דעה: הרשת הארגונית המסורתית אינה מהווה הבטחה נגד תקיפות סייבר

ניר בר נתן מסביר כי מאז שפלטפורמות מחשוב הענן התחילו את דרכן, הן פותחו והתפתחו משמעותית ומשקיעות משאבים נרחבים באבטחה, בצורה שעוקפת את חולשות הרשת

ניר בר נתן. צילום: אפרת קופר

בתקופה האחרונה פורסם באמצעי התקשורת מידע אודות תקיפות סייבר רבות כנגד ארגונים בישראל ובכלל. התקיפות בוצעו על הרשת הארגונית ON PREM, בעוד שהרשתות בענן נשארו נקיות מכל התקפה.

כזכור למנהלים בכלל ולמנהלי תשתיות בפרט, פלטפורמות מחשוב הענן המובילות התחילו את דרכן ב-2005, השנה שבה עיקר הפעילות הייתה תשתית כשירות. כל מנהל ארגון קיבל פניה מספקים, שהציעו לו להעביר את  ה-data center אליהם, כשהם, הספקים, נושאים במשאבים. אלא שלא היה ברור, לפחות לא בהתחלה, מה יקבל הארגון מבחינת ביצועים, אבטחת מידע וכו'. היה נעלם גדול וחשש מהתהליך כולו. רבים ישבו על הגדר והמתינו לראות מה קורה בחברות אחרות.

מאז עברנו כברת דרך של שני דורות, במהלכן הפלטפורמות פותחו והתפתחו משמעותית. הדור השני החל למעשה ב-2012, אז כבר בוצע שינוי דרמטי. תהליכי עיבוד המידע בענן שופרו אף הם. כאן אנחנו כבר רואים שירותי streaming שעובדים על הענן, תהליכי DEVOPS החלו לבלוט, microservices לפיתוח תוכנה בענן – שירות שהאיץ מאד את תהליכי הפיתוח, שירותי קונטיינר, עננים היברידיים, שרידות אופטימלית ועוד.

פתאום הפערים בביצועים בין רשת ה-ON PREM המסורתית לרשתות אצל ספקי הענן הצטמצמו משמעותית, גם מבחינת אבטחת המידע. כולם מציעים היום מגוון אפשרויות להגנה על המידע ונותנים למעשה, לכל הפחות, את אותה רמת הגנה הקיימת בארגון.

ספקי הענן המובילים כיום לא רק נותנים שכבות הגנה אופטימליות, אלא גם visibility ברזולוציה גבוהה מאד על כל  הנכסים המאוחסנים בחשבון הענן של אבטחת המידע הארגוני. ביניהם ניתן למצוא נתונים דוגמת: האם יש רכיבים שאינם מוגדרים באופן מושלם? האם ההגדרות המיושמות בחשבון מספקות ביחס לעמידה בתקנים כמו: ISO 27001 ,PCI DSS? האם יש לנו המלצות ליישום? ההשקעה בכל הקשור לאבטחה בענן עובדת שעות נוספות על מנת להצדיק את הענן.

בנוסף, אזכיר כי ברשת ON PREM מעולם לא יכולנו לראות בכל רגע נתון מה מצבנו ביחס לעמידה בתקנים. גם היום בתשתית זו עדיין אין לנו מבט מלמעלה ופנימה על הרשת הארגונית שמראה לנו איפה החולשות שלנו ומה אנו צריכים לעשות כדי להתחזק. אנו בעיקר "תוקפים" כל פעם חלק אחר וממשיכים הלאה.

אם כן, נמצא שהפערים, נכון לשנת 2020, לא רק שהצטמצמו אל מול הרשת הארגונית בהיבט של ביצועים והגנה על המידע – אלא יהיו שיגידו שדווקא סביבת הענן עם הכלים שעומדים לרשותנו היום, מציעה אבטחה טובה יותר מהרשת הארגונית. ברשת הארגונית נמצא, כמעט תמיד, המון חולשות, מערכות הפעלה ומסדי נתונים ישנים, תהליכי עדכוני אבטחה שנעשו בהדרגה ולאורך זמן (לעיתים אין את הזמן כי התוקף כבר נמצא על גדרות הארגון), שימוש בטכנולוגיות ישנות ועוד.

כל אלה מהווים למעשה חולשות מהלכות ברשת הארגונית. בענן החולשות הללו לא קיימות שכן התשתיות חדשות ומעודכנות לפי תקנים מחמירים. בתחילת האבולוציה העננית באו מנמ"רים ואמרו כי הענן לא מאובטח. היום כבר אין לאמירה זו אחיזה מציאותית והעובדה היא שיש הגירה מאסיבית של משאבי מיחשוב לספקיות הענן המובילות. הגירה זו צפויה להתעצם עוד יותר במהלך 2021 משתי סיבות עיקריות.

הסיבה הראשונה: הרשת הארגונית איננה מאובטחת יותר מהרשת בענן אם עושים זאת נכון. ספקיות הענן הגדולות והמובילות לא יוכלו לסבול התקפות כאלה על הלקוחות שלהם ולכן מראש הפלטפורמות המוצעות מוקשחות, אין גרסאות שאינן נתמכות, יש להם כלים לזיהוי ומניעה של תקיפות כחלק מהשירות המוצע. בנוסף יש להם ממשקים לספקים צד שלישי להטמעת כלי אבטחה נוספים לחשבון ענן הארגוני שייתנו רובד אבטחתי נוסף.

הסיבה הנוספת היא העברת אחריות מקצועית. עם הזמן ארגונים מבינים שיותר נכון לעבור לענן, שם הדרך להגיע לרמת אבטחה מספקת הינה קצרה יותר מאשר להתחיל ליישם ברשת הארגונית. כאשר הדאטה בענן זה סוג של העברת אחריות מצד אחד לצד אחר, אבל כזאת שבמקביל תגרום  לאנשי אבטחת המידע להיות עירניים יותר, בין היתר כי המידע כבר לא באמת יושב לידם (אפקט פסיכולוגי מעורר). מצד שני נהנים מכל מה שהענן מציע ויש המון.

**אין באמור כדי להבטיח חסינות מלאה מתקיפות סייבר על תשתית ענן ארגונית.

מאת ניר בר נתן, מנהל חטיבת שרותי הגנת סייבר – CyberLink מקבוצת SQLink

אולי יעניין אותך גם

״מזהים איום פנימי באמצעות ניטור שכבת האפליקציה״ 

באדיבות Tracker Detect. צילום: אורן יזרעאל

״מזהים איום פנימי באמצעות ניטור שכבת האפליקציה״ 

חברת Tracker Detect הישראלית עולה מעל הרדאר ורוצה לספק פתרון להתמודדות עם איום פנימי. ״אנחנו יודעים לנטר פעולות באפליקציה, לקשר אותן לתהליך עסקי ולדעת האם הן חריגות״, אומרים בחברה