הצורך: התמודדות עם CYBER TERROR. השיטה: שילוב CYBER INTELLIGENCE ולזה ייקרא CYBER DEFENCE

שלום לכל קוראי הבלוג.
זמן רב עבר מאז כתבתי לאחרונה.
בסופ"ש שעבר כתבתי גרסה ראשונה של המאמר, בסופ"ש זה הכנתי גרסה שניה המתייחסת גם בקיצור נמרץ ליתרונות ולחסרונות של השיטה.

במאמר קצר אקח את הקוראים למסע בזק בנבכי המחשבה המודיעינית ויישומה בעבר ובהווה.
מהמשנה השניה של סון טסו:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.

אז בואו נשנה אותה קצת:
איזהו מצביא משכיל בהתקפה, שיריבו איננו יודע מה הוא (התוקף) יתקוף.
פרשנות: מיהו יריבו של התוקף? המגן. כלומר אם המגן איננו מכיר את תוכניות המתקפה, ועל כן הוא ייאלץ להגן על הכל מכל... זה כמובן בלתי אפשרי ועל כן המגן עתיד להיכשל.

איזהו מצביא משכיל בהגנה, שיודע מה יריבו (התוקף) רוצה לתקוף.
פרשנות: יריבו של המגן הוא התוקף. על כן, מגן אשר יודע מהן תוכניותיו של התוקף יוכל להיעזר בכך לשיפור נקודות תורפה בהגנתו ואולי אף לסכל את תוכניות התקיפה עצמן. היכן מסתתרות להן תוכניות התקיפה של התוקף? אם המגן ידע לחשוף את המידע הזה מבלי שהתוקף יהיה מודע שסודות תקיפתו התגלו... זוהי פעילות מודיעין חשאית.

קצת היסטוריה:
בספרו "סודות יום הפלישה" מתאר Gilles Perrault אירוע המתרחש כשלושה שבועות לאחר פלישת בעלות הברית לנורמנדיה.
מוצב גרמני רב עוצמה בקרבת שרבורג שהצליח להדוף את כל המתקפות של בעלות הברית נכנע. לא בגלל שחיילי בעלות הברית הצליחו לפרוץ את ההגנה, ולא בגלל העדיפות בכוח אדם וכוח אש של בעלות הברית. מפקד הדיוויזיה הרביעית האמריקנית מיור גנרל בארטון מגיע בלווית כמה מאנשי מטהו למוצב הגרמני ומציג למפקדו הגרמני מיור קיפרס מפה. המפה כללה את פריסת כוחות בעלות הברית העדיפים אך גם את כל פרטי פרטיו של המוצב הגרמני. הקצין האמריקני היה משוכנע שכאשר יציג לגרמני את מפת ההיערכות של בעלות הברית ישוכנע הגרמני שאין לו סיכוי וייכנע. אך מסתבר שכניעתו של המפקד הגרמני נבעה מסיבה אחרת לחלוטין. במפה הוצג גם כל מערך ההגנה הגרמני, כולל שמות המפקדים וכינוייהם העובדה שהוא הוצג "עירום ועריה" היא זו שהכריעה את הכף. דוגמה מדהימה לעוצמתו של מודיעין מדויק.

נעבור לעידן המודרני של הגנת מערכות מיחשוב מפני מתקפות. שנת 2009 הינה שנת מפנה. מתבצעת מתקפת לוחמת מידע על דרום קוריאה, המאשימה מיד את צפון קוריאה. לאחר מספר ימים מתפרסם ניתוח של התקיפה ע"י צוות מומחי אבטחת מידע מחברת BKIS מהאנוי, וייטנאם. הם מאתרים את שמונת שרתי השו"ב השולטים ב-Botnet שבאמצעותו בוצעה התקיפה, (השרת הראשי בבריטניה), ומאתרים את העובדה שחלק מהמחשבים ששימשו לתקיפה קיבלו פקודות "השמדה עצמית" של הדיסק על מנת שלא ניתן יהיה לאתר אותם לאחר מעשה.
שאלת המפתח הינה:

האם ניתן היה לאתר את המידע שמצאה חברת BKIS עוד טרם הוצאתה של המתקפה לפועל? אם כן, מה המשמעות האופרטיבית?

המענה:
1. הכנת מתקפה מחייבת את התוקף לאסוף מודיעין ובעידן המודרני לעתים להכין את ה"צבא". ה"צבא" הינם מחשבים שהם כשלעצמם אינם יעד המתקפה אלא משמשים כ"חיילים" (Botnet). בהם שותלים תוכנה זדונית אשר עפ"י פקודה ממערכת השו"ב של התוקפים תפעיל את המתקפה כנגד יעד או יעדי המתקפה האמתיים.

2. המידע כולל (בין היתר) מידע על יעדי המתקפה (כתובות, ועוד). כל המידע הזה נשלט ע"י מערכת מחשב לשליטה ובקרה הנמצאת בידי התוקף.

3. מהי דרך הפעולה של המגן לאור האמור לעיל:

א. לאתר את מחשבי השליטה הבקרה מבעוד מועד, ולמצות מהם את המודיעין וכל מידע רלוונטי אחר על מנת להבין מה מכין התוקף.

מדובר בשלב נוסף בהגירה של תפישות עולם ביטחוניות-צבאיות לעולם האזרחי. כך היה עם הצפנות וכך עתה עם מודיעין.
ב. מי עושה פעילויות מסוג זה בעולם הצבאי? יחידות כמו סיירת מטכ"ל ואחרות. בעולם "הביטחוני-האזרחי" במדינת ישראל זה המוסד ואולי גורמים עלומים נוספים.

4. במה מדובר?

מדובר בשילוב של מספר גורמים:

א. הכרה וניסיון רב של עבודת מודיעין כולל היכולת להפריד בין מידע אמיתי ובין מידע מטעה (דיס אינפורמציה), זאת מכיוון שיש לקחת בחשבון שמדובר בתוקפים מתוחכמים הלוקחים בחשבון את העובדה שינסו למצות מהם מידע.

ב. רמת הכרה טכנית גבוהה של פעילויות מיחשוב, תקשורת, קוד זדוני ומחקר שוטף בנושאים אלה ואחרים.

ג. קישור למידע המצוי בידי חברות אבטחת מידע, פורומים של חברות ויועצי אבטחת מידע ופורומים של האקרים למיניהם.

ד. יכולת לנתח את הנתונים שהתקבלו ולהסיק מה מתוך כל הנדרש להגן מהווה יעד למתקפה ועל כן כיצד לשפר את מערך ההגנה כך שיהיה ערוך טוב יותר למול מתקפה ממוקדת ומתוכננת.

5. יתרונות השיטה:

א. איננה מפריעה לביצועה של תוכנית הגנת המידע הארגונית הקיימת. הפעילות מבוצעת רק ב"עולם" ואיינה כוללת איסוף מידע במערכות המחשוב הארגוניות. המשמעות היא שלא מבוצעת כל התקנה של חומרה או תוכנה לא בשרתי ולא בתחנות הקצה הארגוניות, הארגון "לא מעורב".

ב. מאפשרת לקבל מידע מקדים על תכנון מתקפה כולל איתור יעדים מיחשוביים קונקרטיים בארגון. בהיבט זה השיטה מאפשרת קבלת נתונים על, וייתכן גם איתור של חולשות אפשריות בתוכנית הגנה המידע הארגונית אשר לא היו ידועות כלל או שלמרות שהיו ידועות לא ניתנה עליהן הדעת במידה מספקת.

6. חסרונות השיטה:

א. איננה מבטלת משאבים נדרשים לתוכנית הגנת המידע הקיימת ועל כן מהווה גורם צורך משאבים נוסף על הקיים.

ב. איננה מבטיחה שבכלל יינתן מודיעין לארגון. לכך ייתכנו מספר סיבות:

1. הארגון לא היה מעולם יעד למתקפה ועל כן אין מידע הניתן למיצוי לגביו.

2. הסוואת יעדי התקיפה הארגוניים הצליחה להערים על כלי איסוף המידע. מדובר במלחמת מוחות מודיעינית-טכנולוגית, שיש בה לעתים גם כשלונות בצד ההצלחות.

ג. איננה מבטיחה שבהינתן מודיעין הוא בהכרח עדכני. איסוף מידע תקיפה ב"עולם" עלול להפיק מידע מיושן שהושאר בכוונה כדי להטעות או שפשוט הושאר שם בעבר, בדיוק כשם שתהליך מיפוי ארגוני הנעשה ע"י הארגון עצמו עלול באם לא יעודכן מעת לעת להציג את טופולוגית המחשוב הקודמת ולא העדכנית.

לסיכום:

זוהי התוספת העדכנית והאחרונה (לעת עתה) הנדרשת לעולם הגנת המידע הקלאסי. זוהי התוספת הנדרשת להתמודד עם מתקפות מתוכננות, ממוקדות ומסוכנות אלו שניתן לכנותן CYBER TERROR אשר מחולליהן הינם ארגוני פשע וטרור וארגונים עוינים מסוגים שונים.

אנו מצויים בתחילתו של שלב נוסף במאבק להגן על מערכות המחשוב ועל החיים בחברה אשר מערכות המחשוב הינן התשתית המניעה אותם. יידרש זמן על מנת לשכלל את השיטה, למקסם את יתרונותיה ולצמצם את חסרונותיה.

התנאים שבהם מנהל אבטחת המידע לא יובס - מאמר שני

משנה שניה:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.
וזוהי כל תורת המלחמה על רגל אחת...

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

במשנה הראשונה למדנו:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס.

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

אמרנו שהמקבילה לעולם אבטחת המידע הנה אחת לאחת:
הכר את האויב: ניתוח מלא של איומים וסיכונים למידע ולמערכות המידע.
הכר את עצמך: הכר את הארגון, מערכות המידע ותהליכי העבודה שבהם הארגון עושה שימוש במערכות המידע

וכעת הוספנו את המשנה השניה.
מהי המשמעות של המשנה השנייה בשדה הקרב של עולם המחשוב ההגנתי וההתקפי?
מנהל אבטחת המידע הבא להכין תוכנית הגנה להתמודדות עם האיומים והסיכונים, יצא מתוך נקודת מוצא של מי שמתכנן לתקוף אותו. מנהל אבטחת המידע צריך למעשה לספק מענה לשאלה הבאה:
כיצד אני בונה את מערך ההגנה שלי כך שהתוקף לא יוכל לקבל מענה מספק לשאלה שהוא מציב לעצמו:

כיצד הכי כדאי לי (לתוקף) לבצע את התקיפה.
אופן בניית מערך ההגנה יספק מענה לכוונתו של התוקף, ולא למחשבתו של המגן. כוונת התוקף איננה לתקוף סתם.
מטרת התוקף הנה לתקוף ולהצליח בתקיפתו. על מנת להכשיל את התוקף, על מנהל אבטחת המידע להכיר את דרכי התקיפה האפשריות העומדות לרשות התוקף ולגרום לכך שהתוקף לא יוכל לספק מענה לעצמו האם קיים סיכוי סביר שתקיפתו תצליח, באף לא אחד מדרכי התקיפה.
זו איננה הגישה הרווחת היום שבה מנהל אבטחת המידע מנסה באמצעות בניית תוכנית האבטחה שלו לספק מענה לשאלה הבאה: כיצד אני מנקודת המבט שלי כמגן, מתכנן מערך הגנה מיטבי. גישה זו רווחת (בין היתר) עקב הדרישה לספק מענה למגוון רגולציות אשר בהן חלקים נרחבים מהמענה האבטחתי כבר נקבעים מראש, בלא שניתן בהן המשקל המתאים לתוצאותיו של ניתוח איומים וסיכונים פרטני.
ההבדל המהותי נעוץ בבחירת נקודת המבט של התוקף כבסיס לתכנון ההגנה שלי ולא נקודת המבט של המגן כבסיס.
באופן דומה יש להתייחס למצב ההפוך. כיצד תוקף אמור לתכנן את תקיפתו.
סון טסו אומר: תכנן את תקיפתך באופן שבו המגן לא ידע על מה כדאי לו להגן יותר.

ואם נשלב את שתי המשנות לכדי משנה מאוחדת נקבל את התובנה הבאה:

מנהל אבטחת המידע יפעל באופן הבא על מנת שלא יובס ע"י האויבים (מבית ומבחוץ):
1. יבצע ניתוח איומים וסיכונים מלא המאפשר לו להכיר מול מה הוא עומד.
2. ילמד היטב את ארגונו הוא, בהבטים הלא טכנולוגיים ובהבטי טכנולוגיית המידע.
3. יכין תוכנית להתמודדות עם האיומים והסיכונים כאשר במרכזה מתן מענה לשאלה: כיצד התוכנית מספקת מענה לאותם איומים וסיכונים, כך שמי שמנסה לממשם יתקשה לספק לעצמו מענה לשאלה באיזה מהלך התקפתי לבחור על מנת שיהיה בעל סיכוי סביר להצליח.

חג חנוכה שמח לכל קוראי הבלוג.

יאיר

מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

חזרתי לאחר מספר חודשי "יובש".
מתחיל בסדרת מאמרים קצרים המתייחסים להקבלה שבין אמנות המלחמה כפי שזו באה לידי ביטוי בדברי החכם הסיני, סון טסו ואבטחת מידע מודרנית במאה ה-21.

פרק ראשון: מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

המאמר כתוב בלשון זכר לנוחות בלבד, והכוונה למנהל אבטחת מידע ולמנהלת אבטחת המידע כאחד.

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

משנה ראשונה:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

לא במקרה דברים אלו של סון טסו נלקחו על ידי כמי שעוסק למעלה משני עשורים בייעוץ אבטחת מידע ועל ידי יועצים אחרים העוסקים בתחום זה כמוטו מרכזי לפעילות מנהל אבטחת המידע.
סון טסו דיבר על מצביא, המנהיג את צבא קיסר סין. היום אנו מדברים על מנהל אבטחת המידע, המנהיג את פעילות אבטחת המידע בארגון.
מהו ה"הכר את האויב" של אבטחת המידע? בלשוננו המקצועית זהו תהליך ניתוח איומים וסיכונים המופנים כנגד המידע וטכנולוגיית המידע שבה נעשה שימוש בארגון. אלו כוללים הבטים תהליכיים, אנושיים וטכנולוגיים, פנימיים וחיצוניים.
מהו ה"הכר את עצמך" של אבטחת המידע? הכר את הארגון שאתה משמש בו כמנהל אבטחת המידע. הכר סביבת פעילותו ופעילותו, המבנה הארגוני, תהליכי העבודה בארגון, מיפוי מלא ושלם של טכנולוגיית המידע וזרימת המידע בארגון, תהליכי רכש של רכיבי טכנולוגייה חדשים המשפיעים או עשויים להשפיע על אבטחת המידע, רכיבי אבטחת המידע הקיימים, חוזקותיהם וחולשותיהם וכד'.
מנהל אבטחת המידע אשר מבצע את שני התהליכים הללו באופן מובנה ותקופתי ומקבל החלטות מושכלות על פיהן (במשנה השניה נבין מהן אותן החלטות מושכלות) , גם אם יילחם ב-100 קרבות, דהיינו הארגון יותקף פעמים רבות, מגורמי פנים וגורמי חוץ, בהבטים טכנולוגיים או אנושיים, סביר להניח עפ"י דברי סון טסו שלא יובס.
לא במקרה משתמש סון טסו במונח: "לא יובס" ולא "ינצח".
ניצחון אצל סון טסו הנו המצב שבו העליונות משיגה את תוצאתה ללא מלחמה בפועל.
לא יובס במשמעותנו, יאמר שהארגון ימשיך לתפקד, המידע וטכנולוגיית המידע לא ישובשו במידה כזו שהארגון יפסיק לתפקד, אם כי ייתכן והתוקפים יזכו מעת לעת בהצלחה מוגבלת, במימדי זמן ומרחב.
אם לא יבצע אחת מהמטלות כראוי או שלא יבצעה בכלל, סיכוייו כדברי סון טסו הנם חציחצי.
במידה ואיננו מכיר את אויביו ואיננו מכיר את עצמו, יובס תמיד.
הפרק השני יעסוק במשנה השניה: איזהוא המצביא המשכיל בהגנה ואיזהוא המצביא המשכיל בהתקפה. נבחן את המשמעות לאבטחת מידע הנגזרת מכך. בסופו נאחד את שתי המשנות לכדי משנה סדורה אחת.