Friday, March 27, 2020

Skill Levels in Digital Security


Two posts in one day? These are certainly unusual times.

I was thinking about words to describe different skill levels in digital security. Racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r than invent something, I decided to review terms that have established meaning. Thanks to Google Books I found this article in a 1922 edition of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Archives of Psychology that mentioned four key terms:

  1. The novice is a (person) who has no trade ability whatever, or at least none that could not be paralleled by practically any intelligent (person).
  2. An apprentice has acquired some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 elements of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trade but is not sufficiently skilled to be trusted with any important task.
  3. The journey(person) is qualified to perform almost any work done by members of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trade.
  4. An expert can perform quickly and with superior skill any work done by (people) in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trade.
I believe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se four categories can apply to some degree to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 needs of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 digital security profession.

At GE-CIRT we had three levels -- event analyst, incident analyst, and incident handler. We did not hire novices, so those three roles map in some ways to apprentice, journeyperson, and expert. 

One difference with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 classical description applies to how we worked with apprentices. We trusted apprentices, or event analysts, with specific tasks. We thought of this work as important, just as every role on a team is important. It may not have been leading an incident response, but without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 work of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event and incident analysts, we may not have discovered many incidents!

Crucially, we encouraged event analysts, and incident analysts for that matter, to always be looking to exceed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parameters of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir assigned duties.

However, we stipulated that if a person was working beyond cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir assigned duties, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y had to have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir work product reviewed by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next level of analysis. This enabled mentoring among cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 various groups. It also helped identify people who were candidates for promotion. If a person consistently worked beyond cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir assigned duties, and eventually reached a near-perfect or perfect ability to do that work, that proved he or she was ready to assume cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next level.

This ability to access work beyond assigned duties is one reason I have problems with limiting data by role. I think everyone who works in a CIRT should have access to all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data, assuming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are no classification, privacy, or active investigation constraints.

One of my laws is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following:

Analysts are good because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y have good data. An expert with bad data is helpless. An apprentice with good data has a chance to do good work.

I've said it more eloquently elsewhere but this is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 main point. 

For more information on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 apprenticeship model, this article might be useful.

When You Should Blog and When You Should Tweet


I saw my like-minded, friend-that-I've-never-met Andrew Thompson Tweet a poll, posted above.

I was about to reply with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following Tweet:

"If I'm struggling to figure out how to capture a thought in just 1 Tweet, that's a sign that a blog post might be appropriate. I only use a thread, and no more than 2, and hardly ever 3 (good Lord), when I know I've got nothing more to say. "1/10," "1/n," etc. are not for me."

Then I realized I had something more to say, namely, ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r reasons blog posts are better than Tweets. For cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 briefest moment I considered adding a second Tweet, making, horror of horrors, a THREAD, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n I realized I would be breaking my own guidance.

Here are three reasons to consider blogging over Tweeting.

1. If you find yourself trying to pack your thoughts into a 280 character limit, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n you should write a blog post. You might have a good idea, and instead of expressing it properly, you're falling into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trap of letting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 medium define cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message, aka cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PowerPoint trap. I learned this from Edward Tufte: let cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message define cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 medium, not cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r way around.

2. Twitter threads lose cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 elegance and readability of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 English language as our ancestors created it, for our benefit. They gave us structures, like sentences, lists, indentation, paragraphs, chapters, and so on. What does Twitter provide? 280 character chunks. Sure, you can apply feeble "1/n" annotations, but you've lost all that structure and readability, and for what?

3. In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event you're writing a Tweet thread that's really worth reading, writing it via Twitter virtually guarantees that it's lost to history. Twitter is an abomination for citation, search, and future reference. In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hierarchy of delivering content for current researchers and future generations, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hierarchy is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following, from lowest to highest:

  • "Transient," "bite-sized" social media, e.g., Twitter, Instagram, Facebook, etc. posts
  • Blog posts
  • Whitepapers
  • Academic papers in "electronic" journals
  • Electronic (e.g., Kindle) only formatted books
  • Print books (that may be stand-alone works, or which may contain journal articles)

Print book are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 apex communication medium because we have such references going back hundreds of years. Hundreds of years from now, I doubt cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first five formats above will be easily accessible, or accessible at all. However, in a library or personal collection somewhere, printed books will endure.

The bottom line is that if you think what you're writing is important enough to start a "1/n" Tweet thread, you've already demonstrated that Twitter is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wrong medium.

The natural follow-on might be: what is Twitter good for? Here are my suggestions:

  • Announcing a link to anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, in-depth news resource, like a news article, blog post, whitepaper, etc.
  • Offering a comment on an in-depth news resource, or replying to anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r person's announcement.
  • Asking a poll question.
  • Asking for help on a topic.
  • Engaging in a short exchange with anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r user. Long exchanges on hot topics typically devolve into a confusing mess of messages and replies, that delivery of which Twitter has never really managed to figure out.

I understand cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 seduction of Twitter. I use it every day. However, when it really matters, blogging is preferable, followed by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r media I listed in point 3 above.

Update 0930 ET 27 Mar 2020: I forgot to mention that in extenuating circumstances, like live-Tweeting an emergency, Twitter threads on significant matters are fine because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 urgency of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 situation and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 convenience or plain logistical limitations of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 situation make Twitter indispensable. I'm less thrilled by live-Tweeting in conferences, although I'm guilty of it in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 past. I'd prefer a thoughtful wrap-up post following cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event, which I did a lot before Twitter became popular.

Thursday, March 12, 2020

COVID-19 Phishing Tests: WRONG

Malware Jake Tweeted a poll last night which asked cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following:

"I have an interesting ethical quandary. Is it ethically okay to use COVID-19 cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365med phishing emails for assessments and user awareness training right now? Please read cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 thread before responding and RT for visibility. 1/"

Ultimately he decided:

"My gut feeling is to not use COVID-19 cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365med emails in assessments/training, but to TELL users to expect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m, though I understand even that might discourage consumption of legitimate information, endangering public health. 6/"

I responded by saying this was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 right answer.

Thankfully cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re were many people who agreed, despite cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that voting itself was skewed towards cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "yes" answer.

There were an uncomfortable number of responses to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Tweet that said cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's nothing wrong with red teams phishing users with COVID-19 emails. For example:

"Do criminals abide by ethics? Nope. Neicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r should testing."

"Yes. If it's in scope for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 badguys [sic], it's in scope for you."

"Attackers will use it. So I think it is fair game."

Those are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wrong answers. As a few ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs outlined well in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir responses, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that a criminal or intruder employs a tactic does not mean that it's appropriate for an offensive security team to use it too.

I could imagine several COVID-19 phishing lures that could target school districts and probably cause high double-digit click-through rates. What's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 point of that? For a "community" that supposedly considers fear, uncertainty, and doubt (FUD) to be anacá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ma, why introduce FUD via a phishing test?

I've grown increasingly concerned over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 past few years that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's a "cult of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 offensive" that justifies its activities with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rationale that "intruders do it, so we should too." This is directly observable in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 replies to Jake's Tweet. It's a thin veneer that covers bad behavior, outweighing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 small benefit accrued to high-end, 1% security shops against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 massive costs suffered by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vast majority of networked global organizations.

The is a selfish, insular mindset that is reinforced by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 echo chamber of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 so-called "infosec community." This "tribe" is detached from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 concerns and ethics of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 larger society. It tells itself that what it is doing is right, oblivious or unconcerned with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 costs imposed on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organizations cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are supposedly "protecting" with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir backwards actions.

We need people with feet in both worlds to tell this group that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir approach is not welcome in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 broader human community, because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 costs it imposes vastly outweigh cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 benefits.

I've written here about ethics before, usually in connection with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only real value I saw in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 CISSP -- its code of ethics. Reviewing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "code," as it appears now, shows cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following:

"There are only four mandatory canons in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Code. By necessity, such high-level guidance is not intended to be a substitute for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ethical judgment of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 professional.

Code of Ethics Preamble:

The safety and welfare of society and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 common good, duty to our principals, and to each ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, requires that we adhere, and be seen to adhere, to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 highest ethical standards of behavior.
Therefore, strict adherence to this Code is a condition of certification.

Code of Ethics Canons:

Protect society, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 common good, necessary public trust and confidence, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infrastructure.
Act honorably, honestly, justly, responsibly, and legally.
Provide diligent and competent service to principals.
Advance and protect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 profession."

This is almost worthless. The only actionable item in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "code" is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 word "legally," implying that if a CISSP holder was convicted of a crime, he or she could lose cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir certification. Everything else is subject to interpretation.

Contrast that with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 USAFA Code of Conduct:

"We will not lie, steal, or cheat, nor tolerate among us anyone who does."

While it still requires an Honor Board to determine if a cadet has lied, stolen, cheated, or tolerated, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's much less gray in this statement of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Academy's ethics. Is it perfect? No. Is it more actionable than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 CISSP's version? Absolutely.

I don't have "solutions" to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ethical bankruptcy manifesting in some people practicing what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y consider to be "information security." However, this post is a step towards creating red lines that those who are not already hardened in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir ways can observe and integrate.

Perhaps at some point we will have an actionable code of ethics that helps newcomers to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 field understand how to properly act for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 benefit of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 human community.