הקשחות לטכנולוגיות אבטחה - הגילדה | האקו-סיסטם הביטחוני של ישראל

הקשחות לטכנולוגיות אבטחה - הגילדה - פורטל ניהול הביטחון של ישראל

ענבר לוי | רכז סייבר ומנהל פרי-סייל, HVI פתרונות אבטחה

במהלך השנים האחרונות, זירה חדשה שואבת יותר ויותר קשב ומשאבים מצד ארגונים – סייבר.

לצד האבטחה הפיזית הקלאסית, מידי יום אנו נחשפים בתקשורת, ובטח בקבוצות הסוקרות את תחום הסייבר, לתקיפות שמסבות נזקים כבדים לארגונים – אופרטיביים, כלכליים ותדמיתיים.

במקרים רבים אנו מדמיינים האקר זדוני בחדר אפל, חבוש קפוצ'ון, מריץ קוד מתוחכם ופורץ לאתרים מאובטחים. למרות זאת, קריאה בין השורות של דיווחי התקיפות תגלה אחרת – מרביתן הן תולדה של תורפה מובנית שכבר הייתה שם קודם. כלומר, הפורץ נכנס דרך חלון שהשארנו פתוח.

בתחום האבטחה, אשר זוכה לחוות אבולוציה טכנולוגית מרשימה ואינספור כלים חדשים ומתקדמים בשירות מנהלי ויחידות הביטחון, חלונות רבים נשארים פתוחים…

יותר מידי טכנולוגיות אבטחה מותקנות כיום בלי הקשחות בסיסיות, ובכך, במקום להיות שכבות הגנה הן הופכות להיות חלון פתוח – החוליה החלשה בשרשרת.

הפרדוקס הזה מטריד, ומאיר תובנה קריטית – הקשחות לטכנולוגיות האבטחה למיניהן, גלאים, מצלמות, תוכנות וכד', הן הכרח, והן באחריות ישירה של כל הגורמים הרלוונטיים, משלב התכנון, ההתקנה, השימוש, התחזוקה. מנהל הביטחון, משתמש הקצה, חייב להבטיח שהכלים שברשותו מאובטחים אף הם.

הקשחה היא תהליך שמטרתו חיזוק ההגנות סביב כלי טכנולוגי. בדומה לחיסון, הקשחה מגינה מפני ניסיונות חדירה מבחוץ של גורמים זרים ובלתי רצויים, שביכולתם לגרום נזק לגוף. להבדיל מחיסון, הקשחה היא שורה של מהלכים קטנים, שיישומם בשיטתיות מייצר אימפקט גדול.

לפני שנרחיב אודות ההקשחות למיניהן, חשוב להבין טוב יותר את משטחי התקיפה ואת הסכנות הפוטנציאליות בהם, לפחות בתרחישים הקלאסיים שבהם מותקנות טכנולוגיות אבטחה –

1. משטח התקשורת שבו מוזרם הדאטה. אינטרנט, רשת סלולרית, טלפוניה וכד'.

2. משטח מצלמות ה-IP.

3. משטח ה-IoT – המשפחה המורחבת של המצלמות, אשר כוללת גם את הבקרים, החיישנים וכד'.

תוקפים רואים בשלוש השכבות האלה, בנפרד וביחד, משטחי תקיפה שבהם ניתן לזהות תורפות ודרכם ניתן לחדור פנימה. חלון אחד פתוח, בכל אחת מהשכבות, מאפשר גישה לשלושתן.

לפיכך, יש לראות בהקשחות מאמץ רוחבי, שמטרתו לצמצם תורפות בכל השכבות.

בניגוד לתפיסות הישנות, הגנת סייבר יכולה להיות מיושמת או משופרת גם בלי תמיכה רצופה מאת ה-IT או ה-CISO, בארגונים שבהם התפקידים הללו בכלל קיימים. מנהלי ביטחון יכולים וצריכים ליזום גם בזירה הזו.

הקשחות בסיסיות אותן יכול ליזום כל מנהל ביטחון ברמתו, ובכך להבטיח הגנה גבוהה יותר במישור טכנולוגיות האבטחה שברשותו –

· סיסמה חזקה ומתחדשת – סיסמאות ברירת מחדל של יצרנים, או סיסמאות קלות לניחוש (1111, 1234 וכד'), הן אחת הדרכים הנפוצות ביותר שמשמשות תוקפים. סיסמה חזקה צריכה להכיל מינימום 12 תווים, לרבות אותיות גדולות וקטנות, מספרים וסימנים. הסיסמה צריכה להתחדש אחת לחודשים אחדים. מומלץ להכניס תזכורת ליומן לטובת חידושה.

· רמות הרשאה ומידור – הגישה לדאטה תתאפשר רק למי שנדרש, רק היכן שנדרש, ורק מתי שנדרש. יש להקפיד לבטל הרשאות ישנות.

· אימות דו שלבי – כניסה של משתמש, בטח מנהל שיש ברשותו הרשאות גישה נרחבות, תתאפשר רק לאחר אימות כפול, הן של סיסמה והן של קוד זמני ומתחלף נוסף.

· רשת נפרדת – במידת האפשר, יש להפריד את רשת האבטחה מהרשתות הארגוניות האחרות, ולנתק אותן זו מזו.

· עדכונים – יש לאפשר עדכונים לטכנולוגיות האבטחה בהתאם להנחיות היצרן. במקרים רבים, העדכונים כוללים תיקונים חשובים לתורפות שהתגלו.

· גיבוי – גיבוי אוטומטי ומאובטח של הדאטה יאפשר, במקרה הצורך, שחזור מהיר ורציפות תפקודית.

· ענן מאובטח – במקרה שבו הדאטה מוזרמת בענן, יש לבחור שרת מארח של חברה גדולה ומוכרת, ובכך להבטיח הגנה ברמה גבוהה.

· הסברה פנים ארגונית – יש ליזום הדרכות וקמפיינים פנים ארגוניים שמציגים את הסכנות ואת הסימנים המחשידים. תוקפים רבים מנצלים את תמימות משתמשי הקצה ומזמינים אותם להוריד קבצים, לשלוח קישורים וכד', אשר מכילים נוזקות למיניהן.

· נהלים, בקרה וביקורות.

מניסיוני הרב בתחום, כנציג חברה שמספקת טכנולוגיות אבטחה, ההקשחות הבסיסיות הללו הן הגנה מספקת ל-99% מתקיפות הסייבר השכיחות שארגונים חווים. הקפדה ברמה הזו תבטיח שאותן טכנולוגיות אבטחה שברשותכם – יהיו מוגנות מפני חדירה או ניצול.

הקשחות בפרט, והגנת סייבר בכלל, הן מאמץ ארגוני משותף בו למנהלי וליחידות הביטחון ישנו תפקיד מוביל, הן בשל היותם מגיני הארגון בהגדרה, והן בשל היותם משתמשי הקצה של טכנולוגיות האבטחה הרבות, שכולן "חלונות פתוחים" שיש להבטיח את סגירתם.

בשורה התחתונה, ההבדל בין חלון פתוח לבין חלון סגור הוא לא בהכרח טכנולוגי – אלא ניהולי. מנהלי הביטחון נדרשים לקחת אחריות ולהוביל את ההגנה גם בזירה זו. ההקשחות הבסיסיות הן התחלה מצוינת.