Інтерв’ю з Полом Мартіні – iboss

Авіва Закс

Опубліковано: Липень 11, 2022

Авіва Закс з Детективи безпеки нещодавно взяв інтерв’ю у Пола Мартіні, генерального директора та співзасновника iboss. Вона запитала його про те, як його компанія забезпечує безпеку мережі.

Детективи безпеки: Що спонукало вас і вашого брата Пітера створити iboss?

Пол Мартіні: Я працював у компанії Copper Mountain Networks. Це було на початку широкосмугового зв’язку та таких речей, як високошвидкісне підключення. У той час, на початку 90-х, усі працювали за настільним комп’ютером, який знаходився під столом. Таким чином, усі стратегії безпеки базувалися на стратегії замку та рову, де ви в основному захищаєте фортецю.

Оскільки всі співробітники працювали в офісі, то тут була введена вся охорона. Існує багато різних технологій кібербезпеки, але мережева безпека застосовується саме тоді, коли дані переміщуються з вашого ноутбука чи комп’ютера до певного пункту призначення, де вони діють як контрольно-пропускний пункт безпеки в аеропорту.

Безпека мережі відкриває багаж і шукає зловмисне програмне забезпечення, програми-вимагачі або втрату даних. У вас є брандмауери, проксі-сервери та все це обладнання, яке було встановлено в офісі, щоб гарантувати, що дані, які надходять і виходять з офісу, перевіряються та захищаються від шкідливих програм.

Якщо ви озирнетеся на той час, то побачите, що пропускна здатність і з’єднання зростають із появою смартфонів Blackberry та людей, які використовують їх як комп’ютер для електронної пошти. Справжнє питання полягало в тому, що станеться, коли телефон у вашій руці стане вашим комп’ютером?

SD: Що переносить нас у сьогоднішній день, правда?

П.П.: правильно. Зараз iPhone і ноутбуки настільки потужні, що ні в кого більше немає робочого столу. Але як тільки це сталося, ви не могли змусити когось залишитися в замку. Охорона повинна стежити за користувачем, де б він не працював. Отже, як би ви застосували функції безпеки мережі, щоб гарантувати, що програми-вимагачі чи зловмисне програмне забезпечення не потраплять на ці пристрої або захистити від втрати даних. Ви не повинні втрачати дані, коли працюєте віддалено. Отже, це була теза компанії, яка перенесла безпеку в хмару.

Ми живемо в хмарну еру, але перенести безпеку з моделі безпеки на основі периметра з фіксованими фізичними кордонами на такий сервіс, як Netflix, є складним завданням. Коли користувачі переходять з місця на місце, користувач стає офісом, і робота виконується на його ноутбуці або телефоні.

Усі дані, які передаються на ці пристрої та з них, коли користувачі взаємодіють із хмарними програмами та даними. Замість того, щоб бути захищеним системою безпеки, поки ви перебуваєте в офісі або коли надсилаєте дані назад в офіс, ви можете просто підключитися до будь-чого, що вам потрібно, і безпека працюватиме там, де працюють програми в хмарі.

SD: Який вплив на все це справив COVID?

П.П.: COVID просто прискорив цю трансформацію. Ми побачили, що це неминуче. Проблеми, які я описував досі, мали виникнути в будь-якому випадку, тому що ми знали, що пропускна здатність буде зростати. Ми знали, що мобільність зростатиме. І ми знали, що самі пристрої будуть мобільними.

Сьогодні вже важко знайти настільний комп’ютер. Більшість людей виконує більшу частину своєї роботи в долоні або на ноутбуці. Отже, зараз, коли COVID-19 почався, ми бачимо, що майбутнє роботи в кращому випадку гібридне, але багато організацій назавжди закрили свої офіси. Багато користувачів працюють звідусіль і будь-де повний робочий день.

SD: Як ваше програмне забезпечення захищає користувачів?

П.П.: Те, що ми передбачали, справді завершилося повним циклом, тобто хмарна служба безпеки на основі SaaS, яка дозволяє користувачам працювати з будь-якого місця, а також підключатися безпосередньо до будь-якої потрібної їм програми.

Ці ресурси можуть бути в офісі чи хмарі, це не має значення. Вони називають це послугою нульової довіри. А служба Zero Trust відповідає як за підключення користувача до програм, так і за забезпечення безпеки даних під час їх переміщення між цими користувачами в програмі, тому вона не містить шкідливих програм і запобігає втраті даних. Крім того, Zero Trust гарантує, що всі програми та дані є повністю конфіденційними та доступними лише для тих співробітників, які повинні мати до них доступ, і автоматично відхиляють усіх інших.

Я думаю, що NIST 800-207, який є стандартом, до якого уряд рухається для нульової довіри, є куди все це веде. Уряд рухається до цієї ідеї, коли всі заявки є приватними. У результаті немає жодної програми, чи то в хмарі, чи в офісі, до якої ви могли б отримати доступ, якщо ви не довірений користувач.

По суті, ми розміщуємо наш сервіс перед державними чи корпоративними додатками, роблячи їх приватними, на зразок контрольно-пропускного пункту в аеропорту перед додатками, які він призначений для захисту.

Ми дозволяємо лише небагатьом працівникам, які повинні мати доступ до цих програм і яким дозволено взаємодіяти з ними. Якщо програма стає вразливою, це не пожежна тренування. І ви не матимете хакерів з Росії чи інших місць, які потрапляють до вхідних дверей цих програм.

SD: Який флагманський продукт вашої компанії?

PM: Це називається iboss Zero Trust Edge. Netflix не винайшов фільм; вони змінили спосіб перегляду, транслюючи його з хмари.

Те саме, що ми робимо, за винятком того, що це стосується не фільмів — це кібербезпека для всіх з’єднань. Замість DVD-програвача, який є еквівалентом усіх застарілих засобів кібербезпеки, включаючи брандмауери та обладнання, яке фізично захищає лише офіс, ми замінили його глобальною службою безпеки, яка переносить безпеку в хмару. Ми перенесли це до служби на основі SaaS, яка передає безпеку користувачам, де б вони не були. Усе, до чого вони підключаються, завжди безпечно. З’єднання проходять через нашу службу, де ми перевіряємо на наявність зловмисного програмного забезпечення, програм-вимагачів, запобігаємо втраті даних і відповідаємо нормам.

SD: Як вашій компанії залишається конкурентоспроможною у світі, наповненому компаніями з кібербезпеки?

PM: Я вважаю, що глибокий захист, наявність кількох рівнів безпеки дійсно важливі. Але є деякі основні компоненти безпеки, які потрібні кожній компанії та кожному користувачеві.

Наприклад, настільний антивірус сканує ваш жорсткий диск, щоб переконатися, що на комп’ютері немає вірусів. Я відчуваю, що це один із основних продуктів. Але врешті-решт дані залишать ваш комп’ютер або надходять на ваш комп’ютер з Інтернету чи офісу. І ось це безпека мережі, де ми сидимо і відчуваємо, що це ще один основний елемент безпеки. Однак замість того, щоб робити це за допомогою засобів безпеки мережі, ми робимо це як послугу SaaS, автоматично та в масштабі.

А ще є такі речі, як віртуальні приватні мережі (VPN). Ви вмикаєте VPN для підключення до офісу. Потім ви вимикаєте його, коли закінчите з ним. Це основний елемент, тому що, як працівник компанії, ви не можете виконувати свою роботу, якщо в офісі є якісь програми, і ви не можете до них підключитися. За допомогою нашого сервісу ми автоматично підключаємо співробітників до будь-якої програми, у тому числі в офісі, без необхідності окремого VPN. Сервіс забезпечує безпеку та підключення до всього.

Отже, ми вирішуємо ті речі, про які я щойно говорив, – усуваючи потребу в пристроях безпеки мережі, усуваючи потребу в VPN і гарантуючи, що користувачі отримують послідовний і чудовий досвід під час взаємодії з даними та програмами, які їм потрібні, забезпечуючи безпеку в хмара. Замість того, щоб увімкнути VPN для підключення до офісу для програм, наша служба Zero Trust завжди ввімкнена.

Якщо я користуюся своїм ноутбуком і відкриваю різні програми, деякі з них можуть бути в Інтернеті, а деякі — в офісі. Але я ніколи не вмикаю VPN для цього. Ми можемо зменшити витрати, пов’язані з придбанням цих VPN, а потім покращити роботу кінцевого користувача.

Інша проблема з VPN полягає в тому, що під час їх використання користувачі зазвичай відчувають досить повільне з’єднання. Постійно запущена служба, яка забезпечує надшвидке з’єднання, усуваючи потребу вмикати чи вимикати VPN, покращує взаємодію з користувачем.

Крім того, оскільки ми підключаємо користувачів до цих програм, незалежно від того, чи знаходяться вони в офісі чи в хмарі, ми можемо запускати всі функції безпеки, відкривати корисні навантаження та шукати такі речі, як програми-вимагачі та шкідливі програми, а також як зробити ці програми приватними.

Зрештою, бюджет, необхідний для цифрової трансформації, яку шукають організації, може отримати від усунення цього застарілого обладнання та технологій. Наша технологія Zero Trust фактично економить гроші компаній, оскільки позбавляє їх бюджетів на VPN, проксі та брандмауер. І користуючись нашими послугами, компанії все одно отримують більший результат навіть у разі обмеженого персоналу через нестачу, яка є проблемою на ринках кваліфікованої праці, як-от мережа та мережева безпека.

Багато компаній не можуть дозволити собі мати таких людей і не можуть їх знайти. Простіше усунути складність застарілої стратегії безпеки замку та рову, перейшовши на службу безпеки SaaS. Як і Netflix, вам більше не потрібен фахівець з аудіо-відео, щоб налаштувати всі ваші звукові системи та DVD-програвачі. Отже, це економічно вигідніше.

Розгортаючи таку службу, як iboss, ми починаємо з ресурсів, у першу чергу з найбільш критичних і вразливих програм. Незважаючи на те, що користувачі можуть підключатися до цих програм, ми починаємо з того, що ставимо себе перед програмами компанії, щоб переконатися, що вони повністю приватні.

Якщо ви подивитеся на звіт CISA, Агентства з кібербезпеки та безпеки інфраструктури, яке провело дослідження інцидентів з програмами-вимагачами в 2021 році. Вони співпрацювали з усіма американськими агентствами, такими як ФБР і АНБ, а також зі Сполученим Королівством і Австралією. Це були великі спільні зусилля. Вони виявили, що першими трьома початковими векторами зараження програмами-вимагачами у 2021 році були фішинг, викрадені облікові дані та вразливості програмного забезпечення. Так, наприклад, у деяких випадках, коли програмне забезпечення стає вразливим і має запитувати автентифікацію, як-от запит на використання імені користувача та пароля, воно цього не робить. Він не може запитати облікові дані, тому що він уразливий і просто впускає вас. І це, очевидно, проблема.

Таким чином, трійка основних вихідних векторів зараження – це фішинг, викрадені облікові дані та вразливості програмного забезпечення. Але головною причиною, якщо ви згадаєте ці трійки, насправді є неавторизований доступ до програмного забезпечення.

Бо якщо програмне забезпечення стає вразливим, чому Росія та Китай можуть цим скористатися? Вони не повинні мати змоги підключитися до цієї програми, щоб скористатися вразливістю. Якщо вони викрадуть набір облікових даних, як вони зможуть підключитися до служби чи програми та використовувати ці облікові дані?

Якщо ви подумаєте про те, як ми раніше працювали, причина того, що було менше взломів і програм-вимагачів, полягала в тому, що всі програми були всередині фізичного офісу. Навіть якщо були вразливості або хтось, можливо, вкрав ваш пароль, як вони збираються використовувати пароль, якщо вони не проникнуть в офіс, щоб пробити його на сервері, чи не так?

Сьогодні цього периметра вже немає. Отже, усі ці програми працюють у хмарі. Зловмисники це знають, тож просто чекають, поки ці вразливості з’являться. Вони можуть сидіти в Росії, Китаї та інших місцях, а потім використовувати це для підключення до програми. Їм не потрібно заходити у звичайний офіс і використовувати викрадені облікові дані чи вразливість, або навіть використовувати переваги фішингу. Ви натискаєте посилання, вони отримують програму-вимагач на ваш ноутбук, і вона негайно поширюється.

Ось чому NIST, який є Національним інститутом стандартів і технологій, випустив структуру під назвою Zero Trust Architecture. Це в документі під назвою 800-207, на який є посилання в нещодавньому Указі. Мета архітектури нульової довіри, представленої в рамках NIST, полягає в тому, щоб зосередитися на суті проблеми, яка полягає в запобіганні несанкціонованому доступу до даних і послуг.

Згідно з NIST, це суть Zero Trust. І це насправді суть Zero Trust відповідно до того, що ми пропонуємо. Насправді наша мета полягає в тому, щоб запобігти неавторизованому доступу до програм і даних, незалежно від того, чи знаходяться вони в хмарі, чи працюють в офісі. Я б сказав, що це головне, щоб зменшити ризик отримання програм-вимагачів cryptolocker або розміщення ваших даних на WikiLeaks. Для початку ви вирішуєте першопричину того, як вони потрапляють.

Отже, ми почали з розміщення служби iboss Zero Trust перед цими програмами, і вони стали приватними. Тоді ми допускаємо користувачів лише тоді, коли дізнаємося, що вони є працівниками та частиною організації. Нічого іншого, ніж контрольно-пропускний пункт аеропорту, який дозволяє пасажирам сідати на літак лише після того, як вони перевірять своє посвідчення особи, квиток і сумку, а потім дозволять їм перетнути контрольно-пропускний пункт. Це та сама концепція, яку використовують в аеропорту для захисту літаків, за винятком того, що ми робимо це за допомогою програм і даних.

Тож, щоб відповісти на запитання та повернутися назад, це фундаментальний компонент. Кожна організація повинна відмовитися від усього, що пов’язано з підходами до безпеки на основі периметра. Вони витрачатимуть менше на брандмауери та проксі-обладнання та менше на VPN. Мета полягає в тому, щоб підключити користувачів до всього, що їм потрібно, незалежно від того, в офісі чи в хмарі.

Дивлячись у майбутнє, кожна компанія буде гібридною. Ймовірно, всі працівники матимуть певну форму віддаленої роботи та роботи в офісі. Без таких технологій, як наша, ці співробітники та ця модель не можуть існувати. Працівник не може підключитися до програм і даних, необхідних для виконання своєї роботи; їм потрібні ресурси та безпека.

Отже, ми збираємо бюджети з багатьох різних сфер. Ми робимо безпеку світового рівня дешевшою, швидшою та ефективнішою для кращої взаємодії з кінцевим користувачем. І ми забезпечуємо понад 150 мільярдів транзакцій на день. Ми працюємо з найбільшими організаціями світу та захищаємо мільйони користувачів у всьому світі.

Ми збираємося захистити всі компанії, оскільки ми можемо надавати цю послугу компаніям будь-якого розміру, вам більше не потрібно входити до списку Fortune 500 або федерального уряду, щоб скористатися перевагами цього типу технології.