Thomas Grønne, security director, deltog d. 5. – 9. maj i RSA Conference i San Francisco, USA.  Konferencen, der afholdes årligt, og nu på sit 33. år, tiltrak omkring 45.000 deltagere og mere end 2000 producenter inden for cybersikkerhed.

Under konferencen, hvor de nyeste trends og teknologier inden for cybersikkerhed blev præsenteret, havde deltagerne mulighed for at medvirke i en række foredrag, paneldiskussioner og workshops, hvor eksperter delte deres viden og erfaringer.

Thomas Grønne benyttede lejligheden til at opdatere sig på de nyeste tendenser og løsninger inden for cybersikkerhed, hvilket har resulteret i en håndfuld take-aways.

1. AI

Som forventet – og frygtet var AI det mest misbrugte ord under RSAC. Ingen producent undlod at have AI skrevet ind i ”fluepapirsteksterne”. Nogen kunne rent faktisk forklare, hvordan de benytter LLM modeller i dataanalyse og derved tilfører AI kapabiliteter til deres løsninger, for andre var det nok mest det, at de havde fået hjælp af ChatGPT til deres brochurer, der gjorde, at de hele tiden nævnte AI.

Et af de dybere og mere holistiske indlæg omkring AI kom (ikke uventet) fra Bruce Schneier, Security Technologist ved Harvard (https://www.schneier.com/)

Bruce har snakket om og beskrevet mange aspekter relateret til Cybersecurity og gjort det i mere end 30 år.
Hans indlæg kredsede om fordele og ulemper for vores samfund som helhed med fremkomsten af effektive og tilgængelige AI løsninger.

AI vil forandre det politiske spil, præcis som fremkomsten af TV gjorde i 60’erne og Internettet i 90’erne. Manipulerede tekster, fotos og video, fake news, falske SoMe profiler osv. Dette bliver langt mere sofistikeret og kan skabes med stor hastighed og i stor skala ved hjælp af AI. Det skal nok blive både underholdende og skræmmende at være vidne til.

Et område som lovgivning og jura vil i den grad blive forandret. En lov er jo ”bare” et stykke tekst, og i november 2023 blev den første 100% AI generede lovtekst vedtaget i Brasilien. Det bliver givetvis ikke den sidste.

På fordels-siden vil gælde, at AI vil kunne analysere store mængder eksisterende lovtekster og identificere smuthuller og ”blindspots” og derved medvirke til forenklinger og overblik. AI vil også kunne håndtere en meget stor del af det basale juridiske arbejde, det kan (måske) føre til at det bliver billigere at få advokatbistand så dette ikke kun er en service tilgængelig for de velstående. På minus siden vil AI kunne formulere love så komplekse at ingen, eller kun meget få, mennesker reelt kan forstå dem. Det kan skabe et AI understøttet retssystem, hvor den dømmende magt stoler mere på AI end på mennesker, og så bevæger vi os muligvis mod et Kafkask-lignende samfund eller Orwells frygtelige fremtidsvision beskrevet i novellen 1984.

Ingen kan sige nu hvor udviklingen bringer os hen, men personligheder som Bruce Schneier er heldigvis med til at skabe opmærksomhed om fordele og ulemper, hvilket er første skridt mod ansvarlighed på området.

2. Data

Mange har sagt det et stykke tid, men flere og flere tilslutter sig budskabet på forskellig vis. Data er guld.
Har du styr på dine data og kan beskytte dem. Har du en plan, så du altid kan genskabe dem osv. – så er du langt i at blive Cyber resilient. Der er naturligvis meget fokus fra de bedste datamanagement, backup og disaster recovery producenter, eksempelvis Rubrik.  Der er også en del starts up, der bygger løsninger som skal understøtte en 100% ”no data touch” remote access filosofi. Nogen af disse er fokuseret på air gapped miljøer, hvor man bare ikke vil tillade forbindelser ind af nogen art. En af de rigtig gode kommer fra Garrison (https://www.garrison.com/en), der på snedig vis benytter video interfaces på chip niveau til reelt at bryde alle protokoller og dermed eliminere langt de fleste angrebsvinkler i en IT infrastruktur.

I afsnittet ovenfor skrev jeg, at AI var alle steder. Og det øger selvsagt ´betydningen og vigtigheden af data – uden data, ingen AI. Og god AI kræver meget store datamængder.
Fundamentet under Palo Alto Networks Precision AI løsninger, som blev annonceret under RSAC, er netop de meget, meget store mængder cyber sikkerhedsrelevante data som Palo Alto Networks har i deres besiddelse, data der betyder, at de har kunnet udvikle seriøst gode og præcise AI baserede værktøjer.

At kunne håndtere meget store datamængder forsvarligt er tydeligvis også en væsentlig del af Ciscos opkøb af Splunk. Det stod helt klart efter dialog på tværs af såvel Ciscos stand som Splunks egen stand: At vi allerede i indeværende sæson vil se integrationer på applikations niveau mellem løsningerne, og det gør det meget interessant at følge de næste år.

Data, og det at beskytte dem, vægtede også tungt hos Harry Coker, Jr. Han er White House National Cyber Director. Han var på Keynote scenen, hvor han blev krydsforhørt af Sue Gordon, der har haft en central rolle i amerikansk cybersikkerhed. Frygten for, hvor data kan ende, at de kan krypteres og forsvinde og meget mere har drevet en række centrale initiativer fra Det Hvide Hus og ud i alle afkroge af det amerikanske system. Helt ned på kommune og folkeskole niveau er der sat ind med uddannelse, krav, midler osv.

En central ”Cyberplan v2.0” er formuleret med 100 initiativer, inkl. implementeringsplaner og deadlines. Et meget serøst centralt push på alle organisationer, og et fundament for et stærkt samarbejde mellem offentlige og private organisationer.

3. Identity

Identity er et kæmpe fokusområde på mange planer. Udfordringer håndteres fra mange vinkler.

Der har været fokus nogle år på PAM området – Priviliged Account Management. Årsagen er naturligvis, at mange breaches sker når nogen for adgang til en infrastruktur og er i stand til at opnå højere og højere rettighed, når først de er inde, og derved få fuld adgang til kronjuveler og systemer. Dette kan en PAM løsning medvirke til at beskytte imod. Det er især ansatte og eksterne konsulenters identitet, der struktureres og håndteres via disse løsninger

MEN der findes i dag langt flere ”Non-Human Identities” i en IT infrastruktur – end ”Human users”. Det er service accounts, API hand shakes og meget mere. Der var en del begavede løsninger fra mindre opstartsvirksomheder med fokus på dette område. En af dem, jeg talte en del med, er Oasis (https://www.oasis.security/), som nu er kommet ud af det såkaldte ”stealth mode” og taler med kunder. De første løsninger er sat i produktion og fokus er på, at få visibilitet og kontrol med alle disse identiteter, da de er åbenlyse håndtag som en uønsket gæst vil forsøge at benytte.

Også nogle af de ”store spillere” er meget fokuserede på identiteter. Eksempelvis er dette et særskilt område for Cisco, der talte ind til at ville forsvare identitetsperimeteren og sikre integration af div. identitetsløsninger med resten af Ciscos omfattende sikkerhedsportefølje. Det er opkøbet af Oort i 2023, der har skabt dette selvstændige og relevante fokusområde.

Og det helt store, og faktiske ganske skræmmende område under denne overskrift, er Deep Fakes. Med hjælp fra AI er det muligt på meget kort tid at skabe meget vellignende videoer med tilhørende tale der 100% matcher den person, de ønsker at kopiere. Der var flere eksempler på dette, og de var uhyggeligt realistiske. De første svindelaktiviteter er registreret, hvor den største og pt. nok mest kendte gav et udbytte på 25Mio US$, en sådan gevinst skal nok få mange andre til at kaste sig over området.

Hvordan skal vi beskytte os mod det?
Ikke nemt, ”never trust, always verify” bliver et minimumskodeks.

Dette område vil få utrolig meget opmærksomhed de kommende år.

Meget betegnede og en klar understregning af dette områdes betydning var det, at årets vinder i den prestigefyldte sandbox afdeling netop var et firma, der har sat sig for at bekæmpe deep fakes, dem kan man læse om her: https://www.realitydefender.com/

Et ganske retvisende og beskrivende firmanavn de har fundet sig.