מחפשים חלופות לחומת האש
איומים חדשים במרחב הקיברנטי כגון מתקפות Zero Day, ו-APT מעמידות את יעילות טכנולוגיית חומת האש (Firewall) בסימן שאלה. בחברת waterfall הישראלית חושבים שהגיע הזמן לחשוב על פתרון אחר
הגנה לישראל
| 19/05/2011
via shutterstock.com
השנים האחרונות מתאפיינות בתופעה בה מעשי פשע, טרור ומלחמות בין מדינות מבוצעים יותר ויותר בזירה הדיגיטלית. יכולות התקיפה, התוצאה האפשרית וכן הנגישות ההולכת וגדלה לטכנולוגיות התקפיות, הביאו ארגונים רבים למסקנה שאי אפשר להמשיך להסתמך על אמצעים ושיטות הגנה "ישנות".
דו"ח של חברת וריזון (Verizon 2013 Data Breach Investigations Report), חושף כי חלה עלייה בריגול התעשייתי שמבוצע על ידי מדינות בעלות יכולות התקפיות גבוהות. כיום ניתן לומר בביטחון כי מדובר בתופעה עולמית בה גורמים פליליים, טרוריסטים ומדינתיים, משתמשים במתקפות סייבר מתוחכמות למימוש האסטרטגיה והאידיאולוגיה שלהם. יותר מבעבר, הם רושמים הצלחות בעקיפת מערכי ההגנה המסורתיים הנמצאים בשימוש.
איומים חדשים, טכנולוגיה ישנה
בחינה מדוקדקת של המתקפות האחרונות שפקדו את ארה"ב ומדינות נוספות בעולם, מגלה שאין ארגון שהוא חסין ואינו ניתן לפריצה, בין אם ישירות ובין אם בעקיפין. יותר ויותר מנהלי אבטחת מידע ואחראי בטיחות מבינים שהגישה המסורתית המשתמשת באמצעי אבטחת מידע לאבטחת התשתית אינה יעילה יותר.
אחת המסקנות העיקריות היא שמערך ההגנה המקובל, המבוסס בין השאר על חומות אש (Firewall), אינו מספק את רמת האבטחה הנדרשת עבור ארגונים חיוניים ותשתיות קריטיות. האמת העצובה היא, שחומת האש היא טכנולוגיה שפותחה לפני כ 40 שנים ואינה פתרון אבטחה מתאים כפי שאנשים רבים היו רוצים להאמין.
מומחים ויועצי אבטחה, כמו גם האקרים שונים, מודעים היטב לחסרונות ולמגבלות של חומות האש, והם מפרסמים באתרים שונים טכניקות ושיטות שבהן ניתן לנקוט לצורך תקיפה ופיצוח שלהן. גורמי רגולציה מקומיים ובינלאומיים שונים, כגון NERC-CIP, ISA SP-99, וכן גם ההנחיות העדכניות של ה DHS - Department of Homeland Security, תיארו היטב את המצב הבעייתי המדגיש במפורש כי חומות אש ופתרונות "קלאסיים נוספים" אינם יכולים לתת מענה מספק להתקפות מתוחכמות והמליצו על שימוש בטכנולוגיות ומוצרים מתקדמים המתאימים לאיומים החדשים. בין הטכנולוגיות הללו ניתן למנות Application Control, Unidirectional Security Gateways ומערכות SIEM.
באופן פרדוקסאלי, דווקא ארגונים חיוניים ותשתיות קריטיות לאומיות נוטים עדיין להשתמש בחומות אש לצורך חיבור בין רשתות בעלות רמות קריטיות שונות. לדוגמא, חיבור בין רשת היצור הקריטית לבין רשת מנהלתית (המחוברת אל האינטרנט).
אחת הבעיות המרכזיות בחומת אש היא העובדה כי מדובר במערכת מבוססת תוכנה. חומת אש זו מערכת הבוחנת כל מידע / הודעה המגיעים לארגון ומחליטה מה יכנס פנימה לתוך הרשת הארגונית ומה יחסם. לתוכנה זו, כמו לכל תוכנה באשר היא, יש "חורים" בדמות פגיעויות ותקלות תכנות (Bugs). שימוש לרעה באחת האפשרויות לעיל מאפשרת חדירה דרך חומת האש, ובמקרים רבים חדירה זו מתבצעת ללא השארת עקבות.
גם השימוש בנתוני הזדהות מהווה בעיית אבטחה. לעתים קרובות, כל מה שנדרש כדי לחדור חומת אש הוא להפעיל טכניקות של Social engineering (הנדסה חברתית), על מנת להערים על מנהל מערכות או משתמש תמים ולגרום לו למסור פרטי הזדהות או הרשאות גישה. כך ניתן להתחבר דרך חומת אש לתוך הרשת הקריטית. אין צורך "לשבור" חומת אש כאשר אפשר למצוא מישהו שייתן לך את הסיסמה .
תקיפות עדכניות וחולשות Zero Day גם הן מהוות בעיה בסיסית בעולם האבטחה, כאשר תוקפים מנצלים את פער הזמן בין מועד המתקפה למועד הגילוי שלה. חתימות חדשות לזיהוי התקיפה ושיטות להגן או לתקן את החולשה, אינן מפותחות על ידי יצרני האנטי וירוסים עד שמסה קריטית של תקיפות דומות בוצעו וזוהו.
בנוסף לכך, לעיתים הפיתוח הנדרש לאמצעי הגנה אורך זמן רב. כדוגמא לכך ניתן לציין את תולעת ה- stuxnet שפעלה לאורך זמן ממושך, ולקחו שלושה חודשים לפתח עבורה "חתימה" ויכולת התגוננות. המשמעות היא שבמשך זמן ממושך, לאחר חשיפתה, פעלה התולעת ללא כל מענה והגנה. נדגיש עוד כי אחת משיטות ההתפשטות של התולעת הייתה "התגנבות" דרך חומות אש של הארגונים והרשתות בהן היא פעלה.
דרושה חשיבה אחרת בנוגע לתשתיות קריטיות
קיימות שיטות רבות ונוספות אשר מאפשרות תקיפה או עקיפה של חומות אש, חלקן טכניות מאוד ודורשות ידע וניסיון רב, וחלקן לא. השאלה הנשאלת היא: האם זה סביר להשתמש בטכנולוגיה כזו על מנת להגן על רשת הבקרה של תחנת כח או אסדת גז? האם סביר לאפשר נגישות מרשת האינטרנט לרשתות אלו ולהניח שחומת האש תגן עליהן באופן מספק?
מבין הטכנולוגיות העדכניות המשמשות להגנה על תשתיות קריטיות, ניתן ציין את טכנולוגיית ה Unidirectional Security Gateways, אשר בה חברת ווטרפול הישראלית הינה חלוצה בינלאומית. טכנולוגיה זו מאפשרת שיתוף מידע בין רשתות קריטיות לרשתות "רגילות" תוך מתן הגנה הרמטית מפני תקיפות "סייבר" מן החוץ.
הטכנולוגיה המוגנת בפטנטים, מאפשרת יצירת "עותק ראי" של מערכות ושרתים מתוך הרשת הקריטית. עותק ראי זה זמין מחוץ לרשת הקריטית למשתמשי הארגון השונים. השכפול מבוצע באמצעות טכנולוגיה ייחודית ומאופיין בכך שהוא עובד מעל תווך תקשורת חד כווני ברמת החומרה. השימוש בחומרה החד-כיוונית של ווטרפול מבטיח חסינות לתקיפות תוכנה ומייצר את ההבדל המהותי מבחינת רמת האבטחה, בהשוואה לחומות אש.
מוצריה של ווטרפול נבדקו ואושרו על ידי רגולטורים ברחבי העולם ואושרו לשימוש בתשתיות קריטיות, בנוסף לכך אישר המשרד לביטחון פנים האמריקאי (DHS), לאחר ביצוע בדיקה מעמיקה, כי הטכנולוגיה של החברה מספקת את ההגנה שהיא מבטיחה. מערכות החברה מותקנות במגוון רחב של ארגונים חיוניים ותשתיות קריטיות בארה"ב, אירופה ואסיה כולל בתחנות כח, תחנות כח גרעיניות, בתי זיקוק, תשתיות מים, ועוד.
לסיכום, לנוכח איומי העת החדשה נדרשת חשיבה חדשה על אופי ושיטות ההגנה על תשתיות קריטיות ושירותים חיוניים. היה זה אלברט אינשטיין שאמר כי "לא נוכל לפתור בעיות באמצעות אותה צורת חשיבה שהשתמשנו כשיצרנו אותם".
הדרישה הבסיסית מתשתיות קריטיות היא שהן יעבדו בשגרה וחירום באופן מלא ורציף. דרישה זו מביאה את הגורמים האמונים על הגנת סביבות אלו למסקנה שאמצעי ההגנה המסורתיים אינם מספקים את הסחורה, ואלו פונים לטכנולוגיות חדשות ומתאימות יותר הזמינות היום בשוק.
הכותב הוא מנכ״ל ויזם משותף בחברת ווטרפול סקיוריטי
השנים האחרונות מתאפיינות בתופעה בה מעשי פשע, טרור ומלחמות בין מדינות מבוצעים יותר ויותר בזירה הדיגיטלית. יכולות התקיפה, התוצאה האפשרית וכן הנגישות ההולכת וגדלה לטכנולוגיות התקפיות, הביאו ארגונים רבים למסקנה שאי אפשר להמשיך להסתמך על אמצעים ושיטות הגנה "ישנות".
דו"ח של חברת וריזון (Verizon 2013 Data Breach Investigations Report), חושף כי חלה עלייה בריגול התעשייתי שמבוצע על ידי מדינות בעלות יכולות התקפיות גבוהות. כיום ניתן לומר בביטחון כי מדובר בתופעה עולמית בה גורמים פליליים, טרוריסטים ומדינתיים, משתמשים במתקפות סייבר מתוחכמות למימוש האסטרטגיה והאידיאולוגיה שלהם. יותר מבעבר, הם רושמים הצלחות בעקיפת מערכי ההגנה המסורתיים הנמצאים בשימוש.
איומים חדשים, טכנולוגיה ישנה
בחינה מדוקדקת של המתקפות האחרונות שפקדו את ארה"ב ומדינות נוספות בעולם, מגלה שאין ארגון שהוא חסין ואינו ניתן לפריצה, בין אם ישירות ובין אם בעקיפין. יותר ויותר מנהלי אבטחת מידע ואחראי בטיחות מבינים שהגישה המסורתית המשתמשת באמצעי אבטחת מידע לאבטחת התשתית אינה יעילה יותר.
אחת המסקנות העיקריות היא שמערך ההגנה המקובל, המבוסס בין השאר על חומות אש (Firewall), אינו מספק את רמת האבטחה הנדרשת עבור ארגונים חיוניים ותשתיות קריטיות. האמת העצובה היא, שחומת האש היא טכנולוגיה שפותחה לפני כ 40 שנים ואינה פתרון אבטחה מתאים כפי שאנשים רבים היו רוצים להאמין.
מומחים ויועצי אבטחה, כמו גם האקרים שונים, מודעים היטב לחסרונות ולמגבלות של חומות האש, והם מפרסמים באתרים שונים טכניקות ושיטות שבהן ניתן לנקוט לצורך תקיפה ופיצוח שלהן. גורמי רגולציה מקומיים ובינלאומיים שונים, כגון NERC-CIP, ISA SP-99, וכן גם ההנחיות העדכניות של ה DHS - Department of Homeland Security, תיארו היטב את המצב הבעייתי המדגיש במפורש כי חומות אש ופתרונות "קלאסיים נוספים" אינם יכולים לתת מענה מספק להתקפות מתוחכמות והמליצו על שימוש בטכנולוגיות ומוצרים מתקדמים המתאימים לאיומים החדשים. בין הטכנולוגיות הללו ניתן למנות Application Control, Unidirectional Security Gateways ומערכות SIEM.
באופן פרדוקסאלי, דווקא ארגונים חיוניים ותשתיות קריטיות לאומיות נוטים עדיין להשתמש בחומות אש לצורך חיבור בין רשתות בעלות רמות קריטיות שונות. לדוגמא, חיבור בין רשת היצור הקריטית לבין רשת מנהלתית (המחוברת אל האינטרנט).
אחת הבעיות המרכזיות בחומת אש היא העובדה כי מדובר במערכת מבוססת תוכנה. חומת אש זו מערכת הבוחנת כל מידע / הודעה המגיעים לארגון ומחליטה מה יכנס פנימה לתוך הרשת הארגונית ומה יחסם. לתוכנה זו, כמו לכל תוכנה באשר היא, יש "חורים" בדמות פגיעויות ותקלות תכנות (Bugs). שימוש לרעה באחת האפשרויות לעיל מאפשרת חדירה דרך חומת האש, ובמקרים רבים חדירה זו מתבצעת ללא השארת עקבות.
גם השימוש בנתוני הזדהות מהווה בעיית אבטחה. לעתים קרובות, כל מה שנדרש כדי לחדור חומת אש הוא להפעיל טכניקות של Social engineering (הנדסה חברתית), על מנת להערים על מנהל מערכות או משתמש תמים ולגרום לו למסור פרטי הזדהות או הרשאות גישה. כך ניתן להתחבר דרך חומת אש לתוך הרשת הקריטית. אין צורך "לשבור" חומת אש כאשר אפשר למצוא מישהו שייתן לך את הסיסמה .
תקיפות עדכניות וחולשות Zero Day גם הן מהוות בעיה בסיסית בעולם האבטחה, כאשר תוקפים מנצלים את פער הזמן בין מועד המתקפה למועד הגילוי שלה. חתימות חדשות לזיהוי התקיפה ושיטות להגן או לתקן את החולשה, אינן מפותחות על ידי יצרני האנטי וירוסים עד שמסה קריטית של תקיפות דומות בוצעו וזוהו.
בנוסף לכך, לעיתים הפיתוח הנדרש לאמצעי הגנה אורך זמן רב. כדוגמא לכך ניתן לציין את תולעת ה- stuxnet שפעלה לאורך זמן ממושך, ולקחו שלושה חודשים לפתח עבורה "חתימה" ויכולת התגוננות. המשמעות היא שבמשך זמן ממושך, לאחר חשיפתה, פעלה התולעת ללא כל מענה והגנה. נדגיש עוד כי אחת משיטות ההתפשטות של התולעת הייתה "התגנבות" דרך חומות אש של הארגונים והרשתות בהן היא פעלה.
דרושה חשיבה אחרת בנוגע לתשתיות קריטיות
קיימות שיטות רבות ונוספות אשר מאפשרות תקיפה או עקיפה של חומות אש, חלקן טכניות מאוד ודורשות ידע וניסיון רב, וחלקן לא. השאלה הנשאלת היא: האם זה סביר להשתמש בטכנולוגיה כזו על מנת להגן על רשת הבקרה של תחנת כח או אסדת גז? האם סביר לאפשר נגישות מרשת האינטרנט לרשתות אלו ולהניח שחומת האש תגן עליהן באופן מספק?
מבין הטכנולוגיות העדכניות המשמשות להגנה על תשתיות קריטיות, ניתן ציין את טכנולוגיית ה Unidirectional Security Gateways, אשר בה חברת ווטרפול הישראלית הינה חלוצה בינלאומית. טכנולוגיה זו מאפשרת שיתוף מידע בין רשתות קריטיות לרשתות "רגילות" תוך מתן הגנה הרמטית מפני תקיפות "סייבר" מן החוץ.
הטכנולוגיה המוגנת בפטנטים, מאפשרת יצירת "עותק ראי" של מערכות ושרתים מתוך הרשת הקריטית. עותק ראי זה זמין מחוץ לרשת הקריטית למשתמשי הארגון השונים. השכפול מבוצע באמצעות טכנולוגיה ייחודית ומאופיין בכך שהוא עובד מעל תווך תקשורת חד כווני ברמת החומרה. השימוש בחומרה החד-כיוונית של ווטרפול מבטיח חסינות לתקיפות תוכנה ומייצר את ההבדל המהותי מבחינת רמת האבטחה, בהשוואה לחומות אש.
מוצריה של ווטרפול נבדקו ואושרו על ידי רגולטורים ברחבי העולם ואושרו לשימוש בתשתיות קריטיות, בנוסף לכך אישר המשרד לביטחון פנים האמריקאי (DHS), לאחר ביצוע בדיקה מעמיקה, כי הטכנולוגיה של החברה מספקת את ההגנה שהיא מבטיחה. מערכות החברה מותקנות במגוון רחב של ארגונים חיוניים ותשתיות קריטיות בארה"ב, אירופה ואסיה כולל בתחנות כח, תחנות כח גרעיניות, בתי זיקוק, תשתיות מים, ועוד.
לסיכום, לנוכח איומי העת החדשה נדרשת חשיבה חדשה על אופי ושיטות ההגנה על תשתיות קריטיות ושירותים חיוניים. היה זה אלברט אינשטיין שאמר כי "לא נוכל לפתור בעיות באמצעות אותה צורת חשיבה שהשתמשנו כשיצרנו אותם".
הדרישה הבסיסית מתשתיות קריטיות היא שהן יעבדו בשגרה וחירום באופן מלא ורציף. דרישה זו מביאה את הגורמים האמונים על הגנת סביבות אלו למסקנה שאמצעי ההגנה המסורתיים אינם מספקים את הסחורה, ואלו פונים לטכנולוגיות חדשות ומתאימות יותר הזמינות היום בשוק.
הכותב הוא מנכ״ל ויזם משותף בחברת ווטרפול סקיוריטי
