Ransomware، Cyber-Savviness و اتصال امنیت عمومی-خصوصی

نیتین نطراجان معاونت CISA (آژانس امنیت سایبری و امنیت زیرساخت)، و دارای تجربه گسترده در فضای امنیت سایبری، از جمله نظارت بر زیرساخت های حیاتی برای شورای امنیت ملی ایالات متحده و وزارت بهداشت و خدمات انسانی ایالات متحده است. 

در این گفتگو با شریک عمومی a16z جوئل د لا گارزا (که قبلاً افسر ارشد امنیتی در Box بود و تیم‌های امنیتی را در مؤسسات مالی متعددی رهبری می‌کرد)، ناتاراجان توضیح می‌دهد که چرا چشم‌انداز تهدید امنیت سایبری در حال تحول سازمان‌ها را در هر اندازه‌ای مجبور می‌کند - و همچنین افراد - برای اینکه در فضای سایبری باهوش تر شوند. او تعدادی از موضوعات دیگر را نیز پوشش می‌دهد، از جمله اینکه چگونه صنعت و دولت می‌توانند به بهترین شکل با یکدیگر همکاری کنند تا اطلاعات را به اشتراک بگذارند و از همه محافظت کنند.

این یک نسخه ویرایش شده از یک بحث زنده است که در ماه می برگزار شد. تو می توانی کل بحث را در قالب پادکست از اینجا بشنوید.

---

جوئل د لا گارزا: شما و CISA چگونه به اولویت بندی تهدیدها فکر می کنید؟ به نظر می رسد که این یک کلید برای هر کاری است که می خواهید انجام دهید.

نیتین ناتاراجان: همانطور که ما به اولویت بندی نگاه می کنیم، به درک واقعی این خطرات سیستمیک ختم می شود. چگونه می‌توانیم به بیان داستان تجزیه و تحلیل تأثیر آبشاری کمک کنیم تا مردم بتوانند در مورد مکان سرمایه‌گذاری و سرمایه‌گذاری در برابر چه ریسک‌هایی تصمیم بگیرند؟ 

یا چگونه به عنوان یک مدفوع سه پا در معرض خطر نگاه کنیم؟ من فکر می کنم که ما زمان زیادی را صرف صحبت در مورد شناسایی ریسک می کنیم. ما زمان زیادی را صرف صحبت در مورد کاهش ریسک می کنیم. ما آن پای سوم را فراموش می کنیم که برای من همین است هر خطری را که شناسایی می کنیم و کاهش نمی دهیم، می پذیریم. و ما همیشه مقداری ریسک را می پذیریم. یعنی من تا اینجا رانندگی کردم روی صحنه رفتم بالا من با آمدن به اینجا ریسک کردم. با رفتن و احتمالا افتادن ریسک می کنم.

اما چگونه مطمئن شویم که چشمانمان به آنچه می پذیریم باز است؟ و چگونه می‌توانیم آن چشم‌انداز ریسک را درک کنیم و از آن برای اولویت‌بندی خود استفاده کنیم؟ و سپس چگونه به این موضوع در 16 بخش حیاتی که در سطوح مختلف بلوغ هستند نگاه کنیم؟

صنایعی مانند بخش مالی بازده سرمایه گذاری قابل سنجشی از سرمایه گذاری در امنیت سایبری داشته اند، اما ما بخش های دیگری را داریم که به این اندازه یا طولانی در آن حوزه سرمایه گذاری نکرده اند. ما می‌خواهیم بتوانیم ریسک را به گونه‌ای بررسی کنیم که اذعان کنیم که افراد در مکان‌های مختلف هستند و این موضوع با شرکت‌های چند ملیتی بزرگ و همچنین کسب‌وکارهای کوچک صحبت می‌کند. همانطور که به ریسک‌های زنجیره تامین نگاه می‌کنیم، بسیاری از این ریسک در شرکت‌های بزرگ چندملیتی نیست، بلکه در کسب‌وکار کوچکی است که آن قطعه کوچک را ایجاد می‌کند، آن یک ویجت که حیاتی است.

بنابراین اولویت‌بندی برای ما یک چالش است زیرا ما در حال بررسی کل صنایع هستیم - عمودی و افقی. اما چیزی که ما می خواهیم امتحان کنیم و انجام دهیم این است که واقعاً بفهمیم که این خطر سیستمیک چیست.

رسانه ها و صنعت امنیت تمایل دارند همیشه در مورد تهدیدات یکسان صحبت کنند. چه چیزهایی برای شما مهم است که ما هر روز در مورد آنها نمی شنویم؟

من فکر می کنم بزرگترین تهدید خود راضی بودن است. در مورد اینکه دشمن کیست و چه شکلی است، صحبت های زیادی شده است. و چگونه درگیر شویم؟ اما چیزی که من واقعاً نگران آن هستم این است که مردم واقعاً پتانسیل قربانی شدن آنها را درک کنند و اینکه چگونه تهدید را متعلق به خودشان می دانند.

چیزهایی مانند هک خط لوله استعماری و حوادث دیگر به آن کمک کرده است، جایی که مردم در گذشته فکر می کردند، "من نمی توانم قربانی باشم. هیچ کس دنبال من نخواهد آمد: من یک تجارت کوچک هستم، یا من یک حوزه قضایی کوچک روستایی هستم، یا من یک مدرسه هستم، و شما چه دارید. آنها نگران من نیستند. آنها نگران شهرهای نیویورک هستند، آنها نگران شرکت های چند ملیتی بزرگ هستند. من فکر می کنم آنچه که ما می بینیم این است که مردم می توانند ببینند که تهدید برای آنها واقعی است. 

ما یک حادثه با یک مدرسه کوچک داشتیم که قربانی باج افزار شد. با شماره تماس گرفتند و گفتند: «پول نداریم. ما فقط همین مدرسه کوچک هستیم. تو نمی فهمی.» و مهاجمان گفتند: "نه، ما می دانیم چقدر پول داری."

در مورد از بین بردن برخی از این بی حسی یا آن رضایت از جانب عموم چگونه فکر می کنید؟

فکر کنم آموزش باشه مصرف کننده را وادار به پرسیدن سوال می کند. بنابراین، برای مثال، اگر به بانک می روید، آیا بانک از احراز هویت چند عاملی استفاده می کند؟ شما می‌خواهید به دنبال آن نوع قابلیت‌ها و همچنین کارهایی که آن مؤسسه با اطلاعات شخصی و منابع شما انجام می‌دهد، باشید و چه ارزشی دارد.

من فکر می کنم که مردم را به درک چیزهایی مانند اینترنت از چیزهاییو اینکه ما آسیب پذیری های بیشتری را به جهان معرفی می کنیم، مهم است. منظورم این است که ما یخچال های متصل به اینترنت داریم. من مخالف آن نیستم. من نمی دانم چه کاری متفاوت از یخچال من انجام می دهد. اما همه این موارد آسیب‌پذیری‌های جدیدی را ایجاد می‌کنند. 

روز پیش به شوخی به کسی گفتم که دوست دارم به سرگذشت قبلی خود برگردم موتورولا StarTAC روزها. ما قابلیت ها و فناوری های زیادی را در دستگاه های تلفن همراه خود آورده ایم. اما با آن، خطر را به ارمغان آوردیم. و من فکر نمی کنم که ما زمان کافی را صرف صحبت در مورد خطر کرده ایم، زیرا ما در مورد اندازه پیکسل و توانایی انجام بازی صحبت می کنیم.

من فکر می کنم ما باید نسل آینده را نیز آموزش دهیم. می توان گفت، من گم شده ام. من به آنچه اعتقاد دارم باور دارم، می دانید، و چگونه نظر من را تغییر می دهید؟ اما من به بچه‌هایم نگاه می‌کنم که از دبیرستان بیرون می‌آیند، و مردم می‌گویند: «اوه، آنها خیلی هستند هوش سایبری" و من می‌توانم بگویم که نیستند - پیشنهاد می‌کنم که هستند زیرک فن آوری. آن‌ها از زمانی که دو ماهه بودند از آی‌پد استفاده می‌کردند، اما همچنان رمز عبور را در پشت آی‌پد یا پشت صفحه‌کلید خود می‌چسبانند.

بنابراین، من فکر می کنم که ما معادل سازی کرده ایم هوش فنی با هوش سایبری. ما باید آنها را در فضای سایبری آگاه کنیم. ما باید آن را در نسل بعدی بسازیم تا آنها واقعاً آن را در زندگی روزمره خود، چه شخصی و چه از نظر حرفه ای، بسازند.

آیا تهدیدهایی وجود دارد که ما بیش از حد نسبت به آنها وسواس داریم و احتمالاً ما را از خطر واقعی دور می کند؟

ما زمان زیادی را صرف بررسی کوتاه مدت می کنیم. این طبیعت است، به طور پیش فرض است. ما بر آنچه در اینجا و اکنون است، آنچه در مقابل ماست تمرکز می کنیم. اما نمی‌دانم که آیا زمان کافی را صرف بررسی بلندمدت می‌کنیم یا خیر - اگر واقعاً، واقعاً به این نگاه کنیم که تاب‌آوری در 5 سال، 10 سال، 15 سال چگونه به نظر می‌رسد. و فکر می کنم به این دلیل است که سخت است. ما نمی دانیم که فناوری در 5 یا 10 سال آینده به کجا خواهد رسید، بنابراین تشخیص اینکه کجا تمرکز کنیم دشوار است. بنابراین ما روی چیزی که بلافاصله با ما روبرو می شود تمرکز می کنیم.

من فکر می‌کنم که باید زمان بیشتری را برای تاب‌آوری طولانی‌مدت صرف کنیم، زیرا ساختن آن زمان می‌برد. وقتی به راه حل های سازمانی یا در دولت نگاه می کنم، بسیاری از این نوع کارها تلاش های چند ساله هستند. و اغلب، حداقل در فرآیند تملک دولت، زمانی که محدوده خود را تعیین کرده ایم و تملک را انجام داده ایم، قبلاً منسوخ شده است. و ما فقط چرخه را دوباره شروع می کنیم.

بزرگترین چیز تعامل با ما است. ما روابط بسیار خوبی با شرکا داریم که می دانیم. بزرگترین نگرانی من این است که ما شرکای زیادی داریم نمی دانم.

بیایید در مورد وضعیت روسیه و اوکراین صحبت کنیم. یکی از چیزهایی که به عنوان یک ناظر منفعل بسیار جالب است این است که ما همان هرج و مرج گذشته را نداشته ایم - نه پتیا و این چیزهایی که برای برهم زدن اوکراین طراحی و توسعه داده شد اما از بین رفت و تجارت جهانی را مختل کرد. به نظر می رسد که در این تکرار، خسارت جانبی بسیار کمتری وجود داشته است. 

آیا این به این دلیل است که ما به تازگی سطح خود را بالا برده ایم و کارهای زیادی انجام می دهیم؟ آیا این کار استانداردهای رانندگی دولت و اطلاع رسانی به مردم است؟ چون ما گرفتیم سپر اعلامیه ای که بسیاری از هیئت مدیره هایی که من در آن حضور دارم و افرادی که با آنها کار می کنم بسیار جدی گرفته اند. 

من فکر می کنم این از چند جهت تغییر کرد. قطعا تغییراتی با حریف و برخی از رویکردها وجود داشت. من فکر می‌کنم که قطعاً تغییراتی از طرف دولت و کاری که ما در طول چندین سال انجام داده‌ایم برای بالا بردن سطح واقعی وجود دارد. بسیاری از آن به دلیل همکاری با صنعت است، و بسیاری از مواردی که به صنعت کمک کرده تا انعطاف پذیرتر شود. من فکر می کنم مردم بیشتر از چندین سال پیش به امنیت سایبری اعتقاد دارند. و بنابراین، همه این چیزها با هم ما را به جایگاه خوبی رسانده است.

مدتی در فضای بهداشت عمومی بودم و مدت زیادی است که با همه گیری ها مبارزه کرده ایم. این برای ما تازگی ندارد. و ما در حال مبارزه با بیماری های همه گیر بودیم، به یاد می آورم زمانی که H1N1 - آنچه ما فکر می کردیم یک بیماری همه گیر بود - شیوع پیدا کرد. کم می دانستیم. و، می‌دانید، آنچه ما در آن زمان گفتیم این بود که نمی‌توانیم به یک موقعیت دورکاری کامل یا دورکاری برویم، زیرا سیستم‌های IT نمی‌توانند آن را مدیریت کنند. خوب، 12 سال به جلو رفت و ما آن را به پایان رساندیم. ما این کار را نه فقط به دلیل انتقال به فضای ابری انجام دادیم - بسیاری از چیزها ما را به جایی که امروز هستیم هدایت کردند.

بنابراین فکر می‌کنم همانطور که به NotPetya در مقابل اکنون نگاه می‌کنیم، بخشی از آن واقعاً هم تغییرات در طرف دشمن، هم تغییرات در سمت ما و هم تغییرات در شراکت و رابطه است. Shields Up یک مثال عالی است که در آن می‌توانیم به جلو متمایل شویم و اطلاعات بیشتری را با شرکای صنعتی به اشتراک بگذاریم، هم در سطح طبقه‌بندی‌شده و هم در سطح طبقه‌بندی نشده. چگونه اطلاعات را از آنجا بدست آوریم؟ چگونه می توانیم مردم را به اطلاعاتی که ما در آنجا منتشر می کنیم اعتماد کنند؟

هدف ما در پایان این نیست که همه اسناد طبقه بندی شده را به همه برسانیم یا همه را با مجوز امنیتی پاک کنیم. ما هرگز آن اطلاعات را به موقع دریافت نخواهیم کرد. این اطلاعات را به نحوی به دست می‌آورد که مردم واقعاً بتوانند از آن استفاده کنند. در طول سال‌ها، من نوعی مانترا در مورد اشتراک‌گذاری اطلاعات ایجاد کرده‌ام. برای من این است: چگونه می توانیم اطلاعات درست را به موقع به افراد مناسب برسانیم که نتیجه آن است مطلع تر تصمیم گیری. بنابراین با وجود اینکه تصمیم یکسان است، حداقل بهتر است مطلع شوید.

و بنابراین، همانطور که به این رویداد نگاه کردیم، و آنچه دیدیم، مکانیسم‌هایی برای به دست آوردن اطلاعات در آنجا داشتیم. ما افرادی را داشتیم که کیفیت اطلاعاتی که منتشر می شد را باور داشتند. من همچنین فکر می کنم ارزش دارد که به جلو خم شویم و بگوییم اطلاعات زیادی نداریم. و ما چیزهای واقعا منحصر به فردی دیدیم. ما اطلاعات زیادی در اختیار داشتیم که توانستیم خیلی سریع از فضای طبقه بندی شده به تریبون برسانیم - در برخی موارد در زمان بی سابقه - و واقعاً توانستیم از آن برای هدایت تصمیم گیری افراد در مورد اقداماتی که باید انجام دهند استفاده کنیم. بنابراین من فکر می کنم که این یک پاسخ قوی و موثر بوده است.

اما همه چیز مربوط به همکاری و مشارکت است، زیرا اگر اطلاعاتی قابل استفاده نباشد، فقط ما نیستیم که اطلاعات را در آنجا قرار دهیم. و تا زمانی که نتوانیم بازخورد دریافت کنیم و واقعاً آن سیستم‌ها را طوری بسازیم که به ما امکان می‌دهد با هم کار کنیم، آن را تغییر نمی‌دهیم. ملی چشم انداز همانطور که ما به زیرساخت های حیاتی نگاه می کنیم.

من به بچه‌هایم نگاه می‌کنم که از دبیرستان بیرون می‌آیند، و مردم می‌گویند: «اوه، آنها خیلی هستند هوش سایبری" و من می‌توانم بگویم که نیستند - پیشنهاد می‌کنم که هستند زیرک فن آوری. آن‌ها از زمانی که دو ماهه بودند از آی‌پد استفاده می‌کردند، اما همچنان رمز عبور را در پشت آی‌پد یا پشت صفحه‌کلید خود می‌چسبانند.

من دوست دارم نظر شما را در مورد باج افزار دریافت کنم. دولت در مورد آن بسیار جدی شده است. و اتفاقاً بیشتر در مناطقی متمرکز است که اکنون با یکدیگر درگیر هستند. من در مورد رویکرد شما برای برخورد با باج افزارها و اینکه چگونه ممکن است برخی از آنها را از بین ببرید، کنجکاو هستم. چون به نظر می رسد که شاید بهتر شده است…

من دوشاخه ام را برای سایت باج افزار ما، جایی که ما سعی کردیم همه چیز را در یک وب سایت مرکزی قرار دهیم تا اطلاعات را در آنجا به دست آوریم. اما من فکر می کنم خیلی چیزها به آموزش بستگی دارد. این به مردم آموزش می دهد که قرار نیست یک میلیون دلار از طریق ایمیل دریافت کنید - یک چک کاغذی بزرگ دریافت خواهید کرد، یک نفر به درب خانه شما می آید و زنگ را به صدا در می آورد. من فکر می کنم این به این بستگی دارد که مردم بفهمند قربانیان بالقوه چه کسانی هستند.

داشتیم یک حادثه با یک مدرسه کوچک که قربانی باج افزار شد. با شماره تماس گرفتند و گفتند: «پول نداریم. ما فقط همین مدرسه کوچک هستیم. تو نمی فهمی.»

و مهاجمان گفتند: «نه، ما می دانیم چقدر پول دارید. ما صورت حساب بانکی شما را داریم. ما می دانیم که شما چقدر دارید. و ما می دانیم که چقدر می توانید پرداخت کنید و آنچه از شما می خواهیم کاملاً متناسب با مبلغی است که در بانک دارید. بنابراین ما همه چیز را نمی گیریم، ما کمی چیزی را ترک می کنیم. اما، در واقع، این چیزی است که ما می خواهیم.»

و منطقه مدرسه گفت: "خب، شما بیت کوین می خواهید. من نمی دانم چگونه این کار را انجام دهم.» 

ما یک میز کمک داریم. ما میزهای کمکی به 14 زبان مختلف داریم که می‌توانند به شما در دریافت بیت کوین کمک کنند. پس چگونه می توانیم به شما کمک کنیم؟»

بنابراین فکر می‌کنم با استفاده از باج‌افزار باید به مردم اجازه دهیم آسیب‌پذیری‌ها، خطرات، هدف‌ها را درک کنند، و اقداماتی که باید انجام شود [روندهای باج افزار 2021 مشاوره مشترک CISA را ببینید]. و تاثیر پولی. با حملات باج افزار و با انواع دیگر چیزهایی که می بینیم، مردم هستند فرد کاربران اما من همچنین فکر می کنم مردم شروع به توجه کرده اند. من فکر می کنم مردم شروع به کلیک نکردن روی همه چیز کرده اند.

I do نگران چیزهایی مانند بیماری های همه گیر و آن دسته از چیزهایی باشید که در آنها پتانسیل فرصت های بیشتری داریم. یا شخصی که 300 ایمیل در صندوق ورودی خود دارد و فقط باید از طریق آنها عبور کند، که قربانی این نوع چیزها می شود. و بنابراین ما باید فشار را حفظ کنیم. ما باید پیام رسانی را ادامه دهیم. 

و ما نیاز داریم که نسل جوان را نیز متوجه این موضوع کنیم. چون من اشتباه کردم که صندوق ورودی دبیرستانم را نگاه کردم. و من نمی دانم که آیا آنها ایمیل های خود را می خوانند یا نه. من نمی دانم آنها چه چیزی دارند... صدها - صدها - ایمیل وجود دارد. من حتی نمی دانم اهل کجا هستند و چگونه آنها را به دست آورده اند. چگونه آن نسل بعدی را آموزش دهیم که در مکان بهتری باشند؟

هدف ما در پایان این نیست که همه اسناد طبقه بندی شده را به همه برسانیم یا همه را با مجوز امنیتی پاک کنیم. . . . برای من این است: چگونه اطلاعات درست را به موقع به افراد مناسب برسانیم که نتیجه آن باشد مطلع تر تصمیم گیری.

بسیار خوب است که بفهمیم چگونه در بخش خصوصی می‌توانیم با دولت تعامل بهتری داشته باشیم و به بهبود اوضاع کمک کنیم. چون یکی از این ورزش‌های تیمی است که اگر برنده نشدیم همه با هم می‌بازیم.

من فکر می کنم بزرگترین چیز تعامل با ما است. ما روابط بسیار خوبی با شرکا داریم که می دانیم. بزرگترین نگرانی من این است که ما شرکای زیادی داریم نمی دانم. ما نمی دانیم آنها کجا هستند یا چگونه به آنجا برسیم. CISA یک سازمان در حال رشد است - ما یک نیروی میدانی در سراسر کشور 500 نفری داریم و باید به رشد آن ادامه دهیم - اما حتی 500 نفر هم یک قطره در سطل است. بنابراین، ما باید بدانیم که چگونه و با چه کسی تعامل کنیم. و اینجاست که فکر می‌کنم صنعت می‌تواند کمک کند، زیرا فرصت‌های بیشتری برای مشارکت صنعت وجود دارد تا ما را با آن شرکای مناسبی که می‌توانند به ما در بالا بردن سطح انعطاف‌پذیری کمک کنند مرتبط کنیم.

و سپس ما را صادقانه نگه دارید. ما را صادق نگه دار و به ما آموزش بده. می دانید، ما واقعاً سعی می کنیم در بسیاری از تعاملات خود به جلو متمایل شویم، زیرا فکر می کنم در گذشته، ترس زیادی در مورد نحوه تعامل ما با صنعت وجود داشت: "چه کاری می توانیم انجام دهیم؟" "چه می توانیم بگوییم؟" "چه چیزی نمی توانیم بگوییم؟" 

ما اکنون تیمی را در CISA ساخته‌ایم که واقعاً رو به جلو است، جایی که ما از این تعامل نمی‌ترسیم. بله، خطوط وجود دارد، اما ما عرض جغرافیایی زیادی در این خطوط داریم. ما واقعاً سعی می‌کنیم در آن نرده‌های محافظ بمانیم - نمی‌خواهیم تصادف کنیم و از صخره خارج شویم - اما تا زمانی که در آن نرده‌ها بمانیم، خوب هستیم.

بنابراین من فکر می کنم بزرگترین چیز این است که به ما چیزی را که نمی دانیم به ما بگویید. و من می دانم که چیزهای زیادی وجود دارد که ما نمی دانیم. اما کمک به آموزش دادن به ما در مورد آنچه که هستند، کمک به ما در پاسخگو ماندن در مورد کارهایی که انجام می‌دهیم یا انجام نمی‌دهیم، واقعاً فکر می‌کنم به ما کمک می‌کند تا به جلو برویم و آن جهش‌های مهمی را که باید انجام دهیم، انجام دهیم.

ارسال شده در 4 ژوئیه 2022