התקפות הכופרה בארגונים - אם קל באימונים קשה בקרב
מאת: אריה דנון, 21.1.19, 16:37

כאשר מדובר בכופרה, רוב הארגונים טוענים, שהם החזיקו תוכנות הגנה מעודכנות בעת התקיפה. אם כן, כיצד ההתקפה צלחה? כדי לעצור כופרות בצורה אפקטיבית, ארגונים זקוקים לטכנולוגיות מתקדמות נגד-כופרות, שמשתמשות בלמידת מכונה עמוקה והגנה סינכרונית כדי להישאר מאובטחים.
 
המודעות לכופרות הלכה ועלתה בשנים האחרונות וכך גם התרבו הדיונים הנרחבים על פוטנציאל ההרס שלהן. המודעות לכופרות הגיעה לשיא לאחר שהן גרמו לחורבן מתוקשר בארגונים והותירו אותם חסרי הגנה ופגיעים. למרות שההתקפות מתחוללות שוב ושוב, ארגונים רבים עדיין לא מסוגלים להתגונן מפניהן.

התקפות הכופרה הולכות ונעשות מתוחכמות יותר. בדו"ח האיומים ל-2019, שהופק לאחרונה ע"י SophosLabs וחקר את השינויים בנוף האיומים במהלך השנה האחרונה, עול שב-2018 חלה עליה בהתקפות כופר ידניות וממוקדות, והן מייצרות לפושעי הסייבר מיליוני דולרים.

כופרה ממוקדת אינה מועברת באמצעות בוט ולכן היא מזיקה יותר. תוקפים אנושיים מאתרים את הקורבנות שלהם ועוקבים אחריהם, חושבים רוחבית ויודעים לפתור בעיות ולעקוף מחסומים בדרך. ההצלחה הכלכלית של התקפות דוגמת SamSam, BitPaymer ו-Dharma, כפי הנראה, תספק השראה לחקיינים ומומחי Sophos מאמינים, שכמוהן תתרחשנה במספר גבוה יותר ב- 2019.

כשמדובר באבטחת מידע, הקונצנזוס אומר, שברגע שארגון נתקל באיום ספציפי, הוא לומד ממנו, מחזק את ההגנות שלו וכך הוא מוכן בצורה טובה יותר להתקפה הבאה. יחד עם זאת, מחקרים מראים, שגישה זו אינה עובדת בנושא התקפות כופר, שכן ארגונים נפגעו פעמים רבות מהתקפות כופר והם צופים שיפלו קורבן להתקפות הללו גם בעתיד.

על פי מחקר, שפורסם ע"י Sophos ב-2018, The State of Endpoint Security Today, יותר ממחצית מהארגונים מותקפים ע"י כופרות, כאשר עלות התקפה מגיעה ליותר מ-100 אלף דולרים.
נוכח המצב ברור, שאין ארגון, שיכול להרשות לעצמו להיות שאנן. פושעי הסייבר מיישמים שיטות תקיפה שונות עד שהם מצליחים, בין אם מדובר בשילוב של כופרות בקמפיין אחד או בניצול הזדמנות לחדור לארגון מרחוק, לזהם את השרת ולנטרל את תוכנת אבטחת המידע. כאשר ההתקפות הופכות רבות יותר ומתוחכמות יותר, הגיע הזמן, שארגונים יתכוננו ויגנו על עצמם ויימנעו מליפול קורבן להתקפה הבאה.
 
אל תתנו לאף אחד לסדר אתכם
אחרי התקפת כופרה אנו מוצאים את עצמנו פעמים רבות מפנים אצבע מאשימה כלפי הארגון המותקף - האם הותקנו בו מערכות הגנה? האם הן היו מעודכנות? כאשר מדובר בכופרה, מתברר, שרוב הארגונים טוענים, שהם החזיקו תוכנות הגנה מעודכנות בעת התקיפה. אם כן, כיצד ההתקפה צלחה?

מתברר, שהגנת נקודות קצה מסורתית לבדה כבר לא יכולה לעצור את התקפות הכופרה החדשות. נוכח התחכום, התדירות וה"קנס" הכספי הכבד של ההתקפות, עסקים חייבים להעריך מחדש את האבטחה שלהם ולתכנן אותה כך, שתכלול טכנולוגית חיזוי, שיש לה את היכולות הדרושות כדי להילחם בכופרות ואיומי סייבר יקרים אחרים, כמו גם פתרונות מתקדמים להגנה מפני תנועה רוחבית משולבים בהגנה סינכרונית, שמונעים הסתננות עוד פנימה לתוך הרשת הנגועה.
 
המפתח הוא בידע
כפי הנראה, לא כל טכנולוגיה נגד כופרות מציעה הגנה אפקטיבית באותה מידה. ארגונים רבים עלולים למצוא את עצמם משקיעים בטכנולוגיות המציעות הגנה מועטה כאשר ההתקפה מתחוללת. נראה, שמתרחב הפער בידע, שכן על פי המחקר של Sophos פחות משליש מהמשיבים הצליחו להגדיר במדויק מהן טכנולוגיות נגד כופרה ומהן טכנולוגיות נגד ניצול פרצות אבטחה.

עם כל כך הרבה אנשי מקצוע המחזיקים ברמת ידע כזאת, ארגונים רבים עלולים להאמין, שהם מוגנים כהלכה כנגד כופרות, אבל בפועל הם כלל לא מוגנים. לכן, חשוב שארגונים יעשו את המחקר שלהם ויבטיחו, שמותקנים בהם פתרונות המציעים רמה נאותה של הגנה.
 
למידה עמוקה
המפתח להגנה מפני כופרות יכול להימצא ע"י שינוי מתודולוגית האבטחה המסורתית, שיכולה לעצור רק איומים שנראו בעבר, למתודולוגית חיזוי.

במהלך השנים, גישות מסורתיות לאבטחת מידע (דוגמת אנטי וירוס המשתמש בחתימות) התמקדו בשיפור משך הזמן לעצירת האיום ע"י הגדלת תוספות ועדכונים. שיטות אבטחה מסורתיות הן מדויקות מאד ויכולות לאתר ולחסום תוכנות זדוניות, שנראו בעבר, תוך כשעה אחרי הדיווח הראשון.

אולם, מאחר שכעת אנו רואים קרוב ל- 400 אלף קבצים זדוניים שונים ביום, קשה מאד לעמוד בקצב עם הטכנולוגיה המסורתית. למידת מכונה (Machine Learning) משחקת תפקיד קריטי בהתמודדות עם הסוגיה הזאת ע"י חיזוי כיצד קובץ זדוני יכול להיראות.
למידת מכונה "לומדת" תוך שימוש במודלים מתמטיים במקום להיות מתוכנתת ספציפית כדי לענות על בעיה מסוימת. למידת מכונה עמוקה (Deep Machine Learning) היא אבולוציה של למידת המכונה.

בהקשר של עצירת נוזקות, מנוע למידה עמוקה מאומן ע"י מאות מיליוני קבצים זדוניים ולא-זדוניים, שנראו בעבר. תוך שימוש במאפיינים של הקבצים הללו, היא בוחנת את הקורלציה ואת קווי הדמיון בין הקבצים הזדוניים והלא-זדוניים.

ע"י איסוף קווי הדמיון הללו, מנוע הלמידה העמוקה מסוגל למיין בצורה מדויקת את הקבצים ל-2 קבוצות, קבצים זדוניים ולא-זדוניים, כשכל שנותר לאנטי וירוס לעשות הוא לבודד אותם בהתאם. ע"י שימוש בלמידה עמוקה אתם לא רק עוצרים קובץ רע, שנראה בעבר, אתם עוצרים גם כאלה, שלעולם לא נראו.
 
הגנה סינכרונית ומניעת תנועה רוחבית בתוך הארגון
השינוי בסגנון ההתקפה, מהתקפות "spray and pray", שעושות שימוש בבוטים אוטומטיים, להתקפות ידניות, הביא עמו אתגרים חדשים. ארגונים רבים אינם מוכנים עם הגנה ראויה להתקפות המנווטות ע"י אדם, שמסוגל לעקוף מחסומים בדרכים ערמומיות.

יחד עם זאת, חשוב לציין, שרוב התנועה הרוחבית מתרחשת ברמת נקודות הקצה, ומסיבה זו ניתן להתמודד עמה. הגנה סינכרונית הולמת מאפשרת לפתרונות הפיירוול לשתף מידע עם נקודות הקצה, להגיב ולבודד חלקים, שנדבקו לפני שהזיהום ממשיך להתפשט בארגון.

פתרונות פיירוול חדשניים של הדור הבא מסוגלים למנוע התפשטותם של האיומים, אפילו היכן שלפיירוול אין שליטה ישירה על תעבורה, ולפעול באינטראקציה אוטומטית עם פתרונות הגנת נקודות הקצה.

בהינתן הקצב בו איומי סייבר מתפתחים, זה לא מפתיע, שמנהלי מערכות מידע רבים לא מסוגלים להישאר בחזית טכנולוגית הדור הבא, שנחוצה לאבטחת המידע. יחד עם זאת, פער זה בידע יכול להעמיד את הארגון בסיכון.

כדי לעצור כופרות בתצורה אפקטיבית, הגנת נקודות קצה מסורתיות אינה מספיקה. ארגונים זקוקים לטכנולוגיות מתקדמות נגד-כופרות, נגד-תוכנות המנצלות פרצות אבטחה, טכנולוגיות המשתמשות בלמידת מכונה עמוקה והגנה סינכרונית כדי להישאר מאובטחים.
 
מאת: אריה דנון, ינואר 2019.
מנהל מחלקת אבטחת המידע באבנט תקשורת, מפיצת פתרונות Sophos בישראל.