הסדרה עצמית של אבטחת מידע בארה"ב על פרשת דרכים

לקראת סוף מרץ/תחילת אפריל 2009 עומדת במרכז הבמה הסוגיה של עוצמתה וחולשתה של ההסדרה העצמית בתחום אבטחת המידע.

סקטור החשמל:

7 באפריל 2009:Michael Assante המשמש כ-Vice President and Chief Security Officer של ארגון NERC - North American Electric Reliability Corporation הארגון שקבע את תקן האבטחה לכל הסקטור בצפון יבשת אמריקה מוציא מכתב המופנה לכל העוסקים בנושא בסקטור זה בו הוא מברך על ההתקדמות ובה בעת מזהיר כי משהו בסיסי חסר, חסר מאד.

קישור למכתב: http://www.nerc.com/fileUploads/File/News/CIP-002-Identification-Letter-040709.pdf

התקן הנו אסופת מסמכים: CIP-002-CIP-009. האותיות CIP הנם רשאי התיבות של: Critical Infrastructure Protection. התקן אושר ב-NERC במהלך קיץ 2006 ונקבעה תוכנית עבודה ליישום כל התקן עבור כל הישויות החייבות ביישומו עד ל-2010. הגורם הפדרלי FERC אשר עפ"י חוק החשמל בארה"ב הוא המאשר את התקן, הצביע על חולשות הקיימות בו אבל נאלץ לאשר אותו כמות שהוא. במו"מ שהתקיים, הסכימה NERC לשפר אותו כחלק מהעדכון ובתהליך של הסכמה כפי המקובל ב-NERC. במכתבו מצביע מיכאל אסנטה על בעיה בסיסית. המסמך הראשון בתקן CIP-002 עוסק באיתור הנכסים/נכסי המחשוב החיוניים עליהם צריך יהיה להפעיל את שאר התקן. באם לא יימצאו כאלו, אין לתקן משמעות.

קישור למסמך זה: http://www.nerc.com/files/CIP-002-1.pdf

סקר שערכה ה-NERC מצביע על כך שרק 31% מהישויות העצמאיות בסקטור שענו לסקר דיווחו שבבעלותם לפחות נכס אחד שהנו נכס חיוני, ורק 23% דיווחו שבבעלותם לפחות נכס מיחשוב חיוני אחד. מדובר בין היתר גם ביצרני ומוליכי חשמל. מספירם אלה נמוכים משמעותית מהמצופה

התקן השאיר חופש רב מדי לקבוע מהו נכס /נכס מחשוב חיוני, דבר שהוצבע עליו מלכתחילה ע"י המבקרים את התקן. כעת משהתוצאה הצפויה מראש הופכת למציאות, עולה כמובן השאלה: האם ה-NERC יוכל להתמודד לבדו או שהממשל הפדרלי יצטרך להתערב?

סקטור תשלומים באמצעות כרטיסי אשראי:

סקטור שני שבו מסתבר קיימת בעיה דומה הנו סקטור התשלומים באמצעות כרטיסי האשראי. תקן ה-PCI-DSS שעליו החליטו נציגי חמש חברות כרטיסי האשראי הגדולות ואותו הם מקדמים באמצעות פעילויות רחבות היקף מסוגים שונים (ראו קישור: http://www.pcisecuritystandards.org/), באמצעות גוף שהוקם למטרה זו:

Payment Card Industry (PCI) Security Standards Council - המועצה לתקני אבטחה של תעשיית התשלומים בכרטיסים (להלן בקיצור: המועצה), גם הוא מהווה למעשה תקן בהסדרה עצמית. למרות השיפור המאד משמעותי ברמת האבטחה של החברים בסקטור זה (סוחרים, חברות הסולקות כרטיסי אשראי), מסתבר שלאורך השנים מתגלות גם בו בעיות. פריצות שאירעו בשנים האחרונות לחברות הסולקות כרטיסי אשראי ואשר ממדי גניבת מספרי הכרטיסים בכל אחת נמדדים במליוני מספרי כרטיסים, הביאו את תת הוועדה לסיכונים מתהווים, אבטחת מידע ממוחשב, מדע וטכנולוגיה של הקונגרס לקיים דיון בנושא ב-31 לחודש מרץ.

כותרת הדיון: “?Do the Payment Card Industry Data Standards Reduce Cybercrime”

קישור לדיון: http://homelandsecurity.house.gov/hearings/index.asp?ID=185

בדיון זה עלו כבר קולות ראשונים הטוענים שכל עוד הסדרה עצמית הנה שם המשחק בסקטור זה, לא תהיה בו יותר אבטחה מהקיימת היום, וזו איננה מספקת מענה הולם לאיומים ולסיכונים שבו הוא מצוי.

נראה שגם ויזה וגם המועצה הפנימו כבר שמשהו חסר והחלו החל מחודש ינואר בסדרת פעולות על מנת לשפר את אבטחת המידע בארגונים החייבים בציות עפ"י תקן זה. מטרתה המרכזית של סדרת פעולות אלו הנה לטפל בכשל המהותי שהתגלה והוא ציות מתמשך של 24x7x365 להנחיות התקן. אין זה נכון לציית לדרישות רק במועד בצוע סקר האבטחה השנתי. שכן לפחות בשניים מהמקרים החברה שבה אירעה פריצה הייתה מוסמכת ועמדה בדרישות התקן בעת ביצועו של הסקר השנתי. אלא שככל הנראה במהלך הזמן שבין שתי ביקורות השתבש לו משהו.

ובמאמר מוסגר, אין זו בעיה פרטית לתקן זה בלבד. מדובר בכל מי שמממש אבטחה באמצעות שיטה שבה אחת לתקופה מבוצעת בדיקה לעמידתו בתקן. ומה קורה בין שתי בדיקות? שיטה טובה להתמודדות תהיה בחירת מספר סביר של מרכיבים שייבדקו בתדירות גבוהה (מספר פעמים ביום, פעם ביום, פעם בשבוע וכד'). אם הבחירה נעשתה בצורה מושכלת, אזי ניתן לקבל תמונת מצב על פני סרגל הזמן מה מצב האבטחה ולנתח מגמות, ועל פיהן להניח הנחות סבירות באשר למצב האבטחה בכללותו.

מה אם כן ניתן לומר בנקודת הזמן הזו על ההסדרה העצמית של אבטחת המידע?

נראה שהנושא הגיע לפרשת דרכים. בארה"ב הודאה בכישלון הסדרה עצמית והליכה לחקיקה פדראלית איננה פופולרית, שכן זו הודאה בכישלון "כוחות השוק" להסדיר את עצמם.

יחד עם זאת, במצבה הנוכחי, הסדרה עצמית איננה מספקת מענה מספק.

מהירות, יעילות ומקצועיות השינוי הנדרש לבצוע ע"י הגורמים הרלוונטיים:

NERC בסקטור החשמל, וה-Payment Card Industry (PCI) Security Standards Council וחברת ויזה הניצבת בראש חברות האשראי בנושא האבטחה בסקטור התשלומים באמצעות כרטיסים, ייקבעו את עתידה.

מבקש לאחל לכל קוראי הבלוג חג פסח שמח וגם מאובטח

בדיקה פשוטה האם המחשב נגוע בוירוס Conficker

אכן מבחן פשוט ביותר.
אם מופיעה התמונה העליונה בקישור, אזי המחשב איננו נגוע.
אם חסר משהו, בחלק מהמצבים קיים חשד שהמחשב נגוע, בחלק אחר של המצבים המוצגים קיימות בעיות תפעוליות מסוגים שונים, אך לא מדובר בווירוס. הכל מוסבר בפשטות מדהימה.
ככל הזכור לי ואני בעסקי אבטחת מידע מזה למעלה מ-25 שנה, זו הפעם הראשונה שמשתמש רגיל ללא כל ידע בנפלאות המחשב יכול לדעת באמצעות בדיקה שהוא עצמו יכול לבצע אם מחשבו נגוע או נקי.
לדעתי זו עשויה להיות תחילתה של מהפיכה בנושא זה. אם משתמשים רגילים יוכלו לבדוק את מצב המחשב שלהם באמצעות כלים פשוטים נוכל לשפר את מודעותם לצורך שמחשבם יהיה נקי מתוכנות זדוניות. עוד דרך ארוכה לפנינו, אבל הצעד הראשון נעשה ואני מברך עליו.

קישור לבדיקה:
http://www.heise.de/security/dienste/browsercheck/tests/conficker/conficker_e.shtml

הפרדת תפקידים וסמכויות - ככה מונעים הונאות ומעילות

ב-ynet פורסם הבוקר כי בכיר במנהל החינוך בעירייה, חשוד בהוצאת כספים במרמה. המנהל, אחראי בין היתר על עובדי קבלן חיצוני שקשור בחוזה עם העירייה. בכל סוף חודש הוא דיווח על מספר העובדים ששלח הקבלן ועל השעות שעבדו - ובהתאם לכך הוציאו בגזברות העירייה שיקים למשכורות.

אלא שבבדיקת המבקרת נמצא שלפחות שני עובדים היו רק "עובדים על הנייר", שהפסיקו עבודתם עבור העירייה מזה זמן. למרות זאת, המנהל המשיך לדווח עליהם, ואת השיקים שהוצאו עבור משכורתם כביכול - הפקיד בחשבונו.

עד כאן קטע מ-YNET הבוקר.

הפרדת תפקידים וסמכויות, בעיקר בכל הנוגע לתהליכים שבהם יש כסף (משכורות, רכש, "קופה קטנה" ועוד) הנה הבסיס למניעת מעילות והונאות. הרעיון הבסיסי הנו שאדם אחד איננו יכול לבצע בעצמו את כל הרצף של הפעילויות שתחילתן במשהו שיאפשר קבלת כסף וסיומו בקבלת הכסף עצמו. לדוגמה: אדם אחד איננו רשאי בעצמו להגדיר עובד, את התשלום עבורו ולאשר את התשלום.

התהליך הארגוני הנדרש הנו בן השלבים הבאים:

1. הגדרה ברורה של תפקידים באופן שמממש את הפרדת התפקידים והסמכויות. שלב זה איננו קשור כלל למערכות מידע. הוא חלק מתהליכים האמורים להתבצע באגף משאבי אנוש ובו מוגדרים התפקידים בארגון באופן שמממש (בין היתר) את חלוקת הסמכויות.

2. הגדרה אלו תפקידים אסורים בבצוע ע"י אותו אדם. זה שהתפקידים הוגדרו נכון, דהיינו, מומשה בהגדרתם תפישת הפרדת הסמכויות עלולה להיות מטורפדת בהמשך באם אדם אחד יקבל לידיו בצוע של שני תפקידים אשר בהיותם מבוצעים ע"י אדם אחד פוגעים באותה הפרדת סמכויות עצמה. גם פעילות זו איננה חלק מתהליך טכנולוגי, אלא אמורה להיות מוגדרת במסגרת פעולות האגף למשאבי אנוש.

3. רק בשלב השלישי מדובר על מימוש מה שנקבע בשני השלבים הראשונים במערכות טכנולוגיית המידע. וכאן קיימים שני תת שלבים:

א. הראשון, הענקה ראשונית של הרשאות, דהיינו, הצימוד הראשוני של העובד/ת לתפקיד/תפקידים אותם אמור/ה למלא.

ב. השני, מתמשך, בעת מתן הרשאות פרטניות מעת לעת במהלך העבודה בארגון. גם במצב זה יש לוודא כי כל הרשאה בדידה שניתנת לעובד/ת איננה פורצת את עיקרון הפרדת התפקידים והסמכויות.

מומחי אבטחה השיגו פריצת דרך במלחמתם בת חמשת החודשים כנגד ווירוס ה-Conficker

במרוץ נגד הזמן עד לתאריך ה-1 באפריל (וזו איננה בדיחה) הצליחו מומחי אבטחה ובראשם דן קמינסקי (אחד משלושה שהשיגו את אותה פריצת דרך) לגלות שהווירוס מותיר טביעת אצבע על מכונות נגועות שהנה קלה לזיהוי באמצעות מגוון סוקרי רשת זמינים.
משמעות הגילוי הנה, שבפעם הראשונה מאז גילויו, למנהלני מערכת בכל העולם ישנם כלי איתור זמינים וקלים להפעלה על מנת לזהות באופן חד משמעי מחשבים נגועיםבווירוס זה ברשתותיהם. החל מיום ב' (דהיינו, אתמול), חתימות יהיו זמינות לכל הפחות בחצי תריסר סוקרי רשת, כולל Nmap (קוד חופשי), McAfee's Foundstone Enterprise, ו-Nessus המיוצרת ע"י חברת Tenable.
שאר המידע ניתן למצוא בקישור.
זוהי הצלחה חשובה במלחמה, וזו בפירוש מלחמת מוחות, בין יוצר/יוצרי הקוד הזדוני הזה שעד לרגע זה לא ידוע מי הוא/מי הם, ובין מומחי אבטחה מרחבי העולם שהתאגדו יחדיו בנסיון למצוא דרכים להתמודד איתו.
עד היום נפלו קורבן לווירוס זה מחשבי משרד הביטחון בבריטניה, מחשבי משרד הבריאות בניו-זילנד, מחשבי בתי חולים באנגליה ובמדינת קורינתיה באוסטריה, מחשבי מטוסים בצי הצרפתי ובסה"כ דווח על מליוני מחשבים נגועים ברחבי העולם.
יש לקוות שעתה עם גילוי אחד "מסודות" הווירוס, ילך הסיכון וירד.

ה-BBC וסיפור ה-BOTNET

ישנה בעיה שהולכת וגדלה. מסתבר שכמות המחשבים בעולם המזוהמים בקוד זדוני שנשלט ע"י גורמים עויינים מגיעה לממדים מפלצתיים. רשת עויינת שכזו הניתנת להפעלה בשליטה מרוחקת נקראת BOTNET. אלו עלולים להיות (גם בין היתר) המחשבים שבביתינו. כן כל אחד מאיתנו שיש לו מחשב ביתי עלול להיות לחלוטין שלא מרצונו "אוייב העולם".

זה לא מפריע למחשב שלנו להיות כלי המשחק של הילדים, זה לא מפריע למחשב להיות כלי העבודה של המבוגרים. זה פשוט נובע מהעובדה שחלק ניכר מהמחשבים הביתיים אינם מוגנים. למה? מעטים מאד יחסית הם המשתמשים שיודעים כיצד לעשות זאת.

אז החליטו ב-BBC לעשות הדגמה קטנה ולהראות מה קורה כאשר מפעילים חבורה שכזאת של מחשבים כנגד אתר בגודל קטן

הכל היה מבוקר (לכאורה) והכל היה מתוכנן וכולם ידעו מה הולך לקרות.

נותרה רק בעיה קטנה שלאחר מעשה: ישנה סברה בקרב מספר מומחי אבטחה ומספר משפטנים שאסור לעשות את זה עפ"י החוק הבריטי. .

תוכנית הטכנולוגיה CLICK השתמשה בBOTNET בן 22,000 מחשבים והדגימה מה מתרחש כאשר מופעלת פעולה זדונית של DDos באמצעותם, כמו גם משלוח של דואר זבל לכתובות דואר אלקטרוני שהוכנו מבעוד מועד ע"י ה-BBC. פעולת מניעת השירת המבוזרת בוצעה כנגד אתר גיבוי של חברת אבטחת מידע (Prevx) אשר הכשירה את המערכת לתצוגה זו. ואכן האתר האינטרנטי החל להגיב באיטיות עד ששותק לחלוטין.

בעלי המחשבים הנגועים שמהם בוצעה התקיפה קיבלו הודעה על מצב מחשביהם והמלצות כיצד להסיר את התוכנה הזדונית וכיצד להתגונן להבא.

מסתבר שבפועל מתוך 22,000 המחשבים המזוהמים שיכלו פוטנציאלית לפעול במהלך ההדגמה, נדרשו רק 60 מחשבים לבצוע התקיפה הזדונית. אבל לא ידוע מיהם אותם המחשבים.

רק לאחר מעשה מסתבר כיצד באה לעולם ההדגמה. ה-BBC רכש בכסף מלא מהאקרים רוסיים ואוקראיניים שימוש ב-BOTNET שלהם... מי אם כן הם המחשבים המזוהמים? ה-BBC איננו יודע. ייתכן וישנם ביניהם מחשבי משרד הגנה בריטי או הפנטגון. ייתכן...http://www.theregister.co.uk/2009/03/16/bbc_botnet_bought/.

ה-BBC טוען שפעולתו הייתה חוקית. אחרים טוענים שלא. הוויכוח מתלהט ודבר אחד כבר ברור. הנושא שהוצג פומבית לפני מספר ימים והוויכוח שמתעורר כעת סביבו מגביר באחת את המודעות לסיכונים שעלולים משתמשים ביתיים וארגוניים שאינם מממשים אבטחת מידע נאותה במחשביהם לגרום שלא בידיעתם, לארגונים ותשתיות במדינותיהם ובארצות אחרות בעולם.

ואם גם אינני בטוח שהייתה זו הכוונה המקורית, אזי חשוב מאד שהמסר הזה יצא מהחוגים המצומצמים של מקצועני אבטחת המידע ויגיע לכולם.

זה לא אבטחת מידע במובן המקובל, זה כן לניהול סיכונים במובן הרחב

ידיעה ב-YNET:

בן 55 נתפס נוהג אף שלא חידש רשיונו מאז מלחמת יום הכיפורים
תושב תל-אביב בן 55 נתפס בביקורת שגרתית בפתח-תקווה כשהוא נוהג במכונית, אף שמעולם לא הוציא רישיון נהיגה.
הנהג סיפר לשוטרים כי החזיק ברישיון צבאי במלחמת יום הכיפורים, בעת שהיה חייל צה"ל בשירות סדיר, ומאז לא חידש את רשיונו. הנהג זומן לשיפוט מהיר, ומכוניתו הוחרמה לשלושים יום.

מלחמת יום הכיפורים אוקטובר 1973. אנו היום בשנת 2009. זה לא שנה וגם לא עשור אחד , אלו שלושה וחצי עשורים וקצת, מעל 35 שנה!!!

עפ"י הידיעה ולפי השכל הישר, האיש לא עבר עבירת תעבורה במשך כל השנים הללו שכן היה אמור להציג רשיון.

האם זה בהכרח נהג זהיר. לא בטוח. אבל לפחות ברור שלא היה מעורב בתאונת דרכים שחייבה את התערבות הרשויות כולל ביטוח, דהיינו לא עבר כלל תאונה מכל סוג.

וגם לא עבר עבירות קלות כגון מהירות.

אז נכון, האיש עבריין עפ"י החוק. אבל מהעבר השני, הנהג ככל הנראה נהג יותר זהיר מהרבה אלפי או עשרות אלפי אזרחים ישראליים שלהם רשיונות כחוק ונוהגים כנגד החוק. לא טוען כמובן שאדם זה הנו טלית שכולה תכלת. אינני מכיר את פרטי המקרה, ומשתמש בו על מנת להתייחס בהשאלה לניהול סיכוני טכנולוגיית המידע.

תגיד המשטרה, בדיקה שגרתית הנה הליך פשוט יחסית ובאמצעותו נתפסים עבריינים מסוגים שונים. לא מתווכח. אני טוען שאם נתפסים גם נהגים מסוג זה, משהו בתהליך כולו הנו בזבוז של משאבים.

הבעיה בכבישים הנה הנהגים הגורמים למותם של אחרים. זהו האיום מספר אחד. ביקורות שגרתיות כגון אלו שבהן נתפס נהג זה אינן תורמות באופן משמעותי לטיפול באיום.

ובהשאלה ניתן גם להתייחס לניהול סיכוני טכנולוגיית המידע:

כאשר הטיפול בארגון לצמצומם של האיומים והסיכונים לשימוש טכנולוגיית המידע ולמידע בארגון איננו מתחיל באיתור מלא ושלם של אותם האיומים והסיכונים, לא נמנעת מסיבה זו התקנתם של אמצעים ושיטות הגנה עפ"י "חוש" או "אופנה", או "אני יודע ש" או "ההוא התקין, אז גם אני..." או כל שילוב של כל מיני תאוריות למיניהן.

האם באופן זה מתמודד הארגון באופן כללי עם איומים וסיכונים: התשובה כמובן כן. אבל נותרת השאלה: האם בתהליך מסוג כזה מתבצע ניהול סיכוני טכנולוגיית המידע בצורה המקצועית הנדרשת לתחילת שנת 2009?

התשובה הנה חד משמעית: לא! סתם להשקיע בערב רב של אמצעי הגנה איננו מענה מקצועי. זהו מענה חובבני ומתאים לעידן שבהם האיומים נתנו בידיהם של חובבנים והסיכונים התממשו לעתים רחוקות. כעת האיומים בידיהם של מקצוענים ומימושם עלול להתרחש בכל עת. מידי יום אנו שומעים כי ארגונים מכובדים בעולם נפגעים. הטיפול חייב להיות אם כן מקצועני לכל אורך הדרך. התחלה חובבנית משפיעה על כל התהליך כולו, וכמובן שהתוצאה לא תאחר לבוא.

על כן, תהליך צמצום סיכוני השימוש בטכנולוגיית המידע והמידע בכל ארגון חייב להתחיל באיתור, הבנה ותעדוף של האיומים והסיכונים הללו. רק אח"כ ניתן להתחיל בתפירת חליפות אבטחה.

קישורים חדשים בחודש מרץ

שלום לקוראי הבלוג,
הוספתי בימים האחרונים מספר קישורים העוסקים בידיעות בעניין וירוס ה-conficker שאיננו מפסיק להפתיע.
כמו כן תקיפת וירוס (עדיין לא ברור באם מדובר ב-conficker או בתולעת ה-mytob או קוד זדוני אחר) במספר בתי חולים בסקוטלנד.
דרך אגב, השבתת מערכות מחשוב של בתי המשפט ביוסטון טקסס בתחילת פברואר שיוחסה ל-conficker מוטעית. מדובר בוירוס אחר, VIRUT.
מן העבר השני שתי ידיעות מעניינות בנושא אבטחה:
האחת עוסקת במימוש אמצעי אבטחה מתקדמים בבנק הדם ומרכז ההשתלות בבריטניה והשניה בניצנים ראשוניים של מתן מענה אבטחתי מתאים למכשור רפואי.
נראה כי מערכות רפואיות בעולם הגיעו למסה קריטית של פריסת מערכות מחשוב ובחלקן אלו חסרות את התשתית האבטחתית המקובלת בעולם טכנולוגיית המידע. על כן, נופלות מקצת ממערכות המחשוב המותקנות בבתי חולים ל"קורבנות שלא מרצונם" ואינן מסוגלות להתמודד עם חדירה של תוכנות זדוניות. ניתן להניח כי בעתיד הקרוב נראה נסיונות נוספים לספק מענים אבטחתיים המשלבים התמודדות עם האיום יחד עם הצורך לאפשר למכשור הרפואי לתפקד כנדרש.