Cryptographic discovery requires deep infrastructure expertise and big data

La scoperta crittografica richiede una profonda competenza infrastrutturale e big data

La natura delle startup—specialmente quelle autofinanziate—è tale che non c'è dove nascondersi. O stai risolvendo un problema urgente per i tuoi clienti, oppure no. Se non lo fai, non pagheranno per il tuo prodotto e avrai un problema serio. I fondatori devono essere bravi ascoltatori affinché le loro startup abbiano successo.

Questa è la storia di come ho imparato ad ascoltare e ho costruito una piattaforma di scoperta crittografica concentrandomi non sulla sicurezza, ma su come funziona l'infrastruttura di rete principale e su come vengono assemblate le applicazioni web.

Nel 2017, ho fondato una startup chiamata Hardenize per risolvere il problema della configurazione dell'infrastruttura e della visibilità sulla crittografia. È partita da un'unica intuizione chiave, ma, nel momento in cui è stata acquisita da Red Sift cinque anni dopo, ne aveva maturate due. L'intuizione fondante era che, per fornire qualsiasi tipo di visibilità sullo stato della sicurezza, bisogna diventare esperti di networking.

Tradizionalmente, i prodotti di sicurezza fornivano informazioni basate sulla scansione di rete, in cui dovevi fornire i tuoi intervalli di rete, dopodiché venivano prodotti elenchi di porte e servizi aperti. Questo approccio funzionava ai vecchi tempi dell'infrastruttura privata, ma è crollato con la transizione ai provider cloud e l'esternalizzazione di una varietà di servizi a terze parti. Un altro problema era l'hosting web virtuale, che consentiva la co-locazione di più servizi web sullo stesso indirizzo IP. Il buon vecchio network scanning non offriva alcuna visibilità in questi casi.

Quindi, per trovare l'infrastruttura, bisogna partire da un nome di dominio, esaminarlo presso il registrar, poi risalire l'intero albero di tutte le possibilità di configurazione per assorbire tutti i dettagli infrastrutturali. Si inizia esaminando la configurazione DNS. Da qui si può passare a trovare i servizi e i protocolli supportati, individuare i server di posta e web, trovare tutte le terze parti correlate, ispezionare TLS e PKI, e infine esaminare il livello applicativo.

In Hardenize, abbiamo fatto tutto questo e lo abbiamo confezionato come un bellissimo report e uno strumento gratuito. (Puoi ancora vedere questo report su hardenize.com.) Tutti quelli che vedevano i nostri report li adoravano. Il nostro motore di ispezione approfondita faceva loro risparmiare tempo, mostrando cose di cui non sapevano l'esistenza, e amavano anche il design e la presentazione. L'unico problema era che non lo compravano. Proprio, letteralmente.

Eravamo a un punto critico nel percorso di una startup, ed è qui che l'ascolto ha aiutato. Ai nostri clienti piaceva quello che avevamo, ma solo come punto di partenza. Fornire visibilità su un singolo nome di dominio era utile, ma non sufficiente, perché i nostri clienti avevano centinaia, migliaia, e persino decine di migliaia di nomi di dominio con infrastruttura su di essi.

Questa difficoltà ci ha portato alla seconda intuizione, ovvero che una soluzione funzionante necessita di due tipi di visibilità: la visibilità verticale che fornisce profondità di analisi per un singolo asset (in questo caso un nome di dominio) e la visibilità orizzontale, che trova tutti gli asset.

Di nuovo al tavolo da disegno, come si suol dire. Capire la visibilità orizzontale non è stato facile, ma ci siamo riusciti. Si è scoperto che il problema alla radice era che le organizzazioni non hanno buoni inventari degli asset. Non sono né completi né aggiornati. Le organizzazioni migliori avevano qualche elenco, ma anche i loro non erano utili a causa del ritmo veloce dei cambiamenti. La manutenzione dell'inventario degli asset deve essere automatizzata e svolta in modo continuo.

Sarò onesto, capire questo è stato più facile che risolverlo. Ma alla fine lo abbiamo risolto, ma prima abbiamo dovuto iniziare a monitorare le fondamenta di Internet—a livello globale:

• Registrazioni di nomi di dominio
• Allocazione degli intervalli di rete
• Monitoraggio DNS passivo
• Monitoraggio della Certificate Transparency
• Configurazione DNS e deleghe
• Configurazione dei siti web
• TLS e PKI

Tutto quanto sopra, oltre a una sana dose di analisi e correlazione intelligente, ci ha permesso di fornire ai nostri clienti la costruzione automatizzata dell'inventario degli asset. All'apertura del loro account, ci fornivano dati iniziali, qualunque cosa avessero, ma poi prendevamo il controllo e facevamo il resto. Trovavamo istantaneamente i loro certificati e sottodomini, poi attivavamo il monitoraggio completo per andare in profondità, e infine costruivamo impronte digitali uniche della loro infrastruttura. Con questo processo eravamo poi in grado di consultare i nostri enormi giacimenti di dati per trovare i nomi di dominio che nemmeno loro sapevano di avere.

E tutto questo era necessario ancora prima di arrivare al punto in cui eravamo in grado di iniziare a fornire informazioni di sicurezza utili e attuabili su larga scala. E i nostri clienti hanno iniziato a comprare.