מהי אבטחת סייבר? מדריך למתחילים

אבטחת סייבר היא העבודה של הגנה על מחשבים, רשתות, תוכנה והנתונים שהם מחזיקים מפני גישה לא מורשית, נזק ושימוש לרעה, והחזרתם לפעולה כשמשהו משתבש. המילון של NIST מגדיר אותה כמניעת נזק למערכות, הגנה עליהן ושחזורן, כך שהמידע יישאר זמין, שלם, אותנטי, סודי ובלתי ניתן להכחשה.

ההגדרה רחבה בכוונה. היא כוללת מדיניות סיסמאות, חוק בחומת אש, גיבוי, סקירת קוד ושיחת טלפון לאישור בקשת תשלום.

#משולש CIA

את רוב עבודת האבטחה מתארים בעזרת שלוש תכונות. המילון של NIST מגדיר כל אחת מהן.

• סודיות (Confidentiality): רק אנשים ומערכות מורשים יכולים לקרוא את המידע. מסד נתונים גנוב של כתובות אימייל של לקוחות הוא כשל סודיות.
• שלמות (Integrity): המידע לא שונה ולא הושמד בצורה לא תקינה. חשבונית מזויפת או הורדת תוכנה ששונתה הן כשלי שלמות.
• זמינות (Availability): משתמשים מורשים יכולים להגיע למידע ולשירות כשהם צריכים אותם. כופרה שנועלת כל קובץ והצפת תעבורה שמפילה אתר הן כשלי זמינות.

אירועים אמיתיים פוגעים לעתים קרובות ביותר מאחת. כופרה שגם מעתיקה את הנתונים שלך שוברת זמינות וסודיות יחד. המשולש הוא רשימת בדיקה לשאלה "מה בדיוק השתבש?", והוא עובד גם לתוקפים וגם למגינים. בודק שואל איזו תכונה חולשה מאפשרת לו לשבור. מגן שואל על איזו תכונה בקרה שומרת.

#ממה אנשי אבטחה מודאגים

#איומים, חולשות וסיכון

חולשה היא נקודת תורפה, כמו תוכנה שלא עודכנה או סיסמה בשימוש חוזר. איום הוא מי שיכול לנצל אותה, כמו קבוצה עבריינית או גורם פנימי רשלן. סיכון הוא הסבירות וההשפעה של מקרה כזה. לעתים רחוקות מסירים סיכון לגמרי. מחליטים אילו סיכונים להפחית, להעביר או לקבל.

#דרכים נפוצות שבהן מערכות נכשלות

• פישינג: הודעות שמרמות אדם למסור סיסמה או להריץ משהו. ההנחיות של CISA על זיהוי ודיווח של פישינג הן קריאה ראשונה טובה.
• סיסמאות חלשות או בשימוש חוזר: כשאתר אחד מדליף סיסמה, תוקפים מנסים אותה באתרים אחרים.
• תוכנה לא מעודכנת: פגמים ידועים נשארים ניתנים לניצול עד שהתיקון מותקן.
• תצורה שגויה: storage bucket שנשאר ציבורי, סיסמת ברירת מחדל שנשארה במקומה, פורט ניהול פתוח לאינטרנט.
• פגמים באפליקציות web: הזרקות, בקרת גישה שבורה ובאגים דומים. OWASP Top Ten מונה את הקטגוריות הנפוצות ביותר.

אף אחד מאלה לא דורש מיומנות מתקדמת כדי לגרום נזק, ולכן היסודות חשובים.

#הגנה לעומק

שום בקרה לבדה לא עוצרת הכול, ולכן מגינים בונים שכבות. סיסמה גנובה לא אמורה להספיק כדי להגיע לנתונים, ומחשב נייד שנפרץ לא אמור להספיק כדי להגיע לכל שרת.

• מניעה: עדכוני תוכנה, אימות רב־שלבי, הרשאה מינימלית, תצורה מאובטחת.
• זיהוי: לוגים שמישהו באמת קורא, והתראות על כניסות חריגות.
• תגובה והתאוששות: גיבוי שנבדק, תוכנית כתובה של מי עושה מה, ודרך לשחזר את השירות.

NIST Cybersecurity Framework מארגן את אותם רעיונות לפונקציות: Govern, Identify, Protect, Detect, Respond ו-Recover. כדאי לקרוא את ה-framework עצמו באתר של NIST, ולא סיכום שלו.

#התקפה והגנה

לאבטחת סייבר יש שני צדדים שזקוקים זה לזה. מגינים בונים מערכות ומנטרים אותן. אנשי התקפה, כמו פנטסטרים וצוותי רד טים, תוקפים מערכות כדי למצוא חולשות לפני שעבריינים ימצאו אותן. הצד ההתקפי לגיטימי רק על מערכות שמותר לך לבדוק: המחשבים שלך, מעבדה שבנית, או יעד שהבעלים שלו נתן לך הרשאה בכתב וסקופ מוגדר. העובדה שאפשר להגיע למערכת מהאינטרנט לא אומרת שמותר לך לבדוק אותה.

#תרגיל ראשון על המחשב שלך

את תכונת השלמות אפשר לראות בפעולה עם פונקציית hash. hash קריפטוגרפי כמו SHA-256 הופך כל קלט לטביעת אצבע באורך קבוע. שינוי של תו אחד בקלט משנה את טביעת האצבע לגמרי. כך בודקים שקובץ שהורד תואם לקובץ שהמפרסם שחרר.

הפקודות האלה רצו ב-Git Bash על Windows 11. הן עובדות גם בטרמינל של Linux או macOS שיש בו sha256sum (ב-macOS הפקודה היא shasum -a 256). הן נוגעות רק בטקסט שמקלידים, ולא בשום דבר ברשת.

printf 'notholy' | sha256sum | cut -d' ' -f1
printf 'notholy2' | sha256sum | cut -d' ' -f1

22d877c3c676415aa2de4720884d52a36b60beff37f0c5468dc45ac9366e3c22
500b373e094e8eaa968be463e24fb8c944bb04d325a1da543ad91972a0a700ae

שני הקלטים נבדלים בתו אחד, ול-digests אין שום דבר משותף שנראה לעין. hash הוא חד־כיווני: אי אפשר לחשב בחזרה את notholy מתוך ה-digest, אפשר רק לחשב hash של ניחוש ולהשוות. hash לבדו לא מוכיח מי פרסם קובץ, אלא רק שהתוכן תואם לערך שהתקבל ממקום מהימן.

השלב הבא הוא לנסות על קובץ אמיתי. מורידים מתקין כלשהו מהאתר הרשמי של יצרן, מוצאים את ה-checksum שהיצרן מפרסם ומשווים אותו לפלט של sha256sum על העותק שלך. אם שני הערכים שונים, לא להריץ את הקובץ.

#תפיסות שגויות נפוצות

• "אין לי שום דבר ששווה לגנוב." תוקפים רוצים גם את החשבונות שלך, את כוח המחשוב שלך ואת הגישה שלך לאנשים אחרים.
• "האנטי־וירוס מכסה את זה." הוא שכבה אחת. הוא לא מתקן סיסמה בשימוש חוזר או לחיצה על פישינג.
• "אבטחה היא מוצר שקונים." היא עבודה מתמשכת של תצורה, עדכונים, ניטור והרגלים.
• "סיסמה מסובכת מספיקה." סיסמה ייחודית לכל חשבון, שנשמרת במנהל סיסמאות ומגובה באימות רב־שלבי, עושה הרבה יותר. המדריך של CISA לסיסמאות חזקות מכסה את זה.

#מה ללמוד הלאה

מתחילים בהרגלים הקטנים: עדכונים פעילים, מנהל סיסמאות, אימות רב־שלבי בחשבונות החשובים שלך. אחר כך לומדים איך רשתות וה-web עובדים, כי רוב התקיפות וההגנות יושבות עליהם. המאמר הבא מכסה קריפטוגרפיה, כולל hashing, לעומק רב יותר. לתרגול מעשי, אפשר להריץ אפליקציית אימון פגיעה בכוונה כמו OWASP Juice Shop במעבדה שבבעלותך, או להשתמש ב-NotHoly כדי לתכנן ולסקור את עבודת המעבדה שלך. כל בדיקה צריכה להישאר בתוך מערכות שיש לך הרשאה לגעת בהן.