211service.com
Udviklingen af cybersikkerhed: Veracodes Chris Wysopal
Siden fremkomsten af internettet og efter utallige, massive brud, fortsætter det globale samfund med at kæmpe med cybersikkerhed og behandle det som en eftertanke.
27. juni 2019
Efterhånden som internettet tog fat, og hacks, databrud og andre cybertrusler blev rutine — organisationer og regeringer har kæmpet tilbage gennem den konstante udvikling af cybersikkerhedsteknologier og -strategier. Men succes med at levere ægte cybersikkerhed har været uhåndgribelig. Kan vi lære af nogle af de fejl, der er begået undervejs?
Chris Wysopal, CTO og medstifter af Veracode, har været involveret i cyberforsvar siden begyndelsen. Faktisk har han som sårbarhedsforsker ved den banebrydende hacker-tænketank L0pht arbejdet i årtier for at efterspørge sikre teknologier fra indflydelsesrige teknologivirksomheder.
I denne episode deler Wysopal sit arbejde i de tidlige år med cybersikkerhed og fortæller historier som da han vidnede foran 1998-senatet om computersikkerhed. På det tidspunkt argumenterede han for vedtagelsen af regler for store virksomheder som Microsoft for at håndhæve ansvarlighed og udvikling af gennemtænkt, sikrere kode, der beskytter forbrugernes privatliv. Disse indledende bekymringer er kun vokset, da der stadig er ringe beskyttelse mod kode og firmware, der tillader brud. Hvor går vi hen herfra? Wysopal deler en vis visdom og nogle advarsler.
Business Lab er vært for Elizabeth Bramson-Boudreau, administrerende direktør og udgiver af MIT Technology Review. Showet er produceret af Katherine Gorman, med redaktionel hjælp fra Emily Townsend. Musik af Merlean, fra Epidemic Sound.
Fra MIT Technology Review. Jeg er Elizabeth Bramson-Boudreau. Og dette er Business Lab: Showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet. I dag vil vi fokusere på historien og udviklingen af cybersikkerhed, og hvordan disse tidlige tilgange giver genlyd i dag. Med andre ord, har svaret på de allertidligste cybertrusler formet, hvordan vi ser på sikkerhed i dag?
Elizabeth Bramson-Boudreau : Og er der nogen lære for den måde, vi praktiserer vores digitale sikkerhed på nu? Dette er den anden i vores serie om cybersikkerhed, hvor vi udforsker alt fra det seneste om hackingangreb til, hvad organisationer kan gøre for bedre at beskytte deres folk og deres data. Vores gæst i dag er Chris Wysopal, CTO og medstifter af Veracode. Han har været aktiv siden begyndelsen i den igangværende kamp for digital sikkerhed. Jeg er her sammen med Chris Wysopal, som er medstifter og teknologichef for Veracode, et internet-cybersikkerhedsfirma. Chris har, før Veracode, en ret lang historie inden for cybersikkerhed, og jeg tror, vi starter der. Kan du fortælle os, Chris, om din cybersikkerhedshistorie?
Chris Wysopal : Ja helt sikkert. Jeg startede med cybersikkerhed sandsynligvis som i slutningen af 80'erne på opslagstavlesystemer før internettet, og det havde denne form for underjordisk appel, ligesom alternative medier, ligesom 'zine-verdenen, hvor man kommunikerede en-til-en med dette alternativ. plads. Nogle af filerne på disse systemer talte om at hacke telefonsystemet, og det var den slags information, du ikke kunne få andre steder. Jeg var universitetsstuderende på det tidspunkt. Det var lidt spændende, og jeg tror, det satte mig på en rejse med at prøve at udforske information omkring computere og netværk, som jeg gjorde gennem 90'erne.
Elizabeth : Så hvordan har du set landskabet udvikle sig ... du har haft en ret lang karriere i dette, og så du har virkelig set det landskab ændre sig, jeg ville tro i løbet af de 20, 30 år. Hvad har du set — hvordan vil du karakterisere de ændringer, du har observeret?
Chris : Ja, så i begyndelsen af 90'erne var jeg softwareingeniør. Jeg arbejdede faktisk hos Lotus lige her i Cambridge, og vi fik forbindelse til internettet. Og jeg sådan set — vi begyndte at tænke på, hvad nu hvis vi har haft vores software kørende på internettet, så folk via internettet kunne oprette forbindelse til vores software? Og den slags åbnede mit sind for ideen om, at wow, det lyder som om, der vil være alle disse sikkerhedsproblemer.
Elizabeth : På det tidspunkt. Hvad fik dig til at se, at adgangen til internettet uvægerligt ville føre begge veje, begge retninger?
Chris: Så jeg begyndte at arbejde på software, der var forbundet til internettet, og det begyndte at blive et svært problem at gøre det sikkert, så folk ikke bare kunne få adgang til de data, der lå bag din software, er faktisk svært at bygge software, der var sikker . Det var næsten, som om vi ikke vidste hvordan. Det åbnede virkelig mine øjne, at efterhånden som flere og flere ting blev forbundet til internettet, ville det blive virkelig problematisk.
Elizabeth: Og så, hvad er det største problem, du ser nu? Så da du ved, at du var der helt i begyndelsen, så du en masse ting dukke op. Din egen historie var, at du brugte en periode som hacker. Hvad ser du i dag, der holder dig vågen om natten, som du synes er de største ting, som ikke kun du kender folk, der lytter til denne podcast, men måske vores lovgivere og vores og vores ledere burde tænke på?
Chris : Du ved, at det, der skræmmer mig, er, at folk bygger systemer, software, IoT, og at de ikke rigtig tænker på sikkerhed fra begyndelsen, enten tænker de slet ikke over det, som om de er ligeglade, eller også tænk over det til allersidst, og de gør det absolutte minimum, og de ender med, at du ved, at du sætter et produkt derude, som i sagens natur vil blive brudt. Det er i sagens natur problemerne vil blive fundet i det. Og jeg tror bare, at vi hele tiden udsender en strøm af teknologi, der er fundamentalt brudt ud fra et sikkerhedssynspunkt. Og vi rydder hele tiden op.
Elizabeth: Så taler du om software? Du taler om IoT-aktiverede enheder? Du taler om alle disse ting? Og hvorfor er folk, der skaber disse ting, ikke bekymrede for deres sikkerhed?
Chris: Ja. Det var noget, vi talte om, da jeg vidnede for Senatet i 1998, som var den første computer — høre om regeringens computersikkerhed og nogle af de ting, vi talte om, var, at leverandørerne ikke ved, hvad de skal gøre. Sælgerne er ligeglade med det, fordi deres kunder ikke beder om det. Sælgerne er ikke ansvarlige. De licenserer softwaren. Hvis noget går galt, har de fraskrevet sig ethvert ansvar. Vi havde et marked, hvor folk var i stand til at lægge ting derude uden ulemper fra problemer, der faldt fra deres manglende evne til at sikre. En af de største spillere på det tidspunkt var Microsoft. Og Microsoft sendte al denne software, og den havde masser af sårbarheder. Og enhver, der løber — alle virksomheder, der kører softwaren, fik — de var ved at blive brudt ind, og det var bare en slags status quo, ligesom Microsofts partilinje var du ved Nej, vi bygger sikker software' og vores partilinje var nej, det gør du ikke. Vi vil vise dig sårbarhederne i softwaren. Og der var en periode, hvor man var nødt til at øge opmærksomheden og næsten skamme disse virksomheder til at bygge bedre ting, som de ville sælge.
Elizabeth: Så tror du, at Microsoft på det tidspunkt virkelig forstod, at de byggede produkter, der ikke var sikre, eller tror du, da de sagde, at vores produkter var gode nok, at de var uoprettelige?
Chris : Jeg tror ikke, de forstod, hvad de byggede. Jeg tror, du ved, at virksomhedens PR-linje er, at vi bygger sikker software. Det er vores holdning. Så de var i stand til at bygge lignende sikkerhedsfunktioner som autentificering og kryptografi. Faktisk gjorde de det ret dårligt, men de forstod ikke sårbarheder. De forstod ikke, at fejl i koden kunne udnyttes af angribere til at få fat i dataene bag applikationen, køre deres egne kommandoer på softwaren. Og det var her hackere kom ind og viste leverandørerne, hvad der var muligt, hvis du var den onde fyr. Og det er, når du siger, du ved, du er en hacker. Det er sådan, jeg ser min rolle, og den rolle, vi havde oppe på L0pht, hackergruppen, jeg var en del af, offentliggjorde, at leverandørerne ikke vidste, hvad de lavede, og de er nødt til at begynde at bygge software anderledes.
Elizabeth : Dette er godt. Lad os sætte dette lidt ind i kontekst for folk, der lytter til dette. Så du vidnede foran Kongressen i 1998, og på det tidspunkt kan du male billedet for mig lidt om, hvad årsagerne var til, at du gjorde, og i dine mål — hvad du forsøgte at opnå på det tidspunkt. Og så vil jeg vende tilbage og bede dig om at knytte det til, hvor vi er nu, hvor vi for nylig har set folk foran Kongressen — Mark Zuckerberg ganske bemærkelsesværdigt. Og hvad du er, ved du hvilke forbindelser og hvilke oplevelser du har, når du ser den slags ting ske, ved du alle disse år senere.
Du ved, at vi vidnede i 1998, men de få år, der løb op, begyndte vi at lave det, vi kalder sårbarhedsforskning. Vi ville tage et populært produkt som Internet Explorer, og vi ville sætte det op i et laboratorium, og vi ville reverse engineering af det. Vi ville prøve at finde ud af, hvor problemerne var, og vi ville finde ud af måder at kompromittere det på. Jeg mener nu, vi tænker på det, som du ved noget, som alle ved om, du klikker på et link, og din computer kører en andens soft — under en andens kontrol. Jeg tror, at alle kender risikoen nu nogle gange, hvis du klikker på et link, og det er ondsindet, kan det føre til, at en anden, du kender, kontrollerer din computer. Det er præcis den slags sårbarheder, vi undersøgte i '96, '97 og forsøgte at få folk til at være opmærksomme på. Og vi begyndte at gøre dette med blot et mål om forskning og udforskning. Men efter et stykke tid indså vi, at forbrugerne ikke ved, at dette er et problem. Sælgerne ved det ikke, men forbrugerne ved det heller ikke. Og så begyndte vi at påtage os en forbrugeradvokatrolle, hvor vi ville forsøge at offentliggøre, at usikker software vil føre til, at din computer bliver kompromitteret.
Og vi fik noget presse for det, og det fik os på radaren i Senatet, da de begyndte at tackle dette spørgsmål. I '98 var det den første rapport fra Government Accountability Office, der så på sikkerheden for alle de forskellige føderale agenturer, og det blev gjort for allerførste gang. Så komitéen for regeringsanliggender, senator Thompson, som var formand på det tidspunkt, ønskede at have en høring for at tale om resultaterne, og hvor dårligt regeringen gjorde det, sandsynligvis fordi de kører en masse Microsoft-software på det tidspunkt, men meget af andre sælger ting også. Jeg ved ikke, hvem der puttede fejlen i deres øre, men de ønskede at have mere end regeringens synspunkt, de ville have et eksternt synspunkt på dette. Og vi endte med at blive aflyttet, som du ved, en slags ekspertvidnesbyrd som dette er en slags outsidersyn, hackere har det store, du kender outsidersyn til problemer, som du ikke ved er motiveret af den normale regering eller kommerciel.
Elizabeth: Og så bygge bro mellem den oplevelse og for nylig som Mark Zuckerberg. Er du overrasket over hvordan — For det første virker det anderledes for dig alle disse år senere, hvad du så, da han talte om Facebook? Eller virker det chokerende bekendt? Ved du, hvilke sammenligninger er de forskelle, du vil dele med os?
Chris: Facebook har haft en masse forskellige problemer, nogle, mange af dem af deres egen skabelse, som bare med den måde, de håndterer privatlivets fred og deres forretningsmodel. Nogle af problemerne skyldes, at du ved, at det er udfordrende at sikre så stor og kompleks software, og at de har haft brud, ikke? Det er både sikkerhed og privatliv, når du tænker over det. Forskellen i dag er, at risiciene bare er så meget højere, fordi der er så meget mere afhængighed af systemer som Facebook. Tænk bare på mængden af personlige oplysninger, der er på Facebook, og som kunne bruges mod folk, som helt klart ville være det — folk vil ikke have afsløret. Og du ved til en vis grad bliver brugt imod du kender hele vores system af demokrati. Ret? Og mod samfundet og ikke kun mod individer. Så indsatsen ser ud til at være så meget højere nu end tilbage i '98, da vi bare prøvede at skabe opmærksomhed og sagde, som om vi ser, at dette er et problem, der vil blive værre. Og så ser jeg tilbage og siger, at du ved, at meget grundlæggende ikke har ændret sig. Grundlæggende er der stadig intet ansvar for software. Du ved, at hvis Facebook bliver brudt, er det ligesom, oh godt du ved, at det er svært at bygge sikker software, og det ser ud til, at alle, der bygger software, får et pass, når de bliver brudt. Så det har grundlæggende ikke ændret sig. Men jeg tror, at det, der har ændret sig, er, at virkningen af disse brud har på samfundet. Det præger bare hele vores liv.
Elizabeth: Tror du, at lovgivere, regulatorer, der skaber nye love for at implementere bedre cybersikkerhed, er svaret? Og hvis ja, er der særlige tiltag, som du er mest interesseret i at se implementeret.
Chris: Ja, så jeg kan godt lide at se på analogier i andre forretninger — andre industrier, som regeringen har reguleret, f.eks. ting som du ved, at mad er reguleret med ingrediensmærker og renlighed og sådan noget. Sikkerhed er reguleret mange steder: biler, fly, alle former for transport, arbejdspladsen og endda forbrugerprodukter. Jeg kan godt lide at se på disse analogier og sige, at du ved. Hvordan fik det os, hvordan får vi fordelen uden at kvæle disse industrier? Jeg mener selvfølgelig, at sikkerhed i biler har været en stor succeshistorie. Ret? Som om vi er så meget sikrere at køre nu. Og det ved du, at det ikke gør — bilindustrien ser ud til at klare sig fint. Så hvordan kan vi have regulering, der kan forbedre sikkerheden, som er ret tæt på sikkerhed, især når vi begynder at tale om IoT og enheder, der styres af computere. Hvordan kan vi, hvordan kan vi gøre det på en sådan måde, at vi ikke kvæler disse industrier? Vi er nødt til at træde meget varsomt, men jeg tror, at det at se på nogle af nogle af de ting, der har fungeret, som du ved for fødevarer, som f.eks. ingrediensetiketter, har virket. Så bare gennemsigtighed om, hvad der er derinde, og lad forbrugeren bestemme. Ligesom selvfølgelig, hvis noget viser sig at forårsage kræft, fjerner vi det fra markedet.
Men andre ting er bare dybest set, at du ved, at det er risikobaseret, baseret på, at du kender dit helbred. Så vi kan tænke på gennemsigtighed i, hvad der gik ind i softwaren, blev det behandlet i en facilitet, der lavede nødder, ved du? Så hvad er det. Hvordan skabes det? Og hvad er ingredienserne, som hvilke dele af open source der er derinde, hvilken kryptografi bruger den? Jeg synes, ingrediensmærker og gennemsigtighed er en god måde at starte med det på. Men den anden ting, som jeg tror, der skal ske, er, når du kender brud, der er store, behandle dem, som du kender, som en transportulykke, og prøv at finde frem til årsagen til, hvad der sker. Det ser vi altid ud til at gøre med transport, og mange gange, når det er et brud, siger vi ligesom, jamen, det er, hvor mange plader, der blev kompromitteret. Vi vil købe alle, du kender, kreditrapportering eller kreditovervågning, og vi vil forsøge, at det ikke sker igen. Men du ved, at vi ikke rigtig ved, hvad der skete. Jeg tror, at 10 procent af tiden ved, at nyhederne kommer ud, og som regel er det, fordi angribergruppen fremsætter påstande.
Elizabeth: Ret. Jeg mener, det er så interessant, hvad du siger, fordi denne form for postmortem-analyse af, hvad der skete, ved du helt sikkert, at du kan se på flyulykker, og de lægger hver enkelt brik ud på det, du kender, på et lager, og de tager et kig på absolut. alt, og de prøver virkelig at finde ud af præcis, hvad den sorte boks fortæller dem osv. Og der er et par forskellige — Jeg mener, og så taler du om ting som en fødevaresikkerhedsulykke, du ved, at du har en situation, hvor romainesalat går dårligt, glem det - du finder aldrig romainesalat, før du ved, at krisen er forbi. Og jeg tror, der er en vis fordel ved den slags tilgang.
Men jeg tror, at udfordringerne og jeg er interesseret i dit synspunkt er, at de er det — der er noget, der i sagens natur er nemmere for folk at forstå om, hvad der gik ind i at lave den salat og tilberedt til forvasket salat, eller hvad er de forskellige stykker på flyet, der interagerer med hinanden? Og på en eller anden måde, når det kommer til softwaresårbarheder, og du kender et stort brud på netværkssikkerheden, er det måske fraværet af viden og reel indsigt i, hvad alle ingredienserne er. Men for nogle få mennesker vil jeg tro, at alle ingredienserne, der er lagt derude, kan give mening.
Chris: Men du har eksperter, der er lagt oven på disse grundlæggende ting, som om der er ernæringseksperter, der er læger, og så kan de give råd baseret på disse grundlæggende ting. Og jeg vil hævde, at enhver form for flyulykke er en meget kompliceret fejl, der gik ind i det, som hvis du ser på den seneste med Ethiopia og Lion Air, er det en ret kompliceret kæde af software, træning, du kender måske noget. dårligt design, at det der går ind i det. Det er aldrig en simpel ting som at en sensor fejlede, hvilket fik noget software til at fejle, og så var der en træningsfejl. Det er normalt som to eller tre ting kombineret. Og så tror jeg, at det faktisk ligner det, vi ser i cyberverdenen.
Elizabeth: Jeg mener, at jeg måske tænker mere på lovgiverne. Jeg mener, jeg kan ikke lade være med at gentage i mit sind mange gange spørgsmålene til Mark Zuckerberg handler om Nå, hvordan tjener man penge?' Og som virkelig at forråde en uvidenhed i Kongressen om den måde, som erhvervslivet og sandsynligvis en hel masse andre foruden kører på moderne internet, hvilket får mig til at finde det lidt svært at forestille sig, at vi kunne få vores vej til en regulerende myndighed — hvad end det betyder - det kunne have en reel evne til at skille tingene ad. jeg håber at — Jeg mener også, at det er en interessant og overbevisende ting at køre hen imod, men jeg spekulerer også på, hvad dit synspunkt er, især siden du engagerede Microsoft dengang, omkring magten i disse massive internetvirksomheder og den måde, de vil reagere på nogle slags lignende typer støj fra lovgivere. Jeg tror, at flyselskaber er i en anden situation, og fødevareselskaber er i en anden situation. Hvordan tror du, at Facebook eller Instagram eller Twitter eller Google eller hvem som helst ville reagere eller have reageret hidtil på den slags ideer?
Chris: Mange af de virksomheder, som bare tag Microsoft, de reagerede i 2000...Jeg tror faktisk var 2002, Bill Gates kom ud og sagde, at vi vil vide noget om at stoppe udviklingen, og alle vil blive trænet, og de kaldte det nu betroet computing. Og de satte sig selv på vej til at bygge sikker software, og så sandsynligvis 10 år efter det, gør de faktisk et rigtig godt stykke arbejde. Ret? Og jeg tror, en del af det var at beskytte deres brand, de var nødt til at gøre dette. Jeg ser meget på det her, og det er virksomheder, der gør dette for at beskytte deres brand. Synes godt om, hvis du vil se på cloud-udbyderne som Amazon og AWS. de er meget stærke på sikkerhed, fordi de skal have et stærkt brand omkring sikkerhed, ellers vil ingen bruge deres tjeneste. Så det er, hvis der er overensstemmelse mellem virksomhedens brand og det, de leverer sikkert, tror jeg, det kan fungere. Men jeg tror, at problemet med Facebook er, at jeg ikke tror, at tilpasning er nødvendig, nødvendigvis dér, på grund af den måde, folk opgiver deres oplysninger på. Tilpasningen er der ikke altid. Og hvis vi ser på, som om du ved billigt, kender du IoT-producenter, der har navne, som vi aldrig rigtig har hørt om, der kommer ud af Kina, er der overhovedet ingen mærketilpasning, og de er overhovedet ligeglade. Det er der, jeg tror, problemet er større, det er måske ikke med de større spillere, men det er ligesom de næste tusinde spillere, der bare bliver ved med at have en sårbarhed et eller andet sted, så alles netværk altid er kompromitterende. Du ved, ligesom hvis du ser på en hvilken som helst form for system, er det jo længere, jo længere du kommer væk fra topspillerne, og mærkenavnet, der er problemet, ligesom WordPress er faktisk ret godt. Men du kan sætte et plug-in fra en ukendt afspiller ind på din WordPress blogside, og det er nu kompromiset. Det er der, jeg mener, at reguleringen eller gennemsigtigheden skal fokusere på at løfte bunden og ikke gøre topspillerne stærkere.
Elizabeth: Jeg vil gerne flytte nu for at vide, hvad der sker i dag, og nogle af de innovationer, der er — udviklet til større sikkerhed. Vi lever nu i en verden med to-faktor autentificering omkring vores adgangskoder. Hvor længe tror du, at det i særdeleshed vil være standarden, og hvilke andre faktorer såsom biometri og andre ting tror du, vi vil bevæge os hen imod, hvis nogen?
Chris: Så jeg tror, at to-faktor er en af de største innovationer, især du ved, hvor du kan bruge din mobile enhed som den anden faktor, fordi du ved, at det er næsten lige så nemt at bruge som et kodeord, og det er næsten nemt at oprette som et kodeord. Jeg tror, at vi kommer til at se to-faktor vare meget længe. Biometri, du ved, det er fint, for du kender en hardwareenhed, noget du ved er din dørlås eller din telefon. Det begynder at blive mere problematisk, når disse biometriske data skal deles bredt over mange systemer, og holde det sikkert. Som hvis du tænker på biometrien på din telefon, forlader det tommelfingeraftryk aldrig den sikre chip på din telefon, ikke? Det er en af de ting, der får det til at virke. Når folk begynder at tale om biometri, kender du ved pengeautomaten, eller du kender andre steder, der er på et bredt netværk. Så begynder jeg at bekymre mig om, at det ikke rigtig hjælper. Og så er der en reel risiko der, for nu er dit tommelfingeraftryk — du ved, du kan ændre din adgangskode, men du kan ikke ændre din tommelfinger eller i det mindste ikke let. Jeg er ikke så sikker på biometri.
Elizabeth: Og hvad med cybersikkerhedsproblemer i maskinlæringsapplikationer? Vi taler meget om maskinlæring, og mange af de mennesker, der lytter til denne podcast, bruger maskinlæringsløsninger til at analysere store datasæt. Hvad er nogle af de bekymringer, de bør huske på?
Chris: Maskinlæring kan helt sikkert bruges til at løse nogle cybersikkerhedsproblemer. Jeg tror, det kommer ind på et udfordrende område, når du forsøger at adskille normal adfærd fra ondsindet adfærd, fordi de bare er så tæt matchede. Jeg mener, der er ekstreme tilfælde, hvor du ved, at du altid logger ind fra Massachusetts, og så lige pludselig logger du ind fra Kina for første gang, og vi er faktisk gode til den slags ting. Det er en slags anti-bedrageri, som kreditkortselskaber bruger. Og så den slags ekstreme anomalier - det er fint. Men det bliver sværere, når du forsøger at forstå, at du ved, er en brugers adfærd på et netværk faktisk den slags ondsindet adfærd versus du kender den normale menneskelige adfærd? Som om nogen måske får adgang til et regneark for første gang, fordi de lige har fået besked på at gøre noget. Vil du blokere denne aktivitet? Vil du have, at nogen fysisk følger op på den aktivitet? At det kunne føre til en masse falske positiver. Så når det kommer til menneskelig adfærd, der bare på en måde beskytter dig ved din pc eller dit netværk, synes jeg, det er en udfordring, og vi er ikke helt der endnu.
Elizabeth: Og for folk, der er ledere, der driver virksomheder, der har brug for at tænke på deres sikkerhed, hvor bekymrede skal de så være? Og jeg undrer mig ofte over, at du ved, om der er tale om et terrorangreb, som statistisk set er ret usandsynligt? Eller er det mere som truslen om en trafikulykke på vej til arbejde? Hvor skal jeg fokusere mine bekymringer? Og du ved, at antallet af virksomheder, der ville elske at fortælle mig, at det er frygteligt farligt med hensyn til cybersikkerhedsrisici, som jeg står over for her på Technology Review, er sandsynligvis uendeligt. Og hvordan filtrerer jeg signalet fra støjen?
Chris: Ja. Så det er udfordrende, fordi du ved, at du ikke ved, du ved ikke, du ved, hvilket risikoniveau du på en måde bør tolerere, da en virksomhed som forskellige virksomheder har forskellige risikoniveauer, ligesom noget, der er en bank, har et andet risikoniveau end et medie Selskab. Ret? En medievirksomhed kan overleve, du ved, at deres hjemmeside bliver smadret, men en bank kan ikke nødvendigvis overleve at miste milliarder af dollars. Ret? Der er forskellig risikotolerance for enhver form for virksomhed. Men vi ser nogle – og det er ligesom når det mere er et målrettet angreb. Noget, jeg er bekymret over, er det tilfældige, vilkårlige angreb, som vi så med NotPetya-virussen, der fjernede det, var Merck, og jeg tror, der er et par globale transportvirksomheder og Maersk, jeg tror, var en af dem. Og til hundrede af millioner af dollars, som om de ikke var i stand til at drive deres globale forretninger i flere uger, ved du? Så det er noget, enhver virksomhed skal bekymre sig om. jeg ville — hvis jeg skulle fokusere min cybersikkerhed, ville jeg fokusere på den slags begivenheder — udbredte begivenheder - først og derefter ville jeg fokusere på efter det som, er der mål direkte mod min virksomhed? Og du ved, hvordan jeg, hvordan håndterer jeg dem? Jeg tror, du kan adskille det i to, og det vil være en smule anderledes for hver virksomhed.
Elizabeth: Ja. Og hvad med folk, der går ind på cybersikkerhedsområdet nu, som er det — du ved, at enten er de kommet, har de været hackere, eller også er de bare virkelig interesserede i at gøre internettet og virksomheder til at gøre det, ved du at arbejde på nettet mere sikkert? Hvad fortæller du dem? For tingene har ændret sig meget. Du ved, at hackere og hacking er blevet meget mere sofistikeret. Det er bestemt et værktøj, du kender nationalstater. Hvordan råder du dem til at tænke over, hvor de vil bygge deres karriere?
Chris : Jeg var faktisk til dette arrangement på VMI i Virginia. Det var en capture-the-flag-begivenhed, hvor 13 forskellige kollegiale teams kom sammen for at lave disse cyber capture-the-flags. Og jeg talte med dem, og du ved, hvad jeg kan lide at sige, er at begynde med det grundlæggende. Du skal virkelig forstå, at du ved, hvordan TCP/IP-netværk fungerer, og internettet fungerer. Du skal forstå, hvordan operativsystemer fungerer som Unix og Windows. Du har brug for at vide noget om kodning, og du har brug for en slags dette brede grundlæggende fundament. Jeg tror bare for at starte på, og så skal du beslutte dig for, hvad du vil specialisere dig i. Ikke? Skal du i forsvaret eller skal du på det røde hold? Skal du lave hændelsesberedskab og efterforskning? Ligesom det, jeg endte med at gøre, er du ved, at arbejde med mennesker, der udvikler software for at hjælpe dem med at udvikle software bedre. Jeg tror, at alle har brug for det fundament, fordi der er så mange forskellige lag, som du kan angribe systemer på. Du kan angribe på netværket, du kan angribe ved OS, og jeg gætter på, at et andet helt område er på det menneskelige lag. Hvordan narrer man folk til at gøre ting? Jeg tror, jeg tror, du skal forstå det grundlæggende i alle disse lag og derefter fokusere på, hvor du har en aptitude. Du ved tydeligvis, at nogle mennesker helt naturligt drager til angreb eller forsvar. Jeg endte med, du ved, at starte i offensiven og så gå over til forsvaret, fordi det kan jeg bedre lide. Jeg ville prøve et par ting, og så ved du, gå dybt og fokusere på ét område.
Elizabeth: Store. Nå, det er en meget interessant samtale, og jeg sætter virkelig pris på, at du tager dig tid.
Chris: Tak fordi du har mig her.
Elizabeth: Det var det for denne episode af Business Lab. Jeg er din vært Elizabeth Bramson-Boudreau. Jeg er administrerende direktør og udgiver af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology. Du kan finde os på tryk, på nettet, ved snesevis af livebegivenheder hvert år. Og nu i lydform. For mere information om os, tjek venligst vores hjemmeside og TechnologyReview.com. Showet er tilgængeligt overalt, hvor du får dine podcasts. Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os på Apple Podcasts.
Business Lab er en produktion af MIT Technology Review. Denne episode blev produceret af Collective Next med hjælp fra Emily Townsend og med redaktionel hjælp fra Mindy Blodgett. Særlig tak til vores gæst Chris Wysopal. Tak fordi du lyttede, og vi vender snart tilbage med vores næste afsnit.