כבר עשור שמובילת אבטחת הסייבר CrowdStrike מוציאה דו"ח איומים שנתי. המהדורה הנוכחית שופכת אור על מגמות מעניינות וחשובות בנושא. כך, למשל, מציג הדו"ח עלייה ניכרת במספר התוקפים הגונבים זהויות כדי להתחבר לרשתות של ארגונים ולתקוף אותם מבפנים. עוד נרשמת עלייה דרמטית במהירות הצלחת המתקפה: זמן הפריצה הממוצע ירד מ-84 דקות בשנה שעברה ל-62 דקות בלבד השנה, כשההתקפה המהירה ביותר שתועדה ארכה 2:07 בלבד, כשהגישה הראשונית פוצחה תוך 31 שניות.
"פרסום הדו"ח הוא ההזדמנות שלנו לספק לארגונים מבט למה שראינו בשנה האחרונה", אומר זקי טורדי, סמנכ"ל הטכנולוגיות לאזור אירופה של CrowdStrike. "השיח בנושא חשוב לשיפור רמת האבטחה. כמי שמגינה ותומכת בעשרות אלפי ארגונים ברחבי העולם, יש ל-CrowdStrike הסתכלות מקיפה ורחבה שטוב לחלוק".
מה בעיניך הגילוי הבולט ביותר בדו"ח החדש?
"הירידה המתמשכת בזמן שלוקח לתוקפים לפגוע בארגונים. זהו פרמטר משמעותי, המחושב לפי הנוסחה 'כמה זמן לוקח לתוקף לפגוע בקורבן הראשון בארגון, להתחיל את החדירה העוינת, לטרגט מערכות נוספות בארגון ולהוציא לפועל את כלל המתקפה'. אורך חלון הזמן הזה עושה לעתים את ההבדל בין התמודדות מוצלחת עם האיום לשבירת האבטחה. כמגיני סייבר, השאיפה שלנו היא שהארגון יצליח לחסום את המתקפה בזמן. כשהתוקף כבר נמצא בתוך המערכת והארגון נכנס ללחץ ומפעיל גורמי אבטחה - ההתמודדות כבר אינה קלה, והופכת ממניעת נזקים לצמצום נזקים".
כיצד אתה מסביר את התגברות מהירות הפריצה?
"השחקנים בתחום הזה - בדרך כלל קבוצות פשיעת סייבר, אך גם גורמים המופעלים על ידי מדינות - הופכים לחכמים יותר ולמהירים יותר. הם מתעמקים בהבנת הטכנולוגיות החדשות שארגונים מאמצים, לומדים את נקודות התורפה, משקיעים ביכולות אוטומטיות ומפתחים משאבים בהנדסה חברתית. כלומר, הם מתמקדים בקבלת הרשאות גישה במרמה, מכיוון שאיתן קל להיכנס למערכת המחשוב הארגוני. אם פעם התוקפים ניסו להערים על גורם בארגון בעזרת אי-מייל, היום הם גם מרימים טלפון למרכז תמיכת ה-IT של הארגון, מזדהים כמנהל בכיר עם קשיי לוגין - 'הטלפון שלי לא עובד' וכדומה - וכך מקבלים את מבוקשם. ראינו הצלחה גדולה של השיטה הזאת".
דרך נוספת שהתעדכנה בפעולת התוקפים היא צורת עבודתם בתוך המערכת. בניגוד לעבר, כיום מנסים התוקפים להישאר במצב שקט לאחר החדירה, להיראות כמה שיותר כמו משתמש לגיטימי שאינו מדליק נורות אזהרה וכך להגדיל את פוטנציאל הפריצה. "הם כבר לא משתמשים בנוזקה מסורתית, אלא מחפשים להיות שקטים ככל האפשר, מה שקרוי Stealth", מסביר טורדי. "ראינו עלייה של 60% בפגיעות מסוג זה, המהוות אתגר ממשי לארגון - כיצד להבדיל בין פעילות לגיטימית ללא לגיטימית בתוך המערכת. מבחינת המגנים האתגר גם כן גדל - כבר לא רודפים אחר הנוזקה המסורתית, אלא צריכים לזהות טכניקות שהתקדמו הרבה מעבר"
הסביבה העננית פגיעה
גורם נוסף שמגביר את המתקפות והצלחתן הוא המעבר לסביבת הענן. ב-CrowdStrike סבורים שבעוד שארגונים פועלים כדי להעביר אליהם משאבים בצורה חכמה - פעמים רבות הם לא משקיעים באותה המידה באבטחה והגנה בענן. טורדי מספר שכתוצאה מכך מזוהה עלייה במספר קבוצות תקיפה המשקיעות רבות בלימוד נקודות תורפה בסביבת הענן ובסיכונים שארגונים לוקחים על עצמם במעבר אליה.
"לענן יש יתרונות עצומים, ולמעשה האבטחה היא אחד מהם, אך כמו ברוב הדברים - אם לא בונים נכון, זה לא עובד כמו שצריך. הסביבה העננית הופכת כך לפגיעה לא פחות ממבנה On-Prem מסורתי", הוא מדגיש. "ארגונים מריצים פרויקטי מעבר ענן גדולים, אך האבטחה לא עוברת תהליך מדוקדק מספיק. אך טבעי שבסיטואציה הזאת תוקפים יחפשו את טעויות הארגונים כדי לבצע מולן מניפולציות. כך נרשמה עלייה של 75% במקרים כאלו".
מהי בעצם מטרת התוקפים בדרך כלל? לסחוט ולעשות כסף, ליהנות מהבלגן או שזו בכלל אידיאולוגיה?
"יש כאלו ויש כאלו. האיום המשמעותי ביותר שאנו מזהים כיום הוא עלייה חדה במספר הקבוצות הפליליות-מחתרתיות. הן שם כדי לסחוט כסף. הן גם הפכו לחכמות יותר ונוקבות בסכומי כופר גדולים, אך לא בלתי אפשריים לתשלום, מתוך הנחה שכך גדל הסיכוי לקבל את דרישתן. ישנם ארגונים מותקפים שלא שורדים סיטואציה כזאת, כי גם אם יכלו להרשות לעצמם את הכופר - המקרה מביא גם נזקים אחרים: כספיים, דוגמת תשלום למגני הסייבר, וכן חוקיים ורגולטוריים".
יכולות בינה מלאכותית
צורת פשיעה נוספת שמתרחבת במקביל, מציין טורדי, היא השגת גישה לארגון כדי למכור אותה הלאה. מחירי פרטי לוגין של משתמש ארגוני יכולים לנוע מעשרה דולר לעשרות אלפי דולרים. "זהו עסק רווחי מאוד, ובהתאם ראינו עלייה עצומה במכירת גישה לארגונים", הוא מספר. "יש לכך משמעות נוספת: קיומו של שוק כזה מאפשר לקבוצות תוקפים חדשות לצוץ, כי הן לא צריכות להיות מומחיות סייבר גדולות. מספיק שיקנו גישה לארגון וימשיכו עצמאית משם.
"יש גם את אלו שעובדים עבור מדינה ומטרתם לדלות מידע שהיא מעוניינת בו, ויש את מה שקרוי Hacktivists - קבוצות שמטרגטות ארגונים מתוך עמדה פוליטית/אידיאולוגית. לפעמים גם יש ערבוב: מדינות מתחפשות להאקטיביסטים כדי לבצע מתקפות בהן ניתן יהיה להאשים קבוצות פרטיות ולא אותן".
ניתן להניח שישראל חשופה בעיקר לסוג פגיעות כזה, בעיקר בחצי השנה האחרונה.
"בהחלט יש קבוצות שרוצות לפגוע בישראל וכן מדינות, דוגמת איראן. מתחילת המלחמה אנו רואים עלייה בהאקטיביסטים ובהתקפות מונעות-מדינה על ישראל. CrowdStrike נמצאת בישראל כבר שנים, יש לה צוות שלם פה ואנו שמחים להגן על ארגונים ישראלים מכל המגזרים והוורטיקלים. אך לא כל המתקפות על ישראל מגיעות מסיבות פוליטיות. אנו רואים עניין עצום בקרב קבוצות האקינג פליליות, בגלל הדומיננטיות הטכנולוגית של המדינה. יש בישראל חברות טכנולוגיה וסטארט-אפ רבות, ולתקוף אותן בהצלחה יכול להיות מאוד רווחי לקבוצות הללו".
כיצד אתם פועלים להגן על לקוחותיכם הישראלים?
"פלטפורמת הגנת הסייבר שלנו מוכיחה את עצמה בישראל ובשאר העולם. כשיש טכנולוגיה נכונה המופעלת על ידי צוות אבטחה נכון - ניתן להתמודד. CrowdStrike ידועה בגישה לספק טכנולוגיה אחת, ממשק אחד וסוכן אחד - היוצרים ביחד חבילת הגנה מלאה לארגונים. החבילה הזאת משתדרגת כל הזמן, למשל בתקופה הנוכחית עם יכולות בינה מלאכותית. כל מה שאנחנו עושים מגובה על ידי מודיעין סייבר עדכני, אנחנו כל הזמן לומדים מה מעוללות קבוצות התקיפה בתחום וכיצד הם מתפתחות - ומשתמשות במידע הזה כדי להגן על לקוחותינו".
לאתר>>>
בשיתוף CrowdStrike
