Friday, November 24, 2006

Digital Security Lessons from Ice Hockey

I'm struck by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 amount of attention we seem to be paying to discovering vulnerabilities and writing exploits. I call this "offensive" work, in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sense that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fruits of such labor can be used to attack and compromise targets. This work can be justified as a defensive activity if we accept cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full disclosure argument that truly bad guys already know about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se and similar vulnerabilities, or that so-called responsible disclosure motivates vendors to fix cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir software. This post isn't about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 disclosure debate, however. Instead, I'm wondering what this means for those of us who don't do offensive work, eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r due to lack of skills or opportunity/responsibility.

It occurred to me today that we are witnessing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sort of change that happened to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 National Hockey League in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 late 1960s and early 1970s. During that time cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 player pictured at left, Bobby Orr, changed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game of ice hockey forever. For those of you unfamiliar with hockey, teams field six players: one goalie, who guards cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 net; two defensemen, who try to stop opposing players; and three forwards (one center and two wings), who try to score goals.

Prior to Orr, defensemen almost never took offensive roles. (Forwards didn't pay much attention to defense, eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r. Only in 1978 did cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Selke Trophy, for best defensive forward, start being awarded.) When Orr began playing, he wasn't satisfied to control cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 puck in his defensive end and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n hand it off to one of his forwards. He jumped into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 play, sometimes carrying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 puck end-to-end, finishing by scoring himself. Twice in his ten year career he even lead cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 league in scoring -- scoring more goals than forwards. He didn't neglect his defensive duties, eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r. He was named league best defensement eight years straight.

What does this mean for digital security? It's easy to identify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 forwards in our game. They discover and write exploits. Some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m can play defense, while ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs cannot. Many of us are traditional defensemen. We know how to impede cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 opposing team, and we know enough offense to understand how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 enemy forwards operate. A few of us are goalies. Aside from clearing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 zone or maybe making a solid pass to a forward, goalies have near-zero ability to score goals. (Yes, I remember Ron Hextall.) That's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 nature of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir position -- cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can't skate to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r end of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ice!

Anyone who plays a sport will probably recognize cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 term "well-rounded." Being well-rounded means knowledge and capability in offense and defense. I think it applies very well to ice hockey and basketball, less so to soccer, somewhat well to baseball, and not at all to football. I see well-roundedness as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proper trait for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 general security practitioner, i.e., cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sort of person who expects to work in a variety of roles during a career. This is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ice hockey model.

I do not recommend following what might be called cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 [American] football model. Football players are exceptionally specialized and usually ineffective when told to play out of position. (Could you imagine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kicker playing on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 defensive line, or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 center as a wide receiver?)

Returning to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hockey model, remember that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are three positions, with varying degrees of offensive and defensive responsibilities. Goalies focus almost exclusively on defense, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y try to make smart plays that lead to break-outs. Defensemen concentrate on defense but should contribute offensively where possible. Forwards concentrate on offense, but help cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 defensemen as well. How does this model apply to my position in digital security? I consider myself a defenseman, but I'm trying to develop my offensive skills. (At cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 very least, better knowledge of offensive tools and techniques helps me better defend against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.) I have no interest in being a goalie. Being a forward would be exciting, but I'm not sure I'll have an opportunity or job responsibility to fully develop those skills.

I suppose it's even possible to become a coach or trainer (like skating guru Laura Stamm). You don't have to actually play cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game, but you quickly become irrelevant if you lose touch with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game.

Does cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 extreme specialization of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 football model apply? I think it may for large consultancies (or perhaps for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security market as a whole). In a large consultancy, you can be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Web app guy" or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "incident response gal" and make a living. Outside of that environment, perhaps at a general security job for a company, you're expected to be good at almost everything.

I've written before that it's unreasonable to be good at everything, despite cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 unrealistic desire of CIOs to hire so-called "multitalented specialists." I recommend choosing to be a goalie, defenseman, forward, or coach/trainer. Be solid in your core responsibilities, but remember Bobby Orr's example.

How do you fit into my hockey model?

11 comments:

jbmoore said...

I think one can focus one's skill sets where jobs overlap. For instance, bare metal disaster recovery skills can transfer easily to some types of digital forensics work. Both positions involve data recovery and hard disk cloning/manipulation. So, it might be possible to easily convert a disaster recovery specialist into a decent forensic investigator with a little training. The same applies to network traffic analysis for network engineers. Analyzing malicious network traffic is a subset of general traffic analysis. But one can't expect a bare metal hard drive expert to be able to read a network trace. There are likely bright individuals that can, but you'll get more bang for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buck from a team of experts than a generalist in a corporate environment. One brain can only know so much. The generalist functions as a filter of sorts solving 75-80% of normal everyday problems, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 generalist will need to consult an expert to solve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r 20% of issues (or consult google). What you are talking about is similar to how one system administrator described system administrators? Most system administrators are mechanics. They can diagnosis a system just by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sound or behavior it exhibits and fix it. The rarer breed of system administrator is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 systems analyst. He or she will analyze cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 problem and engineer a permanent solution that eradicates cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 problem. As digital security matures, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 generalist will find it harder to cope with all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skill sets necessary to perform cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 job. This is a general trend in any engineering, scientific or technical human endeavor. Eventually, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 amount of knowledge and number of tasks becomes so overwhelming that one must specialize in order to be effective.

John Ward said...

A hockey reference, and you didn't use a picture of eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r Gretzky, or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Hanson brocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs. Rich, I am disapointed.

Anonymous said...

While using New England players - you should reconsider cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 american football analogy. Troy Brown of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 New England Patriots played most of his career as a wide receiver. He played almost an entire season on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 defense - putting up some good stats. He also played 3rd string quarterback in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pre-season taking snaps from center.

There are special "utility" players out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re. They are unique and do not represent cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 majority in any industry. When coach Belichick looks at putting players on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 roster he doesn't look for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 best at position, he looks for players that are "football smart".

I think we need more "security smart" players in IT. It doesn't mean that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are experts at a particular position, but have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 intelligence to understand what is happening and when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y need to engage additional "position" players.

Thoughts?

-Mark

Anonymous said...

I'm always quite suspect of analogies, and most especially of sports analogies, but I think cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re might be some merit in this case, though I'll argue a bit with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ratios.

3 to 2 to 1 is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ration you outline but I think cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ratios in information security are much more slanted. It would seem to me that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are very few offensive security researchers focused solely on "scoring" an 0-day or big vulnerability. I'm sad to say cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re may be only slightly more defensive players who manage to play some offense as well. It strikes me that we're in an era of goalies, for one reason, in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infosec world "forwards" get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 notoriety but "goalies" get paid.

With a few exceptions, such as pen-testers, some gov groups, and a few vulnerability researchers at think tank type companies, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re aren't many offensive infosec jobs available. Like you (Richard) I've been working on my offensive skills but unless a person can already write win32 payloads by hand in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir sleep cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's not much work for a "transitional player" who's moving from offense to defense. It just won't pay cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bills. My free time is spent almost exclusively on offensive work and reading, but its all for myself and maybe, someday, a job in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 future. My job is still solely on defense, and until I'm given permission at work to "take cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 puck myself" Bobby Orr style that's what my role is confined to.

I'm not sure if that's right or wrong. The offense is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fun stuff. The few times in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lab I worked in at school where I got to pop boxes was among some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most fun I've ever had on a computer. When my school team competing in iCTF got our first break through I don't know if I've ever felt so invigorated. But when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 resumes got sent out and companies started coming back to me with jobs most of that offensive knowledge was in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 back seat. The Shellcoders Handbook might be fun, but it's your Tao of Network Security Monitoring that's making me better at my job. I don't know what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 future holds, but that's how it is at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 present.

So for now I'll keep plugging away at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Gera Examples and see if I can "get a breakaway" sometime.

Anonymous said...

What a great post. As a network security opportunist, developer, and hockey player myself it's great to see such a mindset actually written out in words on a blog somewhere. Ive seen a few chess-based roles mentioned as related to NSM but picture yourself playing w/ chess and only 6 pieces each and a wide open field and you have yourself a nice challenge that can keep you going for a while ;-)

Fast forward a few years from Orr and you have a much more technical game, Devils playing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trap, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 umbrella on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 powerplay, boxing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 penalty kill, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 effectiveness and importance of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 line change.

The ice hockey model should be in your next book!

- Jon

Richard Bejtlich said...

Scott,

Ignore cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ratios. I did not intend for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to have any significance whatsoever. I was just explaining cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game to those who might not know it.

Anonymous said...

"How do you fit into my hockey model?"


Does "puck" count?

Anonymous said...

Richard,

I agree that in a concrete sense cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ratios really don't matter. In a more abstract sense I think cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are important and I was simply trying to illustrate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 huge gap between cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 relatively small number of "offensive" security pros and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 much larger group of "defensive" security professionals, with very little overlap. My point, and I think more than somewhat yours, is that both groups need to move closer towards cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 middle, less goalies, and more defensemen who know how to shoot as well as check. It's my hope that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se more well rounded security pros will be best equiped to face cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 challenges ahead.

Anonymous said...

I guess if you consider cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hockey analogy works...

fights during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game would equate to time spent arguing that additional budget is required to meet cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 requirements. (you win some, you lose some).

Penalty minutes are "time spent in irrelevant meetings"

Icing is what you do when you send your technical team to training/vacation.. you push as much work for later as possible why cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are out.

Short handed goals - when your analysis process quickly identifies cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attacks against your network and computing resources.

Anonymous said...

Speaking of offensive security knowledge, I saw yesterday a video on Foxnews on people complaining about "How-to" videos for picking locks being posted on Youtube. In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 video cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y talk about holding Youtube liable in court. I wonder how well that would go if publishers for offensive infosec books were held liable if LE found security books in an attackers home. You can see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 video here
http://www.foxnews.com/story/0,2933,233037,00.html
On cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 left under VIDEO click on "YouTube Guide to Crime."

Anonymous said...
This comment has been removed by a blog administrator.