מאת: אור יעקב, ארכיטקט פתרונות אבטחת מידע EMEA ב- F5

התקפת ה- DDoS האחרונה על חברת ההוסטינג OVH ו- DYN DNS, אשר נעשה בה שימוש בהתקני IoT שנפרצו, מספקת דוגמה נוספת לאיומים המחריפים עימם ארגונים מתמודדים. ההאקרים במקרה זה יצרו בוטנט (BotNet) שעשה שימוש בעשרות אלפי התקנים המחוברים לרשת על מנת להוציא לפועל התקפת DDoSבהיקף תעבורה שללמעלה מטרה-ביט. זוהי אחת ההתקפות הגדולות מסוגן שנצפו עד כה.

טווח איומי האבטחה גדל, הן בהיקף והן ברמת התחכום, והסיכוי של עסקים להיות מותקפים גדול מבעבר. להלן חמש מגמות שיש להיות מודעים אליהן בשנה הקרובה על מנת לשלבן כראוי בתהליכי החשיבה בעת בניית הגנות העתיד:

1. הטיפול בתעבורה מוצפנת

הזינוק המבורך בנפח המידע המוצפן נמצא בעליה דרמתית. תוך מספר שנים רובה המוחלט של התעבורה ברשת תוצפן. פרוטוקולים של הצפנה משתנים ומתחזקים וכך גם ההמלצות לארגונים. בין היתר, אנו רואים מגמת התקדמות באמוץ הצפנות מתקדמות המבוססות על ECC - Elliptic Curve Cryptography ומעבר ל TLS 1.2 ולאחר מכן ל TLS 1.3 שעדיין נמצא בטיוטה, אך כבר כעת משולב בתכנונים העתידיים. כל אותן מגמות נועדו למנוע מצב של חשיפת נתונים ע"י ניצול של חולשות בהצפנות ישנות ומצב שיש "מאזין" לא מורשה בתווך (Man in the Middle).

עם אמוץ המגמות הלכה למעשה, ציודי אבטחה רבים שעליהם מתבסס הארגון הופכים ללא שמישים בעצמם, שכן אותם ציודים התבססו בעצמם על חלק מהחולשות. על מנת לאפשר להם להתבונן לעומק התוכן הלא מוצפן ולקחת החלטות ולגלות אירועי סייבר, ארגונים כיום יידרשו לאמץ טכנולוגיות שיאפשרו להם פתיחת ההצפנות וניתוב התעבורה לבדיקה לא מוצפנת בקצבים גבוהים, על מנת לוודא שהמידע לא מכיל סיכון ונוזקות לארגון, ובו בעת לעמוד בתקנים החדשים.

2. רגולציית GDPR של האיחוד האירופי

החוק האירופאי החדש להגנה על מידע פרטי, GDPR (EU General Data Protection Regulation), לא ייכנס לתוקפו עד מאי 2018, אבל לרוב הארגונים יידרשו חודשים רבים להתכונן אליו. זוהי סוגיה שצריכה להיות בסדר היום של ארגונים ישראליים שמציעים שירותים לאזרחים תושבי האיחוד האירופי.

החוק החדש מחייב ארגונים אלו לעמוד ברגולציה חוצת ארגון, הן בתכנון תהליכים והן בהטמעת ציוד, והכל לטובת שמירת המידע הפרטי של לקוחות והסדרת הטיפול בו. ארגונים אשר לא יעמדו ברגולציה ויוכח כי לקו ברשלנות בהגנת המידע של לקוחותיהם, יהיו חשופים לקנסות כבדים, שעלולים להגיע עד ל-4% מהמחזור השנתי שלהם. רשלנות כוללת בין היתר חשיפת מידע, ניצולו לרעה על ידי גורם שלישי או לדוגמה התעלמות מ"היכולת להישכח" – הכוללת אי מחיקת המידע הקיים וההיסטורי לבקשת הלקוח.

ארגונים באירופה בימים אלו כבר לומדים את הרגולציה החדשה ומטמיעים תהליכים ומערכות אשר יסייעו להם לעמוד בה. הרגולציה תהיה תקפה לכל ארגון אשר מחזיק, מנהל או מעבד מידע של לקוחות אירופיים. קיימים רבים מאלו בישראל, בהם חברות מענף ההייטק ובענף הפיננסי. בעבר ארגוני ענק דוגמת גוגל נדרשו לשלם כנסות עתק על הפרות של מידע פרטי וזאת גם בהתבסס על החוק הישן. הרגולציה החדשה מחמירה למעשה את הקודים הישנים שהונהגו והאכיפה שלהם.

3. אבטחת אפקלציות ותשתית בענן

ארגונים מרגישים נוח יותר ויותר עם העברת התשתית שלהם לענן, בין אם באופן חלקי או באופן מלא (חברות או תשתיות ש"נולדו בענן"(. הענן הפך זה מכבר לגורם צמיחה גבוה ויחד עם זאת, דאגות אבטחה רבות נשארו תלויות באוויר. האם חברות יודעות כיצד לפעול באופן מאובטח בענן, או יודעות מי בכלל מחזיק במפתח למידע שלהם, בהתחשב בכך שהוא כבר לא שוכן בתשתית המקומית?

שרותי אבטחת המידע המובנים בענן מאפשרים לארגונים לצרוך את אותן הגנות ופתרונות אבטחת מידע הנצרכים באופן מקומי, אך במודל עסקי נוח יותר, על פי שימוש ונפח צריכה. מודלים של As a Service or Cloud Service מקלים על ארגונים ליישם, ולפעמים גם לבדוק טכנולוגיות, גם אם לזמן מוגבל, בלא צורך להתחייב לטווח ארוך, מגמה אשר תמשך ותתרחב.

יצרני אבטחת המידע מתאימים את הפתרונות שלהם, הן למודל הצריכה החדש והן להתממשקות לכלי הענן על מנת לספק יכולות הטמעה אוטומטיות, התרחבות בזמן אמת וניהול וניטור קל של כלל הפתרונות. הנגשת הפתרונות הטובים במשק לצד מודל עסקי וטכני נח ישפרו את אבטחת המידע של הארגון שכן קליטתם וצריכתם הופכת נוחה יותר ומהירה יותר. דוגמא מובהקת לשימוש שכזה היא ניהול הגישה, המשתמשים, הזהות וההזדהות כחלק משרות, כאשר כל תהליך הרישום, המחיקה, ההזדהות והגישה נמצא בענן עם התממשקות למערכות יותר ישנות בארגון אם יש בכך צורך.

4. התקפות DDoS-IoT

התקני IoT נמצאים בעליה, אבל לא כך אמצעי האבטחה שאמורים להגן עליהם. נקודות חולשה בהתקנים המציפים את השוק, הופכים אותם למטרות קלות לפריצה. התקנים אלו זמינים מספר שנים ברשת, ולמרות שהחדישים שבהם מביאים בשורה טכנולוגית, כל התקן שהוא המחובר לרשת, הוא בעל סיכויי פריצה גבוהים, בין אם מדובר ב- Router DSL או במערכת לניהול מרחוק של אזעקות ומצלמות מעקב, ועד התקנים חכמים יותר.

המתקפה על OVH ספקה קרקע טובה להאקרים על מנת לנצל חולשות אלו ולגייס התקנים להתקפות נרחבות. ואכן, המגמה נמשכה: בנובמבר 2016 בהתקפה שחוותה ספקית הסלולר והאינטרנט מהגדולות בעולם Deutsche Telekom , נפרצו ראוטרים ביתיים שספקה החברה ללקוחותיה וגרמו לנפילת הרשת לאחר שהללו גויסו לרשת BOT. גם ספקיות הסלולר והאינטרנט צריכות להתייחס לסיכון שמביאים עמם התקני IoT בבתי הלקוח, אשר מספקים קרקע לאותם התקפות. למרות שהם מוצגים כפני העתיד, הם למעשה מספקים נתיב נוסף למתקפות סייבר. על עסקים וספקי תקשורת לוודא שיש להם אסטרטגיה להתמודדות עם התקפות DDoS ותכנית ברורה במידה שיותקפו.

5. אבטחת יישומים בדגש על API

עליית טכנולוגיות כגון אפליקציות מובייל, צריכת נתונים בין ארגונים כשרות ו- IoT הזניקו את השימוש ב- API כדרך נוחה להתחבר, לצרוך ולשתף מידע ברשת. השימוש ב- APIברשת נמצא בזינוק, ונראה כי הוא נמצא בכל מקום. גם תהליכים פנים ארגוניים עוברים לשימוש ב- API וצוותים רבים כגוןDevOps, SecOpsו- NetOps עושים בו שימוש לאוטומציה של תשתית, רשת ואבטחת מידע.

בדומה לזינוק שנעשה בתעבורת ה- HTTP כתחליף לאפלקציות Client Serverישנות, השינוי טומן בחובו אתגרי אבטחה דוגמת האתגרים שחווינו בעולם האינטרנט בעבר. חולשות ה- API הן רבות, החל משלב טיפול בנגישות ל- API כגון הזדהות, חיבוריות מאובטחת וכלה בפריצה וחשיפת מידע רגיש דרך API. ארגונים אשר עשו בעבר מאמץ רב להגן על אפלקציות נדרשים כיום לספק את אותה רמת אבטחה. אבטחתAPIמתחילה משכבת הרשת בהגנה על API מפני מתקפות DDoS ועד הרמה האפליקטיבית בה יש לשים דגש לפורמט חוקי של ה- API והתוכן הדיגיטלי ועד להזדהות מאובטחת הדדית, הן של הספק והן של הצרכן.

על ארגונים להכיר במגמות המשתנות, ולהשתדל לשלבן בתוכניות העסקיות שלהם. אימוץ המגמות הרלוונטיות לאותן ארגונים ישפר את יעילותן בתפעול והשקת שירותים חדשים במהירות ובנפח גבוה ולמעשה ייתרמו לעמידה ביעדי הצמיחה של הארגון ובו בעת יסייעו לטפל בסיכונים העתידיים. אפשר לשפר את הסיכויים של 2017 להיות שנה מוצלחת מבחינת אבטחת מידע.