Riepilogo
Impegnandosi in modo persistente nell'intelligence sulle minacce e poi "difendendo in avanti", gli Stati Uniti sono stati in grado di sventare numerosi attacchi informatici in tutto il mondo negli ultimi anni, dalla botnet sostenuta dalla Cina che si è infiltrata in alcuni 260.000 server Microsoft Exchange, all'attacco russo alle ferrovie ucraine che – se non fosse stato sventato – avrebbe potuto causare la morte di centinaia di migliaia di ucraini.
Ciò che si è dimostrato efficace per gli Stati nazionali potrebbe essere sorprendentemente applicabile anche alle aziende, afferma Richard Harknett, uno dei principali architetti di questo nuovo approccio proattivo alla sicurezza informatica e coautore di Cyber Persistence Theory: Redefining National Security in Cyberspace, pubblicato da Oxford University Press. Harknett ci guida attraverso alcune di quelle vittorie informatiche chiave (almeno quelle non classificate o declassificate), e suggerisce come i leader aziendali che adottano la stessa mentalità possano trarne benefici in termini di contratti, catene di approvvigionamento e opportunità di business complessiva.
(La conversazione continua con Harknett la prossima settimana, mentre esaminiamo le ultime implicazioni della sicurezza informatica per TikTok, l'IA e altre questioni che i leader aziendali dovranno affrontare nel corso del prossimo anno.) HOST: Mike Curran, VP of global talent, Tanium GUEST: Richard J. Harknett, Ph.D., director of the Center for Cyber Strategy and Policy and co-director of the Ohio Cyber Range Institute, University of Cincinnati
Note dello show
Per ulteriori informazioni sulle politiche di sicurezza informatica degli Stati Uniti e su come la gestione autonoma degli endpoint può mantenerti attivo, non reattivo, consulta i nostri articoli su Focal Point, la pluripremiata rivista online di notizie informatiche di Tanium, e queste altre risorse utili.
- Cosa devono sapere le aziende sulla nuova strategia di sicurezza informatica degli Stati Uniti | Focal Point
- Cosa molti fraintendono sull'impegno persistente e perché è importante per le aziende | Focal Point
- I federali vengono per i CISO – Ecco come evitarli | Focal Point
- Come l'automazione e l'IA difendono la tua catena di fornitura software | Focal Point
- La Prossima Evoluzione della Gestione degli Endpoint è Autonoma | Tanium
- I Vantaggi della Gestione Continua degli Endpoint (e Come Si Differenzia dal Software Antivirus) | Tanium
- Presentazione di Tanium Automate: Orchestrazione e Automazione Facili da Creare su Larga Scala | Tanium
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
"Dobbiamo effettivamente cambiare la nostra mentalità riguardo a cosa significa essere ragionevolmente igienici, ragionevolmente sicuri. E quindi mi piace inquadrarlo nella nozione che non esistono best practice nella sicurezza informatica. Esistono solo pratiche migliori."Richard J. Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute, Università di Cincinnati
Mike Curran: Quando si tratta di sicurezza informatica, è meglio essere attivi che reattivi. Questo è il principio fondamentale dell'attuale politica informatica degli Stati Uniti, quella che viene chiamata la strategia "Defend Forward". Era considerata piuttosto radicale solo pochi anni fa, ma il Regno Unito e altri alleati nel campo informatico stanno ora seguendo il nostro esempio, e mi chiedo se sia qualcosa che anche le imprese statunitensi dovrebbero fare.
Ciao, sono Mike Curran, vicepresidente dei talenti globali qui a Tanium, e oggi su Let's Converge, parliamo di "difendere la tua azienda in avanti," e di quanto ciò possa essere pratico e redditizio.
Come piccolo contesto, il governo federale ha iniziato a testare questa strategia nel 2018 e l'ha sancita come nostro piano ufficiale di difesa informatica solo l'anno scorso. Il nostro ospite di oggi è stato un attore chiave nel far accadere tutto ciò.
È Richard Harknett, Ph.D., direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute presso l'Università di Cincinnati. È un professore e il primo studioso in residenza presso il Cyber Command degli Stati Uniti e la National Security Agency. Ed è uno degli architetti di questa nuova teoria della persistenza e proattività nella difesa informatica.
In effetti, ha co-scritto il libro sull'argomento. È intitolato Cyber Persistence Theory: Redefining National Security in Cyberspace, pubblicato da Oxford University Press.
Benvenuto al podcast, Richard. Apprezzo che tu abbia dedicato del tempo. Sei un uomo molto impegnato, che viaggia a Washington D.C., Vienna, Londra, ovunque. Quindi grazie mille per aver trovato il tempo oggi.
Richard Harknett: Grazie mille. Mike. Sono appena tornato da Londra, ho trascorso un po' di tempo con i nostri alleati cercando di capire le sfide del cyberspazio.
Curran: Fantastico. Apprezzo questo. Sto notando qualcosa sopra la tua spalla destra. È una moneta o qualcosa del genere? Sembra piuttosto interessante, ma non riesco a leggerlo. Di cosa si tratta?
Harknett: Oh, grazie. Benvenuto nel mio ufficio, ufficio di casa. Sì, è stato davvero un bel gesto da parte dell'Ammiraglio Mike Rogers, che era il comandante a quattro stelle del Cyber Command degli Stati Uniti e direttore della NSA. Così sono andato in prestito dall'Università di Cincinnati nel 2016 per diventare il loro studioso in residenza, il primo che abbiano mai avuto, e ho contribuito – cosa ora di dominio pubblico – a sviluppare alcuni dei grandi cambiamenti che abbiamo apportato nella strategia informatica nazionale. E così l'Ammiraglio Rogers mi ha dato una piccola commendazione e una moneta a quattro stelle, quindi è una cosa fantastica.
Curran: Ottimo per te. Congratulazioni per questo. Grazie per avercelo raccontato. Ma hey, siamo qui per parlare di coinvolgimento persistente, adottando un approccio proattivo alla cyber. Ma se facciamo un passo indietro, hai un background come esperto di deterrenza nucleare. C'è stato un momento o qualcosa che è successo in cui hai avuto quella intuizione, dove avevamo bisogno di un nuovo approccio alla cyber?
Harknett: Sì, questo mi riporta al 1992 circa, ’93-ish. Stavo lavorando su questioni nucleari, cercando in qualche modo di affrontare il crollo dell'Unione Sovietica e come gestire tutto ciò. E ho fatto un po' di lavoro per il DOD e gli è piaciuto abbastanza e hanno detto: "Hey, abbiamo questa cosa chiamata browser. Cosa pensi che saranno le implicazioni per la sicurezza?" E così ho fatto alcune analisi preliminari e ho detto che questo non corrisponde affatto al modo in cui pensiamo alla sicurezza e al modo in cui ci organizziamo per la sicurezza.
Quindi è stato davvero abbastanza presto, Mike, che ho sentito che c'era qualcosa tra la realtà dello spazio e il modo in cui pensavamo alla sicurezza che sarebbe stato problematico per noi. Quindi sono stato abbastanza coerente su questo per circa 20 anni. Sapevo qual era il problema, ma non sapevo esattamente quale fosse la soluzione. E negli ultimi 20, 25 anni, ci abbiamo messo un po' per arrivarci, ma penso che l'abbiamo capito.
Curran: Cominciamo con questo: puoi definire un po' il "coinvolgimento persistente" e anche il "Defend Forward"?
Harknett: Sì. Quindi è importante [guardare a] come si relazionano tra loro. Quindi il "coinvolgimento persistente" è ufficialmente considerato una dottrina militare, una che aiuta a organizzare le operazioni del Cyber Command. Ma è anche una che ora viene applicata – una sua forma – dal Dipartimento di Giustizia per affrontare la criminalità informatica.
Il coinvolgimento persistente, in sostanza, afferma che il cyberspazio è un ambiente di attività continua che cerca di sfruttare le vulnerabilità intrinseche del calcolo in rete.
Quindi quando abbiamo costruito questa cosa che chiamiamo internet, non abbiamo anticipato tutte le cose che avremmo sovrapposto ad essa, dai social media al massiccio supporto economico, alle efficienze e a quel tipo di cose. Alla sua base, non era progettato attorno alla sicurezza, era progettato attorno all'accesso.
Ma non appena si inizia a stratificare informazioni sull'identità personale [o] sulla ricchezza economica, queste sono cose che altre persone desiderano. E quindi bisogna riflettere su come proteggerle. E la sfida è che si tratta di uno spazio aperto allo sfruttamento.
Quindi l'impegno persistente sostanzialmente afferma che la sicurezza si basa sul fatto che io anticipi come tenterai di sfruttare le mie vulnerabilità prima che tu lo faccia. E il modo per farlo, dal punto di vista militare e della sicurezza nazionale, è capire cosa i nostri avversari stanno pensando di fare contro di noi prima che lo facciano. Ed è qui che entra in gioco il "difendere in avanti".
Perché non si può difendere all'interno delle proprie reti. Se si difende ai margini delle proprie reti, si finirà semplicemente a rincorrere conigli nelle tane. Quindi bisogna difendere in avanti sia nello spazio che nel tempo. Quindi sì, significa che devo uscire dalle mie reti ed entrare nelle reti altrui per vedere se stanno sviluppando malware che potrebbero poi usare contro di me. In questo modo potrei forse correggere le vulnerabilità prima che le sfruttino.
Ma ho anche bisogno di anticipare, o "difendere in avanti," nel tempo. Perché se scopro davvero i loro strumenti prima che li usino, posso correggere quelle vulnerabilità. E allora tutto il tempo, il talento e l'energia che hanno investito nello sviluppo di quegli strumenti informatici che intendono usare per attaccarmi, non sono più utili.
Quindi…perché ho bisogno di essere persistente? Perché l'altra parte lo è. L'altra parte è sempre alla ricerca di quell'opportunità per sfruttare l'interconnessione di questo spazio. E quindi la sicurezza risiede nell'anticipazione, Mike, ed è per questo che devo persistere e devo impegnarmi costantemente. È un cambiamento enorme rispetto al modo in cui pensavamo alla sicurezza durante la Guerra Fredda.
Curran: Sì, un cambiamento drastico. Beh, quando si guarda specificamente all'impresa privata, mi piacerebbe approfondire un po' questo argomento oggi e capire come si impegnano e come difendono in avanti? Quando guardo all'impresa privata e ho esaminato le politiche del DOD, c'era una politica che hanno che penso fosse un avviso… "Indicazioni e Avvertimenti," credo si chiamasse.
Harknett: Esatto.
Curran: Ed erano particolarmente concentrati su quello che chiamano il DCI e il DIB, ovvero le infrastrutture critiche [della difesa] e la base industriale della difesa. Sappiamo chi sono, i Boeing e le altre grandi aziende. Ma che dire del resto dell'America aziendale? Il resto del G-2000 che forse non è così strettamente associato? Come difendono in avanti?
Harknett: Sì, è un'ottima domanda. Quindi suggerirò due modi di pensare a questo.
Dal punto di vista aziendale, è illegale uscire ed entrare nella rete di qualcun altro. Ciò sarebbe considerato hacking, tentare di interferire con le loro reti. I governi nazionali, i governi della sicurezza nazionale ai sensi del diritto internazionale, hanno l'autorità di farlo. Quindi in parte ciò che le aziende devono essere in grado di fare è essere ricettive alle informazioni che provengono dal governo mentre iniziamo a difendere in avanti e mentre otteniamo un impegno persistente.
Questi sono nuovi costrutti, stiamo costruendo nuove forze – il Cyber Command e la National Security Agency sono in qualche modo al centro di tutto questo, ma abbiamo altre agenzie di intelligence, altre agenzie delle forze dell'ordine che si mettono in prima linea. Ma non aiuta se ci mettiamo in prima linea e ci giriamo dicendo: "Ehi, abbiamo scoperto una vulnerabilità," e le aziende non sono pronte ad essere adattive e flessibili nell'aggiornamento dei loro sistemi.
C'era una vulnerabilità piuttosto significativa di Microsoft Exchange che sappiamo, come si è scoperto, era un'operazione cinese. Quindi più a lungo questa cosa era aperta, più aziende in tutto il paese erano vulnerabili, giusto?
Curran: Sì.
Harknett: Quindi il Dipartimento di Giustizia degli Stati Uniti è stato in grado, attraverso una cosa chiamata Regola 41, che è un'autorità di perquisizione e sequestro, di intervenire e correggere effettivamente questa vulnerabilità.
Avevamo dispositivi Internet of Things [dispositivi] e tipi di server; 260.000 erano stati compromessi e inseriti in quello che chiamiamo una botnet. Quindi sono controllati da un singolo server di comando. Un'operazione davvero, davvero intelligente, a mio avviso. Abbiamo scoperto dove si trovava il server di comando cinese che aveva compromesso questi 260.000, abbiamo preso il controllo di quel server di comando e gli abbiamo detto di andare a eliminare il proprio malware – di rimuoversi da tutti questi dispositivi del settore privato.
Quindi i cinesi sono lì, [e] non dovrebbero esserci. Il governo degli Stati Uniti non entra nel settore privato delle aziende statunitensi. In realtà fa sì che i cinesi eliminino le proprie cose. Come è possibile?
Ciò avviene attraverso un impegno persistente, scoprendo che cercano sempre di sfruttare…. [In questo caso], hanno avuto una buona giornata; hanno compromesso 260.000.
Questo significa che loro prendono l'iniziativa per un po'. Ma impegnandoci in modo persistente e poi difendendo in avanti, abbiamo scoperto dove si trovava quel server di comando, e con una tattica davvero ingegnosa, siamo riusciti a ripristinare lo spazio proprietario di tutti questi dispositivi IT.
Questo vi dà solo un piccolo assaggio delle dinamiche che si verificano in questo settore. Il settore privato deve adottare questo approccio anticipatorio. Quindi quando possiamo avvisarli in anticipo su dove si trovano le vulnerabilità, non si può impiegare cinque mesi per decidere di applicare una patch. Perché quelli sono periodi di tempo in cui si è vulnerabili.
Ma c'è un altro aspetto da considerare, Mike, in termini di pratiche commerciali per le aziende più grandi in particolare. Per così dire, la loro capacità di difendersi in avanti passa attraverso pratiche migliori con le loro catene di approvvigionamento e con i loro fornitori. Quindi se si intende connettere le proprie reti a un fornitore a valle, con una mentalità di difesa in avanti, potrebbe essere opportuno sapere quanto sia sicura quella rete.
Alcuni anni fa, ad esempio, Target era stata violata proprio al punto vendita. Quando entravi in un negozio Target, strisciavi la tua carta, e i dati di quella carta venivano rubati. Quel malware informatico è stato distribuito tramite il fornitore HVAC di tutti i negozi Target. Avresti dovuto sapere che quell'HVAC era effettivamente vulnerabile perché ti rendeva vulnerabile come azienda.
Quindi ci sono pratiche a cui puoi iniziare a pensare nei tuoi contratti e nelle tue forniture. Hai bisogno che i tuoi fornitori raggiungano un certo livello di sicurezza.
E c'è un'altra operazione di difesa proattiva e coinvolgimento persistente che stiamo conducendo e che chiamiamo operazioni "hunt forward", di cui il Cyber Command degli Stati Uniti ha parlato un po' di più. I canadesi lo hanno fatto, i britannici lo hanno fatto. Quello che succede è che un paese, un partner, invita gli Stati Uniti nelle loro reti. È già di per sé una grande questione di fiducia. Ma essendo nella loro rete e lavorando al computer al loro fianco, possiamo scoprire cose che loro potrebbero non aver scoperto, aiutarli con la loro stessa rete, e riportare a casa quel tipo di risorse per difendere la patria.
Il caso pubblico più importante di cui posso parlarvi è ottobre 2021, prima che i carri armati russi entrassero in Ucraina, il Cyber Command statunitense si trovava effettivamente in un'operazione di "hunt forward" con gli ucraini, invitato dagli ucraini a essere nelle loro reti. Trovano un malware piuttosto virulento e sofisticato che avrebbe abbattuto il sistema ferroviario in Ucraina. E se sapete qualcosa dell'Ucraina, la maggior parte della popolazione non usa l'auto, prende il treno.
Quindi quello che abbiamo fatto è stato isolarlo e lasciarlo lì. I russi continuavano a pensare che funzionasse e ci facevano delle cose. Così [noi] raccogliamo intelligence, [siamo] in grado di tornare alle nostre reti di trasporto e dire: "Ehi, avete questa vulnerabilità?" Non diciamo loro come l'abbiamo scoperto, ma "avete questa vulnerabilità? Forse è quello che devi fare per rattopparlo."
Da questo ottieni la sicurezza nazionale.
E poi i carri armati avanzano a febbraio, [i russi] premono invio e non funziona. Il Financial Times di Londra ha suggerito che questa potrebbe essere la prima operazione informatica che ha salvato vite umane, perché 1,2 milioni di ucraini riescono a lasciare le città in treno nella prima settimana dell'invasione russa.
Curran: Wow. Affascinante.
Harknett: Quindi… una cosa piuttosto importante per una singola operazione. Quindi, se pensi a tutto ciò che puoi guadagnare essendo anticipatori, anche le aziende potrebbero fare la stessa cosa, giusto?
Pensa all'ambiente contrattuale come a un invito di "caccia in avanti". Il tuo fornitore sta dicendo: "Ehi, puoi entrare nelle mie reti e verificare che, in effetti, ho rispettato gli standard di cui hai bisogno." Quelle aziende, facendo questo, si rendono fornitori più attraenti.
Direi che dal punto di vista delle pratiche aziendali, più sei sicuro dal punto di vista informatico, più sei attraente in quella catena di fornitura. [E] abbiamo bisogno che si muova in entrambe le direzioni, Mike. Abbiamo bisogno che le entità più grandi richiedano pratiche migliori a quelle sotto di loro, e dal punto di vista degli incentivi economici, abbiamo bisogno che quelle aziende più piccole diventino più sicure lungo e attraverso la catena di fornitura.
Curran: Voglio dire, se avessi un punteggio di igiene informatica da una fonte neutrale e affidabile, potrebbe essere uno degli Ernst & Young, degli Accenture del mondo, che sostanzialmente afferma che questo particolare fornitore ha tutta l'igiene necessaria, con cui dovresti sentirti a tuo agio. Ma non so se esista un punteggio di igiene universale con cui le persone si sentano a proprio agio, per prendere decisioni sui fornitori, diciamo….
Harknett: No, penso che sia un'osservazione eccellente, e questa è parte della sfida della teoria della persistenza informatica e della comprensione che si tratta di un ambiente continuamente fluido. Tendiamo a pensare agli standard secondo un modello di conformità. Come se si raggiungesse un livello statico di X e io possa operativizzarlo su tutta una serie di caselle. E sono conforme, giusto? Andrò a controllare quel foglio Excel.
E questo è stato applicato al cyber – e non è un modo davvero efficace di farlo.
Perché da quando lei ed io abbiamo iniziato a parlare oggi, e non è stato così lungo, c'è qualche app sul suo telefono che si è aggiornata a una nuova versione. E quindi la mia conformità di ieri non ha catturato questo.
Dobbiamo effettivamente cambiare la nostra mentalità su cosa significa essere ragionevolmente igienici, ragionevolmente sicuri. Mi piace esprimerlo con l'idea che non esistono best practice nella cybersecurity. Esistono solo migliori pratiche.
Quello che dobbiamo fare dal punto di vista organizzativo è che le organizzazioni devono allontanarsi da questo puro modello di conformità e iniziare ad adottare una forma organizzativa che dica <em>qualcuno controlla questo su base regolare.</em> Ho un flusso organizzativo che si adatta e adotta. E purtroppo, lo facciamo per opportunità di business; non tendiamo a farlo sul lato della sicurezza.
Ma direi che se iniziamo a capire che essere sicuri è un'opportunità di business, allora quel cambiamento di mentalità dice che questo fa parte del fare bene business nel 21° secolo.
Curran: Quindi grazie per il suo tempo oggi e buona fortuna per tutto il buon lavoro che continua a fare. Lo apprezziamo.
Harknett: Beh, grazie, e grazie per la piattaforma che ci permette di parlare ai vostri ascoltatori. Lo apprezzo davvero e ho davvero apprezzato la conversazione.
Curran: Ho parlato con Richard Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute presso l'Università di Cincinnati.
Se desiderate saperne di più sulle strategie di sicurezza informatica proattiva, consultate Focal Point, il pluripremiato magazine online di notizie informatiche di Tanium; nelle note dello show troverete i link agli articoli. Oppure visitate tanium.com/p per le pubblicazioni.
Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita. E se vi è piaciuto questo episodio, lasciateci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti informatici nel prossimo episodio di Let's Converge.
