Ep. 14: Come guidare un team di threat intelligence

Riepilogo

Gli attori delle minacce stanno aumentando la loro portata, ampliando il loro raggio d'azione e sfruttando nuovi strumenti, quindi è fondamentale per le aziende investire strategicamente nella threat intelligence. Ecco come costruire team solidi, utilizzare l'IA e ottenere il supporto del CISO e del consiglio di amministrazione.

Host: Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint, Tanium
Ospite: Sherrod DeGrippo, direttrice della strategia di threat intelligence, Microsoft

Note dello show

Per ulteriori informazioni sulla threat intelligence e su come i team di threat intel la ottimizzano a loro vantaggio, consulta Focal Point, il pluripremiato magazine online di notizie sulla sicurezza informatica di Tanium, e queste altre risorse imperdibili.

• Applicare le lezioni del passato per il rilevamento delle minacce all'identità basato sull'intelligence | Tanium – Nicole Hoffman, investigatrice della sicurezza presso Cisco Talos e autrice del libro, The Mighty Threat Intelligence Warrior, ci ha offerto un'anteprima della sua presentazione alla RSA Conference 2024 e ha delineato il suo approccio proattivo all'intelligence sulle minacce informatiche e al rilevamento delle minacce.
• Trionfo informatico: 6 Le competenze che le Olimpiadi di Parigi hanno saputo sfruttare al meglio | Tanium – Le Olimpiadi di Parigi hanno affrontato un livello senza precedenti di minacce informatiche. Ecco il loro manuale non ufficiale e le competenze (inclusa l'intelligence sulle minacce) che qualsiasi azienda può padroneggiare.
• Threat Intelligence | Tanium – Consulta i resoconti aggiornati di Tanium sull'intelligence delle minacce informatiche, con le ultime notizie su obiettivi ransomware, tendenze malware, rapporti di phishing, backdoor, attori malintenzionati e altro ancora.
• Tanium Threat Response | Tanium – Smetti di utilizzare strumenti frammentati per proteggere il tuo ambiente. Riduci al minimo l'impatto delle minacce con il rilevamento automatizzato, la rilevazione precoce e un'indagine e una remediation rapide, tutto da un'unica piattaforma.

Trascrizione

La seguente intervista è stata modificata per maggiore chiarezza.

"Se stai avviando un team di threat intelligence... concentrati sulle minacce che colpiscono il tuo CISO. Fornisci al tuo CISO un rapporto sulle minacce che hanno tentato di prendere di mira quel CISO…. Vogliono vedere e comprendere cosa sia la threat intelligence in un linguaggio che risuoni con loro. E quel linguaggio sono loro stessi."

Sherrod DeGrippo, direttore della strategia di threat intelligence, Microsoft

Bischoping: Quando si parla di minacce informatiche, i numeri di oggi non sembrano molto buoni, specialmente se sei un leader aziendale o un professionista della sicurezza. Se sei un criminale informatico, questi sono i tempi d'oro. Le violazioni dei dati stanno aumentando di oltre un terzo anno dopo anno, e gli attacchi ransomware sono aumentati del 84% in tutti i settori. Nel solo 2023, gli attori delle minacce hanno rubato o esposto più di 17 miliardi di record personali l'anno scorso.

Salve, sono Melissa Bischoping, direttore della ricerca sulla sicurezza degli endpoint presso Tanium, e oggi parliamo di threat intelligence – e in particolare di come inizierai a guidare team di threat intelligence più forti.

A discutere di questo argomento con me c'è Sherrod DeGrippo, direttore della strategia di threat intelligence presso Microsoft – anche se il suo profilo LinkedIn la descrive come una "strana voyeur della sicurezza."

Sherrod osserva gli sviluppi nel mondo della cybersecurity da più di due decenni, lavorando in ruoli presso Proofpoint, Symantec, SecureWorks e la National Nuclear Security Administration. Ora porta questa strana prospettiva da voyeur a Microsoft, di cui parleremo a breve. Benvenuta al podcast, Sherrod.

Sherrod DeGrippo: Melissa, grazie per avermi invitata. È davvero un piacere essere qui con te.

Bischoping: Allora, prima di iniziare, ci conosciamo da un po' di tempo. Ci siamo incontrate, credo tramite Twitter, perché adoro il tuo cane, che è davvero il cane più figo del pianeta. E ho seguito la tua carriera per tantissimi anni. Attualmente lavori presso Microsoft, dove hai anche l'opportunità di condurre un podcast davvero interessante sull'intelligence delle minacce. Puoi dirmi qualcosa su quello che stai facendo lì?

DeGrippo: Sì, credo che quello che stiamo realizzando sia più o meno quello che hai detto: gli attori delle minacce si stanno espandendo, il loro raggio d'azione si sta ampliando, stanno sfruttando nuovi strumenti, stanno facendo tutte queste cose. E credo che sia necessario avere una buona strategia su come si intende utilizzare l'intelligence delle minacce. Questa è una parte importante di ciò su cui mi concentro ogni giorno. Abbiamo molta threat intelligence. Dove possiamo trovare più valore, renderla più attuabile e sfruttarla meglio per proteggere più persone?

Bischoping: È un lavoro così importante, soprattutto perché i dati continuano a crescere, la quantità di informazioni che devi analizzare – tipo, più dati non equivalgono necessariamente a più valore se non li usi bene.

Ma prima di entrare nel merito di come utilizzare una buona threat intelligence e di come costruire questi team, stabiliamo un punto di partenza comune su cosa intendiamo quando parliamo di threat intel e del contesto storico del settore. Cosa puoi dirci a riguardo?

DeGrippo: Oh mio Dio, c'è così tanto da dire e è davvero controverso, quindi andiamo avanti con un bel po' di opinioni forti e decise.

C'è una citazione sulla threat intelligence: se non è attuabile, è threat entertainment.

Bischoping: Adoro questa cosa.

DeGrippo: Lo so, è così vera. Penso che se sei in questo mondo e la senti, ti dici: oh mio Dio, non posso essere io quello di cui parlano. Ed è più o meno lì che mi piace concentrarmi, prendendo ciò che altri potrebbero definire semplice intrattenimento sulle minacce e trasformandolo in vera intelligence, perché viene sfruttato per proteggere le persone. Ed è in realtà l'origine del mio slogan su LinkedIn, che è "strano voyeur della sicurezza." Perché ero in una chiamata con il leggendario/famigerato Nick Carr, uno dei ricercatori di Microsoft, e stavamo parlando di come potremmo fare questo meglio. Come possiamo rendere la threat intelligence più attuabile? Dove possiamo inserirla? E lui dice: "Non vogliamo essere strani voyeur della sicurezza; vogliamo effettivamente fare qualcosa con questo."

E ho pensato tra me e me: "No, io sono uno strano voyeur della sicurezza, perché non sono solo un giocatore, sono un fan, e sono ancora più fan di quanto non sia mai stato nella mia carriera ora grazie al ruolo che ho in Microsoft. Sono davvero in prima fila ad osservare molto di ciò che sta accadendo. E penso che questa sia la chiave: dobbiamo renderla attuabile, dobbiamo renderla importante, e dobbiamo portare la threat intelligence da qualcosa che è "una bella storia, amico" a vedere effettivamente riscontri su una firma grazie alla threat intelligence che abbiamo implementato e reso utile.

Bischoping: Penso che sia un concetto così importante. Perché per me, la threat intelligence è utile solo se rende il mio team di sicurezza più efficace nel proprio lavoro. Nessuno ha bisogno di un altro feed di patch, nessuno ha bisogno di un altro feed di indirizzi IP; hanno bisogno di capire la rilevanza contestuale e come questo mi è utile? Come riduce il mio rumore? Quindi adoro che tu l'abbia detto.

Ora voglio allargare la prospettiva per un momento. Come consigli o come vedi le persone avere conversazioni davvero efficaci con i membri del consiglio di amministrazione, con i dirigenti, per far capire che la threat intelligence non è solo un termine alla moda e comprendere perché la loro organizzazione deve investire strategicamente?

DeGrippo: Penso che quelle conversazioni saranno eterne, ma ci sono un paio di cose che mi piacciono davvero in termini di approccio.

Prima di tutto, dobbiamo capire che la threat intelligence è un dato dopo essere stato elaborato in qualcosa di soggettivo. Quindi prende qualcosa di oggettivo, lo elabora attraverso l'esperienza, i sistemi tecnici, la narrativa e, francamente, la scrittura creativa, e diventa molte volte un prodotto soggettivo alla fine. Gli IOC [indicatori di compromissione, ovvero prove di una violazione dei dati] in fondo, mi dispiace dirtelo, gli IOC in fondo non sono intelligence. Il contesto di cosa sono quegli IOC, quello è threat intelligence. Gli IOC sono solo dati. Quindi penso che sia importante capirlo, e la cosa che penso possa risuonare bene con i tuoi dirigenti, con il tuo CISO, con il tuo consiglio di amministrazione, e perché no, dillo anche al tuo CFO perché hanno un grande potere decisionale. Non lasciare mai un CFO fuori dalla stanza – se riesci a convincere lui, convincerai tutti gli altri, perché di solito hanno la meglio.

Ma eccolo: diciamo che hai un sistema di sicurezza in casa. Io ce l'ho. E diciamo che ogni trimestre quel sistema d'allarme mi invia un rapporto e dice: "Ehi, abbiamo impedito a 27 persone di entrare in casa tua." E io faccio, oh, OK. È davvero fantastico. Ottimo. Non ho percepito alcuna differenza. La mia vita non è cambiata. Avete fermato queste persone dall'entrare in casa mia? Ero beatamente ignaro e andavo avanti con la mia giornata.

Il loro concorrente viene da me e dice: "Ehi, so che hanno bloccato 27 persone che cercavano di entrare in casa tua." Io rispondo, sì, ricevo quel rapporto ogni mese o giù di lì. E il venditore dice: "Posso dirti chi sono queste persone. Posso dirti come appaiono, cosa indossavano, che macchina guidavano, la targa dell'auto, la marca, il modello e l'anno dell'auto. Posso dirti dove vivono. Posso dirti da quanto tempo commettono questo tipo di tentativi criminali. E in realtà, non solo posso dirti tutto su quella persona che ha cercato di entrare in casa tua, posso dirti anche le altre case nella tua strada in cui hanno tentato di entrare."

Oh mio Dio, hai tutta la mia attenzione. Facciamo alcuni cambiamenti. Voglio quello. E questa è davvero la differenza. È la differenza tra una protezione standardizzata e una comprensione profonda della realtà, del mondo, di ciò che sta accadendo e quindi di ciò che accadrà dopo.

Bischoping: Voglio tornare su questo tra un momento, perché hai sollevato un punto che ritengo davvero sfumato e qualcosa con cui molte organizzazioni faticano riguardo a dove si trovano nella loro maturità e a cosa sono pronte in termini di appetito per la threat intel. Ma voglio tornarci tra un secondo.

Supponiamo che tu entri, faccia questa grande presentazione e abbia il tuo team esecutivo completamente a bordo. Dicono che dobbiamo fare più investimenti. Dobbiamo costruire un team di threat intel. Dobbiamo investire in piattaforme di threat intel. Dobbiamo investire in feed di threat intel. Ecco, vi stiamo dando un budget, vi stiamo dando le risorse umane.

Da dove si comincia? Cosa significa quella base, se stai costruendo un'intelligence sulle minacce da zero, come si presenta?

DeGrippo: Ancora una volta, penso che viviamo in una realtà davvero strana. Molti di noi sono strani voyeur della sicurezza, e questo fatto significa che dobbiamo cambiare il modo in cui affrontiamo le cose a volte. E se devo dare un consiglio, è questo:

Se stai avviando un team di threat intelligence, stai avviando una pratica di threat intelligence, ed è come hai appena descritto: Concentrati sul tuo CISO. Concentrati sulle minacce che colpiscono il tuo CISO. Fornisci al tuo CISO un rapporto sulle minacce che hanno tentato di prendere di mira quel CISO. Fai un po' di OSINT [intelligence da fonti aperte], metti insieme un rapporto che sia un rapporto di threat intelligence sul tuo CISO. E so che le persone potrebbero dire, "Oh mio Dio, questo è fantastico—"

Bischoping: Piccante! [Lei ride]

DeGrippo: Lo vogliono, lo vogliono, e vogliono vedere e capire cos'è la threat intelligence in un linguaggio che risuoni con loro. E quel linguaggio sono loro stessi. E quindi possono letteralmente immedesimarsi in quel ruolo di bersaglio.

Una volta che li hai portati a comprendere le minacce che li prendono di mira personalmente e la potenziale esposizione che hanno all'esterno, puoi iniziare a dire cose come: volete che prepariamo questo per il team esecutivo? Volete che prepariamo questo per gli assistenti esecutivi e gli amministrativi? Volete che iniziamo a preparare questo per i dipendenti che sono in azienda da soli sei mesi? E il vostro CISO inizia a concettualizzare [come] la threat intelligence può aiutarmi. La threat intelligence ha senso. Alla fine della giornata, questa è una cosa che tutti – da chi è appena entrato nel settore a chi dice: voglio solo lavorare nel SOC [security operations center] ed essere lasciato in pace, voglio solo fare il mio buon lavoro senza essere disturbato – tutti devono capire che in ultima analisi i CISO rispondono al consiglio di amministrazione. E se un CISO non ha la fiducia, il consenso e il supporto del proprio consiglio di amministrazione, non andrà molto lontano.

Quindi, in definitiva, mettere il tuo CISO nelle condizioni di parlare al consiglio in modo efficace, fa sì che il CISO abbia potere contrattuale. Questo è il modo giusto di procedere. Quindi vai a lavorare con il tuo CISO per capire come coinvolgere il consiglio, come faccio a convincerti? E poi come convinciamo il consiglio?

Bischoping: Torniamo ad alcuni aspetti della costruzione del team e alle personalità in questo settore. Una delle cose che amo dell'avere così tanti amici nella comunità della threat intel è che provengono da contesti molto vari e diversificati. Non credo che molti di loro abbiano seguito lo stesso percorso. E io sono personalmente un grande sostenitore del fatto che team diversificati di qualsiasi tipo producano risultati migliori. Ma penso che questo valga soprattutto nella sicurezza e sicuramente all'interno della threat intel.

Parlami di questo. Penso che tu sia appassionato di questo argomento quanto me, quindi mi piacerebbe sentire il tuo punto di vista.

DeGrippo: Oh, ho così tante opinioni. Penso che la cosa più importante che porti nella sicurezza e nell'intelligence sulle minacce sia la tua opinione, il tuo punto di vista e la tua intuizione. Perché la tua intuizione è influenzata da tutte le tue esperienze, da tutte le tue competenze, da tutte le cose che hai visto. E crea questo senso innato di "Non so perché, ma non penso che questo sia giusto." "Questo diagramma di rete dovrebbe essere modificato." "Questo codice mi inquieta un po'."

E se parli con persone davvero intelligenti e davvero talentuose che lavorano nell'intelligence sulle minacce da molto tempo, le sentirai dire queste cose… Ed è questo il senso che dovresti sviluppare.

Bischoping: È una combinazione di fidarsi del proprio istinto ma anche di affinare quella capacità di "quello non dovrebbe davvero essere lì." E penso che una delle competenze più difficili da sviluppare come professionista sia la fiducia nel credere che quel piccolo prurito nel tuo cervello ti stia effettivamente dicendo che qualcosa è fuori posto, e non aver paura di parlare e dirlo. Ricordo che all'inizio della mia carriera avevo sempre molta paura di essere la prima persona o l'unica persona a dire: "C'è qualcun altro che trova strano questo? O sono solo io che sono stupido? Perché io lo trovo strano." E imparare ad avere quella fiducia nel dire, questo mi fa venire il prurito al cervello, penso che dobbiamo approfondire ulteriormente, è stato un grande punto di crescita per me personalmente. E penso che sia qualcosa a cui tutti devono arrivare.

E penso che questo sia uno degli argomenti più affascinanti. Quindi, prima di entrare nei miei ruoli nel settore tecnologico e della sicurezza, ho un background in psicologia e sono davvero interessato a come il comportamento umano si adatta e a come gli schemi si sviluppano nel tempo nel tuo cervello. E ho anche preso una strada un po' panoramica per arrivare dove sono ora. Ho lavorato nel commercio al dettaglio, ho lavorato nel settore immobiliare, ho lavorato nell'aviazione.

Quindi la mia domanda per te è: al di fuori degli ovvi percorsi di carriera nel governo, nell'esercito e nelle forze dell'ordine, quali sono alcuni dei percorsi più insoliti che hai incontrato con professionisti che sono entrati nel campo della threat intelligence? Come hai fatto tu stesso il salto? Quali sono alcuni che conosci?

DeGrippo: Per quanto mi riguarda, ho iniziato frequentando una scuola d'arte al college; volevo diventare fotografa. E ricordo sempre alle persone, quando mi chiedono se ho una laurea in cybersecurity, che ho iniziato il college 1996 quando le lauree in cybersecurity non esistevano davvero. E anche le lauree in informatica non sono oggi quello che erano allora. Semplicemente non era una cosa che si faceva davvero.

Quindi sono andata a scuola per l'arte, per le belle arti, e uno dei miei ex colleghi, Michael Raggi, che ora lavora da Mandiant, si occupava molto di falsi d'arte, dove esaminava opere d'arte per determinare se fossero autentiche o meno. Quindi ovviamente quando lavoravamo insieme, ho detto: oh mio Dio, raccontami tutto. È affascinante. Conosco molte persone, ho un collega oggi che ha iniziato lavorando come addetto alla sicurezza in grandi negozi al dettaglio, nell'anticontraffazione, nella sicurezza contro i furti, ed è ora uno dei migliori ingegneri di rilevamento che abbia mai incontrato, [e] scrive firme di rilevamento di rete. Ovviamente, le forze dell'ordine sono una grande fonte. Ma le persone vengono da ogni parte. In definitiva, penso che se hai un senso della sicurezza, possiamo trovare qualcosa da farti fare. Se vuoi essere nervoso e strano con noi, ti daremo dei compiti.

Bischoping: Adoro queste conversazioni quando parliamo di persone e di come l'intelligence sia un'arte, non una scienza, per ricollegarci al tuo background artistico.

Come pianifichi e costruisci la strategia del team e stabilisci obiettivi che mantengano un team di threat intelligence ispirato, in modo che si senta come se stesse lavorando verso il successo, senza renderlo così rigido da non poter esplorare la creatività che lo spazio della threat intelligence richiede?

DeGrippo: È davvero difficile, e penso che richieda buone relazioni.

La cosa più importante quando si costruiscono quei team è ottenere una varietà di competenze. Ma non si tratta solo di abilità e competenze; si tratta di preferenze e di ciò che le persone amano fare. Fidatevi, se avete qualcuno che lavora su qualcosa in cui è bravo e che gli piace, vincerete. E se lasciate che quelle persone, diciamo, [aiutino ad] aggiungere qualcuno al team, [spesso diranno], "Sì, ho intervistato quella candidata e non sa questo, questo, questo e quest'altro." Ed è come dire, beh, TU sai tutte quelle cose. Perché dovremmo assumere la persona che sa tutte le stesse cose che sai tu? Non ha senso. Quindi bisogna stare molto attenti quando si assume perché gli analisti di threat intelligence parleranno con un candidato e diranno tipo, "Sì, l'ho intervistato per essere esattamente come me."

Ed è come dire, no, no, no, no, no.

Stiamo cercando la persona a cui piace fare le cose che tu odi e che è brava a fare le cose che secondo te fanno schifo. Quindi bisogna ottenere la diversità di tutto, di ogni tipo, specialmente delle preferenze. Le persone intelligenti non se la cavano bene quando lavorano su cose che odiano. E non durano. E quindi trovare quella bellissima corrispondenza dorata tra qualcosa in cui la persona è brava e che le piace fare, trovare tre, quattro o cinque di queste cose, mettere insieme queste persone in un team con preferenze complementari e contrastanti, può davvero portarti lontano.

E penso anche che capire cosa interessa alle persone e cosa le entusiasmerà – aiuta moltissimo capire queste cose. Perché vuoi che le persone godano del loro ruolo. Vuoi far sentire alle persone che il lavoro non è…così tanto lavoro. Voglio dire, è lavoro, ma si spera che non sia come una faticaccia brutale. Si spera che sia qualcosa a cui sei genuinamente interessato e che ti piace.

È davvero divertente perché abbiamo questi team al lavoro che tracciano cose diverse e sono responsabili del monitoraggio degli attori delle minacce, e ognuno ha i propri [attori di minacce] preferiti. E se dici loro, Ehi, vi trasferiremo a – loro rispondono: "No, non voglio cambiare. Mi piacciono questi attori." Mantenere le persone concentrate sulle cose che amano è, per me, un superpotere magico per un'organizzazione, avere persone che lavorano su ciò che vogliono fare.

Bischoping: È sicuramente un moltiplicatore di efficienza. E so che è vero anche per me. Se sono davvero immerso in un progetto, alzo lo sguardo e penso, oh mio dio, dove è andato il tempo? Ho prodotto contenuti su questo senza sosta. Lo adoro.

DeGrippo: E ho certi colleghi che, tipo, so che hanno roba succosa. Quindi a volte mi chiamano o mi scrivono e dicono, Ehi, hai tempo per parlare? E io sarò tipo, non ho tempo per parlare. Ma poi penso, quella persona mi racconta sempre cose davvero folli e quindi troverò un modo per trovare il tempo per questo. Perché so che quando mi metto al telefono con loro, diranno tipo, sì, c'è questo nuovo attore di minacce e sta facendo questa nuova cosa e c'è questo nuovo targeting… Ed è per questo che vivo. È tipo, questo non è lavoro.

Bischoping: Sì, è divertente.

DeGrippo: Questo è fare threat intelligence. Ed è per questo che la threat intelligence è difficile a volte, perché il risultato arriva più avanti. È tipo, tre mesi dopo, starò facendo qualcosa e mi ricorderò di quell'attore di minacce di cui mi avevano parlato al telefono e ora ce n'è un altro molto simile, e ora ho uno schema, e ora ho una tendenza – e ora devo mettere insieme un rapporto su questo schema, questa tendenza, sei mesi, 12 mesi, due anni, 10 anni. Inizia a coagularsi in qualche modo nel tuo cervello. E penso che questo faccia parte dell'aspetto creativo di tutto ciò.

Bischoping: Oh, certo. E questo fa anche parte del valore di costruire quel set di competenze affinate e quell'istinto viscerale, e di seguirlo nel corso della propria carriera. Perché penso che gli analisti intel invecchino bene.

Più tempo riesci a trascorrere nel settore lavorando su questi diversi progetti, crescendo e sviluppandoti dal lavoro svolto in precedenza e costruendo su di esso, più impari a cercare segnali nel rumore e a individuare schemi che forse il tuo io più giovane non avrebbe collegato, il che trovo davvero interessante. E quando bilanci tutto ciò con l'inserimento di persone con prospettive fresche, che non hanno necessariamente nozioni preconcette su dove dovrebbero o non dovrebbero guardare per trovare un punto di connessione, ottieni questa orchestrazione di idee che inizia a emergere ed è davvero bello da osservare. Puoi semplicemente farti da parte e guardare le persone avere queste conversazioni, e osservare le carriere evolversi nel processo. Può accadere letteralmente attorno a un tavolo in una sala conferenze nel giro di mezz'ora.

DeGrippo: Assolutamente. Anch'io lo adoro. Mi piace vedere cosa incuriosisce le persone.

Bischoping: Bene, passiamo ora dall'elemento umano all'elemento AI, perché è l'argomento nella mente di tutti, giusto?

DeGrippo: Oh mio Dio, lo adoro. Sono ossessionata. Sono una dipendente dall'AI. [Ridono entrambi.]

Bischoping: Praticamente ogni organizzazione nel mondo, e sicuramente Microsoft, sta parlando di AI in questo momento. Quasi ogni dipendente nel mondo sta pensando a una di queste due cose: Come posso usare l'AI in modi nuovi ed entusiasmanti? Oppure, l'AI prenderà il mio posto di lavoro?

Penso che le stesse domande stiano emergendo per noi nel campo della sicurezza e dell'intelligence sulle minacce. Penso che ci sia una preoccupazione comprensibile: può un analista di threat intelligence fidarsi della ricerca potenziata dall'AI? O come possono usarlo in un modo che sia sicuro e sostenibile? E penso che ci sia anche molta speranza che ci aiuterà a dare un senso migliore a dati sempre più grandi. Quali tendenze sta osservando? Quali conversazioni sta avendo? Questo è un argomento importante.

DeGrippo: Sì, direi che circa un anno fa è stato per me una sorta di punto di svolta, quando ho iniziato a cercare di incorporare l'IA in così tante cose. E il mio capo dell'epoca, John Lambert, mi sono rivolto a lui e gli ho detto: "John" – era quando ho iniziato a lavorare in Microsoft un anno fa – gli ho detto: "John, ho bisogno di report settimanali sull'intelligence delle minacce. Ho bisogno di questo flusso costante di intelligence curata e redatta per iscritto, e quale team può farlo? Chi possiamo coinvolgere per mettere insieme tutto questo?" E lui ha risposto: "Stai pensando al passato, hai un modo di pensare antiquato." Pensai, "Oh no, il mio nuovo capo dice che sono antiquato." Disse, "Devi trovare un modo per farlo con l'IA." E io feci, oh mio dio. E in quel momento capii questo, che è ciò che tutti attraverseranno.

Tutti lo attraverseranno. È la curva di maturità di te stesso nell'usare l'IA come strumento. Ero molto più indietro nella curva di maturità rispetto a John in quel momento. Spero di essermi ripreso un po'. Si tratta di quando la tua mente scatta: quanto velocemente posso attivare i miei neuroni per far fare all'IA qualcosa al posto mio prima di provare a farlo da solo? Questa è la chiave che tutti devono allenarsi a fare, e le persone che sono più veloci in quel processo di pensiero avranno più successo. E puoi applicarlo a quasi qualsiasi strumento, giusto? Sono sicuro che quando le macchine sono apparse per la prima volta, la gente cominciava ad andare a piedi al negozio e [poi pensava], aspetta un momento, posso andarci in macchina. E poi la gente ha cominciato ad entusiasmarsi. Dicevano, adoro guidare. È così divertente.

Ma prima di avere quella normalità, era, "Beh, cosa faccio? Mmm, devo pensarci." Smettila! Smetti di usare il tuo cervello di carne e inizia a usare il cervello di silicio dell'IA che hai a disposizione, anche se non è perfetto. Prenditi questa abitudine ora, ora, ora, oggi.

Bischoping: Adoro questa cosa.

DeGrippo: Usa il tuo cervello umano per essere creativo, per avere sentimenti, francamente, per godere delle cose. Usa l'IA per tutto ciò che può fare per te e pensa di usare l'IA immediatamente. Non perdere un sacco di tempo a mettere insieme la tua lista della spesa. Di cosa ho bisogno? Oh, voglio preparare la cena. No no. Vai subito all'IA e di': "Ho bisogno di fare una lista della spesa per la cena di stasera." Immediatamente.

Bischoping: Qual è la versione della lista della spesa di questa storia per la comunità intelligence?

DeGrippo: Penso che ci siano molti modi diversi in cui questo può svilupparsi. Uno di quelli in cui sono maggiormente coinvolto al lavoro è Copilot for Security. E ciò che mi ha stupito è che utilizza il linguaggio naturale. Le persone non dovrebbero mai sottovalutare la facilità e il comfort del linguaggio naturale. Stai semplicemente digitando oppure, con alcune app, puoi parlarci e stai semplicemente dicendo loro cosa vuoi, dicendo loro cosa ti serve. Facendo domande.

Copilot for Security è davvero straordinario perché ha la capacità di accedere a tutte le funzionalità di threat intelligence di Microsoft che abbiamo mai rilasciato; accedere a queste con il linguaggio naturale e puoi dire: "Dimmi dell'attore di minacce X, Y, Z. Dimmi delle TTP [tattiche, tecniche e procedure] utilizzate nell'arsenale di questo particolare attore di minacce." Non solo può dirtelo in quanto professionista, tecnologo, esperto di sicurezza, ma chi abbiamo detto prima essere la nostra persona numero uno più importante? Il CISO! Può riassumere le cose a livello dirigenziale per te, il che trovo semplicemente incredibile. Perché, ancora una volta, curva di maturità. Posso quasi garantirvi che le persone che ascoltano questo podcast saranno più avanti nel loro percorso di adozione dell'IA, utilizzandola personalmente nella loro vita privata – saranno più avanti del loro CISO.

Il che significa che ancora una volta dovete prendere l'iniziativa e iniziare a formare il vostro CISO per portarlo al punto in cui siete voi. Il che significa mostrare al vostro CISO: potete usare Copilot for Security per estrarre i vostri report, per ottenere la vostra intelligence. Non ho più bisogno di preparare questi briefing settimanali per voi. Estraeteli voi stessi, e se avete domande, venite da noi e vi forniremo un approfondimento dettagliato. Oppure estrarremo altro materiale o vi aiuteremo con i prompt. Questa è un'altra cosa: preparatevi, tutti quanti; dovrete iniziare ad aiutare il vostro CISO con i prompt.

E penso che inizieremo a osservare chi sta adottando immediatamente l'IA e chi è ancora in una fase di tentativi discontinui, "Oh, stavo pensando di farlo. Proverò questo."
Io vado direttamente all'IA. Voglio dire, dipende da quale, se è Copilot o ChatGPT o Bing o qualsiasi altra cosa stia usando, se è per lavoro o per uso personale o altro. Lasciami dire: non farò mai più shopping nel modo tradizionale. D'ora in poi userò Bing AI per tutti i miei acquisti perché ti fornisce codici sconto e ti offre confronti tra ogni prodotto. È incredibile! Non voglio fare un sacco di lavoro mentale manuale. Non voglio farlo. Voglio fare un lavoro creativo, interessante e innovativo. E penso che possiamo tutti concordare abbastanza sul fatto che le IA non sono a quel punto e potrebbero non esserlo mai, dove è veramente innovativa e creativa e ha quel tocco umano. Ma amico, lasciami dire, se gli chiedi di fare un rapido controllo dei dati o di portarti qualche tipo di informazione o di spiegarti qualcosa, un concetto, sono davvero bravi in quello.

E penso anche che tu debba iniziare a sfruttarla per la tua efficienza personale. Copilot for Security può scrivere query, il che mi sembra assolutamente incredibile. Ad esempio, se hai bisogno di scrivere query KQL [Kusto Query Language], hai bisogno che controlli qualche tipo di sintassi in una query che stai scrivendo? La incolli letteralmente lì e dici: "Ti sembra corretta?" E risponde: "Beh, in realtà è piuttosto inefficiente. Hai chiesto 365 giorni quando in realtà potresti chiedere 30 e tornerebbe molto più velocemente."

Può ottimizzare le query per te. Si tratta davvero di accelerare le cose, potenziare le cose, migliorare le cose. E penso che questa sia la direzione che vedo prendere a molte delle implementazioni di intelligenza artificiale di successo.

Bischoping: Fantastico. Beh, grazie mille. È stato un vero piacere. Mi piace sempre parlare con te.

DeGrippo: Grazie, Melissa.

Bischoping: Ho parlato con Sherrod DeGrippo, direttore della strategia di intelligence sulle minacce presso Microsoft.

Se desideri saperne di più sui team di intelligence sulle minacce, dai un'occhiata a Focal Point, la rivista online di notizie sulla sicurezza informatica di Tanium. Abbiamo articoli pertinenti anche nelle note dello show. Visita semplicemente tanium.com/p per le pubblicazioni.

Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita. E puoi aiutarci a diffondere la voce – dacci una valutazione a cinque stelle.

Grazie per aver ascoltato, e non vediamo l'ora di condividere altri approfondimenti sulla sicurezza informatica nel prossimo episodio di Let's Converge.