Verdedigen tegen gerichte aanvallen in het tijdperk van cyberspionage

Howard Schmidt heeft het allemaal gedaan. Hij heeft de beveiliging geregeld voor Microsoft en eBay. Hij diende als speciale assistent van de president en als cybersecurity-coördinator voor de overheid. Momenteel is hij een partner, samen met voormalig DHS-secretaris Tom Ridge, in adviesbureau Ridge-Schmidt Cyber. In zijn hoedanigheid van voorzitter van de International Advisory Board voor Kaspersky Labs leidde hij een fascinerend panel over gerichte aanvallen en cyberspionage tijdens de recente Kaspersky Cybersecurity Summit.

De andere panelleden brachten kennis en ervaring uit verschillende industrieën mee. Fred Schwien, directeur van Homeland Security Programs & Strategy, The Boeing Company, moet omgaan met beveiliging op alle niveaus, te beginnen met de supply chain. (Schwien grapte: "Mijn salaris is gekoppeld aan het aantal letters in mijn titel.") Joe Sullivan, de CSO van Facebook, maakt zich natuurlijk meer zorgen over het elektronische domein. Afronding van het panel, Eugene Kaspersky is de oprichter, voorzitter en CEO van wereldwijde beveiligingsgigant Kaspersky Lab. Ik kan niet de hele brede discussie rapporteren, maar ik zal de hoogtepunten bereiken.

Schmidt: "Als we kijken naar de kwestie van de toeleveringsketen, is Fred in je werk alles in de toeleveringsketen. Je hebt klinknagels, motoren, stoelen, dingen die heel belangrijk zijn voor je bedrijf en de overheid. Hoe zie je de toeleveringsketen in uw kritieke infrastructuurwereld?"

Schwien: "Ik zeg graag, de nieuwe 747 bestaat uit zes miljoen delen die in formatie vliegen. We werken er hard aan om de ketting te beveiligen, om ervoor te zorgen dat dingen aan de specificaties worden aangepast en niet worden beschadigd. We hebben een wekelijkse groep die specifiek is voor de toeleveringsketen. " Schwien ging verder in op de vele manieren waarop luchtvaartbedrijven en overheidsinstanties informatie delen, waaronder geclassificeerde briefings van de FBI, TSA en meer.

Schmidt: "Joe, Fred heeft het over grote infrastructuur, overheidsinstanties, transport. Hoe zit het met Facebook? Ik neem aan dat je veel leveranciers hebt waar je op vertrouwt, dus dat is een kwestie van de supply chain. Hoe ga je daar mee om?"

Sullivan: "Mensen vertrouwen op ons, dus we kijken niet alleen naar de website, maar naar elk kwetsbaar gebied. We denken aan vier dingen, de voorkant, de achterkant, onze medewerkers en onze leveranciers. We hebben een uitgebreid plan voor elk, en we streven naar een constante staat van verbetering. " Sullivan merkte op dat toen Facebook een bugbounty voor server-side kwetsbaarheden toevoegde, ze waardevolle inzichten van de onderzoeksgemeenschap kregen.

Schmidt: "Eugene, je hebt hierover geblogd. Een inbreuk hoeft geen frontale aanval te zijn. We zagen een grote retailer een compromis sluiten via een schijnbaar niet-verbonden verkoper. Hoe kijken jij en je team aan het werken met een supply chain?"

Kaspersky: "Het is een beetje ingewikkeld. Ik vertegenwoordig ID-beveiliging en ben paranoïde. Ondernemingen moeten niet alleen aan hun eigen beveiliging denken, maar ook aan hun leveranciers. Het zijn niet alleen de bedrijven die onderdelen leveren voor een enorm bedrijf als Boeing. De restaurants, de lunchroom, bieden ze een service. Maken ze verbinding met uw netwerk? Biedt u taxiservice? Heeft het wifi? U moet nadenken over alle directe en indirecte leveranciers. " Hij vertelde over een ontdekking door onderzoekers van Kaspersky Lab. Bij het controleren van een bedrijf dat SCADA-toepassingen voor krachtcentrales ontwikkelt, ontdekten ze een achterdeur. Wie het plantte, kreeg volledige toegang tot de technologie en de mogelijkheid om de broncode te wijzigen. "Als uw leverancier is geïnfecteerd, kunt u niet meer op uw gegevens vertrouwen", aldus Kaspersky. "Het is goed nieuws voor IT-beveiliging, slecht nieuws voor de rest van de wereld."

Schmidt: "Eugene, als je naar de voetafdruk van de hele wereld kijkt, blokkeer je APT's voor Microsoft, Boeing, Facebook… Waar profiteren de kleine jongens van?"

Kaspersky: "Cybercriminaliteit is een ander verhaal. Ze willen geld . Ze willen je niet vermoorden, je reputatie verpesten of je geheimen stelen. Als een klein bedrijf door cyberespionage werd getroffen, heeft iemand een fout gemaakt."

Schmidt: "Joe, waar zet je je inspanningen in om de supply chain veilig te stellen?"

Sullivan: "We kijken of derden kunnen voldoen aan gepubliceerde normen, maar dat is niet genoeg, en je kunt geen conclusies trekken op basis van de grootte of leeftijd van het bedrijf. We hebben een bedrijf van 15 personen gecontroleerd dat echt veilig was omdat het gebouwd met het oog op veiligheid. Een andere verkoper, een grote financiële instelling, beperkte wachtwoorden tot acht tekens, geen speciale tekens en geen onderscheid tussen hoofdletters en kleine letters. Je kunt niet beoordelen op grootte."

Schmidt: "Eugene, we horen al tien jaar 'antivirus is dood.' Is dat waar?"

Kaspersky: "Wat is dat citaat van Mark Twain? Geruchten over zijn dood zijn enorm overdreven. Antivirus handtekeningen bestaan, ze zijn nog steeds belangrijk, alleen niet de belangrijkste. Zoals de veiligheidsgordel in je auto; je moet het hebben, maar het is niet de belangrijkste deel."

Schmidt: Fred, Tom Ridge noemde beveiligingsgerelateerde voorschriften. Die bestaan ​​hier en in elk land. Je kunt hieraan voldoen, maar toch onzeker zijn. Hoe ga je om met regelgeving als een wereldwijd bedrijf?"

Schwien: "Soms noemen we een vliegtuig een wereldwijd mobiel industrieel controlesysteem. Een vliegtuig dat me ophaalde bij Newark vertrok uit Singapore en nam me mee naar Tel Aviv. We werken in de omgeving voor elk land." Schwien merkte op dat Amerikaanse regelgeving vaak de strengste is, de gouden standaard, voor zowel fysieke als cyberbeveiliging. Hij citeerde generaal Keith Alexander, voormalig hoofd van de NSA, over het Amerikaanse cyberverdedigingsteam: "We hebben het beste team ter wereld, maar ze zijn nog steeds in de kleedkamer."

Sullivan: "Om het af te ronden, de grootste problemen bij gebruik waren gloednieuwe bedreigingen. Handtekeningen hadden niet gewerkt. We hebben meer investeringen in beveiliging buiten onze grenzen nodig, en bij het omgaan met nieuwe kwetsbaarheden moeten we nieuwe manieren van bescherming ontwikkelen.. Informatie delen is de sleutel."

Kaspersky: "Wat moet er gebeuren? De wereld moet worden opgesplitst in drie categorieën, individuele, zakelijke en kritieke infrastructuur. We hebben geen regulering nodig voor individuen, op Facebook-gebruikers. Maar we hebben strikte regulering nodig voor de beveiliging van kritieke infrastructuur. Ondernemingen, zij ' daar tussenin. We hebben onderwijs nodig. Het belangrijkste is dat we speciale overheidsreglementering nodig hebben voor tests van veiligheidsagenten. Ze moeten een paranoia-test doorstaan! Dit zal de wereld veranderen."

Daar heb je het. Bescherm de supply chain, zorg ervoor dat cruciale beveiligingsinformatie wordt gedeeld en zorg ervoor dat alle beveiligingsmedewerkers de paranoia-test doorstaan. Publieksleden toonden veel enthousiasme.