פושעי סייבר ב-2020: שיבוש מערכות הצבעה, שימוש ב-AI וניצול קוד פתוח, IoT, ו-API
מאת: מערכת Telecom News, 16.12.19, 17:40

מנהלי אבטחת מידע פורשים את השיטות בהן ייעשה שימוש ע"י ההאקרים בשנה הקרובה לידיעת ארגונים, מפתחים וצוותי DevOps.

חברת צ'קמרקס פרסמה את תחזיותיה ל-2020.

התחזית של מתי סימן, (בתמונה משמאל), מייסד ומנהל טכנולוגיה ראשי, צ'קמרקס:

בינה מלאכותית:
ב-2020 נראה שימוש הולך וגובר בבינה מלאכותית (AI) ע"י פושעי סייבר השואפים להרחיב את התקפותיהם. עד לא מזמן, נדרשו לתוקפים ימים או שבועות לביצוע מתקפת פישינג אחת בסיסית. כיום, לעומת זאת, אנו רואים כיצד הבינה המלאכותית משמשת במגוון סוגי התקפות, לרבות "וויילינג" (whaling), שבהן התוקפים משתמשים בבינה מלאכותית לאיסוף מידע מרשתות חברתיות, מה שמייעל את מאמציהם ועושה אותם יותר ממוקדים.

בינה מלאכותית פותחת את הדלת בפני מוטציות חדשות של תוכנות זדוניות המבוססות על אלגוריתמים גנטיים בעלי יכולת למידה, בהם משתמשים התוקפים כדי להגדיל את סיכויי ההצלחה שלהם. מה שמטריד במיוחד הוא, שמוטציות אלו עוקפות לעתים קרובות את פתרונות האנטי-וירוס באמצעות שינוי חתימה או מבנה תוך כדי תנועה, ובכך מאפשרות למטען הזדוני לזרוע נזקים והרס במערכות.

תשתית כקוד:
עד לאחרונה, הוצאות האבטחה הארגוניות התמקדו בראש ובראשונה בהגנה על תשתית המחשוב המסורתית. כיום, התשתית הזאת גמישה וארגונים מרחיבים ומצמצמים אותה לפי הצורך, בין השאר, הודות ל"תשתית כקוד" (Infrastructure as Code). תשתית כזאת מציעה יתרונות עצומים, אבל ב-2020 ניתן לצפות, שתוקפים ינצלו לרעה טעויות של מפתחים בסביבות גמישות אלו.

עם כניסתם של פתרונות תשתית כקוד, יותר ארכיטקטורות רשת והאבטחה מוגדרות באמצעות תכנה, עובדה המשפיעה על הוצאות האבטחה המסורתיות של מחלקת המחשוב. התשתית כקוד תוביל להקצאת סכומים גדולים יותר לאבטחת תכנה ויישומים שבעבר היוו כ-10% בלבד מתקציב אבטחת המחשוב, מה שיוביל לשינוי משמעותי במבנה המסורתי של הוצאות האבטחה.

קוד פתוח:
עם השימוש ההולך וגובר של ארגונים בקוד פתוח ביישומים שלהם, נראה בשנה הבאה עלייה בהסתננות עברייני סייבר לפרויקטי קוד פתוח. אנו צפויים לראות תוקפים "שתורמים" לקהילות קוד פתוח לעתים קרובות יותר מאי פעם, ע"י הזרקת מטען זדוני היישר לחבילות הקוד הפתוח כדי שמפתחים וארגונים, שמשתמשים בקוד, ישתילו אותו ביישומי הארגון מבלי לדעת שהוא נגוע.

ככל שתעלה המודעות לתרחיש הזה, יגדל הצורך בתהליכים כגון בדיקות רקע של מפתחים ותורמים לקוד הפתוח. כיום סביבות הקוד הפתוח מבוססות לחלוטין על אמון. רוב הארגונים אינם בודקים פרויקטים קודמים של המפתחים התורמים את הקוד או את המוניטין שלהם. ואולם, ככל שתוקפים ינצלו זאת לרעה, האמון הזה יישחק ויאלץ ארגונים לנקוט בצעדי מניעה פרואקטיביים, לרבות סינון ובדיקה יסודית של הקוד הפתוח ביישומים הארגוניים, כמו גם בדיקה של מי שמספק אותו.

התחזית של ארז ילון, מנהל מחקר אבטחת המידע, צ'קמרקס:

האינטרנט של הדברים (IoT):
יצרנים בתחום "האינטרנט של הדברים" מדברים הרבה על חשיבות אבטחת המידע ושמירת הפרטיות בעת שימוש במוצרי IoT, אך נראה, שדיבורים אלה לא הובילו עדיין לצעדים מעשיים או לתעדוף אבטחת הצרכנים במקביל לרווחי החברה.

ככל שצרכנים מודעים יותר לסוגיות האבטחה באינטרנט של הדברים, ב-2020 ייאלצו היצרנים לקחת על עצמם אחריות גדולה יותר ולוודא, שהמכשירים שלהם מאובטחים. צפוי גם שמשתמשי הקצה יגלו יותר עניין בבדיקת רקע האבטחה של היצרן ואמינותו, לפני שירכשו מכשיר IoT לשימוש אישי. כתוצאה מכך, יצרנים בלתי אחראיים עלולים למצוא את עצמם עם ערימות גדלות והולכות של מוצרים, שלא נמכרו במחסנים ועל המדפים.

API:
בשנה הקרובה, ניצול לרעה של-API יהפוך למאפיין עוד יותר בולט בפריצות לנתונים שביישומים של ארגונים גדולים. כיום, אין כמעט דרך לפתח יישום מודרני ללא יישום כלשהו של API. תוקפים מודעים לכך וממקדים את תשומת הלב למטרות חדשות אלו בתכנון ההתקפה הבאה.

ב-2020 ובשנים שאחריה תגדל החשיבות של חינוך לאבטחת API במטרה לצמצם את הסיכונים והפרצות. מפתחים צריכים למנף את המשאבים העומדים לרשותם כגון לימוד הסיכונים המפורטים ברשימת עשרת המובילים שלOWASP  (הקהילה המקוונת לאבטחת יישומי אינטרנט) לאבטחת API, שמציינת את הסיכונים, שעמם מתמודדים ארגונים עקב השימוש ב-APIs.

התחזית של מאט רוז, מנהל גלובלי של אבטחת יישומים, צ'קמרקס:

Microservices (מיקרו-שירותים):
ב-2020 נהיה עדים להתרבות ה-Microservices בארכיטקטורת התכנה ולכך, שצוותי פיתוח יתנו משקל דומה למהירות ולאבטחה. השימוש ביחידות קוד קטנות אלו הפך לחיוני לשמירה על האג'יליות ב-CI/CD ולמעשה, הגישה למיקרו-סרוויסס מעודכנים ומאובטחים תהפוך לנורמה החדשה של מפתחי התכנה בשנה הבאה ואחריה.

אבטחת מערכות הצבעה:
כשמדברים על תשתית בחירות כבר לא מתכוונים למכשיר מכני עם גלגל וכפתורים פיזיים. רוב מערכות ההצבעה וספירת הקולות בארה"ב מבוססות כיום על מחשבים הרצים על תכנות מסחריות וקוד פתוח, שהופכים אותם לפגיעים כמו כל משאב אחר מבוסס דפדפן ומחובר לרשת.

צפוי שתוקפים השואפים לשבש את הבחירות ב-2020 ימצאו דרכים לעשות מניפולציה בנתונים הנכנסים או יוצאים ממכשירים אלה. ניתן לצפות מהם להשתמש בטכניקות שכיחות כגון הזרקת SQL, שבה התוקפים מנסים לעשות מניפולציה בכל מחרוזת שאילתא ולשנות - אפילו למחוק לחלוטין - נתוני הצבעה. ההשלכות של מתקפות כאלו ברורות: הטיה של נתוני ההצבעה או גרוע מכך, מחיקה לחלוטין של הצבעות.

אוטומציה:
אחד האתגרים הגדולים ביותר הניצבים בפני צוותי האבטחה והפיתוח כיום הוא עומס יתר של נתוני אבטחה המקשה על אספקת תכנה מהירה ומאובטחת בצורה אמינה. ב-2020 ימשיכו להתפתח כלים לבדיקות אבטחה של אפליקציות
(Application Security Testing) הממנפים את יכולות האוטומציה כדי להשיג תוצאות באיכות גבוהה. כלים אלה יסייעו לארגונים לעבור למודל DevSecOps אמיתי, באמצעות אוטומציה הכוללת זיהוי ומיון הפרצות וקיצור משך ההגעה של התכנה לשוק (time-to-market).

כדי להבין טוב יותר את מגוון האיומים בתהליך מחזור הפיתוח של תוכנות ((SDLC, ואילו חלקים צריכים לעבוד באופן אוטומטי, בשנה הבאה, על ארגונים, שמגבשים את אסטרטגיות ההגנה שלהם, להפסיק להתייחס רק לאיומים המדוברים ביותר בתעשייה, ובמקום זה, לבחון את האיומים המובילים הרלוונטיים לתשתיות ה-IT ולמודלים העסקיים שלהם עצמם. כלי אבטחה אוטומטיים יתמכו בבדיקות כאלו, ייעלו את תהליכי המיון ויסייעו לצוותים להתמקד קודם בפרצות האבטחה הדחופות ביותר.