צ'קמרקס בתחזית ל2020: ניצול לרעה של-API יהפוך למרכיב עיקרי בפריצות לנתונים

צ'קמרקס בתחזית ל2020: ניצול לרעה של-API יהפוך למרכיב עיקרי בפריצות לנתונים

מתי סימן, מייסד ומנהל טכנולוגיה ראשי בצ'קמרקס - תמונה באדיבות צ'קמרקס

מתי סימן, מייסד ומנהל טכנולוגיה ראשי בצ'קמרקס, ארז ילון, מנהל מחקר אבטחת המידע בחברה ומאט רוז, מנהל גלובלי של אבטחת יישומים בחברה מספקים את תחזית האיומים שלהם לשוק הסייבר לשנת 2020.

בינה מלאכותית

ב-2020 נראה שימוש הולך וגובר בבינה מלאכותית (AI) על ידי פושעי סייבר השואפים להרחיב את התקפותיהם. עד לא מזמן, נדרשו לתוקפים ימים או שבועות לביצוע מתקפת פישינג אחת בסיסית. כיום, לעומת זאת, אנו רואים כיצד הבינה המלאכותית משמשת במגוון סוגי התקפות, לרבות "וויילינג" (whaling), שבהן התוקפים משתמשים בבינה מלאכותית לאיסוף מידע מרשתות חברתיות, מה שמייעל את מאמציהם ועושה אותם יותר ממוקדים.

בינה מלאכותית פותחת את הדלת בפני מוטציות חדשות של תוכנות זדוניות המבוססות על אלגוריתמים גנטיים בעלי יכולת למידה, בהם משתמשים התוקפים כדי להגדיל את סיכויי ההצלחה שלהם. מה שמטריד במיוחד הוא שמוטציות אלו עוקפות לעתים קרובות את פתרונות האנטי-וירוס באמצעות שינוי חתימה או מבנה תוך כדי תנועה, ובכך מאפשרות למטען הזדוני לזרוע נזקים והרס במערכות.

תשתית כקוד

עד לאחרונה, הוצאות האבטחה הארגוניות התמקדו בראש ובראשונה בהגנה על תשתית המחשוב המסורתית. כיום, התשתית הזאת גמישה וארגונים מרחיבים ומצמצמים אותה לפי הצורך, בין השאר הודות ל"תשתית כקוד" (Infrastructure as Code). תשתית כזאת מציעה יתרונות עצומים, אבל ב-2020 ניתן לצפות שתוקפים ינצלו לרעה טעויות של מפתחים בסביבות גמישות אלו.

עם כניסתם של פתרונות תשתית כקוד, יותר ארכיטקטורות רשת והאבטחה מוגדרות באמצעות תכנה, עובדה המשפיעה על הוצאות האבטחה המסורתיות של מחלקת המחשוב. התשתית כקוד תוביל להקצאת סכומים גדולים יותר לאבטחת תכנה ויישומים אשר בעבר היוו כ-10% בלבד מתקציב אבטחת המחשוב, מה שיוביל לשינוי משמעותי במבנה המסורתי של הוצאות האבטחה.

קוד פתוח

עם השימוש ההולך וגובר של ארגונים בקוד פתוח ביישומים שלהם, נראה בשנה הבאה עלייה בהסתננות עברייני סייבר לפרויקטי קוד פתוח. אנו צפויים לראות תוקפים "שתורמים" לקהילות קוד פתוח לעתים קרובות יותר מאי פעם, על-ידי הזרקת מטען זדוני היישר לחבילות הקוד הפתוח כדי שמפתחים וארגונים המשתמשים בקוד ישתילו אותו ביישומי הארגון מבלי לדעת שהוא נגוע.

ככל שתעלה המודעות לתרחיש הזה, יגדל הצורך בתהליכים כגון בדיקות רקע של מפתחים ותורמים לקוד הפתוח. כיום סביבות הקוד הפתוח מבוססות לחלוטין על אמון. רוב הארגונים אינם בודקים פרויקטים קודמים של המפתחים שתורמים את הקוד או את המוניטין שלהם. ואולם, ככל שתוקפים ינצלו זאת לרעה, האמון הזה יישחק ויאלץ ארגונים לנקוט בצעדי מניעה פרואקטיביים, לרבות סינון ובדיקה יסודית של הקוד הפתוח ביישומים הארגוניים, כמו גם בדיקה של מי שמספק אותו.

האינטרנט של הדברים (IoT)

יצרנים בתחום "האינטרנט של הדברים" מדברים הרבה על חשיבות אבטחת המידע ושמירת הפרטיות בעת שימוש במוצרי IoT, אך נראה כי דיבורים אלה לא הובילו עדיין לצעדים מעשיים או לתעדוף אבטחת הצרכנים במקביל לרווחי החברה.

ככל שצרכנים מודעים יותר לסוגיות האבטחה באינטרנט של הדברים, ב-2020 ייאלצו היצרנים לקחת על עצמם אחריות גדולה יותר ולוודא שהמכשירים שלהם מאובטחים. אני צופה גם שמשתמשי הקצה יגלו יותר עניין בבדיקת רקע האבטחה של היצרן ואמינותו, לפני שירכשו מכשיר IoT לשימוש אישי. כתוצאה מכך, יצרנים בלתי אחראיים עשויים למצוא את עצמם עם ערימות גדלות והולכות של מוצרים שלא נמכרו במחסנים ועל המדפים. 

API

בשנה הקרובה, ניצול לרעה של-API יהפוך למאפיין עוד יותר בולט בפריצות לנתונים שביישומים של ארגונים גדולים. כיום, אין כמעט דרך לפתח יישום מודרני ללא יישום כלשהו של API.תוקפים מודעים לכך וממקדים את תשומת הלב למטרות חדשות אלו בתכנון ההתקפה הבאה.

ב-2020 ובשנים שאחריה תגדל החשיבות של חינוך לאבטחת API במטרה לצמצם את הסיכונים והפרצות. מפתחים צריכים למנף את המשאבים העומדים לרשותם כגון לימוד הסיכונים המפורטים ברשימת עשרת המובילים שלOWASP  (הקהילה המקוונת לאבטחת יישומי אינטרנט) לאבטחת API, המציינת את הסיכונים שעמם מתמודדים ארגונים עקב השימוש ב-APIs.

Microservices (מיקרו-שירותים)

ב-2020 נהיה עדים להתרבות ה-Microservices בארכיטקטורת התכנה ולכך שצוותי פיתוח יתנו משקל דומה למהירות ולאבטחה. השימוש ביחידות קוד קטנות אלו הפך לחיוני לשמירה על האג'יליות ב-CI/CD ולמעשה, הגישה למיקרו-סרוויסס מעודכנים ומאובטחים תהפוך לנורמה החדשה של מפתחי התכנה בשנה הבאה ואחריה.

אבטחת מערכות הצבעה

כשמדברים על תשתית בחירות כבר לא מתכוונים למכשיר מכני עם גלגל וכפתורים פיזיים. רוב מערכות ההצבעה וספירת הקולות בארה"ב מבוססות כיום על מחשבים הרצים על תכנות מסחריות וקוד פתוח שהופכים אותם לפגיעים כמו כל משאב אחר מבוסס דפדפן ומחובר לרשת.

אני מצפה שתוקפים השואפים לשבש את הבחירות ב-2020 ימצאו דרכים לעשות מניפולציה בנתונים הנכנסים או יוצאים ממכשירים אלה. ניתן לצפות מהם להשתמש בטכניקות שכיחות כגון הזרקת SQL שבה התוקפים מנסים לעשות מניפולציה בכל מחרוזת שאילתא ולשנות – אפילו למחוק לחלוטין - נתוני הצבעה. ההשלכות של מתקפות כאלה ברורות: הטיה של נתוני ההצבעה או גרוע מכך, מחיקה לחלוטין של הצבעות.

אוטומציה

אחד האתגרים הגדולים ביותר הניצבים בפני צוותי האבטחה והפיתוח כיום הוא עומס יתר של נתוני אבטחה, המקשה על אספקת תכנה מהירה ומאובטחת בצורה אמינה. ב-2020 ימשיכו להתפתח כלים לבדיקות אבטחה של אפליקציות
(Application Security Testing) הממנפים את יכולות האוטומציה כדי להשיג תוצאות באיכות גבוהה. כלים אלו יסייעו לארגונים לעבור למודל DevSecOps אמיתי, באמצעות אוטומציה הכוללת זיהוי ומיון הפרצות וקיצור משך ההגעה של התכנה לשוק (time-to-market).

על מנת להבין טוב יותר את מגוון האיומים בתהליך מחזור הפיתוח של תוכנות SDLC, ואילו חלקים צריכים לעבוד באופן אוטומטי, בשנה הבאה, על ארגונים שמגבשים את אסטרטגיות ההגנה שלהם להפסיק להתייחס רק לאיומים המדוברים ביותר בתעשייה. במקום זה, יש לבחון את האיומים המובילים הרלוונטיים לתשתיות ה-IT ולמודלים העסקיים. כלי אבטחה אוטומטיים יתמכו בבדיקות כאלו, ייעלו את תהליכי המיון ויסייעו לצוותים להתמקד קודם בפרצות האבטחה הדחופות ביותר.

אולי יעניין אותך גם