Riepilogo
Impegnandosi persistentemente nell’intelligence delle minacce e poi “difendendosi”, gli Stati Uniti sono stati in grado di contrastare una serie di attacchi informatici in tutto il mondo negli ultimi anni, dalla botnet sostenuta dalla Cina che si è infiltrata in circa 260.000 server Microsoft Exchange , all’attacco russo alle ferrovie ucraine che – se non fosse stato sventato – avrebbe potuto provocare la morte di centinaia di migliaia di ucraini.
Ciò che si è dimostrato efficace per gli stati nazionali potrebbe anche essere sorprendentemente applicabile alle imprese, afferma Richard Harknett, un architetto chiave di questo nuovo approccio proattivo alla sicurezza informatica e coautore di Cyber Persistence Theory: Redefining National Security in Cyberspace, della Oxford University Press. Harknett ci guida attraverso alcune di queste vittorie informatiche chiave (almeno quelle che sono declassificate o declassificate) e suggerisce come i leader aziendali che adottano la stessa mentalità possono trarre benefici in termini di contratti, catene di fornitura e opportunità di business in generale.
(La conversazione continuerà con Harknett la prossima settimana, mentre esamineremo le ultime implicazioni sulla sicurezza informatica per TikTok, l’IA e altri problemi che i leader aziendali dovranno affrontare nel prossimo anno.) HOST: Mike Curran, VP of global talent, Tanium GUEST: Richard J. Harknett, Ph.D., direttore del Center for Cyber Strategy and Policy e co-direttore dell’Ohio Cyber Range Institute, Università di Cincinnati
Mostra note
Per ulteriori informazioni sulle politiche di sicurezza informatica degli Stati Uniti e su come la gestione autonoma degli endpoint può mantenerti attivo, non reattivo, consulta i nostri articoli su Focal Point, la pluripremiata rivista di notizie online sulla sicurezza informatica di Tanium, e queste altre utili risorse.
- Cosa devono sapere le aziende sulla nuova strategia di sicurezza informatica degli Stati Uniti | Focal Point
- Cosa si sbaglia sul coinvolgimento persistente e perché è importante per l’azienda | Focal Point
- Le Fed stanno arrivando per i CISO – Ecco come fare chiarezza | Focal Point
- Come l'automazione e l'IA difendono la supply chain del software | Focal Point
- La prossima evoluzione della gestione degli endpoint è autonoma | Tanium
- I vantaggi della gestione continua degli endpoint (e come si differenzia dal software antivirus) | Tanium
- Ti presentiamo Tanium Automate: orchestrazione e automazione facili da creare su larga scala | Tanium
Trascrizione
La seguente intervista è stata modificata per chiarezza.
“Dobbiamo cambiare la nostra mentalità su cosa significhi essere ragionevolmente igienico, ragionevolmente sicuri. E quindi mi piace metterlo nella nozione che non ci sono best practice nella sicurezza informatica. Ci sono solo pratiche migliori”.Richard J. Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute, Università di Cincinnati
Mike Curran: Quando si tratta di sicurezza informatica, è meglio essere attivi che reattivi. Questo è il principio fondamentale della politica informatica degli Stati Uniti di oggi, quella che viene chiamata la strategia “Defend Forward”. Era considerato abbastanza radicale solo pochi anni fa, ma il Regno Unito e altri alleati informatici stanno ora seguendo il nostro esempio, e mi chiedo, è qualcosa che le imprese statunitensi dovrebbero fare pure?
Salve, sono Mike Curran, vicepresidente del talento globale qui a Tanium , e oggi su Let’s Converge parliamo di “difendere il business in avanti” e di quanto possa essere pratico e redditizio.
Proprio come un po 'di background, il governo federale ha iniziato a testare questa strategia in 2018 e l'ha sancito come il nostro piano di difesa informatica ufficiale proprio l'anno scorso. Il nostro ospite di oggi è stato un attore chiave nel far sì che ciò accada.
È Richard Harknett, Ph.D., direttore del Center for Cyber Strategy and Policy e co-direttore dell’Ohio Cyber Range Institute presso l’Università di Cincinnati. È un professore e il primo studioso in residenza presso il Cyber Command degli Stati Uniti e la National Security Agency. Ed è uno degli architetti di questa nuova teoria della persistenza e della proattività nella difesa informatica.
Infatti, ha co-scritto il libro sull'argomento. Si intitola Cyber Persistence Theory: Redefining National Security in Cyberspace, da Oxford University Press.
Benvenuto nel podcast, Richard. Apprezziamo il tempo che passi. Sei un ragazzo molto impegnato, in viaggio a Washington DC, Vienna, Londra, dappertutto. Grazie mille per il tempo che hai dedicato oggi.
Richard Harknett: Grazie mille. Mike. Sono appena tornato da Londra, ho trascorso un po 'di tempo con i nostri alleati cercando di capire le sfide del cyberspazio.
Curran: Fantastico. Lo apprezzi. Sto notando qualcosa sulla spalla destra. È una moneta o qualcosa del genere? Sembra molto interessante, ma non riesco a leggerlo. Di cosa si tratta?
Harknett: Oh, grazie. Benvenuti nel mio ufficio, home office. Sì, è stato davvero un bel gesto da parte dell'ammiraglio Mike Rogers, che era il comandante a quattro stelle del Cyber Command degli Stati Uniti e direttore della NSA. Così sono andato in prestito dall'Università di Cincinnati nel 2016 per diventare il loro studioso in residenza, il primo che abbiano mai avuto, e hanno contribuito - ciò che ora è conoscenza pubblica - a sviluppare alcuni dei grandi perni che abbiamo fatto nella strategia informatica nazionale. E così l'ammiraglio Rogers mi ha dato un piccolo elogio e una moneta a quattro stelle, quindi è una cosa fantastica.
Curran: Buon per te. Congratulazioni. Grazie per avercelo raccontato. Ma ehi, siamo qui per parlare di impegno persistente, adottando un approccio proattivo alla cybersicurezza. Ma se facciamo un passo indietro, hai un background come esperto in deterrenza nucleare. C'è stato un momento o qualcosa in cui hai avuto quel momento, dove avevamo bisogno di un nuovo approccio al cyber?
Harknett: Sì, questo mi riporta al 1992-ish, ’93-ish. Stavo lavorando su questioni nucleari, cercando di affrontare il crollo dell’Unione Sovietica e come gestire tutto questo. E ho fatto un po 'di lavoro per il DOD e mi è piaciuto e hanno detto: "Ehi, abbiamo questa cosa chiamata un browser. Quali pensi che saranno le implicazioni per la sicurezza di tutto ciò?” Ho fatto un'analisi preliminare e ho detto che questo non si adatta al modo in cui pensiamo alla sicurezza e al modo in cui organizziamo la sicurezza.
Quindi è stato molto presto, Mike, che ho sentito che c'era qualcosa tra la realtà dello spazio e il modo in cui pensavamo alla sicurezza che sarebbe stato problematico per noi. Quindi sono stato abbastanza coerente su questo per circa 20 anni. Sapevo quale fosse il problema, ma non sapevo esattamente quale fosse la soluzione. E negli ultimi 20, 25 anni, ci è voluto un po' per arrivarci, ma penso che l'abbiamo capito.
Curran: Iniziamo con, puoi definire un po’ “impegno persistente” e anche “Defend Forward”?
Harknett: Sì. Quindi è importante [osservare] come si relazionano tra loro. Quindi “impegno persistente” è ufficialmente considerato una dottrina militare, che aiuta a organizzare le operazioni del Cyber Command. Ma è anche uno che viene ora distribuito – una forma di esso – dal Dipartimento di Giustizia per affrontare il crimine informatico.
L’impegno persistente, in sostanza, afferma che il cyberspazio è un ambiente di attività continua che cerca di sfruttare le vulnerabilità intrinseche attraverso il network computing.
Quindi, quando abbiamo costruito questa cosa che chiamiamo Internet, non abbiamo previsto tutte le cose che avremmo sovrapposto ad essa, dai social media al massiccio supporto economico e alle efficienze e questo tipo di cose. In sostanza, non è stato progettato intorno alla sicurezza, è stato progettato intorno all'accesso.
Ma non appena hai iniziato a stratificare le informazioni sull'identità personale [o] la ricchezza economica, queste sono cose che altre persone vogliono. E quindi dovete pensare, beh, come posso assicurarlo? E la sfida è che si tratta di uno spazio aperto allo sfruttamento.
Quindi l'impegno persistente dice che la sicurezza dipende da me , anticipando come tenterai di sfruttare le mie vulnerabilità prima di sfruttarle. E l’unico modo per farlo, dal punto di vista della sicurezza militare e nazionale, è capire cosa i nostri avversari stanno pensando di fare a noi prima che lo facciano. Ed è qui che entra in gioco la “difesa in avanti”.
Perché non puoi difenderti all’interno delle tue reti. Se ti difendi ai margini delle tue reti, inseguirai solo i conigli attraverso i buchi. Quindi devi difenderti sia nello spazio che nel tempo. Quindi sì, significa che devo uscire dalle mie reti e entrare nelle reti di altre persone per vedere se stanno sviluppando malware che possono poi usare contro di me. In questo modo forse potrei sistemare le vulnerabilità prima che le sfruttino.
Ma ho anche bisogno di andare avanti, o “difendere avanti”, in tempo. Perché se scopro i loro strumenti prima che li usino, posso correggere quelle vulnerabilità. E poi tutto il tempo, il talento e l'energia che hanno messo nello sviluppo di quegli strumenti informatici che useranno per attaccarmi, ora non sono più utili.
Perché devo essere persistente? Perché l’altro lato è. L’altra parte è sempre alla ricerca di questa opportunità per sfruttare l’interconnessione di questo spazio. E quindi la sicurezza dipende dall'anticipazione, Mike, ed è per questo che devo persistere e impegnarmi costantemente. Questo è un grande, grande cambiamento dal modo in cui pensavamo alla sicurezza nella Guerra Fredda.
Curran: Sì, cambiamento drammatico. Beh, quando si guarda in particolare all'impresa privata, mi piacerebbe approfondire un po' questo oggi e come si impegnano e come si difendono in avanti. Quando guardo alle imprese private e ho guardato le politiche del DOD, c'era una politica che hanno che penso fosse avvisi ... "Indicazioni e avvertimenti", penso che si chiamassero.
Harknett: Giusto.
Curran: Ed erano particolarmente concentrati su ciò che chiamano il DCI e il DIB, che è la [difesa] infrastrutture critiche e la base industriale della difesa. Sappiamo chi sono, i Boeing e le altre grandi aziende. Ma che dire del resto dell’America corporativa? Il resto del G-2000 che forse non è così strettamente associato? Come si difendono in avanti?
Harknett: Sì, è una bella domanda. Quindi suggerisco due modi di pensare a questo.
Dal punto di vista aziendale, è illegale per te uscire e entrare nella rete di qualcun altro. Questo sarebbe considerato un hacking, per cercare di pasticciare con le loro reti. I governi nazionali, i governi di sicurezza nazionale in base al diritto internazionale, hanno l’autorità per farlo. Quindi, in parte, ciò che le aziende devono essere in grado di fare è essere ricettive alle informazioni che provengono dal governo mentre iniziamo a difenderci e man mano che otteniamo un impegno costante.
Questi sono nuovi costrutti, stiamo costruendo nuove forze - Cyber Command e National Security Agency sono un po 'al centro di questo, ma abbiamo altre agenzie di intelligence, altre forze dell'ordine che si mettono in prima linea. Ma non aiuta se ci mettiamo in prima linea e ci voltiamo e diciamo: "Ehi, c'è una vulnerabilità che abbiamo scoperto", e le aziende non sono pronte per essere adattabili e flessibili nell'aggiornare i loro sistemi.
C'era una vulnerabilità abbastanza significativa di Microsoft Exchange che sappiamo, a quanto pare, era un'operazione cinese. Quindi più a lungo questa cosa è stata aperta, più vulnerabili erano le aziende in tutto il paese, giusto?
Curran : Sì.
Harknett: Quindi il Dipartimento di Giustizia degli Stati Uniti è stato in grado, attraverso una cosa chiamata Rule 41, che è un’autorità di ricerca e sequestro, di entrare e correggere effettivamente questa vulnerabilità.
Avevamo [dispositivi] Internet of Things e tipi di server; 260.000 erano stati compromessi e messi in quella che chiamiamo botnet. Quindi sono controllati da un unico server di comando. Operazione davvero intelligente, a mio parere. Abbiamo capito dove si trovava il server di comando cinese che aveva compromesso questi 260.000, ha preso quel server di comando e gli ha detto di andare a eliminare il proprio malware - rimuovere se stesso da tutti questi dispositivi del settore privato.
Quindi i cinesi sono lì, [e] non dovrebbero essere lì. Il governo degli Stati Uniti non entra nel settore privato delle società statunitensi. In realtà ottiene i cinesi a cancellare le proprie cose. Come avviene?
Questo avviene attraverso un impegno persistente, scoprendo che stanno sempre cercando di sfruttare. [In questo caso], hanno avuto una buona giornata; hanno compromesso 260.000.
Sono loro a vincere l’iniziativa per un po’ di tempo. Ma impegnandoci in modo persistente e poi difendendoci, abbiamo capito dove quel server di comando [era] e con una tattica davvero intelligente, siamo stati in grado di ripristinare lo spazio proprietario di tutti questi dispositivi IT.
Questo vi dà un piccolo assaggio delle dinamiche che si verificano in questo spazio. Il settore privato deve prendere questo piede anticipatorio. Quindi, quando possiamo dare loro un avviso su dove sono le vulnerabilità, non puoi prendere cinque mesi per decidere di correggerle. Perché quelli sono i periodi in cui sei vulnerabile.
Ma c'è un'altra svolta, Mike, in termini di pratiche commerciali per aziende particolarmente grandi. Se si vuole, la loro capacità di difendersi è attraverso pratiche migliori con le loro catene di approvvigionamento e con i loro fornitori. Quindi, se avete intenzione di collegare le vostre reti a un fornitore a valle, da una mentalità di difesa in avanti, potreste voler sapere quanto è buona quella rete.
Alcuni anni fa, ad esempio, Target proprio nel punto vendita era stato hackerato. Quando sei entrato in un negozio Target, hai strisciato la tua carta e i dati della carta venivano rubati. Questo malware informatico è stato distribuito attraverso il fornitore HVAC per tutti i negozi Target. Avresti dovuto sapere che quel sistema HVAC era effettivamente vulnerabile perché ti rendeva vulnerabile come azienda.
Ci sono pratiche a cui potete iniziare a pensare nel vostro contratto e nella vostra fornitura. È necessario che i fornitori raggiungano un certo livello di sicurezza.
E c'è un'altra difesa in avanti, un'operazione di ingaggio persistente che abbiamo eseguito che chiamiamo operazioni di "caccia in avanti", di cui il Cyber Command degli Stati Uniti ha parlato un po 'di più. I canadesi l’hanno fatto, gli inglesi l’hanno fatto. Quello che è, è che un paese, un partner, inviterà gli Stati Uniti nelle loro reti. Questo è un grosso problema di fiducia per cominciare. Ma stando nella loro rete e digitando accanto a loro, possiamo scoprire cose che potrebbero non aver scoperto, aiutarli con la loro rete, ma riportare quel tipo di risorse per difendere la patria.
Il più grande caso pubblico di cui posso parlarvi è ottobre 2021che, prima che i carri armati russi entrassero in Ucraina, il Cyber Command degli Stati Uniti è in realtà in un’operazione di “caccia avanti” con gli ucraini, invitati dagli ucraini a essere nelle loro reti. Trovano un pezzo di malware piuttosto virulento e piuttosto sofisticato che avrebbe abbattuto il sistema ferroviario in Ucraina. E se sai qualcosa dell'Ucraina, non guidano auto, prendono treni, la maggior parte della popolazione.
Quindi, quello che abbiamo fatto è che abbiamo chiuso e lasciato lì. I russi continuavano a pensare che stesse funzionando e lo stanno facendo. Quindi [noi] guadagniamo intelligenza, [siamo] in grado di tornare alle nostre reti di trasporto e dire: "Ehi, voi avete questa vulnerabilità?" Non diciamo loro come l’abbiamo imparato, ma “hai questa vulnerabilità? Forse questo è quello che devi fare per rimetterla in sesto”.
Si ottiene la sicurezza nazionale da questo.
E poi i carri armati rotolano a febbraio, [i russi] hanno premuto il tasto di invio e non funziona. Il Financial Times di Londra ha suggerito che questa potrebbe essere la prima operazione informatica che ha salvato vite umane, perché 1,2 milioni di ucraini escono dalle città sui treni in quella prima settimana dell’invasione russa.
Curran: Wow. Affascinante.
Harknett: Quindi... un grosso problema da un solo tipo di operazione. Quindi, se pensi a tutto ciò che puoi guadagnare dall'essere anticipatorio, le aziende potrebbero fare la stessa cosa, giusto?
Pensate all’ambiente del contratto come a un invito a “caccia avanti”. Il tuo fornitore dice: “Ehi, puoi entrare nelle mie reti e vedere che, in effetti, sono all’altezza degli standard di cui hai bisogno”. Queste aziende, così facendo, si rendono fornitori più attraenti.
Direi che dal punto di vista della pratica aziendale, più sei sicuro dal punto di vista informatico, più sei attraente in quella catena di approvvigionamento. [E] abbiamo bisogno che si muova in entrambe le direzioni, Mike. Abbiamo bisogno di entità più grandi per richiedere migliori pratiche al di sotto di loro, e dal punto di vista degli incentivi economici, abbiamo bisogno che quelle aziende più piccole diventino più sicure e attraverso la catena di approvvigionamento.
Curran: Voglio dire, se avessi un punteggio di igiene informatica da una fonte neutrale e affidabile, potrebbe essere uno degli Ernst & Youngs, le Accenture del mondo, che in pratica dicono che questo particolare fornitore ha tutta l’igiene necessaria, con cui dovresti sentirti a tuo agio. Ma non so se esista un punteggio universale sull’igiene con cui le persone si sentano a proprio agio nel prendere decisioni sui fornitori, diciamo...
Harknett: No, penso che sia una grande osservazione, e questo fa parte della sfida della teoria della persistenza cibernetica e della comprensione che questo è un ambiente continuamente fluido. Tendiamo a pensare agli standard partendo da un modello di conformità. Come se incontrassi un livello statico di X e posso renderlo operativo in un sacco di scatole. E sono conforme, giusto? Controllerò il foglio Excel.
E questo è stato applicato al cyber - e non è un modo davvero efficace di farlo.
Perché da quando io e te abbiamo iniziato a parlare oggi, e non è passato molto tempo, c'è un' App sul tuo telefono che è stata aggiornata a una nuova versione. E quindi la mia conformità di ieri non l'ha colto.
Dobbiamo davvero cambiare la nostra mentalità su cosa significhi essere ragionevolmente igienici, ragionevolmente sicuri. Mi piace dire che non ci sono best practice nella sicurezza informatica. Ci sono solo pratiche migliori .
Ciò che dobbiamo fare dal punto di vista organizzativo è che le organizzazioni devono abbandonare questo modello di conformità e iniziare ad adottare una forma organizzativa che <em>qualcuno sta controllando regolarmente.</em> Ho un flusso organizzativo che si adatta e adotta. E sfortunatamente, lo facciamo per opportunità commerciali; non tendiamo a farlo dal punto di vista della sicurezza.
Ma direi che se iniziamo a capire che essere sicuri è un'opportunità di business, allora quel cambiamento di mentalità dice che questo fa parte del fare business bene nel 21° secolo.
Curran: Quindi grazie per il tuo tempo oggi e buona fortuna per tutto il buon lavoro che continui a fare. Lo apprezziamo.
Harknett: Beh, grazie, e grazie per la piattaforma per parlare con i tuoi ascoltatori. Lo apprezzo molto e mi è piaciuta molto la conversazione.
Ho parlato con Richard Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell’Ohio Cyber Range Institute presso l’Università di Cincinnati.
Se desideri saperne di più sulle strategie proattive di sicurezza informatica, dai un’occhiata a Focal Point, la pluripremiata rivista online di notizie informatiche di Tanium; abbiamo collegamenti ad articoli nelle note della mostra. Oppure visita tanium.com/p per le pubblicazioni.
Per ascoltare più conversazioni con i migliori leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita App. E se ti è piaciuto questo episodio, per favore dacci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere ulteriori informazioni sulla cyber-serie sul prossimo episodio di Let's Converge.
