Seguridad en la nube Pasé una década aprendiendo a verlo todo. La mitad de lo que encontró todavía está abierto. La directora ejecutiva de Tamnoon dice que la próxima década pertenece a las máquinas que saben cuándo no actuar y hoy publica lo que la suya rechazó.
Marina Segal ayudó a construir el máquinas que ven todo.
Estuvo en Dome9 Security cuando definió la gestión de la postura de seguridad en la nube y en Check Point después de que compró la empresa. La idea ganó por completo. Hoy en día, un depósito mal configurado, un puerto abierto o un rol con permisos excesivos aparece en una consola a los pocos minutos de haber sido creado, en cualquier nube, en cualquiera de una docena de escáneres. La detección ha finalizado. Nadie serio sostiene lo contrario.
Luego observó lo que pasó con los hallazgos.
“Nada,» ella dice. «No les pasó nada. Construimos una industria que podía ver todos los problemas en la nube y luego los archivamos.«
Los propios datos de su empresa ponen una cifra en el archivador. Más de la mitad de todo lo detectado en la nube sigue abierto. Un hallazgo crítico ahora tarda un promedio de 150 días en sanar, y la cifra está empeorando, en lugar de mejorar. Según el conteo de CrowdStrike, un atacante pasa del primer punto de apoyo al movimiento lateral en 29 minutos. El reloj del defensor, una vez disparada la alerta, corre en meses.
Segal cofundó Tamnoon en 2021 para cerrar esa brecha. Lo que construyó es más extraño que un botón más rápido. Ella construyó una máquina cuyo resultado más orgulloso es un rechazo.
Todos automatizaron el sí.
La respuesta de la industria a un retraso en la remediación siempre iba a ser automatizacióny en los últimos dieciocho meses llegó vigente. Casi todas las plataformas de seguridad en la nube ahora incluyen un agente que se ofrece a realizar el cambio por sí mismo. Los mensajes de lanzamiento prometen lo mismo: velocidad, un paso de aprobación, una reversión, control.
La mayoría de esos interruptores permanecen apagados.
Pregúntale a una nube equipo de seguridad por qué, y la respuesta no tiene nada que ver con la tecnología. Tiene que ver con el nombre del cambio. En produccióncada cambio es responsabilidad de alguien y nadie aprueba un cambio que una máquina no puede explicar. Una solución incorrecta no parece un fallo de seguridad. Parece una interrupción, con un ticket que dice quién lo aprobó.
“Todos los proveedores en este mercado venden velocidad,» Dice Segal. «La velocidad nunca fue el problema. Nadie temió jamás que la solución fuera lenta. Tenían miedo de que estuviera mal y de que fueran ellos quienes dijeran que sí”.
Ella piensa que el miedo es correcto. No es un problema de capacitación, ni un problema de gestión del cambio, ni un problema cultural. Una respuesta racional a la automatización que nunca ha mostrado al comprador lo que se negaría a hacer.
“Una máquina que no puede decir no no es automatización,» ella dice. «Es un pasivo con una API.«
Lo primero que automatizamos fue la moderación.
Aquí es donde Tamnoon se separa del resto de la categoría y se separa en la raíz.
Cada producto de remediación está diseñado para actuar. El motor de Tamnoon fue construido para decidir, y la primera decisión que tomó fue no. Antes de que se permitiera cambiar algo en la nube de un cliente, se enseñaba a leer: qué depende de este recurso, quién es el propietario, qué cambió recientemente, qué dice el tráfico. Luego se le enseñó a rechazar el cambio que no podía resultar seguro y a decir por qué.
“Una máquina aprende a actuar mucho antes de saber cuándo detenerse.» dice Segal. «Nosotros enseñamos el nuestro en el otro orden. Lo primero que automatizamos fue la moderación. Ese orden es toda la empresa.«
La demostración que ejecuta Tamnoon explica el punto en menos de un minuto. Seis depósitos de almacenamiento, abiertos a Internet, idénticos en el escáner. Misma alerta, misma gravedad, mismo rojo. El motor lee los seis. Es seguro cerrar tres, y los cierra mediante el propio proceso de cambio del cliente, con una reversión lista. Dos lo rechaza, por escrito, porque el cambio habría cortado algo vivo que el escáner no podría ver. Uno que ni cierra ni declina. Pregunta, porque el dueño es desconocido y no lo adivinará.
Una alerta. Tres respuestas correctas. El escáner acertó en todo momento. El escáner nunca fue el problema.
Lo que hace que el rechazo sea útil y no molesto es lo que conlleva. Un rechazo del motor conlleva el hallazgo, lo que se leyó primero, el veredicto, el motivo, el único hecho que cambiaría el veredicto y los pasos para hacerlo a mano. “Una negativa sin pruebas es un encogimiento de hombros,» dice Segal. «Una negativa con las pruebas es una decisión que puedes defender a las nueve de la mañana. Rechazada es una respuesta.«
No se concede autonomía. Se gana.
La segunda ruptura con la categoría tiene que ver con la confianza e invierte cómo la industria ha vendido la automatización durante veinte años.
La convención es un dial. El proveedor envía la capacidad, el cliente elige qué cantidad activar y el riesgo de la elección pertenece al cliente. El motor de Tamnoon arranca con el dial en cero. Se conecta de solo lectura y no cambia nada en la nube del cliente. Se le otorga el derecho de actuar sobre una clase de hallazgo sólo después de que se mantenga su registro en esa clase, y el cliente mantiene el veto en todo momento.
“Mantienes el veto,» dice Segal. «Se gana las llaves. Y puede perderlos. La autonomía no es una característica que se compra. Es un historial, y un historial es algo que se puede leer.«
La unidad de ese registro es el recibo. Cada decisión que toma el motor, tanto cierres como rechazos, se convierte en uno: seis campos, legibles por un auditor sin traductor. Cuando el ingeniero de un cliente anula el motor, la anulación también se incluye en el registro y se convierte en la forma en que el motor juzga ese entorno la próxima vez. Se vuelve más inteligente en toda la flota y más estricto con la nube de cada cliente.
“La junta nunca le preguntará qué tan rápido fue la solución,» dice Segal. «Le preguntarán cómo supo que era seguro. Construimos la respuesta a la segunda pregunta.«
Cómo se ve realmente una nube que se cura a sí misma
Segal tiene cuidado con la frase, porque la gente de operaciones la escucha y piensa en el reinicio de las cápsulas.
“Tu nube ya se reinicia sola,» ella dice. «Nunca ha cerrado su propio agujero de seguridad. Sanar significa que la exposición ha desaparecido, a través de tu propio proceso de cambio, y alguien puede defender cómo hacerlo.«
Su panorama de los próximos cinco años es específico. Los equipos de seguridad dejan de ser el límite de responsabilidad por cambios que no diseñaron. El atraso deja de ser un archivador y se convierte en una cola de veredictos. Los ingenieros ven un problema donde solían ver 142 alertas, que es la proporción que produce en promedio el modelo de escáner cruzado de Tamnoon. Las mismas ocho configuraciones erróneas dejan de repetirse cada trimestre, porque lo que se cura una vez, permanece curado. Y la autonomía deja de ser una casilla de verificación en la configuración de un proveedor y se convierte en algo otorgado por clase de hallazgo, como un límite de crédito, sobre la base de pruebas.
Lo acompañan tres predicciones y ella está dispuesta a equivocarse al respecto en público. La negativa se convierte en una línea en cada RFP de remediación. El recibo reemplaza la puntuación como lo que comparan los compradores. Y ningún proveedor vende remediación sin mostrar una disminución.
“En cinco años nadie comprará remediación a un proveedor que no pueda mostrarles lo que rechazó,» ella dice. «La pregunta parecerá obvia. Hoy nadie lo pregunta.«
Los clientes que han hecho funcionar el motor durante un año completo describen el cambio en las proporciones. Se pasó de 6.074 hallazgos abiertos a 2.041 en cuatro trimestres, tres veces menos, y al final llegaron un 93% menos de nuevas alertas. Una empresa de atención médica fijó el precio de un solo hallazgo de extremo a extremo: 8.775 dólares para cerrarlo a mano, 775 dólares a través del motor. Warner Music Group es un cliente designado. Tamnoon ha recaudado más de 18 millones de dólares, con una Serie A liderada por Bright Pixel Capital, y su motor lee los resultados de diecisiete escáneres, entre ellos Wiz y CrowdStrike Falcon Cloud Security.
El número y el récord.
Hoy Tamnoon publica dos cosas que este mercado no suele publicar.
El primero es un número. La seguridad en la nube siempre ha publicado qué tan rápido se mueven los atacantes. Ha sido mucho más tranquilo acerca de lo lento que sana. El Índice de Remediación de la Nube, publicado esta mañana, proviene de los mismos 14,86 millones de detecciones detrás del informe de la compañía y responde dos preguntas en un solo lugar: qué parte de todo lo detectado sigue abierto y cuánto tiempo permanece abierto un hallazgo crítico. El reloj del atacante se mide en minutos. Éste se mide en meses.
El segundo es un récord. A partir de hoy, Tamnoon mantiene una página pública de las remediaciones que su motor rechazó, cada una con los seis campos.
“Cada empresa de esta industria publica sus victorias,» dice Segal. «Estamos publicando los cambios que no hicimos. Es una lista extraña de la que estar orgulloso, hasta que preguntas cuál de las dos listas debería leer un equipo de seguridad antes de permitir que una máquina entre en producción.«
Junto a ellas, la compañía ha publicado las seis preguntas que, según dice, los compradores deberían plantear a cualquier proveedor de remediación, incluido él mismo. La primera: ¿puede rechazar un cambio, y presentar dicha negativa con las pruebas adjuntas?
“Todos demuestran la solución,» dice Segal. «Pídales que hagan una demostración del declive.«
Es una forma inusual de relanzar una empresa de seguridad, liderando con lo que el producto no sirve y una cifra que la industria rara vez publica sobre sí misma. Pero el camino convencional ha tenido una década, y la mitad de todo lo que encontró sigue abierto. La apuesta de Segal es que la segunda década de seguridad en la nube pertenece a la máquina que se ha ganado el derecho a tocar la producción, una negativa a la vez. Las propias palabras de la empresa son ocho.
Todo el mundo automatiza el sí. Dominamos el no.