Bedre cybersikkerhed betyder at finde de ukendte ukendte

I forbindelse med Cortex Xpanse fra Palo Alto Networks

I løbet af de sidste par måneder har Microsoft Exchange-servere været som en ven i en haj-fodring vanvid . Trusselaktører har angrebet kritiske zero-day-fejl i e-mail-softwaren: en utrættelig cyberkampagne, som den amerikanske regering har beskrevet som udbredt indenlandsk og international udnyttelse som kan påvirke hundredtusindvis af mennesker verden over. At få synlighed i et problem som dette kræver en fuld forståelse af alle aktiver forbundet med en virksomheds netværk. Denne form for kontinuerlig sporing af inventar skalerer ikke med, hvordan mennesker arbejder, men maskiner kan nemt håndtere det.

For virksomhedsledere med flere post-pandemiske prioriteter er tiden nu inde til at begynde at prioritere sikkerhed. Det er stort set umuligt i disse dage at drive næsten enhver størrelse virksomhed, hvor hvis din IT går ned, er din virksomhed stadig i stand til at køre, bemærker Matt Kraning, teknologichef og medstifter af Cortex Xpanse, en leverandør af angrebsoverfladestyringssoftware, der for nylig er erhvervet af Palo Alto Networks.

Du kan spørge, hvorfor virksomheder ikke bare retter deres systemer og får disse problemer til at forsvinde. Hvis det bare var så enkelt. Medmindre virksomheder har implementeret en måde at finde og holde styr på deres aktiver, er det angiveligt simple spørgsmål en hovedskraber.

Men virksomheder har svært ved at svare på, hvad der virker som et ligetil spørgsmål: nemlig hvor mange routere, servere eller aktiver har de? Hvis cybersikkerhedsledere ikke kender svaret, er det umuligt derefter at formidle et præcist niveau af sårbarhed til bestyrelsen. Og hvis bestyrelsen ikke forstår risikoen – og bliver blændet af noget, der er endnu værre end Exchange Server og 2020 SolarWinds-angrebene – ja, historien skriver næsten sig selv.

Derfor mener Kraning, at det er så vigtigt at skabe et minimum af standarder. Og, siger han, bestyrelser og ledende medarbejdere skal på nogle måder være minimalt fortrolige med cybersikkerhedsrisici og analyse af disse målinger. For uden det niveau af forståelse stiller bestyrelser ikke de rigtige spørgsmål – og cybersikkerhedsledere har ikke de rigtige samtaler.

Kraning mener, at administration af angrebstjenester er en bedre måde at sikre virksomheder med en kontinuerlig proces med aktivopdagelse, herunder opdagelsen af ​​alle aktiver, der er eksponeret til det offentlige internet - det han kalder ukendte ukendte. Nye aktiver kan dukke op hvor som helst og når som helst. Dette er faktisk et løseligt problem i høj grad med en masse teknologi, der er ved at blive udviklet, siger Kraning. Når du først ved, at et problem eksisterer, er det faktisk ret ligetil at løse det. Og det er bedre for ikke kun virksomheder, men for hele virksomhedens økosystem.

Vis noter og links:

En ledelsesdagsorden, der skal tages op i morgen , Global CEO Survey-undersøgelse, PwC

Fuld udskrift

Laurel Ruma : Fra MIT Technology Review hedder jeg Laurel Ruma, og dette er Business Lab, showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet.

Vores emne i dag er håndtering af angrebsoverflader. Hvor kommer dit næste cybersikkerhedsbrud fra? Virksomheder har flere og flere ting knyttet til deres internet, inklusive stadigt ekspanderende netværk og aldrende infrastruktur. Og efterhånden som angriberne bliver mere kreative, bliver ledere også nødt til det.

To ord til dig: ukendte ukendte.

Min gæst er Matt Kraning, som er teknologichef og medstifter af Expanse, som for nylig blev opkøbt af Palo Alto Networks. Matt er ekspert i storskala optimering, distribueret sensing og maskinlæringsalgoritmer, der kører på massivt parallelle systemer. Før han var med til at stifte Expanse, arbejdede Matt for DARPA, inklusive en udsendelse til Afghanistan. Matt har ph.d.- og mastergrader fra Stanford University. Denne episode af Business Lab er produceret i samarbejde med Palo Alto Networks. Velkommen, Matt.

Matt Kraning : Mange tak. Meget glad for at være her.

Laurel : Lige fra begyndelsen har du været ekspert i storskala distribueret sansning og maskinlæringsalgoritmer, der kører på massivt parallelle systemer. Hvordan førte den ekspertise dig til at være med til at stifte en virksomhed inden for angrebsoverfladestyring?

Matt : Nå, jeg vil sige et par ting. Angrebsoverfladestyring er, hvad vi endte med at kalde det, men det var faktisk en meget lang rejse til det, og vi satte os ikke rigtig i gang, da vi vidste, at det var præcis, hvad det ville hedde, eller hvad vi præcist ville gøre. Så der er ikke engang en Gartner-kategori, som er en bestemt måde at validere eksistensen på for et markedssegment. Det kommer faktisk stadig ud. Så området for angrebsoverfladestyring opfandt vi faktisk selv. Og mange opfindelser betyder, at der er mange opdagelser i det.

I modsætning til mange virksomhedssikkerheds- og it-virksomheder, hvor de fleste stiftede virksomheder i mange tilfælde normalt går ind på et eksisterende marked – de gør normalt et trinvis eller evolutionært fremskridt oven i det, der allerede er opfundet – tog vi faktisk en anden tilgang og sagde, 'Vi spørger virkelig, med friske øjne, 'Hvad bliver der ikke serveret på markedet i dag?'' Og kom op med ideen om, 'Er internettet, med hele dets løfte, faktisk vil være et strategisk ansvar for organisationer, ikke længere kun et strategisk aktiv?'

Vi udviklede en masse teknikker og teknologier til i bund og grund at se på hele internettet som et datasæt: for løbende at indsamle information om internettet, som egentlig er der, vores baggrunde kom ind både fra den akademiske verden og så også fra vores arbejde i forsvaret og efterretningssamfund, på steder som DARPA og forskellige steder i de amerikanske efterretningstjenester. Og vi sagde faktisk, at der ser ud til at være en hel masse ting ødelagt på internettet, og overraskende nok er meget af det faktisk forbundet med meget store, meget vigtige virksomheder. Det var at skrabe på det spørgsmål, der faktisk førte os til både at grundlægge Expanse og derefter også skabe det, der ville være det første og er det førende produkt inden for det, der nu er kendt som attack surface management, som virkelig er at forstå alle de aktiver, du har, at forstå de risici, de kan udgøre og derefter også løse problemer.

Men da vi grundlagde Expanse tilbage i 2012, vidste vi ikke, at det ville være angrebsoverfladestyring. Vi havde ikke engang navnet attack surface management. I stedet var det meget problemfokuseret på: 'Vi ser en masse mærkelige og farlige ting på internettet og en masse sikkerhedssårbarheder. Lad os dobbeltklikke meget på det og faktisk se, om der er en måde at bygge en forretning op omkring det.'

Laurel : Og hvor meget har internettet ændret sig på disse ni korte år, ikke? Når du taler om det datasæt og i forsøget på at finde information om, hvor de største sikkerhedsrisici er, hvor svært var det så at finde? Så du dig omkring og så, 'Åh, se, der er hele datasæt, du kan nemt spore tilbage til disse virksomheder. De lækker.' Eller: 'Tingene er ikke sikre.'

Matt : Jeg elsker sætningen, 'Alt er indlysende, når du kender svaret.' Jeg tror i første omgang, at en af ​​hovedudfordringerne er, at for overhovedet at vise, hvor stort dette problem er, skal du faktisk indsamle dataene. Og at indsamle data er ikke let, især på en kontinuerlig eller regelmæssig basis, du skal faktisk have en masse systemteknisk baggrund, en masse distribueret systembaggrund for rent faktisk at indsamle data om alt. Jeg tror, ​​at det, der gjorde vores tilgang unik, er, at vi faktisk sagde: 'Hvad nu hvis vi samler data på hvert eneste system på internettet?' Hvilket faktisk er muliggjort af en masse af både omkostningsfordele aktiveret af ting som cloud computing, men også softwarefordele både i open source og ting, som vi selv ville skrive. Og så, i stedet for at tage udgangspunkt i ting, du ved om en virksomhed og forsøge at vurdere deres risici, sagde vi, 'Hvorfor starter vi ikke med alt på internettet og så forsøger vi at reducere det til det, der er interessant?'

Og der kom en masse meget god indsigt ud af det, hvor vi igen, næsten ved et tilfælde, begyndte at opdage, at vi faktisk ville finde mange, mange flere sikkerhedsproblemer, end organisationer egentlig vidste om dem selv. Når jeg taler med organisationer, taler jeg ikke med små virksomheder. Jeg taler om militærtjeneste. Jeg taler om Fortune 500-virksomheder, Fortune 100-virksomheder, Fortune 10-virksomheder. Selv den største, mest komplekse, men også den bedste økonomi, de fleste elitekunder havde problemer med sikkerheden. Og hvad vores opdagelse og vores rejse med at skabe kategorien, med at skabe angrebsoverfladestyring som en idé var, at vi finder alle disse sikkerhedssårbarheder og alle disse aktiver fjerntliggende steder hvor som helst på internettet, og de vil forekomme for en lang række årsager.

Men det var faktisk interessant, fordi selvom sikkerhedsudfordringerne og sikkerhedsrisici var meget reelle, var de virkelige symptomer, som vi fandt, som vi opdagede, faktisk, at organisationer ikke havde et effektivt middel til at spore alle de aktiver, de havde online og samtidig vurdere sikkerhedspositionen af ​​disse aktiver og samtidig fikse og afhjælpe og mindske risiciene for dem, der er modstandere af organisationen.

Og jeg tror, ​​det var en af ​​de meget interessante ting, var, at når vi ser tilbage, kan vi nu sige: 'Selvfølgelig vil du lave alle disse aktiviteter.' Men fordi vi faktisk lavede noget nyt, som aldrig var blevet gjort før, var det en ny kategori, vi var nødt til at opdage alt det med udgangspunkt i virkeligheden: 'Der ser ud til at være en masse ting ødelagt på internettet. Vi ved ikke lige hvorfor, men lad os gå på opdagelse.'

Laurel : Det er en god måde at tænke det på, at starte med et andet sted og så arbejde dig tilbage. Så Matt, ifølge en nylig PwC-undersøgelse blandt mere end 5.000 administrerende direktører rundt om i verden, er 47 % ekstremt bekymrede over cybersikkerhed. Nu lyder 47% ikke som et stort tal for mig, burde det ikke være tættere på 100%?

Matt : Jeg vil sige, at hver administrerende direktør, jeg har talt med, er bekymret over det på et eller andet niveau. Og jeg tror, ​​meget afhænger af, hvor de er. Alt i alt, hvad vi har bemærket, er en meget stor stigning, især i de sidste fem år, af direktørernes og bestyrelsernes opmærksomhed på cybersikkerhedsspørgsmål. Hvor jeg synes, vi har set et forsinkelse, selvom jeg tror, ​​der er nogle få undtagelser på dette område, er, at mange af både værktøjer og præsentationer, der går, især for ledere, for cybersikkerhedsrisici ikke effektivt formidler alt, hvad disse mennesker behov for at træffe effektive beslutninger. Og jeg synes, det er udfordrende af forskellige årsager, især fordi mange administrerende direktører og bestyrelser ikke nødvendigvis har den fulde tekniske baggrund for at kunne gøre det. Men jeg synes også, at det hidtil har været en fiasko i industrien at kunne levere disse værktøjer. Og jeg tror, ​​vi kommer til at se flere og flere ændringer der.

Jeg sidestiller det med virkelig finanstilstanden før Sarbanes-Oxley, der dybest set begyndte at kræve, at administrerende direktører fik uddannelse, og bestyrelser også, begyndte at forstå visse finansielle målinger, for faktisk at have visse kontroller på plads. Jeg tror på det høje niveau, at vi bliver nødt til at se sådan noget i de kommende år blive implementeret på en eller anden måde for at sige, at der er et minimum af standarder, og at bestyrelser og ledende medarbejdere skal være minimalt fortrolige på nogle måder. om cybersikkerhedsrisiko og analyse af disse målinger. Lige nu har jeg set mange mennesker sige, 'Jeg er bekymret over det her, men så ved jeg heller ikke rigtig, hvor jeg skal gå hen' eller, 'Jeg er fortrolig. Vi har en rapport. Vi hyrede et firma. De havde denne præsentation, der havde en hel masse PowerPoint-slides med en masse diagrammer, der ville have juletræslys, der fik min hjerne til at smelte. Og jeg kunne ikke rigtig forstå begreberne.'

Jeg tror, ​​folk forstår det, men vi er stadig i de tidlige dage af, hvordan har du effektiv kontrol over dette? Og hvordan har man så egentlig programmer, der er robuste omkring det? Igen, vi er nødt til at bevæge os i den retning, fordi flere og flere bestyrelser skal se dette som et grundlæggende aspekt af deres virksomhed, især da stort set alle virksomheder i dag, jeg er ligeglad med hvilken branche du er i, hvilken størrelse, din virksomheden kører faktisk på IT. Det er stort set umuligt i disse dage at drive næsten enhver størrelse virksomhed, hvor hvis din it går ned, er din virksomhed stadig i stand til at køre. Og som et resultat af forståelsen af ​​cybersikkerhed på de niveauer, hvor angrebsoverfladen nu er en del af det, er det meget vigtigt for organisationer at kunne forstå, for ellers vil du udsætte din organisation for en meget stor risiko ved ikke at at kunne vurdere sådan noget ordentligt.

Laurel : Ja. Og det kommer tilbage til det gamle ordsprog, hver virksomhed er en teknologivirksomhed. Men måske er dette et mere specifikt eksempel på, hvordan det er. Kan du kort beskrive, hvad angrebsoverfladestyring er, måske måske for det udøvende publikum?

Matt : Den måde, vi beskriver angrebsoverfladestyring på, er, at det faktisk er en tre-trins proces, hvor alle trin udføres kontinuerligt i form af cyklus, men det er en proces og procedure, som du, eller egentlig en leverandør, i dette tilfælde Expanse eller Palo Alto Networks, opdager løbende alle aktiver, som en organisation har. I vores tilfælde, fra eksterne angreb overflade, alle aktiver, som du har på det offentlige internet. Og det er en kontinuerlig proces, for på ethvert givet tidspunkt, og jeg kan komme ind på dette senere, men til enhver tid kan nye aktiver dukke op fra hvor som helst på internettet. Så du skal have en kontinuerlig opdagelsesproces, der siger: 'På ethvert givet tidspunkt ved jeg måske ikke alt om mine aktiver, så jeg burde have mekanismer til at indsamle information om hvor som helst, de kunne være, og forsøge at knytte dem til min organisation.'

På samme tid, så snart et aktiv er opdaget, skal du have midler til at vurdere det på tværs af en række forskellige karakteristika. I mange tilfælde, hvis jeg har opdaget et nyt aktiv, er dette aktiv så virkelig nyt? Og hvis det ikke er, så match, normalisering, deduplikering af det med andre ting. Hvis det er et nyt aktiv, så vil det i de fleste tilfælde faktisk ikke forvaltes. Så hvordan starter jeg egentlig en række aktiviteter for at sige: 'Dette er et aktiv, der eksisterer med mit, men det eksisterer normalt uden for et tilsigtet sæt sikkerhedskontroller. Så hvordan starter jeg en proces for både at vurdere, hvilke kontroller, der skal på plads, og så bringe det under ledelse.' Og den tredje del af evalueringen er også at forstå, hvad risikoen er, som dette umiddelbart udgør for min organisation for at hjælpe mig med at prioritere aktiviteter.

Det sidste trin er det, vi kalder afbødning. Når du har evalueret alt, hvad du har opdaget, hvad gør du så ved det? Hvilke handlinger foretager du, og hvordan gør du det på stærkt automatiserede og effektive måder. Og for os er der to primære trin, som afbødning involverer. Jeg nævnte prioritering, men det er én, at bringe systemer under ledelse. I mange tilfælde betyder det også, at for de fleste systemer, der er forbundet med vores store kunder, betyder det faktisk at fjerne dem enten direkte fra internettet, så vi sætter dem bag en VPN eller anden form for virksomhedsenhed, eller laver sikre på, at de så er kendte og derefter opdaterede, fordi i mange tilfælde er det egentlige symptom på sikkerhedsproblemer, som vi finder, tilfældigvis omkring det faktum, at et aktiv bare var uadministreret i meget lang tid og kan indeholde sikkerhed sårbarheder, der senere blev opdaget, simpelthen fordi du ville have sikkerhedsrettelser, der eksisterer for kendte sikkerhedsproblemer, som ikke var blevet anvendt.

I visse tilfælde, såsom zero-day angreb, er det faktisk bare meget vigtigere at vide, hvor alle aktiverne er, så du kan lappe dem så hurtigt som muligt. Men for det største flertal af aktiver, som vi opdager for vores kunder og hjælper med at styre deres angrebsoverflade, er det virkelige problem, at aktiverne bare ikke er kendt. Og for ledere er den virkelige nøgle, at de eksisterende processer og værktøjer, som mange virksomheder bruger, kan være meget gode fra denne side af sikkerheden, men de antager, at netværk i virkeligheden er meget mere statiske.

Laurel : Så hvad er konsekvenserne af, at en virksomhed ikke kender deres faktiske angrebsoverflade?

Matt : Den store, mest oplagte er en øget risiko for brud. Jeg tror, ​​det var et ordsprog gennem en stor del af 2000'erne, hjulpet på ikke ringe del af leverandører, at alt startede fra e-mail-phishing. Og der er meget, meget store e-mail-sikkerhedsleverandører, der stadig pumpede denne besked om, at det er hver eneste sikkerhedshændelse, som faktisk er en phishing-e-mail, og at mennesker er det svageste led, når de klikker på ting, og derfor køber mere e-mail-sikkerhed.

Det synes jeg ikke er forkert. Jeg synes faktisk det er korrekt at sikkerhed er en stor ting, det kan man købe. Men det er også meget nemmere at afbøde, især nu med en masse gode værktøjer, som at du faktisk har fuld synlighed over alle e-mails, der sendes til medarbejderne, fordi de skal igennem en central mailserver. Det er faktisk et spørgsmål om bare at være i stand til at opdage dårlige ting, men faktisk ikke at skulle finde ud af, at der f.eks. blev sendt e-mails, som du ikke havde synlighed i.

Jeg tror derimod, hvad vi har set, især for nylig i løbet af det sidste årti og faktisk endda de sidste fem år, er nogle af de absolut værste brud, dem, der forårsager skade fra hundreder af millioner til milliarder af dollars, kommer ikke fra phishing. De kommer faktisk fra normalt ukendte og uovervågede aktiver, og som i mange tilfælde faktisk var på det offentlige internet. Så jeg tror, ​​at nogle af de største eksempler på dette faktisk er ting som WannaCry-angrebet, der forårsagede, det anslås, at over $10 milliarder på verdensplan i skader, lukkede hele virksomheder, og satte det meste af sundhedsvæsenet i Det Forenede Kongerige tilbage på plads. og papir til faktiske dage.

Og de virkelige konsekvenser er, at du har alle disse ekstra muligheder for at komme ind, fordi der er så mange flere aktiver, der er online, som ikke bliver sporet af organisationer, og det er faktisk sådan, angribere kommer ind, fordi det viser sig, at der er meget effektive, automatiserede måder, hvorpå angribere kan forstå og undersøge og udnytte disse angrebsoverflader. Og konsekvenserne er ret dristige. Du ser det meste af sundhedsplejen i et førsteverdensland reduceret til pen og papir i dagevis. Meget, meget alvorligt, fordi det ikke bare er at hacke nogens e-mail, det er faktisk hacking af selve netværkets kritiske infrastruktur.

Laurel : Når vi taler om kritisk infrastruktur, er et andet nyligt angreb vandbehandlingsanlægget i Florida, hvor en angriber var i stand til fjernt at ændre vandets kemiske sammensætning for at tilføje lud til det, hvilket kunne have forgiftet et helt samfund. Så er infrastruktur et enormt problem for meget store virksomheder, som vandbehandlingsanlæg eller olie- og gasselskaber osv.?

Matt : Absolut. I det tilfælde, så vidt jeg forstår, var angrebsvektoren der faktisk en fjernadgangsserver, som nogen på fabrikken lod åben, var på internettet og tillod nogen at gå ind. Hvad vores tekniske tjenester handler om, er vi' genfinde måder, der effektivt er værktøjer til it-bekvemmelighed, men som er i stand til at blive undergravet af angribere, fordi værktøjerne til it-bekvemmelighed ikke er hærdet i samme grad som andre ting, der er beregnet til at være på internettet og udelades som en selvfølge. Vi har denne linje, som vi kan lide at se internettet på de fleste måder som det, de fleste af os oplevede gennem vores webbrowsere eller på vores telefon. Det er denne virkelig gode opsætning af forbrugeroplevelse, og alle de websider, vi ser, ser meget flotte og tiltalende ud, og vi tager dertil.

Og det er en god analogi til den fysiske verden, som jeg gætter på, kort efter vi alle er blevet vaccineret fra covid-19, vil vi shoppe udenfor igen. Du går måske til en Starbucks, og butikken er virkelig rar, du har denne fantastiske oplevelse, du får din latte, du går ud, men hvis du ser nedenunder alt det glitter på gaden, har du faktisk meget ældre infrastruktur. Du har ting som ingen kloakrør og andre ting, der fedter og revner. Og det er den infrastruktur, der understøtter den smukkere verden på toppen.

Meget af det, vi ser som en del af angrebsoverfladen, er en it-analogi, som de fleste mennesker ser på internettet som bare, 'Hvad er der i deres webbrowser? Hvad er der på telefonen, disse fine forbrugerhjemmesider?' Men der er hele backend-it-infrastrukturen, der understøtter det. Og det er noget knirkende, og det er ikke altid velkonfigureret. Uden noget som ASM har du problemer med, at du faktisk ikke kender dit netværks tilstand, fordi det er så stort, distribueret og komplekst. Og som i tilfældet med Florida, som i øvrigt var en mindre organisation, går det ind til kernen af, hvordan ved man, at der ikke er noget i gang? Under enhver it-sikkerhedspolitik bør det ikke være tilladt at have en fjernadgangstjeneste på internettet. Men det er meget svært selv for mindre organisationer at få den kontinuerlige synlighed af, hvordan ser jeg egentlig ud udefra? Hvordan ser jeg ud for en angriber med ældre værktøjer?

Laurel : Og det er et godt eksempel på et angreb, der ikke er et phishing-angreb. Det har intet med e-mailen at gøre. Mens vi diskuterer angreb, mest mindeværdigt i år igen, SolarWinds og Exchange, hvordan ville implementering af ASM have ændret disse resultater for organisationer? Eller hvad med de heldige organisationer, der faktisk forstod deres muligheder for styring af angrebsoverfladen og var i stand til at finde dette og forpurre angrebet?

Matt : Jeg vil tale med begge, fordi en række af vores kunder havde begge den slags systemer, og vi hjalp dem med at reagere. Jeg tror, ​​at Microsoft Exchange-hacks, og for dine lyttere, lidt baggrund: der var faktisk annonceret et sæt nul-dage for sæt versioner af Microsoft Exchange-e-mail-tjenesterne tidligere i februar og marts i år. Meget, meget farligt, fordi det i realiteten er en organisations mailservere, og hvis du fulgte denne XY-kæde, var det, det dybest set tillod dig at gøre, at sende en besked til en mailserver for at give dig effektivt uhindret administrativ adgang til hele mailen server. Og der var faktisk hundredtusindvis af disse, som vi opdagede online. Og effektivt, hvis du tænker over det, er det et meget alvorligt angreb at have en hacker, der er i stand til at downloade hele eller det meste af virksomhedens mailserver og med alle disse følsomme oplysninger, der er gemt der.

Så det, vi bemærkede, var faktisk to ting, hvilket var, at for store organisationer var de meget opmærksomme på dette, og de lappede meget, meget hurtigt. Men der var en række kunder, som vi kunne hjælpe, hvor de er så store, at de faktisk ikke engang har ét centralt sæt mailservere. Så uden Expanse ville de ikke have været i stand til at finde alle deres mailservere og være i stand til at patche dem i tide, fordi de er så distribuerede, at de faktisk havde brug for en opgørelse over selv deres mailservere. Og det er meget svært at samle det på én central måde, medmindre du bruger et ASM-værktøj som Expanse. For i stedet bruger du i mange tilfælde normalt Microsoft Outlook og Microsoft Excel. Du kommer til at sende e-mails til forskellige forretningsenheder. Du kommer til at spørge it-ledere i de forskellige forretningsenheder. Hvis de er rettet, vil de sende e-mails og regneark tilbage. Det er en meget, meget manuel proces.

Så i stand til faktisk at identificere det og virkelig hjælpe dem i en meget kort rækkefølge af, som en dag, finde og være i stand til at rette hver eneste server, de havde på deres ejendom, hvilket vi tror, ​​virkelig, virkelig ændrede resultatet, fordi de kunne har været sårbare i uger i visse tilfælde. Også for SolarWinds tror jeg, at detaljerne er lidt anderledes, fordi ikke alle SolarWinds-aktiver nødvendigvis er eksponeret til internettet. Og også i mange tilfælde havde de været der i flere måneder. Som en del af bredere Palo Alto havde vi andre produkter, der var i stand til at stoppe SolarWinds: SolarWinds-angrebet i særdeleshed, vores endepunktsramme kaldet XDR. Men selv der for SolarWinds, når først angrebet var kendt, har kunderne stadig problemet med, at de ikke engang vidste, hvor alle deres SolarWinds-servere var, hvilket igen går tilbage til dette lagerproblem og valg af muligheder, både som Expanse og andre funktioner, vi nu har som en del af Palo Alto, var vi i stand til at hjælpe kunderne meget hurtigt med at forstå overalt, hvor de havde en SolarWinds-eksponering, så de kunne afbøde det meget hurtigt. Så der var faktisk en to-trins proces. Hos Palo Alto var vi i stand til at forhindre angrebet på vores kunder selv uden at vide, at forsyningskæden var blevet brudt. Og så snart det var mere offentligt, kunne vi faktisk også hjælpe alle med at identificere alle de servere, de havde, og sikre, at de alle var opdaterede og ikke inficeret med forsyningskæden-trojaneren.

Laurel : Det er virkelig interessant, fordi nogle virksomheder måske tænker: 'Åh, jamen, vi har ikke vandværker og aldrende infrastruktur at bekymre sig om.' Men ved du faktisk, hvor al din mail er gemt, og hvor mange forskellige servere den kan være på og forskellige cloud-instanser eller hvor som helst? Og når du kun har et spørgsmål om timer til at lave denne kritiske patch, hvor hurtigt kan du så gøre det?

Matt : Nemlig. Og mange af de spørgsmål, som jeg stillede vores kunder, er bare: 'Hvordan har du tillid til, at dine systemer rent faktisk er opdaterede?' At besvare selv tilsyneladende grundlæggende klingende spørgsmål med eksisterende IT, hvis du ikke har Expanse eller ASM, er faktisk overraskende svært. Jeg vil give et andet sjovt eksempel. Jeg spørger de øverste informationssikkerhedsofficerer dette hele tiden: 'Hvor mange routere har din organisation?' Det virker som et ret grundlæggende spørgsmål, det ser ud til, at de ville vide, i det mindste til en meget god tilnærmelse, at it-teamet nok burde vide præcis, hvor mange routere de har. De er meget vigtige stykker netværksudstyr, især på virksomhedsniveau, de er dyrere. Så det er ikke bare det der hjemme Wi-Fi-hotspot, vi er vant til. Disse ting kan koste titusinder, i nogle tilfælde, hundredtusindvis af dollars at håndtere arbejdsbyrder i virksomhedsklasse.

Og hvad vi finder er, at når du stiller det spørgsmål, er der faktisk normalt ikke ét centralt sted, hvor alt det er sporet. I stedet vil det blive sporet af lokale udviklings- og it-teams på forskellige måder. Det vil blive sporet i flere regneark. Der kan være visse lokale it-styringssystemer, der ved det, men i slutningen af ​​det, hvis du sagde som: 'Hvor mange routere har du lige nu?' Den proces, som de ville bruge til at besvare, som ikke går ind i et system eller logger på, det er faktisk at starte en e-mail-kæde. Det er faktisk et af hovedproblemerne, som angrebsoverfladestyring forsøger at løse, er: Hvordan har du en nøjagtig og opdateret opgørelse over alt, så du derefter kan bygge en række processer oven i det, inklusive sikkerhed ? Men hvis du ikke har en opdateret opgørelse, eller du tror, ​​du har, men det har du ikke, så når du begynder at trække i den tråd, en masse forretningsprocesser, en masse it-processer, en masse af sikkerhedsprocesser, som du gerne vil have anvendt på tværs af hele din virksomhed, indser du pludselig: 'Vent, dette bliver faktisk kun delvist implementeret, for hvis jeg ikke har en fuld beholdning, hvordan ved jeg så, hvad der er gå over alle mine aktiver i modsætning til kun de aktiver, jeg kender til?' Og det er det, vi taler om, når vi siger ukendte ukendte. Som du nævnte øverst, er det: 'Jeg kender en vis grad af mine systemer, men kender jeg dem alle?' Det delta kan være alt for organisationer, fordi det meste af deres risiko ligger i de dele af deres netværk, de ikke engang vidste at skulle undersøge.

Laurel : Hvilke andre datadrevne beslutninger kan træffes ud fra denne form for fokus på rent faktisk at vide, hvor alle dine aktiver er. Hvordan kan dette ellers hjælpe virksomheden?

Matt : To områder, som dette virkelig hjælper organisationer med, er faktisk cloud-styring og M&A. Det er især meget vidtstrakte virksomheder. Så for mange af vores kunder kan de faktisk have hundredvis af forskellige cloud-konti i de offentlige cloud-udbydere, så AWS, Azure, Oracle, Google, Alibaba i mange tilfælde, og de havde ingen mulighed for rent faktisk at rationalisere dette, fordi de ville have en hel masse forskellige udviklingsteams, og de kunne ikke få noget. Og så, når de siger, at de flytter til skyen, vil et typisk afstå fra vores kunder være som: 'Ja, det er vi. Vi har aftaler med Amazon, og vi afdækker vores indsats en lille smule. Vi udforsker også Azure, så vi ikke kun er låst til én sky.' Det, vi finder, er, at den gennemsnitlige kunde for Expanse er hos 11 forskellige infrastrukturudbydere.

Jeg taler ikke SaaS, jeg taler på steder, som du faktisk får som at leje en server, lægge data på dig selv. Det er fantastisk og astronomisk, og vi kunne sige, 'Nå, ja, du er på Azure. Du er også på AWS. Vidste du, at du også er i DigitalOcean? Du er også i Linode. Din general manager i Europa har sandsynligvis sat dig i OVH eller Orange hosting. Du har noget andet i det malaysiske datacenter. Jeg er ikke helt sikker på, hvad det er. Og det er typisk. En kunde for os var faktisk hos over hundrede forskellige udbydere, fordi de er en meget stor multinational. Jeg tror, ​​det er, når vi ser, at folks cloud-styringsplaner kontra cloud-virkelighed er dramatisk forskellige. Og at hjælpe dem med det, vil gøre dem i stand til at flytte både sikkert og hurtigt til skyen.

Den anden er fusioner og opkøb. Jeg tror, ​​det er noget, der sker i stigende grad. Da mange industrier konsoliderer sig, er der meget M&A-aktivitet på det seneste. Men når du tænker over det, er en M&A en af ​​de største it-ændringsbegivenheder, en organisation kan have, især hvis det er et stort opkøb. Så jeg ved lidt om dette, da jeg for nylig har gennemgået denne proces med Palo Alto Networks på den anden side af bordet, men antallet af ting, du skal integrere, er ret stort. Og i tilfældet med Expanse er vi integreret med et topsikkerhedsfirma i verden, og vi er også relativt små. Så integrationshovedpinen har næsten været ikke-eksisterende, og det har været en rigtig god proces.

Men for større organisationer, hvor du kan, køber en organisation med 50.000 mennesker en organisation med 10.000 mennesker, antallet af forskellige trin, du skal igennem, mængden af ​​it, du skal overføre, mængden af ​​arv, du skal forstå er gigantisk. Og på mange måder er disse i mange tilfælde kun delvist implementeret, fordi du som erhverver måske ikke engang ved, hvor alle de aktiver, du køber, er. For et flyselskab var der for eksempel en række fusioner, og vi er faktisk i stand til at finde aktiver i det fusionerede flyselskab, som ikke længere eksisterer, men som stadig var på internettet mere end et årti efter fusionen.

Hvilket giver dig en idé om, hvor lang tid nogle af disse ting tager. Det er den anden side af, hvordan vi virkelig hjælper med vores kunder, er faktisk at forstå, 'Når du faktisk erhverver et aktiv, hvordan fuldfører du så egentlig den proces? Hvordan måler du det? Hvordan overvåger man det, og hvordan gør man det på internettets skala frem for med en masse konsulenter, Excel-regneark, stykker papir og e-mails?'

Laurel : Så fra vores samtale i dag, føler jeg, at dette er, hvis du ikke ved, hvad du ikke ved, bør du virkelig finde ud af det advarsel, hvis du ikke har hørt det før. Men der er glimt af håb i dette, ikke? For hvis aktivet eksisterer, kan du i det mindste finde det, spore det og vurdere, hvad du skal gøre med det, formidle eventuelle ændringer, du skal foretage, eller vurdere det for at bringe det tilbage til fuld cybersikkerhedsoverholdelse. Hvad giver dig håb om, hvad der er muligt efter at have set de første tre måneder af dette år, og hvad der er sket med angreb, de igangværende problemer, som vi kommer til at have? Men der er muligheder der, ikke? Der er håb. Hvad ser du, der gør dig optimistisk med hensyn til cybersikkerhed, og hvad vi ser frem til i de næste fem år?

Matt : Ja, jeg er faktisk ret optimistisk på ikke engang på lang sigt, men selv på mellemlang sigt tror jeg, endda tre, fire år ude. På kort sigt vil der helt sikkert være nogle hårde hav forude, men her er det, der gør mig mest optimistisk. For det første tror jeg, at dette faktisk er et løseligt problem i høj grad med en masse teknologi, der er ved at blive udviklet. Og dermed er det klart, at når du ved, at et problem eksisterer, er det faktisk ret ligetil at rette det. Der er mange mekanistiske trin for at blive bedre til det. Der er mange automatiseringer, der kan sættes på det. Og der er mange ting på vej. Men i mange tilfælde er den faktiske svære del at se, hvad du rent faktisk har brug for at løse, og kende alle de problemer, og derefter være i stand til at prioritere dem effektivt og derefter begynde at arbejde på dem.

Og jeg tror især, at de ting, jeg har set, er inden for industrien, jeg tror, ​​at der er mange teknologier i løbet af de få år, der kommer til at imødekomme den marketinghype, der har eksisteret i årevis. Jeg taler meget med branchepartnere. Vi bruger betydelige mængder data. Med min baggrund, hvor jeg har en ph.d. fra Stanford i operationsforskning og maskinlæring, bruger vi faktisk noget ægte maskinlæring i vores produkter. Vi bruger også en masse heuristik. Jeg spøger med, at vi nogle gange har maskinlæringsklassifikatorer til at løse et problem. Andre gange har vi SQL-forespørgsler, der løser problemet.

Vi har nogle rigtig velskrevne SQL-forespørgsler. Dem er jeg meget stolt af. Men jeg tror, ​​at selve industrien, især i marketingmateriale, skulle tro, at alt i cybersikkerhed er denne automatiserede AI, ML-aktiveret alt. I de fleste tilfælde, men ikke alle, men i mange på tværs af branchen, og dette gælder især i startups, er det bare en linje at pitche. Og det, som virksomheder virkelig kalder AI, er bare standardsoftwareregler, og der sker virkelig ikke noget særligt.

Eller der er en gammel joke, der siger: 'Åh, jeg har denne fantastiske AI-ting. Hvad er det? Nå, vi har en flok analytikere, der er tidligere efterretningsofficerer, normalt i Maryland eller uden for Tel Aviv, og det er dem, der gør alt. Men vi har et system, der effektivt dirigerer arbejde til dem, og det er vores AI.' Og de siger: 'Vent, det er mennesker.' Jeg tror, ​​at det, jeg har set, er, at en automatisering bredt defineret er en rigtig ting. Men automatisering betyder faktisk på jorden, er du tager noget, der tidligere tog timer og dage og 10 personer. Og så med software lige nu, er det mere, så hvordan tager du det ned til 15 minutter og to eller tre personer?

Jeg tror, ​​at vi vil se endnu større gevinster eller endda begynde at tage mennesker ud af løkken helt i visse forretningsprocesser. Og jeg tror, ​​at det, vi ser, og det er meget af det, vi arbejder på, og jeg arbejder på nu, er, at i løbet af de næste måneder og år bliver faktiske maskinlæringskapaciteter i stor skala faktisk implementeret i produktionen. Jeg tror, ​​der er nogle, der er derude i stykker. Der er mange flere regler, end nogen vil tale om, men vi ser nu, at der er nok samling af data, der er nok normalisering af data i det, især hos de større virksomheder, og at virksomheder er mere villige til at dele information med leverandører, hvis det påviselig forbedrer den sikkerhedstjeneste, de får, at vi faktisk vil være i stand til at implementere stadig mere sofistikerede kapaciteter i den retning og få produktet/virkeligheden til at matche. Jeg tror, ​​det er, hvad i det mindste den bredere branchemarkedsføringstidsånd havde været.

Jeg har set mange af dem, de er meget, meget virkelige, og de er meget på vej. Og de kommer i industriel skala for forsvarere. Og jeg tror, ​​det er det, jeg er mest begejstret for, for på trods af at der er det gamle ordsprog om, at angribere skal have ret én gang, forsvarere skal have ret hele tiden, i stigende grad er det nu mere skalerbart for forsvarere at have ret meget af tiden og faktisk oprette meget store overvågningsnetværk, så hvis angriberne smutter én gang, kan forsvarerne fuldstændig udslette dem i det angreb. Og det påvirker både asymmetrisk omkostningerne og også tror jeg vil være med til at vippe feltet tilbage til forsvaret.

Matt : Jeg tror, ​​at når man havde delvise AI-løsninger og ML-løsninger og delvis automatisering, hjalp det angribere meget mere, fordi de kunne duct-tape sammen et par forskellige dele, skalere visse ting meget højt og så bare se, hvad der kom tilbage til dem i en fantastisk måde. Jeg tror, ​​at forsvarere vil være i stand til at have lignende kapaciteter, der er effektive, fordi de faktisk dækker alt, der foregår i en virksomhed. Og det vil give os mulighed for at vende udviklingen.

Laurel :Matt, mange tak for at være med i dag i det, der har været en fantastisk samtale på Business Lab.

Det var Matt Kraning, Chief Technology Officer og medstifter af Expanse, som jeg talte med fra Cambridge, Massachusetts, hjemsted for MIT og MIT Technology Review, med udsigt over Charles River.

Det var det for denne episode af Business Lab. Jeg er din vært, Laurel Ruma. Jeg er direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology. Og du kan også finde os på tryk, på nettet og til arrangementer hvert år rundt om i verden.

For mere information om os og showet, tjek venligst vores hjemmeside på technologyreview.com.

Dette show er tilgængeligt overalt, hvor du får dine podcasts. Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os. Business Lab er en produktion af MIT Technology Review. Denne episode blev produceret af Collective Next. Tak for at lytte.

Denne podcast-episode blev produceret af Insights, den tilpassede indholdsarm af MIT Technology Review. Den blev ikke produceret af MIT Technology Reviews redaktion.

skjule