Keren Elazari om vigtigheden af ​​hackere

Hvordan at tænke på hjælpsomme hackere som internettets immunsystemer kan gøre din sikkerhed stærkere og bedre forberede og sikre din digitale tilstedeværelse.

Ved

• TR personale arkiv side

1. august 2019

Udviklingen af ​​cybersikkerhed er sammenvævet med udviklingen af ​​hackersamfundet. Keren Elazari, cybersikkerhedsanalytiker og seniorforsker ved Tel Aviv University Interdisciplinary Cyber ​​Research Center, uddannede verden i sin TED-tale i 2014 om vigtigheden af ​​at dyrke venlige hackere til beskyttelse af internettet. I dag forsker hun i de mest presserende cybersikkerhedstrusler, og hvordan man kan forhindre disse brud.

I denne episode deler Elazari sin historie om at blive hacker som ung kvinde i Israel og taler om den empowerment, hun fik ved at blive en vigtig spiller i det globale hackersamfund. Hun forklarer, hvordan virksomheder, organisationer og regeringer nu samarbejder med hjælpsomme hackere ved at skabe bug-bounty-programmer og andre initiativer. Elazari forklarer tips til, hvad virksomheder bør lede efter i form af cybertrusler.

Business Lab er vært for Elizabeth Bramson-Boudreau, administrerende direktør og udgiver af MIT Technology Review. Showet er produceret af Katherine Gorman, med redaktionel hjælp fra Emily Townsend og Mindy Blodgett. Musik af Merlean, fra Epidemic Sound.

Vis noter og links:

Tel Aviv Cyberweek: https://cyberweek.tau.ac.il/2019/

Kerens hjemmeside: https://www.k3r3n3.com

Kerens Twitter: https://twitter.com/k3r3n3

Ted Talk: https://www.youtube.com/watch?time_continue=2&v=JpFFb1jEUf0

FULD TRANSCRIPT

Fra MIT Technology Review hedder jeg Elizabeth Bramson-Boudreau, og dette er Business Lab, showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet.

Så længe vi har haft computersystemer, har der været dem, der har forsøgt at bryde igennem beskyttelsen, men disse hackere kan også spille en nyttig rolle i at identificere hullerne i cybersikkerhed og identificere fremtidige trusler.

Dette er det sidste afsnit i vores serie om cybersikkerhed. Og i dag taler vi om hacking.

Siden internettets tidlige dage har der været venlige cybereksperter, inklusive vores gæst, og disse hackere har været kritiske for sundheden for internettets immunsystem. Keren Elazari er cybersikkerhedsanalytiker og seniorforsker ved Tel Aviv University Interdisciplinary Cyber ​​Research Center.

Elizabeth Bramson-Boudreau: Keren, velkommen til Business Lab.

Fedt nok Elazari: Hej. Jeg er glad for at være her. Jeg er glad for at benytte lejligheden til at tale om, hvad vi kan lære af hackere, og hvordan hackere faktisk spiller en afgørende rolle i nutidens informationssamfund.

Elizabeth: Okay. Så det er fantastisk. Lad os komme i gang, for jeg vil virkelig gerne tale om begrebet hacker som noget, der skal fejres. Jeg tror, ​​at mange mennesker er kommet til at tro, at hackere var truende, og du kommer til det fra et meget andet synspunkt. Før vi kommer ind på det og taler om dit synspunkt, kan du så fortælle os lidt om dig selv, og hvordan du er blevet sådan en leder og sådan set ude i front på dette emne?

Fedt nok: Selvfølgelig, Elizabeth. Jeg startede min vej i cyberverdenen, i den digitale verden, om man vil, da jeg var meget ung. Jeg var omkring måske 11 eller 12, da vi første gang fik adgang til internettet i Israel, i Tel Aviv, hvor jeg voksede op. Og jeg tryglede mine forældre om en egen computer, som jeg kunne oprette forbindelse til internettet. Dengang skulle du på en måde finde ud af det på egen hånd, hvordan man fik modemmet til at fungere, hvordan man ringer op til de rigtige servere, hvordan man konfigurerer din computer.

Og når først du var online, var det virkelig op til dig at finde din vej. Og heldigvis fandt jeg min vej med chatrum og onlinegrupper for folk, der brændte for teknologi, som jeg var. Og jeg lærte engelsk ved at skrive og tale med disse mennesker i chatrum, som ikke anede, at de talte med en 13-årig pige fra Tel Aviv.

For dem var jeg bare endnu en hacker, bare endnu en online personlighed bag kaldenavnet. Og det var der på disse onlinerum, jeg lærte at forstå, hvor nysgerrige, hvor kreative, hvor innovative de mennesker, der kalder sig hackere, kan være. Og omkring år 1995, det var der, mit liv virkelig ændrede sig, fordi det var, da jeg så filmen 'Hackers' med Angelina Jolie, der portrætterer en voldsom high school-hacker. Og da jeg så den film, var jeg virkelig forbundet. Jeg resonerede straks med historien, som den film viste.

Og det var en historie om denne gruppe high school-hackere, som alle er en lille smule, du ved, sære eller outsidere. Men sammen som en gruppe forhindrede de faktisk en økologisk katastrofe. De afslørede virksomhedskorruption. De viste FBI, hvor den rigtige cyberkriminelle gemte sig.

Og det er denne gruppe børn, der lignede mig meget og lyttede til den samme musik, som jeg gjorde, og som havde den samme ideologi, som jeg havde. Det er den gruppe børn, der viste mig at være en hacker, og det kan faktisk betyde, at du er historiens helt. Heldigvis var jeg i stand til at tage billedet af hackeren som helt og billedet af den unge, magtfulde kvinde portrætteret af Angelina Jolie og gøre det til min virkelighed. Jeg besluttede, at det ville være mit forbillede, og at jeg gerne ville være en venlig hacker, en, der hjælper organisationer og nationer med at forstå sikkerhedsproblemer, så vi kan skabe bedre systemer, og vi kan forhindre, du ved, at katastrofale udfald sker som et resultat. af cyberangreb.

Gennem hele min karriere, lige siden midten af ​​90'erne, er det det synspunkt, jeg altid har haft. Nu har jeg arbejdet med forskellige typer organisationer, med offentlige myndigheder. Jeg tjente i det israelske militær. Jeg arbejdede med førende israelske teknologivirksomheder. Og alle disse steder bragte jeg det hacker-synspunkt og især den venlige hackers synspunkt - om hvordan kan vi faktisk løse dette problem? Hvordan kan vi skabe noget bedre? Så det er det perspektiv, jeg har haft i løbet af de sidste, vel 25 år, næsten i min karriere i cybersikkerhedsverdenen.

Elizabeth : Jeg mener, jeg formoder, at jeg intuitivt forstår, hvorfor hackere er en slags outsidere, og du ved, citer unquote, 'weirdos'. Men hvad er det ved det fællesskab, der gør det så, ofte, så ideologisk drevet?

Fedt nok: Det er mit synspunkt, at hackere har en tendens til at være outsidere. Ja. Men vi har også en tendens til at være ekstremt passionerede omkring teknologi. Og dette kan nogle gange føre til frustrerende resultater, når en gruppe hackere identificerer et problem, og vi forsøger at få det løst, men vi får ikke den opmærksomhed, vi har brug for, eller vi bliver straks stemplet som kriminelle eller som vandaler. Og det fører mange gange til det resultat, hvor folk ser os som havende, du ved, måske et potentielt ondsindet synspunkt. Mange af de hackere, jeg kender, har, du ved, måske ikke den samme ideologi, men alle deler meget lidenskabelige idealer om teknologiens rolle i vores liv, rollen som adgang til information om denne idé om, at folk skal have adgang til viden og information, at teknologi ikke kun skal ejes af store virksomheder og ikke kun være noget, folk med mange penge eller privilegier har adgang til, men derimod at internettet og den teknologi er noget, der bør demokratiseres. Og jeg tror, ​​at det måske er en ideologi, som du vil finde hos mange hackere.

Hvor kommer det fra? er et godt spørgsmål. Og det er ikke sådan, at alle hackere deler det samme synspunkt eller den samme ideologi. Men tilbage i 80'erne var der dette magiske dokument, der kom rundt på BBS, opslagstavlesystemerne og senere på tidlige webmagasiner, og dette dokument blev kaldt 'Hackermanifestet'. Og i 'The Hacker Manifesto' taler personen, der skrev det, om de mennesker, der er nysgerrige efter teknologi som hackere, folk, der vil udforske den digitale verden for alt, hvad den har uden nogen barrierer, og at det er dem, der ville kalder sig hackere. Så det er der, den ideologi kom fra. I 90'erne var der selvfølgelig også en del kriminelle elementer og især organiseret kriminalitet, som tog det nye potentiale, som internettet og teknologiverdenen kan tilbyde dem. Og disse mennesker burde kaldes cyberkriminelle. De bruger måske hacking-færdigheder eller hacking-kapaciteter, men de deler ikke nødvendigvis de samme ideologier, som de hackere, jeg er vokset op med, og som jeg repræsenterer, har.

Elizabeth: Lad os tale lidt mere om denne idé om den venlige hacker. Lytterne af Business Lab driver virksomheder og er meget optaget af at holde denne virksomhed sikker mod cybertrusler. Det er dit synspunkt, og det vil jeg gerne høre mere om, at hackere kan hjælpe med at finde tekniske problemer og på en måde fungere som et slags immunsystem. Så hvad vil du sige til folk, der driver deres virksomheder?

Hvordan skal de tænke på hackerverdenen, og hvad skal de tænke på, når de er bekymrede over cybersikkerhed og den slags beslutninger, som de bør træffe om at opretholde eller fremme større sikkerhed i disse virksomheder?

Fedt nok: Absolut. Så det er mit synspunkt, at hackere kan være immunsystemet for vores nye forbundne virkelighed. Og for de lyttere af podcasten, der ønsker at lære mere om det, anbefaler jeg, at de tjekker min TED 2014-tale, som hedder 'Hackere er internettets immunsystem'.

Siden 2014 har jeg delt denne besked om, at hackere kan være hjælpsomme allierede med en række forskellige organisationer og mennesker. Og overraskende nok har flere og flere virksomheder i de seneste par år fundet værdien af ​​at arbejde med det venlige hacker-økosystem. Og en fantastisk måde, at dette faktisk sker på, er fænomenet kendt som bug bounty-programmer. Så disse bug bounty-programmer – også nogle gange omtalt som programmer for afsløring af sårbarhed eller sårbarhedsbelønningsprogrammer – er faktisk rammer, der drives af meget store virksomheder, virksomheder som Google, Facebook, Yahoo, Microsoft, Samsung og endda virksomheder, der ikke udelukkende er teknologivirksomheder, virksomheder. som United Airlines, for eksempel, eller Western Union eller endda Starbucks, kaffekæden. Alle disse virksomheder har faktisk et bug bounty-program på plads.

Og det betyder, at de aktivt inviterer venlige hackere til at se på deres produkt, uanset om det er deres app, deres hjemmeside. Det kan være en bil. I tilfældet Tesla har det et langvarigt forhold til hackere. Og de siger dybest set til hackere, se på vores produkt.

Hvis du finder sårbarheder, hvis du kan opdage sikkerhedsfejl, og hvis du kan fortælle os om disse problemer, vil vi belønne dig for din indsats, og disse belønninger, de dusører, de kan være i form af penge betalt med forudbetalte kreditkort eller betalingskort, for eksempel, men de kan også være en ikke-monetær form for vederlag, der faktisk har en masse symbolsk værdi i hackerens økosystem. Så det kan for eksempel være swag, t-shirts eller hatte eller unikke oplevelser.

For eksempel husker jeg et bestemt år, hvor Microsoft tog ud af en af ​​de største klubber i Las Vegas og bookede en af ​​de største D.J.s og adgang til den fest. Og den klub med den superstjerne deejay blev kun givet til de forskere, de venlige hackere, der identificerede sårbarheder og afslørede dem til Microsofts program. I et andet tilfælde...

Elizabeth: Så det blev efterhånden som det blev en statusting, en slags hæderstegn at blive inviteret?

Fedt nok: Der er bestemt et statuselement. Og faktisk er en af ​​grundene til, at bug bounty-programmer er så succesfulde, fordi de faktisk har skabt sociale netværk omkring dem med hackere, der konkurrerer på leaderboards. Man kan sige, at dette er blevet gamificeret, og hackere konkurrerer om at være på førstepladsen på top fem eller top ti lister over hackere, der har fundet sårbarheder på det pågældende websted eller program. I visse tilfælde er der endnu flere specielle belønninger, som kun gives til de bedste hackere på et bestemt program. For eksempel har Tesla en udfordringsmønt, og det er næsten som en medalje, og de er kun 20 af disse Tesla-udfordringsmønter i verden, og de går kun ud til de bedste hackere, der hjælper Tesla. Faktisk så jeg sidste sommer Elon Musk personligt deltage i den største konvention af hackere i verden, en begivenhed kaldet DEF CON, som finder sted i Las Vegas hvert år. Og Elon Musk kom dertil med sit team og med sine ingeniørchefer for både Tesla og SpaceX for at tale med de talentfulde hackere, der var i stand til at finde sårbarheder i Teslas produkt. Selvfølgelig er det måske ikke en overraskelse, at en innovativ virksomhed som Tesla eller at Silicon Valley-giganter som Facebook og Microsoft arbejder med hackere. Men i de sidste par år har organisationer som Pentagon, USA's forsvarsministerium også lanceret deres Hack the Pentagon-program. Og det bug bounty-program har virkelig vist fantastisk initiativ, flotte resultater. Fra det øjeblik, det først blev lanceret og frem til i år, har der været så mange sårbarheder på Pentagon-websteder, som blev opdaget via det program. Så det betyder, at de kriminelle, spionerne, de onde, der finder sårbarheden, de ikke vil fortælle dig om, hvad de opdagede. Og ved at skabe disse programmer, tillader vi effektivt det immunsystem. Vi tillader effektivt disse venlige hackere en vej, en legitim juridisk vej til at rapportere deres resultater og hjælpe os med at blive sikrere.

Og jeg er meget passioneret og håbefuld med hensyn til den videre adoption af disse bug bounty-programmer. Og jeg tror, ​​det er noget, enhver virksomhedsleder skal spørge sig selv om, har vi sådan en mulighed for, at venlige hackere kan rapportere deres resultater til os?

Elizabeth: Jeg har et par spørgsmål. Er der særlige slags fejl, som den slags bounty-programmer er bedst egnede til at søge? Og for det andet, hvordan er virksomhedsledere, der ikke driver Tesla eller Facebook, monumentalt store virksomheder med gode ressourcer? Hvordan fik de adgang til den slags programmer?

Fedt nok: Så det er store spørgsmål. Jeg er meget glad for at tale om bug-bounties, så længe du vil, for dette har faktisk været hjertet i undersøgelsen, det forskningsarbejde, som jeg har lavet på Tel Aviv Universitys Cyber ​​Research Center i løbet af de sidste par år . Og en af ​​de ting, vi opdagede, er, at der er meget værdi ved disse programmer, når det produkt, der bliver testet, eller den platform, der bliver set på, allerede er offentligt vendt. Så hvis du for eksempel har en hjemmeside, hvis du er United Airlines og folk køber flybilletter på din hjemmeside, har du allerede et meget offentligt vendt produkt, som lever på nettet. Og når du har et produkt som det, er det virkelig nyttigt at få alle disse hackere til at identificere sårbarheder. I United Airlines tilfælde udbetaler de i øvrigt ikke penge. De udbetaler luftmil. Og folk har tjent millioner af miles ved at finde sårbarheder på United Airlines hjemmeside. I et andet tilfælde, når det kommer til apps eller websystemer eller endda, som jeg nævnte tidligere, med biler, med Tesla in-car systemer, når der er et forbrugervendt produkt, der har en masse teknologi i sig, eller når det produkt er på nettet, eller det er en mobilapp, er det et godt tidspunkt at få hjælp fra disse venlige hackere via formatet af bug-bounty-programmer. Nu spurgte du, hvordan kan små organisationer nyde den fordel? Der er en række forskellige måder. En, der er vigtig at forstå, at der i dag er eksisterende platforme, der faktisk formidler dette forhold til disse hackere. Jeg nævnte, at det næsten er som om, sociale netværk er blevet bygget op omkring det. De to førende platforme hedder HackerOne og Bugcrowd.

Der er flere andre virksomheder, men det er de to største platforme, og de formidler faktisk mange af bug-bounty-programmerne derude, og de har mere end 100.000 venlige hackere, der registrerer og bruger disse platforme. Så det er adgang til en masse hackere. Så det ville være det første sted, jeg vil anbefale at kigge på. For det andet er det vigtigt at forstå, at selv en lille organisation kan have en form for engagement eller mulighed for at arbejde med venlige hackere.

For det første er der faktisk en international standard for koordineret afsløring af sårbarhed, og det er den internationale standard for CVD-koordineret afsløring af sårbarhed. Og jeg kan slå nummeret på den standard op, så jeg kan dele det med dine lyttere.

Nu, bortset fra det, er der et andet projekt, der hedder security.txt. Og hvad security.txt-projektet i bund og grund siger, så siger det, at hvis du har en hjemmeside eller en forbrugervendt teknologi, så vil du sørge for, at der et sted på din hjemmeside er en fil, der hedder security.txt og faktisk har oplysningerne om, hvem folk skal kontakte, hvis de finder en sikkerhedssårbarhed på dit websted. Du ville blive overrasket over, hvor mange gange den simple ting med bare at have de rigtige kontaktoplysninger derude gør det muligt for en venlig hacker at nå ud og sige: 'Hej, jeg fandt et problem på dit websted, jeg fandt en fejl i din kode. Du vil måske vide noget om det.'

Elizabeth: Ret. Det giver meget mening. Så jeg vil gerne skifte lidt til at se på cybersikkerhedstrusler, der ikke kun handler om computere eller netværk. Og jeg tror, ​​du ved, at mange af vores lyttere er klar over, at truslen kun vokser med iot og spredningen af ​​enheder, der er forbundet. Tal om det, og hvad hackersamfundet gør og kunne gøre for at yde større støtte og hjælpe virksomhedsledere.

Fedt nok: Absolut. Inden jeg gør det, vil jeg lige nævne, at den internationale standard, jeg talte om tidligere, er ISO 29147. Så det er international standard nummer 29 147, som faktisk er en international standard for koordineret afsløring af sårbarheder, som enhver organisation kan lære af og tilpasse og anvende for deres virksomhed. Så jeg ville bare give dig information om det. Nu, med hensyn til et spørgsmål, så tror jeg, du virkelig ramte hovedet på sømmet der. Det handler i virkeligheden ikke længere om informationssystemer eller, du ved, vores telefoner eller vores computere.

Der er virkelig så mange nye forbundne teknologier, som vi stoler på med vores liv hver dag, uanset om det er forbundne boliglåse og overvågningssystemer som webkameraer eller, du ved, de ting, vi er afhængige af for at få vores bil i tide, navigationen værktøjer, vi er afhængige af, de ting, som fly er afhængige af, medicinske teknologier. Og det er fantastisk, det er faktisk en grund til, hvorfor vi nu i vores branche taler om cybersikkerhed og ikke om informationssikkerhed, fordi det ikke længere handler om at beskytte hemmeligheder eller vores adgangskoder eller kreditkortnumre. Det handler i virkeligheden om at beskytte alle disse fysiske cyberforbundne systemer. Nu, når det kommer til disse iot-enheder, tingenes internet-enheder. Det er her, jeg tror, ​​at mange mennesker, uanset om de er virksomhedsledere eller, du ved, privatpersoner, vi virkelig ikke er klar over, at vi skal være informationschef for vores eget hjem, for i enhver families hjem nu til dags, der er faktisk mere end et dusin enheder, normalt, måske endda flere. Og du har underholdningskonsoller, du har DVD, du har webkameraer, du har gadgets og tablets og personlige enheder, selvfølgelig, telefoner og computere. Og for alle disse enheder er der virkelig ikke nogen informationssikkerhedschef eller informationschef, der vil vedligeholde dem for os. Så som enkeltpersoner, som forbrugere, er det virkelig ansvaret for at sikre, at disse enheder har opdaterede operativsystemmiljøer, som du ikke har standardbrugernavn og -adgangskoder. Det er ting, vi skal gøre, og ingen gør det for os.

Og det er her, mange af de nye typer trusler sniger sig ind, fordi mange mennesker vil fortælle dig: 'Hey, ja, jeg er ligeglad med, om nogen hacker ind i mit sikkerhedskamera, som jeg har i min baghave, fordi jeg ikke 'ikke har noget at skjule.' Men hvad folk ikke er klar over er, at kriminelle lærer at bruge alle disse digitale aktiver som bønder i deres egne digitale hære. Og i de sidste par år har vi set massive angreb, hvor kriminelle faktisk har overtaget hundreder og tusinder af disse typer af tilsluttede enheder, uanset om det er webkameraer eller digitale videooptagere, nogle gange endda kontorkopieringsmaskiner som en Xerox-maskine. Og alle disse enheder kan bruges af kriminelle til at iværksætte yderligere cyberangreb. Så når det kommer til disse enheder, er det virkelig op til hver og en af ​​os også at tage ansvar. Først og fremmest skal du beskytte den enhed, uanset om det er ved at opdatere operativsystemet og erstatte standardadgangskoden. I øvrigt er staten Californien en ny lov på plads, som vil blive anvendt i januar 2020. At hvis du rent faktisk sælger eller markedsfører en internet-of thing-enhed i staten Californien, skal du sørge for, at det kommer ikke til at have en standardkombination af brugernavn og adgangskode. Så du kan ikke have enheder, der har adgangskoden til, du ved, en, to, tre, fire eller sådan noget, som vi har set i de sidste par år. Så det er noget, der ændrer sig i staten Californien. Forhåbentlig vil flere stater følge trop. Men det bringer det tilbage til det personlige ansvar, vi har som forbrugere. Og vi har også et ansvar og potentielt en kilde til løftestang som virksomhedsejere. Når vi køber teknologi, når vi køber teknologi fra en udbyder, fra en leverandør, der sælger den til os, kan vi faktisk sige, Hej, hvad er dine sikkerhedsprotokoller? Hvad er din metode til at opdatere operativsystem eller firmware til denne enhed? Hvordan kan du verificere, at det ikke bare kommer til at have den simple en, to, tre, fire type adgangskoder? Hvordan kan jeg ændre mine adgangskoder? Og jeg tror på, at efterhånden som flere mennesker efterspørger bedre af de leverandører, der skaber disse teknologier og sælger disse produkter, vil vi faktisk få et mere sikkert økosystem.

Elizabeth: Så det er virkelig, jeg gætter på, at du med rette kalder bottom-up-tilgange. Så byrden ligger hos den person, der køber enheden, den tilsluttede enhed eller på virksomhedens sikkerhedsteam. Du nævnte staten Californien, men er dette generelt noget, som vi burde antage, ikke vil blive hjulpet af regeringsstøtte eller regeringsregulering?

Fedt nok: Faktisk gør regeringer meget mere, end de plejede. Især i USA vil vi se flere regulatoriske tilgange, der vil være en smule mere aggressive i deres krav fra virksomheder og virksomhedsledere om at være mere vidende om cybersikkerhed, at have et medlem af bestyrelsen for en organisation, der har viden og baggrunde inden for cybersikkerhed. Vi har allerede set sager, hvor for eksempel i sagen, jeg tror, ​​FTC mod Uber. Som du måske har hørt, har Uber haft flere databrud i de sidste par år. Og da sagen er blevet bragt til Federal Trade Commission, har FTC faktisk set meget nøje på niveauet for sikkerhedskontrol, som Uber anvender. Og de beskæftiger sig faktisk med folk, der er vidende, som arbejder for disse forbrugerregulatorer, der vil stille meget detaljerede spørgsmål på teknisk niveau, og de vil forvente, at virksomheder har rimelige sikkerhedskontroller. Hvad betyder rimelig sikkerhedskontrol?

Det betyder ting, der er bedste praksis, ting, der anses for at være noget, som enhver anden virksomhed af den størrelse eller inden for den slags budget ville gøre. Og en form for rimelig kontrol, som regulatorer begynder at lede efter, er faktisk, om en virksomhed har nogen kommunikationsmidler med de venlige hackere, der er derude og forsøger at rapportere sårbarheder? Så har virksomheden et bug bounty-program? Har de en klar sikkerheds- eller sårbarhedspolitik? Gør de det kendt for folk, at der er en måde at rapportere sårbarheder til dem på? Og det er noget, vi faktisk ser, at flere og flere regulatorer begynder at tale om. Jeg er meget heldig i denne forstand, fordi jeg tilfældigvis har en søster, der er advokat og nu specialiserer sig i cybersikkerhedspolitik i USA. Og sammen med hende har jeg lært så meget om, hvordan amerikanske regulatorer faktisk begynder at presse på for meget mere, når det kommer til sikkerhedskontrol fra amerikanske virksomheders side.

Elizabeth: Nå, det er fantastisk. Så lad os tale lidt mere om andre former for trusler. Så hvad med ransomware? Vi har talt om ransomware i denne podcast. Ser du det som en reel og voksende trussel?

Fedt nok: Så det er vigtigt at forstå om ransomware, at det var super trendy i 2017 og 2018. Men kriminelle udvikler sig altid, og de kommer ikke til at gøre det samme. Så det, som du ved, var meget værdifuldt og rentabelt for kriminelle at lancere i de sidste par år, er ikke længere så rentabelt, fordi flere og flere organisationer er blevet kloge, og de kommer ikke til at betale løsesummen. De vil vende tilbage til en sikkerhedskopi, eller de vil finde en alternativ måde at omgå den ransomware-kryptering. Det, der er sket, er, at kriminelle rent faktisk har fundet ud af en meget mere lukrativ tilgang. Og dette er noget, der kaldes crypto jacking, også kendt nogle gange som crypto mining. Og hvad crypto jacking gør, er dybest set, når den kriminelle har mulighed for at starte enhver form for ondsindet kode på dit system, det kan være din personlige computer, det kan være dine webservere eller dine cloud-servere. Det, de vil gøre, er, at i stedet for at kryptere dataene og anmode om en løsesum, kommer de faktisk til at køre et tavst program, der vil søge efter kryptovalutaer. En meget populær fidus. Din computer, der bruger, bruger du nøjagtigt din computer ved at bruge din computerkraft. Så for nogle com-virksomheder, når dette sker på deres cloud-servere, når dette sker på deres AWS-infrastruktur, for eksempel, kan dette faktisk stige dusinvis af tusindvis af dollars i omkostninger til computerkraft. Og de kriminelle går derfra med millioner af dollars i kryptovalutaer. Og den meget populære kryptovaluta, der er blevet udvundet på denne måde, hedder Monero. Og der har faktisk været så mange kampagner, der skaber meget undvigende malware, der kommer til at minde for den Monero. Faktisk havde selv wi-fi-netværkene i Starbucks afdelinger i hele Argentina denne Monero-mine-malware på sig. Så når folk loggede på Wi-Fi, åbnede de deres bærbare computer for at logge på Starbucks Wi-Fi.

Faktisk kørte denne minesoftware på deres computere i fem eller 10 sekunder ad gangen, hvilket skabte en masse indtægter i form af kryptovaluta for de kriminelle. Og det er derfor, jeg siger, Elizabeth, det er virkelig vigtigt at lære af, hvad hackerne gør. Det er virkelig vigtigt at se på, hvad kriminelle laver, fordi de hele tiden udvikler sig. Og det er her, jeg bruger meget af min tid på at studere og se på disse nye teknikker, disse nye trends, den måde, som kriminelle hæver deres spil på, fordi de virkelig finder på i de helt nye forretningsmodeller for at tage vores digitale aktiver og omdanne dem til penge meget hurtigt. Og de laver noget nyt hele tiden.

Elizabeth: Så hvordan ville du vide, om dit net, hvad leder du efter for at afgøre, om dit netværk er eller ikke er sårbart over for denne form for crypto jacking eller crypto mining? Jeg mener, det lyder så forfærdeligt.

Fedt nok: Ja. Ja. Det er det. Det er forfærdeligt. Det er et godt spørgsmål. Så en måde, du vil bemærke, at du har crypto jacking malware på dine systemer, er selvfølgelig, hvis du har en meget høj Amazon Web Services-regning i slutningen af ​​måneden, som er meget højere, end du forventede, eller hvis du Når du ser på dit energiforbrug, og du ser, at dine servere pludselig kører med meget højere CPU-hastigheder, arbejder dine processorer faktisk meget hårdere. Du kan også bemærke, at din maskine bliver varm. Den kører bliver varmere, fordi en CPU arbejder hårdere. Og du kan bemærke dette selv som individ, hvis du er, du ved, din forbindelse ser ud til at være ekstremt langsom. Du åbner din webbrowser for bestemte websteder, og det tager dem rigtig lang tid at indlæse. Det kan betyde, at du muligvis har denne type cryptomining eller cryptojacking malware på dit system. Det er vigtigt at bemærke, at det meste af tiden er disse typer angreb nu rettet mod disse cloud-forekomster. Så de passer ikke længere på folks individuelle computere, bare fordi de egentlig ikke nødvendigvis har den computerkraft, de ønsker. Men spillere, der har kraftfulde computere, normalt med GPU som med kraftige grafiske behandlingsenheder, kan være mere modtagelige for disse typer af crypto mining malware.

Elizabeth: Er AWS og andre cloud-udbydere ikke, vil de ikke søge efter dette i stedet for blot at sende en høj regning videre til deres kunder? Jeg ville tro, de ville lave noget, du kender, de kunne helt sikkert have en AI til at se på eventuelle spidser eller usædvanlig adfærd i brugen, ville jeg tro.

Fedt nok: Så det er meget, det er meget...Jeg er enig med dig i, at det ville være intuitivt for os at forvente, at cloud-platformsudbyderne gør mere og holder øje med disse trusler. Men virkeligheden er, at i mange tilfælde er den måde, de kriminelle kommer ind på folks systemer, fordi de har en let usikret, let tilgængelig, dårligt konfigureret cloud-instans. Så mange gange vil cloud-virksomheden sige, at det er dit problem, fordi du lod døren stå åben. Du har ikke konfigureret dine cloud-servere til at være sikre. Du har ikke angivet en adgangskode, eller du bruger standardadgangskoden, eller du brugte nogle meget velkendte. Du havde nogle meget velkendte sårbarheder på dine cloud-servere. Så det er virkelig ikke deres problem. Det er din. Og dette, tror jeg, bringer os hjem til et stort problem, som mange mennesker nu har med at forbruge teknologi. Vi forstår virkelig ikke, hvor meget ansvar der stadig ligger hos forbrugerne. Og der er mange forventninger til teknologiudbyderen, uanset om det er en cloud-tjeneste eller en internet of things-enhed eller et styresystem. Vi har mange forventninger til, at den virksomhed, der sælger os et produkt, faktisk ville gøre meget mere, når det kommer til sikkerhed.

Men virkeligheden er, at deres forretningsmodel i mange tilfælde er baseret på, at kunden tager mere af det ansvar på deres skuldre. Og det er vi ikke nødvendigvis klar over. Nu vil jeg ikke bare, du ved, navngive og skamme virksomheder. Der er helt sikkert cloud-udbydere derude, der gør mere. Jeg ved, at Amazon og AWS har et stort team dedikeret til at se sikkerhedstrusler på deres platform i øjeblikket. De er tilfældigvis den, der er mest populær blandt kriminelle, fordi det er den mest kraftfulde cloud-platform. Så vi skal virkelig fortsætte hele tiden. Og dette katte-og-mus-spil og det øjeblik, hvor Amazon-folket vil finde en måde at stoppe disse crypto-jacking-malware fra kampagner, fra at sprede en ny type angreb, vil opstå.

Elizabeth: Så det er et godt sted for os at henvende os til mit næste og sidste spørgsmål, hvad er det næste? Og jeg er ikke sikker på, hvem der er katten, og hvem er musen? Men hvor skal katten hen nu? Og hvor skal ledere, der er bekymrede over cybersikkerhed, tænke på truslens fremtid?

Fedt nok: Det er virkelig ikke klart, hvem der er katten, og hvem der er musen her. Du har helt ret. Men når det kommer til det, tænker jeg på, hvad jeg tænker på, når jeg tænker på det næste, jeg tænker på mennesker og tænker på menneskeligt talent. Jeg tænker på de mennesker, der vil være disse sikkerhedsprofessionelle, de venlige hackere, fremtidens virksomhedsledere. Og hvordan kan vi få disse mennesker til at være lige så vidende, så innovative, så kreative som nogle af de dårlige mennesker derude? For jeg gætter på, at så længe folk skriver kode, vil vi have sårbarheder, så længe folk bruger teknologi. Der vil være ondsindede individer og organisationer, der ønsker at bruge denne teknologi til dårlige gevinster eller til manipulation. Og vi får brug for flere mennesker end nogensinde før. Så det er mit synspunkt, at det venlige hackerfællesskab kan hjælpe. Men det er også rigtig vigtigt at investere i cybersikkerhed, uddannelse og bevidsthed, og det er derfor, jeg løber. Udover Tel Aviv er det Israels største hacker-fællesskab og sikkerhedsforskningsfællesskab-begivenhed. Det er grunden til, at et Tel Aviv Universitet er vært for noget, der hedder Tel Aviv Cyber ​​Week, som giver viden og information til mere end 8.000 mennesker hver sommer. Det er derfor, når jeg rejser, når jeg har fritid, jeg bruger min tid på at gå til hackerbegivenheder, og uanset om det er et community meetup eller en teknologikonference, fordi vi virkelig skal være opmærksomme på den type forskning og viden, der nu bliver til. genereret af venlige hackere, så vi faktisk kan få flere mennesker derude bevæbnet med information og viden. De skal udvikle en bedre og sikrere fremtid for os alle. Et område, som mange mennesker tænker på, er området AI.

Og det er noget, som du ved, virkelig er afgørende for at forstå, at vi faktisk kan være i et våbenkapløb, når det kommer til AI-teknologier og specifikt AI til cybersikkerhed, både på den offensive og defensive side. Men hvor våbenkapløbet faktisk bliver en realitet, er i kapløbet om at rekruttere talentet, de mennesker, der faktisk kan skabe den næste generation et system. Og det er et område, hvor jeg i øjeblikket mener, at USA har en fordel. Og hvis du gerne vil beholde den fordel, skal du fortsætte med at investere i den slags knowhow og den slags talent og opbygge de outsidere hackere, som faktisk kan være fremtidens forsvarere.

Elizabeth: Så Keren, hvor kan folk få mere information, hvis de vil lære mere om nogle af de ting, du har talt om i dag?

Fedt nok: Så jeg er meget nem at finde på nettet. Mit navn er Keren Elazari. Men i hackerverdenen er jeg kendt som Keren E. Alle E'erne er stavet med tre. Så du kan enten gå til min hjemmeside, K3R3N3.com. Du kan finde mig på LinkedIn. Du kan se min TED-tale på Ted.com: 'Hackere er internettets immunsystem'. Der er en række indhold, som jeg har lagt ud på YouTube. Og du er meget velkommen til at tjekke Tel Aviv Cyber ​​Week ud. Og BSides Tel Aviv, BSidestlv.com er det websted, du vil besøge, hvis du vil komme og opleve hackerfællesskabet, som vi har her i det smukke solrige Tel Aviv.

Elizabeth: Vidunderlig. Nå, mange tak, fordi du sluttede dig til os her på Business Lab.

Fedt nok: Tak, Elizabeth.

Elizabeth: Det var det for denne episode af Business Lab. Jeg er din vært, Elizabeth Bramson-Boudreau. Jeg er administrerende direktør og udgiver af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology. Og du kan finde os på tryk på nettet, ved snesevis af livebegivenheder hvert år og nu i lydform. For mere information om os og showet, tjek venligst vores hjemmeside på technologyreview.com. Dette show er tilgængeligt overalt, hvor du får dine podcasts.

Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os på Apple Podcasts. Business Lab er en produktion af MIT Technology Review.

Vores seniorredaktør er Mindy Blodgett. Denne episode blev produceret af Collective Next med redaktionel hjælp fra Emily Townsend. Særlig tak til vores gæst, Keren Elazari.

Tak for at lytte. Vi vender snart tilbage med vores næste afsnit.

skjule