הצורך: התמודדות עם CYBER TERROR. השיטה: שילוב CYBER INTELLIGENCE ולזה ייקרא CYBER DEFENCE

שלום לכל קוראי הבלוג.
זמן רב עבר מאז כתבתי לאחרונה.
בסופ"ש שעבר כתבתי גרסה ראשונה של המאמר, בסופ"ש זה הכנתי גרסה שניה המתייחסת גם בקיצור נמרץ ליתרונות ולחסרונות של השיטה.

במאמר קצר אקח את הקוראים למסע בזק בנבכי המחשבה המודיעינית ויישומה בעבר ובהווה.
מהמשנה השניה של סון טסו:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.

אז בואו נשנה אותה קצת:
איזהו מצביא משכיל בהתקפה, שיריבו איננו יודע מה הוא (התוקף) יתקוף.
פרשנות: מיהו יריבו של התוקף? המגן. כלומר אם המגן איננו מכיר את תוכניות המתקפה, ועל כן הוא ייאלץ להגן על הכל מכל... זה כמובן בלתי אפשרי ועל כן המגן עתיד להיכשל.

איזהו מצביא משכיל בהגנה, שיודע מה יריבו (התוקף) רוצה לתקוף.
פרשנות: יריבו של המגן הוא התוקף. על כן, מגן אשר יודע מהן תוכניותיו של התוקף יוכל להיעזר בכך לשיפור נקודות תורפה בהגנתו ואולי אף לסכל את תוכניות התקיפה עצמן. היכן מסתתרות להן תוכניות התקיפה של התוקף? אם המגן ידע לחשוף את המידע הזה מבלי שהתוקף יהיה מודע שסודות תקיפתו התגלו... זוהי פעילות מודיעין חשאית.

קצת היסטוריה:
בספרו "סודות יום הפלישה" מתאר Gilles Perrault אירוע המתרחש כשלושה שבועות לאחר פלישת בעלות הברית לנורמנדיה.
מוצב גרמני רב עוצמה בקרבת שרבורג שהצליח להדוף את כל המתקפות של בעלות הברית נכנע. לא בגלל שחיילי בעלות הברית הצליחו לפרוץ את ההגנה, ולא בגלל העדיפות בכוח אדם וכוח אש של בעלות הברית. מפקד הדיוויזיה הרביעית האמריקנית מיור גנרל בארטון מגיע בלווית כמה מאנשי מטהו למוצב הגרמני ומציג למפקדו הגרמני מיור קיפרס מפה. המפה כללה את פריסת כוחות בעלות הברית העדיפים אך גם את כל פרטי פרטיו של המוצב הגרמני. הקצין האמריקני היה משוכנע שכאשר יציג לגרמני את מפת ההיערכות של בעלות הברית ישוכנע הגרמני שאין לו סיכוי וייכנע. אך מסתבר שכניעתו של המפקד הגרמני נבעה מסיבה אחרת לחלוטין. במפה הוצג גם כל מערך ההגנה הגרמני, כולל שמות המפקדים וכינוייהם העובדה שהוא הוצג "עירום ועריה" היא זו שהכריעה את הכף. דוגמה מדהימה לעוצמתו של מודיעין מדויק.

נעבור לעידן המודרני של הגנת מערכות מיחשוב מפני מתקפות. שנת 2009 הינה שנת מפנה. מתבצעת מתקפת לוחמת מידע על דרום קוריאה, המאשימה מיד את צפון קוריאה. לאחר מספר ימים מתפרסם ניתוח של התקיפה ע"י צוות מומחי אבטחת מידע מחברת BKIS מהאנוי, וייטנאם. הם מאתרים את שמונת שרתי השו"ב השולטים ב-Botnet שבאמצעותו בוצעה התקיפה, (השרת הראשי בבריטניה), ומאתרים את העובדה שחלק מהמחשבים ששימשו לתקיפה קיבלו פקודות "השמדה עצמית" של הדיסק על מנת שלא ניתן יהיה לאתר אותם לאחר מעשה.
שאלת המפתח הינה:

האם ניתן היה לאתר את המידע שמצאה חברת BKIS עוד טרם הוצאתה של המתקפה לפועל? אם כן, מה המשמעות האופרטיבית?

המענה:
1. הכנת מתקפה מחייבת את התוקף לאסוף מודיעין ובעידן המודרני לעתים להכין את ה"צבא". ה"צבא" הינם מחשבים שהם כשלעצמם אינם יעד המתקפה אלא משמשים כ"חיילים" (Botnet). בהם שותלים תוכנה זדונית אשר עפ"י פקודה ממערכת השו"ב של התוקפים תפעיל את המתקפה כנגד יעד או יעדי המתקפה האמתיים.

2. המידע כולל (בין היתר) מידע על יעדי המתקפה (כתובות, ועוד). כל המידע הזה נשלט ע"י מערכת מחשב לשליטה ובקרה הנמצאת בידי התוקף.

3. מהי דרך הפעולה של המגן לאור האמור לעיל:

א. לאתר את מחשבי השליטה הבקרה מבעוד מועד, ולמצות מהם את המודיעין וכל מידע רלוונטי אחר על מנת להבין מה מכין התוקף.

מדובר בשלב נוסף בהגירה של תפישות עולם ביטחוניות-צבאיות לעולם האזרחי. כך היה עם הצפנות וכך עתה עם מודיעין.
ב. מי עושה פעילויות מסוג זה בעולם הצבאי? יחידות כמו סיירת מטכ"ל ואחרות. בעולם "הביטחוני-האזרחי" במדינת ישראל זה המוסד ואולי גורמים עלומים נוספים.

4. במה מדובר?

מדובר בשילוב של מספר גורמים:

א. הכרה וניסיון רב של עבודת מודיעין כולל היכולת להפריד בין מידע אמיתי ובין מידע מטעה (דיס אינפורמציה), זאת מכיוון שיש לקחת בחשבון שמדובר בתוקפים מתוחכמים הלוקחים בחשבון את העובדה שינסו למצות מהם מידע.

ב. רמת הכרה טכנית גבוהה של פעילויות מיחשוב, תקשורת, קוד זדוני ומחקר שוטף בנושאים אלה ואחרים.

ג. קישור למידע המצוי בידי חברות אבטחת מידע, פורומים של חברות ויועצי אבטחת מידע ופורומים של האקרים למיניהם.

ד. יכולת לנתח את הנתונים שהתקבלו ולהסיק מה מתוך כל הנדרש להגן מהווה יעד למתקפה ועל כן כיצד לשפר את מערך ההגנה כך שיהיה ערוך טוב יותר למול מתקפה ממוקדת ומתוכננת.

5. יתרונות השיטה:

א. איננה מפריעה לביצועה של תוכנית הגנת המידע הארגונית הקיימת. הפעילות מבוצעת רק ב"עולם" ואיינה כוללת איסוף מידע במערכות המחשוב הארגוניות. המשמעות היא שלא מבוצעת כל התקנה של חומרה או תוכנה לא בשרתי ולא בתחנות הקצה הארגוניות, הארגון "לא מעורב".

ב. מאפשרת לקבל מידע מקדים על תכנון מתקפה כולל איתור יעדים מיחשוביים קונקרטיים בארגון. בהיבט זה השיטה מאפשרת קבלת נתונים על, וייתכן גם איתור של חולשות אפשריות בתוכנית הגנה המידע הארגונית אשר לא היו ידועות כלל או שלמרות שהיו ידועות לא ניתנה עליהן הדעת במידה מספקת.

6. חסרונות השיטה:

א. איננה מבטלת משאבים נדרשים לתוכנית הגנת המידע הקיימת ועל כן מהווה גורם צורך משאבים נוסף על הקיים.

ב. איננה מבטיחה שבכלל יינתן מודיעין לארגון. לכך ייתכנו מספר סיבות:

1. הארגון לא היה מעולם יעד למתקפה ועל כן אין מידע הניתן למיצוי לגביו.

2. הסוואת יעדי התקיפה הארגוניים הצליחה להערים על כלי איסוף המידע. מדובר במלחמת מוחות מודיעינית-טכנולוגית, שיש בה לעתים גם כשלונות בצד ההצלחות.

ג. איננה מבטיחה שבהינתן מודיעין הוא בהכרח עדכני. איסוף מידע תקיפה ב"עולם" עלול להפיק מידע מיושן שהושאר בכוונה כדי להטעות או שפשוט הושאר שם בעבר, בדיוק כשם שתהליך מיפוי ארגוני הנעשה ע"י הארגון עצמו עלול באם לא יעודכן מעת לעת להציג את טופולוגית המחשוב הקודמת ולא העדכנית.

לסיכום:

זוהי התוספת העדכנית והאחרונה (לעת עתה) הנדרשת לעולם הגנת המידע הקלאסי. זוהי התוספת הנדרשת להתמודד עם מתקפות מתוכננות, ממוקדות ומסוכנות אלו שניתן לכנותן CYBER TERROR אשר מחולליהן הינם ארגוני פשע וטרור וארגונים עוינים מסוגים שונים.

אנו מצויים בתחילתו של שלב נוסף במאבק להגן על מערכות המחשוב ועל החיים בחברה אשר מערכות המחשוב הינן התשתית המניעה אותם. יידרש זמן על מנת לשכלל את השיטה, למקסם את יתרונותיה ולצמצם את חסרונותיה.

ניהול סיכוני טכנולוגיית המידע. לא עוד "אבטחת מידע" או "הגנת מידע"

ניהול סיכוני טכנולוגיית המידע הנו השם העדכני לתהליך שכונה בעבר "אבטחת מידע", "הגנת מידע" או "הגנת נכסי המידע" או צבר רב של שמות שכולם סביב המונח "הגנה".
הגנה משמעותה התמקדות במגן ובמידע שעליו מגינים. ניהול סיכוני טכנולוגיית המידע מתמקד בשני מרכיבים בה בעת: מרכיב הניהול ומרכיב תוכן שהוא סיכוני טכנולוגיית המידע.
במאמר סקירה מהי המשמעות של השינוי, כיצד על מנהל סיכוני טכנולוגיית המידע לנהוג בעידן החדש שאנו בפתחו והשלכות ארגוניות נוספות.
ניהול סיכוני טכנולוגיית המידע הפך בשנים האחרונות לנדבך משמעותי בתהליכי העבודה של טכנולוגיית המידע ומעבר לה בארגונים רבים. אחת הסיבות העיקריות לכך הינה פעילות נמרצת של מחוקקים ורגולטורים בארץ ובעולם במהלך העשור הראשון למאה הנוכחית. די אם נזכיר את חוקי ה-GLBA (סקטור בנקאות בארה"ב), HIPAA (סקטור הבריאות בארה"ב), חוק SOX (ארה"ב והשלכותיו ברמה הבינלאומית, לדוגמה בארץ וועדת גושן), רגולציית בזל II הבינלאומית לסקטור הבנקאות ועוד ועוד. בארץ: הוראת ניהול בנקאי תקין מס' 357 של המפקח על הבנקים המיועד לתאגידים בנקאיים, ההוראה לניהול סיכוני טכנולוגיית המידע של המפקח על הביטוח החלה על גופים מוסדיים, תחילת הפעילות (בעולם ובארץ) להגנתן של תשתיות מחשוב חיוניות וההתעוררות בנושא הגנת הפרטיות לאחר הקמתה לפני כשלוש שנים של הרשות למשפט טכנולוגיה ומידע במשרד המשפטים.
כל אלה הפכו את התחום ממרכיב שולי, לעתים נשכח לחלוטין, לאחד מעמודי התווך של השימוש במידע ובטכנולוגיית מידע. ביטוי לכך הינה גם העובדה שהארגונים הנתונים תחת הרגולציות השונות חייבים למנות מנהל שעיסוקו הבלבדי (או הכמעט בלבדי) הנו ניהול התחום והכפפת מנהל זה לגורם בכיר בארגון.
בנקודה זו אנו נחזור ונתפצל לשני הערוצים: הניהול וסיכוני טכנולוגיית המידע.
מהי אחת מהמשמעויות של ניהול?
היכולת לדעת בכל נקודת זמן מהו המצב של מה שאני כמנהל מופקד עליו. במקרה שלנו, היכולת לספק נתונים לגבי החשיפות שהארגון נתון בהן עקב השימוש במידע ובטכנולוגיית מידע ורמת צמצומן לאור יישומן של בקרות מתאימות בתחומים פיזיים, טכנולוגיים, אנושיים ותהליכיים.
כיצד מושג המידע הזה?
מבצעים סקרים/ביקורות שבהם נבדקות בקרות האבטחה שהותקנו (בתחומים שנמנו לעיל). תוצאות הסקרים/ביקורות (ממצאים והמלצות) אוגרים במסד נתונים. ממסד הנתונים יוכל מנהל סיכוני טכנולוגיית המידע (וגורמים מורשים אחרים בארגון) לשאוב בכל עת ובכל חתך מבוקש את החשיפות ואת מצב האבטחה. לדוגמה: אלו חשיפות מטופלות במלואן, אלו חשיפות בתהליך טיפול ומה הלו"ז לסיום הטיפול וכד'. ניתן לעדכן את החשיפות עצמן עקב קבלת מידע על חשיפות חדשות וכד'.
מסד נתונים זה מכיל אם כך במצטבר את מירב הכשלים בניהול סיכוני טכנולוגיית המידע של הארגון והוא מצוי דרך קבע במחשבי הארגון. יש לציין שמסד הנתונים יכול להיות ייעודי לנושא ניהול סיכוני טכנולוגיית המידע ויכול להיות שמדובר במסד נתונים כלל ארגוני כאשר נתוני סיכוני טכנולוגיית המידע משולבים בו. כך או כך מדובר בנתונים המציינים מהם הכשלים של השימוש במידע ובטכנולוגיית המידע בארגון לאורך זמן.
בהתייחס למסד נתונים זה נעבור למרכיב השני, סיכוני טכנולוגיית המידע.
נוסף לנו מסד נתונים אשר הוא עצמו מרכיב במערך טכנולוגיית המידע. המרכיב כולל כמו כל האחרים: חומרה, תוכנה, תהליכי עבודה, וגורמים אנושיים (לדוגמה: משתמשים מקומיים, משתמשים מרוחקים המספקים תמיכה וכד'). כל זאת מזכיר לנו אחד לאחד את מכלול הפעילויות שתורת ניהול סיכוני טכנולוגיית המידע דורשת להכיל על מערכות טכנולוגיית המידע הארגוניות. ואכן, אין שוני מהותי. מדובר בנדבך נוסף למערך טכנולוגיית המידע הארגוני שיש לכלול אותו בנשימה אחת עם כל שאר המרכיבים. לא מדובר ב"חתיכת תוכנה", אלא במערכות ארגוניות הכוללות בדיוק את אותם המרכיבים של כל מערכת ארגונית אחרת, תהא זו עסקית בגופים עסקיים לגווניהם השונים, ציבורית בגופים ציבוריים או בטחונית בגופים בטחוניים. יש לציין לגבי תהליך ספציפי זה שמדובר במסד נתונים המכיל נתונים רגישים במיוחד, גם אם אין בהם שום נתון רגיש הקשור לתהליכי העבודה של הארגון עצמו. זהו צבר של הכשלים אשר באמצעותם ניתן לממש את כל או רוב האיומים שבהם נתון מערך טכנולוגיית המידע בארגון.
זוהי רק דוגמה אחת (אולי הבולטת מכולן) כיצד המעבר הסמנטי לכאורה מ"אבטחת מידע"/"הגנת מידע" ל-"ניהול סיכוני טכנולוגיית המידע", איננו סמנטי כלל אלא משנה באופן מהותי ובלתי חוזר את האופן שבו על הארגון להתייחס לתחום ניהול סיכוני טכנולוגיית המידע.
המשמעות המיידית של האמור לעיל הינה שניהול סיכוני טכנולוגיית המידע הינה תהליך כמו כל תהליך ארגוני אחר. ככל תהליך, יש גם בו סיכונים. במהלך ניתוח ודרוג הסיכונים של השימוש בטכנולוגיית המידע יש לכלול את הסיכונים בתהליך, בטכנולוגיות ובאמצעים שבהם נעשה שימוש, וזאת כחלק אינטגראלי של ניתוח סיכוני השימוש בטכנולוגיית המידע.
מיד אם כך תשאל השאלה הבאה: מי יופקד על ניהול הסיכונים של תהליך ניהול סיכוני טכנולוגיית המידע? הרי הוקם גוף שהוא המקצוען בארגון לניהול סיכוני טכנולוגיית המידע. כעת מסתבר שיש לנהל גם את סיכוניו הוא. האם הוא עצמו יכול לנהל את סיכוניו? ואם לא, מי כן? הוא הרי המומחה בנושא ברמה הארגונית, אין טוב ממנו בארגון.
לדעת כותב שורות אלו התשובה טמונה בשילוב של שני גורמים. בשלב הראשון אכן הגוף הממונה על ניהול סיכוני טכנולוגיית המידע יגדיר את התהליכים הנדרשים על מנת לנהל את סיכוניו הוא, כאשר גורם ביקורת ענ"א הפועל במסגרת ביקורת הפנים הארגונית (ובאם אין כזה יבוצע ע"י גורם חיצוני) יהווה את המאשר והמבקר תקופתית את התהליך הנ"ל.

המאמר פורסם במקביל במקטע NEWSLETTER באתר חברת אבנת באינטרנט תחת הכותרת: "הרבה יותר מאבטחת מידע או הגנת מידע".

התנאים שבהם מנהל אבטחת המידע לא יובס - מאמר שני

משנה שניה:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.
וזוהי כל תורת המלחמה על רגל אחת...

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

במשנה הראשונה למדנו:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס.

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

אמרנו שהמקבילה לעולם אבטחת המידע הנה אחת לאחת:
הכר את האויב: ניתוח מלא של איומים וסיכונים למידע ולמערכות המידע.
הכר את עצמך: הכר את הארגון, מערכות המידע ותהליכי העבודה שבהם הארגון עושה שימוש במערכות המידע

וכעת הוספנו את המשנה השניה.
מהי המשמעות של המשנה השנייה בשדה הקרב של עולם המחשוב ההגנתי וההתקפי?
מנהל אבטחת המידע הבא להכין תוכנית הגנה להתמודדות עם האיומים והסיכונים, יצא מתוך נקודת מוצא של מי שמתכנן לתקוף אותו. מנהל אבטחת המידע צריך למעשה לספק מענה לשאלה הבאה:
כיצד אני בונה את מערך ההגנה שלי כך שהתוקף לא יוכל לקבל מענה מספק לשאלה שהוא מציב לעצמו:

כיצד הכי כדאי לי (לתוקף) לבצע את התקיפה.
אופן בניית מערך ההגנה יספק מענה לכוונתו של התוקף, ולא למחשבתו של המגן. כוונת התוקף איננה לתקוף סתם.
מטרת התוקף הנה לתקוף ולהצליח בתקיפתו. על מנת להכשיל את התוקף, על מנהל אבטחת המידע להכיר את דרכי התקיפה האפשריות העומדות לרשות התוקף ולגרום לכך שהתוקף לא יוכל לספק מענה לעצמו האם קיים סיכוי סביר שתקיפתו תצליח, באף לא אחד מדרכי התקיפה.
זו איננה הגישה הרווחת היום שבה מנהל אבטחת המידע מנסה באמצעות בניית תוכנית האבטחה שלו לספק מענה לשאלה הבאה: כיצד אני מנקודת המבט שלי כמגן, מתכנן מערך הגנה מיטבי. גישה זו רווחת (בין היתר) עקב הדרישה לספק מענה למגוון רגולציות אשר בהן חלקים נרחבים מהמענה האבטחתי כבר נקבעים מראש, בלא שניתן בהן המשקל המתאים לתוצאותיו של ניתוח איומים וסיכונים פרטני.
ההבדל המהותי נעוץ בבחירת נקודת המבט של התוקף כבסיס לתכנון ההגנה שלי ולא נקודת המבט של המגן כבסיס.
באופן דומה יש להתייחס למצב ההפוך. כיצד תוקף אמור לתכנן את תקיפתו.
סון טסו אומר: תכנן את תקיפתך באופן שבו המגן לא ידע על מה כדאי לו להגן יותר.

ואם נשלב את שתי המשנות לכדי משנה מאוחדת נקבל את התובנה הבאה:

מנהל אבטחת המידע יפעל באופן הבא על מנת שלא יובס ע"י האויבים (מבית ומבחוץ):
1. יבצע ניתוח איומים וסיכונים מלא המאפשר לו להכיר מול מה הוא עומד.
2. ילמד היטב את ארגונו הוא, בהבטים הלא טכנולוגיים ובהבטי טכנולוגיית המידע.
3. יכין תוכנית להתמודדות עם האיומים והסיכונים כאשר במרכזה מתן מענה לשאלה: כיצד התוכנית מספקת מענה לאותם איומים וסיכונים, כך שמי שמנסה לממשם יתקשה לספק לעצמו מענה לשאלה באיזה מהלך התקפתי לבחור על מנת שיהיה בעל סיכוי סביר להצליח.

חג חנוכה שמח לכל קוראי הבלוג.

יאיר

מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

חזרתי לאחר מספר חודשי "יובש".
מתחיל בסדרת מאמרים קצרים המתייחסים להקבלה שבין אמנות המלחמה כפי שזו באה לידי ביטוי בדברי החכם הסיני, סון טסו ואבטחת מידע מודרנית במאה ה-21.

פרק ראשון: מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

המאמר כתוב בלשון זכר לנוחות בלבד, והכוונה למנהל אבטחת מידע ולמנהלת אבטחת המידע כאחד.

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

משנה ראשונה:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

לא במקרה דברים אלו של סון טסו נלקחו על ידי כמי שעוסק למעלה משני עשורים בייעוץ אבטחת מידע ועל ידי יועצים אחרים העוסקים בתחום זה כמוטו מרכזי לפעילות מנהל אבטחת המידע.
סון טסו דיבר על מצביא, המנהיג את צבא קיסר סין. היום אנו מדברים על מנהל אבטחת המידע, המנהיג את פעילות אבטחת המידע בארגון.
מהו ה"הכר את האויב" של אבטחת המידע? בלשוננו המקצועית זהו תהליך ניתוח איומים וסיכונים המופנים כנגד המידע וטכנולוגיית המידע שבה נעשה שימוש בארגון. אלו כוללים הבטים תהליכיים, אנושיים וטכנולוגיים, פנימיים וחיצוניים.
מהו ה"הכר את עצמך" של אבטחת המידע? הכר את הארגון שאתה משמש בו כמנהל אבטחת המידע. הכר סביבת פעילותו ופעילותו, המבנה הארגוני, תהליכי העבודה בארגון, מיפוי מלא ושלם של טכנולוגיית המידע וזרימת המידע בארגון, תהליכי רכש של רכיבי טכנולוגייה חדשים המשפיעים או עשויים להשפיע על אבטחת המידע, רכיבי אבטחת המידע הקיימים, חוזקותיהם וחולשותיהם וכד'.
מנהל אבטחת המידע אשר מבצע את שני התהליכים הללו באופן מובנה ותקופתי ומקבל החלטות מושכלות על פיהן (במשנה השניה נבין מהן אותן החלטות מושכלות) , גם אם יילחם ב-100 קרבות, דהיינו הארגון יותקף פעמים רבות, מגורמי פנים וגורמי חוץ, בהבטים טכנולוגיים או אנושיים, סביר להניח עפ"י דברי סון טסו שלא יובס.
לא במקרה משתמש סון טסו במונח: "לא יובס" ולא "ינצח".
ניצחון אצל סון טסו הנו המצב שבו העליונות משיגה את תוצאתה ללא מלחמה בפועל.
לא יובס במשמעותנו, יאמר שהארגון ימשיך לתפקד, המידע וטכנולוגיית המידע לא ישובשו במידה כזו שהארגון יפסיק לתפקד, אם כי ייתכן והתוקפים יזכו מעת לעת בהצלחה מוגבלת, במימדי זמן ומרחב.
אם לא יבצע אחת מהמטלות כראוי או שלא יבצעה בכלל, סיכוייו כדברי סון טסו הנם חציחצי.
במידה ואיננו מכיר את אויביו ואיננו מכיר את עצמו, יובס תמיד.
הפרק השני יעסוק במשנה השניה: איזהוא המצביא המשכיל בהגנה ואיזהוא המצביא המשכיל בהתקפה. נבחן את המשמעות לאבטחת מידע הנגזרת מכך. בסופו נאחד את שתי המשנות לכדי משנה סדורה אחת.

הארגון לאירועי אבטחה מאפשר גישה למסד הנתונים של אירועי אבטחה במערכות תפעוליות (RISI)

במהלך שנועד לאפשר קידום הטיפול בנושא אבטחתן של מערכות תפעוליות, מפרסם הארגון (שלא למטרות רווח)לאירועי אבטחה (Security Incidents Organization) שהוקם לאחרונה, על נגישות הציבור למסד הנתונים הכולל את המידע על אירועי אבטחה שבמערכות אלו - Repository of Industrial Security Incidents (RISI).

מסד הנתונים הנו רחב היקף ומיועד לאיסוף, חקירה, ניתוח ושיתוף מידע חיוני בהתייחס לאירועי אבטחה הפוגעים במערכות סקדה ובמערכות ייצור ושליטה ובקרה.

במסד הנתונים מעל 150 אירועים. RISI הנן מסד הנתונים הגדול ביותר הידוע של אירועים מסוג זה, כך לדבריהם..

RISI עוצב עפ"י מסדי נתונים דומים בתחום הבטיחות ומספק למנוייו מידע אמין המאפשר להם ללמוד מנסיונם של אחרים, להבין את הסיכונים הנלווים לאיומי מחשוב בתעשייה ולהתאים את מדיניות אבטחת המידע הנוכחית שלהם לדינמיקה המשתנה של האבטחה בתחום זה.

RISI הנו התפתחות של מסד נתונים קודם שהחל את דרכו במכון הטכנולוגי של קולומביה הבריטית ונקרא אז:

Industrial Security Incidents Database (ISID).

חלוץ וראשון ליצירת מסד נתונים חשוב זה הנו Eric Byres, אחד מחשובי העוסקים מזה כמה עשורים בתחום אבטחתן של מערכות תפעוליות.

שתי אפשרויות קיימות לקבלת גישה למידע:האחת, לשלם ולקבל גישה, השניה, להוסיף אירוע ולקבל גישה חינמית לשאר המידע.

הפרטים כמובן באתר של הארגון:

http://www.securityincidents.org/index.asp

להיות צעד אחד לפני................ התוקף

תחום אבטחת מידע או בשמו המודרני יותר, ניהול סיכוני טכנולוגיית המידע מספק מענים לאיומים ולסיכונים בשימוש במידע ובטכנולוגיית המידע. אתייחס לשתי דוגמאות:
1. מידע רגיש הנאגר על גבי מחשבים ניידים נחשף כיוון שמחשבים אלה נגנבים/נאבדים בהמוניהם (12,000 בשבוע בנמלי תעופה בארה"ב לבדה, עפ"י סקר של מכון Ponemon מיוני 2008):

http://www.dell.com/downloads/global/services/dell_lost_laptop_study.pdf

מה המענה? הצפנת המידע. אם המידע מוצפן, אזי גם אם יגיע לידי המוצא/הגנב, איננו יכול לצפות בו, לא כל שכן לסחור בו.
2. משתמשי מערכות מבצעים פעילות במערכות אליהן קיבלו הרשאות כדין. דרישות הרגולטורים למיניהן הנן לבצע רישום מלא של פעילות זו. הדרישה מובנת שכן מאפשרת להתחקות אחר פעילות המשתמשים ולחקור האם פעלו כדין או עשו שימוש שלא כדין בהרשאות שהוענקו להם, כמו גם לאתר פעילות שלא נעשית ע"י משתמשים מורשים.
ניקח את שתי הדוגמאות ונתבונן בהם משתי הזוויות: זו של המגן וזו של התוקף.
המגן בשני המקרים עלול לנוח על זרי הדפנה. הנה הגיע המענה המיוחל.
במקרה הראשון, מחשב שנגנב/אבד ובו מידע מסווג. אני כמגן, הסרתי כל דאגה מלבי. המידע מוצפן. מה יעשה המוצא? לא יוכל לגשת למידע.
במקרה השני, מכיוון שכל הפעילויות במערכת נרשמות, אזי כל משתמש אשר יפעל שלא כדין, פעילותו תרשם. ניתן לאתר את הפעילות הזו ועל כן ללא ספק שהוגברה ההרתעה למול משתמשים שינסו לפעול שלא עפ"י הנדרש מהם במסגרת עבודתם.
אבל, זהו רק צד אחד של המטבע. לכל תהליך חדש, במקרה שלנו תהליכי אבטחה חדשים, (הצפנה ותיעוד) ישנו גם מי שינסה להפיק מהם תועלת נזקית, הלוא הוא התוקף.
ננסה כעת להבין את זווית הראיה של התוקף בהתייחס לשני תהליכים אלו.
במקרה הראשון, עד להחלת הקונספט של "הצפנה בכל מקום ובכל עת", שימוש בהצפנה היה יחסית מצומצם. כעת עם נפוצות ההצפנה, הרבה מידע מוצפן יסתובב לו בין הגנבים. יתר על כן, הארגונים יטפלו ככל הנראה פחות במניעת גניבת/אובדן מידע, וישקיעו מאמצים בהצפנתו, מהלך שניתן בהחלט להבין אותו על רקע "פתרון הקסם – הצפנה בכל מקום ובכל עת". מהלך שכזה יביא בהכרח להתעניינות יתר של הגנבים בפיצוחה של ההצפנה. המילה התעניינות הנה בבחינת "הערכת חסר". צפוי על כן, כמו שקורה לכל אמצעי הגנה (לא משנה מאיזה סוג), שהצפנה כשיטה מצויינת להגנה מפני דלף מידע רגיש לגורם בלתי מורשה תהפוך לשיטה פחות מצויינת, ופחות ופחות מצויינת, עד שעלול לאבד עליה הכלח כליל.
ומה באשר לתיעוד הנרחב שאנו מאמינים שמספק תשתית מצויינת הן להרתעה והן לחקירה?
ובכן, מאגר הנתונים הנאסף באופן זה מהווה את מאגר הזהב לתוקף. מה עשוי להימצא בו? ברמה העקרונית מדובר ברישום המידע עליו בוצעה פעילות, כולל כיצד היא מבוצעת ע"י משתמש מורשה כדת וכדין, שלב אחרי שלב, מסך אחרי מסך. אין חולק על כך שרוב הפעילות המתועדת הנה פעילות חוקית, של משתמשים מורשים. מיעוטה יתעד פעילות חריגה ואפילו פלילית. נובע מכך שמאגר זה הנו מאגר שממנו ניתן ללמוד כיצד יש לעבוד כמשתמש חוקי ולבצע צעד אחר צעד פעילות תקינה במערכת. למיטב ידיעתי, זו הפעם הראשונה בתולדות טכנולוגיית המידע שקם ונהייה מאגר מסוג כזה.
אז מה אתה מציע חושב אחרת? לא לעשות אבטחה? לא להשתמש בהצפנה? לא להשתמש בתיעוד? ואולי בוא ונבטל במחי יד את כל אמצעי האבטחה?
לא ולא. לא זה המענה הנכון.
כמי שאמון על המתודולוגיה של שילוב חשיבת התוקף בתפישת ההגנה ומתן מענה משולב, שהם נר לרגלי יש לנקוט בשני שלבי פעולה:
1.להפנים מנטאלית ובאופן מלא ומיידי מתוך הבנה והשלמה, שגם אמצעי האבטחה, למרות היותם חיוניים למתן מענה ולצמצום הסיכון, אינם נטולי סיכון כשלעצמם. מדובר בשינוי מהותי בגישה (State of mind) ולא בשינוי טקטי גרידא.
2. לאתר במדוייק מהו האיום העתידי שנשקף לאחר הטמעת השימוש באמצעי האבטחה ולכלול מענה לאיום זה.

אתייחס לשתי הדוגמאות:
1. הצפנה. על מנת לצמצם את הסיכוי שמספר גדול יותר של רכיבי מיחשוב ובהם מידע רגיש (אומנם מוצפן) ייגנבו/ייעלמו, יש במקביל ליישום ההצפנה דווקא להגביר את פעילות יצירת המחוייבות והמודעות לשמירה על ציוד המחשוב הנייד מפני אובדן/גניבה ולא לצמצמה.

2. תיעוד. חיוני להגדיר בקרה הדוקה על הגישה למאגר המידע התיעודי. במיוחד חיוני לקבוע מהי פעילות חריגה למול מאגר זה, ולהגדיר מי ינטר את השימוש במאגר. חיוני שפעולת ניטור זו תבוצע על ידי גורם בלתי תלוי בארגון (או מחוצה לו) אשר איננו הגורם העושה במאגר זה שימוש שוטף.

להיות צעד אחד לפני התוקף, משמעותו לחשוב כמוהו ולשלב חשיבה זו בהגנה לאורך כל מחזור החיים של מערכת טכנולוגיית המידע.

העלות האמיתית של פגיעת וירוס קונפיקר בעיריית מנצ'סטר = קרוב ל- £1.5m

סוף סוף הסיפור האמיתי שכווווווולם מפחדים לדבר עליו. מהי עלות אמיתית לארגון של פגיעת ווירוס?
בבריטניה, נשבר קשר השתיקה ואירוע תקיפת ווירוס הקונפיקר בעיריית מנצ'סטר בחודש פברואר מוצג עתה לציבור. משמעותו של אירוע במקרה הזה הייתה כספית בלבד. השאלה כמובן כמה זה עלה.
העלות הישירה הייתה אובדן הכנסות של 43,000 שטרלינג (כספי דוחות שנהגים שנתפסו נוהגים במסלולים המיועדים רק לאוטובוסים שלא ניתן היה לגבות) אבל זה כלום לעומת העלויות האמיתיות ואלו מסתבר גדולות בסדרי גודל מהסכום הפעוט הזה.

הנה החשבון המוגש למשלם המיסים:

600,000 שטרלינג - עלות ייעוץ כיצד להתמודד עם הבעייה, כולל ייעוץ מחברת מקירוסופט, וניקוי המערכת מהווירוס
600,000 שטרלינג - רכישת מסופים רזים (Thin Clients) כחלק מעדכון אסטרטגיית הפעילות לשעת חירום (לאחר שהתברר שהתוכנית הקיימת לא הועילה כלל בעת תקיפת הווירוס...).
178,000 שטרלינג - עלויות נוספות עבור פעילויות של עובדים וכוח אדם נוסף לטיפול בצבר הבקשות לקצבה.
לרשימה זו ניתן להוסיף החלטות אסטרטגיות שהתקבלו כגון מניעת השימוש ב-Disk On Key ונעילת USB. לכל אלו השלכות כספיות ותהליכיות אשר לא פורטו בידיעה העיתונאית.

שני לקחים חשובים:

1. פגיעתו של ווירוס בארגון עולה פי כמה מהעלות הישירה של הנזק הנגרם.

2. כאשר האירוע כבר התרחש, ברור שתוכנית ואמצעי אבטחת המידע הקיימים כשלו. עלולות על כן להתקבל החלטות קיצוניות שמטרתן "להפוך באחת את הקערה על פיה" (במקרה שלפנינו, לדוגמה מניעת השימוש ב-Disk On Key). החלטות אלו חתקבלנה בתנאי לחץ, לא תמיד על בסיס מידע שלם וכאשר שיקול הדעת נוטה לפתרונות מהירים. החלטות אלו עלולות לגרום לנזקים נוספים בעתיד.
יש על כן לפעול לקבלת החלטות באופן שקול בטרם התרחש אירוע. הדרך הנכונה הנה לתרגל מצבי אירוע, על מנת לערב את הגורמים הרלוונטיים, הנהלה, משתמשים, לקוחות וכד' במשמעויות של התרחשות האירוע ויצירת מוכנות או לחלופין, שינוי תוכניות ואמצעי האבטחה מכיוון שהקיימות אינן עונות על הדרוש, וזאת מתוך הסכמה מה נדרש על מנת להתמודד באופן המיטבי.

קישור נוסף לידיעה : http://www.theregister.co.uk/2009/07/01/conficker_council_infection

יש לציין כי המקרה שלפנינו הנו יחסית פשוט. מדובר בפגיעה שמשמעותה כספית בלבד. נקל לשער מה עלול להיות המחיר של פגיעת ווירוס במקומות רגישים יותר כגון, מערכות תשתיתיות, מערכות רפואיות וכד', ששם לא רק דמים (כסף) עומדים על הכף, אלא גם דם (חיי אדם).