Una migliore sicurezza informatica significa trovare le incognite sconosciute

In associazione con Cortex Xpanse di Palo Alto Networks

Negli ultimi mesi, i server Microsoft Exchange sono stati come amici frenesia dell'alimentazione degli squali . Gli attori delle minacce hanno attaccato i difetti zero-day critici nel software di posta elettronica: un'incessante campagna informatica che il governo degli Stati Uniti ha descritto come sfruttamento diffuso nazionale e internazionale che potrebbe interessare centinaia di migliaia di persone in tutto il mondo. Ottenere visibilità su un problema come questo richiede una piena comprensione di tutte le risorse connesse alla rete di un'azienda. Questo tipo di monitoraggio continuo dell'inventario non si adatta al modo in cui lavorano gli esseri umani, ma le macchine possono gestirlo facilmente.

Per i dirigenti aziendali con più priorità post-pandemia, ora è il momento di iniziare a dare priorità alla sicurezza. Al giorno d'oggi è praticamente impossibile gestire società di quasi tutte le dimensioni in cui, se l'IT non funziona, la tua azienda è ancora in grado di funzionare, osserva Matt Kraning, chief technology officer e co-fondatore di Cortex Xpanse, un fornitore di software per la gestione della superficie di attacco recentemente acquisito di Palo Alto Reti.

Potresti chiederti perché le aziende non si limitano a riparare i loro sistemi e a far scomparire questi problemi. se solo fosse così semplice. A meno che le aziende non abbiano implementato un modo per trovare e tenere traccia delle loro risorse, quella domanda apparentemente semplice è un grattacapo.

Ma le aziende hanno difficoltà a rispondere a quella che sembra una domanda semplice: vale a dire, quanti router, server o risorse hanno? Se i dirigenti della sicurezza informatica non conoscono la risposta, è impossibile trasmettere un livello accurato di vulnerabilità al consiglio di amministrazione. E se il consiglio di amministrazione non comprende il rischio, ed è preso alla sprovvista da qualcosa di persino peggio degli attacchi di Exchange Server e SolarWinds del 2020, beh, la storia si scrive quasi da sola.

Ecco perché Kraning pensa che sia così importante creare un insieme minimo di standard. E, dice, i consigli di amministrazione e i dirigenti senior devono avere una conoscenza minima in alcuni modi del rischio di sicurezza informatica e dell'analisi di tali parametri. Perché senza quel livello di comprensione, i consigli di amministrazione non fanno le domande giuste e i dirigenti della sicurezza informatica non stanno avendo le conversazioni giuste.

Kraning ritiene che la gestione dei servizi di attacco sia un modo migliore per proteggere le aziende con un processo continuo di rilevamento delle risorse, inclusa la scoperta di tutte le risorse esposte alla rete Internet pubblica, quelle che lui chiama sconosciute sconosciute. Nuove risorse possono apparire ovunque e in qualsiasi momento. Questo è in realtà un problema risolvibile in gran parte con molta tecnologia in fase di sviluppo, afferma Kraning. Una volta che sai che esiste un problema, risolverlo in realtà è piuttosto semplice. E questo è meglio non solo per le aziende, ma per l'intero ecosistema aziendale.

Mostra note e collegamenti:

Un programma di leadership da affrontare domani , Sondaggio Global CEO Survey, PwC

Trascrizione completa

Lauro Ruma : Dal MIT Technology Review, sono Laurel Ruma, e questo è Business Lab, lo spettacolo che aiuta i leader aziendali a dare un senso alle nuove tecnologie che escono dal laboratorio e nel mercato.

Il nostro argomento oggi è la gestione della superficie di attacco. Da dove verrà la tua prossima violazione della sicurezza informatica? Le aziende hanno sempre più cose collegate a Internet, comprese reti in continua espansione e infrastrutture obsolete. E man mano che gli aggressori diventano più creativi, anche i dirigenti dovranno farlo.

Due parole per te: incognite sconosciute.

Il mio ospite è Matt Kraning, Chief Technology Officer e co-fondatore di Expanse, che è stata recentemente acquisita da Palo Alto Networks. Matt è un esperto di algoritmi di ottimizzazione su larga scala, rilevamento distribuito e apprendimento automatico eseguiti su sistemi massicciamente paralleli. Prima di co-fondare Expanse, Matt ha lavorato per DARPA, incluso un dispiegamento in Afghanistan. Matt ha conseguito un dottorato di ricerca e un master presso la Stanford University. Questo episodio di Business Lab è prodotto in associazione con Palo Alto Networks. Benvenuto, Matt.

Matt Kraning : Grazie molte. Molto felice di essere qui.

Alloro : Fin dall'inizio, sei stato un esperto di algoritmi di rilevamento distribuito e apprendimento automatico su larga scala eseguiti su sistemi massicciamente paralleli. In che modo questa esperienza ti ha portato a co-fondare un'azienda nel campo della gestione delle superfici di attacco?

opaco : Beh, dirò alcune cose. La gestione della superficie di attacco è ciò che abbiamo finito per chiamarla, ma in realtà è stato un viaggio molto lungo fino a questo e non ci siamo davvero messi a sapere che era esattamente come sarebbe stato chiamato o cosa avremmo fatto esattamente. Quindi non c'è nemmeno una categoria Gartner, che è un certo modo di convalidare l'esistenza per un segmento di mercato. In realtà sta ancora venendo fuori. Quindi il campo della gestione della superficie di attacco, in realtà ci siamo inventati noi stessi. E molte invenzioni significano molte scoperte in merito.

A differenza di molte società di sicurezza aziendale e IT in cui, in molti casi, la maggior parte delle aziende fondate di solito entra in un mercato esistente - di solito stanno facendo un avanzamento incrementale o evolutivo oltre a ciò che è già stato inventato - in realtà abbiamo preso un altro approccio e ha detto: 'Stiamo davvero, con occhi nuovi, chiedendo: 'Cosa non viene servito oggi sul mercato?'' E ha avuto l'idea di: 'Internet, con tutte le sue promesse, in realtà sarà una responsabilità strategica per le organizzazioni, non più solo una risorsa strategica?'

Abbiamo sviluppato molte tecniche e tecnologie per considerare fondamentalmente Internet come un set di dati: per raccogliere, continuamente, informazioni su Internet, che è davvero il luogo in cui sono arrivati ​​i nostri background sia dal mondo accademico che poi anche dal nostro lavoro nella difesa e comunità di intelligence, in luoghi come la DARPA e in vari luoghi delle agenzie di intelligence statunitensi. E abbiamo detto, in realtà, sembra esserci un sacco di cose non funzionanti su Internet e, sorprendentemente, molte di esse sono effettivamente associate a società molto grandi e molto importanti. È stato il graffio su quella domanda che in realtà ci ha portato a fondare Expanse e poi anche a creare quello che sarebbe stato il primo ed è il prodotto leader in quella che ora è nota come gestione della superficie di attacco, che è davvero comprendere tutte le risorse che hai, comprendere i rischi che potrebbero comportare e quindi anche risolvere i problemi.

Ma quando abbiamo fondato Expanse nel 2012, non sapevamo che sarebbe stata la gestione della superficie di attacco. Non avevamo nemmeno il nome di gestione della superficie di attacco. Invece era molto incentrato sul problema: 'Stiamo vedendo molte cose strane e pericolose su Internet e molte vulnerabilità di sicurezza. Facciamo doppio clic su questo molto e vediamo effettivamente se c'è un modo per costruire un business attorno a questo.'

Alloro : E quanto Internet è cambiato in questi nove brevi anni, giusto? Quando parli di quel set di dati e nel tentativo di trovare informazioni su dove sono i maggiori rischi per la sicurezza, quanto è stato difficile trovarlo? Ti sei guardato intorno e hai visto: 'Oh, guarda, ci sono interi set di dati, potresti risalire facilmente a queste aziende. Stanno perdendo.' Oppure, 'Le cose non sono sicure'.

opaco : Adoro la frase 'Tutto è ovvio una volta che conosci la risposta'. Penso che inizialmente una delle sfide principali sia che per mostrare anche quanto sia grande questo problema, devi effettivamente raccogliere i dati. E raccogliere i dati non è facile, specialmente su base continua o regolare, in realtà devi avere molto background di ingegneria dei sistemi, molto background di sistemi distribuiti per raccogliere effettivamente dati su tutto. Penso che ciò che ha reso unico il nostro approccio sia che abbiamo effettivamente detto: 'E se raccogliessimo dati su ogni singolo sistema su Internet?' Il che in realtà è reso possibile da molti vantaggi in termini di costi abilitati da cose come il cloud computing, ma anche vantaggi software sia in open source che cose che scriveremmo noi stessi. E poi, invece di partire dalle cose che conosci di un'azienda e cercare di valutarne i rischi, abbiamo detto: 'Perché non iniziamo con tutto su Internet e poi proviamo a ridurlo a ciò che è interessante?'

E da ciò sono emerse molte informazioni molto valide in cui, quasi per caso, abbiamo iniziato a scoprire che avremmo effettivamente riscontrato molti, molti più problemi di sicurezza di quanti le organizzazioni stessero effettivamente conoscendo. Quando parlo con le organizzazioni, non parlo con le piccole imprese. Sto parlando dei servizi militari. Sto parlando di società Fortune 500, società Fortune 100, società Fortune 10. Anche i clienti più grandi, complessi, ma anche quelli finanziari più d'élite, hanno avuto problemi di sicurezza. E la nostra vera scoperta e il nostro viaggio nella creazione della categoria, nel creare la gestione della superficie di attacco come idea è stata che troviamo tutte queste vulnerabilità di sicurezza e tutte queste risorse in luoghi remoti ovunque su Internet, e si verificheranno per una moltitudine di ragioni.

Ma in realtà è stato interessante perché mentre le sfide e i rischi per la sicurezza erano molto reali, i veri sintomi che abbiamo riscontrato, che abbiamo scoperto, erano in realtà che le organizzazioni non disponevano di un mezzo efficace per tenere traccia di tutte le risorse che avevano online e per valutare contemporaneamente la posizione di sicurezza di tali risorse e contemporaneamente correggere, rimediare e mitigare i rischi di coloro che si oppongono all'organizzazione.

E penso che una delle cose molto interessanti sia stata che guardando indietro, ora possiamo dire: 'Ovviamente, vuoi fare tutte queste attività'. Ma poiché in realtà stavamo facendo qualcosa di nuovo che non era mai stato fatto prima, era una nuova categoria, abbiamo dovuto scoprire tutto questo a partire dal punto in cui davvero, 'Sembra che ci siano molte cose non funzionanti su Internet. Non sappiamo esattamente perché, ma andiamo a indagare.'

Alloro : È un buon modo di pensarci, partendo da un posto diverso e poi procedendo a ritroso. Quindi Matt, secondo un recente sondaggio PwC su oltre 5.000 CEO in tutto il mondo, il 47% è estremamente preoccupato per la sicurezza informatica. Ora, il 47% non mi sembra un gran numero, non dovrebbe essere più vicino al 100%?

opaco : Direi che ogni CEO con cui ho parlato è preoccupato a un certo livello. E penso che molto dipenda da dove si trovano. Nel complesso, quello che abbiamo notato è un aumento molto ampio, soprattutto negli ultimi cinque anni, dell'attenzione degli amministratori delegati e dei consigli di amministrazione alle questioni di sicurezza informatica. Il punto in cui penso che abbiamo visto un ritardo, anche se penso che ci siano alcune eccezioni in quest'area, è che molti strumenti e presentazioni che vanno, specialmente per il pubblico dei dirigenti, per i rischi di sicurezza informatica non trasmettono efficacemente tutto ciò che quelle persone bisogno di prendere decisioni efficaci. E penso che questo sia difficile per una serie di ragioni, in particolare per il fatto che molti amministratori delegati e consigli di amministrazione non hanno necessariamente il background tecnico completo per farlo. Ma penso che sia stato anche un fallimento fino ad oggi nel settore essere in grado di fornire quegli strumenti. E penso che vedremo sempre più cambiamenti lì.

Lo associo allo stato della finanza prima di Sarbanes-Oxley che fondamentalmente ha iniziato a richiedere ai CEO di ricevere una formazione e anche ai consigli di amministrazione per iniziare a comprendere alcune metriche finanziarie, per avere effettivamente determinati controlli in atto. Penso che ad alto livello, dovremo vedere qualcosa del genere nei prossimi anni essere implementato in qualche modo per dire che c'è una serie minima di standard e che i consigli di amministrazione e i dirigenti senior devono avere una conoscenza minima in qualche modo sul rischio di sicurezza informatica e sull'analisi di tali parametri. In questo momento, ho visto molte persone dire: 'Sono preoccupato per questo, ma poi non so nemmeno dove andare dopo' o: 'Ho dimestichezza. Abbiamo un rapporto. Abbiamo assunto una ditta. Avevano questa presentazione che aveva un sacco di diapositive PowerPoint con molti grafici che avrebbero avuto luci dell'albero di Natale che mi avrebbero fatto sciogliere il cervello. E non riuscivo davvero a capire i concetti.'

Penso che la gente lo capisca, ma siamo ancora agli albori di 'Come puoi avere un controllo efficace su questo?' E poi come fai ad avere programmi che sono robusti intorno ad esso? Ancora una volta, dobbiamo muoverci in quella direzione perché sempre più consigli di amministrazione devono vedere questo come un aspetto fondamentale della loro azienda, soprattutto perché praticamente tutte le aziende oggi, non mi interessa in quale settore ti trovi, in che dimensioni, il tuo l'azienda funziona effettivamente su IT. Al giorno d'oggi è praticamente impossibile gestire società di quasi tutte le dimensioni in cui, se l'IT non funziona, la tua azienda è ancora in grado di funzionare. E come risultato della comprensione della sicurezza informatica a quei livelli, con la superficie di attacco che ora ne fa parte, è molto importante che le organizzazioni siano in grado di capire, perché altrimenti metterai la tua organizzazione a rischio molto se non essere in grado di valutare correttamente cose del genere.

Alloro : Sì. E questo torna al vecchio adagio, ogni azienda è un'azienda tecnologica. Ma forse questo è un esempio più specifico di come è. Potresti descrivere brevemente cos'è la gestione della superficie di attacco, forse per quel pubblico di dirigenti?

opaco : Il modo in cui descriviamo la gestione della superficie di attacco è in effetti un processo in tre fasi in cui tutti i passaggi vengono eseguiti continuamente sotto forma di ciclo, ma è un processo e una procedura mediante i quali tu, o in realtà un fornitore, in questo caso Expanse o Palo Alto Networks, scopri continuamente tutte le risorse di un'organizzazione. Nel nostro caso, dalla superficie di attacco esterna, tutte le risorse che hai su Internet pubblico. E questo è un processo continuo perché in qualsiasi momento, e posso approfondire questo in un secondo momento, ma in qualsiasi momento, nuove risorse potrebbero apparire da qualsiasi parte su Internet. Quindi è necessario disporre di un processo di rilevamento continuo che dica: 'In un dato momento, potrei non sapere tutto sulle mie risorse, quindi dovrei disporre di meccanismi per raccogliere informazioni ovunque potrebbero essere e provare ad associarle alla mia organizzazione'.

Allo stesso tempo, non appena un bene viene scoperto, devi avere i mezzi per valutarlo attraverso una varietà di caratteristiche diverse. In molti casi, se ho scoperto una nuova risorsa, questa risorsa è davvero nuova? E se non lo è, quindi abbinarlo, normalizzarlo, deduplicarlo con altre cose. Se si tratta di una nuova risorsa, nella maggior parte dei casi non sarà gestita. Quindi, come posso effettivamente avviare una serie di attività per dire: 'Questa è una risorsa che esiste con la mia, ma di solito esiste al di fuori di un insieme previsto di controlli di sicurezza. Quindi, come posso avviare un processo per valutare quali controlli devono essere messi in atto e poi portarlo sotto gestione?' E la terza parte della valutazione è anche capire qual è il rischio che questo comporta immediatamente per la mia organizzazione per aiutarmi a dare priorità alle attività.

Il passaggio finale è quello che chiamiamo mitigazione. Dopo aver valutato tutto ciò che hai scoperto, cosa fai effettivamente al riguardo? Quali azioni intraprendi e come lo fai in modi altamente automatizzati ed efficaci. E per noi, ci sono due passaggi principali che la mitigazione comporta. Ho menzionato la definizione delle priorità, ma è una, che porta i sistemi in gestione. In molti casi, ciò significa anche che per la maggior parte dei sistemi associati ai nostri grandi clienti, in realtà significa portarli fuori direttamente da Internet, quindi li stiamo mettendo dietro una VPN o un altro tipo di dispositivo aziendale, oppure certo che siano poi conosciuti e quindi aggiornati perché in molti casi il vero sintomo dei problemi di sicurezza che troviamo è il fatto che un asset è stato semplicemente non gestito per molto tempo e può contenere sicurezza vulnerabilità che sono state successivamente scoperte semplicemente perché avresti patch di sicurezza esistenti per problemi di sicurezza noti che non erano stati applicati.

In alcuni casi, come gli attacchi zero-day, in realtà è molto più importante sapere dove si trovano tutte le risorse in modo da poterle patchare il prima possibile. Ma per la maggior parte delle risorse che scopriamo per i nostri clienti e che aiutano a gestire la loro superficie di attacco, il vero problema è che le risorse semplicemente non sono note. E per i dirigenti, la vera chiave è che i processi e gli strumenti esistenti utilizzati da molte aziende possono essere molto validi da questo lato della sicurezza, ma presumono che le reti siano effettivamente molto più statiche.

Alloro : Quindi quali sono le ramificazioni di un'impresa che non conosce la propria superficie di attacco effettiva?

opaco : Il più grande e più ovvio è un aumento del rischio di violazione. Penso che sia stato un adagio per molti anni 2000, aiutato in gran parte dai fornitori, che tutto è iniziato dal phishing via e-mail. E ci sono fornitori di sicurezza e-mail molto, molto grandi che hanno ancora diffuso questo messaggio che ogni singolo incidente di sicurezza è effettivamente un'e-mail di phishing e che gli esseri umani sono l'anello più debole quando fanno clic su qualcosa, e quindi acquistano più sicurezza e-mail.

Non credo sia sbagliato. Penso che in realtà sia corretto che la sicurezza sia una cosa importante, puoi comprarla. Ma è anche molto più facile mitigare, soprattutto ora, con molti buoni strumenti, ad esempio hai la piena visibilità su tutte le e-mail inviate ai dipendenti perché devono passare attraverso un server di posta centrale. In realtà si tratta semplicemente di essere in grado di rilevare le cose cattive ma non di dover effettivamente scoprire che c'erano, diciamo, e-mail inviate per le quali non avevi visibilità.

Penso al contrario, quello che abbiamo visto, specialmente più recentemente nell'ultimo decennio e persino negli ultimi cinque anni, sono alcune delle peggiori violazioni in assoluto, quelle che causano danni da centinaia di milioni a miliardi di dollari, non stanno arrivando dal phishing. In realtà provengono da risorse solitamente sconosciute e non monitorate e che in molti casi erano in realtà su Internet pubblico. Quindi penso che alcuni dei più grandi esempi di ciò siano in realtà cose come l'attacco WannaCry, che ha causato, si stima che oltre 10 miliardi di dollari in tutto il mondo di danni, abbiano chiuso intere aziende, mettendo di nuovo in prigione la maggior parte del sistema sanitario del Regno Unito e carta per giorni effettivi.

E le vere ramificazioni sono che hai tutte queste strade extra per entrare perché ci sono così tante altre risorse online che non vengono tracciate dalle organizzazioni, ed è così che stanno entrando gli aggressori perché si scopre che ci sono molti modi efficienti e automatizzati per consentire agli aggressori di comprendere, sondare e sfruttare queste superfici di attacco. E le ramificazioni sono piuttosto audaci. Vedi la maggior parte dell'assistenza sanitaria di un paese del primo mondo ridotta a carta e penna per giorni. Molto, molto serio perché non si tratta solo di hackerare l'e-mail di qualcuno, ma in realtà di hackerare l'infrastruttura critica della rete stessa.

Alloro : Parlando di infrastrutture critiche, un altro attacco recente è l'impianto di trattamento delle acque in Florida, dove un aggressore è stato in grado di modificare a distanza la composizione chimica dell'acqua per aggiungervi lisciva, che avrebbe potuto avvelenare un'intera comunità. Quindi, le infrastrutture sono un problema enorme per le aziende molto grandi, come gli impianti di trattamento delle acque o le compagnie petrolifere e del gas, ecc.?

opaco : Assolutamente. In quel caso, per quanto ne so, il vettore di attacco era in realtà un server di accesso remoto che qualcuno in quell'impianto ha lasciato aperto, era su Internet e ha permesso a qualcuno di entrare. Ciò di cui trattano i nostri servizi tecnologici siamo noi' ritrovare modi che siano effettivamente strumenti di convenienza IT ma che possono essere sovvertiti dagli aggressori perché gli strumenti di convenienza IT non sono rafforzati allo stesso modo di altre cose che dovrebbero essere su Internet e sono tralasciate come questione di corso. Abbiamo questa linea che ci piace vedere Internet nella maggior parte dei modi come ciò che la maggior parte di noi ha sperimentato attraverso i nostri browser Web o sul nostro telefono. È questa esperienza utente di configurazione davvero piacevole e tutte le pagine Web che visualizziamo sembrano molto belle e piacevoli e ci andiamo.

Ed è una buona analogia con il mondo fisico come immagino, subito dopo che saremo tutti vaccinati dal covid-19, torneremo a fare shopping fuori. Potresti andare da uno Starbucks e il negozio è davvero carino, hai questa fantastica esperienza, prendi il tuo latte macchiato, esci, ma poi se guardi sotto tutto lo sfarzo per le strade, in realtà hai un'infrastruttura molto più vecchia. Hai cose come nessun tubo di fogna e altre cose che sono unte e screpolate. E questa è l'infrastruttura che supporta il mondo più bello in cima.

Gran parte di ciò che vediamo come parte della superficie di attacco è un'analogia IT per cui la maggior parte delle persone vede Internet semplicemente come 'Cosa c'è nel loro browser web? Cosa c'è al telefono, questi bei siti web per i consumatori?' Ma c'è un'intera infrastruttura IT di back-end che lo supporta. Ed è un po' scricchiolante e non è sempre ben configurato. Senza qualcosa come ASM, hai problemi che in realtà non conosci lo stato della tua rete perché è così grande, distribuita e complessa. E come nel caso della Florida, che tra l'altro era un'organizzazione più piccola, va al cuore di come fai a sapere che qualcosa non sta succedendo? In base a qualsiasi politica di sicurezza informatica, non dovrebbe essere consentito disporre di un servizio di accesso remoto su Internet. Ma è molto difficile anche per le organizzazioni più piccole ottenere quella visibilità continua di, che aspetto ho effettivamente dall'esterno? Che aspetto ho per un utente malintenzionato con strumenti legacy?

Alloro : E questo è un buon esempio di attacco che non è un attacco di phishing. Non ha nulla a che fare con l'e-mail. Mentre stiamo discutendo di attacchi, più memorabili anche quest'anno, SolarWinds ed Exchange, in che modo l'implementazione di ASM avrebbe cambiato questi risultati per le organizzazioni? O che ne dici di quelle fortunate organizzazioni che hanno effettivamente compreso le loro opzioni di gestione della superficie di attacco e sono state in grado di trovarlo e contrastare l'attacco?

opaco : Parlerò con entrambi perché molti dei nostri clienti avevano entrambi questi tipi di sistemi e li abbiamo aiutati a rispondere. Penso che gli hack di Microsoft Exchange, e per i tuoi ascoltatori, un po' di background: in realtà è stata annunciata una serie di zero-day per le serie di versioni dei servizi di posta elettronica di Microsoft Exchange all'inizio di febbraio e marzo di quest'anno. Molto, molto pericoloso perché in effetti, questi sono i server di posta di un'organizzazione e se hai seguito questa catena XY, ciò che sostanzialmente ti permetteva di fare era inviare un messaggio a un server di posta per garantirti un accesso amministrativo illimitato all'intera posta server. E ce n'erano effettivamente centinaia di migliaia che abbiamo rilevato online. E in effetti, se ci pensi bene, avere un utente malintenzionato in grado di scaricare tutto o la maggior parte del server di posta aziendale e con tutte queste informazioni sensibili che sono archiviate lì, è un attacco molto serio.

Quindi ciò che abbiamo notato erano in realtà due cose, ovvero, per le grandi organizzazioni, erano molto consapevoli di questo e stavano aggiornando molto, molto rapidamente. Ma c'erano un certo numero di clienti che siamo stati in grado di aiutare dove sono così grandi che in realtà non hanno nemmeno un set centrale di server di posta. Quindi, senza Expanse, non sarebbero stati in grado di trovare nemmeno tutti i loro server di posta e di ripararli in tempo perché sono così distribuiti, che in realtà avevano bisogno di un inventario anche dei loro server di posta. Ed è molto difficile aggregarlo in un modo centralizzato a meno che tu non stia utilizzando uno strumento ASM come Expanse. Perché invece, in molti casi, di solito utilizzi Microsoft Outlook e Microsoft Excel. Invierai e-mail a diverse unità aziendali. Chiederai ai leader IT di queste diverse unità aziendali. Se sono corretti, invieranno e-mail e fogli di calcolo. È un processo molto, molto manuale.

Così in grado di identificarlo effettivamente e aiutarli davvero in un ordine molto breve di, tipo, un giorno, a trovare ed essere in grado di riparare ogni singolo server che avevano nella loro proprietà, il che pensiamo davvero, ha davvero cambiato il risultato, perché potevano sono stati vulnerabili per settimane in alcuni casi. Anche per SolarWinds, penso che i dettagli siano leggermente diversi perché non tutte le risorse SolarWinds sono necessariamente esposte a Internet. E anche in molti casi erano lì da mesi. Come parte del più ampio Palo Alto, avevamo altri prodotti in grado di fermare SolarWinds: l'attacco SolarWinds in particolare, il nostro framework endpoint chiamato XDR. Ma anche lì per SolarWinds, una volta che l'attacco è stato conosciuto, i clienti hanno ancora il problema di non sapere nemmeno dove fossero tutti i loro server SolarWinds, il che risale ancora a questo problema di inventario e alla scelta di funzionalità, sia come Expanse che altre capacità che ora abbiamo come parte di Palo Alto, siamo stati in grado di aiutare i clienti a capire molto rapidamente ovunque avessero un'esposizione SolarWinds in modo che potessero mitigarli molto rapidamente. Quindi c'era effettivamente un processo in due fasi. A Palo Alto siamo riusciti a prevenire l'attacco ai nostri clienti anche senza sapere che la catena di approvvigionamento era stata violata. E poi, una volta che è diventato più pubblico, siamo stati in grado di aiutare anche tutti a identificare tutti i server che avevano e ad assicurarci che fossero tutti aggiornati e non infettati dal Trojan della catena di approvvigionamento.

Alloro : È davvero interessante perché alcune aziende potrebbero pensare: 'Oh, beh, non abbiamo impianti idrici e infrastrutture obsolete di cui preoccuparsi'. Ma sai davvero dove è archiviata tutta la tua posta e su quanti server diversi potrebbe trovarsi e diverse istanze cloud o ovunque? E quando hai solo poche ore per realizzare questa patch critica, quanto velocemente puoi farlo?

opaco : Esattamente. E molte delle domande che ho posto ai nostri clienti sono semplicemente: 'Come fai a essere sicuro che, in modo efficace, i tuoi sistemi siano aggiornati?' Rispondere anche a domande apparentemente semplici con l'IT esistente, se non si dispone di Expanse o ASM, è in realtà sorprendentemente difficile. Farò un altro divertente esempio. Lo chiedo continuamente ai responsabili della sicurezza delle informazioni: 'Quanti router ha la tua organizzazione?' Sembra una domanda piuttosto semplice, sembra che sappiano, almeno con una buona approssimazione, che il team IT dovrebbe probabilmente sapere esattamente quanti router hanno. Sono pezzi molto importanti di apparecchiature di rete, specialmente a livello aziendale, sono più costosi. Quindi non è solo come quell'hotspot Wi-Fi domestico a cui siamo abituati. Queste cose possono costare decine, in alcuni casi, centinaia di migliaia di dollari per gestire carichi di lavoro di livello aziendale.

E quello che scopriamo è che quando fai questa domanda, di solito non c'è un punto centrale in cui tutto ciò viene tracciato. Al contrario, sarà monitorato dai team di sviluppo locale e IT in modi diversi. Verrà tracciato in più fogli di calcolo. Potrebbero esserci alcuni sistemi di gestione IT locali che lo sanno, ma alla fine, se dicessi 'Quanti router hai in questo momento?' Il processo che userebbero per rispondere che non sta entrando in un sistema o accedendo, sta effettivamente avviando una catena di posta elettronica. Questo è in realtà uno dei problemi principali che la gestione della superficie di attacco tenta di risolvere, è: come si dispone di un inventario accurato e aggiornato di tutto in modo da poter quindi creare una varietà di processi in aggiunta a ciò, inclusa la sicurezza ? Ma se non hai un inventario aggiornato o pensi di averlo, ma non lo hai, allora quando inizi a tirare su quel filo, molti processi aziendali, molti processi IT, molti di processi di sicurezza che si desidera applicare all'intera azienda, all'improvviso ti rendi conto: 'Aspetta, in realtà questo viene implementato solo in parte perché se non ho un inventario completo, come faccio a sapere cosa è esaminare tutti i miei beni anziché solo i beni di cui sono a conoscenza?' Ed è di questo che parliamo quando diciamo incognite sconosciute. Come hai detto in alto, è: 'Conosco un certo grado dei miei sistemi, ma li conosco tutti?' Quel delta può essere tutto per le organizzazioni perché la maggior parte del rischio è nelle parti della loro rete che non sapevano nemmeno indagare.

Alloro : Quali altre decisioni basate sui dati possono essere prese da questo tipo di attenzione per sapere effettivamente dove si trovano tutte le tue risorse. In quale altro modo questo può aiutare l'azienda?

opaco : Due aree in cui questo aiuta davvero le organizzazioni sono in realtà la governance del cloud e le fusioni e acquisizioni. In particolare, si tratta di imprese molto tentacolari. Quindi, per molti dei nostri clienti, potrebbero effettivamente avere centinaia di account cloud diversi nei provider di cloud pubblici, quindi AWS, Azure, Oracle, Google, Alibaba in molti casi, e non hanno avuto modo di razionalizzare effettivamente questo perché hanno avrebbe un sacco di diversi team di sviluppo e non potrebbero ottenere qualcosa. E così, quando dicono che stanno passando al cloud, un tipico ritornello dei nostri clienti sarà: 'Sì, lo siamo. Abbiamo accordi con Amazon e stiamo un po' proteggendo le nostre scommesse. Stiamo anche esplorando Azure, quindi non siamo solo bloccati in un unico cloud.' Quello che scopriamo è che il cliente medio per Expanse è in 11 diversi fornitori di infrastrutture.

Non sto parlando di SaaS, sto parlando in posti in cui in realtà ti sembra di affittare un server, mettere i dati su te stesso. È incredibile e astronomico e potremmo dire: 'Beh, sì, sei su Azure. Sei anche su AWS. Sapevi che sei anche in DigitalOcean? Sei anche a Linode. Probabilmente il tuo general manager in Europa ti ha messo in hosting OVH o Orange. Hai qualcos'altro nel data center malese. Non sono esattamente sicuro di cosa sia. E questo è tipico. Un cliente per noi era in realtà in oltre cento fornitori diversi perché sono una multinazionale molto grande. Penso che sia allora che vediamo che i piani di governance del cloud delle persone rispetto alla realtà del cloud sono drammaticamente diversi. E aiutarli in questo modo consentirà loro di passare al cloud in modo sicuro e rapido.

Il secondo riguarda fusioni e acquisizioni. Penso che questo sia qualcosa che sta accadendo sempre più. Dato che molti settori si stanno consolidando, ci sono molte attività di fusione e acquisizione più recentemente. Ma a pensarci bene, un'operazione di fusione e acquisizione è uno dei più grandi eventi di cambiamento IT che un'organizzazione può avere, soprattutto se si tratta di una grande acquisizione. Quindi ne so qualcosa, avendo recentemente affrontato questo processo con Palo Alto Networks su noi stessi dall'altra parte del tavolo, ma il numero di cose che devi integrare è piuttosto grande. E nel caso di Expanse, siamo integrati con una delle principali società di sicurezza del mondo e siamo anche relativamente piccoli. Quindi i mal di testa dell'integrazione sono stati quasi inesistenti ed è stato davvero un ottimo processo.

Ma per le organizzazioni più grandi in cui potresti, un'organizzazione con 50.000 persone sta acquisendo un'organizzazione con 10.000 persone, il numero di passaggi diversi che devi eseguire, la quantità di IT che devi trasferire, la quantità di eredità che devi capire è gigantesco. E in molti casi, questi sono in molti casi implementati solo in parte perché come acquirente potresti non sapere nemmeno dove si trovano tutte le risorse che stai acquisendo. Ad esempio, per una compagnia aerea c'è stata una serie di fusioni e siamo effettivamente in grado di trovare risorse della compagnia aerea risultante dalla fusione che non esistono più, ma erano ancora su Internet più di un decennio dopo la fusione.

Il che ti dà un'idea di quanto tempo impiegano alcune di queste cose. Questo è l'altro aspetto del modo in cui aiutiamo davvero i nostri clienti, in realtà è capire: 'Quando acquisisci effettivamente una risorsa, come completi effettivamente quel processo? Come lo misuri? Come lo monitori e come lo fai sulla scala di Internet anziché con molti consulenti, fogli di calcolo Excel, pezzi di carta ed e-mail?'

Alloro : Quindi dalla nostra conversazione di oggi, mi sento come se questo fosse l'avvertimento, se non sai cosa non sai, dovresti davvero capirlo, se non l'hai mai sentito prima. Ma ci sono barlumi di speranza in questo, giusto? Perché se l'asset esiste, puoi almeno trovarlo, rintracciarlo e valutare cosa ne farai, mediare eventuali modifiche che devi apportare o valutarlo per riportarlo alla piena conformità alla sicurezza informatica. Cosa ti dà speranza su ciò che è possibile fare dopo aver visto i primi tre mesi di quest'anno e cosa è successo con gli attacchi, i problemi in corso che avremo? Ma c'è un'opportunità lì, giusto? C'è speranza. Cosa vedi che ti rende ottimista sulla sicurezza informatica e su ciò che ci aspettiamo nei prossimi cinque anni?

opaco : Sì, in realtà sono abbastanza ottimista nemmeno nel lungo termine, ma anche nel medio termine penso, anche tra tre, quattro anni. A breve termine, sicuramente ci sarà un mare agitato, ma ecco cosa mi rende più ottimista. Primo, penso che questo sia in realtà un problema risolvibile in gran parte con molta tecnologia in fase di sviluppo. E da ciò, è chiaro che una volta che sai che esiste un problema, risolverlo in realtà è piuttosto semplice. Ci sono molti passaggi meccanicistici per migliorare in questo. Ci sono molte automazioni che possono essere inserite su questo. E ci sono molte cose che stanno per succedere. Ma in molti casi, la parte più difficile è vedere ciò di cui hai effettivamente bisogno per risolvere e conoscere tutta la serie di problemi e quindi essere in grado di dare loro la priorità in modo efficace e quindi iniziare a lavorarci.

E penso in particolare, le cose che ho visto sono all'interno del settore, penso che ci saranno molte tecnologie nei pochi anni che andranno incontro al clamore del marketing che esiste da anni. Parlo molto con i partner del settore. Utilizziamo notevoli quantità di dati. Con il mio background in cui ho un dottorato di ricerca a Stanford in ricerca operativa e apprendimento automatico, utilizziamo effettivamente un vero apprendimento automatico nei nostri prodotti. Usiamo anche molte euristiche. Scherzo sul fatto che a volte abbiamo classificatori di apprendimento automatico per risolvere un problema. Altre volte abbiamo query SQL che risolvono il problema.

Abbiamo alcune query SQL davvero ben scritte. Sono molto orgoglioso di quelli. Ma penso che il settore stesso, specialmente nel materiale di marketing, penseresti che tutto nella sicurezza informatica sia questa IA automatizzata, tutto abilitato al ML. Nella maggior parte dei casi, ma non in tutti, ma in molti nel settore, e questo è particolarmente vero nelle startup, è solo una linea da lanciare. E ciò che le aziende chiamano davvero IA sono solo regole software standard e non c'è davvero niente di speciale da fare.

Oppure c'è una vecchia battuta che dice: 'Oh, ho questa fantastica intelligenza artificiale. Che cos'è? Bene, abbiamo un gruppo di analisti che sono ex ufficiali dell'intelligence, di solito nel Maryland o fuori Tel Aviv e sono quelli che fanno tutto. Ma abbiamo un sistema che instrada in modo efficiente il lavoro verso di loro e questa è la nostra IA.' E loro sono tipo, 'Aspetta, sono le persone.' Penso che quello che ho visto sia quello, l'automazione ampiamente definita è una cosa reale. Ma automazione in realtà significa sul campo, prendi qualcosa che prima richiedeva ore, giorni e 10 persone. E poi con il software in questo momento, è più così come lo riduci a 15 minuti e due o tre persone?

Penso che vedremo guadagni ancora più grandi o addirittura inizieremo a portare gli esseri umani fuori completamente dal giro in determinati processi aziendali. E penso che quello che stiamo vedendo, e questo è molto di ciò su cui stiamo lavorando e su cui sto lavorando ora, è che nei prossimi mesi e anni, l'effettiva capacità di apprendimento automatico su larga scala verrà effettivamente implementata nella produzione. Penso che ce ne siano alcuni che sono là fuori a pezzi. Ci sono molte più regole di cui chiunque voglia parlare, ma ora stiamo vedendo che c'è abbastanza raccolta di dati, c'è abbastanza normalizzazione dei dati in questo, specialmente nelle aziende più grandi, e che le aziende sono più disposte a condividere le informazioni con i fornitori se migliora in modo dimostrabile il servizio di sicurezza che stanno ricevendo, che saremo effettivamente in grado di implementare capacità sempre più sofisticate lungo queste linee e avere la corrispondenza prodotto/realtà. Penso che questo sia stato almeno il più ampio zeitgeist del marketing del settore.

Ne ho visti molti, sono molto, molto reali e stanno arrivando molto. E stanno arrivando su scala industriale per i difensori. E penso che sia ciò di cui sono più entusiasta perché, nonostante il vecchio adagio di, gli attaccanti devono avere ragione una volta, i difensori devono avere sempre ragione, sempre più, ora è più scalabile per i difensori avere ragione per la maggior parte del tempo e per creare effettivamente reti di monitoraggio molto vaste in modo che se gli attaccanti sbagliano una volta, i difensori possono spazzarli via completamente in quell'attacco. E questo influirà in modo asimmetrico sui costi e penso che aiuterà anche a riportare il campo in difesa.

opaco : Penso che quando avevi soluzioni IA parziali e soluzioni ML e automazione parziale, gli aggressori hanno aiutato molto di più perché potevano legare insieme alcune parti diverse, scalare alcune cose in modo molto elevato e quindi vedere cosa tornava loro in un ottimo modo. Penso che i difensori saranno in grado di avere capacità simili che sono efficaci perché in realtà coprono tutto ciò che accade in un'impresa. E questo ci permetterà di invertire la tendenza.

Alloro :Matt, grazie mille per esserti unito a noi oggi in quella che è stata una fantastica conversazione sul Business Lab.

Era Matt Kraning, Chief Technology Officer e co-fondatore di Expanse, con cui ho parlato da Cambridge, Massachusetts, sede del MIT e del MIT Technology Review, che si affaccia sul fiume Charles.

Questo è tutto per questo episodio di Business Lab. Sono la tua ospite, Laurel Ruma. Sono il direttore di Insights, la divisione di pubblicazione personalizzata di MIT Technology Review. Siamo stati fondati nel 1899 presso il Massachusetts Institute of Technology. E puoi trovarci anche sulla carta stampata, sul web e in occasione di eventi ogni anno in tutto il mondo.

Per ulteriori informazioni su di noi e sullo spettacolo, visita il nostro sito Web all'indirizzo technologyreview.com.

Questo programma è disponibile ovunque tu abbia i tuoi podcast. Se ti è piaciuto questo episodio, speriamo che ti prenderai un momento per valutarci e recensirci. Business Lab è una produzione di MIT Technology Review. Questo episodio è stato prodotto da Collective Next. Grazie per aver ascoltato.

Questo episodio del podcast è stato prodotto da Insights, il ramo dei contenuti personalizzati di MIT Technology Review. Non è stato prodotto dalla redazione del MIT Technology Review.

nascondere