211service.com
Bedre cybersikkerhet betyr å finne de ukjente ukjente
I samarbeid med Cortex Xpanse av Palo Alto Networks
I løpet av de siste månedene har Microsoft Exchange-servere vært som en kompis i en hai-mating vanvidd . Trusselaktører har angrepet kritiske zero-day-feil i e-postprogramvaren: en ubøyelig cyberkampanje som den amerikanske regjeringen har beskrevet som utbredt nasjonal og internasjonal utnyttelse som kan påvirke hundretusenvis av mennesker over hele verden. Å få innsyn i et problem som dette krever full forståelse av alle eiendeler knyttet til et selskaps nettverk. Denne typen kontinuerlig sporing av inventar skaleres ikke med hvordan mennesker jobber, men maskiner kan håndtere det enkelt.
For bedriftsledere med flere post-pandemiske prioriteringer, er tiden nå inne for å begynne å prioritere sikkerhet. Det er stort sett umulig i disse dager å drive nesten alle størrelsesselskaper der hvis IT-en din går ned, kan bedriften din fortsatt kjøre, observerer Matt Kraning, teknologisjef og medgründer av Cortex Xpanse, en programvareleverandør for angrepsoverflateadministrasjon som nylig ble kjøpt opp. av Palo Alto Networks.
Du kan spørre hvorfor selskaper ikke bare lapper systemene sine og får disse problemene til å forsvinne. Hadde det bare vært så enkelt. Med mindre bedrifter har implementert en måte å finne og holde styr på sine eiendeler, er det antatt enkle spørsmålet en hodebunn.
Men bedrifter har vanskelig for å svare på det som virker som et enkelt spørsmål: nemlig hvor mange rutere, servere eller eiendeler har de? Hvis cybersikkerhetsledere ikke vet svaret, er det umulig å formidle et nøyaktig nivå av sårbarhet til styret. Og hvis styret ikke forstår risikoen – og blir blindet av noe enda verre enn Exchange Server og 2020 SolarWinds-angrepene – vel, så skriver historien nesten seg selv.
Derfor synes Kraning det er så viktig å lage et minimumssett med standarder. Og, sier han, styrer og toppledere må være minimalt fortrolige på noen måter om cybersikkerhetsrisiko og analyse av disse beregningene. For uten det nivået av forståelse, stiller ikke styrene de riktige spørsmålene – og cybersikkerhetsledere har ikke de riktige samtalene.
Kraning mener angrepstjenesteadministrasjon er en bedre måte å sikre selskaper med en kontinuerlig prosess for aktivaoppdagelse, inkludert oppdagelsen av alle aktiva som er eksponert for det offentlige internett – det han kaller ukjente ukjente. Nye eiendeler kan dukke opp fra hvor som helst når som helst. Dette er faktisk et løsbart problem i stor grad med mye teknologi som utvikles, sier Kraning. Når du vet at et problem eksisterer, er det faktisk ganske enkelt å fikse det. Og det er bedre for ikke bare selskaper, men for hele bedriftens økosystem.
Vis notater og lenker:
En lederskapsagenda å ta på seg i morgen , Global CEO Survey survey, PwC
Full utskrift
Laurel Ruma : Fra MIT Technology Review heter jeg Laurel Ruma, og dette er Business Lab, showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet.
Temaet vårt i dag er angrepsoverflatehåndtering. Hvor kommer ditt neste cybersikkerhetsbrudd fra? Bedrifter har flere og flere ting knyttet til internett, inkludert stadig voksende nettverk og aldrende infrastruktur. Og etter hvert som angripere blir mer kreative, må ledere også gjøre det.
To ord til deg: ukjente ukjente.
Min gjest er Matt Kraning, som er teknologisjef og medgründer av Expanse, som nylig ble kjøpt opp av Palo Alto Networks. Matt er en ekspert på storskala optimalisering, distribuert sensing og maskinlæringsalgoritmer som kjører på massivt parallelle systemer. Før han var med å grunnlegge Expanse, jobbet Matt for DARPA, inkludert en utplassering til Afghanistan. Matt har PhD og mastergrader fra Stanford University. Denne episoden av Business Lab er produsert i samarbeid med Palo Alto Networks. Velkommen, Matt.
Matt Kraning : Tusen takk. Veldig glad for å være her.
Laurel : Helt fra begynnelsen har du vært en ekspert på storskala distribuert sansing og maskinlæringsalgoritmer som kjøres på massivt parallelle systemer. Hvordan førte den ekspertisen til at du var med å grunnlegge et selskap innen angrepsoverflatestyring?
Matt : Vel, jeg skal si et par ting. Angrepsoverflatestyring er det vi endte opp med å kalle det, men det var faktisk en veldig lang reise til det, og vi satte oss egentlig ikke i gang med å vite at det var akkurat det det ville bli kalt eller nøyaktig hva vi ville gjøre. Så det er ikke engang en Gartner-kategori, som er en viss måte å validere eksistensen for et markedssegment. Det kommer faktisk fortsatt ut. Så feltet for angrepsoverflatehåndtering fant vi faktisk opp selv. Og mange oppfinnelser betyr at det er mye oppdagelse i det.
I motsetning til mange bedriftssikkerhets- og IT-selskaper, hvor de fleste selskaper som er grunnlagt i mange tilfeller, vanligvis går inn i et eksisterende marked – de gjør vanligvis en inkrementell eller evolusjonær fremgang på toppen av det som allerede er oppfunnet – tok vi faktisk en annen tilnærming og sa: 'Vi spør virkelig, med friske øyne, 'Hva serveres ikke på markedet i dag?'' Og kom opp med ideen om: 'Er internett, med alt det lover, faktisk kommer til å være et strategisk ansvar for organisasjoner, ikke lenger bare en strategisk ressurs?'
Vi utviklet mange teknikker og teknologier for å i utgangspunktet se på hele internett som et datasett: for å samle kontinuerlig informasjon om internett, som egentlig er der bakgrunnen vår kom inn både fra akademia og deretter også fra vårt arbeid i forsvaret. og etterretningsmiljøer, på steder som DARPA og på forskjellige steder i amerikanske etterretningsbyråer. Og vi sa faktisk at det ser ut til å være en hel haug med ting ødelagt på internett, og overraskende nok er mye av det faktisk assosiert med veldig store, veldig viktige selskaper. Det var å skrape på det spørsmålet som faktisk førte oss til både å grunnlegge Expanse og deretter skape det som ville være det første og er det ledende produktet innen det som nå er kjent som angrepsoverflatestyring, som virkelig er å forstå alle eiendelene du har, forstå risikoen de kan utgjøre og deretter også fikse problemer.
Men da vi grunnla Expanse tilbake i 2012, visste vi ikke at det skulle være angrepsoverflatestyring. Vi hadde ikke engang navnet attack surface management. I stedet var det veldig problemfokusert på 'Vi ser mange rare og farlige ting på internett og mange sikkerhetssårbarheter.' La oss dobbeltklikke mye på det og faktisk se om det er en måte å bygge en virksomhet rundt det på.
Laurel : Og hvor mye internett har endret seg på disse ni korte årene, ikke sant? Når du snakker om det datasettet og prøver å finne informasjon om hvor de største sikkerhetsrisikoene er, hvor vanskelig var det å finne det? Så du deg rundt og så: 'Å, se, det er hele datasett, du kan enkelt spore tilbake til disse selskapene. De lekker.' Eller 'Ting er ikke sikre.'
Matt : Jeg elsker uttrykket: 'Alt er åpenbart når du vet svaret.' Jeg tror i utgangspunktet at en av hovedutfordringene er at for å vise hvor stort dette problemet er, må du faktisk samle inn dataene. Og å samle inn data er ikke lett, spesielt på en kontinuerlig eller regelmessig basis, du må faktisk ha mye systemteknisk bakgrunn, mye distribuert systembakgrunn for å faktisk samle data om alt. Jeg tror at det som gjorde tilnærmingen vår unik er at vi faktisk sa: 'Hva om vi samler data på hvert enkelt system på internett?' Noe som faktisk er aktivert av mye av både kostnadsfordeler aktivert av ting som cloud computing, men også programvarefordeler både i åpen kildekode og ting som vi ville skrevet selv. Og så, i stedet for å ta utgangspunkt i ting du vet om et selskap og prøve å vurdere risikoene deres, sa vi: 'Hvorfor starter vi ikke med alt på internett og prøver deretter å redusere det til det som er interessant?'
Og mye veldig god innsikt kom ut av det der vi igjen, nesten ved et uhell, begynte å oppdage at vi faktisk ville finne mange, mange flere sikkerhetsproblemer enn organisasjoner faktisk visste om seg selv. Når jeg snakker med organisasjoner, snakker jeg ikke til små bedrifter. Jeg snakker militærtjenester. Jeg snakker om Fortune 500-selskaper, Fortune 100-selskaper, Fortune 10-selskaper. Selv de største, mest komplekse, men også den beste økonomien, de fleste elitekundene hadde problemer med sikkerheten. Og det som virkelig oppdaget vår og reisen vår med å lage kategorien, med å lage angrepsoverflatestyring som en idé, var at vi finner alle disse sikkerhetssårbarhetene og alle disse eiendelene på fjerntliggende steder hvor som helst på internett, og de vil oppstå for en rekke årsaker.
Men det var faktisk interessant fordi selv om sikkerhetsutfordringene og sikkerhetsrisikoen var veldig reelle, var de virkelige symptomene vi fant, som vi oppdaget, faktisk at organisasjoner ikke hadde et effektivt middel til å spore alle eiendelene de hadde på nettet og samtidig vurdere sikkerhetsposisjonen til disse eiendelene og samtidig fikse og utbedre og redusere risikoen til de som er motstandere av organisasjonen.
Og jeg tror det var en av de veldig interessante tingene var at når vi ser tilbake, kan vi nå si: 'Selvfølgelig vil du gjøre alle disse aktivitetene.' Men fordi vi faktisk gjorde noe nytt som aldri hadde blitt gjort før, var det en ny kategori, vi måtte oppdage alt dette fra poenget med virkelig: 'Det ser ut til å være mange ting ødelagt på internett. Vi vet ikke helt hvorfor, men la oss undersøke.
Laurel : Det er en god måte å tenke det på, å begynne med et annet sted og deretter jobbe deg bakover. Så Matt, ifølge en fersk PwC-undersøkelse blant mer enn 5000 administrerende direktører rundt om i verden, er 47 % ekstremt bekymret for cybersikkerhet. Nå høres ikke 47% ut som et stort tall for meg, burde det ikke være nærmere 100%?
Matt : Jeg vil si at hver administrerende direktør jeg har snakket med er bekymret for det på et eller annet nivå. Og jeg tror mye avhenger av hvor de er. Totalt sett er det vi har lagt merke til en veldig stor økning, spesielt de siste fem årene, av oppmerksomheten til administrerende direktører og styrene til cybersikkerhetsspørsmål. Der jeg tror vi har sett et etterslep, selv om jeg tror det er noen få unntak på dette området, er at mange av både verktøy og presentasjoner som går, spesielt for ledere, for cybersikkerhetsrisiko ikke effektivt formidler alt som disse menneskene trenger å ta effektive beslutninger. Og jeg tror dette er utfordrende av en rekke årsaker, spesielt fordi mange administrerende direktører og styrer ikke nødvendigvis har den fulle tekniske bakgrunnen for å gjøre det. Men jeg tror det også har vært en fiasko til dags dato i industrien å kunne tilby disse verktøyene. Og jeg tror vi kommer til å se flere og flere endringer der.
Jeg sidestiller det med virkelig finanstilstanden før Sarbanes-Oxley som i utgangspunktet begynte å kreve at administrerende direktører skulle få opplæring, og styrene også, begynte å forstå visse økonomiske beregninger, å faktisk ha visse kontroller på plass. Jeg tror på høyt nivå, vi må se noe slikt i de kommende årene implementeres på en eller annen måte for å si at det er et minimumssett med standarder og at styrer og toppledere må være minimalt fortrolige på noen måter om cybersikkerhetsrisiko og analyse av disse beregningene. Akkurat nå har jeg sett mange mennesker si: 'Jeg er bekymret for dette, men da vet jeg heller ikke helt hvor jeg skal gå videre' eller: 'Jeg er fortrolig. Vi har en rapport. Vi hyret inn et firma. De hadde denne presentasjonen som hadde en hel haug med PowerPoint-lysbilder med mange diagrammer som ville ha juletrelys som fikk hjernen min til å smelte. Og jeg kunne egentlig ikke forstå konseptene.'
Jeg tror folk skjønner det, men vi er fortsatt i begynnelsen av: Hvordan har du effektiv kontroll over dette? Og hvordan har du egentlig programmer som er robuste rundt det? Igjen, vi må bevege oss i den retningen fordi flere og flere styrer trenger å se dette som et grunnleggende aspekt av selskapet deres, spesielt ettersom stort sett alle selskaper i dag, jeg bryr meg ikke om hvilken bransje du er i, hvilken størrelse, din selskapet kjører faktisk på IT. Det er stort sett umulig i disse dager å drive nesten hvilken som helst størrelse selskap der hvis IT-en din går ned, kan selskapet fortsatt drive. Og som et resultat av forståelsen av cybersikkerhet på disse nivåene, hvor angrepsoverflaten nå er en del av det, er det svært viktig for organisasjoner å kunne forstå, fordi ellers vil du sette organisasjonen din på en veldig stor risiko ved å ikke å kunne vurdere slike ting ordentlig.
Laurel : Ja. Og det går tilbake til det gamle ordtaket, hvert selskap er et teknologiselskap. Men kanskje dette er et mer spesifikt eksempel på hvordan det er. Kan du kort beskrive hva angrepsoverflatestyring er, kanskje for det utøvende publikumet?
Matt : Måten vi beskriver angrepsoverflatehåndtering er at det er en tre-trinns prosess der alle trinn utføres kontinuerlig i form av syklus, men det er en prosess og prosedyre som du, eller egentlig en leverandør, i dette tilfellet Expanse eller Palo Alto Networks, oppdager kontinuerlig alle eiendeler som en organisasjon har. I vårt tilfelle, fra eksternt angrep overflate, alle eiendeler du har på det offentlige internett. Og det er en kontinuerlig prosess fordi til enhver tid, og jeg kan gå inn på dette senere, men til enhver tid kan nye eiendeler dukke opp fra hvor som helst på internett. Så du må ha en kontinuerlig oppdagelsesprosess som sier: 'Til et gitt tidspunkt vet jeg kanskje ikke alt om eiendelene mine, så jeg bør ha mekanismer for å samle informasjon om hvor som helst de kan være og prøve å knytte dem til organisasjonen min.'
Samtidig så snart en eiendel blir oppdaget, må du ha midler til å evaluere den på tvers av en rekke forskjellige egenskaper. I mange tilfeller, hvis jeg har oppdaget en ny ressurs, er denne eiendelen virkelig ny? Og hvis det ikke er det, så matche, normalisere, deduplisere det med andre ting. Hvis det er en ny eiendel, vil den i de fleste tilfeller faktisk være uadministrert. Så hvordan starter jeg egentlig en rekke aktiviteter for å si: 'Dette er en ressurs som eksisterer med min, men den eksisterer vanligvis utenfor et tiltenkt sett med sikkerhetskontroller. Så hvordan starter jeg en prosess for både å vurdere hvilke kontroller som må på plass og deretter bringe den under ledelse.' Og den tredje delen av evalueringen er også å forstå hva som er risikoen dette umiddelbart utgjør for min organisasjon for å hjelpe meg med å prioritere aktiviteter.
Det siste trinnet er det vi kaller reduksjon. Når du har evaluert alt du har oppdaget, hva gjør du egentlig med det? Hvilke handlinger tar du og hvordan gjør du det på svært automatiserte og effektive måter. Og for oss er det to hovedtrinn som avbøtende tiltak innebærer. Jeg nevnte prioritering, men det er en, å bringe systemer under ledelse. I mange tilfeller betyr det også at for de fleste systemer knyttet til våre store kunder, betyr det faktisk å fjerne dem enten direkte fra internett, så vi setter dem bak en VPN eller annen type bedriftsenhet, eller lager sikker på at de da er kjent og deretter oppdatert fordi i mange tilfeller er det virkelige symptomet på sikkerhetsproblemer som vi finner tilfeldigvis rundt det faktum at en eiendel bare var uadministrert i svært lang tid og kan inneholde sikkerhet sårbarheter som senere ble oppdaget rett og slett fordi du ville ha sikkerhetsoppdateringer som eksisterer for kjente sikkerhetsproblemer som ikke hadde blitt brukt.
I visse tilfeller, for eksempel nulldagsangrep, er det faktisk bare mye viktigere å vite hvor alle eiendelene er slik at du kan lappe dem så snart som mulig. Men for det største flertallet av eiendeler som vi oppdager for våre kunder og hjelper oss med å administrere angrepsoverflaten deres, er det virkelige problemet at eiendelene bare ikke er kjent. Og for ledere er den virkelige nøkkelen at de eksisterende prosessene og verktøyene som mange bedrifter bruker, kan være veldig gode fra denne siden av sikkerheten, men de antar at nettverk i praksis er mye mer statiske.
Laurel : Så hva er konsekvensene av at en bedrift ikke kjenner deres faktiske angrepsoverflate?
Matt : Den store, mest åpenbare er en økt risiko for brudd. Jeg tror det var et ordtak gjennom store deler av 2000-tallet, hjulpet på ikke liten del av leverandører, at alt startet fra phishing på e-post. Og det er veldig, veldig store leverandører av e-postsikkerhet som fortsatt pumpet denne meldingen om at det er hver eneste sikkerhetshendelse som faktisk er en phishing-e-post, og at mennesker er den svakeste lenken når de klikker på ting, og derfor kjøper mer e-postsikkerhet.
Jeg tror ikke det er feil. Jeg tror det faktisk er riktig at sikkerhet er en stor ting, det kan du kjøpe. Men det er også mye lettere å redusere, spesielt nå med mange gode verktøy, som at du faktisk har full oversikt over alle e-poster som sendes til ansatte fordi de må gå gjennom en sentral e-postserver. Det er faktisk et spørsmål om bare å kunne oppdage dårlige ting, men ikke å faktisk trenge å finne ut at det for eksempel ble sendt e-poster som du ikke hadde innsyn i.
Jeg tror derimot, det vi har sett, spesielt mer nylig i løpet av det siste tiåret og egentlig til og med de siste fem årene, er noen av de absolutt verste bruddene, de som forårsaker skade fra hundrevis av millioner til milliarder av dollar, kommer ikke fra phishing. De kommer faktisk fra vanligvis ukjente og uovervåkede eiendeler, og som i mange tilfeller faktisk var på det offentlige internett. Så jeg tror noen av de største eksemplene på dette faktisk er ting som WannaCry-angrepet, som forårsaket, det er anslått over 10 milliarder dollar på verdensbasis i skade, stengte hele selskaper, og satte det meste av helsevesenet i Storbritannia tilbake på pennen. og papir for faktiske dager.
Og de virkelige konsekvensene er at du har alle disse ekstra mulighetene for å komme inn fordi det er så mange flere eiendeler som er online som ikke spores av organisasjoner, og det er faktisk hvordan angripere kommer inn fordi det viser seg at det er veldig effektive, automatiserte måter for angripere å forstå og undersøke og utnytte disse angrepsflatene. Og konsekvensene er ganske dristige. Du ser det meste av helsevesenet i et førsteverdensland redusert til penn og papir i flere dager. Veldig, veldig alvorlig fordi det ikke bare er å hacke noens e-post, det er faktisk å hacke den kritiske infrastrukturen til selve nettverket.
Laurel : Når vi snakker om kritisk infrastruktur, er et annet nylig angrep vannbehandlingsanlegget i Florida, hvor en angriper var i stand til å eksternt endre den kjemiske sammensetningen av vannet for å legge til lut, noe som kunne ha forgiftet et helt samfunn. Så da er infrastruktur et enormt problem for veldig store selskaper, som vannbehandlingsanlegg eller olje- og gasselskaper osv.?
Matt : Absolutt. I så fall, så vidt jeg forstår, var angrepsvektoren det faktisk en ekstern tilgangsserver som noen ved det anlegget lot være åpen, var på internett og lot noen gå inn. Det tekniske tjenestene våre handler om er at vi finne måter som effektivt er IT-bekvemmelige verktøy, men som er i stand til å undergraves av angripere fordi verktøyene for IT-komfort ikke er herdet i samme grad som andre ting som er ment å være på internett og utelates som en selvfølge. Vi har denne linjen som vi liker å se på internett på de fleste måter som det de fleste av oss opplevde gjennom nettleserne eller på telefonen vår. Det er denne virkelig hyggelige forbrukeropplevelsen, og alle nettsidene vi ser på ser veldig fine og tiltalende ut, og vi drar dit.
Og det er en god analogi til den fysiske verden som jeg antar, kort tid etter at vi alle er vaksinert fra covid-19, kommer vi tilbake til å handle utenfor. Du kan gå til en Starbucks og butikken er veldig fin, du har denne flotte opplevelsen, du får din latte, du går ut, men hvis du ser under alt av glitter i gatene, har du faktisk mye eldre infrastruktur. Du har ting som ingen kloakkrør og andre ting som er fettete og sprekker. Og det er infrastrukturen som støtter den vakrere verden på toppen.
Mye av det vi ser på som en del av angrepsoverflaten er en IT-analogi som de fleste ser på internett som bare 'Hva er det i nettleseren deres?' Hva er det på telefonen, disse fine forbrukernettstedene?' Men det er hele backend-IT-infrastrukturen som støtter det. Og det er noe knirkete og det er ikke alltid godt konfigurert. Uten noe sånt som ASM har du problemer som du faktisk ikke kjenner til nettverket ditt fordi det er så stort, distribuert og komplekst. Og som i tilfellet med Florida, som for øvrig var en mindre organisasjon, går det til kjernen av hvordan vet du at noe ikke skjer? Under enhver IT-sikkerhetspolicy bør det ikke være tillatt å ha en ekstern tilgangstjeneste på internett. Men det er veldig vanskelig selv for mindre organisasjoner å få den kontinuerlige synligheten av, hvordan ser jeg egentlig ut fra utsiden? Hvordan ser jeg ut for en angriper med eldre verktøy?
Laurel : Og det er et godt eksempel på et angrep som ikke er et phishing-angrep. Det har ingenting med e-posten å gjøre. Mens vi diskuterer angrep, mest minneverdig i år igjen, SolarWinds og Exchange, hvordan ville implementering av ASM ha endret disse resultatene for organisasjoner? Eller hva med de heldige organisasjonene som faktisk forsto mulighetene for angrepsoverflatestyring og var i stand til å finne dette og hindre angrepet?
Matt : Jeg skal snakke med begge fordi en rekke av kundene våre hadde begge disse typene systemer, og vi hjalp dem med å svare. Jeg tror Microsoft Exchange-hakkene, og for lytterne, litt bakgrunn: det ble faktisk kunngjort et sett med null-dager for settene med versjoner av Microsoft Exchange-e-posttjenestene tidligere i februar og mars i år. Veldig, veldig farlig fordi dette i realiteten er e-postserverne til en organisasjon, og hvis du fulgte denne XY-kjeden, var det som i utgangspunktet tillot deg å sende en melding til en e-postserver for å gi deg effektivt uhindret administrativ tilgang til hele e-posten. server. Og det var faktisk hundretusenvis av disse vi oppdaget på nettet. Og effektivt, hvis du tenker på det, er det et svært alvorlig angrep å ha en angriper som kan laste ned hele eller det meste av bedriftens e-postserver og med all denne sensitive informasjonen som er lagret der.
Så det vi la merke til var faktisk to ting, som var at for store organisasjoner var de veldig klar over dette og de lappet veldig, veldig raskt. Men det var en rekke kunder som vi kunne hjelpe der de er så store at de faktisk ikke engang har ett sentralt sett med e-postservere. Så uten Expanse ville de ikke ha vært i stand til å finne engang alle e-postserverne deres og være i stand til å lappe dem i tide fordi de er så distribuert at de faktisk trengte en beholdning av til og med e-postserverne deres. Og det er veldig vanskelig å samle det på en sentral måte med mindre du bruker et ASM-verktøy som Expanse. For i stedet, i mange tilfeller, bruker du vanligvis Microsoft Outlook og Microsoft Excel. Du kommer til å sende e-post til forskjellige forretningsenheter. Du kommer til å spørre IT-ledere i de forskjellige forretningsenhetene. Hvis de er lappet, vil de sende e-poster og regneark tilbake. Det er en veldig, veldig manuell prosess.
Så i stand til å faktisk identifisere det og virkelig hjelpe dem i løpet av en veldig kort rekkefølge på, for eksempel en dag, finne og være i stand til å fikse hver eneste server de hadde på eiendommen deres, noe vi tror virkelig, virkelig endret resultatet, fordi de kunne har vært sårbare i flere uker i enkelte tilfeller. For SolarWinds også, tror jeg detaljene er litt annerledes fordi ikke alle SolarWinds eiendeler nødvendigvis er eksponert for internett. Og også i mange tilfeller hadde de vært der i flere måneder. Som en del av bredere Palo Alto hadde vi andre produkter som var i stand til å stoppe SolarWinds: SolarWinds-angrepet spesielt, endepunktrammeverket vårt kalt XDR. Men selv der for SolarWinds, når angrepet ble kjent, har kundene fortsatt problemet med at de ikke engang visste hvor alle deres SolarWinds-servere var, noe som igjen går tilbake til dette inventarproblemet og valg av funksjoner, både som Expanse og andre egenskapene vi nå har som en del av Palo Alto, var vi i stand til å hjelpe kunder veldig raskt med å forstå overalt hvor de hadde en SolarWinds-eksponering, slik at de kunne redusere dette veldig raskt. Så det var faktisk en to-trinns prosess. Hos Palo Alto var vi i stand til å forhindre angrepet på kundene våre selv uten å vite at forsyningskjeden var brutt. Og så snart det var mer offentlig, kunne vi faktisk hjelpe alle med å identifisere alle serverne de hadde og sørge for at de alle var oppdatert og ikke infisert med forsyningskjeden Trojan.
Laurel : Det er veldig interessant fordi noen selskaper kanskje tenker: 'Å, vel, vi har ikke vannanlegg og aldrende infrastruktur å bekymre seg for.' Men vet du faktisk hvor all e-posten din er lagret og hvor mange forskjellige servere den kan være på og forskjellige skyforekomster eller hvor som helst? Og når du bare har noen timer på å lage denne kritiske oppdateringen, hvor raskt kan du gjøre det?
Matt : Nøyaktig. Og mange av spørsmålene jeg stilte kundene våre er bare: 'Hvordan har du tillit til at systemene dine faktisk er oppdatert?' Å svare på til og med tilsynelatende grunnleggende klingende spørsmål med eksisterende IT, hvis du ikke har Expanse eller ASM, er faktisk overraskende vanskelig. Jeg skal gi et annet morsomt eksempel. Jeg spør informasjonssikkerhetssjefene dette hele tiden: 'Hvor mange rutere har organisasjonen din?' Det virker som et ganske grunnleggende spørsmål, det virker som om de vet, i det minste til en veldig god tilnærming, bør IT-teamet sannsynligvis vite nøyaktig hvor mange rutere de har. De er veldig viktige deler av nettverksutstyr, spesielt på bedriftsnivå, de er dyrere. Så det er ikke bare et Wi-Fi-hotspot hjemme vi er vant til. Disse tingene kan koste titalls, i noen tilfeller, hundretusenvis av dollar for å håndtere arbeidsbelastninger i bedriftsklasse.
Og det vi finner er at når du stiller det spørsmålet, er det vanligvis ikke ett sentralt sted hvor alt dette spores. I stedet vil det spores av lokale utviklings- og IT-team på forskjellige måter. Det vil bli sporet i flere regneark. Det kan være visse lokale IT-styringssystemer som vet det, men på slutten av det, hvis du sa som 'Hvor mange rutere har du akkurat nå?' Prosessen som de ville bruke for å svare som ikke går inn i et system eller logger på, det er faktisk å starte en e-postkjede. Det er faktisk et av hovedproblemene som angrepsoverflateadministrasjon forsøker å løse, er, hvordan har du en nøyaktig og oppdatert oversikt over alt, slik at du deretter kan bygge en rekke prosesser på toppen av det, inkludert sikkerhet ? Men hvis du ikke har oppdatert inventar, eller du tror du har det, men det har du ikke, så når du begynner å trekke på den tråden, mange forretningsprosesser, mange IT-prosesser, mye av sikkerhetsprosesser som du ønsker skal gjelde på tvers av hele virksomheten din, plutselig innser du: 'Vent, dette blir faktisk bare delvis implementert, for hvis jeg ikke har en fullstendig beholdning, hvordan vet jeg egentlig hva som er gå over alle eiendelene mine i motsetning til bare eiendelene jeg vet om?' Og det er det vi snakker om når vi sier ukjente ukjente. Som du nevnte øverst, er det: 'Jeg kjenner til en viss grad av systemene mine, men kjenner jeg dem alle?' Det deltaet kan være alt for organisasjoner fordi det meste av risikoen deres ligger i de delene av nettverket de ikke en gang visste å undersøke.
Laurel : Hvilke andre datadrevne beslutninger kan tas fra denne typen fokus på å faktisk vite hvor alle eiendelene dine er. Hvordan ellers kan dette hjelpe virksomheten?
Matt : To områder som dette virkelig hjelper organisasjoner med, er faktisk skystyring og M&A. Spesielt er dette svært spredte bedrifter. Så for mange av kundene våre kan de faktisk ha hundrevis av forskjellige skykontoer i de offentlige skyleverandørene, så AWS, Azure, Oracle, Google, Alibaba i mange tilfeller, og de hadde ingen måte å faktisk rasjonalisere dette fordi de ville ha en hel haug med forskjellige utviklingsteam og de kunne ikke få til noe. Og så, når de sier at de flytter til skyen, vil et typisk avskjed fra kundene våre være som: 'Ja, det er vi. Vi har avtaler med Amazon, og vi sikrer våre innsatser litt. Vi utforsker også Azure, så vi er ikke bare låst til én sky.' Det vi finner er at gjennomsnittskunden for Expanse er i 11 forskjellige infrastrukturleverandører.
Jeg snakker ikke SaaS, jeg snakker på steder du faktisk får som å leie en server, sette data på deg selv. Det er fantastisk og astronomisk, og vi kan si: 'Vel, ja, du er på Azure. Du er også på AWS. Visste du at du også er i DigitalOcean? Du er også i Linode. Din daglige leder i Europa har sannsynligvis satt deg i OVH eller Orange hosting. Du har noe annet i det malaysiske datasenteret. Jeg er ikke helt sikker på hva det er. Og det er typisk. En kunde for oss var faktisk hos over hundre forskjellige leverandører fordi de er et veldig stort multinasjonalt land. Jeg tror det er da vi ser at folks skystyringsplaner kontra skyvirkelighet er dramatisk forskjellige. Og å hjelpe dem med det vil gjøre dem i stand til å flytte både sikkert og raskt til skyen.
Den andre er fusjoner og oppkjøp. Jeg tror dette er noe som skjer i økende grad. Ettersom mange bransjer konsoliderer seg, har det vært mye M&A-aktivitet i det siste. Men når du tenker på det, er en M&A en av de største IT-endringsbegivenhetene en organisasjon kan ha, spesielt hvis det er et stort oppkjøp. Så jeg vet litt om dette, etter å ha gått gjennom denne prosessen med Palo Alto Networks på den andre siden av bordet, men antallet ting du må integrere er ganske stort. Og når det gjelder Expanse, er vi integrert med et topp sikkerhetsselskap i verden, og vi er også relativt små. Så integreringshodepinen har vært nesten ikke-eksisterende, og det har vært en veldig flott prosess.
Men for større organisasjoner der du kan, anskaffer en organisasjon med 50 000 mennesker en organisasjon med 10 000 personer, antall forskjellige trinn du må gjennom, mengden IT du må overføre, mengden arv du må forstå er gigantisk. Og på mange måter er disse i mange tilfeller bare delvis implementert fordi du som innkjøper kanskje ikke en gang vet hvor alle eiendelene du kjøper er. Som et eksempel, for et flyselskap, var det en serie fusjoner, og vi kan faktisk finne eiendeler til det fusjonerte flyselskapet som ikke lenger eksisterer, men som fortsatt var på internett mer enn et tiår etter fusjonen.
Som gir deg en ide om hvor lang tid noen av disse tingene tar. Det er den andre siden av, hvordan vi virkelig hjelper med kundene våre, er faktisk å forstå, 'Når du faktisk anskaffer en eiendel, hvordan fullfører du egentlig den prosessen? Hvordan måler du det? Hvordan overvåker du det, og hvordan gjør du det på skalaen til internett i stedet for med mange konsulenter, Excel-regneark, papirlapper og e-poster?'
Laurel : Så fra samtalen vår i dag, føler jeg at dette er, hvis du ikke vet det du ikke vet, bør du virkelig finne ut av det advarsel, hvis du ikke har hørt det før. Men det er glimt av håp i dette, ikke sant? For hvis eiendelen eksisterer, kan du i det minste finne den, spore den og vurdere hva du skal gjøre med den, formidle eventuelle endringer du trenger å gjøre eller vurdere den for å bringe den tilbake til full cybersikkerhetssamsvar. Hva gir deg håp om hva som er mulig etter å ha sett de tre første månedene av dette året og hva som har skjedd med angrep, de pågående problemene vi kommer til å ha? Men det er muligheter der, ikke sant? Det er håp. Hva ser du som gjør deg optimistisk angående cybersikkerhet og hva vi ser frem til de neste fem årene?
Matt : Ja, jeg er faktisk ganske optimistisk ikke engang på lang sikt, men selv på mellomlang sikt tror jeg, til og med tre, fire år ut. På kort sikt kommer det definitivt til å være noen tøffe hav fremover, men her er det som gjør meg mest optimistisk. En, jeg tror at dette faktisk er et løsbart problem i stor grad med mye teknologi som utvikles. Og med det er det klart at når du vet at et problem eksisterer, er det faktisk ganske enkelt å fikse det. Det er mange mekanistiske skritt for å bli bedre på det. Det er mange automatiseringer som kan settes på det. Og det er mye som kommer til syne. Men i mange tilfeller er den faktiske vanskelige delen å se hva du faktisk trenger å fikse og kjenne alle problemene og deretter kunne prioritere dem effektivt og deretter begynne å jobbe med dem.
Og jeg tror spesielt, de tingene jeg har sett er innenfor bransjen, jeg tror det er mange teknologier i løpet av de få årene som kommer til å møte markedsføringshypen som har eksistert i årevis. Jeg snakker mye med industripartnere. Vi bruker betydelige mengder data. Med min bakgrunn hvor jeg har en doktorgrad fra Stanford i operasjonsforskning og maskinlæring, bruker vi faktisk noe ekte maskinlæring i produktene våre. Vi bruker også mye heuristikk også. Jeg fleiper med at vi noen ganger har maskinlæringsklassifiserere for å løse et problem. Andre ganger har vi SQL-spørringer som løser problemet.
Vi har noen veldig velskrevne SQL-spørringer. Jeg er veldig stolt av dem. Men jeg tror at industrien selv, spesielt i markedsføringsmateriell, skulle du tro at alt innen cybersikkerhet er denne automatiserte AI, ML-aktivert alt. I de fleste tilfeller, men ikke alle, men i mange av bransjene, og dette gjelder spesielt i startups, er det bare en linje å pitche. Og det selskaper egentlig kaller AI er bare standard programvareregler, og det er egentlig ikke noe spesielt som skjer.
Eller det er en gammel vits som sier: 'Å, jeg har denne flotte AI-tingen. Hva er det? Vel, vi har en gjeng analytikere som er tidligere etterretningsoffiserer, vanligvis i Maryland eller utenfor Tel Aviv, og det er de som gjør alt. Men vi har et system som effektivt ruter arbeid til dem, og det er vår AI.' Og de sier: 'Vent, det er folk.' Jeg tror det jeg har sett er at automatisering bredt definert er en reell ting. Men automatisering betyr faktisk på bakken, er du tar noe som tidligere tok timer og dager og 10 personer. Og så med programvare akkurat nå, er det mer så hvordan tar du det ned til 15 minutter og to eller tre personer?
Jeg tror at vi kommer til å se enda større gevinster eller til og med begynne å ta mennesker helt ut av løkken i visse forretningsprosesser. Og jeg tror at det vi ser og dette er mye av det vi jobber med og jeg jobber med nå er at i løpet av de neste månedene og årene blir faktisk storskala maskinlæringskapasitet implementert i produksjonen. Jeg tror det er noen som er der ute i stykker. Det er mye flere regler enn noen vil snakke om, men vi ser nå at det er nok samling av data, det er nok normalisering av data i det, spesielt i de større selskapene, og at bedrifter er mer villige til å dele informasjon med leverandører hvis det beviselig forbedrer sikkerhetstjenesten de får, at vi faktisk kommer til å kunne distribuere stadig mer sofistikerte funksjoner langs disse linjene og få produktet/virkeligheten til å matche. Jeg tror det er hva i det minste den bredere markedsføringstidsånden i bransjen hadde vært.
Jeg har sett mange av dem, de er veldig, veldig ekte og de kommer veldig mye. Og de kommer i industriell skala for forsvarere. Og jeg tror det er det jeg er mest begeistret for, for til tross for at det er det gamle ordtaket om at angripere må ha rett en gang, forsvarere må ha rett hele tiden, i økende grad er det nå mer skalerbart for forsvarere å ha rett mye av tiden og å faktisk sette opp veldig store overvåkingsnettverk slik at hvis angriperne sklir opp en gang, kan forsvarerne fullstendig utslette dem i det angrepet. Og det påvirker både asymmetrisk kostnadene og også tror jeg vil bidra til å vippe banen tilbake til forsvar.
Matt : Jeg tror at når du hadde delvise AI-løsninger og ML-løsninger og delvis automatisering, hjalp det angripere mye mer fordi de kunne teipe sammen noen forskjellige deler, skalere opp visse ting veldig høyt og så bare se hva som kom tilbake til dem i en flott måte. Jeg tror forsvarere vil kunne ha lignende evner som er effektive fordi de faktisk dekker alt som skjer i en bedrift. Og det vil tillate oss å snu utviklingen.
Laurel :Matt, tusen takk for at du ble med oss i dag i det som har vært en fantastisk samtale på Business Lab.
Det var Matt Kraning, teknologisjefen og medgründeren av Expanse, som jeg snakket med fra Cambridge, Massachusetts, hjemmet til MIT og MIT Technology Review, med utsikt over Charles River.
Det var alt for denne episoden av Business Lab. Jeg er verten din, Laurel Ruma. Jeg er direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology. Og du kan også finne oss på trykk, på nettet og på arrangementer hvert år rundt om i verden.
For mer informasjon om oss og showet, vennligst sjekk ut nettstedet vårt på technologyreview.com.
Dette programmet er tilgjengelig uansett hvor du får podcastene dine. Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss. Business Lab er en produksjon av MIT Technology Review. Denne episoden ble produsert av Collective Next. Takk for at du lyttet.
Denne podcast-episoden ble produsert av Insights, den tilpassede innholdsarmen til MIT Technology Review. Den ble ikke produsert av MIT Technology Reviews redaksjon.