211service.com
Keren Elazari apie įsilaužėlių svarbą
Kaip galvojant apie naudingus įsilaužėlius kaip apie interneto imuninę sistemą, jūsų saugumas gali būti stipresnis ir geriau pasiruošti bei apsaugoti jūsų buvimą skaitmeninėje erdvėje.
2019 m. rugpjūčio 1 d
Kibernetinio saugumo plėtra yra susieta su įsilaužėlių bendruomenės raida. Keren Elazari, kibernetinio saugumo analitikė ir Tel Avivo universiteto tarpdisciplininio kibernetinių tyrimų centro vyresnioji mokslo darbuotoja, 2014 m. TED kalboje supažindino pasaulį su draugiškų įsilaužėlių ugdymo svarba siekiant apsaugoti internetą. Šiandien ji tiria aktualiausias kibernetinio saugumo grėsmes ir kaip užkirsti kelią šiems pažeidimams.
Šiame epizode Elazari dalijasi savo istorija, kaip tapo įsilaužėle būdama jauna moteris Izraelyje, ir pasakoja apie įgalinimą, kurį ji įgijo tapdama svarbia žaidėja pasaulinėje programišių bendruomenėje. Ji paaiškina, kaip įmonės, organizacijos ir vyriausybės dabar bendradarbiauja su naudingais įsilaužėliais kurdamos klaidų programas ir kitas iniciatyvas. Elazari paaiškina patarimus, ko įmonės turėtų ieškoti kibernetinių grėsmių atveju.
„Business Lab“ šeimininkauja Elizabeth Bramson-Boudreau, „MIT Technology Review“ generalinė direktorė ir leidėja. Laidą prodiusuoja Katherine Gorman, redaktoriams padeda Emily Townsend ir Mindy Blodgett. Muzika Merlean, iš Epidemic Sound.
Rodyti pastabas ir nuorodas:
Tel Avivo kibernetinė savaitė: https://cyberweek.tau.ac.il/2019/
Kereno svetainė: https://www.k3r3n3.com
Kereno Twitter: https://twitter.com/k3r3n3
Ted Talk: https://www.youtube.com/watch?time_continue=2&v=JpFFb1jEUf0
PILNAS ATRAŠAS
Iš „MIT Technology Review“ aš esu Elizabeth Bramson-Boudreau ir tai yra „Business Lab“ laida, kuri padeda verslo lyderiams suprasti naujas technologijas, atsirandančias iš laboratorijos ir į rinką.
Kol turėjome kompiuterines sistemas, buvo ir tokių, kurie siekia prasibrauti per apsaugą, tačiau šie įsilaužėliai taip pat gali atlikti naudingą vaidmenį nustatant kibernetinio saugumo spragas ir nustatant būsimas grėsmes.
Tai paskutinis mūsų serijos apie kibernetinį saugumą epizodas. Ir šiandien mes kalbame apie įsilaužimą.
Nuo pirmųjų interneto dienų buvo draugiškų kibernetinių ekspertų, įskaitant mūsų svečius, ir šie įsilaužėliai buvo labai svarbūs interneto imuninės sistemos sveikatai. Keren Elazari yra kibernetinio saugumo analitikė ir Tel Avivo universiteto tarpdisciplininio kibernetinių tyrimų centro vyresnioji mokslo darbuotoja.
Elizabeth Bramson-Boudreau: Keren, sveiki atvykę į verslo laboratoriją.
Saunus Elazaris: Sveiki. Džiaugiuosi čia būdama. Džiaugiuosi galėdamas pakalbėti apie tai, ko galime pasimokyti iš įsilaužėlių ir kaip įsilaužėliai iš tikrųjų atlieka svarbų vaidmenį šiandieninėje informacinėje visuomenėje.
Elžbieta: Gerai. Taigi tai puiku. Pradėkime, nes tikrai noriu pakalbėti apie įsilaužėlio sampratą kaip apie tai, ką reikia švęsti. Manau, kad daugelis žmonių patikėjo, kad įsilaužėliai grasino, o jūs žiūrite į tai visai kitu požiūriu. Prieš pradėdami kalbėti apie jūsų požiūrį, ar galėtumėte šiek tiek papasakoti apie save ir kaip jūs tapote tokiu lyderiu ir atsidūrėte šia tema?
Saunus: Žinoma, Elžbieta. Savo kelią kibernetiniame pasaulyje, skaitmeninėje sferoje, jei norite, pradėjau dar būdamas labai jaunas. Man buvo gal 11 ar 12 metų, kai pirmą kartą gavome prieigą prie interneto Izraelyje, Tel Avive, kur aš užaugau. Ir aš maldavau savo tėvų turėti savo kompiuterį, prie kurio galėčiau prisijungti prie interneto. Tais laikais jūs turėjote patys tai išsiaiškinti, kaip priversti modemą veikti, kaip prisijungti prie reikiamų serverių, kaip sukonfigūruoti kompiuterį.
Ir tada, kai buvote prisijungę, iš tikrųjų jums reikėjo rasti savo kelią. Laimei, radau savo kelią pokalbių kambariuose ir internetinėse grupėse, skirtose žmonėms, kurie, kaip ir aš, aistringai domisi technologijomis. Anglų kalbos mokiausi rašydamas ir kalbėdamas su šiais žmonėmis pokalbių kambariuose, kurie net neįsivaizdavo, kad kalbasi su 13 metų mergina iš Tel Avivo.
Jiems aš buvau tik dar vienas įsilaužėlis, tik dar viena internetinė asmenybė už slapyvardžio. Būtent šiose internetinėse patalpose išmokau įvertinti, kokie smalsūs, kūrybingi ir novatoriški gali būti įsilaužėliais save vadinantys žmonės. Ir maždaug 1995 metais mano gyvenimas iš tikrųjų pasikeitė, nes tada pamačiau filmą „Hakeriai“, kuriame Angelina Jolie vaizduoja nuožmią vidurinės mokyklos programišę. Ir kai pamačiau tą filmą, aš tikrai prisijungiau. Iš karto susimąsčiau su istorija, kurią parodė tas filmas.
Ir tai buvo istorija apie šią vidurinės mokyklos įsilaužėlių grupę, kurie visi yra šiek tiek keistuoliai ar pašaliniai asmenys. Tačiau kartu kaip grupė jie iš tikrųjų užkirto kelią ekologinei katastrofai. Jie atskleidė įmonių korupciją. Jie FTB parodė, kur slepiasi tikrasis elektroninis nusikaltėlis.
Ir būtent ši vaikų grupė atrodė panašiai kaip aš ir klausėsi tos pačios muzikos, kurią klausiau aš, ir turėjo tą pačią ideologiją, kurią turėjau. Tai vaikų grupė, kuri parodė, kad esu įsilaužėlis, iš tikrųjų gali reikšti, kad esate istorijos herojus. Laimei, galėjau priimti įsilaužėlio kaip herojaus įvaizdį ir tos jaunos, galingos moters, kurią pavaizdavo Angelina Jolie, įvaizdį ir paversti tai savo realybe. Nusprendžiau, kad tai būtų mano pavyzdys ir kad norėčiau būti draugiškas įsilaužėlis, padedantis organizacijoms ir valstybėms suprasti saugumo problemas, kad galėtume sukurti geresnes sistemas ir užkirsti kelią katastrofiškoms pasekmėms. kibernetinių atakų.
Per visą savo karjerą, nuo tų, žinote, 90-ųjų vidurio, aš visada laikiausi tokio požiūrio. Dabar dirbau su įvairių tipų organizacijomis, su vyriausybinėmis agentūromis. Tarnavau Izraelio kariuomenėje. Dirbau su pirmaujančiomis Izraelio technologijų įmonėmis. Ir visose šiose vietose aš atkreipiau dėmesį į įsilaužėlių, ypač draugiško įsilaužėlių, požiūrį – kaip iš tikrųjų galime išspręsti šią problemą? Kaip galime sukurti ką nors geresnio? Taigi tai yra perspektyva, kurią turėjau per pastaruosius 25 metus, beveik per savo karjerą kibernetinio saugumo pasaulyje.
Elžbieta : Aš turiu galvoje, intuityviai suprantu, kodėl įsilaužėliai yra savotiški pašaliniai asmenys ir, žinote, cituoja „keistuolius“. Bet kas toje bendruomenėje daro ją taip, dažnai taip, taip ideologiškai pagrįstą?
Saunus: Mano nuomone, įsilaužėliai dažniausiai būna pašaliniai. Taip. Tačiau mes taip pat esame labai aistringi technologijoms. Ir tai kartais gali sukelti varginančių rezultatų, kai įsilaužėlių grupė nustato problemą ir bandome ją išspręsti, bet negauname reikiamo dėmesio arba iš karto esame įvardijami kaip nusikaltėliai ar vandalai. Ir tai dažnai veda prie tokio rezultato, kai žmonės mato, kad mes turime potencialiai kenksmingą požiūrį. Daugelis mano pažįstamų įsilaužėlių turi gal ne tą pačią ideologiją, bet visi dalijasi labai aistringais idealais apie technologijų vaidmenį mūsų gyvenime, prieigos prie informacijos apie šią mintį, kad žmonės turėtų prieigą prie žinių ir vaidmenį, vaidmenį. informacija, kad technologijos turėtų priklausyti ne tik didelėms įmonėms, o ne tik žmonėms, turintiems daug pinigų ar privilegijų, bet ir kad internetas ir technologijos turėtų būti demokratizuoti. Ir aš manau, kad tai galbūt ideologija, kurią rasite su daugybe įsilaužėlių.
Iš kur ji atsiranda? yra geras klausimas. Ir nėra taip, kad kiekvienas įsilaužėlis dalinsis tuo pačiu požiūriu ar ta pačia ideologija. Tačiau devintajame dešimtmetyje buvo šis stebuklingas dokumentas, apėmęs BBS, skelbimų lentų sistemas, o vėliau ir ankstyvuosius interneto žurnalus, ir šis dokumentas vadinosi „Hakerių manifestas“. O „The Hacker Manifesto“ jį parašęs asmuo kalba apie žmones, kurie domisi technologijomis kaip įsilaužėliais, žmones, kurie nori tyrinėti skaitmeninį pasaulį viskuo, ką jis turi, be jokių kliūčių, ir kad būtent tie žmonės vadina save programišiais. Taigi iš čia ir kilo ta ideologija. Žinoma, 90-aisiais taip pat buvo gana daug nusikalstamų elementų ir ypač organizuoto nusikalstamumo, kurie perėmė naują interneto ir technologijų pasaulio teikiamą potencialą. Ir šiuos žmones reikėtų vadinti kibernetiniais nusikaltėliais. Jie gali naudotis įsilaužimo įgūdžiais arba įsilaužimo galimybėmis, tačiau jie nebūtinai turi tas pačias ideologijas, kurias turi įsilaužėliai, su kuriais aš užaugau ir kuriems atstovauju.
Elžbieta: Pakalbėkime šiek tiek daugiau apie šią draugiško įsilaužėlio idėją. „Business Lab“ klausytojai vadovauja įmonėms ir labai susirūpinę, kad ši įmonė būtų apsaugota nuo kibernetinių grėsmių. Tai jūsų požiūris, ir aš norėčiau daugiau apie tai išgirsti, kad įsilaužėliai gali padėti rasti techninių problemų ir gali veikti kaip tam tikra imuninė sistema. Taigi, ką pasakytumėte žmonėms, kurie vadovauja savo įmonėms?
Kaip jie turėtų galvoti apie įsilaužėlių pasaulius ir apie ką jie turėtų galvoti, kai jiems rūpi kibernetinis saugumas ir tokie sprendimai, kuriuos jie turėtų priimti, kad išlaikytų ar skatintų didesnį saugumą šiose įmonėse?
Saunus: absoliučiai. Taigi, mano nuomone, įsilaužėliai gali būti imuninė sistema mūsų naujai sujungtai realybei. O tiems podcast'o klausytojams, kurie nori apie tai sužinoti daugiau, rekomenduoju perskaityti mano TED 2014 pokalbį, kuris vadinasi „Hakeriai yra interneto imuninė sistema“.
Nuo 2014 m. dalinuosi šia žinia, kad įsilaužėliai gali būti naudingi sąjungininkai su įvairiomis organizacijomis ir žmonėmis. Ir stebėtina, kad per pastaruosius porą metų vis daugiau įmonių atranda darbo su draugiška įsilaužėlių ekosistema vertę. Ir vienas puikus būdas, kaip tai iš tikrųjų įvyksta, yra reiškinys, žinomas kaip „bug Bounty“ programos. Taigi šios klaidų atlyginimo programos – taip pat kartais vadinamos pažeidžiamumo atskleidimo programomis arba pažeidžiamumo atlygio programomis – iš tikrųjų yra sistemos, kurias valdo labai didelės įmonės, tokios kaip Google, Facebook, Yahoo, Microsoft, Samsung ir net įmonės, kurios nėra griežtai technologijų įmonės, įmonės. pavyzdžiui, „United Airlines“, „Western Union“ ar net „Starbucks“, kavos tinklas. Visos šios įmonės iš tikrųjų turi klaidų kompensavimo programą.
O tai reiškia, kad jie aktyviai kviečia draugiškus įsilaužėlius pažvelgti į jų produktą, nesvarbu, ar tai jų programa, svetainė. Tai gali būti automobilis. Tesla atveju ji turi ilgalaikius santykius su įsilaužėliais. Ir jie iš esmės sako įsilaužėliams: Pažiūrėkite į mūsų produktą.
Jei rasite pažeidžiamumų, saugumo trūkumų ir jei galite mums papasakoti apie tas problemas, mes jums atlyginsime už jūsų pastangas, o tie atlygiai, dovanos, tai gali būti pinigai, sumokėti išankstinio mokėjimo kredito kortelėmis arba pavyzdžiui, debeto kortelės, bet jos taip pat gali būti nepiniginė atlygio forma, kuri iš tikrųjų turi daug simbolinės vertės įsilaužėlių ekosistemoje. Pavyzdžiui, tai gali būti marškinėliai, marškinėliai ar skrybėlės arba unikalūs potyriai.
Pavyzdžiui, prisimenu tam tikrus metus, kai „Microsoft“ išvedė vieną didžiausių klubų Las Vegase ir užsakė vieną didžiausių DJ bei prieigą prie to vakarėlio. Ir tas klubas su ta superžvaigždė Deejay buvo suteiktas tik tiems tyrinėtojams, tiems draugiškiems įsilaužėliams, kurie nustatė pažeidžiamumą ir atskleidė juos „Microsoft“ programai. Kitu atveju…
Elžbieta: Taigi tai tapo statuso dalyku, savotišku garbės ženklu būti pakviestam?
Saunus: Tikrai yra statuso elementas. Tiesą sakant, viena iš priežasčių, kodėl klaidų kompensavimo programos yra tokios sėkmingos, yra ta, kad jos iš tikrųjų sukūrė aplink jas socialinius tinklus su įsilaužėliais, kurie konkuruoja lyderių lentose. Galima sakyti, kad tai buvo žaisminga ir įsilaužėliai konkuruoja, kad patektų į pirmąją vietą penkių ar dešimties geriausių įsilaužėlių sąraše, kurie aptiko konkrečios svetainės ar programos pažeidžiamumą. Tam tikrais atvejais yra dar daugiau specialių apdovanojimų, kurie suteikiami tik geriausiems konkrečios programos įsilaužėliams. Pavyzdžiui, Tesla turi iššūkio monetą ir tai yra beveik kaip medalis, o jų yra tik 20 tokių Tesla iššūkių monetų pasaulyje ir jos išleidžiamos tik tiems geriausiems įsilaužėliams, kurie padeda Teslai. Tiesą sakant, praėjusią vasarą mačiau, kaip Elonas Muskas asmeniškai dalyvavo didžiausiame pasaulyje įsilaužėlių suvažiavime – renginyje pavadinimu DEF CON, kuris kasmet vyksta Las Vegase. Ir Elonas Muskas atvyko ten su savo komanda ir su savo Tesla ir SpaceX inžinierių vadovais, norėdamas pasikalbėti su talentingais įsilaužėliais, kurie sugebėjo rasti „Tesla“ produkto pažeidžiamumą. Žinoma, galbūt nenuostabu, kad su įsilaužėliais dirba inovatyvi kompanija, tokia kaip „Tesla“, ar Silicio slėnio milžinai, tokie kaip „Facebook“ ir „Microsoft“. Tačiau per pastaruosius porą metų tokios organizacijos kaip Pentagonas, Jungtinių Valstijų gynybos departamentas taip pat pradėjo savo programą „Hack the Pentagon“. Ir ta klaidų premijų programa tikrai parodė didelę iniciatyvą, puikius rezultatus. Nuo pat jos paleidimo iki šių metų Pentagono svetainėse buvo tiek daug spragų, kurios buvo aptiktos per tą programą. Taigi tai reiškia, kad nusikaltėliai, šnipai, blogi vaikinai, suradę pažeidžiamumą, jums nepasakos apie tai, ką atrado. Ir kurdami šias programas, mes veiksmingai leidžiame tai imuninei sistemai. Mes veiksmingai suteikiame tiems draugiškiems įsilaužėliams kelią, teisėtą teisinį būdą pranešti apie savo išvadas ir padėti mums tapti saugesniais.
Ir aš labai aistringai ir tikiuosi dėl tolesnio šių klaidų programų pritaikymo. Ir manau, kad kiekvienas verslo vadovas turi savęs paklausti, ar turime tokią galimybę draugiškiems įsilaužėliams pranešti apie savo atradimus?
Elžbieta: Turiu porą klausimų. Ar yra tam tikrų tipų klaidų, kurių ieškoti geriausiai tinka tokios rūšies premijų programos? Antra, kaip verslo lyderiai, kurie nevaldo „Tesla“ ar „Facebook“, yra nepaprastai didelės, gerai aprūpintos įmonės? Kaip jie gavo prieigą prie tokios programos?
Saunus: Taigi tai yra puikūs klausimai. Labai džiaugiuosi galėdamas kalbėti apie laisvų klaidų tiekimą tiek ilgai, kiek norite, nes tai iš tikrųjų buvo tyrimo, tyrimo, kurį atliekau Tel Avivo universiteto Kibernetinių tyrimų centre pastaruosius porą metų, esmė. . Ir vienas iš dalykų, kuriuos atradome, yra tai, kad šios programos yra labai vertingos, kai bandomas produktas arba platforma, į kurią žiūrima, jau yra viešai prieinama. Taigi, jei turite svetainę, pavyzdžiui, jei esate „United Airlines“ ir žmonės perka lėktuvų bilietus jūsų svetainėje, jūs jau turite labai viešai prieinamą produktą, kuris yra internete. Ir kai turite tokį produktą, tikrai naudinga, kad visi įsilaužėliai nustatytų pažeidžiamumą. Beje, „United Airlines“ atveju jie pinigų nemoka. Jie moka oro mylias. Ir žmonės uždirbo milijonus mylių, radę pažeidžiamumą „United Airlines“ svetainėje. Kitu atveju, kalbant apie programėles ar žiniatinklio sistemas ar net, kaip minėjau anksčiau, su automobiliais, su Tesla automobilinėmis sistemomis, kai yra vartotojui skirtas produktas, kuriame yra daug technologijų arba kai tas produktas yra žiniatinklyje arba tai programėlė mobiliesiems, tai tinkamas metas pasitelkti tų draugiškų įsilaužėlių pagalbą naudojant klaidų kompensavimo programas. Dabar jūs paklausėte, kaip mažos organizacijos gali mėgautis tokia nauda? Yra įvairių būdų. Svarbu suprasti, kad šiandien egzistuoja platformos, kurios iš tikrųjų tarpininkauja tokiems santykiams su tais įsilaužėliais. Minėjau, kad aplink jį buvo sukurti socialiniai tinklai. Dvi pagrindinės platformos vadinamos „HackerOne“ ir „Bugcrowd“.
Yra keletas kitų kompanijų, tačiau tai yra dvi didžiausios platformos ir jos iš tikrųjų tarpininkauja daugybei klaidų kompensavimo programų ir turi daugiau nei 100 000 draugiškų įsilaužėlių, kurie registruojasi ir naudoja tas platformas. Taigi tai yra prieiga prie daugelio įsilaužėlių. Taigi tai būtų vieta numeris vienas, į kurią rekomenduočiau pažiūrėti. Antra, svarbu suprasti, kad net ir maža organizacija gali turėti tam tikros formos įsitraukimo ar išeities iš darbo su draugiškais įsilaužėliais.
Viena vertus, iš tikrųjų yra tarptautinis suderinto pažeidžiamumo atskleidimo standartas, tai yra tarptautinis CVD suderinto pažeidžiamumo atskleidimo standartas. Ir aš galiu ieškoti to standarto numerio, kad galėčiau pasidalinti tuo su jūsų klausytojais.
Be to, yra dar vienas projektas, vadinamas security.txt. Ir tai, ką iš esmės sako security.txt projektas, sako, kad jei turite svetainę arba vartotojui skirtą technologiją, norite įsitikinti, kad kažkur jūsų svetainėje yra failas, vadinamas security.txt ir iš tikrųjų turi informaciją apie tai, su kuo žmonės turėtų susisiekti, jei jūsų svetainėje aptiktų saugos pažeidžiamumą. Nustebtumėte, kiek kartų paprastas dalykas, turėdamas tinkamą kontaktinę informaciją, leidžia draugiškam įsilaužėliui susisiekti ir pasakyti: „Ei, radau problemą jūsų svetainėje, radau klaidą jūsų svetainėje. kodas. Galbūt norėsite apie tai sužinoti.
Elžbieta: Teisingai. Tai labai prasminga. Taigi noriu šiek tiek pereiti prie kibernetinio saugumo grėsmių, susijusių ne tik su kompiuteriais ar tinklais, nagrinėjimu. Ir manau, kad, žinote, daugelis mūsų klausytojų žino, kad grėsmė tik didėja, kai daugėja prijungtų įrenginių. Pakalbėkite apie tai ir ką įsilaužėlių bendruomenė daro ir galėtų daryti, kad suteiktų didesnę paramą ir padėtų verslo lyderiams.
Saunus: absoliučiai. Prieš tai darydamas, noriu tik paminėti, kad tarptautinis standartas, apie kurį kalbėjau anksčiau, yra ISO 29147. Taigi tai yra tarptautinis standartas numeris 29 147, kuris iš tikrųjų yra tarptautinis suderinto pažeidžiamumo atskleidimo standartas, iš kurio bet kuri organizacija gali pasimokyti, pritaikyti ir taikyti. savo verslui. Taigi aš tiesiog norėjau suteikti jums informacijos apie tai. Dabar, kalbant apie klausimą, manau, jūs tikrai pataikėte vinį į galvą. Tai tikrai nebe apie informacines sistemas ar, žinote, mūsų telefonus ar kompiuterius.
Tikrai yra tiek daug naujų prijungtų technologijų, kuriomis kasdien pasitikime savo gyvenimu, nesvarbu, ar tai būtų prijungti namų užraktai ir stebėjimo sistemos, pvz., žiniatinklio kameros, ar, žinote, dalykai, kuriais pasitikime norėdami laiku gauti automobilį, navigacija. įrankiai, kuriais pasitikime, dalykai, kuriais remiasi lėktuvai, medicinos technologijos. Ir tai yra puiku, tai iš tikrųjų yra priežastis, kodėl mes dabar savo pramonėje kalbame apie kibernetinį saugumą, o ne apie informacijos saugumą, nes tai nebėra apie paslapčių, slaptažodžių ar kredito kortelių numerių apsaugą. Tai iš tikrųjų yra visų šių kibernetinių fiziškai prijungtų sistemų apsauga. Dabar, kai kalbama apie tuos IOT įrenginius, daiktų interneto įrenginius. Štai čia, manau, daugelis žmonių, nesvarbu, ar jie būtų verslo lyderiai, ar, žinote, privatūs asmenys, tikrai nesuvokia, kad turime būti vyriausiais informacijos pareigūnais savo namuose, nes šiais laikais kiekvienos šeimos namuose iš tikrųjų yra daugiau nei tuzinas įrenginių, paprastai, galbūt net daugiau. Ir jūs turite pramogų pultus, turite DVD, turite interneto kameras, turite programėlių ir planšetinių kompiuterių ir asmeninių įrenginių, žinoma, telefonų ir kompiuterių. Ir tikrai nėra jokio vyriausiojo informacijos saugos pareigūno ar vyriausiojo informacijos pareigūno, kuris už mus juos prižiūrėtų. Taigi, kaip asmenys, kaip vartotojai, iš tikrųjų yra pareiga užtikrinti, kad tuose įrenginiuose būtų atnaujintos operacinės sistemos aplinkos, kuriose neturite numatytojo vartotojo vardo ir slaptažodžių. Tai yra dalykai, kuriuos turime padaryti, ir niekas už mus to nedaro.
Ir čia šliaužia daug naujų rūšių grėsmių, nes daug žmonių jums sakys: „Ei, na, man nerūpi, jei kas nors įsilaužs į mano kieme esančią apsaugos kamerą, nes aš 'neturi ko slėpti'. Tačiau žmonės nesuvokia, kad nusikaltėliai mokosi naudoti visą šį skaitmeninį turtą kaip pėstininkus savo skaitmeninėse armijose. Ir per pastaruosius kelerius metus matėme didžiulius išpuolius, kai nusikaltėliai iš tikrųjų perėmė šimtus ir tūkstančius tokio tipo prijungtų įrenginių, nesvarbu, ar tai būtų interneto kameros, ar skaitmeniniai vaizdo įrašymo įrenginiai, kartais net biuro kopijavimo aparatai, tokie kaip „Xerox“ aparatas. Ir visus šiuos įrenginius nusikaltėliai gali panaudoti tolimesnėms kibernetinėms atakoms vykdyti. Taigi, kalbant apie šiuos įrenginius, kiekvienas iš mūsų taip pat turi prisiimti atsakomybę. Visų pirma, apsaugokite tą įrenginį, atnaujindami operacinę sistemą, pakeisdami numatytąjį slaptažodį. Beje, Kalifornijos valstijoje galioja naujas įstatymas, kuris bus taikomas 2020 m. sausio mėn. Jei iš tikrųjų parduodate ar parduodate bet kokį daiktų interneto įrenginį Kalifornijos valstijoje, turite įsitikinti, kad jame nebus numatytojo vartotojo vardo ir slaptažodžio derinio. Taigi jūs negalite turėti įrenginių, kurių slaptažodis yra vienas, du, trys, keturi ar kažkas panašaus, kaip matėme per pastaruosius porą metų. Taigi tai kažkas keičiasi Kalifornijos valstijoje. Tikimasi, kad pavyzdžiu paseks ir daugiau valstybių. Tačiau tai grąžina tai prie asmeninės atsakomybės, kurią turime kaip vartotojus. Be to, mes, kaip verslo savininkai, esame atsakingi ir galbūt esame sverto šaltinis. Kai perkame technologiją, kai įsigyjame technologiją iš tiekėjo, iš pardavėjo, kuris jas mums parduoda, iš tikrųjų galime pasakyti: „Ei, kokie yra jūsų saugos protokolai? Koks yra šio įrenginio operacinės sistemos arba programinės įrangos atnaujinimo būdas? Kaip galite patikrinti, ar tai nėra tik paprasti vieno, dviejų, trijų, keturių tipų slaptažodžiai? Kaip galiu pakeisti savo slaptažodžius? Ir tikiu, kad kai daugiau žmonių reikalaus geresnio iš pardavėjų, kurie kuria šias technologijas ir parduoda šiuos produktus, iš tikrųjų turėsime saugesnę ekosistemą.
Elžbieta: Taigi, manau, tai iš tikrųjų yra požiūris į apačią. Taigi pareiga tenka įrenginį perkančiam asmeniui, prijungtam įrenginiui arba įmonės saugos komandai. Jūs paminėjote Kalifornijos valstiją, bet apskritai, ar turėtume manyti, kad tai nepadės vyriausybės parama ar vyriausybės reguliavimas?
Saunus: Tiesą sakant, vyriausybės daro daug daugiau nei anksčiau. Ypač JAV matysime daugiau reguliavimo metodų, kurie bus šiek tiek agresyvesni įmonių ir verslo lyderių reikalavimuose turėti daugiau žinių apie kibernetinį saugumą, turėti organizacijos direktorių tarybos narį. turi kibernetinio saugumo žinių ir žinių. Mes jau matėme atvejus, kai, pavyzdžiui, iškeltoje byloje, manau, FTC prieš Uberį. Kaip tikriausiai girdėjote, per pastaruosius porą metų „Uber“ patyrė keletą duomenų pažeidimų. Kadangi ši byla buvo iškelta Federalinei prekybos komisijai, FTC iš tikrųjų labai atidžiai išnagrinėjo Uber taikomų saugumo kontrolės priemonių lygį. Ir jie iš tikrųjų samdo save išmanančius žmones, kurie dirba šioms vartotojų priežiūros institucijoms, kurios užduos labai smulkius, techninio lygio klausimus ir tikisi, kad įmonės turės pagrįstą saugumo kontrolę. Ką reiškia pagrįsta saugumo kontrolė?
Tai reiškia dalykus, kurie yra geriausios praktikos pavyzdžiai, dalykai, kurie laikomi tuo, ką darytų bet kuri kita tokio dydžio įmonė arba neperžengdama tokio biudžeto. Ir vienas iš pagrįstų kontrolės būdų, kurių pradeda ieškoti reguliuotojai, yra tai, ar įmonė iš tikrųjų turi kokių nors komunikacijos priemonių su tais draugiškais įsilaužėliais, kurie bando pranešti apie pažeidžiamumą? Taigi ar įmonė turi klaidų kompensavimo programą? Ar jie turi aiškią saugumo ar pažeidžiamumo atskleidimo politiką? Ar jie praneša žmonėms, kad yra būdas jiems pranešti apie pažeidžiamumą? Ir iš tikrųjų matome, kad vis daugiau reguliavimo institucijų pradeda kalbėti apie tai. Man labai pasisekė šia prasme, nes turiu seserį, kuri yra teisininkė ir dabar specializuojasi kibernetinio saugumo politikoje Jungtinėse Valstijose. Ir kartu su ja aš tiek daug sužinojau apie tai, kaip Amerikos reguliavimo institucijos iš tikrųjų pradeda siekti daug daugiau, kai kalbama apie Amerikos įmonių saugumo kontrolę.
Elžbieta: Na, tai puiku. Taigi pakalbėkime šiek tiek daugiau apie kitų rūšių grėsmes. Taigi kaip apie išpirkos reikalaujančią programinę įrangą? Šiame podcast'e kalbėjome apie išpirkos reikalaujančią programinę įrangą. Ar matote tai kaip realią ir augančią grėsmę?
Saunus: Taigi svarbu suprasti, kad išpirkos reikalaujančios programos buvo itin madingos 2017 ir 2018 m. Tačiau nusikaltėliai nuolat vystosi ir jie nesiruošia daryti to paties. Taigi, kas, žinote, buvo labai vertinga ir pelninga nusikaltėliams paleisti per pastaruosius porą metų, nebėra taip pelninga, nes vis daugiau organizacijų susitvarkė ir neketina mokėti išpirkos. Jie grįš prie atsarginės kopijos arba suras alternatyvų būdą, kaip apeiti tą išpirkos reikalaujančios programos šifravimą. Atsitiko tai, kad iš tikrųjų nusikaltėliai išsiaiškino daug pelningesnį metodą. Ir tai yra kažkas, kas vadinama kriptovaliutų pakėlimu, kartais dar vadinamu kriptovaliutų gavyba. O kriptovaliutų pakėlimas iš esmės yra tada, kai nusikaltėlis gali paleisti bet kokio tipo kenkėjišką kodą jūsų sistemoje, tai gali būti jūsų asmeninis kompiuteris, jūsų žiniatinklio serveriai arba debesies serveriai. Tai, ką jie ketina padaryti, yra tai, kad užuot šifravę duomenis ir prašydami išpirkos, jie iš tikrųjų paleis tyliąją programą, kuri išgaus kriptovaliutas. Labai populiarus sukčiavimas. Jūsų kompiuteris, kurį naudojate, tiksliai naudojate savo kompiuterį ir naudojate savo skaičiavimo galią. Taigi kai kurioms komunikacinėms įmonėms, kai tai atsitinka jų debesų serveriuose, kai taip nutinka, pavyzdžiui, AWS infrastruktūroje, tai iš tikrųjų gali sudaryti kelias dešimtis tūkstančių dolerių skaičiavimo energijos sąnaudų. O nusikaltėliai pasišalina su milijonais dolerių kriptovaliutų. Ir labai populiari kriptovaliuta, kuri buvo išgaunama tokiu būdu, vadinama Monero. Ir iš tikrųjų buvo tiek daug kampanijų, kurios kuria labai vengiamą kenkėjišką programą, kuri bus skirta tam Monero. Tiesą sakant, net „Wi-Fi“ tinklai „Starbucks“ filialuose visoje Argentinoje turėjo šią „Monero“ kenkėjišką programą. Taigi, kai žmonės prisijungdavo prie „Wi-Fi“, jie atidarydavo nešiojamąjį kompiuterį, kad prisijungtų prie „Starbucks Wi-Fi“.
Tiesą sakant, ta kasybos programinė įranga veikė jų kompiuteriuose penkias ar 10 sekundžių vienu metu, sukurdama daug pajamų kriptovaliutos pavidalu nusikaltėliams. Štai kodėl aš sakau, Elizabeth, tikrai svarbu pasimokyti iš to, ką daro įsilaužėliai. Tikrai svarbu pažvelgti į tai, ką daro nusikaltėliai, nes jie nuolat tobulėja. Čia daug laiko praleidžiu studijuodamas ir žiūrėdamas į šiuos naujus metodus, naujas tendencijas, būdus, kuriais nusikaltėliai tobulina savo žaidimą, nes jie sugalvoja iš tikrųjų labai naujus verslo modelius, kad galėtų panaudoti mūsų skaitmeninį turtą ir labai greitai paverskite juos pinigais. Ir jie nuolat daro kažką naujo.
Elžbieta: Taigi, kaip sužinoti, ko ieškote savo tinkle, kad nustatytumėte, ar jūsų tinklas yra pažeidžiamas tokio tipo kriptovaliutų keitimo ar kriptovaliutų gavybos? Aš turiu galvoje, tai skamba taip baisiai.
Saunus: Taip. Taip. Tai yra tai. Tai baisu. Tai puikus klausimas. Taigi vienas iš būdų, kaip pastebėsite, kad jūsų sistemose yra kriptovaliutų nulaužimo kenkėjiškų programų, yra, žinoma, jei mėnesio pabaigoje turite labai didelę Amazon Web Services sąskaitą, kuri yra daug didesnė nei tikėjotės, arba jei Peržiūrėję savo energijos suvartojimą pamatysite, kad staiga jūsų serveriai veikia daug didesniu procesoriaus greičiu, o jūsų procesoriai iš tikrųjų dirba daug sunkiau. Taip pat galite pastebėti, kad jūsų aparatas įkaista. Jis veikia vis karštesnis, nes centrinis procesorius dirba sunkiau. Ir jūs galite tai pastebėti net kaip individas, jei, žinote, jūsų ryšys atrodo labai lėtas. Jūs atidarote savo žiniatinklio naršyklę konkrečioms svetainėms ir užtrunka tikrai ilgai, kol jos įkeliamos. Tai gali reikšti, kad jūsų sistemoje gali būti tokio tipo šifravimo ar kriptovaliutų kenkėjiškų programų. Svarbu pažymėti, kad dažniausiai tokio tipo atakos dabar yra nukreiptos į tuos debesies atvejus. Taigi jie nebesirūpina individualiais žmonių kompiuteriais vien todėl, kad jie nebūtinai turi tokios skaičiavimo galios, kokios nori. Tačiau žaidėjai, turintys galingus kompiuterius, paprastai su GPU, taip pat su galingais grafiniais apdorojimo įrenginiais, gali būti labiau jautrūs tokio tipo kriptovaliutų gavybos kenkėjiškoms programoms.
Elžbieta: Ar ne AWS ir kiti debesų paslaugų teikėjai to ieškos, o ne tiesiog perduos didelę sąskaitą savo klientams? Manyčiau, kad jie darytų ką nors, ką žinote, jie tikrai galėtų priversti dirbtinį intelektą pažvelgti į bet kokius naudojimo šuolius ar neįprastą elgesį.
Saunus: Taigi tai labai, tai labai...Sutinku su jumis, kad būtų intuityvu tikėtis, kad debesų platformos tiekėjai padarys daugiau ir atkreips dėmesį į šias grėsmes. Tačiau realybė yra tokia, kad daugeliu atvejų nusikaltėliai patenka į žmonių sistemas dėl to, kad jie turi lengvai neapsaugotą, lengvai pasiekiamą, blogai sukonfigūruotą debesies egzempliorių. Taigi, debesų kompanija dažnai sakys, kad tai jūsų problema, nes palikote duris plačiai atviras. Nesukonfigūravote debesies serverių, kad jie būtų saugūs. Neįvedėte slaptažodžio arba naudojate numatytąjį slaptažodį arba naudojote labai gerai žinomą slaptažodį. Debesijos serveriuose buvo keletas gerai žinomų spragų. Taigi tai tikrai ne jų problema. Tai tavo. Ir tai, manau, grąžina mus namo prie pagrindinės problemos, su kuria dabar susiduria daugelis žmonių, vartodami technologijas. Tikrai nesuprantame, kokia atsakomybė vis dar tenka vartotojams. Technologijų tiekėjas turi daug lūkesčių, nesvarbu, ar tai debesies paslauga, ar daiktų interneto įrenginys, ar operacinė sistema. Turime daug lūkesčių, kad įmonė, parduodanti mums produktą, iš tikrųjų padarys daug daugiau saugumo srityje.
Tačiau realybė yra tokia, kad jų verslo modelis daugeliu atvejų grindžiamas tuo, kad klientas prisiima didesnę atsakomybę ant savo pečių. Ir mes nebūtinai tai suvokiame. Dabar nenoriu tiesiog vardinti ir gėdinti įmonių. Tikrai yra debesų paslaugų teikėjų, kurie daro daugiau. Žinau, kad „Amazon“ ir „AWS“ turi didelę komandą, kuri šiuo metu savo platformoje ieško saugumo grėsmių. Jie tiesiog yra populiariausi tarp nusikaltėlių, nes tai yra galingiausia debesų platforma. Taigi mes tikrai turime tęsti visą laiką. Atsiras šis katės ir pelės žaidimas ir akimirka, kai „Amazon“ žmonės suras būdą, kaip sustabdyti kriptovaliutų įsilaužimo kenkėjiškas programas iš kampanijų, nuo naujo tipo atakų plitimo.
Elžbieta: Taigi, tai puiki vieta mums pereiti prie kito ir paskutinio mano klausimo, kas bus toliau? Ir aš nesu tikras, kas yra katė, o kas - pelė? Bet kur katė eina toliau? O kur su kibernetiniu saugumu susiję lyderiai turi galvoti apie grėsmės ateitį?
Saunus: Tikrai neaišku, kas čia katinas, o kas – pelė. Tu esi visiškai teisus. Bet kalbant apie tai, apie ką aš galvoju galvodamas apie tai, kas bus toliau, galvoju apie žmones ir galvoju apie žmogaus talentą. Aš galvoju apie žmones, kurie bus tie saugumo profesionalai, draugiški įsilaužėliai, ateities verslo lyderiai. Ir kaip mes galime priversti tuos žmones būti tokius pat išmanančius, novatoriškus, kūrybingus, kaip ir kai kurie blogi žmonės? Nes manau, kad tol, kol žmonės rašys kodą, turėsime pažeidžiamumų, kol žmonės naudosis technologijomis. Bus piktavališki asmenys ir organizacijos, kurios norės naudoti šią technologiją, siekdamos blogos naudos arba manipuliuoti. Ir mums reikės daugiau žmonių nei bet kada anksčiau. Taigi, mano nuomone, draugiška įsilaužėlių bendruomenė gali padėti. Tačiau taip pat labai svarbu investuoti į kibernetinį saugumą, švietimą ir informuotumą, todėl aš bėgu. Be Tel Avivo, tai didžiausias Izraelio įsilaužėlių bendruomenės ir saugumo tyrimų bendruomenės renginys. Štai kodėl Tel Avivo universitete rengiame renginį, vadinamą Tel Avivo kibernetinė savaitė, kuri kiekvieną vasarą suteikia žinių ir informacijos daugiau nei 8 000 žmonių. Štai kodėl keliaudamas, kai turiu laisvo laiko, skiriu savo laiką dalyvaudamas programišių renginiuose ir nesvarbu, ar tai būtų bendruomenės susitikimas, ar technologijų konferencija, nes tikrai turime atkreipti dėmesį į dabar atliekamus tyrimus ir žinias. sukurta draugiškų įsilaužėlių, kad iš tikrųjų galėtume pritraukti daugiau žmonių, apsiginkluotų informacija ir žiniomis. Jie turi sukurti geresnę ir saugesnę mūsų visų ateitį. Viena sritis, apie kurią daugelis galvoja, yra AI sritis.
Ir tai yra kažkas, kas, žinote, labai svarbu norint suprasti, kad iš tikrųjų galime dalyvauti ginklavimosi varžybose, kai kalbame apie AI technologijas ir konkrečiai dirbtinį intelektą, skirtą kibernetiniam saugumui, tiek puolime, tiek gynyboje. Tačiau nors ginklavimosi lenktynės iš tikrųjų tampa realybe, vyksta lenktynės dėl talentų, žmonių, kurie iš tikrųjų gali sukurti tos naujos kartos sistemą, įdarbinimo. Ir tai yra sritis, kurioje, manau, šiuo metu Jungtinės Valstijos turi pranašumą. Ir jei norite išlaikyti šį pranašumą, turite ir toliau investuoti į tokias žinias ir talentus bei ugdyti pašalinius įsilaužėlius, kurie iš tikrųjų gali būti ateities gynėjai.
Elžbieta: Taigi, Keren, kur žmonės gali gauti daugiau informacijos, jei nori daugiau sužinoti apie kai kuriuos dalykus, apie kuriuos šiandien kalbėjote?
Saunus: Taigi mane labai lengva rasti internete. Mano vardas Keren Elazari. Tačiau įsilaužėlių pasaulyje esu žinomas kaip Keren E. Visi E rašomi trimis. Taigi galite apsilankyti mano svetainėje K3R3N3.com. Mane galite rasti LinkedIn. Galite žiūrėti mano TED pokalbį Ted.com: „Hakeriai yra interneto imuninė sistema“. Yra įvairaus turinio, kurį skelbiu „YouTube“. Kviečiame apsilankyti Tel Avivo kibernetinės savaitės renginyje. Ir BSides Tel Aviv, BSidestlv.com yra svetainė, kurią norite aplankyti, jei norite atvykti ir patirti įsilaužėlių bendruomenę, kurią turime čia, gražiame saulėtame Tel Avive.
Elžbieta: Nuostabu. Na, labai ačiū, kad prisijungėte prie mūsų verslo laboratorijoje.
Saunus: Ačiū, Elizabeth.
Elžbieta: Štai šiai „Verslo laboratorijos“ serijai. Aš esu jūsų vedėja Elizabeth Bramson-Boudreau. Esu „MIT Technology Review“ generalinis direktorius ir leidėjas. Mes buvome įkurti 1899 m. Masačusetso technologijos institute. Mus galite rasti atspausdintus žiniatinklyje, dešimtyse tiesioginių renginių kiekvienais metais, o dabar ir garso formatu. Norėdami gauti daugiau informacijos apie mus ir pasirodymą, apsilankykite mūsų svetainėje adresu technologyreview.com. Ši laida pasiekiama visur, kur gaunate podcast'us.
Jei jums patiko šis epizodas, tikimės, kad skirsite šiek tiek laiko įvertinti ir peržiūrėti mus „Apple Podcasts“. „Business Lab“ yra „MIT Technology Review“ produkcija.
Mūsų vyresnioji redaktorė yra Mindy Blodgett. Šį epizodą sukūrė Collective Next su Emily Townsend redakcijos pagalba. Ypatingas ačiū mūsų svečiui Keren Elazari.
Ačiū, kad klausėte. Netrukus grįšime su kita serija.