מודיעין ככלי הכרחי לתיקוף יעדים ומשימות לתוכנית הגנה בסייבר,
בניית תוכנית עבודה בסייבר היא משימה לא פשוטה. לצד האתגר, קיימים לא מעט שיקולים כדוגמת שיקולים תקציביים, פוליטיים ועוד המכתיבים אילוצים, שינויים ולעיתים צורך בפשרה. ההבנה כי לא ניתן לתת כיסוי של 100% אבטחה לארגון מחייבת את העוסקים במלאכה לבניית תוכנית ריאלית ונתמכת המכוונת להגנה על היעדים והנכסים הקריטיים, אל מול האיומים, טכנולוגיות תקיפה ויכולות מתוקפות.
נוסף על כך, היכולת להחזיר את ההשקעה בעולם האבטחה, לא תמיד קיימת וכך גם יכולת ההוכחה (גם בדיעבד) כי החומות שנבנו באמת סייעו למניעת הסיכון. ייתכן כי היו ניסיונות תקיפה, בהם החליט התוקף החליט לוותר ולעבור ליעד אחר נוכח טכנולוגיות וסידורי אבטחה מורכבים. הצורך והיכולת לתקף את השלבים וההמלצות המתגבשות לתוכנית עבודה היא אבן יסוד בבניית התוכנית הן ביכולת לשכנע את הגורמים הארגונים בהשקעות הרלוונטיות ויתרה מכך ביכולת ליצור הגנת סייבר נכונה וריאלית.
אף על פי כן, השאיפה היא לתת כיסוי אבטחתי רחב, יש לזכור כי המשאבים והיכולות מוגבלות ולא ניתן להגן באופן מלא על כל נכסי הארגון. אחד מהשלבים הקריטיים לבניית תוכנית העבודה הוא שלב מיפוי נכסים והנגזרת של ניהול הסיכונים, שמטרתו לכוון את הקצאת משאבי ההגנה, אבטחה ובחירת בקרות ההגנה. זאת ועוד, בסיכון מחושב תוך התמקדות במערכות, תשתיות או אפליקציות קריטיות מוגדרות.
יתרה מזאת, מדובר על תהליך מחזורי ושוטף, הנובע בין היתר משינויים טכנולוגיים בסביבת העבודה (של המגן) המשליכות על שיטות ותוכנות הגנה אל מול שיטות עבודה, כלים, יכולות, ידע של התוקף ושינויים תקופתיים.
מכאן משתמע שבמשבר הקורונה, האיומים במציאות של תקופת המשבר הם לא אותם האיומים שלפני המשבר, לפיכך משלבים את הצורך לשקלל סיכונים מחוץ לארגון גם בשל האילוץ של עבודה מהבית, וסביבה פחות מאובטחות משל הארגון. בחלק מהמקרים ההשקעה בהתמודדות עם הסיכון עשויה להיות גדולה מהנזק, ועל כן באופן כזה נאלץ לתעדף טיפול בסיכונים אחרים.
ואילו, כדי לתקף את האיומים ולהיערך לקראתם, נדרש ידע מגוון ועדכני שיאפשר למקד את הגורמים האחראים על בניית התוכנית לדרכי תקיפה אפשריות. ידע זה ניתן להפיק מהיסטוריית אירועים בארגון ומחוצה לו (בסקטור בו פועל הארגון) זאת ועוד, באמצעות ייבוא מודיעין המשלב תובנות מקצועיות לשיפור יכולת הגנת טכנולוגיות המידע - הסייבר.
כמו כן, תהליך זה משמעותי מאד, מחד גיסא הוא תורם לרמת החוסן ויכולת ההתמודדות ומאידך גיסא מאפשר לארגון יכולת להתארגן לשינויים בשיטות ודפוסי תקיפה. יצירת מנגנון לאיסוף מודיעין, ניתוח והפצת תובנות הכרחי בדיוק כמו בשאר זירות ההגנה.
ראוי להדגיש שתהליך המודיעין נכון גם בשלב בניית תוכנית העבודה אך הוא מרכיב משמעותי גם בתהליכי השגרה. על כן יש לתכנן מנגנון עקבי ותכוף לייבוא מודיעין הכולל גם מזהי תקיפה (Indicators of Compromise).
לא זו בלבד, גם לצד יבוא מודיעין קלאסי, דוחות ופרפרזות, ויבוא מודיעין מהרשת הגלויה והרשת העמוקה צריך גם לפתח דרכים יצירתיות ואקטיביות (אבטחה אקטיבית) כדי לזהות את כוונת התוקף ודפוסי עבודתו גם בשגרה. ומגוון מנגנונים ושיטות אקטיביות לאיסוף וייבוא מודיעין רלוונטי בארגון. הציד ברשת (Cyber Threat Hunting) זהו קונספט לאיתור שיטות תקיפה מתקדמות של היריב ברשת. מנגנון נוסף הוא מלכודת דבש (honeypot) המבוסס על בניית זירה מדומה ליריב במטרה להסית אותו מהיעדים האמיתיים, אפשרות ללמוד ולהכיר אותו ולהשליך את התובנות על הגנת הרשת האמיתית.
כך גם, חברת Trend Micro פירסמה בשנת 2020, תובנות מניסוי שערכו בסביבת מלכודת דבש. כחלק מבניית מלכודת וסביבה מדומה בנתה החברה קו יצור תעשייתי מדומה, הכולל מחשבים, ובוטים, מגוון בקרים ומערכות שליטה עם חיבור לאינטרנט. החוקרים שיערו כי התוקפים ישקיעו מאמצים באיסוף מודיעין ו-OSINT בשלבי האיסוף לפני ההתקפה. בנוסף לכך, ובהתאם נבנה אתר חברה פיקטיבי (ספקית פתרונות לתעשיות ביטחוניות), שמות ותמונות מזויפות של בעלי תפקידים, דוא"ל, מספר וקו טלפון עם הפניה אוטומטית להשארת הודעה וכד'.
לאמור, זוהי דוגמה קלאסית לשיטה, לתיקוף, לשלילה של השערות או תפיסת ההגנה. בעוד שהחוקרים שיערו כי מאמצי התקיפה יהיו כנגד מערכות השליטה והבקרה ותקיפת הבקרים עצמם עלה כי מאמצי התוקף כיוונו לסריקת הרשת, מודיעין אקטיבי שמאפשר את למידת היריב, בסביבות מבוקרות (של המגן) ושינוי תפיסה, ניצול משאבי הרשת לכריית נתונים, (Cryptocurrency Mining) והתקפות כופר. התלות בין השלבים היא חשובה ביצירת תוכנית עבודה רציונלית. שלב מיפוי הסיכונים מוביל להצבעה על נכסים קריטיים, והצבעה על דפ"אות תקיפה ריאליות ואפשריות. בשילוב הממצאים ניתן לבחור את המערכות, התשתיות או היישומים הקריטים בהם נרצה להשקיע יותר בסידורי אבטחה ומשאבים ועליהם נבצע בדיקת חוסן וחדירות.
לסיכום, התהליך מאפשר רזולוציה ועומק לבדיקת היתכנות בנכס, כלים ושיטות ריאליות ומתוקפות. הגם שעלויות הבדיקה עלולת להיות גבוהות יותר מבדיקה במתווה White Box (בדיקה בה לתוקף יש את מלוא המידע על המערכת הנתקפת, הארכיטקטורה וסידורי האבטחה), מומלץ כי בדיקת החוסן תתבצע במתווה Black/ Grey Box באופן שידמה תוקף, אמיתי, ללא היכרות עם המערכות וסידורי האבטחה. את ממצאי התוכנית יש לגבש ליעדים בתוכנית עבודה שנתית. שיטה זו שכללה תהליך מיפוי סיכונים יעודי לארגון ותיקופם באמצעות היסטוריה, מודיעין, הוכחת יכולת ובדיקת חוסן בשטח, אפשרה להגדיר את הפערים לטיפול ותוכנית עבודה ריאלית ונתמכת.
הכותב: אור שלום – מומחה לאבטחה וסייבר ויועץ למשרדי ממשלה, תעשיות ביטחוניות והמשק. בעל תואר שני ובעל הסמכות אזרחיות וממלכתיות בעולמות אבטחת המידע והסייבר. עוסק בבניית תוכנית להפחתת סיכוני סייבר לחברות וארגונים, וכן, פיתוח עסקי לחברות בתחומי הסייבר. בציר האקדמי, מוביל תוכניות סייבר מקצועיות לגופים שונים במשק, הסקטור האזרחי הביטחוני התעשיות והאקדמיה.
https://i-hls.com/he/archives/101410
מודיעין ככלי הכרחי לתיקוף יעדים ומשימות לתוכנית הגנה בסייבר,
בניית תוכנית עבודה בסייבר היא משימה לא פשוטה. לצד האתגר, קיימים לא מעט שיקולים כדוגמת שיקולים תקציביים, פוליטיים ועוד המכתיבים אילוצים, שינויים ולעיתים צורך בפשרה. ההבנה כי לא ניתן לתת כיסוי של 100% אבטחה לארגון מחייבת את העוסקים במלאכה לבניית תוכנית ריאלית ונתמכת המכוונת להגנה על היעדים והנכסים הקריטיים, אל מול האיומים, טכנולוגיות תקיפה ויכולות מתוקפות.
נוסף על כך, היכולת להחזיר את ההשקעה בעולם האבטחה, לא תמיד קיימת וכך גם יכולת ההוכחה (גם בדיעבד) כי החומות שנבנו באמת סייעו למניעת הסיכון. ייתכן כי היו ניסיונות תקיפה, בהם החליט התוקף החליט לוותר ולעבור ליעד אחר נוכח טכנולוגיות וסידורי אבטחה מורכבים. הצורך והיכולת לתקף את השלבים וההמלצות המתגבשות לתוכנית עבודה היא אבן יסוד בבניית התוכנית הן ביכולת לשכנע את הגורמים הארגונים בהשקעות הרלוונטיות ויתרה מכך ביכולת ליצור הגנת סייבר נכונה וריאלית.
אף על פי כן, השאיפה היא לתת כיסוי אבטחתי רחב, יש לזכור כי המשאבים והיכולות מוגבלות ולא ניתן להגן באופן מלא על כל נכסי הארגון. אחד מהשלבים הקריטיים לבניית תוכנית העבודה הוא שלב מיפוי נכסים והנגזרת של ניהול הסיכונים, שמטרתו לכוון את הקצאת משאבי ההגנה, אבטחה ובחירת בקרות ההגנה. זאת ועוד, בסיכון מחושב תוך התמקדות במערכות, תשתיות או אפליקציות קריטיות מוגדרות.
יתרה מזאת, מדובר על תהליך מחזורי ושוטף, הנובע בין היתר משינויים טכנולוגיים בסביבת העבודה (של המגן) המשליכות על שיטות ותוכנות הגנה אל מול שיטות עבודה, כלים, יכולות, ידע של התוקף ושינויים תקופתיים.
מכאן משתמע שבמשבר הקורונה, האיומים במציאות של תקופת המשבר הם לא אותם האיומים שלפני המשבר, לפיכך משלבים את הצורך לשקלל סיכונים מחוץ לארגון גם בשל האילוץ של עבודה מהבית, וסביבה פחות מאובטחות משל הארגון. בחלק מהמקרים ההשקעה בהתמודדות עם הסיכון עשויה להיות גדולה מהנזק, ועל כן באופן כזה נאלץ לתעדף טיפול בסיכונים אחרים.
ואילו, כדי לתקף את האיומים ולהיערך לקראתם, נדרש ידע מגוון ועדכני שיאפשר למקד את הגורמים האחראים על בניית התוכנית לדרכי תקיפה אפשריות. ידע זה ניתן להפיק מהיסטוריית אירועים בארגון ומחוצה לו (בסקטור בו פועל הארגון) זאת ועוד, באמצעות ייבוא מודיעין המשלב תובנות מקצועיות לשיפור יכולת הגנת טכנולוגיות המידע - הסייבר.
כמו כן, תהליך זה משמעותי מאד, מחד גיסא הוא תורם לרמת החוסן ויכולת ההתמודדות ומאידך גיסא מאפשר לארגון יכולת להתארגן לשינויים בשיטות ודפוסי תקיפה. יצירת מנגנון לאיסוף מודיעין, ניתוח והפצת תובנות הכרחי בדיוק כמו בשאר זירות ההגנה.
ראוי להדגיש שתהליך המודיעין נכון גם בשלב בניית תוכנית העבודה אך הוא מרכיב משמעותי גם בתהליכי השגרה. על כן יש לתכנן מנגנון עקבי ותכוף לייבוא מודיעין הכולל גם מזהי תקיפה (Indicators of Compromise).
לא זו בלבד, גם לצד יבוא מודיעין קלאסי, דוחות ופרפרזות, ויבוא מודיעין מהרשת הגלויה והרשת העמוקה צריך גם לפתח דרכים יצירתיות ואקטיביות (אבטחה אקטיבית) כדי לזהות את כוונת התוקף ודפוסי עבודתו גם בשגרה. ומגוון מנגנונים ושיטות אקטיביות לאיסוף וייבוא מודיעין רלוונטי בארגון. הציד ברשת (Cyber Threat Hunting) זהו קונספט לאיתור שיטות תקיפה מתקדמות של היריב ברשת. מנגנון נוסף הוא מלכודת דבש (honeypot) המבוסס על בניית זירה מדומה ליריב במטרה להסית אותו מהיעדים האמיתיים, אפשרות ללמוד ולהכיר אותו ולהשליך את התובנות על הגנת הרשת האמיתית.
כך גם, חברת Trend Micro פירסמה בשנת 2020, תובנות מניסוי שערכו בסביבת מלכודת דבש. כחלק מבניית מלכודת וסביבה מדומה בנתה החברה קו יצור תעשייתי מדומה, הכולל מחשבים, ובוטים, מגוון בקרים ומערכות שליטה עם חיבור לאינטרנט. החוקרים שיערו כי התוקפים ישקיעו מאמצים באיסוף מודיעין ו-OSINT בשלבי האיסוף לפני ההתקפה. בנוסף לכך, ובהתאם נבנה אתר חברה פיקטיבי (ספקית פתרונות לתעשיות ביטחוניות), שמות ותמונות מזויפות של בעלי תפקידים, דוא"ל, מספר וקו טלפון עם הפניה אוטומטית להשארת הודעה וכד'.
לאמור, זוהי דוגמה קלאסית לשיטה, לתיקוף, לשלילה של השערות או תפיסת ההגנה. בעוד שהחוקרים שיערו כי מאמצי התקיפה יהיו כנגד מערכות השליטה והבקרה ותקיפת הבקרים עצמם עלה כי מאמצי התוקף כיוונו לסריקת הרשת, מודיעין אקטיבי שמאפשר את למידת היריב, בסביבות מבוקרות (של המגן) ושינוי תפיסה, ניצול משאבי הרשת לכריית נתונים, (Cryptocurrency Mining) והתקפות כופר. התלות בין השלבים היא חשובה ביצירת תוכנית עבודה רציונלית. שלב מיפוי הסיכונים מוביל להצבעה על נכסים קריטיים, והצבעה על דפ"אות תקיפה ריאליות ואפשריות. בשילוב הממצאים ניתן לבחור את המערכות, התשתיות או היישומים הקריטים בהם נרצה להשקיע יותר בסידורי אבטחה ומשאבים ועליהם נבצע בדיקת חוסן וחדירות.
לסיכום, התהליך מאפשר רזולוציה ועומק לבדיקת היתכנות בנכס, כלים ושיטות ריאליות ומתוקפות. הגם שעלויות הבדיקה עלולת להיות גבוהות יותר מבדיקה במתווה White Box (בדיקה בה לתוקף יש את מלוא המידע על המערכת הנתקפת, הארכיטקטורה וסידורי האבטחה), מומלץ כי בדיקת החוסן תתבצע במתווה Black/ Grey Box באופן שידמה תוקף, אמיתי, ללא היכרות עם המערכות וסידורי האבטחה. את ממצאי התוכנית יש לגבש ליעדים בתוכנית עבודה שנתית. שיטה זו שכללה תהליך מיפוי סיכונים יעודי לארגון ותיקופם באמצעות היסטוריה, מודיעין, הוכחת יכולת ובדיקת חוסן בשטח, אפשרה להגדיר את הפערים לטיפול ותוכנית עבודה ריאלית ונתמכת.
הכותב: אור שלום – מומחה לאבטחה וסייבר ויועץ למשרדי ממשלה, תעשיות ביטחוניות והמשק. בעל תואר שני ובעל הסמכות אזרחיות וממלכתיות בעולמות אבטחת המידע והסייבר. עוסק בבניית תוכנית להפחתת סיכוני סייבר לחברות וארגונים, וכן, פיתוח עסקי לחברות בתחומי הסייבר. בציר האקדמי, מוביל תוכניות סייבר מקצועיות לגופים שונים במשק, הסקטור האזרחי הביטחוני התעשיות והאקדמיה.
https://i-hls.com/he/archives/101410
Hebrew