सीएसओ ने कहा सिस्को सुरक्षा बढ़ रही है

जॉन स्टीवर्ट आपके ठेठ कॉर्पोरेट कार्यकारी की तरह बात नहीं करता है। उन्होंने कहा कि उनकी कंपनी, सिस्को सिस्टम्स, सुरक्षा के मामले में भाग्यशाली रही हैं और उनकी कंपनी के स्वयं-बचाव नेटवर्क मार्केटिंग धक्का ने अपने उत्पादों पर "एक बड़ी बैल की आंख" पेंट की है।

लेकिन फिर, स्टीवर्ट अधिक है महत्वपूर्ण बातों के बारे में चिंता करने के लिए मुख्य सुरक्षा अधिकारी के रूप में, वह सिस्को कॉर्पोरेट और व्यापार इकाई सुरक्षा प्रथाओं को निर्देशित करने के लिए जिम्मेदार व्यक्ति है। इसका अर्थ है कि जब भी सिस्को के उत्पादों में एक महत्वपूर्ण सुरक्षा बग है या अगर हैकर सिस्को वेब साइट को हिट करना चाहते हैं तो उन्हें कॉल मिलता है। जिस तरह से वह इसे रखता है, वह सिस्को के उत्पादों को लॉक करने में मदद करने के लिए उनका काम है, जिसे वह "जलती हुई प्लेटफॉर्म" कहता है - इंटरनेट पर सबसे व्यापक रूप से उपयोग किए जाने वाले राउटर के खिलाफ गंभीर दोष या हमला करने के लिए मजबूर होना पड़ता है।

शायद सिस्को को स्टुअर्ट जैसे किसी की जरूरत है, जो कि गलतियों से साफ करने के लिए कि अन्य प्रमुख प्रौद्योगिकी कंपनियों ने सुरक्षा पर किया है। उदाहरण के लिए, माइक्रोसॉफ्ट ले लो। माइक्रोसॉफ्ट ने पहले सुरक्षा शोधकर्ताओं और आलोचकों के प्रति एक शत्रुतापूर्ण रवैया लिया, लेकिन इससे पीछे हटकर इस प्रभाव को सीमेंट करने में मदद मिली कि कंपनी उन्हें ठीक करने की कोशिश करने के बजाय सुरक्षा कीड़े को अनदेखा कर रही थी। माइक्रोसॉफ्ट ने अंततः अपने पाठ्यक्रम को उलट दिया, लेकिन जब तक इसकी प्रतिष्ठा गंभीर हिट नहीं हुई।

[और पठन: मीडिया स्ट्रीमिंग और बैकअप के लिए सर्वश्रेष्ठ NAS बॉक्स]

छोटे पैमाने पर, सिस्को ने एक समान प्रकार का उत्क्रमण किया है 2005 में, सिस्को रूटर पर अनधिकृत शेलकोड सॉफ़्टवेयर चलाने के बारे में पता चलता है कि कंपनी 2005 में शोधकर्ता माइक लिन को मुकदमा कर रही थीं।

लेकिन सिस्को हैकिंग के एक नए युग को मारने के बजाय, माइक लिन प्रकरण का अधिक था एक विपथन सिस्को अनुसंधान अगले कुछ सालों से चुप था।

स्टीवर्ट ने कहा कि सिस्को "थोड़ा भाग्यशाली" रहा है जिसमें इसमें बड़ी सुरक्षा भड़क उठी नहीं है, लेकिन वह कुछ भी नहीं ले रहा है। उन्होंने सिस्को खतरे के परिदृश्य के बारे में बात करने के लिए अपने सैन जोस, कैलिफ़ोर्निया कार्यालय में आईडीजी समाचार सेवा आमंत्रित की। निम्नलिखित साक्षात्कार का एक लिखित प्रतिलिपि है।

आईडीजी न्यूज सर्विस: सिस्को को ब्लैक हैट 2005 पर बहुत ध्यान मिला। तीन साल बाद चीजों पर आपकी क्या राय है?

जॉन स्टीवर्ट: कारण का कारण सभी का ध्यान तीन साल पहले हमने ब्लैकहॉट पर चित्रित किया था क्योंकि हमने स्पष्ट रूप से सभी तरह के जटिल मुद्दों के एक फायरस्टॉर्म का निर्माण किया था, ऐसा लगता था कि सिस्को संचार और अनुसंधान को दबा रहा था।

मुझे लगता है कि यकीनन हमने कुछ मूर्खतापूर्ण चीजों की तरह, जिनी वापस बोतल में डाल दिया, जो आप नहीं कर सकते। हम इसे सही कारणों से करने की कोशिश कर रहे थे: बौद्धिक संपदा और हमारे ग्राहकों की सुरक्षा। लेकिन यह कैसे निकला, पूरी तरह से बग़ल में चला गया।

और, कई मामलों में, हमने इसे गुमनाम रूप से किया। यह "एक सिस्को प्रवक्ता था।" हम एक अनामिक संदर्भ के पीछे छिपाते हैं, जो मुझे लगता है कि वास्तव में सबकुछ गुम हो गया है।

यही कारण है कि मैंने व्यक्तिगत रूप से प्लैटिनम स्तर पर ब्लैक हैट प्रायोजित किया है। क्योंकि मुझे लगता है कि हम कुछ प्रायश्चित्त करते हैं और जाते हैं, "देखो, हमारे बुरे। वह ऐसा करने का तरीका नहीं था।"

आईडीजीएनएस: आपको लगता है कि सिस्को के अनुसंधान ने ऐसा क्यों किया?

स्टीवर्ट: कुछ कारण हैं पहला यह है कि इनमें से बहुत से रिमोट शोषण नहीं हैं, और किसी भी समुदाय में शोध के बारे में बहुत कुछ है, "आप इसे दूरस्थ रूप से कैसे करते हैं?" आईआरएम [सूचना जोखिम प्रबंधन] के अनुसंधान, सेबैस्टियन के [मुनीज़, कोर प्रोटेक्शन टेक्नोलॉजीज के साथ शोधकर्ता] अनुसंधान, और कुछ हद तक, माइकल लिन के शोध, हालांकि इसमें मामूली रिमोट वैरिएंट था, यह रिमोट स्थिर नहीं था। और यही वह वास्तविक खेल है।

आपको कंसोल पर बिना बिना इसे प्राप्त करने का एक तरीका निकालना होगा। और यही यही है कि ज्यादातर विकास चारों ओर हो रहा है: कम से कम सिस्को के लिए कंसोल पर यह कैसे करते हैं

और दूसरी बात यह है कि आप इसे काम करना चाहते हैं। आप इसे बाहर करने की कोशिश नहीं कर रहे हैं क्योंकि आपको नेटवर्क की आवश्यकता है ताकि आप अंत बिंदु पर जा सकें। तो मुझे लगता है कि हम एक तरह से पास हो जाते हैं क्योंकि कोई भी बुनियादी ढांचे के साथ बंदर करना चाहता है, जिसका उपयोग वे कर रहे हैं। जब आप एक अलग शहर में जाने की कोशिश कर रहे हैं तो यह फ्रीवे को खराब करने जैसा है। ऐसा करने के लिए एक मूर्ख चीज है।

आईडीजीएनएस: माइक्रोसॉफ्ट इस बात के बारे में बहुत सार्वजनिक है कि उन्होंने सुरक्षा को प्राथमिकता बनाने के लिए कैसे कंपनी को बदल दिया। सिस्को में कहानी क्या है? सुरक्षा कार्यक्रम कैसे बनाया गया?

स्टीवर्ट: हम शायद एक ही जगह में थे हमारी खुद सहित कई कंपनियां पहले सामान निर्माण के साथ शुरू हुईं, जो संचार समस्याओं को हल करती थीं और फिर बाद में संचार की सुरक्षा के बारे में सोचती थीं।

लगभग पांच साल पहले, हम कंपनी, मेरी टीम से लड़ रहे थे। अधिकतर सूचना सुरक्षा व्यवसाय में हम "नहीं" संगठन थे, हाथीदांत टॉवर यह एक खतरनाक जगह है क्योंकि मेरा लेना हमें एक सलाहकार पूर्ति हाथ होना चाहिए, न कि निर्णायक।

इसलिए हमने इसमें बहुत कुछ बदल दिया और हमने चीजों को इंजेक्शन देना शुरू किया, जैसे "आप में विशेषज्ञता हासिल करने जा रहे हैं टीम। हम बीच में भी नहीं होने जा रहे हैं, इस तरह आप अपनी जरूरत के लिए विशेषज्ञता का निवेश कर सकते हैं और हम आपको पकड़ नहीं रहे हैं या आपको धीमी स्थिति में नहीं ला रहे हैं। "

दूसरी बात - - जिसे कम करके आंका नहीं जा सकता - क्या हम स्वयं रक्षात्मक नेटवर्क लॉन्च करने के लिए 2002 में तैयार हो रहे थे, जो इसे पसंद करते हैं या नाराज के रूप में नफरत करते हैं - प्रभावी रूप से हमारे माथे पर एक बड़ी बैल-आंख है।

आईडीजीएनएस: ओरेकल के अटूट लिनक्स की तरह?

स्टीवर्ट: वास्तव में मैरी एन् डेविडसन ने ओरेकल में मुझे एक नोट छोड़ दिया और कहा, "हम जो नाराज करते हैं, उस नारे से आने के लिए बहुत बहुत धन्यवाद।" [हंसी] जैसे कि मुझे घोषणा के साथ कुछ लेना देना था।

और फिर तीसरा, हमारे पास वास्तव में एक पदचिह्न बढ़ गया है। हम अधिक से अधिक स्थानों में इस्तेमाल करते हैं, और यह सोचने के लिए स्पष्ट है कि हमने कभी नहीं सोचा था कि हमें इसके लिए इस्तेमाल किया जाएगा। हम स्वास्थ्य देखभाल संचार में बदलाव कर रहे हैं, हम सेना के लिए साइट-टू-साइट संचार में बदलाव कर रहे हैं। हम उन सभी जंगली चीजों को कर रहे हैं जो 20 साल पहले हमने उस समय के बारे में नहीं सोचा था।

आईडीजीएनएस: क्या आपने कुछ ऐसा किया है जैसे एक सुरक्षित विकास जीवनशैली को अपनाना या आप जिस तरह से निर्मित उत्पादों को बदलते हैं?

स्टीवर्ट: हम इस में परिपक्व नहीं हैं हम अजीब किशोर चरण में हैं हम विकास प्रक्रिया के अंत में परीक्षण कर रहे हैं और हम उस डेटा से पता लगा रहे हैं कि आप परिभाषा प्रक्रिया में पीछे कैसे जाते हैं। अब कुछ परिभाषा वैसे भी होती है। इसलिए उदाहरण के लिए, हमारे द्वारा निर्मित प्रत्येक उत्पाद की कुछ आधारभूत आवश्यकताएं हैं। हालांकि, मैं अभी भी कहता हूं कि बहुत कुछ सीखना है। जब आपको लगता है कि आपको इसे सही मिल गया है और आप इसे बनाते हैं और आप इसका परीक्षण करते हैं, तो परीक्षण से सीखने से आपके द्वारा बनाई गई अगली चीज़ को लाभ होगा।

हमने अभी तक माइक्रोसॉफ्ट जैसी एक सुरक्षित विकास जीवन चक्र नहीं अपनाया है हम सभी उत्पाद लाइनों पर समान रूप से एक समान रूप से मापने योग्य तरीके से समान रूप से खड़े नहीं हुए हैं, और यही कारण है कि मैं कहता हूं कि हम उस अजीब किशोर चरण में हैं।