Шарон Идегучи, руководитель GTM в Cantina, обсуждает изменение фокуса атакующих с кода на людей, подчеркивая необходимость новых рамок безопасности для защиты компаний в быстро развивающейся отрасли.
Хакеры больше не нацелены только на код, они атакуют людей. В этом интервью Шарон Идегучи, руководитель GTM в Cantina (Spearbit), рассказывает о своем пути от традиционной кибербезопасности к Web3, анализирует, как attackers меняют свой фокус, и объясняет, почему ее команда разрабатывает новые рамки безопасности для защиты компаний в отрасли, которая развивается быстрее, чем когда-либо.
Не могли бы вы поделиться своим путем в Web3?
Меня зовут Шарон Идегучи, и я работаю в Cantina в области продажи стратегий. Я сосредоточена на создании индивидуальных продуктовых предложений для клиентов на уровне предприятий, новых технологий и клиентов в институциональном и традиционном финансовом секторах. Моя работа полностью сосредоточена на безопасности. Моя карьера до сих пор была в области кибербезопасности, в основном в Web2. Я провела много лет в традиционных ролях кибербезопасности, работая в областях, подобных CrowdStrike и другим повседневным операциям безопасности.
Со временем я заметил, что рынок быстро сдвигается в сторону Web3 и признал его будущим технологий. Я хотел изучить, как выглядит кибербезопасность вне моего традиционного фона Web2. Это решение привело меня в Cantina, и с тех пор я работаю в области безопасности Web3.
Каковы основные преимущества для ваших клиентов от работы исключительно с Cantina?
Когда мы основали Cantina около четырех лет назад, мы сосредоточились на стимулировании лучших специалистов по безопасности в мире работать над проектами безопасности. Мы заметили, что многие высококвалифицированные исследователи в этой области не занимаются безопасностью, часто потому, что им не хватает автономии и возможности выбирать значимые проекты или глубоко вносить свой вклад в протоколы.
Мы создали модель, чтобы предоставить исследователям эту автономию, и это сработало. Сегодня наша сеть включает в себя таланты по всем языкам программирования, цепочкам, экосистемам и нишевым экспертам. Когда клиенты приходят к нам с запросом на безопасность, мы не просто находим квалифицированного специалиста; мы находим лучшего человека в мире для этой работы, будь то аудит смарт-контрактов, программа поощрения за нахождение ошибок, операционная безопасность, реагирование на инциденты или тестирование Web2.
Вы также работали в области безопасности Web2. Какие ключевые тенденции или нарративы выделяются как уникальные для Web3?
Одно из основных отличий заключается в постоянном характере Web3 и отсутствии посредников. В Web2 часто существуют третьи стороны, которые помогают смягчить риски или восстановить убытки. В Web3, если средства украдены, они, как правило, безвозвратно потеряны. Без надлежащих мер безопасности, таких как многофакторная защита или приостановка транзакций, восстановление почти невозможно.
Еще одним ключевым фактором является то, что структура Web3 создает стимулы для угроз физической безопасности. Злоумышленники могут напрямую нацеливаться на персонал, что в Web2 встречается гораздо реже. Это делает практики операционной безопасности, включая защиту команд, необходимыми в Web3.
Какие метрики вы используете для оценки успеха своих стратегий безопасности с течением времени?
Самая очевидная метрика — это страдают ли наши клиенты от взлома после получения наших услуг. Кроме того, мы оцениваем, как улучшенная безопасность влияет на возможности финансирования, партнерства и общий рост. Мы рассматриваем, как сильная безопасность способствует финансовым показателям компании, доверию пользователей и долгосрочному успеху.
Как вы обучаете нетехнические руководящие команды высоким уровням рисков безопасности?
Я использую повествование и примеры из реальной жизни. Например, я могу провести команду руководства через известный хак: какие меры безопасности были в компании, чего не хватало и к каким последствиям это привело. Команды руководства менее заинтересованы в технических деталях и больше обеспокоены потенциальным воздействием, потеряют ли они данные, средства клиентов или столкнутся с ущербом репутации. Формулирование рисков безопасности в терминах осязаемых результатов помогает им понять, почему инвестиции в безопасность имеют критическое значение.
Какие новые векторы атак в смарт-контрактах команды все еще недооценивают?
С тех пор как начался Web3, большая часть бюджетов на безопасность была направлена на смарт-контракты. Команды тратят миллионы на аудиты, соревнования, вознаграждения за нахождение уязвимостей и рецензии со стороны коллег. Нападающие знают об этом и переключают внимание на менее защищенные области, такие как компоненты Web2 и операционные уязвимости. Многие недавние атаки возникли за пределами смарт-контрактов.
Мы помогаем командам решить этот дисбаланс с помощью таких услуг, как операционная безопасность, круглосуточное реагирование на инциденты и управляемые команды SOC, охватывающие всю организационную поверхность атаки.
Может ли ИИ или автоматизация когда-либо заменить части обзора Cantina, или человеческая экспертиза незаменима?
Это определенно гибридный подход. Мы уже широко используем ИИ для таких задач, как устранение спама на конкурсных платформах и добавление контекста к рецензиям коллег. ИИ отлично справляется с выявлением известных уязвимостей и шаблонов, что ускоряет начальный процесс проверки.
Однако злоумышленники также креативны и все чаще используют ИИ. Пока ИИ не станет более умным и изобретательным, чем люди, нам всегда потребуется человеческая экспертиза для противодействия новым угрозам. Будущее — это сочетание помощи ИИ и квалифицированных исследователей.
Что вдохновило вас создать специализированные оценки помимо традиционных аудитов?
Мы разработали нашу инфраструктуру Web3 SOC в ответ на потребности клиентов. Управляющие активами и венчурные компании начали просить нас провести дью дилидженс по компаниям Web3, оценивая как риски безопасности, так и финансовые риски.
Мы поняли, что нет стандартизированного способа количественно оценить риски, специфичные для Web3. Традиционные рамки соблюдения, такие как SOC 2 или ISO, не охватывают угрозы, присущие Web3. Поэтому мы создали новый стандарт, чтобы помочь компаниям Web3 обеспечить финансирование и установить партнерские отношения, а также помочь традиционным финансовым учреждениям понять, как безопасно взаимодействовать с Web3.
Эта структура теперь является сотрудничеством с некоторыми из крупнейших имен нашей отрасли. Она набирает популярность среди традиционных финансов и управляющих активами по всему миру.
Какие инновационные методологии безопасности вы сейчас испытываете? Искусственный интеллект является важным направлением. Мы используем многолетние данные о багах для создания инструментов ИИ, которые улучшают анализ кода и делают проверки безопасности более быстрыми и экономически эффективными. Мы также улучшаем процесс триажирования багов, чтобы гарантировать его эффективность и возможность действий.
Многие из наших услуг напрямую исходят из потребностей клиентов, таких как программы поощрения за обнаружение ошибок и наша структура Web3 SOC. Сегодня мы рассматриваем анализ кода на основе ИИ как следующий шаг к упрощению и повышению эффективности процессов безопасности.
Не могли бы вы поделиться дорожной картой Cantina? Есть ли предстоящие функции?
Наша самая новая программа — это операционная безопасность с круглосуточным реагированием на инциденты. Традиционные финансы долгое время полагались на команды SOC и инструменты мониторинга, но Web3 отстает.
Мы разработали программу с бывшими экспертами по угрозам Coinbase для комплексной оценки атакующих поверхностей, охватывающих Web2, Web3, физические и цифровые активы. После этого мы предлагаем управляемую службу SOC с обученными аналитиками, которые круглосуточно мониторят такие инструменты, как Hypernative, Blockaid, Guardrails и HexaGate, готовые реагировать на угрозы в реальном времени.
Эта программа уже получила значительное внимание, а далее мы сосредоточены на запуске инструментов анализа кода на базе ИИ, чтобы помочь командам строить безопасные решения с самого начала.
Наконец, какой совет вы бы дали стартапу Web3 о том, как встроить безопасность в его дорожную карту с первого дня?
Начните задумываться о безопасности заранее. Команды, которые ждут до фазы аудита, часто сталкиваются с задержками, дополнительными аудитами и иногда нуждаются в переработке своего продукта. Инвестиции в безопасность с самого начала экономят время и деньги.
Мы рекомендуем использовать такие инструменты, как анализ кода с помощью ИИ, сторонние проверки сверстников и использование ресурсов, таких как наш Контрольный список готовности к проверке безопасности. Регулярное привлечение внешних экспертов помогает выявлять уязвимости на ранних стадиях.
Помимо кода, стартапам также следует оценить всю их поверхность атаки, как в Web2, так и в Web3. У нас есть услуги для компаний на всех этапах, чтобы помочь им проактивно справляться с рисками. Создание культуры безопасности с самого начала настраивает вас на долгосрочный успех.
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
Обеспечение безопасности экосистемы цифровых активов с Cantina
Кратко
Шарон Идегучи, руководитель GTM в Cantina, обсуждает изменение фокуса атакующих с кода на людей, подчеркивая необходимость новых рамок безопасности для защиты компаний в быстро развивающейся отрасли.
Хакеры больше не нацелены только на код, они атакуют людей. В этом интервью Шарон Идегучи, руководитель GTM в Cantina (Spearbit), рассказывает о своем пути от традиционной кибербезопасности к Web3, анализирует, как attackers меняют свой фокус, и объясняет, почему ее команда разрабатывает новые рамки безопасности для защиты компаний в отрасли, которая развивается быстрее, чем когда-либо.
Не могли бы вы поделиться своим путем в Web3?
Меня зовут Шарон Идегучи, и я работаю в Cantina в области продажи стратегий. Я сосредоточена на создании индивидуальных продуктовых предложений для клиентов на уровне предприятий, новых технологий и клиентов в институциональном и традиционном финансовом секторах. Моя работа полностью сосредоточена на безопасности. Моя карьера до сих пор была в области кибербезопасности, в основном в Web2. Я провела много лет в традиционных ролях кибербезопасности, работая в областях, подобных CrowdStrike и другим повседневным операциям безопасности.
Со временем я заметил, что рынок быстро сдвигается в сторону Web3 и признал его будущим технологий. Я хотел изучить, как выглядит кибербезопасность вне моего традиционного фона Web2. Это решение привело меня в Cantina, и с тех пор я работаю в области безопасности Web3.
Каковы основные преимущества для ваших клиентов от работы исключительно с Cantina?
Когда мы основали Cantina около четырех лет назад, мы сосредоточились на стимулировании лучших специалистов по безопасности в мире работать над проектами безопасности. Мы заметили, что многие высококвалифицированные исследователи в этой области не занимаются безопасностью, часто потому, что им не хватает автономии и возможности выбирать значимые проекты или глубоко вносить свой вклад в протоколы.
Мы создали модель, чтобы предоставить исследователям эту автономию, и это сработало. Сегодня наша сеть включает в себя таланты по всем языкам программирования, цепочкам, экосистемам и нишевым экспертам. Когда клиенты приходят к нам с запросом на безопасность, мы не просто находим квалифицированного специалиста; мы находим лучшего человека в мире для этой работы, будь то аудит смарт-контрактов, программа поощрения за нахождение ошибок, операционная безопасность, реагирование на инциденты или тестирование Web2.
Вы также работали в области безопасности Web2. Какие ключевые тенденции или нарративы выделяются как уникальные для Web3?
Одно из основных отличий заключается в постоянном характере Web3 и отсутствии посредников. В Web2 часто существуют третьи стороны, которые помогают смягчить риски или восстановить убытки. В Web3, если средства украдены, они, как правило, безвозвратно потеряны. Без надлежащих мер безопасности, таких как многофакторная защита или приостановка транзакций, восстановление почти невозможно.
Еще одним ключевым фактором является то, что структура Web3 создает стимулы для угроз физической безопасности. Злоумышленники могут напрямую нацеливаться на персонал, что в Web2 встречается гораздо реже. Это делает практики операционной безопасности, включая защиту команд, необходимыми в Web3.
Какие метрики вы используете для оценки успеха своих стратегий безопасности с течением времени?
Самая очевидная метрика — это страдают ли наши клиенты от взлома после получения наших услуг. Кроме того, мы оцениваем, как улучшенная безопасность влияет на возможности финансирования, партнерства и общий рост. Мы рассматриваем, как сильная безопасность способствует финансовым показателям компании, доверию пользователей и долгосрочному успеху.
Как вы обучаете нетехнические руководящие команды высоким уровням рисков безопасности?
Я использую повествование и примеры из реальной жизни. Например, я могу провести команду руководства через известный хак: какие меры безопасности были в компании, чего не хватало и к каким последствиям это привело. Команды руководства менее заинтересованы в технических деталях и больше обеспокоены потенциальным воздействием, потеряют ли они данные, средства клиентов или столкнутся с ущербом репутации. Формулирование рисков безопасности в терминах осязаемых результатов помогает им понять, почему инвестиции в безопасность имеют критическое значение.
Какие новые векторы атак в смарт-контрактах команды все еще недооценивают?
С тех пор как начался Web3, большая часть бюджетов на безопасность была направлена на смарт-контракты. Команды тратят миллионы на аудиты, соревнования, вознаграждения за нахождение уязвимостей и рецензии со стороны коллег. Нападающие знают об этом и переключают внимание на менее защищенные области, такие как компоненты Web2 и операционные уязвимости. Многие недавние атаки возникли за пределами смарт-контрактов.
Мы помогаем командам решить этот дисбаланс с помощью таких услуг, как операционная безопасность, круглосуточное реагирование на инциденты и управляемые команды SOC, охватывающие всю организационную поверхность атаки.
Может ли ИИ или автоматизация когда-либо заменить части обзора Cantina, или человеческая экспертиза незаменима?
Это определенно гибридный подход. Мы уже широко используем ИИ для таких задач, как устранение спама на конкурсных платформах и добавление контекста к рецензиям коллег. ИИ отлично справляется с выявлением известных уязвимостей и шаблонов, что ускоряет начальный процесс проверки.
Однако злоумышленники также креативны и все чаще используют ИИ. Пока ИИ не станет более умным и изобретательным, чем люди, нам всегда потребуется человеческая экспертиза для противодействия новым угрозам. Будущее — это сочетание помощи ИИ и квалифицированных исследователей.
Что вдохновило вас создать специализированные оценки помимо традиционных аудитов?
Мы разработали нашу инфраструктуру Web3 SOC в ответ на потребности клиентов. Управляющие активами и венчурные компании начали просить нас провести дью дилидженс по компаниям Web3, оценивая как риски безопасности, так и финансовые риски.
Мы поняли, что нет стандартизированного способа количественно оценить риски, специфичные для Web3. Традиционные рамки соблюдения, такие как SOC 2 или ISO, не охватывают угрозы, присущие Web3. Поэтому мы создали новый стандарт, чтобы помочь компаниям Web3 обеспечить финансирование и установить партнерские отношения, а также помочь традиционным финансовым учреждениям понять, как безопасно взаимодействовать с Web3.
Эта структура теперь является сотрудничеством с некоторыми из крупнейших имен нашей отрасли. Она набирает популярность среди традиционных финансов и управляющих активами по всему миру.
Какие инновационные методологии безопасности вы сейчас испытываете? Искусственный интеллект является важным направлением. Мы используем многолетние данные о багах для создания инструментов ИИ, которые улучшают анализ кода и делают проверки безопасности более быстрыми и экономически эффективными. Мы также улучшаем процесс триажирования багов, чтобы гарантировать его эффективность и возможность действий.
Многие из наших услуг напрямую исходят из потребностей клиентов, таких как программы поощрения за обнаружение ошибок и наша структура Web3 SOC. Сегодня мы рассматриваем анализ кода на основе ИИ как следующий шаг к упрощению и повышению эффективности процессов безопасности.
Не могли бы вы поделиться дорожной картой Cantina? Есть ли предстоящие функции?
Наша самая новая программа — это операционная безопасность с круглосуточным реагированием на инциденты. Традиционные финансы долгое время полагались на команды SOC и инструменты мониторинга, но Web3 отстает.
Мы разработали программу с бывшими экспертами по угрозам Coinbase для комплексной оценки атакующих поверхностей, охватывающих Web2, Web3, физические и цифровые активы. После этого мы предлагаем управляемую службу SOC с обученными аналитиками, которые круглосуточно мониторят такие инструменты, как Hypernative, Blockaid, Guardrails и HexaGate, готовые реагировать на угрозы в реальном времени.
Эта программа уже получила значительное внимание, а далее мы сосредоточены на запуске инструментов анализа кода на базе ИИ, чтобы помочь командам строить безопасные решения с самого начала.
Наконец, какой совет вы бы дали стартапу Web3 о том, как встроить безопасность в его дорожную карту с первого дня?
Начните задумываться о безопасности заранее. Команды, которые ждут до фазы аудита, часто сталкиваются с задержками, дополнительными аудитами и иногда нуждаются в переработке своего продукта. Инвестиции в безопасность с самого начала экономят время и деньги.
Мы рекомендуем использовать такие инструменты, как анализ кода с помощью ИИ, сторонние проверки сверстников и использование ресурсов, таких как наш Контрольный список готовности к проверке безопасности. Регулярное привлечение внешних экспертов помогает выявлять уязвимости на ранних стадиях.
Помимо кода, стартапам также следует оценить всю их поверхность атаки, как в Web2, так и в Web3. У нас есть услуги для компаний на всех этапах, чтобы помочь им проактивно справляться с рисками. Создание культуры безопасности с самого начала настраивает вас на долгосрочный успех.