Antes de llegar al punto, necesito enmarcar su pensamiento. Te prometo que tendrá perfecto sentido.
Combustible (por ejemplo, Jeep) oEléctrico (por ejemplo, Tesla)
¿Combustible o eléctrico? Esa es la primera pregunta que respondemos antes de que sea posible seleccionar un vehículo, seguida de un modelo específico.
La diferencia más obvia entre los vehículos eléctricos (EV) y los modelos estándar de motor de combustión interna (ICE) es que los ICE funcionan con combustible, mientras que los vehículos eléctricos funcionan con electricidad. Los sistemas híbridos son, de hecho, vehículos que funcionan con combustible a los que se les ha agregado un pequeño motor eléctrico y una batería.
No es necesario explicar cómo funciona cada uno o por qué son diferentes. Solo importa que asienta con la cabeza cuando señalo que la industria tiene diferentes clasificaciones para categorizar diferentes tipos de vehículos. Esto facilita que las empresas cumplan con las regulaciones y las mejores prácticas, al tiempo que facilita que los consumidores tomen decisiones mejor informadas.
Algunos argumentan que no estaríamos donde estamos hoy si no fuera por que Tesla obligó a los titulares a construir vehículos eléctricos.
Ahora que está en el estado de ánimo adecuado, hablaré sobre la seguridad antiphishing. La falta de detalles técnicos es intencional ya que no es importante saber todo lo que sucede dentro de la caja negra.
Mi objetivo es hacer que sea muy fácil para cualquier persona notar la diferencia entre el enfoque adoptado por la “seguridad tradicional” al que está acostumbrado (vehículos que funcionan con combustible) y Zero Trust (vehículos eléctricos), sin tener que saber cómo. cualquier cosa funciona Las diferencias fundamentales entre las dos metodologías son tan marcadas que debe seleccionar una u otra.
Seguridad Tradicional (cisco)Confianza cero (MetaCertificado)
¿Seguridad tradicional o Zero Trust? Esa es la primera pregunta que debemos responder antes de que sea posible seleccionar un proveedor de seguridad.
La diferencia más obvia entre ellos:
La seguridad tradicional está diseñada para confiar en cada URL en Internet. Solo se bloquean las URL que están clasificadas como peligrosas. Zero Trust está diseñado para hacer todo lo contrario: bloquear todas las URL en Internet, excepto las URL que están verificadas.
“No confíes en ninguna URL, verifica siempre”
No es necesario explicar las similitudes o diferencias entre cada enfoque de seguridad. Solo importa que asienta con la cabeza cuando señalo que cada clasificación es diferente: es binaria y no está abierta a interpretación.
cero = 0
Si bien el mercado de automóviles, bicicletas y scooters eléctricos está bien establecido, la industria aún no ha lanzado autobuses eléctricos.
Del mismo modo, el mercado de implementaciones de Zero Trust para la autenticación de datos de usuario, aplicación, dispositivo y red está muy bien establecido, pero la “autenticación de URL y acceso web” es MUY nueva.
Imagínese si Chrysler promocionara el Jeep Sahara como un vehículo eléctrico. Ese es el tipo de enfoque que estamos viendo en ciberseguridad. Algunos proveedores de seguridad están comenzando a promocionar sus soluciones de seguridad tradicionales como una estrategia Zero Trust.
El siguiente diagrama de flujo pretende facilitar a cualquier persona la evaluación de un proveedor o una solución. Puedes aumentar el tamaño de la imagen aquí.
El concepto de “Zero Trust” para la ciberseguridad está muy bien establecido y no fue idea mía. Tomé los siguientes dos párrafos directamente de Palo Alto Networks:
“Zero Trust es una iniciativa estratégica que ayuda a prevenir filtraciones de datos exitosas al eliminar el concepto de confianza de la arquitectura de red de una organización. Arraigado en el principio de “nunca confíes, siempre verifica”, Zero Trust está diseñado para proteger los entornos digitales modernos aprovechando la segmentación de la red, evitando el movimiento lateral, proporcionando prevención de amenazas de capa 7 y simplificando el control granular de acceso de usuarios.
“Zero Trust fue creado por John Kindervag, durante su mandato como vicepresidente y analista principal de Forrester Research, basado en la comprensión de que los modelos de seguridad tradicionales operan bajo la suposición obsoleta de que se debe confiar en todo lo que se encuentra dentro de la red de una organización. Bajo este modelo de confianza rota, se asume que la identidad de un usuario no se ve comprometida y que todos los usuarios actúan de manera responsable y se puede confiar en ellos. El modelo Zero Trust reconoce que la confianza es una vulnerabilidad. Una vez en la red, los usuarios, incluidos los actores de amenazas y los infiltrados maliciosos, son libres de moverse lateralmente y acceder o filtrar cualquier información a la que no estén limitados. Recuerde, el punto de infiltración de un ataque a menudo no es la ubicación del objetivo”.
Dado que el 90 % de los ciberataques del mundo involucran phishing, es irónico que una estrategia de confianza cero no estuviera disponible para la “autenticación de URL y acceso web” hasta que MetaCert fue pionera en diciembre de 2017, con una aplicación de prueba de concepto. Más información a continuación. .
Si disfrutó de este artículo, es posible que también le interese saber por qué el phishing NO es nuevo ni sofisticado.
Espero que hayas encontrado útil este artículo.
No dude en ponerse en contacto a través de una solicitud de conexión de LinkedIn, o envíeme un correo electrónico directamente a [email protected] si desea obtener más información o enviar comentarios. Obtenga más información sobre el viaje que me llevó aquí.
No hay absolutamente ninguna necesidad de leer debajo de este texto. Lo que está arriba es todo lo que necesitas. A continuación hay una lista de cosas que podrían dar credibilidad a lo que digo, porque la mayoría de los profesionales de seguridad con los que hablo cuestionan la mayor parte de lo que digo, de ahí el problema con los ataques de phishing. Supongo que nunca han experimentado la conducción autónoma en un Tesla.
No soy un “veterano de la ciberseguridad”. No sé nada sobre malware de ingeniería inversa, por ejemplo. Eso está muy por encima de mi nivel salarial de inteligencia. Vivo en la intersección de la ingeniería social, la mensajería, las URL, Internet y la tecnología móvil, las tendencias tecnológicas y la mentalidad de las víctimas y sus atacantes. Tengo dislexia y TDAH, junto con un historial muy largo de logros notables, que creo que me ayudan a unir puntos que los veteranos de la seguridad no notan.
El phishing se descubrió por primera vez en la red AOL en 1996, donde fui una de las primeras personas suplantadas con el propósito de phishing a miembros de AOL dentro del correo electrónico, salas de chat y mensajería instantánea (IM). Más aquí. Ayudó a lanzar AOL Instant Messenger (APUNTAR) como Gerente de Pruebas Globales y Coordinador Beta Internacional para AOL UK en 1997. Esto es relevante porque fue la primera vez que profundicé en los servicios de mensajería. Co-fundé el estándar global para Clasificación de URL en el W3C en 2004, el organismo de estándares para la World Wide Web, que reemplazó formalmente a PICS como una recomendación completa en 2009. Uno de los siete fundadores originales del W3C Iniciativa de Web Móvil en 2004. Desarrolló el primer servicio de seguridad antiphishing y software de control parental para teléfonos inteligentes en 2010. Construyó el primer servicio de seguridad anti-phishing para aplicaciones móviles en 2013. Patentes emitidas. Construido el primer servicio de seguridad anti-phishing para HipChat en 2015. Construí el primer servicio de seguridad anti-phishing (integración y chatbot) para Flojo en 2015. Invitado a construir el primer chatbot de seguridad para skype en 2016 (búsqueda de URL para noticias falsas). Creó el primer chatbot de seguridad para Mensajero en 2016 (búsqueda de URL para noticias falsas). Desarrolló el primer servicio de seguridad antiphishing para Telegram en 2016.erradicado la epidemia de phishing en Slack para todo el mundo de las criptomonedas en 2017. Teníamos el único servicio de seguridad para Slack en ese momento, por lo que no tuvieron más remedio que recurrir a nosotros. Hasta ahora, todo estaba impulsado por nuestro servicio de seguridad antiphishing tradicional y nuestro propio sistema de inteligencia de amenazas. No importa cuán rápido fuéramos bloqueando nuevas URL peligrosas, siempre había víctimas. Los ciberdelincuentes dejaron de apuntar a las comunidades en Slack porque lo hicimos prohibitivo en términos de costos, no porque no pudieran estafar a algunas víctimas. Creó el primer conjunto de datos de URL verificadas para lo que luego se conoció como “Zero Trust URL & Web Access Authentication”, en 2017. Esto fue justo después de que erradicamos el phishing en Slack, principalmente porque nos dimos cuenta de que es imposible prevenir la mayoría de los ataques dirigidos por phishing con el modelo de seguridad tradicional. al menos no sin que algunas víctimas tengan que denunciarlas primero. Construí el primer seguridad basada en navegador servicio que funciona con Zero Trust URL & Web Access Authentication, en diciembre de 2017, para una protección completa del escritorio. Este es el único producto/tecnología que actualmente se promociona en metacert.com. Creó el primer servicio de seguridad antiphishing para carteras de criptomonedas en 2018: impulsado por una estrategia Zero Trust para URI (es decir, direcciones de billetera digital). Actualmente está construyendo el primer servicio de seguridad para SMS. La pequeña caja que debe instalarse dentro de una red móvil representa aproximadamente el 10 % de la solución general, porque el sistema/infraestructura de autenticación descrito anteriormente hace la mayor parte del trabajo. Esperamos anunciar una prueba con el primer operador móvil destacado en el cuarto trimestre de 2021. Habríamos creado un servicio de seguridad para SMS en 2020 si hubiéramos creído que a los operadores móviles les importaba lo suficiente como para pagarlo. Predijimos que los operadores percibirían las estafas de SMS que conducen al fraude y al robo de identidad como un “problema del suscriptor”; lo hicieron y aún lo hacen. Tan pronto como FluBot el malware llegó a Europa, sabíamos que se animaría a los operadores a hacer algo al respecto.[Security vendor] será la segunda empresa en ofrecer a los clientes un servicio de seguridad de escritorio impulsado por una estrategia Zero Trust para antiphishing. Dado que MetaCert es la única empresa que verifica URL a gran escala en la actualidad, este nuevo servicio estará impulsado por nuestro sistema de autenticación y fuente de amenazas antiphishing, así como algunas otras fuentes de inteligencia de amenazas de otros proveedores. Para acelerar el tiempo de comercialización, también están implementando como OEM la extensión del navegador de MetaCert bajo su propia marca. Espero hacer un anuncio para octubre de 2021. ¿Qué sigue? Esperamos facilitar a los proveedores de seguridad la creación de una estrategia Zero Trust para Email, DNSy otros sistemas y aplicaciones que proporcionan acceso a Internet. Somos una empresa de autenticación y big data: las aplicaciones que construimos generalmente son para demostrar a los socios potenciales cómo pueden hacer uso de los datos y el nuevo enfoque para la seguridad contra el phishing.