211service.com
Utviklingen av cybersikkerhet: Veracodes Chris Wysopal
Siden fremkomsten av internett og etter utallige, massive brudd, fortsetter det globale samfunnet å slite med cybersikkerhet og behandle det som en ettertanke.
27. juni 2019
Etter hvert som internett tok tak, og hacks, datainnbrudd og andre cybertrusler ble rutine — organisasjoner og myndigheter har kjempet tilbake gjennom den jevne utviklingen av cybersikkerhetsteknologier og -strategier. Men suksessen med å tilby ekte cybersikkerhet har vært unnvikende. Kan vi lære av noen av feilene som er gjort underveis?
Chris Wysopal, CTO og medgründer av Veracode, har vært involvert i cyberforsvar siden starten. Faktisk, som sårbarhetsforsker ved den banebrytende hackertenketanken L0pht, har han jobbet i flere tiår for å kreve sikker teknologi fra innflytelsesrike teknologiselskaper.
I denne episoden deler Wysopal arbeidet sitt i de første årene av cybersikkerhet, og forteller historier som da han vitnet foran 1998-senatet om datasikkerhet. På den tiden argumenterte han for vedtak av forskrifter for store selskaper som Microsoft, for å håndheve ansvarlighet og utvikling av gjennomtenkt, tryggere kode som beskytter forbrukernes personvern. Disse første bekymringene har bare vokst, siden det fortsatt er liten beskyttelse mot kode og fastvare som tillater brudd. Hvor går vi herfra? Wysopal deler litt visdom og noen advarsler.
Business Lab er vert for Elizabeth Bramson-Boudreau, administrerende direktør og utgiver av MIT Technology Review. Showet er produsert av Katherine Gorman, med redaksjonell hjelp fra Emily Townsend. Musikk av Merlean, fra Epidemic Sound.
Fra MIT Technology Review. Jeg er Elizabeth Bramson-Boudreau. Og dette er Business Lab: Showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet. I dag skal vi fokusere på historien og utviklingen av cybersikkerhet og hvordan disse tidlige tilnærmingene gir gjenklang i dag. Med andre ord, har responsen på de aller tidligste cybertruslene formet hvordan vi ser på sikkerhet i dag?
Elizabeth Bramson-Boudreau : Og er det noen lærdom for måtene vi praktiserer vår digitale sikkerhet på nå? Dette er den andre i serien vår om cybersikkerhet der vi utforsker alt fra det siste om hackingangrep til hva organisasjoner kan gjøre for å bedre beskytte folket og dataene deres. Vår gjest i dag er Chris Wysopal, CTO og medgründer av Veracode. Han har vært aktiv helt siden starten i den pågående kampen for digital sikkerhet. Jeg er her sammen med Chris Wysopal, som er medgründer og teknologisjef i Veracode, et cybersikkerhetsfirma på internett. Chris har, før Veracode, en ganske lang historie innen cybersikkerhet, og jeg tror vi kommer til å starte der. Kan du fortelle oss, Chris, om cybersikkerhetshistorien din?
Chris Wysopal : Ja, definitivt. Jeg begynte i cybersikkerhet, sannsynligvis som på slutten av 80-tallet på oppslagstavlesystemer før internett, og det hadde denne typen underjordisk appell som alternative medier, på en måte som 'zine-verdenen der du på en måte kommuniserte en-til-en med dette alternativet rom. Noen av filene på disse systemene snakket om hacking av telefonsystemet, og det var den typen informasjon du ikke kunne få noe annet sted. Jeg var høyskolestudent på den tiden. Det var litt spennende, og jeg tror det satte meg på en reise med å prøve å utforske informasjon rundt datamaskiner og nettverk som jeg gjorde gjennom hele 90-tallet.
Elizabeth : Så hvordan har du sett landskapet utvikle seg...du har hatt en ganske lang karriere i dette, og så du har virkelig sett landskapet endre seg jeg ville trodd i løpet av disse 20, 30 årene. Hva har du sett — hvordan vil du karakterisere endringene du har observert?
Chris : Ja, så tidlig på 90-tallet var jeg programvareingeniør. Jeg jobbet faktisk på Lotus her i Cambridge, og vi ble koblet til internett. Og jeg liksom — vi begynte å tenke på hva om vi har kjørt programvaren vår på internett slik at folk over internett kan koble seg til programvaren vår? Og den slags åpnet tankene mine for ideen om at, wow, det høres ut som det kommer til å være alle disse sikkerhetsproblemene.
Elizabeth : På det stadiet. Hva fikk deg til å se at tilgangen til internett alltid ville føre begge veier, begge retninger?
Chris: Så jeg begynte å jobbe med programvare som var koblet til internett og det begynte å bli et vanskelig problem å gjøre det sikkert slik at folk ikke bare kunne ha tilgang til dataene som lå bak programvaren din, det er faktisk vanskelig å bygge programvare som var sikker . Det var nesten så vi ikke visste hvordan. Det åpnet øynene mine for at etter hvert som flere og flere ting ble koblet til internett, kom det til å bli veldig problematisk.
Elizabeth: Og så, hva er det største problemet du ser nå? Så gitt at du vet at du var der helt i begynnelsen, så du mange ting dukke opp. Din egen historie var at du brukte en periode som hacker. Hva ser du i dag som holder deg våken om natten som du tror er de største tingene som ikke bare du kjenner folk som hører på denne podcasten, men kanskje våre lovgivere og våre og våre ledere burde tenke på?
Chris : Du vet at det som skremmer meg er at folk bygger systemer, programvare, IoT og de tenker egentlig ikke på sikkerhet helt fra begynnelsen, enten tenker de ikke på det i det hele tatt, som om de ikke bryr seg, eller så tenk på det helt til slutt, og de gjør det minste, og de ender opp med å sette ut et produkt der ute som iboende kommer til å bli brutt. Det er iboende problemene som kommer til å bli funnet i det. Og jeg tror bare at vi kontinuerlig legger ut en strøm av teknologi som er fundamentalt brutt fra et sikkerhetssynspunkt. Og vi rydder hele tiden opp.
Elizabeth: Så, snakker du om programvare? Du snakker om IoT-aktiverte enheter? Snakker du om alle disse tingene? Og hvorfor er ikke folk som lager disse tingene bekymret for sikkerheten deres?
Chris: Ja. Dette var noe vi snakket om da jeg vitnet for Senatet i 1998, som var den første datamaskinen — høre om myndighetenes datasikkerhet og noen av tingene vi snakket om var at leverandørene ikke vet hva de skal gjøre. Leverandørene bryr seg ikke om det fordi kundene deres ikke ber om det. Selgerne er ikke ansvarlige. De lisensierer programvaren. Hvis noe går galt, har de fraskrevet seg ethvert ansvar. Vi hadde et marked der folk var i stand til å legge ut ting uten ulemper fra problemer som falt av deres manglende evne til å sikre. En av de største aktørene på den tiden var Microsoft. Og Microsoft leverte all denne programvaren, og den hadde mange sårbarheter. Og alle som løper — alle bedrifter som kjører programvaren fikk — de ble brutt inn, og det var bare en slags status quo, som om partilinjen til Microsoft var du vet Nei, vi bygger sikker programvare' og partilinjen vår var nei du ikke. Vi skal vise deg sårbarhetene i programvaren. Og det var en periode hvor du måtte øke bevisstheten og nesten skamme disse selskapene til å bygge bedre ting som de ville selge.
Elizabeth: Så tror du at Microsoft på den tiden virkelig forsto at de bygde produkter som ikke var sikre, eller tror du at når de sa at produktene våre var gode nok, var de uoppriktige?
Chris : Jeg tror ikke de skjønte hva de bygde. Jeg tror du vet at bedriftens PR-linje er at vi bygger sikker programvare. Det er vår posisjon. Så de var i stand til å bygge lignende sikkerhetsfunksjoner som autentisering og kryptografi. Egentlig gjorde de det ganske dårlig, men de forsto ikke sårbarheter. De forsto ikke at feil i koden kunne utnyttes av angripere for å finne dataene bak applikasjonen, kjøre sine egne kommandoer på programvaren. Og det var der hackere kom inn og viste leverandørene hva som var mulig hvis du var den slemme fyren. Og det er da du sier at du vet at du er en hacker. Det er slik jeg ser på rollen min og rollen vi hadde oppe på L0pht, hackergruppen jeg var en del av, publiserte at leverandørene ikke visste hva de gjorde og at de må begynne å bygge programvare annerledes.
Elizabeth : Dette er flott. La oss sette dette litt i sammenheng for folk som hører på dette. Så du vitnet foran kongressen i 1998, og på det tidspunktet kan du male bildet for meg litt om hva årsakene var til at du gjorde og i dine mål — hva du prøvde å oppnå på det tidspunktet. Og så kommer jeg tilbake og ber deg om å koble det opp til hvor vi er nå, hvor vi nylig har sett folk foran kongressen — Mark Zuckerberg ganske bemerkelsesverdig. Og hva du er du vet hvilke forbindelser og hvilke erfaringer du har når du ser slikt skje, vet du alle disse årene senere.
Du vet at vi vitnet i 1998, men de få årene som gikk inn i det begynte vi å gjøre det vi kaller sårbarhetsforskning. Vi ville ta et populært produkt som Internet Explorer, og vi ville sette det opp i et laboratorium og vi ville reversere det. Vi ville prøve å finne ut hvor problemene var, og vi ville finne ut måter å kompromittere det på. Jeg mener nå tenker vi på det som at du vet noe som alle vet om du klikker på en lenke og datamaskinen din kjører andres soft — under andres kontroll. Jeg tror alle vet risikoen nå noen ganger hvis du klikker på en lenke og den er skadelig, kan det føre til at noen andre du kjenner kontrollerer datamaskinen din. Det er akkurat den typen sårbarheter vi undersøkte i '96, '97 og prøvde å få folk til å ta hensyn til. Og vi begynte å gjøre dette med bare et mål om å forske og utforske. Men etter en stund innså vi at forbrukerne ikke vet at dette er et problem. Leverandørene vet ikke, men forbrukerne vet heller ikke. Og så begynte vi å ta på oss en forbrukeradvokatrolle der vi ville prøve å publisere at usikker programvare kommer til å føre til at datamaskinen din blir kompromittert.
Og vi fikk litt presse for det, og det fikk oss på radaren til Senatet da de begynte å takle dette problemet. I '98 var det den første rapporten fra Government Accountability Office som så på sikkerheten til alle de forskjellige føderale byråene, og det ble gjort for aller første gang. Så komitéen for statlige anliggender, senator Thompson, som var formann på den tiden, ønsket å ha en høring for å snakke om resultatene og hvor dårlig regjeringen gjorde det, sannsynligvis fordi de kjører mye Microsoft-programvare på den tiden, men mye av andre leverandørting også. Jeg vet ikke hvem som puttet feilen i øret deres, men de ønsket å ha mer enn regjeringens synspunkt, de ønsket å ha et eksternt synspunkt på dette. Og vi endte opp med å bli avlyttet, som du vet, en slags ekspertvitnesbyrd som dette er en slags outsidersyn hackere har et så godt du vet outsidersyn til problemer som du ikke vet er motivert av den vanlige regjeringen eller kommersielle.
Elizabeth: Og så bygge bro mellom den opplevelsen og mer nylig som Mark Zuckerberg. Er du overrasket over hvordan — For det første virker det annerledes for deg alle disse årene senere hva du så da han var der og snakket om Facebook? Eller virker det sjokkerende kjent? Vet du hva er sammenligningene og forskjellene du vil dele med oss?
Chris: Facebook har hatt mange forskjellige problemer, noen, mange av dem er laget av seg selv, som bare med måten de håndterer personvern og forretningsmodellen deres. Noen av problemene skyldes at du vet at det er utfordrende å sikre programvare som er så stor og kompleks, og at de har hatt brudd, ikke sant? Det er både sikkerhet og personvern, når du tenker på det. Forskjellen i dag er at risikoen er så mye høyere fordi det er så mye mer avhengighet av systemer som Facebook. Bare tenk på mengden personlig informasjon som er på Facebook som kan brukes mot folk som helt klart ville vært det — folk vil ikke ha eksponert. Og du vet at det til en viss grad blir brukt mot deg kjenner hele vårt demokratisystem. Ikke sant? Og mot samfunnet og ikke bare mot enkeltmennesker. Så innsatsen virker så mye høyere nå enn i 98 da vi bare prøvde å øke bevisstheten, og sa som vi ser at dette er et problem som kommer til å bli verre. Og så ser jeg tilbake og sier at du vet at fundamentalt mye ikke har endret seg. I bunn og grunn er det fortsatt ikke noe ansvar for programvare. Du vet at hvis Facebook blir brutt er det som, ja, du vet at det er vanskelig å bygge sikker programvare, og det virker som om alle som bygger programvare får et pass når de blir brutt. Så det har fundamentalt sett ikke endret seg. Men jeg tror at det som har endret seg, er at virkningen av disse bruddene har på samfunnet. Det gjennomsyrer bare hele livet vårt.
Elizabeth: Tror du at lovgivere regulatorer som oppretter nye lover for å implementere bedre cybersikkerhet er svaret? Og i så fall, er det spesielle tiltak du er mest interessert i å se implementert.
Chris: Ja, så jeg liker å se på analogier i annen virksomhet — andre bransjer som regjeringen har regulert, som ting som du vet at mat er regulert med ingrediensetiketter og renslighet og slike ting. Sikkerhet er regulert mange steder: biler, fly, all slags transport, på arbeidsplassen og til og med forbrukerprodukter. Jeg liker å se på disse analogiene og si at du vet. Hvordan fikk det oss. Hvordan får vi fordelene uten å kvele disse bransjene? Jeg mener åpenbart sikkerhet i biler har vært en stor suksesshistorie. Ikke sant? Som om vi er så mye tryggere å kjøre nå. Og du vet at det ikke gjør det — bilindustrien ser ut til å ha det bra. Så hvordan kan vi ha regulering som kan forbedre sikkerheten som er ganske nær sikkerhet, spesielt når vi begynner å snakke om IoT og enheter som styres av datamaskiner. Hvordan kan vi, hvordan kan vi gjøre det på en slik måte at vi ikke kveler disse næringene? Vi må trå veldig forsiktig, men jeg tror det har fungert å se på noen av de tingene som har fungert slik du vet for matvarer som ingrediensetiketter. Så bare åpenhet om hva som er der og la forbrukeren bestemme. Som at hvis noe viser seg å forårsake kreft, fjerner vi det fra markedet.
Men andre ting er bare i utgangspunktet at du vet at det er risikobasert, basert på at du kjenner helsen din. Så vi kan tenke på åpenhet om hva som gikk inn i programvaren ble den behandlet i et anlegg som laget nøtter vet du? Så hva er det. Hvordan lages det? Og hva er ingrediensene, som hvilke deler av åpen kildekode er der inne, hvilken kryptografi bruker den? Jeg tror ingrediensetiketter og åpenhet er en god måte å starte med det på. Men den andre tingen som jeg tror må skje er når det er du kjenner brudd som er store, behandle dem som du vet som en transportulykke og prøve å finne årsaken til det som skjer. Det ser alltid ut til at vi gjør det med transport, og mange ganger når det er et brudd, sier vi på en måte som at dette er hvor mange plater som ble kompromittert. Vi kommer til å kjøpe alle du kjenner kredittrapportering eller kredittovervåking, og vi skal prøve å unngå at det skjer igjen. Men du vet at vi egentlig ikke vet hva som skjedde. Jeg tror at 10 prosent av tiden du vet at nyhetene kommer ut, og vanligvis er det fordi angripergruppen kommer med påstander.
Elizabeth: Ikke sant. Jeg mener det er så interessant det du sier fordi denne typen postmortem analyse av hva som skjedde, du vet at du kan se på flyulykker og de legger ut hver eneste del av det på et lager og de tar en titt på absolutt alt, og de prøver virkelig å finne ut nøyaktig hva den svarte boksen forteller dem osv. Og det er et par forskjellige — Jeg mener og da snakker du om ting som en mattrygghetsulykke du vet at du har en situasjon der romansalat blir dårlig, glem det - du vil aldri finne romansalat før du vet at krisen har passert. Og jeg tror det er noen reell fordel med den typen tilnærming.
Men jeg tror utfordringene og jeg er interessert i ditt synspunkt er at de er det — det er noe iboende lettere for folk å forstå om hva som gikk med til å lage den salaten og tilberede til forhåndsvasket salat, eller hva er de forskjellige delene på flyet som samhandler med hverandre? Og på en eller annen måte når det kommer til programvaresårbarheter og du vet et stort brudd på nettverkssikkerheten, er det kanskje fraværet av kunnskap og reell innsikt i hva alle ingrediensene er. Men for noen få mennesker vil jeg tro at alle ingrediensene som er lagt der ute, kan gi mening.
Chris: Men du har eksperter som er lagdelt på toppen av disse grunnleggende tingene som det er ernæringsfysiologer, det er leger og så kan de gi råd basert på disse grunnleggende. Og jeg vil hevde at enhver form for flyulykke er en veldig komplisert del av feilen som gikk inn i det som hvis du ser på den siste med Ethiopia og Lion Air, er det en ganske komplisert kjede av programvare, trening vet du kanskje noe. dårlig design at det som går inn i det. Det er aldri en enkel ting som at en sensor sviktet som førte til at noe programvare sviktet, og så var det en treningsfeil. Det er vanligvis som to eller tre ting kombinert. Og, så jeg tror det faktisk er ganske likt det vi ser i cyberverdenen.
Elizabeth: Jeg mener jeg tror kanskje jeg tenker mer på lovgiverne. Jeg mener jeg kan ikke la være å gjenta i tankene mine mange ganger spørsmålene til Mark Zuckerberg handler om Vel, hvordan tjener du penger? Og som virkelig å forråde en uvitenhet i Kongressen om måten virksomheten og sannsynligvis en hel masse andre i tillegg driver med moderne internett, noe som fører til at jeg synes det er litt vanskelig å forestille seg at vi kunne komme til en reguleringsmyndighet — hva det enn betyr - det kan ha reell evne til å skille ting fra hverandre. jeg håper at — Jeg mener, jeg synes også det er en interessant og overbevisende ting å drive mot, men jeg lurer også på hva du mener, spesielt siden du engasjerte Microsoft i sin tid, rundt kraften til disse enorme internettselskapene og måten de vil svare på noen slags lignende typer lyder fra lovgivere. Jeg tror flyselskaper er i en annen situasjon og matselskaper er i en annen situasjon. Hvordan tror du Facebook eller Instagram eller Twitter eller Google eller hvem som helst ville svart eller har svart så langt på denne typen ideer?
Chris: Mange av disse selskapene, som, bare ta Microsoft, de svarte i 2000... Jeg tror faktisk var 2002, Bill Gates kom ut og sa at vi skal vite at vi stopper utviklingen, og alle vil få opplæring og de nå kalte det klarert databehandling. Og de satte seg på en vei til å bygge sikker programvare, og sannsynligvis 10 år etter det, gjør de faktisk en veldig god jobb. Ikke sant? Og jeg tror en del av det var å beskytte merkevaren deres, de måtte gjøre dette. Jeg ser mye på mye av dette, og det er selskaper som gjør dette for å beskytte merkevaren sin. Lik hvis du vil se på skyleverandørene som Amazon og AWS. de er veldig sterke på sikkerhet fordi de må ha en sterk merkevare rundt sikkerhet, ellers kommer ingen til å bruke tjenesten deres. Så at det er hvis det er samsvar mellom selskapets merkevare og det de tilbyr sikkert, tror jeg det kan fungere. Men jeg tror problemet med Facebook er at jeg ikke tror at justering er nødvendig, nødvendigvis der, på grunn av måten folk gir fra seg informasjonen sin. Justeringen er ikke alltid der. Og hvis vi ser på som du vet billig, vet du IoT-produsenter som har navn vi aldri har hørt om som kommer ut av Kina, det er ingen merkevarejustering i det hele tatt, og de bryr seg ikke i det hele tatt. Det er der jeg tror problemet er større, det er kanskje ikke med de større spillerne, men det er som de neste tusen spillerne som bare fortsetter å ha en sårbarhet et sted slik at alles nettverk alltid er kompromitterende. Du vet, som at hvis du ser på et hvilket som helst system, er det jo lenger du kommer vekk fra toppspillerne, og merkenavnet som er problemet som WordPress er faktisk ganske bra. Men du kan sette en plug-in fra en ukjent spiller inn på WordPress-bloggsiden din, og det er nå kompromisset. Det er der jeg tror at reguleringen eller åpenheten må fokusere på å løfte bunnen opp og ikke gjøre toppspillerne sterkere.
Elizabeth: Jeg ønsker å flytte nå for å vite hva som skjer i dag og noen av innovasjonene som er — utviklet for økt sikkerhet. Vi lever nå i en verden med tofaktorautentisering rundt passordene våre. Hvor lenge tror du spesielt det vil være standarden og hvilke andre faktorer som biometri og ting utover det tror du vi vil bevege oss mot om noen?
Chris: Så jeg tror to-faktor er en av de største innovasjonene, spesielt du vet hvor du kan bruke mobilenheten din som den andre faktoren, fordi du vet at det er nesten like enkelt å bruke som et passord, og det er nesten enkelt å sette opp som et passord. Jeg tror at vi kommer til å se tofaktor vare veldig lenge. Biometri, du vet at det er greit for du vet en maskinvareenhet noe du vet er dørlåsen eller telefonen din. Det begynner å bli mer problematisk når disse biometriene må deles bredt over mange systemer, og holde det sikkert. Som hvis du tenker på biometrien på telefonen din, forlater det tommelfingeravtrykket aldri den sikre brikken på telefonen din, ikke sant? Det er en av tingene som gjør at det faktisk fungerer. Når folk begynner å snakke om biometri vet du ved minibanken eller du kjenner andre steder som er på et bredt nettverk. Da begynner jeg å bekymre meg for at det egentlig ikke hjelper. Og så er det faktisk risiko der, for nå er tommelfingeravtrykket ditt — du vet at du kan endre passordet ditt, men du kan ikke endre tommelen eller i det minste ikke enkelt. Jeg er ikke så sikker på biometri.
Elizabeth: Og hva med cybersikkerhetsproblemer i maskinlæringsapplikasjoner? Vi snakker mye om maskinlæring, og mange av de som hører på denne podcasten bruker maskinlæringsløsninger for å analysere store sett med data. Hva er noen av bekymringene de bør ha i tankene?
Chris: Maskinlæring kan definitivt brukes til å løse noen cybersikkerhetsproblemer. Jeg tror det kommer inn i et utfordrende område når du prøver å skille normal atferd fra ondsinnet atferd fordi de er så tett sammen. Jeg mener det er ekstreme tilfeller der du vet at du alltid logger på fra Massachusetts, og plutselig logger du på fra Kina for første gang, og vi er faktisk gode på den slags ting. Det er en slags anti-svindeloppdagelse som kredittkortselskaper bruker. Og sånn som ekstreme anomalier - det er greit. Men det blir vanskeligere når du prøver å forstå at du vet er oppførselen til en bruker på et nettverk faktisk den typen ondsinnet oppførsel kontra du kjenner den normale menneskelige oppførselen? Som kanskje noen har tilgang til et regneark for første gang fordi de nettopp har fått beskjed om å gjøre noe. Vil du blokkere den aktiviteten? Vil du at noen fysisk følger opp den aktiviteten? At det kan føre til mange falske positiver. Så når det kommer til menneskelig atferd som bare beskytter deg mot PC-en eller nettverket ditt, tror jeg det er en utfordring, og vi er ikke helt der ennå.
Elizabeth: Og for folk som er ledere som driver selskaper som trenger å tenke på sikkerheten deres, hvor bekymret bør de være? Og jeg lurer ofte på at du vet er dette et tilfelle av et terrorangrep som statistisk sett er ganske usannsynlig? Eller er dette mer som trusselen om en trafikkulykke på vei til jobb? Hvor bør jeg fokusere bekymringene mine? Og du vet hvor mange selskaper som gjerne vil fortelle meg at det er fryktelig farlig når det gjelder cybersikkerhetsrisikoer som jeg står overfor her på Technology Review, er sannsynligvis uendelig. Og hvordan filtrerer jeg signalet fra støyen?
Chris: Ja. Så det er utfordrende fordi du vet at du ikke vet du vet ikke du vet hvilket risikonivå du bør tolerere ettersom en virksomhet som forskjellige virksomheter har forskjellige risikonivåer som åpenbart noe som er en bank har et annet risikonivå enn en media selskap. Ikke sant? Et medieselskap kan overleve du vet at nettstedet deres blir kastet, men en bank kan ikke nødvendigvis overleve å tape milliarder av dollar. Ikke sant? Det er ulik risikotoleranse for alle typer virksomhet. Men vi ser noen – og det er som når det er mer et målrettet angrep. Noe jeg er bekymret for er det tilfeldige vilkårlige angrepet som vi så med NotPetya-viruset som tok ned det var Merck, og jeg tror det er et par globale transportselskaper og Maersk, tror jeg var en av dem. Og til hundrevis av millioner av dollar som om de ikke var i stand til å drive sine globale virksomheter på like uker, vet du? Så det er noe enhver bedrift må bekymre seg for. jeg ville — hvis jeg skulle fokusere cybersikkerheten min, ville jeg fokusere på den typen hendelser — utbredte hendelser - først og deretter vil jeg fokusere på etter det som, er det mål direkte mot virksomheten min? Og du vet hvordan jeg skal håndtere dem? Jeg tror du kan skille det i to, og det kommer til å være litt forskjellig for hver virksomhet.
Elizabeth: Ja. Og hva med folk som går inn i cybersikkerhetsfeltet nå som er det — du vet at enten de har kommet, har de vært hackere eller så er de bare veldig interessert i å gjøre nettet og bedrifter til å gjøre det. Hva forteller du dem? For ting har endret seg mye. Du vet at hackere og hacking har blitt mye mer sofistikert. Det er absolutt et verktøy for du kjenner nasjonalstater. Hvordan råder du dem til å tenke på hvor de vil bygge karrieren?
Chris : Jeg var faktisk på dette arrangementet på VMI i Virginia. Det var en capture-the-flag-arrangement der 13 forskjellige kollegiale team kom sammen for å gjøre disse cyber capture-the-flaggene. Og jeg snakket med dem, og du vet at det jeg liker å si er å begynne med det grunnleggende. Du trenger virkelig å forstå at du vet hvordan TCP/IP-nettverk fungerer og internett fungerer. Du må forstå hvordan operativsystemer fungerer som Unix og Windows. Du trenger å vite noe om koding, og du trenger på en måte dette brede grunnleggende grunnlaget. Jeg tror bare for å begynne på og så må du bestemme deg for hva du vil spesialisere deg i. Ikke sant? Skal du være i forsvar eller skal du være på det røde laget? Skal du gjøre hendelsesberedskap og etterforskning? Som det jeg endte opp med å gjøre, er du vet, å jobbe med folk som utvikler programvare for å hjelpe dem med å utvikle programvare bedre. Jeg tror alle trenger det grunnlaget fordi det er så mange forskjellige lag du kan angripe systemer på. Du kan angripe på nettverket du kan angripe ved OS og jeg antar at et annet helt område er på det menneskelige laget. Hvordan lurer du folk til å gjøre ting? Jeg tror jeg tror du må forstå det grunnleggende om alle disse lagene og deretter fokusere på hvor du har en egnethet. Du vet tydeligvis at noen mennesker bare naturlig tynger til angrep eller forsvar. Det endte med at jeg begynte i angrep og så over til forsvar fordi jeg liker det bedre. Jeg ville prøve noen ting, og så vet du gå dypt og fokusere på ett område.
Elizabeth: Flott. Vel, dette er en veldig interessant samtale, og jeg setter stor pris på at du tar deg tid.
Chris: Vel, takk for at du har meg her.
Elizabeth: Det var alt for denne episoden av Business Lab. Jeg er verten din Elizabeth Bramson-Boudreau. Jeg er administrerende direktør og utgiver av MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology. Du kan finne oss på trykk, på nettet, på dusinvis av live-arrangementer hvert år. Og nå i lydform. For mer informasjon om oss, vennligst sjekk ut vår nettside og TechnologyReview.com. Showet er tilgjengelig uansett hvor du får podcastene dine. Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss på Apple Podcasts.
Business Lab er en produksjon av MIT Technology Review. Denne episoden ble produsert av Collective Next med hjelp fra Emily Townsend og med redaksjonell hjelp fra Mindy Blodgett. Spesiell takk til vår gjest Chris Wysopal. Takk for at du lyttet, og vi kommer snart tilbake med neste episode.