Ciscos John Maynard er bekymret: Mener it-bransjen har feil sikkerhetsfokus
Det Cisco ser av trusler på én dag ser Microsoft på en måned.
I 1984 i solrike California ble Cisco etablert av ekteparet Sandy Lerner og Len Bosack. De hadde laget en server, Advanced Gateway Server (AGS), som de ønsket å kommersialisere. Tilfeldig var det nok ikke at internett, slik vi kjenner det i dag, bare ett år tidligere tok i bruk TCP/IP-protokollen, som i dag er den vanligste måten i verden å dirigere datatrafikk på. Cisco sin AGS-server støttet nemlig denne protokollen, noe som gjorde at selskapet kunne være med å spre internett ut i verden helt fra starten av. Dette gjorde at Cisco raskt fikk en sterk og betydelig posisjon i IT-kompetanse og distribusjon på verdensbasis, og i dag spiller de en viktig rolle for å få Norge til å rulle digitalt.
Men nå er direktøren for cybersecurity i Cisco bekymret.
– Den viktigste nøkkelfaktoren for god cybersikkerhet er synlighet. Dessverre er det slik at jo flere aktører som putter sikkerhetsproduktene sine på nettet ditt, dess dårligere blir synligheten, sier John Maynard.
Når kunnskapen er god er allting godt,
men er kunnskapen god nok?
Det virker kanskje paradoksalt for bedriftseier Per Persen at hackere lettere kan penetrere nettverket hans fordi det er sikret av forskjellige tilbydere. De fleste vil jo tenke at jo flere lag med sikkerhet bare er bra?
– Det er så mange måter å komme inn i et nettverk på i dag, og det svakeste leddet er brukeren. Markedet oversvømmes av produkter som kan kobles på nett, og enda flere sikkerhetsløsninger for å forhindre at de hackes. Problemet er at disse ikke snakker sammen. De deler ikke informasjon mellom seg og er heller ikke designet til å gjøre dette automatisk, sier Maynard.
Direktøren mener at mange fokuserer for mye på tilgjengelighet uten å bygge inn sikkerhet fra starten av.
– Verden kobles sammen som aldri før, og det er helt fantastisk, men det åpner også for et hav av enheter som hackerne kan bruke for å lure seg inn i et nettverk. Markedet oversvømmes av produkter og problemene hoper seg opp, sier han.
Direktør for Cisco Norge, Sven Thaulow, er enig. Han peker på mangel på kunnskap som en av årsakene til at it-sikkerheten feilprioriteres og at Norge har mye å gå på hva gjelder utdanning innen dette området.
– Jeg tror at næringslivet kan samarbeide mer, både med hverandre og med det offentlige, for å holde hverandre oppdatert. Veldig mange av de store teknologibedriftene har svært profesjonelle programmer for videreutdanning. Vi har for eksempel egne kurs i cybersikkerhet som starter helt på basisnivå, forteller han.
Norgesdirektøren mener man er garantert jobb i mange år fremover hvis man utdanner seg innen IT i dag, og Maynard slenger seg på.
– Den største utfordringen til it-bransjen i dag er uten tvil mangel på talent; å tiltrekke det, beholde det, og utvikle det. Det estimeres at det innen 2022 vil være 1,8 millioner ledige jobber i it-bransjen globalt – og det kommer bare til å bli verre, sier han.
Tenk helhetlig rundt cybersikkerhet
Maynard mener mange aktører ikke ser det store bildet når de bare bygger inn API'er som tillater integrering av teknologiene de tilbyr.
– Dette vil kun løse ett kompleksitetsproblem for en eller to kunder, og det er her fokuset må endres: Vi må tenke på cybersikkerhet som en helhet ved å integrere arkitektur som tar bort all kompleksitet – for alle, sier han.
Som nevnt innledningsvis er det synlighet som er nøkkelordet her. Alt av data, bortsett fra personsensitive selvfølgelig, som kommer fra alt som er koblet til et nettverk, skal bidra til at sikkerhetstrusler ikke får noen gjemmesteder. Sikkerhetsekspert i Cisco Norge, Nils Roald, utdyper.
– Cisco differensierer seg fra de andre sikkerhetsaktørene med den ekstremt store mengden telemetri (trafikkdata) vi har tilgang til gjennom vår posisjon i nettverksmarkedet. Disse dataene destilleres til trusseletteretning og leveres til våre sikkerhetsløsninger via skyen. Det gjør det mulig å se og blokkere store mengder trusler hver eneste dag. Vår sikkerhetsportefølje fokuserer på neste-generasjons nettverk, på å samle så mye data som mulig. Hver eneste dag ser vi for eksempel over 600 milliarder e-post samples, det er like mye som Microsoft ser på en måned.
Men, når du flytter ting til skyen, hvordan sørger du for at du faktisk får den synligheten Cisco beskriver på endepunktene? Hvordan opprettholdes samme nivå av trusseldeteksjon, automasjon og muligheten til å utbedre skalering?
– Det gjøres av funksjoner i AMP for Endpoints i samhandling med Talos, for oss er skybasert sikkerhet det samme som skalerbar, hurtig og automatiserbar sikkerhet. For en endra bedre oversikt og sporbarhet har vi også laget Cisco Threat Response portal. Her korrelerer vi global trusselinformasjon (også 3.part) sammen med den lokale skapt av AMP for Endpoints, alt levert fra skyen, sier Nils Roald.
For å bli god på kunstig intelligens må du ha
store mengder data
– Talos er Ciscos best bevarte hemmelighet, sier Maynard med glimt i øyet.
Talos belager seg på data, og jo mer den får, jo bedre blir den. Det unike med den er hvordan det har kortet ned tiden det tar å oppdage sikkerhetstrusler.
- Ved hjelp av algoritmer basert på maskinlæring analyserer Talos 700 milliarder informasjonsenheter hver dag, som gjør at vi blokkerer nesten 20 milliarder trusler om dagen. Hackerne blir flinkere, mer sofistikerte og mer profesjonelle for hver dag, men det blir Talos også. Med den ekstremt store innhentingen av telemetri, kombinert med Talos avanserte prosesseringsalgoritmer blokkerer vi flere og mer avanserte angrep hver dag. For hvert angrep det blokkerer blir løsningen bedre. Dette er et eksempel på når størrelse er viktig, forklarer Nils Roald.
Også på kryptert datatrafikk er Talos i sin egen liga. Maynard forteller om et sikkerhetsmarked som preges av skadelig programvare som skjuler seg i denne fordi sikkerhetsprogrammer ikke klarer å lese den.
– Dette er et stort problem fordi den eneste måten å lese kryptert datatrafikk på er å dekryptere den ved å åpne opp, grave ut, og virkelig studere hva som gikk galt. Men Talos klarer å analysere denne trafikken uten å dekryptere den først, sier han.
(artikkelen fortsetter under bildet)
Talos består nemlig av mange komponenter med hvert sitt spesialfelt som alle kommuniserer med hverandre. All informasjon som utveksles mellom deg og serveren, altså vekt, størrelse, avsender og lignende, overvåkes av Stealthwatch. Når Stealthwatch berikes med kognitiv trusselanalyse (Cognitive Threat Analytics, CTA), som baserer seg utelukkende på maskinlæring, klarer den å analysere den krypterte datatrafikken. Stealthwatch settes på bedriftens lokale servere slik at ingen sensitive data går ut i skyen. Det hele er rimelig banebrytende.
– Stealthwatch overvåker all nettverkstrafikk og sender kundespesefikk data tilbake til bedriften. Dette skjer i løpet av timer, og forteller raskt om det foregår noe ullent på nettverket. Stealthwatch vil aldri blokkere trafikk, men den forteller oss om en klient er infisert eller om det er høy sannsynlighet for det. En liten del av denne datapakken sendes til CTA for analyse, men ingen biter av dette er sensitivt. Vi gjør dette kun for å se om det er noe større og mer komplekst på gang, for med CTA er det ingen falske positiver, og vi ser ting i mye større og global kontekst umiddelbart. Gjennom denne prosessen berikes CTA hele tiden med metadata og maskinlæring fra resten av Cisco Talos, forklarer Roald.
I 2000 hadde 415 millioner mennesker tilgang til internett, i dag er nesten 4 milliarder koblet opp. Nå ønsker Maynard, Thaulow og resten av Cisco å bruke sine enorme datamengder til å endre måten vi håndterer cybersikkerhet på, på samme måte som de var med på å spre internett.
– Det viktigste vi kan gjøre nå er å slutte og slå alarm om cyberangrep etter at de har skjedd, og heller fokusere på hvordan vi kan forhindre dem med teknologien vi har. Med et nettverk som selv klarer å oppdage trusler, stoppe de, og bruke dette som lærdom til å bli bedre, er vi på vei i riktig retning, avslutter Norgesdirektøren.
