Ich kam 2012 als einer unserer ersten beiden technischen Account Manager (TAMs) zu Tanium. Wie so viele, die in der Technologie arbeiten, habe ich im Laufe der Jahre eine Reihe von IT-Hüten getragen – vom Helpdesk über Operations bis hin zur Sicherheit und Software. Als Sicherheitstyp sah ich Tanium in seinen frühen Entwicklungsstadien und war begeistert von seinen Fähigkeiten – und seinem Potenzial.
Im Laufe der Jahre ist mir klar geworden, dass IT- und Sicherheitsteams sich nicht auf Black-Box-Lösungen verlassen können, um mit zeitkritischen, einzigartigen und sich entwickelnden Herausforderungen Schritt zu halten. Wenn eine Organisation eine Anbietertechnologie anwendet, muss diese Technologie ein ergänzender Kraftmultiplikator für einen wesentlichen Kernsatz von Operationen, Sicherheitsfähigkeiten und Fähigkeiten sein.
In diesem Beitrag möchte ich einige Perspektiven darüber teilen, was dies bedeutet und wie es inspiriert, was wir bei Tanium aufbauen. Bitte heben Sie Ihre Unglaube auf, da ich versuchen möchte, vorzugeben, dass ich nicht für unser Unternehmen arbeite, sondern als besorgter Bürger in Ihrer Branche zu sprechen.
Flexibilität zur Lösung schwieriger Probleme
Selbst in kleinem Maßstab sind IT-Umgebungen in den meisten Organisationen unglaublich schwierig zu kontrollieren und zu überwachen. Jede einzelne Software – jede einzelne Systemkonfiguration –, die an das Netzwerk angeschraubt ist, fügt eine erhebliche Komplexität hinzu. Wenn Sie mehr Benutzer, Endpunkte und Geräte hinzufügen, wächst diese Komplexität logarithmisch und nicht linear. Unterbesetzte Teams kämpfen gegen das Chaos von schlechter Software, missverstandenen Systemen und Bedrohungsakteuren gleichermaßen. Sicherheit und Risiko gehen weit über ein einfaches Malware-Problem hinaus.
Genau aus diesem Grund sind ich und andere Veteranen dieser Branche skeptisch gegenüber Silberpunktlösungen, die versuchen, ganze Domänen von Sicherheitsbedrohungen zu lösen. Es gibt nichts, was wir kaufen können, so verlockend wie die Idee schon immer war, was uns von der Notwendigkeit löst, die unlamoröse, aber kritische Arbeit der Grundlagen von Sicherheit und IT-Management zu erledigen.
Tanium ist seit meinem ersten Eintritt vor mehr als vier Jahren weit fortgeschritten. Wir haben stark in die Entwicklung von Workflows investiert, die es unseren Benutzern erleichtern, Sicherheits- und IT-Betriebsaufgaben im großen Maßstab auszuführen, ohne sich Sorgen darüber machen zu müssen, wie die zugrundeliegende Architektur oder Software sie ermöglicht. Unsere Produktmodule wie Comply, Protect, IOC Detect, Trace, Patch und Trends basieren alle auf dieser Philosophie.
Über Produktmodule hinaus möchten wir immer, dass Tanium die „Hersteller“ und „Ersteller“ unterstützt – nicht nur eine Blackbox mit statischen Funktionen. Tanium wurde von Anfang an grundsätzlich entwickelt, um die Plattform skalierbar, den Kernclient so einfach wie möglich und die übergreifende Plattform unendlich erweiterbar zu halten. Diese zugrunde liegende Flexibilität ist der Grund, warum ich Tanium im Säuglingsalter beitrat. Heutzutage helfen unsere TAMs, schnell maßgeschneiderte Inhalte und Lösungen bereitzustellen, um die einzigartigen Bedürfnisse der Umgebung jedes Kunden zu erfüllen. Dieselben Kunden sind auch autark und erstellen häufig ihre eigenen Sensoren, Pakete, Dashboards und Integrationen, ohne auf anbietereigene Sprachen zurückgreifen zu müssen. Wir haben viele (Öffnungen in einer neuen Registerkarte) einfache (Öffnungen in einer neuen Registerkarte) Beispiele (Öffnungen in einer neuen Registerkarte) hervorgehoben, wie die Offenheit von Tanium Lösungen für kritische, zeitkritische Probleme in vorherigentechnischen Blogposts (Öffnungen in einer neuen Registerkarte) bereitstellte.
Aufbau des idealen Teams
Einer der überzeugendsten Aspekte, die ich bei der Arbeit bei Tanium gefunden habe, ist ein kleiner Blick auf die Herausforderungen, mit denen Sicherheitsteams in so vielen Organisationen konfrontiert sind, insbesondere die verschiedenen Arten, wie diese Teams besetzt und strukturiert sind. Zusätzlich zum Lernen von unseren Kunden hatte ich auch das Glück, von Kollegen in unserer eigenen TAM-Organisation zu lernen, die eine breite Palette von Fähigkeiten in den Bereichen Bedrohungserkennung und -reaktion, Forensik, IT-Betrieb, Systemadministration, Softwareentwicklung, Fehlerbehebung und Integration anwendet.
Diese Erfahrungen haben meine Perspektive auf das, was den „idealen“ Entwurf eines Sicherheitsteams ausmacht, geprägt, von dem ich glaube, dass er in der heutigen Umgebung die besten Chancen hätte. Es versteht sich von selbst, dass Domain-Know-how entscheidend ist: CIRT-Teams benötigen starke IR-Praktiker, die mit Netzwerk- und Endpunktforensik versiert sind; Bewertungsteams profitieren von erfahrenen Red-Teamern und soon. Aber was bei der Suche nach hochspezialisierten Talenten oft vernachlässigt wird, sind Teammitglieder mit Skripting-/Codierungs-Chips (selbst wenn sie auf andere Disziplinen angewendet werden) sowie diejenigen, die in IT- oder Sicherheitsoperationen erfahren sind. Das hilft nicht nur dabei, die Fähigkeiten der Gruppe zu erweitern, sondern kann auch Silos aufschlüsseln, die oft in Sicherheits- und IT-Organisationen in vielen großen Unternehmen existieren.
Ein Betriebsveteran – insbesondere wenn er schon lange bei der Organisation ist – kennt ein Unternehmensnetzwerk wie ein Londoner Taxi und weiß, mit wem er wofür sprechen kann. (Wenn diese Person im gesamten Unternehmen sehr beliebt ist, hilft das sicherlich!) Stellen Sie sicher, dass sie dafür verantwortlich waren, entweder vor Jahren etwas Großes aufzublasen oder die Krise einer anderen Person zu beheben, damit sie die „Angst“ haben. Sie dürfen keine Angst vor Skripting oder Automatisierung haben. Ihre Aufgabe ist es, zu wissen, was Sie besitzen, wie es funktioniert, und sicherzustellen, dass die richtigen Dinge sicher und schnell erledigt werden.
Ein guter Coder fungiert als Kraftmultiplikator für die Tools und Fähigkeiten eines Sicherheitsteams. Sie müssen keinen starken Infosec-Hintergrund haben, können aber von Teammitgliedern lernen und gleichzeitig ihr eigenes Wissen teilen. Sie müssen kein Kernel-Hacker sein, aber sie müssen möglicherweise mit mindestens einer der Sprachen arbeiten, die am häufigsten für Sicherheit oder Entwicklungsoperationen verwendet werden: Python, Ruby, Golang, PowerShell, vielleicht einmal Perl- oder Shell-Scripting und können zumindest C++ lesen. Sie können Ihre Spezialisten dabei unterstützen, ihre Prozesse zu automatisieren, Ihre bestehenden Systeme über APIs und Plattformen wie Tanium miteinander zu verkleben und zentrale Sicherheitsaufgaben im gesamten Unternehmen zu skalieren und zu vereinfachen. Gleichermaßen können Ihre betriebsorientierten Ärzte dabei helfen, diese Bemühungen zu kontrollieren und sicherzustellen, dass sie auf sichere Weise getestet und eingesetzt werden.
Es gibt so viele spezialisierte Fähigkeiten in der Sicherheitsbranche; überraschenderweise sind es eine oder beide dieser extrem breiten Fähigkeiten, die für Teams leicht zu übersehen scheinen. Teams, die Code schnell und sicher produzieren und bereitstellen können, haben einen enormen Vorteil.
Eigenständigkeit
Ein Kernbestandteil der Mission von Tanium ist es, Organisationen in die Lage zu versetzen, ihre eigenen Systeme zu verwalten und zu sichern – um wirklich autark und effektiv zu sein. Das bedeutet, Lösungen zu entwickeln, die einfach zu verwenden sind und kleinen Teams helfen können, schnelle Erfolge zu erzielen, aber dennoch flexibel genug bleiben können, um erfahrenere Benutzer in die Lage zu versetzen, sich schnell an neue Anwendungsfälle und Workflows anzupassen. So viele „neue“ Sicherheitsprobleme können mit einer Handvoll Codezeilen gelöst werden, solange Sie die Ergebnisse dieses Codes zuverlässig auf Unternehmensebene, schnell, sicher und plattformübergreifend testen, ausführen und sammeln können. Die Tanium Platform ermöglicht es Sensorautoren, in Sekundenschnelle Bedingungen zu erkennen, die herkömmliche Sicherheitsprodukte nicht finden konnten, und Aktionen bereitzustellen, um das Problem des Tages zu beheben – was auch immer es sein mag.
Umgekehrt sehen so viele Sicherheitsprodukte erstaunlich aus, wenn sie in einer festen Machbarkeitsdemo ausgeführt werden, lösen aber schnell die Nähte, wenn sie an die breiteren Anwendungsfälle in jeder einzigartigen Umgebung angepasst oder erweitert werden müssen – oder wenn sie in großem Maßstab angewendet werden. Die offene Plattform von Tanium war ein ursprüngliches Designziel, kein Nachgedanke, das von Personen gebaut wurde, die die Grenzen jedes Anbieters genau kannten und was ein Weltklasseteam mit einer solchen Plattform über die Bulletpoint-Funktionen hinaus tun kann.
Über den Autor: Rory Prendergast ist Senior Technical Account Manager im Tanium-Büro in Emeryville.
