Când mergeți la coafor, în schimb, nu cumpărați foarfecele. Desigur, și ele fac parte din serviciu, dar mai ales acesta înseamnă douăzeci de ani de meserie: mâna care știe unde să taie, ochiul care înțelege ce tunsoare vi se potrivește. Plătiți rezultatul, nu instrumentul.

În securitatea cibernetică se întâmplă ceva asemănător, și aproape nimeni nu o spune cu voce tare: atunci când cumpărați un produs de securitate, nu cumpărați și competențele necesare pentru a-l folosi. Acelea rămân la cel care vi l-a vândut.

De aceea, la Orizon nu dezvoltăm produse, ci servicii. Iar un serviciu, spre deosebire de un produs, nu se descrie cu o fișă tehnică: se povestește ca un parcurs. Cel care urmează este al nostru, în patru întrebări.

Pentru a-l face concret vom folosi o companie fictivă — o vom numi Acme Enterprise & Co.: o sută optzeci de angajați, trei unități de producție, un portal pentru furnizori, un ERP în cloud și un departament IT de patru persoane care, ca mai peste tot, se ocupă de tot. Nu este un caz real, dar fiecare pas este plauzibil și probabil veți recunoaște câțiva dintre ei.

Și nu este băiatul cu gluga dintr-un subsol: acea imagine ne-a făcut rău, pentru că ne-a obișnuit să ne gândim la un fenomen întâmplător și amatoricesc. Cine vă atacă astăzi este o organizație, cu un model de business, roluri și obiective de profitabilitate. Înainte de a investi, studiază piața: cât facturați, cât vă costă o zi de oprire, cât de expuși sunteți, cine vă sunt furnizorii. Face exact ceea ce ați face și dumneavoastră înainte de a deschide o negociere.

Prima întrebare, așadar, este a lor: ce vede cel care mă privește din exterior?

RECON Essentials răspunde la aceasta. Este un serviciu de External Attack Surface Management: analizează ceea ce compania dumneavoastră expune pe internet privind-o din exterior, exact cum ar face-o un atacator, în mod complet pasiv. Niciun agent de instalat, nicio credențială de predat, niciun impact asupra sistemelor. Sunt necesare domeniul principal și codul de TVA; pentru grupuri se adaugă domeniile fiecărei societăți și se obține o imagine consolidată.

În câteva minute motorul enumeră domeniile și subdomeniile, rezolvă adresele IP, identifică porturile și serviciile expuse, recunoaște tehnologiile folosite și le corelează cu vulnerabilitățile cunoscute — CVE-urile — cu scor CVSS și marcarea celor prezente în catalogul CISA KEV, adică acelea pentru care exploatarea reală este documentată. Rezultatul este un scor de risc agregat și un raport pe care îl poate citi și cineva fără pregătire tehnică, inclusiv încadrarea conform NIS 2.

Acme Enterprise & Co. descoperă astfel șaizeci și trei de subdomenii, nu cele douăsprezece pe care credea că le are. Printre ele se află portalul pentru furnizori al unui proiect încheiat acum doi ani, încă online, încă accesibil. Și există un concentrator VPN cu o versiune de firmware care apare în catalogul vulnerabilităților exploatate.

Nimeni nu ascunsese nimic. Pur și simplu, nimeni nu se uita în direcția aceea.

Nu este o ipoteză pur teoretică. Un atacator care compromite un singur calculator — o credențială furată, un atașament deschis, o sesiune deturnată — nu se oprește acolo: se deplasează lateral către tot restul. Iar din interior peisajul este diferit: configurări greșite, software niciodată actualizat, hosturi uitate, servicii pe care nimeni nu le monitorizează.

RECON Internal privește rețeaua din acest punct de vedere. Este corespondentul intern al lui Essentials: o mașină virtuală dedicată este pornită în rețeaua companiei și, din acel moment, lucrează singură. Cartografiază hosturi și dispozitive pe adrese IP private, porturi și servicii interne, recunoaște stack-ul tehnologic al fiecărui activ, corelează vulnerabilitățile din mai multe surse și detectează configurările greșite. Un pas de Evidence Gating elimină automat rezultatele fals pozitive, pentru că o listă plină de zgomot nu ajută pe nimeni. Mașina virtuală are acces doar în citire, fără a modifica sistemele.

Raportul are același format ca cel de la Essentials, la care se adaugă comparația dintre perspectiva externă și cea internă: și tocmai această comparație este elementul cel mai util, pentru că arată distanța dintre ceea ce expuneți și ceea ce riscați.

La Acme Enterprise & Co. perspectiva internă spune o altă poveste. Serverul care gestionează comenzile are un serviciu de partajare de fișiere cu o configurare rămasă deschisă în timpul unei migrări din 2023. Două echipamente din hală rulează un sistem de operare ieșit din suport: sunt ținute în funcțiune pentru că pilotează un utilaj pe care furnizorul nu îl mai actualizează. Niciuna dintre acestea nu apare în perspectiva externă. Niciuna nu este o greșeală flagrantă. Împreună, formează un coridor.

Ani la rând am măsurat riscul în biți — vulnerabilități, scoruri de gravitate, rapoarte de trei sute de pagini cu mii de rânduri roșii. Dar a ști că aveți o vulnerabilitate spune doar jumătate din poveste. Cealaltă jumătate înseamnă să știți dacă acea vulnerabilitate, în contextul dumneavoastră specific, este cu adevărat exploatabilă și ce s-ar întâmpla dacă ar fi exploatată.

Riscul nu este un atribut tehnic: este o haină croită pe măsura dumneavoastră. Aceeași vulnerabilitate are consecințe complet diferite pentru o bancă, pentru un cabinet profesional cu trei angajați sau pentru o companie de producție care livrează pe comandă.

Fireline răspunde la această a treia întrebare. Este testul de penetrare bazat pe inteligență artificială: ia suprafața și vulnerabilitățile candidate și le pune la încercare așa cum ar face-o un atacator — cu autorizare scrisă, într-un mediu izolat, fără a instala nimic și fără a întrerupe activitatea companiei.

Motorul lucrează pe faze: recunoaștere, validarea CVE-urilor din mai multe surse, filtrarea rezultatelor fals pozitive, construirea grafului de atac cu lanțurile complete mapate pe MITRE ATT&CK și, în final, validare activă pe țintele reale. Prioritatea nu este dată doar de gravitatea teoretică, ci și de probabilitatea ca acea vulnerabilitate să fie efectiv exploatată, măsurată prin indicele EPSS.

Principiul pe care se sprijină întregul serviciu este disciplina cu care se declară un rezultat: nimic nu este umflat dincolo de ceea ce a fost demonstrat. Într-o analiză tipică, motorul pornește de la sute de semnalări potențiale și le elimină pe marea majoritate ca fiind irelevante sau neexploatabile. Ceea ce rămâne în raport este ceea ce contează, verificat unul câte unul.

Pentru Acme Enterprise & Co. rezultatul nu este o listă, ci o frază: de la portalul pentru furnizori uitat se ajunge, în trei pași, la credențialele ERP-ului. Contrar temerilor, concentratorul VPN nu este exploatabil, pentru că o regulă de acces îl protejează. Cele două echipamente ieșite din suport nu sunt accesibile din exterior, dar sunt accesibile din rețeaua birourilor.

Planul care rezultă este ordonat în timp: ce trebuie făcut acum, ce în decursul săptămânii, ce în următorul ciclu de mentenanță. Nu este o listă teoretică: este o listă de lucruri de făcut.

Un atac nu este o clipă. Este un eveniment care se desfășoară în timp, adesea noaptea, adesea cu credențiale valide și instrumente legitime, adesea fără a lăsa urme evidente pe un singur sistem. Pentru a-l surprinde este nevoie de cineva care să supravegheze continuu.

Oversight este serviciul nostru SOC as a Service: un Security Operations Center gestionat, activ 24 de ore din 24, 7 zile din 7. Colectează logurile din sursele deja prezente în companie — endpointuri și EDR, firewall-uri, servere, furnizori de identitate, medii cloud și aplicații — le normalizează după o schemă comună, le corelează și le păstrează într-un Security Data Lake. Când ceva iese la suprafață, alertele corelate sunt recompuse într-un attack story: reconstituirea coerentă a unui atac, de la primul semnal până la ultimul pas observat.

Și aici serviciul se deosebește de ceea ce mulți clienți au cunoscut. Un SOC tradițional detectează, clasifică și notifică: „activitate suspectă pe serverul X, se recomandă izolarea mașinii”. De acolo înainte, compania rămâne singură. Oversight livrează în schimb o investigație deja instrumentată: cronologia faptelor, dovezile, sistemele și conturile implicate și indicațiile pentru remediere — ce trebuie corectat, pe ce sisteme, în ce ordine și cum se verifică dacă intervenția a funcționat.

Serviciul poate fi extins cu trei add-on-uri: DX Data Explorer, care îi permite clientului să interogheze în mod autonom aceleași date cu care lucrează analiștii; Cold Storage, care păstrează logurile într-o arhivă criptată, cu controale de integritate, mult dincolo de fereastra scurtă a SIEM-urilor tradiționale, pentru auditurile și investigațiile care vin după luni sau ani; și Dark Web Intelligence, care depistează credențiale și sesiuni ale companiei expuse înainte ca acestea să fie folosite.

La Acme Enterprise & Co., câteva luni mai târziu, un acces VPN nocturn de la o adresă nemaivăzută deschide o secvență care în trecut ar fi trecut neobservată. De data aceasta nu: este văzută în timp ce se întâmplă, este reconstituită, iar compania primește nu o alarmă, ci un plan.

A ști ce expuneți ridică întrebarea despre ce se întâmplă dacă cineva intră. A ști ce se află înăuntru ridică întrebarea despre ce este cu adevărat exploatabil. A ști ce este exploatabil o ridică pe ultima, cea mai incomodă: și cât timp rezolvăm toate acestea, cine observă dacă se întâmplă ceva?

RECON Essentials vă arată cum vă văd ceilalți din exterior. RECON Internal vă arată ce riscați din interior. Fireline vă spune ce vă poate lovi cu adevărat și în ce ordine să interveniți. Oversight veghează, în fiecare zi, asupra a ceea ce se întâmplă efectiv.

Nu este obligatoriu să parcurgeți tot traseul și nici să îl parcurgeți în această ordine: fiecare serviciu are sens și de unul singur. Dar firul există și este motivul pentru care aceste servicii au fost construite pe aceeași platformă și în același ecosistem, în loc să fie patru produse care trebuie puse să vorbească între ele.

AI-ul nu este nici soluția, nici problema: este un multiplicator. Multiplică capacitatea celui care vă atacă — și se vede în calitatea tot mai bună a campaniilor de phishing și în viteza atacurilor. Și multiplică capacitatea noastră de a vă apăra, cu o condiție: să fie guvernat.

Noi îl folosim pentru a face ceea ce o mașină face mai bine și mai repede decât un om: corelează volume mari de date, elimină zgomotul, reconstituie secvențe, execută munca repetitivă de investigație. Dar în spate este întotdeauna cineva. Specialiștii SOC-ului nostru ghidează AI-ul, îi citesc rezultatele și decid — pentru că un model poate greși, iar în securitate o eroare nu cântărește niciodată la fel în ambele direcții.

Același nivel de serviciu pe care îl furnizăm unei organizații mari este accesibil companiei mijlocii, firmei mici și cabinetului profesional. Nu pentru că ar exista o versiune redusă, ci pentru că am schimbat modul în care aceste servicii sunt furnizate și cumpărate.

Este un aspect practic, nu ideologic. Astăzi, în Italia, competențele de securitate sunt greu de găsit și și mai greu de păstrat: angajați pe cineva, îl formați, iar după doi ani acea persoană pleacă, luând cu ea cunoașterea mediului dumneavoastră. Serviciul, în acest scenariu, nu este o soluție de rezervă față de a face totul intern. Adesea este singura cale viabilă.

Venim să vă spunem altceva: când se va întâmpla — și mai devreme sau mai târziu se întâmplă tuturor — diferența nu va fi dacă ieșiți nevătămați, ci cât de bine reușiți să rămâneți în picioare. Sistemele se restaurează din backup, cu un plan bun, în câteva zile; încrederea clienților, a partenerilor și a băncilor se reconstruiește în ani. Asta dacă se mai reconstruiește.

Meseria noastră este să reducem probabilitatea ca acel moment să vină și, dacă vine, să îl gestionăm astfel încât să coste cât mai puțin posibil.