Entrevistamos a Gavin Reid, que recientemente se unió a Recorded Future como arquitecto jefe de seguridad, centrar en las amenazas de próxima generación y el papel que la inteligencia de amenazas puede desempeñar en su identificación y combate.​​ 

Es experto en la materia en arquitectura de seguridad de la información, análisis de inteligencia de amenazas e iniciativas de cumplimiento asociadas. Reid también colabora con grupos de ciberseguridad para garantizar que Recorded Future disponga de las fuentes de datos y relaciones necesarias para ser el principal proveedor de inteligencia sobre amenazas. Anteriormente, Reid fue vicepresidente de inteligencia de amenazas en Lancope, Inc., una compañía de visibilidad de redes e inteligencia de seguridad.​​ 

Con más de 25 años de experiencia en inteligencia de amenazas, fue una fuerza impulsora detrás del desarrollo del análisis de big data y la identificación de amenazas. Esta experiencia se ejemplifica en su papel en Cisco Systems como director de investigación de amenazas para operaciones de inteligencia de seguridad, donde lideró un equipo que desarrolló nuevas tecnologías de análisis de datos para detectar y remediar amenazas avanzadas de ciberseguridad. Reid también creó y dirigió el Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT) de Cisco, una organización global de profesionales de la seguridad de la información responsables de monitorizar, investigar y responder a incidentes de ciberseguridad.​​ 

Además de su etapa en Cisco, Reid también fue vicepresidente del grupo de inteligencia de amenazas cibernéticas en Fidelity Investments y monitorear la seguridad informática en el Johnson Space Center de la NASA.​​ 

Recorded Future (RF): Cuéntanos un poco sobre tu experiencia en seguridad. ¿Qué te inspiró a entrar en el mundo de la ciberseguridad?​​ 

Gavin Reid (GR): Llegué a Recorded Future desde Lancope (adquirida por Cisco), donde era su vicepresidente de inteligencia de amenazas. En Lancope investigué las amenazas, cómo se detectaban y cómo podíamos mejorar el producto basándonos en esas detecciones. Antes de Lancope, trabajé en Fidelity, donde dirigí sus equipos de auditoría y pentest, y creé y dirigí su primera función de inteligencia de amenazas.​​ 

Antes de eso, pasé 15 años en Cisco. Los dos últimos años creé y dirigí los equipos de investigación de amenazas y big data de Cisco, llamados TRAC (análisis y comunicaciones de investigación de amenazas). Ese equipo acabó fusionar con el VRT (equipo de investigación de vulnerabilidades) de Source Fire para formar el equipo mucho más grande que ahora se conoce como Talos.​​ 

Y durante la década anterior, creé y dirigí el CSIRT de Cisco. Ese equipo empezó conmigo, creció a cuatro en el primer año, y luego fue creciendo de forma constante durante la década hasta que el equipo tenía más de 80 empleados cuando me llamaron para fundar TRAC.​​ 

Y en 1999, llegué a Cisco desde la NASA en el Centro Espacial Johnson. En la NASA empecé a trabajar en arquitectura IT y, finalmente, asumí un puesto a cargo de la seguridad informática del sitio. Tuve un servidor que fue hackeado a principios de los 90, cuando era administrador en la NASA — y mi respuesta a ese evento fue que conseguí todos los proyectos de seguridad y, más tarde, un trabajo a tiempo completo en seguridad, mucho antes de que la mayoría de organizaciones siquiera pensaran en ciberseguridad.​​ 

RF: Dada la gran variedad de trayectorias profesionales que existen dentro de la seguridad informática, ¿cómo llegó a ser un líder en inteligencia de amenazas?​​ 

GR: Al estar a cargo de un gran equipo de respuesta a incidentes de seguridad informática en una compañía, rápidamente descubrí que nuestras herramientas de detección de incidentes eran tan buenas como la información que les inyectábamos. Al mismo tiempo, otros equipos de todo el mundo llegaban a conclusiones similares. Ante la escasez de investigaciones comunes, la inteligencia sobre amenazas se convirtió en una de las áreas de seguridad de mayor evolución y crecimiento. Esa confluencia de nuevas capacidades para diseñar y aprender, junto con un enorme crecimiento, es precisamente lo que me resulta divertido e interesante, así que fue difícil mantenerme al margen.​​ 

RF: ¿Qué puede aprender un aspirante a profesional de seguridad de su propio camino profesional que pueda inspirarle?​​ 

GR: Creo que tener experiencia operativa en TI como base para desarrollar experiencia en seguridad es un paso importante. Recomendaría que quienes quieran entrar en ciberseguridad empiecen por entender cómo planear, diseñar, construir y operar grandes infraestructuras de TI. Comprobé que los empleados con amplia experiencia operativa en TI tienen un conocimiento mucho más profundo de los problemas de seguridad y los posibles impactos que alguien que pasó su carrera desenfocando aplicaciones. Agregar habilidades de seguridad a las habilidades de TI existentes es mucho más sencillo que mostrar a un "experto" en seguridad en gestión de TI empresarial.​​ 

RF: Hablemos de que te uniste a Recorded Future. ¿Puedes describir tu papel en Recorded Future?​​ 

GR: Como arquitecto jefe de seguridad, mi enfoque está en las amenazas de próxima generación y el papel que la inteligencia de amenazas puede desempeñar en su identificación y combate. Trabajo con grandes clientes en cómo maduran sus equipos de SOC, CSIRT e inteligencia de amenazas. Ayudo a Recorded Future a entender qué necesitan estos equipos y cómo satisfacer esas necesidades dentro del producto. También trabajo con marketing, relaciones públicas y ventas para ayudar a fortalecer la reputación de Recorded Future en el mercado de seguridad.​​ 

RF: ¿Qué te motivó a unirte a Recorded Future y por qué ahora?​​ 

GR: Primero fui cliente. Empleamos Recorded Future en Cisco y en Fidelity como fuente de inteligencia externa sobre amenazas. Mientras dirigía el programa de inteligencia de amenazas de Fidelity, visité el campus de Recorded Future en Boston y me impresionó tanto la cultura de la compañía como su dirección. Recorded Future está posicionada en el momento y lugar adecuados para convertir en la fuente de cómo las organizaciones consumen grandes cantidades de datos externos de inteligencia de amenazas seleccionados según sus necesidades empresariales.​​ 

Me gustó la compañía, creo en las capacidades que Recorded Future ofrece a los equipos CSIRT y de seguridad, pero, aún más importante, es un lugar divertido para trabajar, con muchísima gente inteligente y enérgica con la que colaborar. Me intriga la perspectiva de trabajar con macrodatos y análisis, y creo que este estudio formará parte de la siguiente etapa del desarrollo humano. Por último, me cae muy bien el fundador, Christopher; si tuviera mi propia compañía, la dirigiría exactamente como él lo hace con Recorded Future.​​ 

RF: Emplear Recorded Future, ¿cómo explicaría su valor para clientes y CISOs?​​ 

GR: Las organizaciones maduras se volvieron muy hábiles a la hora de comprender y responder a incidentes dentro de su ámbito corporativo. El despliegue de capturas completas de paquetes y otras capacidades de detección de seguridad proporcionaron una comprensión profunda de los eventos dentro de su organización.​​ 

Sin embargo, los recientes incidentes de hackeo a gran escala nos demostraron que mirar de forma aislada no es suficiente. Las organizaciones maduras necesitan una forma de acceder a inteligencia de amenazas externa que sea completa, curada y fácil de usar. Hacer recopilaciones a gran escala de datos, por ejemplo, de una sola fuente de redes sociales, y luego poder procesar esos datos en algo que esté categorizado, deduplicado y utilizable con maestría es difícil y consume muchos recursos. Multiplica eso por cientos de otras fuentes de alto volumen, y luego agrega foros criminales y sitios de la dark sitio web: queda claro que, aunque una organización necesita los resultados de tales colecciones, el diseño, el cuidado y la alimentación de tales esfuerzos están muy fuera de su alcance. El trabajo en sí no es fundamental para el negocio y es una gran oportunidad para externalizar.​​ 

Recorded Future realiza toda la recopilación, análisis y presentación, para que una organización no tenga que hacerlo y pueda centrar en lo que debería prestar atención: los propios datos.​​ 

RF: ¿Qué amenazas cibernéticas deberían preocupar más a las compañías?​​ 

GR: Las organizaciones solo necesitan empezar por centrar en una. Te van a vulnerar —probablemente por email—, y después los hackers controlarán y controlarán tu organización a través de la web y se extenderán más tarde. Una vez que tengas buenas capacidades para detectar e interrumpir eso, puedes deducir desde ahí.​​ 

RF: ¿Qué deberían usar las compañías para defender de amenazas?​​ 

GR: Empieza por tener un inventario completo de todo lo que compone tu infraestructura de TI. Cerciórate de prestar especial atención a las dependencias de terceros. Entender equivale a verificación. Cerciórate de verificar lo que crees saber validando lo que crees que forma tu red. En todas las grandes compañías con las que trabajé, lo que creían tener en cuanto a red y aplicación era muy diferente de lo que se encontró en la investigación o la auditoría. Cerciórate de hacerlo con regularidad. Una vez que sepas lo que tienes, cerciórate de tener las habilidades adecuadas para detectar y detectar problemas de seguridad aplicados adecuadamente en todos los ámbitos. Será una mezcla de tecnologías, personas y procesos. Cerciórate de analizar los tres de forma regular.​​ 

De nuevo, desafía tus suposiciones. Te garantizo que merecerá la pena. Concentra tus esfuerzos y prioriza tus recursos basándote en ataques reales que son habituales — tácticas, técnicas y procedimientos (TTPs) como phishing, compromiso de directorio activo y vulnerabilidades con exposición externa — y luego emplea inteligencia de amenazas para mantenerte al tanto de ataques reales frente a teóricos.​​ 

Por último, averigua cuáles son tus joyas de la corona y cerciórate de contar con controles de seguridad adicionales, autenticación, separación y una visibilidad asombrosa de los eventos.​​ 

RF: ¿Qué deben entender los CISO sobre inteligencia de amenazas?​​ 

GR: Una buena inteligencia es un multiplicador de fuerza en todas vuestras capacidades de respuesta a incidentes. Uno de los grandes problemas, o mitos, de la industria de la seguridad es que podemos obtener datos, agregar magia y encontrar al malo. Esto funciona para detectar ataques automáticos pero fracasa estrepitosamente en compromisos duros y liderados por humanos. La realidad es que, a menudo, para encontrar el problema, tienes que hacerlo igual que las fuerzas del orden: empezar con una pista. La inteligencia de amenazas es esa pista. Cuando le das a tu inspección profunda de paquetes, netflow, malware avanzado, DNS y detección de intrusión host/red listas buenas y bien seleccionadas de IOCs y TTPs a buscar, se aclara el valor.​​