Марина Сегал хочет, чтобы ваше облако говорило «нет»
- Tamnoon, основанная Мариной Сегал в 2021 году, научила движок сначала отказываться от небезопасных исправлений и объяснять причины.
- В демонстрации из шести одинаковых оповещений движок закрыл три хранилища, отказался закрывать два и запросил сведения о владельце шестого.
- Компания опубликовала индекс на основе 14,86 млн обнаружений и страницу с примерами отказов; более половины выявленных уязвимостей остаются неустранёнными.
Почему это важно: Критическую уязвимость устраняют в среднем за 150 дней, тогда как злоумышленнику требуется 29 минут, чтобы перейти от проникновения к горизонтальному перемещению.
Облачная безопасность потратила десятилетие на то, чтобы научиться видеть всё. Половина обнаруженного до сих пор остаётся без внимания. Генеральный директор Tamnoon говорит, что следующее десятилетие будет за машинами, которые знают, когда не следует действовать, и сегодня она публикует список того, от чего отказалась её система.
Марина Сегал помогала создавать машины, которые видят всё.
Она работала в Dome9 Security, когда там сформировали концепцию управления состоянием безопасности облака, а затем — в Check Point после покупки компании. Эта идея одержала безоговорочную победу. Сегодня неправильно настроенное хранилище, открытый порт или роль с чрезмерными разрешениями появляются в консоли через несколько минут после создания — в любом облаке и в любом из дюжины сканеров. Этап обнаружения завершён. Никто из специалистов всерьёз этого не оспаривает.
Затем она увидела, что происходит с результатами обнаружения.
»Ничего, — говорит она. — С ними ничего не происходило. Мы создали отрасль, которая могла видеть каждую проблему в облаке, а потом просто складывала эти проблемы в архив.»
Собственные данные её компании позволяют оценить размеры этого архива. Более половины всех уязвимостей, когда-либо обнаруженных в облаке, до сих пор не устранены. Сейчас устранение критической уязвимости занимает в среднем 150 дней, и этот показатель не улучшается, а ухудшается. По данным CrowdStrike, злоумышленнику требуется 29 минут, чтобы перейти от первого проникновения к горизонтальному перемещению по сети. А после срабатывания оповещения часы защитников отсчитывают месяцы.
В 2021 году Сегал стала соосновательницей Tamnoon, чтобы устранить этот разрыв. Созданное ею решение необычнее, чем просто более быстрая кнопка. Она построила систему, главным достижением которой стал отказ.
Все автоматизировали согласие
Ответом отрасли на растущую очередь задач по устранению проблем неизбежно должна была стать автоматизация, и за последние восемнадцать месяцев она широко распространилась. Теперь почти каждая платформа облачной безопасности предлагает агента, который готов внести изменения самостоятельно. В анонсах обещают одно и то же: скорость, этап согласования, возможность отката и контроль.
Большинство таких переключателей остаются выключенными.
Спросите у команды безопасности облачной инфраструктуры почему — и вы поймёте, что дело вовсе не в технологиях. Всё упирается в имя того, кто вносит изменения. В рабочей среде за каждое изменение кто-то отвечает, и никто не согласится на то, что машина не может объяснить. Ошибочное исправление выглядит не как провал системы безопасности. Оно выглядит как сбой в работе, а в заявке указано, кто его одобрил.
»Каждый поставщик на этом рынке продаёт скорость, — говорит Сегал. — Скорость никогда не была проблемой. Никто не боялся, что исправление будет медленным. Боялись, что оно окажется неправильным и именно они согласятся его внести.»
Она считает этот страх обоснованным. Дело не в обучении, не в управлении изменениями и не в корпоративной культуре. Это рациональная реакция на автоматизацию, которая ни разу не показала покупателю, от чего готова отказаться.
»Машина, которая не умеет говорить «нет», — это не автоматизация, — говорит она. — Это источник ответственности с API.»
Первым делом мы автоматизировали сдержанность
Именно здесь Tamnoon расходится с остальными компаниями в этой категории — причём с самого основания.
Каждый продукт для устранения проблем создаётся, чтобы действовать. Движок Tamnoon создавался для принятия решений, и первым решением, которому он научился, стал отказ. Прежде чем ему разрешили что-либо менять в облаке клиента, его научили анализировать: что зависит от этого ресурса, кто за него отвечает, что менялось недавно и что показывают данные о трафике. Затем его научили отказываться от изменений, безопасность которых он не мог доказать, и объяснять почему.
»Машина учится действовать задолго до того, как учится останавливаться, — говорит Сегал. — Мы обучали нашу в обратном порядке. Первым делом мы автоматизировали сдержанность. В этом порядке и заключается вся суть компании.»
Демонстрация Tamnoon наглядно показывает это менее чем за минуту. Шесть хранилищ данных открыты для доступа из интернета и выглядят в сканере одинаково. Одно и то же оповещение, одна и та же степень серьёзности, один и тот же красный индикатор. Движок анализирует все шесть. Три можно безопасно закрыть — он закрывает их через собственный процесс внесения изменений клиента, подготовив возможность отката. От закрытия двух он письменно отказывается, потому что изменение нарушило бы работу действующего сервиса, который сканер не обнаружил. Одно хранилище он ни закрывать, ни отклонять не стал. Он задаёт вопрос, потому что владелец неизвестен, а гадать он не будет.
Одно оповещение. Три правильных ответа. Сканер каждый раз был прав. Проблема никогда не заключалась в сканере.
Отказ полезен, а не просто раздражает благодаря тому, что к нему прилагается. В отказе движка указаны сама уязвимость, что было изучено перед принятием решения, вердикт, его обоснование, единственный факт, который мог бы изменить вердикт, и инструкции для устранения проблемы вручную.»Отказ без доказательств — это пожатие плечами, — говорит Сегал. — Отказ с доказательствами — решение, которое можно отстоять в девять утра. Отказ — это тоже ответ.»
Автономию не дают. Её нужно заслужить.
Второе принципиальное отличие от остальных игроков рынка касается доверия и переворачивает подход, которым отрасль продавала автоматизацию последние двадцать лет.
Обычно всё устроено как регулятор. Поставщик выпускает продукт с определёнными возможностями, клиент решает, какую их часть включить, а риск этого решения ложится на клиента. Движок Tamnoon начинает с нулевого уровня. Он подключается в режиме только для чтения и ничего не меняет в облаке клиента. Право действовать в отношении определённого класса уязвимостей он получает лишь после того, как докажет свою надёжность в этой области, причём право вето остаётся за клиентом.
»Право вето остаётся за вами, — говорит Сегал. — Ключи он заслуживает. И может их лишиться. Автономия — не функция, которую можно купить. Это послужной список, который можно изучить.»
Единица учёта в этом послужном списке — квитанция. Каждое решение движка, и о закрытии уязвимости, и об отказе, оформляется в виде квитанции с шестью полями, которую аудитор может прочитать без переводчика. Если инженер клиента отменяет решение движка, это тоже вносится в запись и помогает движку оценить эту среду в следующий раз. Он учится на данных всей клиентской сети и становится строже, анализируя облако каждого отдельного клиента.
»Совет директоров никогда не спросит вас, насколько быстро было внесено исправление, — говорит Сегал. — Он спросит, как вы убедились в его безопасности. Мы создали ответ на второй вопрос.»
Как выглядит облако, которое устраняет проблемы само
Сегал осторожно употребляет это выражение: ИТ-специалисты слышат его и представляют перезапуск подов.
»Ваше облако уже перезапускается самостоятельно, — говорит она. — Но оно ни разу само не закрыло брешь в системе безопасности. Устранение проблемы означает, что уязвимость ликвидирована через ваш собственный процесс внесения изменений и кто-то может обосновать, как именно это произошло.»
Её прогноз на следующие пять лет весьма конкретен. Команды безопасности перестанут нести ответственность за изменения, которые не проектировали. Очередь проблем перестанет быть архивом и превратится в список с вынесенными вердиктами. Вместо 142 оповещений инженеры будут видеть одну проблему — именно такое соотношение в среднем обеспечивает модель Tamnoon, объединяющая данные разных сканеров. Одни и те же восемь ошибок конфигурации перестанут появляться каждый квартал, потому что однажды устранённая проблема больше не вернётся. А автономия перестанет быть галочкой в настройках продукта и станет предоставляться для каждого класса уязвимостей отдельно — по аналогии с кредитным лимитом, на основе доказательств.
С этим связаны три прогноза, и Сегал готова публично признать, если ошибётся. Отказ станет отдельным пунктом в каждом запросе предложений на решения для устранения проблем. Квитанция заменит рейтинг как критерий сравнения продуктов для покупателей. А поставщики перестанут предлагать такие решения, не показывая примеров отказов.
»Через пять лет никто не купит решение для устранения проблем у поставщика, который не сможет показать, от чего отказалась его система, — говорит она. — Этот вопрос будет казаться очевидным. Сегодня его никто не задаёт.»
Клиенты, которые пользовались движком целый год, описывают перемены в цифрах. Одна компания сократила число нерешённых проблем с 6 074 до 2 041 за четыре квартала — втрое, причём к концу периода число новых оповещений уменьшилось на 93%. Одна медицинская компания оценила полную стоимость устранения одной уязвимости: 8 775 долларов вручную и 775 долларов с помощью движка. Среди клиентов компании — Warner Music Group. Tamnoon привлекла более 18 миллионов долларов, включая раунд Series A под руководством Bright Pixel Capital, а её движок анализирует данные семнадцати сканеров, в том числе Wiz и CrowdStrike Falcon Cloud Security.
Показатель и послужной список
Сегодня Tamnoon публикует две вещи, которые в этой отрасли обычно не раскрывают.
Первая — это показатель. Компании в сфере облачной безопасности всегда рассказывали, как быстро действуют злоумышленники. А о том, как медленно устраняются проблемы, говорили куда меньше. Индекс устранения проблем в облаке, опубликованный сегодня утром, основан на тех же 14,86 миллиона обнаружений, которые легли в основу отчёта компании. Он отвечает сразу на два вопроса: какая доля всех обнаруженных уязвимостей до сих пор не устранена и сколько времени критическая уязвимость остаётся открытой. Скорость действий злоумышленника измеряется минутами. Этот показатель — месяцами.
Вторая — это послужной список. С сегодняшнего дня Tamnoon ведёт общедоступную страницу с примерами уязвимостей, от устранения которых отказался её движок, — для каждой приводятся все шесть полей.
»Каждая компания в этой отрасли публикует свои успехи, — говорит Сегал. — Мы публикуем изменения, которых не внесли. Это странный повод для гордости — пока не задумаешься, какой из двух списков должна изучить команда безопасности, прежде чем допускать машину в рабочую среду.»
Кроме того, компания опубликовала шесть вопросов, которые, по её мнению, покупателям следует задавать любому поставщику решений для устранения проблем, включая саму Tamnoon. Первый вопрос: умеет ли система отказываться от изменения и может ли она показать пример такого отказа с приложенными доказательствами.
»Все демонстрируют исправление, — говорит Сегал. — Попросите их продемонстрировать отказ.»
Для перезапуска компании в сфере безопасности это необычный подход: на первом плане — то, чего продукт не станет делать, и показатель, который отрасль редко публикует о себе. Но традиционному подходу дали целое десятилетие, а половина обнаруженных проблем так и осталась нерешённой. Сегал ставит на то, что второе десятилетие облачной безопасности будет за машинами, которые заслужили право работать в производственной среде, — благодаря каждому своему отказу. Сама компания описывает свою философию восемью словами:
Все автоматизируют согласие. Мы овладели искусством говорить «нет».
