak naprawdę trzeba mieć duże doświadczenie w inżynierii systemów, duże doświadczenie w zakresie systemów rozproszonych, aby faktycznie zbierać dane o wszystkim. Myślę, że to, co sprawiło, że nasze podejście jest wyjątkowe, to fakt, że faktycznie powiedzieliśmy: „A co, jeśli zbierzemy dane z każdego systemu w Internecie?”. Co jest w rzeczywistości możliwe dzięki wielu zaletom kosztowym, które umożliwiają takie rzeczy, jak przetwarzanie w chmurze, ale także zaletom oprogramowania zarówno w przypadku oprogramowania typu open source, jak i rzeczy, które sami napisalibyśmy. A potem, zamiast zaczynać od rzeczy, które znasz o firmie i próbować oszacować jej ryzyko, powiedzieliśmy: „Dlaczego nie zaczniemy od wszystkiego w Internecie, a potem nie spróbujemy sprowadzić tego do tego, co jest interesujące?”.

I wiele bardzo dobrych spostrzeżeń wyszło z tego, gdzie znowu, prawie przez przypadek, zaczęliśmy odkrywać, że faktycznie znaleźlibyśmy o wiele, wiele więcej problemów związanych z bezpieczeństwem, niż organizacje faktycznie wiedziały o sobie. Kiedy rozmawiam z organizacjami, nie rozmawiam z małymi firmami. Mówię o służbach wojskowych. Mówię o firmach z listy Fortune 500, firm z listy Fortune 100, firm z listy Fortune 10. Nawet najwięksi, najbardziej skomplikowani, ale też najlepsi finansiści, najbardziej elitarni klienci mieli problemy z bezpieczeństwem. A tak naprawdę naszym odkryciem i naszą podróżą w tworzeniu kategorii, w tworzeniu koncepcji zarządzania powierzchnią ataku, było to, że znaleźliśmy wszystkie te luki w zabezpieczeniach i wszystkie te zasoby w odległych miejscach w dowolnym miejscu w Internecie i będą one występować przez z wielu powodów.

Ale w rzeczywistości było to interesujące, ponieważ chociaż wyzwania związane z bezpieczeństwem i zagrożenia bezpieczeństwa były bardzo realne, prawdziwymi symptomami, które odkryliśmy, było to, że organizacje nie miały skutecznych środków do śledzenia wszystkich zasobów, które posiadały online i jednocześnie oceniać stan bezpieczeństwa tych aktywów oraz jednocześnie naprawiać, naprawiać i ograniczać ryzyko osób przeciwnych organizacji.

I myślę, że jedną z bardzo interesujących rzeczy było to, że patrząc wstecz, możemy teraz powiedzieć: „Oczywiście, chcesz wykonywać wszystkie te czynności”. Ale ponieważ faktycznie robiliśmy coś nowego, czego nigdy wcześniej nie robiono, była to nowa kategoria, musieliśmy odkryć to wszystko, zaczynając od punktu: „Wydaje się, że w Internecie jest wiele zepsutych rzeczy. Nie wiemy dokładnie dlaczego, ale chodźmy zbadać.

Laur : To dobry sposób na myślenie o tym, zaczynając od innego miejsca, a potem cofając się. Tak więc Matt, według niedawnego badania PwC przeprowadzonego wśród ponad 5000 dyrektorów generalnych na całym świecie, 47% jest bardzo zaniepokojonych cyberbezpieczeństwem. Teraz 47% nie brzmi dla mnie jak duża liczba, czy nie powinna być bliższa 100%?

Matt : Powiedziałbym, że każdy dyrektor generalny, z którym rozmawiałem, jest w pewnym stopniu z tego powodu zaniepokojony. I myślę, że wiele zależy od tego, gdzie się znajdują. Ogólnie rzecz biorąc, zauważyliśmy bardzo duży wzrost, zwłaszcza w ciągu ostatnich pięciu lat, uwagi dyrektorów generalnych i zarządów na kwestie cyberbezpieczeństwa. Wydaje mi się, że zaobserwowaliśmy opóźnienie, choć myślę, że istnieje kilka wyjątków w tym obszarze, to fakt, że wiele narzędzi i prezentacji, które są przeznaczone, zwłaszcza dla odbiorców wykonawczych, dotyczące zagrożeń związanych z cyberbezpieczeństwem, nie przekazują skutecznie wszystkiego, co ci ludzie trzeba podejmować skuteczne decyzje. I myślę, że jest to trudne z różnych powodów, zwłaszcza że wielu prezesów i zarządów niekoniecznie ma do tego pełne zaplecze techniczne. Ale myślę, że jak dotąd w branży nie udało się zapewnić tych narzędzi. I myślę, że zobaczymy tam coraz więcej zmian.

Przyrównuję to do stanu finansów przed Sarbanes-Oxleyem, który w zasadzie zaczął wymagać od dyrektorów generalnych szkoleń, a także zarządów, aby zaczęli rozumieć pewne wskaźniki finansowe, aby faktycznie mieć pewne kontrole. Myślę, że na wysokim szczeblu będziemy musieli zobaczyć coś takiego w nadchodzących latach, które zostanie w jakiś sposób wdrożone, aby powiedzieć, że istnieje minimalny zestaw standardów i że zarządy i kadra kierownicza muszą być pod pewnymi względami minimalnie zaznajomieni o ryzyku cyberbezpieczeństwa i analizie tych wskaźników. W tej chwili wiele osób mówi: „Jestem zaniepokojony tym, ale też nie wiem, gdzie mam się teraz udać” lub „Jestem zaznajomiony. Mamy raport. Zatrudniliśmy jakąś firmę. Mieli tę prezentację, która zawierała całą masę slajdów PowerPointa z wieloma wykresami, które miały lampki choinkowe, które sprawiły, że mój mózg się roztopił. I tak naprawdę nie mogłem zrozumieć koncepcji”.

Myślę, że ludzie to rozumieją, ale wciąż jesteśmy w początkowej fazie, Jak masz nad tym skuteczną kontrolę? A potem, jak właściwie masz programy, które są wokół niego solidne? Znowu musimy iść w tym kierunku, ponieważ coraz więcej zarządów musi postrzegać to jako fundamentalny aspekt swojej firmy, zwłaszcza że prawie wszystkie dzisiejsze firmy nie dbają o to, w jakiej branży działasz, jakiej wielkości, jaka jest Twoja firma. firma faktycznie działa na IT. W dzisiejszych czasach jest prawie niemożliwe prowadzenie firmy niemal każdej wielkości, w której, jeśli Twoje IT ulegnie awarii, Twoja firma nadal będzie w stanie działać. W związku ze zrozumieniem cyberbezpieczeństwa na tych poziomach, którego częścią jest teraz powierzchnia ataku, bardzo ważne jest, aby organizacje były w stanie to zrozumieć, ponieważ w przeciwnym razie narazisz swoją organizację na bardzo duże ryzyko, nie umiejętność właściwej oceny takich rzeczy.

Laur : Tak. I to wraca do starego powiedzenia, że ​​każda firma to firma technologiczna. Ale może to jest bardziej konkretny przykład tego, jak to jest. Czy mógłbyś pokrótce opisać, czym jest zarządzanie powierzchnią ataku, być może dla kierownictwa?

Matt : Sposób, w jaki opisujemy zarządzanie powierzchnią ataku, jest w rzeczywistości procesem składającym się z trzech kroków, w którym wszystkie kroki są wykonywane w sposób ciągły w formie cyklu, ale jest to proces i procedura, za pomocą której Ty, a tak naprawdę dostawca, w tym przypadku Expanse lub Palo Alto Networks, stale odkrywaj wszystkie zasoby, które posiada organizacja. W naszym przypadku, z zewnętrznej powierzchni ataku, wszystkie zasoby, które masz w publicznym Internecie. I jest to proces ciągły, ponieważ w dowolnym momencie, i mogę przejść do tego później, ale w dowolnym momencie nowe zasoby mogą pojawić się z dowolnego miejsca w Internecie. Potrzebny jest więc ciągły proces wykrywania, który mówi: „W dowolnym momencie mogę nie wiedzieć wszystkiego o moich aktywach, więc powinienem dysponować mechanizmami gromadzenia informacji o tym, gdzie mogą się one znajdować, i próbować powiązać je z moją organizacją”.

Jednocześnie, gdy tylko zasób zostanie odkryty, musisz mieć środki, aby ocenić go pod kątem wielu różnych cech. W wielu przypadkach, jeśli odkryłem nowy zasób, czy ten zasób jest rzeczywiście nowy? A jeśli nie, to dopasowywanie, normalizowanie, deduplikowanie tego z innymi rzeczami. Jeśli jest to nowy zasób, w większości przypadków nie będzie zarządzany. Jak więc właściwie rozpocząć szereg działań, aby powiedzieć: „To jest zasób, który istnieje w moim, ale zwykle istnieje poza zamierzonym zestawem kontroli bezpieczeństwa. Jak więc rozpocząć proces oceny, jakie kontrole należy wprowadzić, a następnie wprowadzić go w zarządzanie”. A trzecią częścią oceny jest również zrozumienie, jakie jest ryzyko, jakie stanowi to natychmiast dla mojej organizacji, aby pomóc mi określić priorytety działań.

Ostatnim krokiem jest to, co nazywamy łagodzeniem. Po dokonaniu oceny wszystkiego, co odkryłeś, co właściwie z tym robisz? Jakie działania podejmujesz i jak to robisz w wysoce zautomatyzowany i skuteczny sposób. A dla nas istnieją dwa podstawowe kroki, które obejmują łagodzenie. Wspomniałem o ustalaniu priorytetów, ale to jeden z nich, polegający na zarządzaniu systemami. W wielu przypadkach oznacza to również, że w przypadku większości systemów powiązanych z naszymi dużymi klientami oznacza to w rzeczywistości odłączenie ich bezpośrednio od Internetu, więc umieszczamy je za VPN lub innym rodzajem urządzenia firmowego lub tworzymy pewni, że są one wtedy znane, a następnie aktualne, ponieważ w wielu przypadkach prawdziwym objawem problemów z bezpieczeństwem, które znajdujemy, jest fakt, że zasób był po prostu niezarządzany przez bardzo długi czas i może zawierać zabezpieczenia luki, które zostały później wykryte po prostu dlatego, że istniałyby poprawki zabezpieczeń dla znanych problemów z zabezpieczeniami, które nie zostały zastosowane.

W niektórych przypadkach, takich jak ataki typu zero-day, o wiele ważniejsza jest wiedza, gdzie znajdują się wszystkie zasoby, aby móc je jak najszybciej naprawić. Jednak w przypadku większości zasobów, które odkrywamy dla naszych klientów i pomagamy zarządzać powierzchnią ataku, prawdziwym problemem jest to, że zasoby te po prostu nie są znane. A dla kadry kierowniczej prawdziwym kluczem jest to, że istniejące procesy i narzędzia, z których korzysta wiele firm, mogą być bardzo dobre z tej pewnej strony bezpieczeństwa, ale zakładają, że sieci są w rzeczywistości znacznie bardziej statyczne.

Laur : Więc jakie są konsekwencje braku znajomości rzeczywistej powierzchni ataku przedsiębiorstwa?

Matt : Największy, najbardziej oczywisty to zwiększone ryzyko naruszenia. Myślę, że przez wiele lat 2000 było to powiedzenie, wspierane w dużej mierze przez dostawców, że wszystko zaczęło się od phishingu e-mailowego. I są bardzo, bardzo duzi dostawcy zabezpieczeń poczty e-mail, którzy wciąż pompują tę wiadomość, że każdy incydent związany z bezpieczeństwem jest w rzeczywistości wiadomością phishingową i że ludzie są najsłabszym ogniwem, kiedy klikają, i dlatego kupują więcej zabezpieczeń poczty e-mail.

Nie sądzę, żeby to było złe. Myślę, że właściwie to słuszne, że bezpieczeństwo to wielka rzecz, możesz to kupić. Ale o wiele łatwiej jest to złagodzić, zwłaszcza teraz, dzięki wielu dobrym narzędziom, takim jak w rzeczywistości masz pełny wgląd w wszystkie wiadomości e-mail wysyłane do pracowników, ponieważ muszą oni przechodzić przez centralny serwer pocztowy. Właściwie jest to kwestia możliwości wykrycia złych rzeczy, ale bez konieczności odkrywania, powiedzmy, e-maili, na które nie masz wglądu.

Myślę, że w przeciwieństwie do tego, co widzieliśmy, zwłaszcza ostatnio w ciągu ostatniej dekady, a tak naprawdę nawet w ciągu ostatnich pięciu lat, to niektóre z absolutnie najgorszych naruszeń, które powodują szkody od setek milionów do miliardów dolarów, nie nadchodzą. przed phishingiem. W rzeczywistości pochodzą one z zwykle nieznanych i niemonitorowanych zasobów, które w wielu przypadkach faktycznie znajdowały się w publicznym Internecie. Myślę więc, że jednymi z największych przykładów są takie rzeczy, jak atak WannaCry, który spowodował, szacuje się, że na całym świecie szkody szacowane są na ponad 10 miliardów dolarów, spowodował zamknięcie całych firm, umieszczając z powrotem większość systemu opieki zdrowotnej w Wielkiej Brytanii. i papier na rzeczywiste dni.

A prawdziwe konsekwencje są takie, że masz te wszystkie dodatkowe drogi, do których możesz się dostać, ponieważ jest o wiele więcej zasobów, które są online, a które nie są śledzone przez organizacje, i tak właśnie wkraczają napastnicy, ponieważ okazuje się, że jest wydajne, zautomatyzowane sposoby, dzięki którym atakujący mogą zrozumieć, zbadać i wykorzystać te powierzchnie ataków. A konsekwencje są dość śmiałe. Widzisz, jak większość opieki zdrowotnej kraju pierwszego świata zredukowana jest do pióra i papieru na kilka dni. Bardzo, bardzo poważne, ponieważ nie chodzi tylko o zhakowanie czyjejś poczty, ale w rzeczywistości o zhakowanie krytycznej infrastruktury samej sieci.

Laur : Mówiąc o infrastrukturze krytycznej, innym niedawnym atakiem jest stacja uzdatniania wody na Florydzie, gdzie napastnik mógł zdalnie zmienić skład chemiczny wody, aby dodać do niej ług, który mógł zatruć całą społeczność. Zatem infrastruktura jest ogromnym problemem dla bardzo dużych firm, takich jak oczyszczalnie wody, firmy naftowe i gazowe itp.?

Matt : Absolutnie. W takim przypadku, zgodnie z moim najlepszym zrozumieniem, wektorem ataku był serwer dostępu zdalnego, który ktoś w tej fabryce pozostawił otwarty, był w Internecie i pozwolił komuś wejść. ponowne znalezienie sposobów, które są skutecznymi narzędziami zapewniającymi wygodę IT, ale które mogą zostać zniweczone przez napastników, ponieważ narzędzia zapewniające wygodę IT nie są w takim stopniu wzmocnione, jak inne rzeczy, które mają być w Internecie i są pomijane jako rzecz oczywista. Mamy tę linię, którą lubimy postrzegać Internet na większość sposobów, tak jak większość z nas doświadczała przez nasze przeglądarki internetowe lub telefon. To naprawdę fajna konfiguracja dla konsumentów, a wszystkie strony, które oglądamy, wyglądają bardzo ładnie i przyjemnie, i tam idziemy.

I to jest dobra analogia do świata fizycznego, jak sądzę, wkrótce po tym, jak wszyscy zostaniemy zaszczepieni przed Covid-19, wrócimy na zakupy na zewnątrz. Możesz iść do Starbucksa i sklep jest naprawdę fajny, masz wspaniałe doświadczenie, dostajesz latte, wychodzisz, ale gdy spojrzysz pod wszystkie blichtru na ulicach, masz w rzeczywistości znacznie starszą infrastrukturę. Masz rzeczy takie jak brak rur kanalizacyjnych i inne rzeczy, które są tłuste i pękające. I to jest infrastruktura, która wspiera piękniejszy świat na górze.

Wiele z tego, co postrzegamy jako część powierzchni ataku, to analogia IT, że większość ludzi postrzega Internet jako po prostu: „Co jest w ich przeglądarce internetowej? Co jest w telefonie, te ładne strony internetowe dla konsumentów? Ale istnieje cała wewnętrzna infrastruktura IT, która to obsługuje. I trochę skrzypi i nie zawsze jest dobrze skonfigurowany. Bez czegoś takiego jak ASM masz problemy, których właściwie nie znasz, ponieważ jest tak duża, rozproszona i złożona. I tak jak w przypadku Florydy, która nawiasem mówiąc była mniejszą organizacją, chodzi o to, skąd wiesz, że coś się nie dzieje? Zgodnie z jakąkolwiek polityką bezpieczeństwa IT posiadanie usługi zdalnego dostępu w Internecie nie powinno być dozwolone. Ale nawet mniejszym organizacjom bardzo trudno jest uzyskać ciągłą widoczność tego, jak naprawdę wyglądam z zewnątrz? Jak wyglądam dla atakującego ze starszymi narzędziami?

Laur : I to jest dobry przykład ataku, który nie jest atakiem typu phishing. Nie ma to nic wspólnego z e-mailem. Skoro jesteśmy w trakcie dyskusji na temat ataków, szczególnie w tym roku, SolarWinds i Exchange, w jaki sposób wdrożenie ASM zmieniłoby te wyniki dla organizacji? A co z tymi szczęśliwymi organizacjami, które faktycznie zrozumiały swoje opcje zarządzania powierzchnią ataku i były w stanie to znaleźć i udaremnić atak?

Matt : Będę rozmawiał z obydwoma, ponieważ wielu naszych klientów miało oba tego rodzaju systemy i pomogliśmy im zareagować. Myślę, że hacki Microsoft Exchange i trochę tła dla twoich słuchaczy: w rzeczywistości ogłoszono zestaw dni zerowych dla zestawów wersji usług pocztowych Microsoft Exchange na początku lutego i marca tego roku. Bardzo, bardzo niebezpieczne, ponieważ w rzeczywistości są to serwery pocztowe organizacji i jeśli podążałeś za tym łańcuchem XY, zasadniczo pozwolił ci wysłać wiadomość do serwera pocztowego, aby zapewnić ci skutecznie nieograniczony dostęp administracyjny do całej poczty serwer. W rzeczywistości były ich setki tysięcy, które wykryliśmy online. I faktycznie, jeśli się nad tym zastanowić, posiadanie przez atakującego możliwości pobrania całego lub większości firmowego serwera pocztowego wraz ze wszystkimi przechowywanymi tam poufnymi informacjami jest bardzo poważnym atakiem.

Więc to, co zauważyliśmy, to właściwie dwie rzeczy, a duże organizacje były bardzo tego świadome i łatały bardzo, bardzo szybko. Ale było wielu klientów, którym mogliśmy pomóc tam, gdzie są tak liczni, że w rzeczywistości nie mają nawet jednego centralnego zestawu serwerów pocztowych. Więc bez Expanse nie byliby w stanie znaleźć nawet wszystkich swoich serwerów pocztowych i nie byliby w stanie załatać ich na czas, ponieważ są one tak rozproszone, że faktycznie potrzebowali inwentaryzacji nawet swoich serwerów pocztowych. I bardzo trudno jest to zagregować w jeden centralny sposób, chyba że używasz narzędzia ASM, takiego jak Expanse. Ponieważ zamiast tego w wielu przypadkach zwykle używasz programów Microsoft Outlook i Microsoft Excel. Będziesz wysyłać e-maile do różnych jednostek biznesowych. Zapytacie liderów IT w tych różnych jednostkach biznesowych. Jeśli zostaną załatane, będą wysyłać z powrotem e-maile i arkusze kalkulacyjne. To bardzo, bardzo ręczny proces.

Tak więc w stanie zidentyfikować to i naprawdę pomóc im w bardzo krótkim czasie, na przykład jednego dnia, znaleźć i naprawić każdy serwer, który mieli w swojej posiadłości, co naszym zdaniem naprawdę zmieniło wynik, ponieważ mogli były podatne na ataki od tygodni w niektórych przypadkach. W przypadku SolarWinds również myślę, że szczegóły są nieco inne, ponieważ nie wszystkie aktywa SolarWinds są koniecznie dostępne w Internecie. A także w wielu przypadkach byli tam od miesięcy. W ramach szerszego Palo Alto mieliśmy inne produkty, które były w stanie powstrzymać SolarWinds: w szczególności atak SolarWinds, nasz framework punktów końcowych o nazwie XDR. Ale nawet w przypadku SolarWinds, gdy atak był znany, klienci nadal mają problem, nie wiedzieli nawet, gdzie znajdują się wszystkie ich serwery SolarWinds, co ponownie odnosi się do tego problemu z inwentaryzacją i wyboru możliwości, zarówno jak Expanse, jak i inne. możliwości, które mamy teraz w ramach Palo Alto, byliśmy w stanie bardzo szybko pomóc klientom zrozumieć, gdziekolwiek mieli ekspozycję na SolarWinds, aby mogli bardzo szybko to złagodzić. Tak więc w rzeczywistości był to proces dwuetapowy. W Palo Alto byliśmy w stanie zapobiec atakowi na naszych klientów, nawet nie wiedząc, że doszło do naruszenia łańcucha dostaw. A gdy stało się to bardziej publiczne, byliśmy w stanie pomóc wszystkim zidentyfikować wszystkie posiadane przez nich serwery i upewnić się, że wszystkie są aktualne i nie są zainfekowane trojanem łańcucha dostaw.

Laur : To naprawdę interesujące, ponieważ niektóre firmy mogą myśleć: „No cóż, nie musimy się martwić o elektrownie wodne i starzejącą się infrastrukturę”. Ale czy naprawdę wiesz, gdzie jest przechowywana cała Twoja poczta i na ilu różnych serwerach może się znajdować, a także w różnych instancjach w chmurze lub gdziekolwiek? A kiedy masz tylko kilka godzin na wykonanie tej krytycznej poprawki, jak szybko możesz to zrobić?

Matt : Dokładnie tak. A wiele pytań, które zadałem naszym klientom, to po prostu: „Jak możesz mieć pewność, że Twoje systemy są w rzeczywistości aktualne?”. Odpowiadanie na nawet pozornie podstawowe pytania z istniejącym działem IT, jeśli nie masz Expanse lub ASM, jest w rzeczywistości zaskakująco trudne. Podam kolejny zabawny przykład. Cały czas pytam szefów ochrony informacji o to: „Ile routerów ma Twoja organizacja?”. Wydaje się, że to dość podstawowe pytanie, wydaje się, że wiedzą, przynajmniej w bardzo dobrym przybliżeniu, zespół IT powinien prawdopodobnie dokładnie wiedzieć, ile posiada routerów. To bardzo ważne elementy sprzętu sieciowego, zwłaszcza na poziomie przedsiębiorstwa, są droższe. Więc to nie tylko ten domowy hotspot Wi-Fi, do którego jesteśmy przyzwyczajeni. Te rzeczy mogą kosztować dziesiątki, a w niektórych przypadkach setki tysięcy dolarów w celu obsługi obciążeń klasy korporacyjnej.

Odkrywamy, że kiedy zadajesz to pytanie, zwykle nie ma jednego centralnego miejsca, w którym wszystko to jest śledzone. Zamiast tego będzie śledzony na różne sposoby przez lokalne zespoły ds. rozwoju i IT. Będzie śledzony w wielu arkuszach kalkulacyjnych. Mogą istnieć pewne lokalne systemy zarządzania IT, które o tym wiedzą, ale na koniec, jeśli zapytasz: „Ile routerów masz w tej chwili?”. Proces, którego użyliby do udzielenia odpowiedzi, który nie wchodzi do systemu ani nie loguje się, w rzeczywistości uruchamia łańcuch e-maili. W rzeczywistości jednym z głównych problemów, które próbuje rozwiązać zarządzanie powierzchnią ataku, jest to, w jaki sposób masz dokładną i aktualną inwentaryzację wszystkiego, aby móc następnie budować różne procesy, w tym zabezpieczenia ? Ale jeśli nie masz aktualnego spisu lub myślisz, że masz, ale nie masz, to kiedy zaczniesz ciągnąć ten wątek, wiele procesów biznesowych, wiele procesów IT, wiele procesów bezpieczeństwa, które chcesz zastosować w całym przedsiębiorstwie, nagle uświadamiasz sobie: „Czekaj, to faktycznie jest wdrażane tylko częściowo, ponieważ jeśli nie mam pełnego spisu, skąd mam wiedzieć, co jest przeglądasz wszystkie moje aktywa, a nie tylko te, o których wiem? I o tym mówimy, gdy mówimy o nieznanych niewiadomych. Jak wspomniałeś na górze, jest to: „Znam w pewnym stopniu moje systemy, ale czy znam je wszystkie?”. Ta delta może być wszystkim dla organizacji, ponieważ większość ryzyka dotyczy tych części sieci, których nawet nie znają.

Laur : Jakie inne decyzje oparte na danych można podjąć, skupiając się na tym, aby faktycznie wiedzieć, gdzie znajdują się wszystkie Twoje zasoby. Jak jeszcze może to pomóc firmie?

Matt : Dwa obszary, w których to naprawdę pomaga organizacjom, to tak naprawdę zarządzanie chmurą oraz fuzje i przejęcia. W szczególności są to bardzo rozrastające się przedsiębiorstwa. Wielu naszych klientów może więc mieć setki różnych kont w chmurze u dostawców chmury publicznej, a więc AWS, Azure, Oracle, Google, Alibaba w wielu przypadkach i nie mieli możliwości racjonalizacji tego, ponieważ mieliby całą masę różnych zespołów programistycznych i nie mogliby czegoś dostać. I tak, kiedy powiedzą, że przenoszą się do chmury, typowym refrenem ze strony naszych klientów będzie: „Tak, jesteśmy. Mamy umowy z Amazonem i trochę zabezpieczamy nasze zakłady. Badamy również platformę Azure, więc nie jesteśmy zamknięci tylko w jednej chmurze”. Odkryliśmy, że przeciętny klient Expanse pochodzi z 11 różnych dostawców infrastruktury.

Nie mówię o SaaS, mówię w miejscach, które naprawdę przypominają wynajmowanie serwera, umieszczanie danych na sobie. Jest niesamowity i astronomiczny i moglibyśmy powiedzieć: „No tak, jesteś na Azure. Jesteś też na AWS. Czy wiesz, że również jesteś w DigitalOcean? Jesteś też w Linode. Twój dyrektor generalny w Europie prawdopodobnie umieścił Cię w hostingu OVH lub Orange. Masz coś jeszcze w malezyjskim centrum danych. Nie jestem do końca pewien, co to jest. I to jest typowe. Jeden klient dla nas był w rzeczywistości u ponad stu różnych dostawców, ponieważ są to bardzo duże firmy międzynarodowe. Myślę, że właśnie wtedy widzimy, że plany ludzi dotyczące zarządzania chmurą różnią się od rzeczywistości w chmurze. Pomagając im w tym, będą mogli bezpiecznie i szybko przenieść się do chmury.

Drugi to fuzje i przejęcia. Myślę, że to się coraz częściej dzieje. Ponieważ wiele branż się konsoliduje, ostatnio obserwuje się dużą aktywność w zakresie fuzji i przejęć. Ale kiedy się nad tym zastanowić, fuzje i przejęcia to jedno z największych wydarzeń związanych ze zmianą IT, jakie może mieć organizacja, zwłaszcza jeśli jest to duże przejęcie. Wiem więc trochę o tym, ponieważ niedawno przeszedłem przez ten proces z Palo Alto Networks po drugiej stronie stołu, ale liczba rzeczy, które musisz zintegrować, jest dość duża. A w przypadku Expanse jesteśmy zintegrowani z czołową firmą ochroniarską na świecie, a ponadto jesteśmy stosunkowo mali. Tak więc integracyjne bóle głowy prawie nie istniały, a to był naprawdę wspaniały proces.

Ale w przypadku większych organizacji, gdzie możesz, organizacja licząca 50 000 osób nabywa organizację liczącą 10 000 osób, liczbę różnych kroków, przez które musisz przejść, ilość IT, którą musisz przenieść, ilość dziedzictwa, które musisz rozumiem jest gigantyczne. I na wiele sposobów są one w wielu przypadkach wdrażane tylko częściowo, ponieważ jako nabywca możesz nawet nie wiedzieć, gdzie znajdują się wszystkie nabywane aktywa. Na przykład w przypadku linii lotniczej doszło do szeregu fuzji i faktycznie jesteśmy w stanie znaleźć aktywa połączonej linii lotniczej, która już nie istnieje, ale była nadal w Internecie ponad dekadę po fuzji.

Co daje wyobrażenie o tym, ile czasu zajmują niektóre z tych rzeczy. To druga strona tego, jak naprawdę pomagamy naszym klientom, to zrozumienie: „Kiedy faktycznie nabywasz zasób, jak faktycznie kończysz ten proces? Jak to mierzysz? Jak to monitorujesz i jak to robisz w skali internetu, a nie z mnóstwem konsultantów, arkuszy kalkulacyjnych Excela, kawałków papieru i e-maili?

Laur : Więc z naszej dzisiejszej rozmowy czuję, że to jest to, że jeśli nie wiesz tego, czego nie wiesz, naprawdę powinieneś to wymyślić ostrzeżenie, jeśli nie słyszałeś tego wcześniej. Ale są w tym przebłyski nadziei, prawda? Ponieważ jeśli zasób istnieje, możesz go przynajmniej znaleźć, śledzić i ocenić, co zamierzasz z nim zrobić, pośredniczyć we wszelkich zmianach, które musisz wprowadzić, lub ocenić, aby przywrócić pełną zgodność z cyberbezpieczeństwem. Co daje nadzieję na to, co jest możliwe po pierwszych trzech miesiącach tego roku i co się stało z atakami, trwającymi problemami, które będziemy mieć? Ale jest tam okazja, prawda? Jest nadzieja. Co widzisz, co sprawia, że ​​optymistycznie podchodzisz do cyberbezpieczeństwa i na co czekamy w ciągu najbliższych pięciu lat?

Matt : Tak, właściwie nie jestem dość optymistyczny nawet w perspektywie długoterminowej, ale myślę, że nawet w perspektywie średnioterminowej, nawet trzy, cztery lata. W najbliższym czasie na pewno czeka nas kilka wzburzonych fal, ale oto co mnie najbardziej napawa optymizmem. Po pierwsze, myślę, że jest to właściwie problem, który można rozwiązać w dużej mierze z dużą ilością rozwijanej technologii. I dzięki temu jasne jest, że kiedy już wiesz, że problem istnieje, naprawienie go jest w rzeczywistości dość proste. Jest wiele mechanistycznych kroków, aby być w tym lepszym. Istnieje wiele automatyzacji, które można na tym nałożyć. I jest wiele rzeczy do udźwignięcia. Ale w wielu przypadkach najtrudniejsze jest zobaczenie, co naprawdę potrzebujesz, aby naprawić i poznanie wszystkich problemów, a następnie możliwość skutecznego ustalenia priorytetów i rozpoczęcia pracy nad nimi.

I myślę, że w szczególności rzeczy, które widziałem, dotyczą branży. Myślę, że w ciągu kilku lat pojawiło się wiele technologii, które sprostają marketingowemu szumowi, który istnieje od lat. Dużo rozmawiam z partnerami branżowymi. Wykorzystujemy znaczne ilości danych. Z moim doświadczeniem, gdzie mam doktorat ze Stanford w zakresie badań operacyjnych i uczenia maszynowego, w naszych produktach faktycznie używamy rzeczywistego uczenia maszynowego. Używamy również wielu heurystyk. Żartuję, że czasami mamy klasyfikatory uczenia maszynowego, aby rozwiązać problem. Innym razem mamy zapytania SQL, które rozwiązują problem.

Mamy naprawdę dobrze napisane zapytania SQL. Jestem z nich bardzo dumny. Ale myślę, że sama branża, szczególnie w materiałach marketingowych, można by pomyśleć, że wszystko w cyberbezpieczeństwie to ta zautomatyzowana sztuczna inteligencja, wszystko obsługujące ML. W większości przypadków, ale nie we wszystkich, ale w wielu branżach, a dotyczy to zwłaszcza startupów, jest to tylko kwestia prezentacji. A to, co firmy naprawdę nazywają sztuczną inteligencją, to tylko standardowe zasady dotyczące oprogramowania i tak naprawdę nie dzieje się nic specjalnego.

Albo jest taki stary żart: „Och, mam tę wspaniałą sztuczną inteligencję. Co to jest? Cóż, mamy grupę analityków, którzy są byłymi oficerami wywiadu, zwykle w Maryland lub poza Tel Awiwem i to oni robią wszystko. Ale mamy system, który skutecznie kieruje do nich pracę i to jest nasza sztuczna inteligencja”. A oni na to: „Czekaj, to ludzie”. Myślę, że widziałem, że szeroko pojęta automatyzacja jest realna. Ale automatyzacja tak naprawdę oznacza na ziemi, czyli bierzesz coś, co wcześniej zajmowało godziny i dni i 10 osób. A teraz z oprogramowaniem jest bardziej, więc jak skrócić to do 15 minut i dwóch lub trzech osób?

Myślę, że zobaczymy jeszcze większe korzyści lub nawet zaczniemy całkowicie wyłączać ludzi z pętli w niektórych procesach biznesowych. Myślę, że to, co widzimy i to jest wiele z tego, nad czym pracujemy i nad czym teraz pracuję, to fakt, że w ciągu najbliższych miesięcy i lat rzeczywiste możliwości uczenia maszynowego na dużą skalę będą faktycznie wdrażane w produkcji. Myślę, że są takie, które są tam fragmentarycznie. Jest o wiele więcej reguł, niż ktokolwiek chciałby o tym mówić, ale teraz widzimy, że zgromadzenie danych jest wystarczające, jest w tym wystarczająca normalizacja danych, zwłaszcza w większych firmach, a przedsiębiorstwa chętniej dzielą się informacjami z dostawcami, jeśli to wyraźnie poprawia usługę bezpieczeństwa, którą otrzymują, że faktycznie będziemy w stanie wdrażać coraz bardziej wyrafinowane funkcje w tym zakresie i dopasować produkt do rzeczywistości. Myślę, że taki był przynajmniej duch czasu w szerszym przemyśle marketingowym.

Widziałem ich wiele, są bardzo, bardzo realne i bardzo się zbliżają. I przychodzą na skalę przemysłową dla obrońców. I myślę, że to mnie najbardziej ekscytuje, ponieważ pomimo tego, że jest stare powiedzenie, że atakujący muszą mieć rację raz, obrońcy muszą mieć rację przez cały czas, coraz bardziej skalowalne jest to, że obrońcy mają rację przez większość czasu i w rzeczywistości do tworzenia bardzo rozległych sieci monitorujących, tak aby jeśli atakujący raz się pomylili, obrońcy mogli całkowicie ich zniszczyć w tym ataku. I to zarówno asymetrycznie wpływa na koszty, jak i myślę, że pomoże przechylić pole z powrotem do obrony.

Matt : Myślę, że kiedy miałeś częściowe rozwiązania AI i ML oraz częściową automatyzację, pomogło to znacznie bardziej atakującym, ponieważ mogli skleić ze sobą kilka różnych części, bardzo wysoko skalować pewne rzeczy, a potem po prostu zobaczyć, co do nich wróciło w postaci świetny sposób. Myślę, że obrońcy będą mogli mieć podobne możliwości, które są skuteczne, ponieważ w rzeczywistości obejmują wszystko, co dzieje się w przedsiębiorstwie. A to pozwoli nam odwrócić bieg wydarzeń.

Laur :Matt, bardzo dziękuję za przyłączenie się do nas dzisiaj w fantastycznej rozmowie w Business Lab.

Był to Matt Kraning, dyrektor ds. technologii i współzałożyciel Expanse, z którym rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles.

To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem, Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Powstaliśmy w 1899 roku w Massachusetts Institute of Technology. Możesz nas również znaleźć w druku, w Internecie i na corocznych wydarzeniach na całym świecie.

Więcej informacji o nas i programie znajdziesz na naszej stronie internetowej technologyreview.com.

Ten program jest dostępny wszędzie tam, gdzie otrzymujesz podcasty. Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować. Business Lab to produkcja MIT Technology Review. Ten odcinek został wyprodukowany przez Collective Next. Dziękuję za słuchanie.

Ten odcinek podcastu został wyprodukowany przez Insights, dział zajmujący się treściami niestandardowymi MIT Technology Review. Nie został wyprodukowany przez redakcję MIT Technology Review.

ukryć