36C3 - The Case for Scale in Cyber Security

Karen: Vincezo Izzo on yrittäjä ja
sijoittaja jolla on fokus kyberturvallisuudessa. Hän

on aloittanut, hänet on ostettu, ja
hän on toistanut tämän muutaman kerran, ja nyt hän on

neuvonantaja joka opastaa ihmisiä yritysten
perustamisessa, ostetuksi tulemisessa, ja

sen toistamisessa. Hän on lisäksi johtaja
CrowdStrikellä ja hän on kumppani MIT Media

Labissä.
Tarkistan vain ajan varmistaakseni että

aloitamme ajoissa, ja tämä on, aloita
puhumaan nyt. Kyberturvallisuuden

skaalasta. Toivottakaa lämpimästi tervetulleeksi
Vincenzo.

Aplodeja

Vincenzo Izzo: Joten, hei, kaikki, kiitos kun
olette täällä. Kuten Karen sanoi, olen tehnyt

muutamia muutoksia urallani, mutta minun
taustani on alunperi tekninen, ja

mitä halusin tehdä tänään on puhua
trendistä jota pidämme ikäänkuin

itsestäänselvyytenä ja se on tiettyyn pisteeseen asti ilmeinen
mutta myös aliarvostettu. Ja se on

pilvialustojen skaala turvallisuudessa. Erityisesti
kun sanon pilvialustojen skaala, tarkoitan

kykyä prosessoida erittäin suuria määriä
informaatiota ja myös luoda laskentatehoa

helposti, ja millainen rooli sillä on ollut
alallamme viimeisellä vuosikymmenellä. Mutta

ennenkuin puhun siitä, luulen että jonkinlainen
konteksti on tärkeää. Joten tulin

alalle noin 15 vuotta sitten ja aikoinaan,
paikat kuten

kongressi olivat paljon pienempiä paikkoja. Ne olivat
tiettyyn pisteeseen asti mukavampia ja yhteisö

oli pieni. Ala oli melko kapea.
Sitten jotain tapahtui noin vuonna 2010.

Ihmiset alkoivat ymmärtää että
enemmän ja enemmän valtioiden rahoittamia hyökkäyksiä

tehtiin. Operaatio Aurorasta Googlea vastaan,
APT1:den Mandiant raporttiin, joka oli

ensimmäinen raportoitu asiakirja siitä miten Kiinan
PLA hakkeroi länttä- kutsutaan sitä

läntisen mailman infrastruktuuriksi IP varkauksille.
Ja se muutti paljon

alan osalta. On tapahtunut kaksi merkittävää
muutosta kaiken tämän huomion takia.

Ensimmäinen on pahamaineisuus. Menimme
kuten sanottua, suhteellisen tuntemattomasta

alasta johonkin sellaiseen josta jokainen
puhuu. Jos avaat minkä tahansa

sanomalehden, se sisältää lähes aina
artikkelin kyberturvallisuudesta, johtajisto puhuu

kyberturvallisuudesta... ja tietyssä mielessä,
taas, silloin kun liityin, kyberturvallisuus

ei ollut juttu. Sitä kutsuttiin nimellä
infosec. Nyt erittäin harvat ihmiset tietävät mitä

infosec edes tarkoittaa. Joten pahamaineisuus on yksi
asia, mutta pahamaineisuus ei ole ainut asia

joka muuttui. Toinen asia joka muuttui
on rahan määrä jota sektorilla

otettiin käyttöön. Eli, vuonna 2004, riippuen
arviosta johon luotat siellä, rahan

kokonais-käyttömäärä kyberturvallisuuteen oli väliltä
3.5 ja 10 miljardia dollaria.

Nykyään se on 120 miljardia dollaria. Ja siten
se tavallaan näyttää erittäin nopealta. Mutta

rahan kulutukseen tuli melkeinpä... Ikään kuin
erittäin merkittävä muutos sen osalta minkä tyyppisiä

pelureita alalla on nykyään.
Joten monet perinteisistä myyjistä jotka

myivät turvallisuuteen liittyviä sovelluksia ovat tavallaan
kadonneet. Ja mitä nykyisin on olemassa

on kahdenlaisia pelaajia laajalti. On olemassa
isoja teknologian myyjiä. Joten on olemassa

yrityksiä kuten Google, Amazon, Apple ja
niin edespäin, jotka ovat ikäänkuin

päättäneet suhtautua turvallisuuteen vakavammin.
Jotkut niistä yrittävät kaupallistaa

turvallisuutta. Jotkut yrittävät käyttää sitä
ikään kuin sloganina myydäkseen enemmän puhelimia.

Toinen ryhmä ihmisiä tai entiteettejä ovat
isoja pilvipohjaisia turvallisuusmyyjiä. Ja

mitä molemmilla ryhmillä on yhteistä, on se että
ne käyttävät enemmän ja enemmän

pilvialustojen skaalaa ja pilven resursseja yrittäessään
puuttua turvallisuus ongelmiin. Joten se mistä haluan

keskustella tänään on lähtöisin jokseenkin
teknisestä näkökulmasta, skaalamme on aiheuttanut

merkittäviä vaikutuksia siihen millä tavalla
lähestymme ongelmia, mutta myös siihen millaisia

ihmisiä meillä on alalla nykyään.
Joten mitä aijon tehdä on antaa teille muutamia

esimerkkejä muutoksista joita olemme
kokeneet. Ja yksi, mielestäni yksi

tärkeimmistä asioista jota pitää mielessä on
mitä skaala on tehnyt, ainakin

viime vuosikymmenellä, on että se on antanut puolustukselle
merkittävän edun hyökkäystä vastaan. Se ei ole

välttämättä tullut tänne jäädäkseen, mutta luulen että se on
tärkeä trendi joka on jokseenkin

unohdettu. Joten antakaa, kun aloitan päätepisteen
turvallisuuden osalta. Eli 80 luvulla, muutamat ihmiset

aloittivat leikittelemään ajatuksella IDS
järjestelmistä. Ja idea IDS järjestelmän taustalla

on melko suoraviivainen. Haluat
luoda lähtötason hyväntahtoista käytöstä

koneelle, ja sitten jos se kone alkaa
näyttää epänormaalia käytöstä, tulisit

merkkaamaan sen mahdollisesti haitaliseksi. Tämä
oli ensimmäinen tutkimus joka on julkaistu isäntään

perustuvista IDS järjestelmistä. Nyt, ongelma
isäntään perustuvissa IDS järjestelmissä on että ne eivät koskaan

tosiasiassa menestyneet kaupallisena
tuotteena. Ja syy tälle on… Oli

olemassa laajalti kaksi syytä tälle:
Ensimmäinen on se että oli erittäin vaikeaa

tulkita tuloksia. Eli oli erittäin vaikeaa
hoksata: ”Hei, tässä on poikkeama ja

tämän takia tämä poikkeama voi mahdollisesti olla
tietoturvasattuma.” Toinen ongelma

oli, että oli paljon vääriä positiivisia ja
oli tavallaan vaikeaa muodostaa hyväntahtoista

perustasoa yhdellä koneella, koska sen osalta
oli niin paljon vaihtelua miten yksittäinen

kone käyttäytyy. Joten mitä tapahtui on
että kaupallisesti me tavallaan jäimme jumiin

antiviruksien, antivirus myyjien, ja
allekirjoitusten kanssa todella pitkäksi aikaa. Nyt,

pikakelataan vuoteen 213. Kuten mainitsin, APT1
raportti tuli ulos ja Antivirus yritykset jopa

myönsivät että he eivät olleet niin hyödyllisiä
havaitsemaan asioita kuten Stuxnet tai Flame. Ja

sitten kaupunkiin ilmestyi ikäänkuin uusi
mies, ja muotisana sille oli

EDR. Joten, päätepisteen havaitseminen ja reaktio.
Mutta kun EDR erotellaan niinkuin

markkinoinnin nukasta, mitä EDR oikeastaan on, on
tosiasiassa isäntäpohjainen tunkeutumisen havaitsemis

järjestelmä skaala. Joten toisinsanoen, skaala
ja pilvien skaalauksen kyky on tehnyt mahdolliseksi

IDS järjestelmät kahdella tavalla.
Ensimmäinen tapa on että nyt itse asiassa on mahdollista

saada tietyn tyyppinen data-allas jossa on
lukuisia koneita, käytettävissä on paljon suurempia

tietoaineistoja kouluttamista ja havaitsemisen testaamisia varten.
MItä se tarkoittaa on, että on paljon helpompaa

määritellä suotuisa perustaso, ja on
paljon helpompaa aikaansaada kunnon havaitsemista, jotta

ne eivät havaitse pelkästään haittaohjelmia, vaan myös
ikäänkuin haittaohjelmittomia hyökkäyksiä.

toinen juttu on että EDR myyjät ja myös
Yrityksillä joilla on sisäiset EDR järjestelmät

omaavat suurelta osin skaalaetua.
Ja mitä se tarkoittaa on että teillä voi

olla tiimi analyytikkoja jotka voivat luoda
selityksiä ja tavallaan filosofiaa jolla