אבטחת מידע

מתוך ויקיפדיה, האנציקלופדיה החופשית
קפיצה אל: ניווט, חיפוש

אבטחת מערכות מידע היא פעילות שמטרתה הגנה על מערכות מחשב מפני סיכונים המאיימים עליהן. אבטחה זו כוללת אבטחה פיזית של המבנה שבו נמצאות מערכות המחשב, אבטחה של מערכות החומרה והתוכנה ואבטחה של המידע שנאגר בהן.

מאגרי מידע רבים, המשמשים יחידים, תאגידים, ומדינות, נמצאים על גבי מחשבים בעלי גישה לאינטרנט. בנוסף, גם למאגרים המבודלים מהאינטרנט ניתן לגרום נזק באמצעות גישה ישירה שאינה באמצעות הרשת. מאגרי מידע אלו כוללים מידע אישי, עסקי וביטחוני. מרכיב מרכזי של תחום אבטחת המידע הוא הגנה על מאגרי מידע אלו מפני גישה בלתי מורשית למידע.

טכנאי של הצי האמריקני מבצע תרגול של ביקורת אבטחת מידע בחומרה של מחשב אישי

מבוא[עריכת קוד מקור | עריכה]

סוגיית אבטחת המידע דורשת ניתוח במספר מישורים במקביל:

  1. מהות הבעיה והיווצרותה.
  2. פתרונות לבעיית האבטחה במישור הטכנולוגי, האנושי והתהליכי.
  3. תחומי הידע באבטחת מידע (עולמות ידע).
  4. מקצועות והתמחויות באבטחת מידע.

Defense in Depth[עריכת קוד מקור | עריכה]

אחד ממסמכי היסוד המהוים תשתית להבנת ההיקף והמורכבות, הינו מסמך המכונה "Defense in Depth"‏[1] של הסוכנות לביטחון לאומי בארצות הברית (NSA).

תפיסת Defense in Depth היא המלצה לאסטרטגיה מעשית למערך אבטחת מידע. המסמך מתאר מסגרת של חתירה לאבטחת מידע ברמה הולמת לאתגרי העידן הנוכחי. התפיסה מושתתת על ה- Best Practice – יישום מושכל של טכנולוגיות וטכניקות קיימות. ה- DiD גורסת שמירה על איזון בין רמת ההגנה, העלות להשגתה, ושיקולי תפעול.

היווצרות בעיית "אבטחת המידע"[עריכת קוד מקור | עריכה]

כאשר נכנסו לשימוש "מחשבי הדור השלישי", הם עדיין עשו שימוש בכרטיס מנוקב לצורך קלט נתונים ופלט. מגבלה זו אפשרה רק לאדם אחד או מעטים, לגשת בפועל אל המחשב. אחת הטענות הנפוצות באותה תקופה, התייחסה ל"סגירותה של המערכת" והמגבלה של השימוש במחשב. כאשר החל ייצורם של מחשבים "מרובי משתמשים" ומרובי מסכים כדי לפתור את בעיית הנגישות ולהרחיב את השימוש במחשב, נעשתה הגישה למחשב נפוצה יותר, ומכאן - התרחב הסיכון לשלמותו ולמידע שעליו. השלב הבא נבע מהתרחבות כישורי תקשורת מחשבים החל מ-1969, ולאחריו - הופעת המחשב האישי, החל מ-1964, וביתר שאת - החל משנת 1981 בה הוכרז המחשב IBM PC. גולת כותרת נוספת בתהליך "הפתיחות" היא המצאת האינטרנט. מכאן, שככל שהמחשב נעשה נפוץ יותר לדרישת המשתמשים, והמוטיב המרכזי היה "פתיחות ותקשורת קלה", הרי שהנזק הנלווה היה - "פתיחת הדלת" גם לגישה בלתי חוקית, או לגישה שמטרתה אינה חוקית.

היבט הנכסים והיבט נקודות התורפה בהגנה[עריכת קוד מקור | עריכה]

מקובל להתייחס לשלושה נכסים מרכזיים עליהם נדרש להגן במערכות מידע:

  1. חסיון המידע - מידע יהיה נגיש לגורם שהורשה לו בלבד.
  2. זמינות המידע (והמערכת) - מערכת המידע והמידע האגור בה יהיו זמינים בהתאם לרמת הזמינות שהוגדרה על ידי לקוחות המערכת.
  3. שלמות ואמינות המידע - הגנה על כך שהמידע במערכת יכיל את כל שהוגדר מלכתחילה וכי הנתונים עצמם לא עברו שינוי על ידי גורם שאינו מורשה.

מאידך, יש להתייחס לשלושה מרכיבים שונים הגורמים לסיכון:

  1. טכנולוגיות - מערכות החומרה, התוכנה והתקשורת המהוות "מערכות".
  2. אנשים - המשתמשים בטכנולוגיות, ולכן - מהווים חוליה חלשה במיוחד מכיוון שהם מפעילים או משתמשים בטכנולוגיות, ונוטים לעשות שגיאות המייצרות פרצות במערך ההגנה אשר מאפשרות לתוקף לנצלן.
  3. תהליכים - מידת הנזק משגיאת אנוש או נקודת תורפה טכנולוגית עשויה לפחות מאוד במידה שמבוצע תכנון נכון של התהליכים בארגון. הגדרת תהליכים בסדר נכון ובדוק מראש, מאפשר זיהוי מוקדם של פגיעה או ניסיון פגיעה במערכות.

הניגוד בין אבטחה לנוחות[עריכת קוד מקור | עריכה]

ישנו ניגוד מתמיד בנוגע לאבטחת מידע: קבלת החלטת המשתמש לגבי אבטחה מול נוחות (המחשב המאובטח ביותר הוא מחשב כבוי). האפשרות הקרובה ביותר לאבטחה מלאה היא להסיר את חיבור הרשת, המקלדת, העכבר, הצג, כונן התקליטונים והמדפסת, אך דבר זה אינו מעשי. הרעיון המרכזי באבטחה הוא שהגישה למחשב נרחבת יותר, כך הוא פחות מאובטח. מנגד, הדרך הנוחה ביותר להשתמש במחשב היא להפוך אותן לזמין מכל מקום בעולם, להשתמש בכל פרוטוקולי התקשורת הקיימים וללא סיסמאות. אך כאן נוצרת הבעיה שכאשר יש גישה פתוחה וחופשית למחשב הגישה היא לכל אדם בעולם ורמת האבטחה שואפת לאפס.

אולם ככל שהאמצעי פוגע יותר בנוחות השימוש, יש סיכוי גדול יותר שהמשתמשים ינסו לעקוף או לנטרל אותו (לדוגמה: אם הסיסמה מסובכת ומתחלפת כל חודש, כותבים אותה על פתק על יד המחשב). לכן חשוב לאזן בין הפגיעה בנוחות השימוש לבין אמצעי האבטחה המופעלים..

נזקי אובדן אמון לקוחות[עריכת קוד מקור | עריכה]

בעיה נוספת העולה מתקיפת מערכות מידע של חברות היא אובדן אמון הלקוחות בחברה. במערכות המידע של חברות רבות מצויים מאגרי מידע המכילים פרטים המשויכים לקהל הלקוחות, וכאשר גורמים שאינם מורשים מפלסים דרך גישה למאגרים אלו, הופכים קהל לקוחותיה גם הם לקורבן. במידה והדבר מתפרסם ונודע ללקוחות, צפוי נזק רב לחברה, ובשל כך חברות רבות אינן מדווחות על כשלי אבטחה במערכת שלהן, על מנת להימנע ממבוכה ציבורית, ופגיעה בשמן הטוב ובאמון הלקוחות.

תחומים באבטחת מידע[עריכת קוד מקור | עריכה]

מבוא[עריכת קוד מקור | עריכה]

בכדי להגן על המידע ועל מערכות המידע, נעשה שימוש במערכות אבטחת מידע. מערכות אלו פרוסות בחתכים שונים בארגון, וכוללות: הגנת המידע ביישומים שונים (הצפנה, ניהול הרשאות), הגנת מערכת המידע ברמה הלוגית (הזדהות - מניעת גישה) וברמה הפיזית. לדוגמה אבטחת יישום ובד בבד הגנה על גישה פיזית (דלתות וחלונות) בדרך אל מקום אחסון המידע - השרתים.

הגנה על-בסיס מודל 7 השכבות של Defense in Depth
כל שכבה בארגון: האפליקציה - מערכת ההפעלה - המחשב - הרשת המקומית (LAN) - השרתים - רשת התקשורת המרחבית (WAN) - אתרי האינטרנט - האינטרנט, כולם - ניתנים לפריצה על ידי האקר או על ידי גורם בלתי מורשה. לכן, כל שכבה כוללת מגוון יישומים, טכנולוגיות וחוקים (חוקים, רגולציות, נהלים והוראות עבודה לתהליכים) לאכיפת מדיניות אבטחת מידע תקינה ואמינה.
הגנה על-בסיס רכיבים במערכת
אבטחת מידע הינו נושא המקיף את כל מערכות המחשוב הארגוניות מתחנת הקצה דרך מערכות ההפעלה, מערכות התקשורת, שרתי הגישה (Gateway) וכמובן הרשת המרחבית (WAN) והאינטרנט.
הגנה על-בסיס זווית הראייה של מאבטחי המערכת
לכל רשת אפשר לפרוץ, והפתרון טמון בשני רכיבים: הכנה וידע. בשנים האחרונות נערכים ניסיונות רבים להתגבר על מגבלה זו וליצור מערכות המזהות בעצמן איום חדש. מטרת מחקרים כאלו היא ליצור למידה עצמאית ומתמשכת, יכולת לפעול באופן רציף תוך כדי זיהוי בעיות חדשות ומציאת פתרונות חדשים.

האסטרטגיה ותורת ההגנה הכוללת[עריכת קוד מקור | עריכה]

בנייתה של תורת אבטחת מידע רבת שכבות וממדים, מחייבת תשתית איתנה ושורשים עמוקים של הבנה אסטרטגית. הבנה שכזו מתבססת על תורות חיצוניות לעולם האבטחה (“The Art of War”), על תורות ואסטרטגיות מתוך עולם האבטחה (NSA’s Defense in Depth – DiD), ועל בסיס אלה – עקרונות אבטחת המידע המיועדים לכל אחד ממקצועות האבטחה בנפרד.

אבטחת תשתיות מיחשוב[עריכת קוד מקור | עריכה]

הכלים, הטכנולוגיות והטכניקה הכרוכה באבטחתן ובהגנתן של תשתיות המיחשוב הארגוניות והמרחב הקיברנטי שמחוץ לגבולות הארגון:

אבטחת חומרה וקושחה
התפתחות תורת התקיפה וההנדסה ההפוכה (Reverse Engineering) מחד, והמונוליטיות הטכנולוגית (יצרנים מועטים) בעולם מאידך, הביאו להתפתחות איום חדש בתחום זה. תקיפת קושחה נחשבת למיומנות שאיננה מצויה בתחומי היכולת של התוקף הבודד, אך אפשרית ומצויה כאשר מדובר בהתמודדות עם תקיפה של מדינה (Cyber Warfare).
הקשחת מערכות ההפעלה (System Hardening)
מערכות ההפעלה הנהוגות במערכות ארגוניות הן לרוב מבוססות Microsoft, Linux או מיינפריים. פעילות אבטחת מידע כוללת בין השאר, אטימת מערכות ההפעלה מפני פגיעויות אבטחה. יש לעשות שימוש בפונקציות הגנה המשולבות במערכת ההפעלה על-מנת לשפר את בטיחותן, וכן לעשות שימוש בתוכנות-עזר נוספות. הפעולות הינן בעלות אופי שונה במערכות הפעלה של תחנות הקצה או של השרתים.
הקשחת רכיבי התקשורת (Network Hardening)
נהוג לתאר את הרבדים השונים של תקשורת מחשבים באמצעות מודל בן 7 שכבות הנקרא Open Systems Interconnection – OSI. שכבות אלו כוללות מרכיבים שונים השותפים בתהליך התקשורת: טופולוגיית רשת ומיבנים לוגיים, רכיבי תקשורת (כרטיסי רשת, נתבים, מרכזות, גשרים, מתגים, מדיות חיווט), פרוטוקולי תקשורת (TCP/IP בראשם, וכן: SMTP, SSL, DHCP, SNMP ורבים נוספים). גם רכיבים אלו מחייבים צמצום השטח החשוף לפגיעת התקפה למינימום הנדרש לשם תפעול תקין של התקשורת, וסילוק כל אפשרות ל"הרחבת הפתחים" כאשר הם מיותרים.
הקשחת מסד הנתונים (Database Hardening)
בסיס הנתונים הינו, מטבע הדברים, יעד מועדף לתקיפה. לפיכך יש לבצע סדרת פעולות הגנה על מרכיב זה. גם כאן, קיימים מנגנונים שונים, אופציות "פתוחות מדי" שיש להגבילן, הן באמצעות נהלים והן באמצעות כלים טכנולוגיים מגוונים אשר יביאו לכך שהמערכת תהיה "פתוחה" רק כפי הנדרש על-מנת לאפשר תפעול ושימוש תקין במידע לצרכיו המקוריים של הארגון.
אבטחת מכשירים ניידים (Mobile Security)
הגנת מכשירים ניידים הנה מורכבת, עקב ניידותם אל מחוץ לגבולות הארגון מחד, וקישורן למערכות הארגון מאידך. יתר-על-כן, הגורם האנושי מהווה פרמטר רב משמעות בשגיאות אבטחה טיפוסיות לתחום מכשירים ניידים. עם התחזקות מגמת ה-BYOD התרבו האיומים מחד, והמורכבות בטיפול בהן מאידך.
אבטחת תשתיות האינטרנט והתקשורת העולמיות (Cyber Infrastructure Security)
הכוונה במונח "התשתיות הבינלאומיות של האינטרנט" הינה לכל הרשתות, הפרוטוקולים, טכנולוגיות הרשת ומרכזי המידע המשמשים את רשת האינטרנט העולמית, בתוך המדינה (במסגרת ספק שירותי אינטרנט) ומחוצה לה. מרכיב זה איננו בשליטה של אנשי האבטחה בארגון.

הטכנולוגיות, הטכניקות והארכיטקטורה[עריכת קוד מקור | עריכה]

התקנה והגדרה של כלי אבטחת מידע אינה מבטיחה הגנה נאותה, כשם שקיומם של תותחים, מטוסים וצוללות אינה מבטיחה ניצחון. תורת הלחימה דורשת הבנה ארכיטקטונית, ראייה רחבה, ויכולת להפעיל טקטיקות הנובעות – הן מהראייה הרחבה, והן מתוך הבנה של "הפרטים הקטנים". עולם זה עוסק בראייה הארכיטקטונית, בתורת הלחימה, בהפעלה האסטרטגית של הטכנולוגיות ובטכניקה הכרוכה בהפעלת הכלים, ומכאן - באבטחתן ובהגנתן של תשתיות המיחשוב הארגוניות והתשתיות שמחוץ לגבולות הארגון. תחום זה כולל את הנושאים:

  1. קריפטוגרפיה
  2. בקרת גישה (Access Control).
  3. אבטחת רשת (Network Architecture Security)
  4. אבטחת נגזרות טכנולוגיות מיוחדות (יישומים, מסדי נתונים, אמצעים ניידים, מערך מיחשוב וירטואלי, מיחשוב מבוסס ענן, חומרה וקושחה, מערכות נתמכות ומערכות מבוססות מחשב)
  5. מניעת זליגת מידע (Data loss/leak prevention - DLP).
  6. מערך זיהוי ותגובה (Detection & Response).
  7. ארכיטקטורת אבטחת מידע.

אבטחת יישומים ותוכנה[עריכת קוד מקור | עריכה]

כשם שתשתית מהווה כר פורה לפעילויות תקיפה, כך גם קוד מקור יכול להוות "נשא" ל"קוד זדוני" שמטרתו להזיק למערכת או לשאוב ממנה מידע. היישום, סובל ממספר אתגרי אבטחת מידע השונים מאתגרי האבטחה במערכות הפעלה ותקשורת. התשתיות מפותחות בדרך כלל על ידי גורמים בינלאומיים רחבי היקף, וכאשר מתגלה "חור אבטחה", נוהגים גופי ענק אלו להפיץ "עדכון" ותיקון. מאידך – האפליקציות הן בדרך-כלל מקומיות, ופותחו בהתאמה ללקוח אחד. לכן – כאשר מתגלה "חור אבטחה" – תיקונו אינו פשוט כי מחיר התיקון אינו "מתחלק" על-פני מאות אלפי לקוחות. תהליך אבטחת יישומים מתחיל כבר בשלב התכנון, נמשך לכל אורך פיתוח יישום, ואף לאחר מכן – בשלב התחזוקה. קיימות התמחויות שונות הנוגעות ליישומים רגילים, ליישומי אינטרנט, להיבט הקוד והשפה של מסדי נתונים, וכן התמחויות הקשורות לטכנולוגיה: Java, ושפות כמו ‎.NET, C / C++ וכן הלאה.

ממשל אבטחת המידע[עריכת קוד מקור | עריכה]

"ממשל אבטחת מידע" (InfoSec Governance) מהווה אבן יסוד בעולם הניהול, הארגון ושיטות (או"ש) של יחידת אבטחת המידע. רבות מן הדרישות להגנה על המידע בארגון נובעות מחוקי המדינה, מרגולציה של הגופים המבקרים, מתקנים מקומיים או בינלאומיים או מדרישות הספקים והשותפים. חוקים, מטרתם בדרך כלל להגן על פרטיות אנשים או להגן על נכסיהם הפיננסיים או הקניינים, של פרטים שהמידע עליהם נמצא ברשות הארגונים. הרגולציות מכוונות להגן על האיתנות הפיננסית של הארגונים המבוקרים ולמנוע פגיעה בפרטי המשתמשים בארגונים אלו להשקעה. כתוצאה מכך, רגולציות וחוקים מייצרים דרישות בתחום ההגנה על המידע, אף כי אינם מכווני אבטחת מידע בבסיסם.

ממשל תאגידי: הארגון עצמו פנימה מבצע אף-הוא פעילויות לאבטחת המידע: ניהול סיכונים לנכסי המידע הארגוניים, תוך הצבת מטרות ודרישות בתחום אבטחת המידע, הנובעות מדרישות חוק ורגולציה, מחויבויות חוזיות וצרכי הארגון להגן על נכסיו, כדי שיוכל לעמוד ביעדים העסקיים שלו ולזכות ביתרון תחרותי. מערך אבטחת המידע אמור לספק את הכלים לעמידה בדרישות הממשל התאגידי, להכין תוכנית אבטחת מידע מכוונת ניהול סיכונים התואמת את נהלי החברה ואת היעדים העסקיים והחזון של הארגון ולדווח על רמת ההצלחה של תוכנית אבטחת המידע. הארגון קובע את היעדים האסטרטגיים ארוכי הטווח לפיהם יפותחו תוכניות אבטחת המידע ויקבעו היעדים בתחום אבטחת המידע.

ניהול, ארגון ושיטות של יחידת אבטחת מידע[עריכת קוד מקור | עריכה]

הדרישות העסקיות והרגולטיביות מתורגמות על ידי מנהל אבטחת המידע לשורה של בקרות שמטרתן למזער את הסיכונים לנכסי המידע של הארגון. בקרות אלו הן אוסף של מדיניות, נהלים, תקנים והוראות עבודה. הבקרות יכולות להיות פרוצדורליות, פיזיות, לוגיות או טכנולוגיות והפעלתן וישומן בארגון מהווים את תוכנית אבטחת המידע הארגוני. בקרות אלו נמדדות באופן רציף, כדי לזהות את התאמתן לטיפול בסיכונים לנכסי המידע הארגוני, המדידה נעשית באמצעות מדדים כמותיים ובאמצעות ביקורות תקופתיות הכוללות סקרי סיכונים, סקרי אבטחת מידע ומבדקי חדירות. תוצאות המדידות משמשות לעדכון תוכנית העבודה. תוכנית העבודה של אבטחת המידע להיות מוטמעת בכל רחבי הארגון ולפנות אל כל העובדים. נושא נוסף המטופל על ידי ממונה אבטחת המידע הוא זיהוי וטיפול בתקריות אבטחת המידע, כאשר הבקרות אינן מצליחות למנוע סיכון.

כיצד מנהל ה- CISO את ההיבטים הרבים והרב-תחומיים שתוארו? כיצד הוא מתייחס להיבטי האבטחה במימד הטכנולוגיות, במימד התהליכים הארגוניים, ובמימד האנושי? כיצד הוא מסנכרן ומנהל את עשרות ומאות משימותיו, את תדירות הפעילויות, מהותן, והסדר שבהן? כיצד משתלבת בכל אלו התייחסות לדרישות המדינה (חוקים ורגולציות), של הלקוחות והשותפים (תקני אבטחת מידע), ולדרישות של העסק – הארגון עצמו? כיצד הוא מנהל סדרי עדיפויות במציאות של מחסור מתמיד במשאבים?

עולם זה עוסק בסדר הנכון של הפעולות, בתדירותן, בחומרי הגלם המוכנסים על ידי ה-CISO לכל פעולה בודדת ובתוצרים היוצאים מפעולה זו ומשמשים כחומר גלם לפעולה הבאה בתהליך.

עולם הניהול "אורז" את עולמות אבטחת המידע שתוארו עד כה למיקשה אחת, ויוצר תהליך שבו משולבות כל הפעילויות, תוך שהן מתחשבות ברצונות העסקיים של הארגון, ברצונות של המדינה, וברצונות של השותפים – הלקוחות בדרך-כלל.

נושאים עיקריים:

  1. Security Administration
  2. Strategic Planning
  3. InfoSec Governance - Corporate governance - IT Governance
  4. InfoSec Program framework
  5. Law Regulation and Standards
  6. Security Policy and Procedures
  7. InfoSec Audit and Audit Controls

התקיפה והלוחמה הקיברנטית[עריכת קוד מקור | עריכה]

על-מנת לתכנן הגנה על פרטי-פרטיה, יש להבין התקפה על נפתוליה. מכיוון שאבטחת מידע עוסקת בהגנה מפני תוקפים, לא ניתן להסתפק רק בהכרת סביבת ההגנה, ונדרשת היכרות מעמיקה עם סביבת ההתקפה, מבחינה טכנולוגית, מבחינת טכניקה, ומבחינת הלך-רוח.

כל הגדרה תפעולית של כלי אבטחה מבלי להבין במדויק מפני מה הוא מגן, נדונה לכישלון. הניסיון מלמד, כי מנהלי תשתיות ומומחי אבטחת מידע ותיקים נדהמו לגלות פערים ניכרים בין הדרך שבה הם תופשים בדמיונם תקיפה, לבין הדרך שבה תקיפה מתקיימת בפועל. פערים אלו מהווים יסודות לשגיאות נפוצות רבות מספור בדרך בה מיושמת הגנה על נכסי הארגון.

הבנת שיטות Hacking משמען, הבנת של כל השלבים בתהליך ההתקפה: החל משלב איסוף המידע (חקירה ומודיעין), עבור בריכוז כלי ההתקפה, עבור בחדירה וכלה בשלב ה"ניקיון" שלאחר ההתקפה (House Keeping).

עולם התקיפה מחולק כרונולוגית לשלב החקירה והאיסוף,שלב התקיפה, ושלב הכיסוי.

מבחינה טכנולוגית, מחולק עולם התקיפה לסביבת הסיסטם, התקשורת, מסדי הנתונים, מכשירים ניידים, ישומים הרגילים ואינטרנט), תקיפת הגורם האנושי (Social Engineering), ולבסוף - מערכות מיוחדות במינן (משולבות) (CAM- Computer aided manufacturing, HMI- Human Machine Interface, SCADA- supervisory control and data acquisition).

האבטחה הפיזית[עריכת קוד מקור | עריכה]

לא נכללת במתודולוגיה, אך נושקת לעולם אבטחת המידע וחופפת לו בהיבטים אחדים, בהגנה ובהתקפה.

מקצועות אבטחת מידע[עריכת קוד מקור | עריכה]

Postscript-viewer-shaded.png ערך מורחב – מקצועות אבטחת מידע

התפתחותו של תחום אבטחת מידע הביאה אתה שלל מקצועות המתמודדים עם אתגרי האבטחה. המקצועות העיקריים וההתמחויות הנפוצות הנם:(בהדגשה - מקצועות הליבה)

  1. מינהלן אבטחת מידע
  2. מיישם אבטחת מידע
  3. ארכיטקט אבטחת מידע
  4. מנהל אבטחת מידע ארגוני (CISO)
  5. מומחה תקיפה
  6. מבקר אבטחת מידע
  7. מומחה אבטחת יישומים ופיתוח
  8. מנהל פרויקט למערכות אבטחת מידע
  9. מומחה חקירות למערכות מידע
  10. מומחה ניטור אירועי אבטחה
  11. מומחה אבטחה פיזית למערכות מידע
  12. מומחה התנהגות רשת חריגה
  13. מומחה הגנת מערכות בקרה תעשייתיות
  14. מומחה כתיבת נוזקות
  15. מומחה הנדסה לאחור לתכנה
  16. מומחה מערכות ניהול אבטחת מידע
  17. מומחה מודיעין מקורות גלויים ברשת

אמצעים המשמשים באבטחת מידע[עריכת קוד מקור | עריכה]

הרשאות[עריכת קוד מקור | עריכה]

מתן אפשרות למשתמש מסוים לבצע פעולה נתונה במערכת מידע. הפעולות עשויות להיות יצירה, כתיבה, מחיקה או שינוי של קובץ, הזנה של נתונים בטווח ערכים או כל פעולה אחרת שהמערכת תוכננה להכיל.

מערכת הרשאות מתבססת על הזדהות כתנאי מקדים, שכן המערכת נדרשת לקשר בין משתמש לפעולה. במערכות בהן אין הזדהות (כדוגמה, גוגל[דרושה הבהרה]), ניתנות הרשאות למשתמשים לא מזוהים (כלומר, מנגנון ההזדהות מקשר ישות לא מזוהה עם משתמש אנונימי).

דוגמה למערכת קבצים שמאפשרת שימוש בהרשאות, גם במחשבים אישיים, היא מערכת NTFS.

ויקיפדיה, היא דוגמה למערכת מידע פתוחה למדי, אך גם בה יש מערכת הרשאות. כל גולש רשאי לעיין בכל דף ולשנות אותו, אך דפים מסוימים מוגנים מפני שינוי, כך שרק מפעילי מערכת רשאים לשנותם. מחיקת דף ניתנת להיעשות רק על ידי מפעילי מערכת, ולהם נתונה הסמכות לחסום כליל משתמש שמזיק למערכת. כמו כן נעשה שימוש בזיהוי זמני על פי כתובת IP, זיהוי שמבחינת הגולש הוא שקוף אולם מאפשר להפריד בין משתמשים אנונימיים שונים.

הזדהות[עריכת קוד מקור | עריכה]

מכשיר לייצור סיסמאות חד-פעמיות. המכשיר ניתן למשתמש מורשה, ומדי זמן-מה מציג סיסמה אחרת. בזמן ההזדהות מול המערכת, המשתמש נדרש להזין את הסיסמה האישית שלו, ובנוסף גם את הסיסמה המוצגת במכשיר

תהליך בו משתמש (אדם או שירות ממוחשב) מספק למערכת מידע פריט מידע המזהה אותו ואמצעי לווידוא הזיהוי. האמצעי הנפוץ ביותר הנו השימוש בשם משתמש וסיסמה, אולם ישנן אפשרויות נוספות החל מכרטיס חכם ועד זיהוי ביומטרי (לפי תכונות גופניות כמו טביעת אצבע).

מקובל לחלק את אמצעי ההזדהות השונים לשלוש קבוצות:

  1. משהו שהמשתמש יודע - בקבוצה זו נכללות סיסמאות.
  2. משהו בבעלות המשתמש - בקבוצה זו נכללים מנגנוני ייצור סיסמה חד פעמים (OTP), רכיבי אחסון לסיסמאות (Token), כרטיסים חכמים וכו'.
  3. משהו שהוא המשתמש - בקבוצה זו נכללים אמצעי הזיהוי הביומטרים.

הזדהות חזקה (כזו המאפשרת רמת וודאות גבוהה במיוחד בזיהוי) תכלול שילוב של שתיים מתוך שלוש הקבוצות. הדוגמה הקלאסית לכך הנה השימוש בכרטיסי אשראי. בכל ניסיון למשוך כסף מכספומט אנו נדרשים להזדהות באמצעות שני רכיבים - משהו שנמצא ברשותנו (כרטיס האשראי המכיל פרטי זיהוי) ומשהו שאנו יודעים (קוד סודי). ללא אחד מהשניים תהליך הזיהוי לא יושלם.

לרוב תהליך ההזדהות הוא החלק הבעייתי ביותר במערכת אבטחת המידע, במיוחד כאשר מדובר ברשת, וזאת בשל הצורך לטפל במספר בעיות פוטנציאליות:

  1. אובדן יכולת התחברות (לרוב איבוד סיסמה). כיום במרבית אתרי האינטרנט ניתנת אפשרות לשליחת הסיסמה לדואר האלקטרוני שהוזן בעת הרישום. כך ניתן לקבל את הסיסמה גם אם היא נשכחה, והיא נגישה רק למי שיש לו גישה לדוא"ל של המשתמש. לעתים נוהגים אתרים לאחזר סיסמה באמצעות תשובות לשאלות שרק בעל החשבון אמור לדעת את התשובות לגביהן וזאת בהתאם לפרטים שסיפק בעת הרשמתו.
  2. הצורך במשתמש בעל הרשאות בלתי מוגבלות.
  3. הצורך בהזדהות המשותפת למספר מערכות ו/או מחשבים.
  4. הנטייה של משתמשים לרשום את הסיסמה ו/או ללכת ולהשאיר את המחשב במצב שלאחר ההזדהות.או לבטל סיסמא.

הצפנה[עריכת קוד מקור | עריכה]

Postscript-viewer-shaded.png ערך מורחב – הצפנה

הצפנה היא תהליך ערבול מידע (קובץ) או תקשורת. תהליך זה בנוי על פי מודלים מתמטיים מורכבים הכוללים מפתחות הצפנה בהם נעשה שימוש בתהליך הצפנה סימטרי ובתהליך הצפנה א-סימטרי.

הגנה מפני תוכנה מזיקה[עריכת קוד מקור | עריכה]

תוכנות מזיקות כוללות: וירוסים, סוסים טרויאנים ורוגלות, אשר נועדו לפגוע במחשב הקצה, למחוק מידע, להוציא מידע (ריגול) וניצול מחשב הקצה למטרות שונות (כוח עיבוד, פרסום).

רוגלות - Spyware/Adware - הן תוכנות אשר 'נידבקות' למחשב הקצה דרך אתרי אינטרנט ותוכנות מפוקפקות אשר בתהליך ההתקנה שלהן הותקנו גם תוכנות הרוגלות. תוכנות אלו מקפיצות פרסומות (pop-up) במחשב הקצה ושולחות מידע משתמש ממחשב הקצה כגון אתרים שבוקרו וסיסמאות, לשרתים באינטרנט המנצלים אותם לשימוש לא חוקי.

הגנה של אנטי וירוס, אנטי-ספאם והגנה מפני רוגלות בתחנת הקצה ובשרתי הגישה (Gateway) ברשת מספקות מענה להתמודדות עם סיכונים אלו. חלק מן הכלים הקיימים (בחינם או בתשלום) מספקים מענה אמין.

כאמור, לרוב מתבצעים ניסיונות מקומיים להגן על רשת האינטרנט. יחד עם זאת, פתרון אוניברסלי יעיל רק נגד איומים הפועלים על פי חוקים ברורים ומוגדרים, תוך מתן מענה טכנולוגי בזמן אמת וגיבוי בחקיקה מסודרת. כותבי הווירוסים אינם פועלים על פי חוקים קבועים ומנסים ליצור בכל עת וירוסים חדשים ומתוחכמים יותר. פירוש הדבר שיצירת פתרון הגנה מסוים אפקטיבי לתקופת זמן מוגבלת בלבד, דהיינו, עד שכותב הווירוסים ימציא וירוס חדש.

יישום אבטחת המידע מביא את הארגון, המערכת או התוכנה למצב שבו הסיכון לאיבוד מידע, כשל מידע או ניצול פרצת אבטחת מידע הוא נמוך.

התפתחות תרבות BYOD מציבה מפני אנשי אבטחת מערכות מידע אתגרים חדשים.

מודל הכוכב[עריכת קוד מקור | עריכה]

הכמות הגדלה של אירועי תקיפת סייבר והקושי המתגבר בהגנה מאז 2008, מעוררים מחשבה על אסטרטגיה חדשה להגנת מידע. היקפי ההשקעה הנדרשים כדי להבטיח הגנה מוצלחת בלתי נסבלים, ועולים לאין שיעור על היקפי ההשקעה בתקיפה מוצלחת.

במקביל, נראה כי תפיסת ההגנה הארגונית לפיה "תקציב אחד" משמש הן לצורך "אבטחת מידע" והן לצורך "הגנת זמינות" למערכות השונות, אינו עונה על הדרישות.

כיום, נהוג ליישם אבטחת מידע על בסיס שני מודלים עיקריים. האחד: "מודל שבע השכבות" של מיקרוסופט, והשני: "מודל המעגלים" - CIA. בשני המודלים שכבות ההגנה החיצוניות הן: שכבת מדיניות, שכבת הגנה פיזית, שכבת הגנה על התקשורת הפנימית, שכבת הגנה על התקשורת החיצונית, שכבת הגנה על בסיס הנתונים ותחנת המשתמש, שכבת אבטחת האפליקציה, ושכבת אבטחת ה- Data.

עיקר תקציבי אבטחת המידע נוצלו על ארבע השכבות החיצוניות,  בעוד אבטחת בסיס הנתונים, תחנת המשתמש, אבטחת האפליקציה ואבטחת המידע של הנתונים עצמם לא טופלו בהיעדר תקציב מספיק. כפועל יוצא, בסיסי הנתונים בדרך-כלל לא מאובטחים, תחנת המשתמש אינה מוקשחת, ומרבית המפתחים לא מיישמים פיתוח מאובטח. יתר-על-כן, בתהליכי בדיקות QA לא נכללות בדיקות אבטחת המידע, אין תהליכי בקרה על המידע ושימוש במידע ולבסוף - המידע עצמו גלוי ולא מוצפן. 

איציק כוכב, קצין ביטחון מידע בחיל האוויר לשעבר, ומנהל אבטחת המידע של שירותי בריאות כללית - מהגופים הגדולים במזרח התיכון ומזקני שבט המומחים בישראל, הגה תפיסת אבטחה חדשה שנועדה לספק פתרון לסוגיות אלו אשר מונעות אבטחת סייבר יעלה, והגנת מידע איכותית.

בבסיס הרעיון של "מודל הכוכב" עומד "המידע", ה- Data. פעולות אבטחה יופעלו מיד עם היווצר המידע. פעולות אלו כוללות הצפנה של המידע, אוטנטיקציה חד משמעית בגישה למידע, מדיניות אבטחת מידע על הקובץ של אותו מידע, בקרה הדוקה, ופיתוח מאובטח. בעבר נמנעו אנשי ה- IT להצפין מידע מפחד לפגיעה בזמינות, שכן פעולות ההצפנה והשחזור דורשות משאבי מחשב. כיום, בשלה השיטה, ניהול מפתחות ההצפנה קל מבעבר, וגם משאבי המחשבים זמינים מעט מבעבר, ולפיכך, כמעט אין פגיעה בזמן התגובה של המערכות.

אוטנטיקציה מתבטאת בהפעלת ערכת זיהוי ביומטרית בשיטת MOC , כלומר: טביעת האצבע שמורה על גבי כרטיס מגנטי ששמור בידי בעל טביעת האצבע. שיטה זו מוודאת שרק מי שרשאי לגשת למידע אכן ניגש. כל שיטה אחרת של הזדהות כשלה.

לתפיסתו של איציק כוכב, ניתן כיום בעזרת טכנולוגיה "לעטוף" כל סוג של קובץ במדיניות שתגרום לכך שהקובץ ייפתח רק על ידי מי שהורשה לפתחו, שהקובץ יישלח רק לנמען האמיתי הרצוי, שישמר רק היכן שאנו מבקשים שישמר, ושיועתק רק בהסכמה.

השינוי הבולט במודל הכוכב, מתבטא בהלפת המונח "זמינות" כאחד משלושת בסיסי תורת האבטחה, במונח "בקרה". שלישייה המוסרתית "זמינות, סודיות, "אמינות" מתחלפת במודל הכוכב שלישייה "סודיות, אמינות, בקרה", מכיוון שזמינות המידע הוא עניין תפעולי שבאחריות מנהל מערכות מידע, ויוצא מחזקת האחריות של מנהל אבטחת המידע.

השיטה גורסת בניית שני מוקדים תקציביים נפרדים בארגון: מחד - תקציב ומנגנון "אבטחת מידע" למידע עצמו, ומאידך - תקציב "הגנת סייבר" המטפל במערכות עצמן ובזמינותן.

"מודל הכוכב" יגרום לכך שתקציבי אבטחת מידע שנוצלו עד כה על שכבת הזמינות יופנו לאבטחת המידע עצמו. המודל הוצג במהלך 2014 בפורומים מקצועיים בכירים וזכה לעניין רב, ונלמד במסגרת תוכנית הלימודים להכשרת מנהלי אבטחת מידע (CISO) במכללת See Security לאבטחת מידע ולוחמת סייבר.

גיבוי[עריכת קוד מקור | עריכה]

Postscript-viewer-shaded.png ערך מורחב – גיבוי

גיבוי הוא שמירת עותק (בדרך כלל יותר מאחד) קודם של הנתונים. הוא מאפשר שחזור חלקי (לדוגמה: במקרה של מחיקת קובץ מסוים) או מלא (במקרה של הרס של ההתקן או של כל המערכת).

שמירת גיבוי יכולה לעזור להתאושש מהתקפות שמחקו מידע או שגרמו לכך שהמידע במערכת לא אמין (אם יכול להיות שהתוקף שינה חלק ממנו. לדוגמה: אם מישהו פרץ לאתר בנק ויכול להיות ששינה קצת את מאזני החשבונות).

קישורים חיצוניים[עריכת קוד מקור | עריכה]

מאמרים:

מגזינים:

פורטלים:

הערות שוליים[עריכת קוד מקור | עריכה]

  1. ^ National Security Agency, Defense in Depth (עמודים 5) (אנגלית)