Kryptografische Entdeckung erfordert tiefgreifende Infrastrukturexpertise und Big Data

Kryptografische Entdeckung erfordert tiefgreifende Infrastrukturexpertise und Big Data

Die Natur von Startups—besonders von bootstrapped Startups—ist, dass es kein Versteck gibt. Entweder löst man ein dringendes Problem für seine Kunden, oder man tut es nicht. Wenn nicht, werden sie nicht für das Produkt bezahlen, und man bekommt ein ernsthaftes Problem. Gründer müssen gute Zuhörer sein, damit ihre Startups erfolgreich sind.

Diese Geschichte handelt davon, wie ich gelernt habe zuzuhören, und wie ich eine Plattform zur kryptografischen Entdeckung aufgebaut habe—nicht mit Fokus auf Sicherheit, sondern darauf, wie die zentrale Netzwerkinfrastruktur funktioniert und wie Webanwendungen zusammengesetzt sind.

2017 gründete ich ein Startup namens Hardenize, um das Problem der Sichtbarkeit von Infrastrukturkonfiguration und Kryptografie zu lösen. Es begann mit einer zentralen Erkenntnis, endete aber, als es fünf Jahre später von Red Sift übernommen wurde, mit zwei. Die Gründungserkenntnis war, dass man ein Netzwerkexperte werden muss, um überhaupt Einblick in den Sicherheitsstatus zu bieten.

Traditionell boten Sicherheitsprodukte Einblicke basierend auf Netzwerk-Scanning, bei dem man ihnen seine Netzwerkbereiche zuführen musste, woraufhin sie Listen offener Ports und Dienste erstellten. Dieser Ansatz funktionierte in den alten Zeiten privater Infrastruktur, brach aber mit dem Übergang zu Cloud-Anbietern und der Auslagerung verschiedener Dienste an Dritte zusammen. Ein weiteres Problem war virtuelles Web-Hosting, das die Kolokation mehrerer Webdienste auf derselben IP-Adresse ermöglichte. Gutes altes Netzwerk-Scanning bot in solchen Fällen keine Sichtbarkeit.

Um die Infrastruktur zu finden, muss man daher mit einem Domainnamen beginnen, ihn beim Registrar prüfen und dann den Baum aller Konfigurationsmöglichkeiten durchgehen, um alle Infrastrukturdetails aufzusaugen. Man beginnt zunächst mit der Untersuchung der DNS-Konfiguration. Von dort aus kann man weitergehen, um Dienste und unterstützte Protokolle zu finden, E-Mail- und Webserver zu finden, alle verbundenen Drittanbieter zu finden, TLS und PKI zu prüfen, und schließlich die Anwendungsebene zu untersuchen.

Bei Hardenize haben wir all das getan und es als schönen Bericht sowie kostenloses Tool verpackt. (Diesen Bericht kann man immer noch auf hardenize.com sehen.) Jeder, der unsere Berichte sah, liebte sie. Unsere Tiefenprüfungs-Engine sparte ihnen Zeit, zeigte ihnen Dinge, von denen sie nicht wussten, dass sie existieren, und sie liebten auch das Design und die Präsentation. Das einzige Problem war, dass sie es nicht kauften. Buchstäblich nicht.

Wir befanden uns an einem kritischen Punkt in der Reise eines Startups, und hier half das Zuhören. Unseren Kunden gefiel, was wir hatten, aber nur als Ausgangspunkt. Die Sichtbarkeit eines einzelnen Domainnamens zu bieten war nützlich, aber nicht ausreichend, denn unsere Kunden hatten Hunderte, Tausende und sogar Zehntausende von Domainnamen mit Infrastruktur darauf.

Dieser Kampf führte uns zur zweiten Erkenntnis: Eine funktionierende Lösung braucht zwei Arten von Sichtbarkeit: vertikale Sichtbarkeit, die Analysetiefe für ein einzelnes Asset (in diesem Fall einen Domainnamen) bietet, und horizontale Sichtbarkeit, die alle Assets findet.

Zurück ans Reißbrett, wie man so sagt. Die horizontale Sichtbarkeit zu lösen war nicht einfach, aber wir haben es geschafft. Wie sich herausstellte, war das Grundproblem, dass Organisationen keine guten Asset-Inventare haben. Sie sind weder vollständig noch aktuell. Die besten Organisationen hatten zwar einige Listen, aber selbst diese waren aufgrund des schnellen Wandels nicht nützlich. Die Pflege des Asset-Inventars muss automatisiert und kontinuierlich erfolgen.

Ich bin ehrlich: Das zu verstehen war einfacher, als es zu beheben. Aber wir haben es am Ende behoben—zunächst mussten wir jedoch beginnen, die Grundlagen des Internets zu überwachen—global:

• Domainnamen-Registrierungen
• Zuweisung von Netzwerkbereichen
• Passives DNS-Monitoring
• Certificate-Transparency-Monitoring
• DNS-Konfiguration und Delegierungen
• Website-Konfiguration
• TLS und PKI

All das oben Genannte, zusammen mit einer gesunden Dosis Analyse und cleverer Korrelation, ermöglichte es uns, automatisierten Aufbau von Asset-Inventaren für unsere Kunden bereitzustellen. Bei der Eröffnung ihres Kontos gaben sie uns Startdaten, was auch immer sie hatten, aber wir übernahmen den Rest. Wir fanden sofort ihre Zertifikate und Subdomains, aktivierten dann vollständiges Monitoring, um in die Tiefe zu gehen, und erstellten dann einzigartige Fingerabdrücke ihrer Infrastruktur. Mit diesem Prozess konnten wir dann in unseren großen Datenheuhaufen nach Domainnamen suchen, von denen selbst sie nichts wussten.

Und all das war notwendig, bevor wir überhaupt an einen Punkt gelangten, an dem wir nützliche und umsetzbare Sicherheitseinblicke im großen Maßstab bieten konnten. Und unsere Kunden begannen zu kaufen.