Synacks Jay Kaplan hat eine weiße Hackerarmee

Sie können heutzutage so gut wie alles zusammenstellen, einschließlich der Sicherheit.

In dieser Episode von Fast Forward spreche ich mit Jay Kaplan, dem CEO und Mitbegründer von Synack. Vor der Gründung von Synack war Jay in verschiedenen Positionen im Bereich Cybersicherheit beim Verteidigungsministerium und als Senior Computer Network Exploitation and Vulnerability Analyst bei der National Security Administration tätig.

Bei Synack baute er ein automatisiertes Bedrohungserkennungssystem und ein Netzwerk von Hunderten von Sicherheitsforschern auf der ganzen Welt auf, um Penetrationstests auf die nächste Stufe zu heben. In einer kürzlichen Diskussion aus San Francisco sprachen wir über den Stand der Cybersicherheit, über White Hat-Hacker und über die Schritte, die er persönlich unternimmt, um seine Sicherheit online zu gewährleisten. Lesen Sie das Protokoll oder sehen Sie sich das Video unten an.

Von all Ihren Titeln mag der CEO und Mitbegründer sehr beeindruckend sein, aber das, was mich beeindruckt, ist die Arbeit als Mitglied eines roten Teams im Verteidigungsministerium. Ich verstehe, dass Sie uns nicht alle erzählen können von die details, aber was heißt das genau?

Als Mitglied eines beliebigen roten Teams als Teil eines beliebigen Organisation Sie sind dafür verantwortlich, sich wie ein Angreifer zu verhalten, wie der Gegner, gegen den wir uns jeden Tag verteidigen wollen. Meine Arbeit am DoD konzentrierte sich daher sehr auf Red Teaming DoD-Systeme. Ganz gleich, ob es sich um militärische Systeme, Netzwerke oder Geräte handelt, die im Feld eingesetzt werden, wir wollten sicherstellen, dass sie sicher sind und keinen tatsächlichen Sicherheitsverletzungen unterliegen.

Du verbindest das mit meiner Arbeit bei der NSA, wo ich, anstatt zu Verteidigungszwecken anzugreifen, auf dem Platz war Attacke Seite für offensive Zwecke. Sie haben diese beiden Positionen zusammengelegt. Das hat uns wirklich geholfen, das gesamte Konzept hinter Synack und das heutige Geschäftsmodell zu formalisieren.

Mir scheint, Sie haben diesen Ansatz auf den privaten Sektor übertragen, und Sie beschäftigen vermutlich eine Vielzahl von Hackern und Crowdsourcing-Netzwerksicherheit. Sprechen Sie mit uns ein wenig darüber, wie das funktioniert.

Der Ansatz, den wir verfolgen, ist eher ein von Hackern betriebener Ansatz. Wir nutzen ein globales Netzwerk von Top-White-Hat-Sicherheitsforschern in über 50 verschiedenen Ländern und zahlen sie effektiv auf Ergebnisbasis, um Sicherheitslücken bei unseren Unternehmenskunden aufzudecken. Jetzt arbeiten wir mit der Regierung zusammen auch.

Das ganze Ziel ist es, mehr Augen für das Problem zu haben. Ich meine, es ist eine Sache, wenn sich ein oder zwei Personen ein System, ein Netzwerk oder eine Anwendung ansehen und versuchen, diese Anwendung von Schwachstellen zu befreien. Es ist etwas anderes zu sagen, vielleicht 100, 200 Leute, jeder aussehen Versuchen Sie herauszufinden, um welche Sicherheitslücken es sich handelt, und zahlen Sie, wenn Sie erfolgreich sind. Es ist ein wirklich großer Paradigmenwechsel und es funktioniert in der Praxis sehr gut.

Wer wäre der typische Kunde? Wäre es so, als würde Microsoft sagen: "Wir starten eine neue Azure-Plattform, versuchen Sie, Löcher in unser System zu stecken?"

Es kann von einem großen Technologieunternehmen wie Microsoft bis zu einer großen Bank reichen, in der sie ihre Online- und Mobilanwendungen, Bankanwendungen, testen möchten. Es könnte auch die Bundesregierung sein; Wir arbeiten mit dem DoD und dem Internal Revenue Service zusammen, um zu verhindern, dass Sie Steuerinformationen übermitteln. Aus Sicht des DoD sind dies beispielsweise Gehaltsabrechnungssysteme und andere Systeme, in denen sehr sensible Daten gespeichert sind. Es ist wichtig, dass diese Dinge nicht kompromittiert werden, wie wir alle in der Vergangenheit gesehen haben, kann es sehr, sehr schädlich sein. Endlich verfolgen sie einen progressiveren Ansatz, um das Problem zu lösen, und entfernen sich von den in der Vergangenheit üblichen Lösungen.

Wie findest du Leute? Ich stelle mir vor, Sie schreiben es nicht einfach auf ein Message Board und sagen: "Hey, lenken Sie Ihre Energie darauf und wenn Sie etwas finden, lassen Sie es uns wissen und wir werden Sie bezahlen."

Im frühen Tage Wir haben unser Netzwerk offensichtlich ziemlich stark genutzt. Wir haben Menschen angezogen, die wir kannten, und das ist organisch gewachsen, und wir haben begonnen, Menschen auf der ganzen Welt anzulocken, die Cybersicherheit praktizieren, und sogar diejenigen, die Cybersicherheit nicht unbedingt tagtäglich betreiben. Wir haben viele Entwickler in unserem Netzwerk, Ingenieure in großen Technologieunternehmen. Die Stärke unseres Handelns besteht darin, den Kunden die Vielfalt an Ressourcen und den Zugang zu Talenten zu bieten, zu denen sie traditionell keinen Zugang hätten.

Wenn Sie sich einige Statistiken ansehen, sagen sie, dass bis zum Jahr 2021 3, 5 Millionen offene Cybersecurity-Arbeitsplätze entstehen werden. Es gibt eine massive Trennung von Angebot und Nachfrage und eine Herausforderung, die wir zu lösen versuchen. Der Einsatz von Crowdsourcing zur Lösung dieses Problems hat sich für uns hervorragend bewährt, da wir sie nicht einstellen müssen. Sie sind freiberuflich tätig und erhalten nur mehr Augen für dieses Problem, um bessere Ergebnisse zu erzielen.

Von Kurs Die Richtigkeit dieses Netzwerks ist auch für unser Geschäft von größter Bedeutung. Wir müssen wissen, dass wir ihnen vertrauen können, und daher müssen wir unsere Forscher einer Reihe von Hintergrundprüfungen und ID-Überprüfungen unterziehen und sogar ihren Datenverkehr prüfen, um sicherzustellen, dass sie den Umfang und die Regeln des Engagements einhalten Aber es ist wirklich aufregend, einen Mechanismus zu sehen, mit dem man sich auf ein Crowdsource-Modell einlassen kann, aber eine Menge Kontrolle hat, um betroffenen Unternehmen den Zugang zu dieser Art von Methodik zu ermöglichen.

Können diese Hacker mit Ihnen mehr Geld verdienen, als sie alleine im Dark Web ausgeben könnten? Ich meine, ist es in diesem Modell rentabel, ein weißer Hut zu sein?

Es gibt ein weit verbreitetes Missverständnis, dass Sie, wie Sie wissen, im Dark Web agieren und automatisch diese reiche Person sein werden.

Sie werden auch viel abgezockt.

Man wird oft verärgert, aber in Wirklichkeit sind die Leute, mit denen wir zusammenarbeiten, sehr professionell und ethisch. Sie arbeiten für sehr große Unternehmen oder andere Sicherheitsberatungsfirmen, und es gibt Menschen mit einer Menge Ethik, die nicht illegal handeln wollen. Sie wollen handeln, sie lieben es zu hacken, sie lieben es, Dinge zu zerbrechen, aber sie wollen es in einer Umgebung tun, in der sie wissen, dass sie nicht strafrechtlich verfolgt werden.

Das ist ein schönes Plus. Was sehen Sie als die größten Bedrohungen? im Sicherheit heute? Sollten wir uns Sorgen um kriminelle Unternehmen machen? Nationalstaatliche Akteure? Woher kommen die meisten Bedrohungen?

Es ist sehr interessant. Wenn Sie mich vor ein paar Jahren gefragt hätten, würden Sie sagen, dass die Nationalstaaten die am besten ausgestatteten Organisationen sind, um bei Cyber-Angriffen erfolgreich zu sein. Ich meine, sie sitzen auf Lagerbeständen von Zero-Day-Exploits, sie haben viel Geld und viele Ressourcen.

Erklären Sie die Idee, auf diesen Lagerbeständen von null Tagen zu sitzen. Weil das etwas ist, das außerhalb des Sicherheitsbereichs liegt, glaube ich nicht, dass der Durchschnittsmensch es wirklich versteht.

Ein Zero-Day-Exploit ist also eine Schwachstelle in einem möglicherweise wichtigen Betriebssystem, von dem möglicherweise niemand etwas anderes als diese eine Organisation weiß. Sie haben es gefunden, sitzen darauf und nutzen es zu ihrem Vorteil. Wenn man bedenkt, wie viel Geld sie in Forschung und Entwicklung stecken und wie viel Geld sie für ihre Ressourcen ausgeben, können sie diese Dinge finden, wo sonst niemand sie finden kann. Das ist ein großer Grund, warum sie so erfolgreich sind.

Normalerweise tun sie dies zum Zweck der Informationsgewinnung und um unseren Entscheidungsträgern zu helfen, bessere politische Entscheidungen zu treffen. Wir erleben in den letzten Jahren eine Verschiebung, in der Krimisyndikate einige dieser Leckagetools zu ihrem Vorteil nutzen. Wenn Sie sich das Leck von Shadow Brokers als Paradebeispiel dafür ansehen, wird es dort draußen ziemlich beängstigend. Während die Hersteller ihre Systeme patchen, nutzen die Unternehmen und Firmen da draußen diese Patches nicht wirklich, um sie anfällig für Angriffe zu machen und den bösen Jungs zu ermöglichen, in ihre Organisationen einzudringen und beispielsweise Ransomware herauszugeben, um zu versuchen, sie zu erhalten Geld aus ihnen heraus.

Die WannaCry-Infektion betraf eine enorme Anzahl von Systemen, nicht jedoch Windows 10-Systeme. Es war ein Exploit, der gepatcht wurde, wenn Leute heruntergeladen und installiert hatten, aber viele Millionen Menschen nicht und der die Tür öffneten.

Das ist genau richtig Patch-Management ist für die überwiegende Mehrheit der Unternehmen immer noch eine sehr schwierige Sache. Sie haben keinen Einfluss darauf, welche Versionen ausgeführt werden, welche Boxen gepatcht wurden und welche nicht, und dies ist einer der Gründe, warum wir unser gesamtes Geschäftsmodell erstellt haben - mehr Augen für dieses Problem zu haben und proaktiv auf das Aufdecken von Fehlern zu achten Die Systeme, die noch nicht gepatcht wurden, und die unseren Kunden sagen: "Hey, Sie sollten diese Dinge besser reparieren, oder Sie werden die nächste große Verletzung sein, oder Angriffe wie WannaCry werden gegen Ihre Organisationen erfolgreich sein." Und es sind Kunden, die unsere Dienstleistungen kontinuierlich nutzen. Dies war ein wirklich erfolgreicher Anwendungsfall für uns.

Verkaufen Sie Ihre Dienstleistungen für kurzfristige Tests? Oder könnte es auch noch andauern?

Penetrationstests waren traditionell ein zeitpunktbezogenes Engagement, oder? Sie sagen, kommen Sie für eine Woche, zwei Wochen, geben Sie mir einen Bericht und wir sehen uns ein Jahr später, wenn wir für unser nächstes Audit bereit sind. Wir versuchen, die Kunden dahingehend zu motivieren, dass die Infrastruktur hochdynamisch ist, Sie ständig Codeänderungen an Ihren Anwendungen vornehmen und jederzeit neue Sicherheitslücken einführen können. Sehen Sie sich diese Dinge aus Sicherheitsgründen nicht ständig so an, wie Sie es in Ihrem Entwicklungslebenszyklus tun.

Und Software as a Service ist ein großartiges Modell. Service as a Service ist auch ein großartiges Modell.

Stimmt. Wir haben große Software-Komponenten, die auf dem gesamten Hintergrund zu finden sind, sodass wir eine ganze Plattform haben, die nicht nur die Interaktion zwischen unseren Forschern und unseren Kunden erleichtert, sondern auch die Gebäudeautomation einschließt, um zu sagen: "Hey, um zu machen Unsere Forscher arbeiten effizienter und effektiver. Lassen Sie uns die Dinge automatisieren, für die sie keine Zeit aufwenden sollen. " Richtig? All die niedrig hängenden Früchte geben ihnen mehr Kontext für die Umgebung, in die sie gehen, und wir stellen fest, dass diese Paarung von Mensch und Maschine sehr gut funktioniert und im Cybersicherheitsbereich sehr mächtig ist.

Du bist gerade von Black Hat zurückgekommen, wo du eine Menge gruseliger Sachen gesehen hast, könnte ich mir vorstellen. Gab es irgendetwas, das dich überrascht hat?

Wissen Sie, bei Defcon lag ein großer Schwerpunkt auf Abstimmungssystemen, und ich glaube, wir haben alle viel Presse darüber gesehen. Ich finde es beängstigend, wie schnell die Hacker bei physischem Zugriff die Kontrolle über eines dieser Abstimmungssysteme übernehmen können. Sie stellen die Ergebnisse früherer Wahlen wirklich in Frage. Angesichts der Tatsache, dass es nicht viele Systeme mit Papierspuren gibt, halte ich das für eine ziemlich beängstigende Angelegenheit.

Darüber hinaus wurde viel Wert auf die kritische Infrastruktur gelegt. Es gab einen Vortrag, in dem es darum ging, die Strahlungssysteme zu hacken, die Strahlung in Kernkraftwerken erfassen, und wie einfach es ist, in diese Systeme einzudringen. Ich meine, das Zeug ist ziemlich beängstigend und ich glaube fest daran, dass sich unsere kritische Infrastruktur an einem ziemlich schlechten Ort befindet. Ich denke, das meiste davon ist heute tatsächlich kompromittiert und es gibt eine Reihe von Implantaten in unserer kritischen Infrastruktur, die nur darauf warten, für den Fall, dass wir gegen einen anderen Nationalstaat in den Krieg ziehen, eingesetzt zu werden.

Wenn Sie also sagen, dass "unsere kritische Infrastruktur heute gefährdet ist", meinen Sie, dass Code in elektrischen Fabriken, Kernkraftwerken und Windmühlenfarmen vorhanden ist, die von ausländischen Mächten errichtet wurden und jederzeit aktiviert werden könnten?

Ja. Das ist genau richtig Ich muss nichts dafür tun Nach oben, Angesichts meines Wissens über den Stand der Cybersicherheit in diesen kritischen Infrastrukturorganisationen habe ich jedoch keinen Zweifel daran, dass es einen sehr großen Prozentsatz davon gibt sind heute kompromittiert, was uns in Zukunft in eine ziemlich beängstigende Position bringt.

Können wir uns trösten, dass wir wahrscheinlich eine ähnliche Hebelwirkung gegenüber unseren Gegnern haben und unseren Code auch in ihrer kritischen Infrastruktur haben, so dass es zumindest eine gegenseitig zugesicherte Zerstörung gibt, auf die wir uns verlassen können?

Ich würde annehmen, dass wir Dinge tun, die sehr ähnlich sind.

Okay. Ich nehme an, Sie können nicht alles sagen, was Sie vielleicht wissen, aber ich tröste mich zumindest damit, dass der Krieg geführt wird. Wir wollen natürlich nicht, dass dies in irgendeiner Form eskaliert, aber zumindest kämpfen wir auf beiden Seiten und wir sollten uns wahrscheinlich mehr auf die Verteidigung konzentrieren.

Stimmt. Ich meine, wir sollten uns definitiv mehr auf die Verteidigung konzentrieren, aber unsere offensiven Fähigkeiten sind genauso wichtig. Sie wissen, in der Lage zu verstehen, wie unsere Gegner uns angreifen und was ihre Fähigkeiten sind sind erforderlich ein offensiver Ansatz, und deshalb macht die NSA das, was sie tut, und die anderen Geheimdienste verfügen über ähnliche Fähigkeiten.

Also wollte ich dich nach einem Thema fragen, das in den Nachrichten in war zuletzt einige Monate, und das ist die Rolle der ausländischen Technologieunternehmen. Ihre Technologie ist in unsere Infrastruktur, in unsere Unternehmen, in unsere Regierungsbehörden eingebettet, und dann gibt es ungefähr alle sechs Monate eine Geschichte, in der es heißt: "Oh, wir sollten der Infrastruktur von Huawei Telecommunications nicht vertrauen." In letzter Zeit Es gab eine Geschichte, in der wir uns vielleicht die Sicherheitssoftware von Kaspersky Labs ansehen sollten, weil sie mit den russischen Sicherheitsdiensten zusammengearbeitet haben. Wie sehen Sie diese Art von Beziehungen? Handelt es sich bei diesen unabhängigen Unternehmen oder handelt es sich um Arme der Staaten, aus denen sie operieren?

Also schwer zu wissen, oder? Und ich denke, angesichts der Tatsache, dass wir die Verbindungen zu diesen Organisationen in Frage stellen müssen, müssen wir bei der Bereitstellung, insbesondere bei der weit verbreiteten Bereitstellung, vorsichtig sein. Etwas so verbreitet wie eine Antivirenlösung wie Kaspersky auf allen unseren Systemen, ist die Regierung vorsichtig, und vorausgesetzt, wir haben Lösungen, einheimische Lösungen, genau wie wir versuchen, unsere nuklearen Sprengköpfe und unsere Raketenabwehrsysteme in den USA zu bauen In den USA sollten wir die in den USA gebauten Lösungen auch aus der Perspektive der Cybersicherheit nutzen. Ich denke, das ist es, was sie letztendlich versuchen.

Was ist Ihrer Meinung nach das Wichtigste, was die meisten Verbraucher aus Sicherheitsgründen falsch machen?

Auf Verbraucherebene ist es einfach sehr einfach, oder? Ich denke, die meisten Leute praktizieren keine Sicherheitshygiene. Durchlaufen von Passwörtern, Verwenden unterschiedlicher Passwörter auf unterschiedlichen Websites, Verwenden von Tools zur Passwortverwaltung, Zwei-Faktor-Authentifizierungen. Ich kann Ihnen nicht sagen, wie viele Menschen es heutzutage einfach nicht nutzen, und es überrascht mich, dass die Dienste, die Verbraucher nutzen, es ihnen nicht nur aufzwingen. Ich denke, einige Banken fangen an, das zu tun, was großartig ist, aber es ist in meinen Augen einfach verrückt, wenn Social-Media-Konten immer noch kompromittiert werden, weil die Leute keinen Zweifaktor haben.

Bis wir die grundlegende Sicherheitshygiene überwunden haben, können wir, glaube ich, nicht über einige der fortgeschritteneren Techniken sprechen, um sich selbst zu schützen.

Erzählen Sie mir ein wenig über Ihre persönlichen Sicherheitspraktiken? Verwenden Sie einen Passwort-Manager?

Na sicher. Na sicher. ich benutze OnePassword , damit Grundsätzlich gilt Jede einzelne Website, die ich besuche und deren Konto ich erstelle, hat ein anderes Passwort, das immer mindestens 16 Zeichen lang ist. Ich ändere diese Passwörter regelmäßig und sie werden alle automatisch generiert. Ich verwende VPNs in ungeschützten Netzwerken. Unsere Firma hat also eine VPN-Lösung Jederzeit Ich bin in einem drahtlosen Netzwerk Ich habe keine Angst, das drahtlose Netzwerk zu verwenden, solange diese Verbindungen durch einen sicheren Tunnel gehen.

VPN-Dienste können Ihre Verbindung etwas verlangsamen, aber sie sind relativ einfach einzurichten und für ein paar Dollar im Monat erhältlich.

Sie sind sehr einfach einzurichten und Sie möchten mit einem seriösen Anbieter zusammenarbeiten, weil Sie Datenverkehr senden durch dieser Anbieter. Sie möchten nur sicherstellen, dass sie einen guten Ruf haben und Sie können ihnen Ihren Datenverkehr anvertrauen.

Zur gleichen Zeit, wenn ich nur einfache Dinge wie das Aktualisieren meines Systems tue, gibt es immer ein Update auf meinem Handy Gerät, oder meinem Computer nutze ich es. Ich meine, es gibt einen Grund, warum sie dieses Update rausbringen, also sind es wirklich nur die Grundlagen. Und dann natürlich Sie überwachen Ihre Kreditauskünfte und Ihre Kreditkarten sowie alle Anzeichen von verdächtigen Aktivitäten, die Sie gerade untersuchen.

Es ist nicht so verrückt. Es ist wirklich nicht so schwer, als Verbraucher sicher zu bleiben. Sie müssen keine fortgeschrittenen Techniken oder Lösungen verwenden, die es gibt. Denken Sie nur an gesunden Menschenverstand.

Ich denke, zwei Faktoren sind ein System, das viele Menschen verwirrt und viele einschüchtert. Sie denken, dass sie jedes Mal, wenn sie sich in ihr E-Mail-Konto einloggen, auf ihrem Telefon abhaken müssen, und das ist nicht der Fall. Sie müssen es nur einmal tun, Sie autorisieren diesen Laptop und auf diese Weise kann sich kein anderer Benutzer von einem anderen Laptop aus bei Ihrem Konto anmelden, was eine enorme Sicherheit darstellt.

Absolut. Ja, aus irgendeinem Grund macht es vielen Leuten Angst. Einige von ihnen sind dort eingerichtet, wo Sie es möglicherweise alle 30 Tage oder so tun müssen, aber immer noch Es ist nicht so umständlich, wie es sich anhört, und es ist ein großer Sicherheitsvorteil, den es zu implementieren gilt. Ich würde definitiv empfehlen, zwei Faktoren zu berücksichtigen.

Sie sind noch nicht so lange in dieser Branche tätig, können aber mitteilen, wie Sie die Landschaft gesehen haben Veränderung Seit du angefangen hast? Wie die Cyber-Bedrohungen haben in dieser Zeit entwickelt?

Ich beschäftige mich tatsächlich seit 15 Jahren mit Cybersicherheit und habe mich wirklich dafür interessiert. Seit ich 13 Jahre alt war und ein gemeinsames Webhosting-Unternehmen betrieb. Es wurde viel Wert darauf gelegt, die Websites unserer Kunden und die Serveradministration zu schützen und sicherzustellen, dass diese Server gesperrt sind. Sie sehen, wie das Wissen an die Seite des Angreifers gelangt ist. Ich denke, Sicherheit ist eine aufstrebende Branche, sie entwickelt sich ständig weiter und es gibt immer eine Menge neuer innovativer Lösungen und Technologien. Ich finde es aufregend, das rasante Innovationstempo in diesem Bereich zu beobachten. Es ist aufregend zu sehen, wie Unternehmen mehr von den progressiven Lösungen profitieren und sich von den defacto-Namen entfernen, von denen wir alle gehört haben, dem Symantecs und das McAfees der Welt und auf dem Weg zu einigen der neuen Unternehmen, die es gibt, in der Erkenntnis, dass sie innovativ sein müssen, wie sie sich der Cybersicherheit nähern. Und wenn nicht, sind die Angreifer ihnen einen Schritt voraus.

Früher handelte es sich hauptsächlich um Viren, und Sie mussten Ihre Definitionen aktualisieren, und Sie bezahlten ein Unternehmen, um diese Datenbank für Sie zu verwalten, und solange Sie das hatten, waren Sie vor 90 Prozent der Bedrohungen ziemlich sicher. Aber die Bedrohungen haben sich heute viel schneller entwickelt. Und es gibt eine reale Komponente, bei der sich Menschen bloßstellen, weil sie einen Phishing-Angriff erhalten, reagieren und ihre Anmeldeinformationen weitergeben. So wird ihre Organisation durchdrungen, und das ist fast mehr ein pädagogisches als ein technologisches Problem.

Ich denke, die überwiegende Mehrheit der erfolgreichen Angriffe ist nicht so weit fortgeschritten. Der kleinste gemeinsame Nenner der Sicherheit einer Organisation sind die Menschen. Wenn die Leute nicht dazu angehalten sind, eine verdächtige E-Mail nicht anzuklicken, ist das Spiel zu Ende. Heutzutage ist es einfach zu einfach, und es gibt viele Unternehmen, die versuchen, dieses speziell auf Phishing ausgerichtete Problem zu bekämpfen. Neben all den anderen Lösungen, die sie zur Behebung von Sicherheitslücken und zur Bekämpfung von Cyber-Bedrohungen einsetzen, müssen wir uns jedoch zunächst mit dem Problem der Menschen befassen, da wir es gerade zu einfach machen.

Ich würde gerne Nachforschungen darüber anstellen, wie viele Bedrohungen nur auf E-Mails basieren. Es gehen nur Tausende und Abertausende von E-Mails aus und die Leute klicken auf Dinge. Menschen, die einen Prozess und eine Reihe von Ereignissen schaffen, die außer Kontrolle geraten. Aber es kommt durch E-Mail, weil E-Mail so einfach und allgegenwärtig ist und die Leute es unterschätzen.

Jetzt beginnt der Übergang von E-Mail-basierten Angriffen zu Social-Phishing- und Spear-Phishing-Angriffen. Das Erschreckende daran ist, dass es ein inhärentes Vertrauen gibt, das in die sozialen Medien eingebettet ist. Wenn Sie einen Link sehen, der von einem Freund von a Freund, oder sogar das kompromittierte Konto eines Freundes, Sie werden wahrscheinlich anfälliger dafür sein, darauf zu klicken Verknüpfung, oder eine Datei herunterladen und das ist beängstigend. Sie haben auch die Möglichkeit, ein viel breiteres Publikum zu erreichen, oder? Sie senden keine E-Mails an andere Personen, sondern können jetzt einen Tweet mit einem darin enthaltenen Link veröffentlichen, der automatisch Zehntausende, Millionen von Personen erreicht, je nachdem, auf welchem ​​Konto Sie sitzen. Das ist der Grund, warum diese Berichte in der Natur immer beängstigender werden und mehr Menschen als je zuvor betreffen.

Ich möchte Sie nach der mobilen Sicherheit fragen. Frühe Tage haben wir Leuten gesagt, wenn Sie ein iOS-Gerät haben, brauchen Sie wahrscheinlich kein Antivirus, wenn Sie ein Android-Gerät haben, möchten Sie es vielleicht installieren. Sind wir so weit fortgeschritten, dass wir auf jedem Telefon Sicherheitssoftware benötigen?

Ich denke, wir müssen der Sicherheit wirklich vertrauen, die in die Geräte selbst eingebaut ist. Wenn man bedenkt, wie Apple zum Beispiel sein Betriebssystem so gestaltet hat, dass alles ziemlich sandkastenartig ist, oder? Eine Anwendung kann nicht viel außerhalb der Grenzen dieser Anwendung tun. Android ist ein bisschen anders gestaltet, aber wir müssen uns darüber im Klaren sein, dass, wenn wir Anwendungen Zugriff auf Dinge wie unseren Standort, unser Adressbuch oder andere Daten auf diesem Telefon gewähren, diese sofort veröffentlicht werden. Und es wird ständig aktualisiert, sodass Ihr Standort beim Verschieben wieder in die Cloud zurückgesendet wird, an wen auch immer diese Anwendung gehört. Sie müssen sich wirklich Gedanken machen über "Vertraue ich diesen Personen mit meinen Informationen? Vertraue ich der Sicherheit dieses Unternehmens?" Denn wenn sie Ihr Adressbuch und Ihre vertraulichen Daten speichern, haben sie jetzt Zugriff darauf, wenn sie von jemandem kompromittiert werden.

Und es ist ständiger Zugang.

Stimmt.

Sie müssen über den Tellerrand hinaus denken. Nur weil Sie ein neues Spiel herunterladen, das cool aussieht, wenn Sie nach Ihren Standort- und Kalenderinformationen gefragt werden und Sie uneingeschränkten Zugriff auf das Telefon haben, vertrauen Sie darauf, dass alle diese Informationen für immer verfügbar sind.

Das ist genau richtig Ich denke, Sie müssen wirklich darüber nachdenken, warum sie danach fragen. Brauchen sie das wirklich? Und es ist in Ordnung, "Ablehnen" zu sagen und zu sehen, was passiert. Vielleicht hat es keinen Einfluss darauf und dann muss man sich wirklich fragen: "Warum haben sie wirklich danach gefragt?"

Es gibt Tausende von Apps, die nur zum Sammeln persönlicher Informationen erstellt wurden. Sie bieten lediglich einen Mehrwert, damit Sie sie herunterladen können. Der eigentliche Zweck besteht jedoch darin, Informationen über Sie zu sammeln und Ihr Telefon zu überwachen.

Es ist tatsächlich ein allgegenwärtiges Problem, bei dem diese böswilligen Entitäten Apps erstellen, die wie andere Apps aussehen. Vielleicht geben sie vor, Ihre Online-Bank zu sein, wenn sie es nicht sind. Eigentlich wird nur nach Ihren Anmeldeinformationen gesucht, also müssen Sie wirklich vorsichtig sein. Offensichtlich Es gibt einen sorgfältigen Prozess, den diese Apps durchlaufen müssen, bevor sie im App Store veröffentlicht werden, aber er ist nicht narrensicher.

Ich möchte Ihnen die Fragen stellen, die ich allen in dieser Show stelle. Gibt es einen bestimmten technologischen Trend, der Sie am meisten beunruhigt? hält bist du nachts wach?

Tatsächlich Wir sprachen über Mobilgeräte, und ich denke, die rasche Akzeptanz von Mobilgeräten und fast allen Transaktionen, die auf Mobilgeräten statt in einem Webbrowser stattfinden, ist ein wichtiger Faktor. Was mir Angst macht, ist die mangelnde Sicherheitsprüfung, die aus Unternehmenssicht bei den Entwicklern dieser Anwendungen auftritt. Sie denken in diesen Anwendungen nicht so an die Sicherheit wie in ihren Unternehmensnetzwerken und in ihren Webanwendungsumgebungen. Daher gibt es APIs, die anfällig für Angriffe sind. Sie speichern Passwörter auf dem Gerät, die Kryptografie ist oft falsch implementiert. Das ist beängstigend für mich, wenn ich weiß, dass immer mehr Menschen auf diesen Geräten Transaktionen durchführen, aber die Unternehmen, die diese Apps entwickeln, denken nicht in der gleichen Weise über die Sicherheit nach wie über alles andere. Ich denke, es wird besser, aber wir sind immer noch nicht da.

Gibt es eine App oder einen Service oder ein Gadget, das Sie jeden Tag nutzen und das nur zum Staunen anregt und das Sie beeindruckt?

Das ist eine gute Frage. Ich bin ein großer Fan von Googles Tool-Suite. Sie interagieren wirklich sehr gut, funktionieren sehr gut und lassen sich gut integrieren. Ich bin also ein großer Google Apps-Nutzer. und das nicht nur, weil Google ein Investor in unser Unternehmen ist.

Überall gibt es ein bisschen Google.

Es gibt überall ein kleines Google.

Es gibt etwas zu sagen, um sich einen Moment Zeit zu nehmen und ihnen die Ehre zu erweisen, was sie getan haben. Sie wollten die Informationen der Welt wirklich durchsuchbar und verständlich machen, und das haben sie ziemlich gut gemacht.

Wir haben gerade ein neues Whiteboard, ein digitales Whiteboard in unserem Büro - das Jamboard - und es ist eines der coolsten Geräte, die ich seit langem gesehen habe. Nur die Möglichkeit, etwas auszuspielen, abzuspeichern und wieder aufzurufen oder mit jemandem auf einem anderen Ende oder mit jemandem auf einem iPad zu interagieren und in Kontakt zu treten. Ich meine, das ist einfach unglaublich und über die Zusammenarbeit per Fernzugriff zu sprechen, macht es einfach so viel einfacher.

Es ist aufregend, diesen Fortschritt in der Art und Weise zu sehen, wie wir zusammenarbeiten können. Wir müssen nicht nur Leute zentral in einem Büro haben, wir können schlechte alte Ideen einbringen und ich finde das wirklich cool.

Es ist sehr, sehr cooles Produkt. Wir haben es im Labor getestet und wir hatten einige Probleme mit der Software, aber es ist zuerst Generation. Es ist gerade erst vor zwei Monaten herausgekommen, und es wird auf jeden Fall die Art und Weise sein, wie Menschen in den kommenden Jahren in Konferenzräumen kommunizieren.

Absolute Zustimmung.

Es sind nur ein paar Software-Updates erforderlich, um es ein bisschen einfacher zu machen.

Es ist ein kleiner Buggy, aber es ist immer noch erstaunlich.

Wie können die Leute Sie einholen und Ihnen online folgen und verfolgen, was Sie tun?

Ja, ich bin auf Twitter @ JayKaplan. Unser Blog unter Synack.com/blog ist auch ein großartiger Ort, an dem Sie die neuesten Informationen zur Cybersicherheit und zu unseren Aktivitäten als Unternehmen erhalten. Von Zeit zu Zeit habe ich dort einige Posts veröffentlicht. Ich bin auch auf LinkedIn und poste dort immer wieder. Ich versuche, in den sozialen Medien so aktiv wie möglich zu bleiben. Ich bin nicht der Beste.

Es benötigt viel Zeit.

Aber ich versuche es.

Sie haben auch einen Job zu erledigen.

Genau.