El descubrimiento criptográfico requiere una profunda experiencia en infraestructura y big data
La naturaleza de las startups—especialmente las que se autofinancian—es que no hay dónde esconderse. O estás resolviendo un problema apremiante para tus clientes, o no lo estás haciendo. Si no lo estás haciendo, no pagarán por tu producto y tendrás un serio problema. Los fundadores tienen que saber escuchar para que sus startups tengan éxito.
Esta historia trata sobre cómo aprendí a escuchar y construí una plataforma de descubrimiento criptográfico centrándome no en la seguridad, sino en cómo funciona la infraestructura de red principal y cómo se ensamblan las aplicaciones web.
Primer ingrediente: Experiencia en infraestructura de red
En 2017, fundé una startup llamada Hardenize para resolver el problema de la configuración de infraestructura y la visibilidad criptográfica. Comenzó con una idea clave, pero, para cuando fue adquirida por Red Sift cinco años después, terminó con dos. La idea fundacional era que, para proporcionar cualquier tipo de visibilidad sobre el estado de la seguridad, tienes que convertirte en un experto en redes.
Tradicionalmente, los productos de seguridad proporcionaban información basada en el escaneo de red, donde tenías que alimentarlos con tus rangos de red, después de lo cual producían listas de puertos y servicios abiertos. Este enfoque funcionaba en los viejos tiempos de la infraestructura privada, pero se derrumbó con la transición a proveedores de nube y la externalización de una variedad de servicios a terceros. Otro problema era el alojamiento web virtual, que permitía la coubicación de múltiples servicios web en la misma dirección IP. El buen y viejo escaneo de red no ofrecía visibilidad en tales casos.
Por lo tanto, para encontrar la infraestructura, hay que empezar con un nombre de dominio, inspeccionarlo en el registrador, y luego subir por el árbol de todas las posibilidades de configuración para absorber todos los detalles de la infraestructura. Primero se comienza examinando la configuración de DNS. Desde aquí puedes pasar a encontrar los servicios y protocolos compatibles, encontrar los servidores de correo electrónico y web, encontrar todos los terceros relacionados, inspeccionar TLS y PKI, y finalmente examinar la capa de aplicación.
En Hardenize, hicimos todo esto y lo empaquetamos como un hermoso informe y una herramienta gratuita. (Todavía puedes ver este informe en hardenize.com.) A todos los que vieron nuestros informes les encantó. Nuestro motor de inspección profunda les ahorraba tiempo, mostrándoles cosas que no sabían que existían, y también les encantó el diseño y la presentación. El único problema era que no lo compraban. Es decir, literalmente.
Segundo ingrediente: Big data
Estábamos en un punto crítico del recorrido de una startup, y aquí es donde escuchar ayudó. A nuestros clientes les gustaba lo que teníamos, pero solo como punto de partida. Proporcionar visibilidad de un solo nombre de dominio era útil, pero no suficiente, porque nuestros clientes tenían cientos, miles, e incluso decenas de miles de nombres de dominio con infraestructura en ellos.
Esta lucha nos llevó a la segunda idea, que es que una solución funcional necesita dos tipos de visibilidad: visibilidad vertical que proporciona profundidad de análisis para un solo activo (nombre de dominio en este caso) y visibilidad horizontal, que encuentra todos los activos.
Vuelta a empezar, como se suele decir. Descifrar la visibilidad horizontal no fue fácil, pero lo logramos. Resulta que el problema raíz era que las organizaciones no tienen buenos inventarios de activos. No son ni completos ni están actualizados. Las mejores organizaciones tenían algunas listas, pero incluso las suyas no eran útiles debido al ritmo acelerado de cambio. El mantenimiento del inventario de activos tiene que ser automatizado y realizarse de forma continua.
Seré honesto, entender esto fue más fácil que solucionarlo. Pero al final lo solucionamos, pero primero tuvimos que empezar a monitorear los fundamentos de Internet—globalmente:
- Registros de nombres de dominio
- Asignación de rangos de red
- Monitoreo pasivo de DNS
- Monitoreo de Transparencia de Certificados
- Configuración y delegaciones de DNS
- Configuración de sitios web
- TLS y PKI
Todo lo anterior, más una buena dosis de análisis y correlación inteligente, nos permitió proporcionar la construcción automatizada de inventarios de activos para nuestros clientes. Al abrir su cuenta, nos proporcionaban datos semilla, lo que tuvieran, pero nosotros nos encargábamos del resto. Encontrábamos instantáneamente sus certificados y subdominios, luego habilitábamos un monitoreo completo para profundizar, y después construíamos huellas digitales únicas de su infraestructura. Con este proceso, podíamos entonces recurrir a nuestros grandes pajares de datos para encontrar los nombres de dominio que ni siquiera ellos sabían que existían.
Y todo esto era necesario incluso antes de llegar al punto en que pudiéramos empezar a proporcionar información de seguridad útil y accionable a gran escala. Y nuestros clientes empezaron a comprar.
Ivan Ristic is the Chief Scientist for Red Sift and former founder of Hardenize. Learn more about how Red Sift helps organizations with their Certificate Monitoring.