Keren Elazari om viktigheten av hackere

Hvordan å tenke på hjelpsomme hackere som immunsystemet på internett kan gjøre sikkerheten din sterkere og bedre forberede og sikre din digitale tilstedeværelse.





  • TR-ansatte arkivside
1. august 2019

Utviklingen av cybersikkerhet er sammenvevd med utviklingen av hackersamfunnet. Keren Elazari, cybersikkerhetsanalytiker og seniorforsker ved Tel Aviv University Interdisciplinary Cyber ​​Research Center, utdannet verden i TED-foredraget i 2014 om viktigheten av å dyrke vennlige hackere for beskyttelse av internett. I dag forsker hun på de mest presserende cybersikkerhetstruslene, og hvordan man kan forhindre disse bruddene.

I denne episoden deler Elazari historien sin om å bli hacker som ung kvinne i Israel og snakker om styrken hun fikk gjennom å bli en viktig aktør i det globale hackersamfunnet. Hun forklarer hvordan bedrifter, organisasjoner og myndigheter nå samarbeider med hjelpsomme hackere ved å lage bug-bounty-programmer og andre initiativer. Elazari forklarer tips for hva selskaper bør se etter i form av cybertrusler.



Business Lab er vert for Elizabeth Bramson-Boudreau, administrerende direktør og utgiver av MIT Technology Review. Showet er produsert av Katherine Gorman, med redaksjonell hjelp fra Emily Townsend og Mindy Blodgett. Musikk av Merlean, fra Epidemic Sound.

Vis notater og lenker:

Tel Aviv Cyberweek: https://cyberweek.tau.ac.il/2019/



Kerens hjemmeside: https://www.k3r3n3.com

Kerens Twitter: https://twitter.com/k3r3n3

Ted Talk: https://www.youtube.com/watch?time_continue=2&v=JpFFb1jEUf0



FULL TRANSKRIPT

Fra MIT Technology Review heter jeg Elizabeth Bramson-Boudreau, og dette er Business Lab, showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet.

Så lenge vi har hatt datasystemer har det vært de som har forsøkt å bryte gjennom beskyttelser, men disse hackerne kan også spille en nyttig rolle i å identifisere hullene i cybersikkerhet og identifisere fremtidige trusler.



Dette er den siste episoden i serien vår om cybersikkerhet. Og i dag snakker vi om hacking.

Siden internetts tidlige dager har det vært vennlige cybereksperter, inkludert våre gjester, og disse hackerne har vært kritiske for helsen til immunsystemet på Internett. Keren Elazari er en cybersikkerhetsanalytiker og seniorforsker ved Tel Aviv University Interdisciplinary Cyber ​​Research Center.

Elizabeth Bramson-Boudreau: Keren, velkommen til Business Lab.

Kul Elazari: Hei. Jeg er glad for å være her. Jeg er glad for å benytte anledningen til å snakke om hva vi kan lære av hackere og hvordan hackere faktisk utgjør en kritisk rolle i dagens informasjonssamfunn.

Elizabeth: Greit. Så det er flott. La oss komme i gang fordi jeg virkelig ønsker å snakke om konseptet med hacker som noe som skal feires. Jeg tror mange har kommet til å tro at hackere var truende, og du kommer på det fra et helt annet synspunkt. Før vi går inn på det og snakker om ditt synspunkt, kan du fortelle oss litt om deg selv og hvordan du har blitt en slik leder og på en måte i front på dette temaet?

Kul: Selvfølgelig, Elizabeth. Jeg startet min vei i cyberverdenen, i det digitale riket, om du vil, da jeg var veldig ung. Jeg var rundt kanskje 11 eller 12 da vi først fikk tilgang til internett i Israel, i Tel Aviv, hvor jeg vokste opp. Og jeg tryglet foreldrene mine om en egen datamaskin som jeg kunne koble til internett. På den tiden måtte du finne ut av det på egen hånd, hvordan du får modemet til å fungere, hvordan du ringer opp til de riktige serverne, hvordan du konfigurerer datamaskinen.

Og så når du først var online, var det virkelig opp til deg å finne veien din. Og heldigvis fant jeg veien med chatterom og nettgrupper for folk som var lidenskapelig opptatt av teknologi som jeg var. Og jeg lærte engelsk ved å skrive og snakke med disse menneskene i chatterom som ikke ante at de snakket med en 13 år gammel jente fra Tel Aviv.

For dem var jeg bare en annen hacker, bare en annen online personlighet bak kallenavnet. Og det var der på disse nettrommene jeg lærte å sette pris på hvor nysgjerrige, hvor kreative, hvor innovative menneskene som kaller seg hackere kan være. Og rundt år 1995, det var der livet mitt virkelig endret seg fordi det var da jeg så filmen 'Hackers' med Angelina Jolie som portretterer en voldsom high school hacker. Og da jeg så den filmen, koblet jeg meg virkelig. Jeg resonerte umiddelbart med historien som den filmen viste.

Og det var en historie om denne gruppen av high school hackere som alle er litt av, du vet, rare eller outsidere. Men sammen som en gruppe forhindret de faktisk en økologisk katastrofe. De avdekket bedriftskorrupsjon. De viste FBI hvor den virkelige nettkriminelle gjemte seg.

Og det er denne gruppen med barn som så mye ut som meg og hørte på den samme musikken som jeg gjorde og hadde den samme ideologien som jeg hadde. Det er gruppen av barn som viste at jeg var en hacker, kan faktisk bety at du er historiens helt. Heldigvis var jeg i stand til å ta det bildet av hackeren som helt og bildet av den unge, mektige kvinnen portrettert av Angelina Jolie og gjøre det til min virkelighet. Jeg bestemte meg for at det ville være mitt forbilde og at jeg ville like å være en vennlig hacker, en som hjelper organisasjoner og nasjoner å forstå sikkerhetsproblemer slik at vi kan lage bedre systemer og vi kan forhindre, du vet, at katastrofale utfall skjer som et resultat. av cyberangrep.

Gjennom hele karrieren min, helt siden midten av 90-tallet, er det synspunktet jeg alltid har hatt. Nå har jeg jobbet med forskjellige typer organisasjoner, med offentlige etater. Jeg tjenestegjorde i det israelske militæret. Jeg jobbet med ledende israelske teknologiselskaper. Og på alle disse stedene tok jeg med meg det hackersynspunktet og spesielt den vennlige hackerens synspunkt – hvordan kan vi faktisk fikse dette problemet? Hvordan kan vi skape noe bedre? Så det er perspektivet jeg har hatt i løpet av de siste, antar jeg, 25 år, nesten i karrieren min i cybersikkerhetsverdenen.

Elizabeth : Jeg mener, jeg antar at jeg intuitivt forstår hvorfor hackere er på en måte utenforstående og, du vet, siter unquote, 'rarere'. Men hva er det med det fellesskapet som gjør det så, ofte, så ideologisk drevet?

Kul: Det er mitt synspunkt at hackere har en tendens til å være utenforstående. Ja. Men vi har også en tendens til å være ekstremt lidenskapelig opptatt av teknologi. Og dette kan noen ganger føre til frustrerende resultater når en gruppe hackere identifiserer et problem og vi prøver å få det fikset, men vi får ikke den oppmerksomheten vi trenger, eller vi blir umiddelbart stemplet som kriminelle eller som vandaler. Og det fører mange ganger til det resultatet der folk ser på oss som å ha, du vet, kanskje et potensielt ondsinnet synspunkt. Mange av hackerne jeg kjenner har, du vet, kanskje ikke den samme ideologien, men alle deler veldig lidenskapelige idealer om teknologiens rolle i livet vårt, rollen som tilgang til informasjon om denne ideen om at folk skal ha tilgang til kunnskap og informasjon, at teknologi ikke bare skal eies av store selskaper og ikke bare være noe folk med mye penger eller privilegier har tilgang til, men heller at internett og at teknologi er noe som bør demokratiseres. Og jeg tror kanskje dette er en ideologi som du vil finne hos mange hackere.

Hvor kommer det fra? er et godt spørsmål. Og det er ikke slik at alle hackere deler det samme synspunktet eller den samme ideologien. Men tilbake på 80-tallet var det dette magiske dokumentet som gikk rundt på BBS, oppslagstavlesystemene, og senere på tidlige nettmagasiner, og dette dokumentet ble kalt 'Hackermanifestet'. Og i 'The Hacker Manifesto' snakker personen som skrev det om menneskene som er nysgjerrige på teknologi som hackere, folk som ønsker å utforske den digitale verden for alt den har uten noen barrierer, og at de er menneskene som ville kaller seg hackere. Så det var der den ideologien kom fra. På 90-tallet var det selvfølgelig også ganske mange kriminelle elementer og spesielt organisert kriminalitet, som tok i bruk det nye potensialet som internett og teknologiverdenen kan tilby dem. Og disse menneskene bør kalles nettkriminelle. De kan bruke hacking-ferdigheter eller hacking-evner, men de deler ikke nødvendigvis de samme ideologiene som hackerne jeg vokste opp med, og som jeg representerer, har.

Elizabeth: La oss snakke litt mer om denne ideen om den vennlige hackeren. Lytterne til Business Lab driver selskaper og er svært opptatt av å holde dette selskapet sikkert mot cybertrusler. Det er ditt synspunkt, og jeg vil gjerne høre mer om det, at hackere kan hjelpe med å finne tekniske problemer og kan på en måte fungere som et slags immunsystem. Så hva vil du si til folk som driver selskapene deres?

Hvordan bør de tenke på hackerverdene og hva bør de tenke på når de er bekymret for cybersikkerhet og denne typen beslutninger som de bør ta om å opprettholde eller fremme større sikkerhet i disse selskapene?

Kul: Absolutt. Så det er mitt synspunkt at hackere kan være immunsystemet for vår nye tilkoblede virkelighet. Og for de som lytter til podcasten som ønsker å lære mer om det, anbefaler jeg at de sjekker ut min TED 2014-foredrag, som heter 'Hackere er internetts immunsystem'.

Siden 2014 har jeg delt denne meldingen om at hackere kan være nyttige allierte med en rekke forskjellige organisasjoner og mennesker. Og overraskende nok, i løpet av de siste par årene har flere og flere bedrifter funnet verdien av å jobbe med det vennlige hacker-økosystemet. Og en flott måte dette faktisk skjer på er fenomenet kjent som bug bounty-programmer. Så disse bug-bounty-programmene – noen ganger også referert til som sårbarhetsavsløringsprogrammer eller sårbarhetsbelønningsprogrammer – er faktisk rammeverk som drives av veldig store selskaper, selskaper som Google, Facebook, Yahoo, Microsoft, Samsung og til og med selskaper som ikke er strengt tatt teknologiselskaper, selskaper. som United Airlines, for eksempel, eller Western Union eller til og med Starbucks, kaffekjeden. Alle disse selskapene har faktisk et bug-bounty-program på plass.

Og hva dette betyr er at de aktivt inviterer vennlige hackere til å se på produktet deres, enten det er appen deres, nettsiden deres. Det kan være en bil. Når det gjelder Tesla, har det et langvarig forhold til hackere. Og de sier egentlig til hackere: Se på produktet vårt.

Hvis du finner sårbarheter, hvis du kan oppdage sikkerhetsmangler og hvis du kan fortelle oss om disse problemene, vil vi belønne deg for innsatsen din, og disse belønningene, de dusørene, kan være i form av penger betalt med forhåndsbetalte kredittkort eller debetkort, for eksempel, men de kan også være en ikke-monetær form for godtgjørelse som faktisk har mye symbolsk verdi i hackerens økosystem. Så dette kan for eksempel være swag, t-skjorter eller hatter eller unike opplevelser.

For eksempel husker jeg et år da Microsoft tok ut en av de største klubbene i Las Vegas og booket en av de største DJ-ene og tilgang til den festen. Og den klubben med den superstjernen deejay ble bare gitt til de forskerne, de vennlige hackerne som identifiserte sårbarheter og avslørte dem til Microsofts program. I et annet tilfelle...

Elizabeth: Så det ble etter hvert som det ble en statusgreie, et slags hederstegn å bli invitert?

Kul: Det er definitivt et statuselement. Og faktisk er en av grunnene til at bug-bounty-programmer er så vellykkede fordi de faktisk har opprettet sosiale nettverk rundt seg med hackere som konkurrerer på ledertavler. Du kan si at dette har blitt gamifisert og hackere konkurrerer om å være på førsteplassen på topp fem eller topp ti-listene over hackere som har funnet sårbarheter på det bestemte nettstedet eller programmet. I visse tilfeller er det enda flere spesielle belønninger som bare gis til de beste hackerne på et bestemt program. For eksempel har Tesla en utfordringsmynt, og dette er nesten som en medalje, og de er bare 20 av disse Tesla-utfordringsmyntene i verden, og de går bare ut til de beste hackerne som hjelper Tesla. Faktisk så jeg i fjor sommer Elon Musk personlig delta på det største konvensjonen av hackere i verden, en begivenhet kalt DEF CON, som finner sted i Las Vegas hvert år. Og Elon Musk kom dit med teamet sitt og med ingeniørsjefene for både Tesla og SpaceX for å snakke med de talentfulle hackerne som var i stand til å finne sårbarheter i Teslas produkt. Selvfølgelig er det kanskje ikke en overraskelse at et innovativt selskap som Tesla eller at Silicon Valley-giganter som Facebook og Microsoft jobber med hackere. Men i løpet av de siste par årene har organisasjoner som Pentagon, USAs forsvarsdepartement også lansert Hack the Pentagon-programmet. Og det bug-bounty-programmet har virkelig vist flott initiativ, flotte resultater. Fra det øyeblikket det først ble lansert til i år, har det vært så mange sårbarheter på Pentagon-nettsteder som ble oppdaget via det programmet. Så det betyr at de kriminelle, spionene, de slemme gutta som finner sårbarheten, de kommer ikke til å fortelle deg om hva de oppdaget. Og ved å lage disse programmene, tillater vi effektivt det immunsystemet. Vi gir effektivt de vennlige hackerne en vei, en legitim juridisk vei for å rapportere funnene deres og hjelpe oss med å bli tryggere.

Og jeg er veldig lidenskapelig og håpefull når det gjelder videre bruk av disse bug-bounty-programmene. Og jeg tror det er noe enhver bedriftsleder må spørre seg selv om, har vi en slik mulighet for vennlige hackere til å rapportere funnene sine til oss?

Elizabeth: Jeg har et par spørsmål. Er det spesielle typer feil som den slags dusørprogrammer er best egnet til å søke etter? Og for det andre, hvordan er bedriftsledere som ikke driver Tesla eller Facebook, monumentalt store selskaper med gode ressurser? Hvordan fikk de tilgang til denne typen programmer?

Kul: Så det er store spørsmål. Jeg er veldig glad for å snakke om bug-bounties så lenge du vil, for dette har faktisk vært hjertet i studien, forskningsarbeidet jeg har gjort ved Tel Aviv Universitys Cyber ​​Research Center de siste par årene . Og en av tingene vi oppdaget er at det er mye verdi for disse programmene når produktet som blir testet eller plattformen som blir sett på allerede er offentlig vendt. Så hvis du har et nettsted, for eksempel, hvis du er United Airlines og folk kjøper flybilletter på nettstedet ditt, har du allerede et produkt som er veldig offentlig rettet og som lever på nettet. Og når du har et slikt produkt, er det veldig nyttig å la alle disse hackerne identifisere sårbarheter. I tilfellet United Airlines betaler de forresten ikke ut penger. De betaler ut luftmil. Og folk har tjent millioner av miles ved å finne sårbarheter på United Airlines-nettstedet. I et annet tilfelle, når det kommer til apper eller nettsystemer eller til og med, som jeg nevnte tidligere, med biler, med Tesla-bilsystemer, når det er et forbrukervendt produkt som har mye teknologi i seg eller når det produktet er på nettet, eller det er en mobilapp, er det et godt tidspunkt for å engasjere hjelpen fra de vennlige hackerne via formatet til bug-bounty-programmer. Nå spurte du hvordan kan små organisasjoner nyte denne fordelen? Det finnes en rekke måter. En som er viktig å forstå at det i dag er eksisterende plattformer som faktisk formidler det forholdet til disse hackerne. Jeg nevnte at det er nesten som sosiale nettverk har blitt bygget rundt det. De to ledende plattformene heter HackerOne og Bugcrowd.

Det er flere andre selskaper, men dette er de to største plattformene, og de formidler faktisk mange av bug-bounty-programmene der ute, og de har mer enn 100 000 vennlige hackere som registrerer og bruker disse plattformene. Så det er tilgang til mange hackere. Så det ville være det første stedet jeg vil anbefale å se på. For det andre er det viktig å forstå at selv en liten organisasjon kan ha en form for engasjement eller utløp der ute for å jobbe med vennlige hackere.

For det første er det faktisk en internasjonal standard for koordinert sårbarhetsavsløring, og det er den internasjonale standarden for CVD-koordinert sårbarhetsavsløring. Og jeg kan slå opp nummeret til den standarden slik at jeg kan dele det med lytterne dine.

Nå, bortsett fra det, er det et annet prosjekt som heter security.txt. Og hva security.txt-prosjektet i utgangspunktet sier, sier det at hvis du har et nettsted eller en forbrukerrettet teknologi, er det du vil gjøre å sørge for at det et sted på nettstedet ditt er en fil som heter security.txt og faktisk har informasjonen om hvem folk bør kontakte hvis de finner en sikkerhetssårbarhet på nettstedet ditt. Du vil bli overrasket over hvor mange ganger den enkle tingen med å bare ha riktig kontaktinformasjon der ute gjør det mulig for en vennlig hacker å nå ut og si: 'Hei, jeg fant et problem på nettstedet ditt, jeg fant en feil i kode. Du vil kanskje vite om det.

Elizabeth: Ikke sant. Det gir mye mening. Så jeg vil bytte litt til å se på cybersikkerhetstrusler som ikke bare handler om datamaskiner eller nettverk. Og jeg tror at, du vet, mange av lytterne våre er klar over at trusselen bare vokser med iot og spredningen av enheter som er koblet til. Snakk om det og hva hackermiljøet gjør og kan gjøre for å gi større støtte og hjelpe bedriftsledere.

Kul: Absolutt. Før jeg gjør det, vil jeg bare nevne at den internasjonale standarden jeg snakket om tidligere er ISO 29147. Så det er internasjonal standard nummer 29 147, som faktisk er en internasjonal standard for koordinert avsløring av sårbarheter som enhver organisasjon kan lære av og tilpasse og anvende for deres virksomhet. Så jeg ville bare gi deg informasjon om det. Nå, med hensyn til et spørsmål, tror jeg du virkelig traff spikeren på hodet der. Det handler egentlig ikke lenger om informasjonssystemer eller, du vet, telefonene våre eller datamaskinene våre.

Det er virkelig så mange nye tilkoblede teknologier som vi stoler på med livene våre hver dag, enten det er tilkoblede hjemlåser og overvåkingssystemer som webkameraer eller, du vet, tingene vi stoler på for å få bilen vår i tide, navigasjonen. verktøy vi er avhengige av, tingene som fly er avhengige av, medisinsk teknologi. Og dette er flott. Dette er faktisk en grunn til at vi nå snakker i vår bransje om cybersikkerhet og ikke om informasjonssikkerhet, fordi det ikke lenger handler om å beskytte hemmeligheter eller passordene våre eller kredittkortnumrene. Det handler egentlig om å beskytte alle disse fysiske nettbaserte systemene. Nå, når det kommer til disse iot-enhetene, tingenes internett-enheter. Det er her jeg tror mange mennesker, enten de er bedriftsledere eller, du vet, privatpersoner, at vi virkelig ikke skjønner at vi må være informasjonssjef for vårt eget hjem, for i hver families hjem i dag, det er faktisk mer enn et dusin enheter, vanligvis, kanskje enda flere. Og du har underholdningskonsoller, du har DVD, du har webkameraer, du har dingser og nettbrett og personlige enheter, selvfølgelig, telefoner og datamaskiner. Og for alle disse enhetene er det egentlig ingen informasjonssikkerhetssjef eller informasjonssjef som kommer til å vedlikeholde dem for oss. Så som enkeltpersoner, som forbrukere, er det egentlig ansvaret å sørge for at disse enhetene har oppdaterte operativsystemmiljøer som du ikke har standard brukernavn og passord. Det er ting vi må gjøre, og ingen gjør det for oss.

Og det er der mange av de nye typene trusler sniker seg inn, fordi mange mennesker vil fortelle deg: 'Hei, vel, jeg bryr meg ikke om noen hacker seg inn i sikkerhetskameraet mitt som jeg har i hagen min fordi jeg ikke 'har ikke noe å skjule.' Men det folk ikke skjønner er at kriminelle lærer å bruke alle disse digitale eiendelene som bønder i sine egne digitale hærer. Og de siste årene har vi sett massive angrep der kriminelle faktisk har tatt over hundrevis og tusenvis av denne typen tilkoblede enheter, enten det er webkameraer eller digitale videoopptakere, noen ganger til og med kontorkopieringsmaskiner som en Xerox-maskin. Og alle disse enhetene kan brukes av kriminelle til å starte ytterligere nettangrep. Så når det kommer til disse enhetene, er det egentlig opp til hver og en av oss å ta ansvar også. Først av alt, beskytt den enheten, enten det er ved å oppdatere operativsystemet, erstatte standardpassordet. Forresten, staten California er en ny lov på plass, som vil bli tatt i bruk i januar 2020. At hvis du faktisk selger eller markedsfører en hvilken som helst internett-enhet i staten California, må du sørge for at det kommer ikke til å ha en standard kombinasjon av brukernavn og passord. Så du kan ikke ha enheter som har passordet til, du vet, en, to, tre, fire eller noe sånt som vi har sett de siste par årene. Så det er noe som endrer seg i delstaten California. Forhåpentligvis vil flere stater følge etter. Men det bringer det tilbake til det personlige ansvaret vi har som forbrukere. Og vi har også et ansvar og potensielt en kilde til innflytelse som bedriftseiere. Når vi kjøper teknologi, når vi kjøper teknologi fra en leverandør, fra en leverandør som selger den til oss, kan vi faktisk si: Hei, hva er sikkerhetsprotokollene dine? Hva er din metode for å oppdatere operativsystem eller fastvare for denne enheten? Hvordan kan du verifisere at det ikke bare kommer til å ha så enkle ett, to, tre, fire type passord? Hvordan kan jeg endre passordene mine? Og jeg tror at ettersom flere krever bedre av leverandørene som lager disse teknologiene og selger disse produktene, vil vi faktisk få et sikrere økosystem.

Elizabeth: Så dette er egentlig, antar jeg, du kaller nedenfra og opp-tilnærminger. Så ansvaret ligger på personen som kjøper enheten, den tilkoblede enheten eller på selskapets sikkerhetsteam. Du nevnte staten California, men generelt, er dette noe vi burde anta at ikke vil bli hjulpet av statlig støtte eller myndighetsregulering?

Kul: Faktisk gjør regjeringer mye mer enn de pleide. Spesielt i USA kommer vi til å se flere regulatoriske tilnærminger som vil være litt mer aggressive i deres krav fra bedrifter og bedriftsledere om å være mer kunnskapsrike om cybersikkerhet, å ha et styremedlem for en organisasjon som har cybersikkerhetskunnskap og bakgrunn. Vi har allerede sett saker der, for eksempel, i saken brakt til, tror jeg FTC mot Uber. Som du kanskje har hørt, har Uber hatt flere datainnbrudd de siste par årene. Og ettersom denne saken har blitt brakt opp til Federal Trade Commission, har FTC faktisk sett veldig nøye på nivået på sikkerhetskontrollene som brukes av Uber. Og de ansetter faktisk seg selv med folk som er kunnskapsrike, som jobber for disse forbrukerregulatorene som kommer til å stille veldig detaljerte spørsmål på teknisk nivå, og de kommer til å forvente at selskaper har rimelige sikkerhetskontroller. Nå, hva betyr rimelig sikkerhetskontroll?

Det betyr ting som er beste praksis, ting som anses å være noe som ethvert annet selskap av den størrelsen eller innenfor det innenfor den typen budsjett ville gjort. Og en type rimelig kontroll som regulatorer begynner å se etter er faktisk har et selskap noen kommunikasjonsmidler med de vennlige hackerne som er der ute og prøver å rapportere sårbarheter? Så har selskapet et bug-bounty-program? Har de en klar policy for avsløring av sikkerhet eller sårbarhet? Gjør de det kjent for folk at det er en måte å rapportere sårbarheter til dem på? Og dette er noe vi faktisk ser at flere og flere regulatorer begynner å snakke om. Jeg er veldig heldig i denne forstand fordi jeg tilfeldigvis har en søster som er advokat og som nå spesialiserer seg på nettsikkerhetspolitikk i USA. Og sammen med henne har jeg lært så mye om måten amerikanske regulatorer faktisk begynner å presse på for mye mer når det kommer til sikkerhetskontroller fra amerikanske virksomheters side.

Elizabeth: Vel, det er flott. Så la oss snakke litt mer om andre typer trusler. Så hva med løsepengevare? Vi har snakket på denne podcasten om løsepengevare. Ser du på det som en reell og økende trussel?

Kul: Så det er viktig å forstå om løsepengevare at det var supertrendy i 2017 og 2018. Men kriminelle utvikler seg alltid, og de kommer ikke til å gjøre det samme. Så det som var, vet du, veldig verdifullt og lønnsomt for kriminelle å lansere de siste par årene er ikke lenger så lønnsomt fordi flere og flere organisasjoner har blitt klokere og de kommer ikke til å betale løsepenger. De kommer til å gå tilbake til en sikkerhetskopi, eller de kommer til å finne en alternativ måte å omgå den løsepengevarekrypteringen. Det som har skjedd er at kriminelle faktisk har funnet ut en mye mer lukrativ tilnærming. Og dette er noe som kalles crypto jacking, også kjent noen ganger som crypto mining. Og det kryptojacking gjør er i utgangspunktet når den kriminelle har muligheten til å lansere alle typer ondsinnet kode på systemet ditt, det kan være din personlige datamaskin, det kan være webservere eller skyservere. Det de kommer til å gjøre er at i stedet for å kryptere dataene og be om løsepenger, skal de faktisk kjøre et stille program som kommer til å gruve etter kryptovalutaer. En veldig populær svindel. Datamaskinen din som bruker du bruker akkurat datamaskinen din, bruker datakraften din. Så for noen com-selskaper, når dette skjer på deres skyservere, når dette skjer på deres AWS-infrastruktur, for eksempel, kan dette faktisk samle opp dusinvis av tusenvis av dollar i datakraftkostnader. Og de kriminelle går unna med millioner av dollar i kryptovaluta. Og den svært populære kryptovalutaen som er blitt utvunnet på denne måten, heter Monero. Og det har faktisk vært så mange kampanjer som skaper veldig unnvikende skadelig programvare som kommer til å gruve for den Monero. Faktisk hadde til og med wi-fi-nettverkene på Starbucks-filialer over hele Argentina denne Monero-gruve-malware på seg. Så når folk logget på Wi-Fi, åpnet de den bærbare datamaskinen for å logge på Starbucks Wi-Fi.

Faktisk kjørte denne gruveprogramvaren på datamaskinene deres i fem eller 10 sekunder om gangen, og skapte mye inntekt i form av kryptovaluta for de kriminelle. Og det er derfor jeg sier, Elizabeth, det er veldig viktig å lære av hva hackerne gjør. Det er veldig viktig å se på hva kriminelle gjør fordi de er i konstant utvikling. Og det er her jeg bruker mye av tiden min på å studere og se på disse nye teknikkene, disse nye trendene, måten kriminelle øker spillet på fordi de virkelig kommer opp med helt nye forretningsmodeller for å ta våre digitale eiendeler og gjøre dem om til penger veldig raskt. Og de gjør noe nytt hele tiden.

Elizabeth: Så hvordan ville du vite om nettet ditt hva du leter etter for å finne ut om nettverket ditt er eller ikke er sårbart for denne typen kryptojacking eller kryptogruvedrift? Jeg mener, det høres så forferdelig ut.

Kul: Ja. Ja. Det er det. Det er forferdelig. Det er et flott spørsmål. Så en måte du vil legge merke til at du har crypto-jacking malware på systemene dine er selvfølgelig hvis du har en veldig høy Amazon Web Services-regning på slutten av måneden, som er mye høyere enn det du forventet, eller hvis du ser på energiforbruket ditt og du ser at serverne dine plutselig kjører med mye høyere CPU-hastigheter, så jobber prosessorene dine faktisk mye hardere. Du kan også legge merke til at maskinen varmes opp. Den kjører blir varmere fordi en CPU jobber hardere. Og du kan legge merke til dette selv som individ, hvis du er, vet du, tilkoblingen din ser ut til å være ekstremt treg. Du åpner nettleseren din for bestemte nettsteder, og det tar veldig lang tid å laste dem opp. Det kan bety at du kan ha denne typen cryptomining eller cryptojacking malware på systemet ditt. Det er viktig å merke seg at mesteparten av tiden er denne typen angrep nå rettet mot disse skyforekomstene. Så de passer ikke lenger på folks individuelle datamaskiner bare fordi de egentlig ikke nødvendigvis har den datakraften de ønsker. Spillere, men spillere som har kraftige datamaskiner, vanligvis med GPU som med kraftige grafiske prosesseringsenheter, kan være mer utsatt for denne typen crypto mining malware.

Elizabeth: Er ikke AWS og andre skyleverandører, skal de ikke lete etter dette i stedet for bare å sende en høy regning videre til kundene sine? Jeg tror de ville gjort noe du vet, de kunne absolutt få en AI til å se på eventuelle topper eller uvanlig oppførsel i bruk, vil jeg tro.

Kul: Så det er veldig det er veldig...Jeg er enig med deg i at det ville være intuitivt for oss å forvente at leverandørene av skyplattformer gjør mer og ser etter disse truslene. Men realiteten er at i mange tilfeller er måten de kriminelle kommer inn på folks systemer fordi de har en lett usikret, lett tilgjengelig, dårlig konfigurert skyforekomst. Så mange ganger vil skyselskapet si at det er ditt problem fordi du lot døren stå på vidt gap. Du har ikke konfigurert skyserverne dine til å være sikre. Du har ikke lagt inn et passord eller du bruker standardpassordet, eller du brukte noen veldig kjente. Du hadde noen veldig velkjente sårbarheter på skyserverne dine. Så det er egentlig ikke deres problem. Det er ditt. Og dette, tror jeg, bringer oss hjem til et stort problem som mange mennesker nå har med å konsumere teknologi. Vi forstår egentlig ikke hvor mye ansvar som fortsatt ligger hos forbrukerne. Og det er mange forventninger til teknologileverandøren, enten det er en skytjeneste eller en internet of things-enhet eller et operativsystem. Vi har mange forventninger til at selskapet som selger oss et produkt faktisk ville gjort mye mer når det kommer til sikkerhet.

Men realiteten er at deres forretningsmodell i mange tilfeller er basert på at kunden tar mer av det ansvaret på sine skuldre. Og vi er ikke nødvendigvis klar over dette. Nå vil jeg ikke bare, du vet, navngi selskaper. Det er definitivt skyleverandører der ute som gjør mer. Jeg vet at Amazon og AWS har et stort team dedikert til å se sikkerhetstrusler på plattformen deres for øyeblikket. De er tilfeldigvis den som er mest populær blant kriminelle fordi det er den kraftigste skyplattformen. Så vi må virkelig fortsette hele tiden. Og dette katte-og-mus-spillet og det øyeblikket Amazon-folket vil finne en måte å stoppe disse crypto-jacking malware fra kampanjer, fra å spre en ny type angrep, vil oppstå.

Elizabeth: Så det er et flott sted for oss å henvende oss til mitt neste og siste spørsmål, hva er det som kommer neste gang? Og jeg er ikke sikker på hvem som er katten og hvem som er musen? Men hvor skal katten videre? Og hvor trenger cybersikkerhet bekymrede ledere å tenke på fremtiden til trusselen?

Kul: Det er virkelig ikke klart hvem som er katten og hvem som er musen her. Du har helt rett. Men når det kommer til det, det jeg tenker på når jeg tenker på hva som skjer videre, jeg tenker på mennesker og tenker på menneskelig talent. Jeg tenker på menneskene som kommer til å bli disse sikkerhetsekspertene, de vennlige hackerne, de forretningslederne i fremtiden. Og hvordan kan vi få disse menneskene til å være like kunnskapsrike, like innovative, like kreative som noen av de dårlige menneskene der ute? For jeg antar at så lenge folk skriver kode, vil vi ha sårbarheter, så lenge folk bruker teknologi. Det vil være ondsinnede individer og organisasjoner som vil ønske å bruke den teknologien for dårlige gevinster eller for manipulasjon. Og vi kommer til å trenge flere folk enn noen gang før. Så det er mitt synspunkt at det vennlige hackermiljøet kan hjelpe. Men det er også veldig viktig å investere i cybersikkerhet, utdanning og bevissthet, og det er derfor jeg løper. Foruten Tel Aviv, er det Israels største begivenhet for hacker- og sikkerhetsforskningsfellesskap. Det er grunnen til at et Tel Aviv-universitet er vertskap for noe som heter Tel Aviv Cyber ​​Week, som gir kunnskap og informasjon til mer enn 8000 mennesker hver sommer. Det er grunnen til at når jeg reiser, når jeg har ledig tid, bruker jeg tiden min på hacker-arrangementer og enten det er et fellesskapsmøte eller en teknologikonferanse, fordi vi virkelig trenger å ta hensyn til typen forskning og kunnskap som nå blir gjort. generert av vennlige hackere slik at vi faktisk kan få flere mennesker der ute bevæpnet med informasjon og kunnskap. De må utvikle en bedre og tryggere fremtid for oss alle. Et område som mange tenker på er området AI.

Og det er noe som, du vet, er veldig viktig for å forstå at vi faktisk kan være i et våpenkappløp når det kommer til AI-teknologier og spesifikt AI for cybersikkerhet, både på offensiv og defensiv side. Men mens våpenkappløpet faktisk blir en realitet, er det i kappløpet om å rekruttere talentet, menneskene som faktisk kan skape den neste generasjonen et system. Og det er et område hvor jeg tror USA for øyeblikket har en fordel. Og hvis du vil beholde den fordelen, må du fortsette å investere i den slags kunnskap og den slags talent og bygge opp de outsider-hackerne som faktisk kan være fremtidens forsvarere.

Elizabeth: Så Keren, hvor kan folk få mer informasjon hvis de ønsker å lære mer om noen av tingene du har snakket om i dag?

Kul: Så jeg er veldig lett å finne på nettet. Mitt navn er Keren Elazari. Men i hackerverdenen er jeg kjent som Keren E. Alle E-ene er stavet med tre. Så du kan enten gå til nettstedet mitt, K3R3N3.com. Du finner meg på LinkedIn. Du kan se TED-foredraget mitt på Ted.com: 'Hackere er internetts immunsystem'. Det er en rekke innhold som jeg legger ut på YouTube. Og du er hjertelig velkommen til å sjekke ut Tel Aviv Cyber ​​Week. Og BSides Tel Aviv, BSidestlv.com er siden du vil besøke, hvis du vil komme og oppleve hackersamfunnet som vi har her i vakre solfylte Tel Aviv.

Elizabeth: Herlig. Vel, tusen takk for at du ble med oss ​​her på Business Lab.

Kul: Takk, Elizabeth.

Elizabeth: Det var alt for denne episoden av Business Lab.. Jeg er verten din, Elizabeth Bramson-Boudreau. Jeg er administrerende direktør og utgiver av MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology. Og du kan finne oss på trykk på nettet, på dusinvis av live-arrangementer hvert år, og nå i lydform. For mer informasjon om oss og showet, vennligst sjekk ut nettstedet vårt på technologyreview.com. Dette programmet er tilgjengelig uansett hvor du får podcastene dine.

Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss på Apple Podcasts. Business Lab er en produksjon av MIT Technology Review.

Seniorredaktøren vår er Mindy Blodgett. Denne episoden ble produsert av Collective Next med redaksjonell hjelp fra Emily Townsend. Spesiell takk til gjesten vår, Keren Elazari.

Takk for at du lyttet. Vi kommer snart tilbake med vår neste episode.

gjemme seg