לימוד עצמי: תפעול אבטחת מידע לפי תחומים של מערכות מידע

תובנה עמוקה יותר המסייעת "לקשור פרקי לימוד", תושג באמצעות ניתוח "תופעת אבטחת מידע" בנפרד בכל תחום בעולם מערכות מידע. התחומים הם:

• Physical security
• Hardware security
• Systems Hardening
• Operating System security
• Database security
• Network security
• Mobile security

• Wireless security
• Web security
• Cloud security
• End Point security
• דלף מידע – DLP- Data Loss Prevention
• ICS security

אבטחה פיזית מתארת ​​אמצעי אבטחה אשר נועדו לשלול גישה בלתי מורשית למתקנים, ציוד ומשאבים ולהגן על כוח אדם ורכוש מפני נזק או נזק (כגון ריגול, גניבה או פיגועים). אבטחה פיזית כוללת שימוש בכמה שכבות של מערכות תלותיות הדדיות שיכולות לכלול מעקבים במעגל סגור, מאבטחים, חסמי הגנה, מנעולים, בקרת גישה, איתור פריצות היקפי, מערכות הרתעה, הגנה מפני אש, ומערכות אחרות שנועדו להגן על אנשים ורכוש.

על מעצבי אבטחה, אדריכלים ואנליסטים לאזן בין בקרות אבטחה כנגד סיכונים, תוך התחשבות בעלויות של מפרט, פיתוח, בדיקה, יישום, שימוש, ניהול, פיקוח ושמירה על הבקרות, יחד עם סוגיות רחבות יותר כמו אסתטיקה, זכויות אנוש, בריאות ובטיחות, נורמות או מוסכמות חברתיות. אמצעי אבטחת גישה פיזית המתאימים לכלא ביטחוני גבוה או לאתר צבאי עשויים להיות בלתי הולמים במשרד, בבית או ברכב, אם כי העקרונות דומים.

שיטות הרתעה

מטרת שיטות ההרתעה היא לשכנע תוקפים פוטנציאליים כי מתקפה מוצלחת אינה סבירה בגלל הגנות חזקות.

שכבת האבטחה הראשונית בקמפוס, בניין, משרד או מרחב פיזי אחר עושה בשלטי אזהרה או מדבקות, גדרות, מחסומי רכב, מגבילי גובה הרכב, נקודות גישה מוגבלות, תאורת אבטחה ותעלות.

1. גבולות פיזיים – מחסומים פיזיים כמו גדרות, קירות ומחסומי רכב פועלים כשכבת הביטחון החיצונית ביותר. הם משמשים למניעת התקפות, או לפחות לעיכובם, ומתפקדים גם כגורם הרתעה פסיכולוגי על ידי הגדרת היקף המתקן וגורם לפריצות להיראות קשות יותר. גידור גבוה ומעליו תיל, חוטים המשלבים דוקרני מתכת מונחים לרוב על היקף הנכס, בדרך כלל עם שילוט מסוג כלשהו המזהיר אנשים לא לנסות להיכנס. עם זאת, בחלק מהמתקנים המטילים קירות / גידור היקפיים לא יתאפשר (למשל בניין משרדים עירוני הצמוד ישירות למדרכות ציבוריות) או שהוא עשוי להיות בלתי מתקבל על הדעת מבחינה אסתטית (למשל להקיף מרכז קניות עם גדרות גבוהות ומעליו תיל גילוח); במקרה זה, היקף האבטחה החיצוני יוגדר כקירות / חלונות / דלתות של המבנה עצמו.
2. מחסומים משולבים – מחסומים נועדו בדרך כלל לדכא איומים מוגדרים, ונחשבים כחלק אינהרנטי מקודי בנייה. מלבד איומים חיצוניים, ישנם איומים פנימיים של שריפה, נדידת עשן וכן חבלה. מחסומי אש לשנאים של מתח גבוה יכולים להיות דוגמאות לקירות המיועדים לעמוד בו זמנית שריפה, בליסטיקה וסדיקה כתוצאה מהתפוצצות שנאי. בבניינים עשויים להיות חסמים פנימיים להתמודדות עם נשק, אש וחום. דוגמה לכך היא דלפק בתחנת משטרה או בשגרירות, שם הציבור רשאי לגשת לחדר אבל לדבר דרך זכוכית ביטחון לעובדים.
3. הסרת מסתורים טבעיים – צורת הרתעה עיקרית נוספת שניתן לשלב בתכנון מתקנים היא להימנע מחסמי צפייה. הפחתת כמות הצמחייה הצפופה והגבוהה בגינון כך שתוקפים לא יוכלו להסתיר את עצמה בתוכה, או הצבת משאבים קריטיים באזורים בהם הפורצים יצטרכו לעבור בשטח פתוח ופתוח כדי להגיע אליהם.
4. תאורת אבטחה – פורצים נוטים פחות להיכנס לאזורים מוארים מחשש להיראות. בפרט, דלתות, שערים וכניסות אחרות צריכות להיות מוארות היטב כדי לאפשר התבוננות מקרוב באנשים שנכנסים ויוצאים. יש לוודא שימוש בספק כוח מגבה, כך שאורות האבטחה לא ייכבו אם החשמל ינותק

גילוי פריצות ומעקב אלקטרוני

ניתן להתקין מערכות אזעקה להתראה במקרה של גישה לא מורשית. מערכות אזעקה פועלות לצד מחסומים פיזיים, מערכות מכניות ומאבטחים, ומשמשות להפעלת תגובה כאשר הופרו שיטות אבטחה אלה. הם מורכבים מחיישנים היקפיים, חיישני תנועה, חיישני מגע וגלאי שבירות זכוכית.

5. מעקב וידאו – מצלמות מעקב יכולות להוות הרתעה כאשר הן ממוקמות במקומות גלויים מאוד והן מועילות להערכת אירועים ולניתוח היסטורי. לדוגמה, אם נוצרות אזעקות ויש מצלמה במקום, אנשי האבטחה מעריכים את המצב באמצעות הזזת המצלמה. במקרים בהם התקפה כבר התרחשה ומצלמה במקום בנקודת ההתקפה, ניתן לבדוק את הסרטון המוקלט. ניטור

בקרת גישה

שיטות בקרת גישה משמשות לפיקוח ובקרה על התנועה דרך נקודות גישה ואזורים ספציפיים במתקן המאובטח. זאת, באמצעות מגוון מערכות כולל מעקב טלוויזיה במעגל סגור, כרטיסי זיהוי, מאבטחים, קוראים ביומטריים, ומערכות בקרה אלקטרוניות / מכניות כמו מנעולים, דלתות, קרוסלות ושערים.

6. מערכות בקרת גישה מכניות – מערכות בקרת גישה מכניות כוללות קרוסלות, שערים, דלתות ומנעולים. שליטת מפתח במנעולים הופכת לבעיה באוכלוסיות משתמשים גדולות. מקשים נעשים במהירות בלתי ניתנים לניהול, מה שמאלץ לעתים קרובות את אימוץ בקרת הגישה האלקטרונית.
7. מערכות בקרת גישה אלקטרוניות – בקרת גישה אלקטרונית מנהלת אוכלוסיות משתמשים גדולות, ובקרה על מחזורי חיי המשתמש של משתמשים, זמנים, תאריכים ונקודות גישה פרטניות. לדוגמה, זכויות הגישה של המשתמש עשויות לאפשר גישה בין השעות 0700 ל- 1900, שני עד יום שישי, ותוקפן יפוג בעוד 90-Day. מערכות בקרת גישה אלה מתממשקות לרוב עם קרוסלות לבקרת כניסה בבניינים כדי למנוע גישה לא מורשית. השימוש בקרוסלות מצמצם גם את הצורך של אנשי אבטחה נוספים לפקח על כל אדם שנכנס לבניין ומאפשר תפוקה מהירה יותר.

ניתן להגיע לשכבת משנה נוספת של הגנה על בקרת גישה מכנית / אלקטרונית על ידי שילוב מערכת ניהול מפתחות לניהול החזקה ושימוש של מפתחות מכניים למנעולים או רכוש בתוך בניין או קמפוס.

8. מערכות זיהוי ומדיניות גישה – צורה אחרת של בקרת גישה (פרוצדורלית) כוללת שימוש במדיניות, תהליכים ונהלים לניהול הכניסה לתחום המוגבל. דוגמא לכך היא פריסת אנשי אבטחה המבצעים בדיקות לצורך כניסה מורשית בנקודות כניסה קבועות מראש. צורה זו של בקרת גישה מתווספת בדרך כלל על ידי צורות קודמות של בקרת גישה (כלומר בקרת גישה מכנית ואלקטרונית), או התקנים פשוטים כמו מעבר פיזי.

אנשי ביטחון

9. שומר מפעל פרטי – אנשי אבטחה ממלאים תפקיד מרכזי בכל שכבות הביטחון. כל המערכות הטכנולוגיות המופעלות על מנת להעצים את האבטחה הגופנית אינן מועילות ללא כוח ביטחון אשר מיומן בשימוש ובתחזוקתן, ויודע כיצד להגיב כראוי להפרות אבטחה. אנשי אבטחה מבצעים פונקציות רבות: מתקני סיור, ניהול בקרת גישה אלקטרונית, תגובה על אזעקות, מעקב וניתוח קטעי וידיאו.

חלק ממרחב האיומים המודרני בענף מבוסס דווקא על פגמים וכשלים חומרתיים מכוונים. אם היה נהוג בעשור הקודם לחשוש מפני היצרנים הסינים, ברור כעת כי יש לחשוש מהיצור של כל מעצמה, לרבות במערב.

על מנהלי אבטחת מידע להבין שמתאר האיומים רחב מאוד:

• חומרה המוזמנת מחו"ל ומגיעה כ- חתיכה אחת (למשל מחשב שולחני או נייד)
• חומרה העוברת דרך מספר ידיים בטרם מגיעה ליעדה (יצרן, חברת שליחויות, שינוע ימי / אווירי, מכס, מחסנים)

קשה מאוד לבקר אמצעי ריגול בתוך חומרה. כל רכיב בנוי בעצמו מאין סוף מעגלים של יצרן שאין לנו שליטה עליו, ולעיתים מזומנות – גם חלק ממעגלים אלו – נרכשו מיצרן שלישי, ובעצם – מעשרות יצרנים שונים נוספים.

הטיפול באבטחת חומרה נמצא מחוץ למסגרת לימוד יסודות אבטחת מידע, אך יש להכיר את הבעיה.

בתחום המחשוב, הקשחה היא בדרך כלל תהליך אבטחת המערכת על ידי צמצום "פני הפגיעות" (Attack Surface) שלה, שהוא גדול יותר כאשר מערכת מבצעת יותר פונקציות; באופן עקרוני מערכת בעלת פונקציה אחת בטוחה יותר ממערכת רב תכליתית. הפחתת דרכי התקיפה הזמינות כוללת בדרך כלל שינוי סיסמאות ברירת מחדל, הסרת תוכנות מיותרות, שמות משתמש מיותרים או כניסות מיותרות והשבתה או הסרה של שירותים מיותרים.

סוג ההקשחות שנבחר בארגון, צריך להיות תלוי בסיכונים הטכנולוגיים הקיימים לארגון, במשאבים העומדים לרשותנו ובעדיפות לביצוע תיקונים.

להלן רשימת ה- Best Practices להקשחת כל המערכות הארגוניות:

• ביקורת על המערכות הקיימות: בצע ביקורת מקיפה של הטכנולוגיה הקיימת. השתמש בבדיקות חדירה, סריקת פגיעות, ניהול תצורה וכלי ביקורת אבטחה אחרים כדי למצוא פגמים במערכת ולתעדף תיקונים. ערכו הערכות הקשחת מערכות מול משאבים המשתמשים בתקני תעשיה מ- NIST, Microsoft, CIS, DISA וכו'.
• אסטרטגיה להקשחת מערכות: אינכם צריכים להקשיח את כל המערכות שלכם בבת אחת. במקום זאת, צור אסטרטגיה ותוכנית המבוססים על סיכונים המזוהים במערכת האקולוגית הטכנולוגית, והשתמש בגישה שלב כדי לתקן את הפגמים הגדולים ביותר.
• פגיעויות בהולות לתיקון מידי: ודא שיש מערכת זיהוי ו תיקון תיקונים לפגיעות אוטומטית ומקיפה.
• הקשחת רשת: ודא שחומת האש מוגדרת כראוי ושכללים מבוקרים באופן קבוע; נקודות גישה מרחוק ומשתמשים מאובטחים; חסימת כל יציאות רשת פתוחות שאינן בשימוש או שאינן נחוצות; להשבית ולהסיר פרוטוקולים ושירותים מיותרים; ליישם רשימות גישה; להצפין תעבורת רשת.
• הקשחת שרתים: הכניסו את כל השרתים למרכז נתונים מאובטח; לעולם אל תבחן הקשחת בשרתי הייצור; הקשיחו תמיד שרתים לפני חיבורם לאינטרנט או לרשתות חיצוניות; הימנע מהתקנת תוכנה מיותרת בשרת; הפרד את השרתים באופן מתאים; להבטיח שתוכנו כראוי שיתופי משתמש ושיתופי-על ושהזכויות והגישה מוגבלות בהתאם לעקרון הפחות-יתר.

• הקשחת יישום: הסר רכיבים או פונקציות שאינך זקוק להם; להגביל את הגישה ליישומים על סמך תפקידי המשתמש וההקשר (כגון עם בקרת יישומים); הסר את כל קבצי הדגימה וסיסמאות ברירת המחדל. לאחר מכן יש לנהל את סיסמאות היישום באמצעות פתרון ניהול סיסמאות ליישום / פיתרון ניהול סיסמאות המיועד, המאכיל את שיטות העבודה המומלצות באמצעות סיסמא (סיבוב סיסמא, אורך וכו '). הקשחת של יישומים צריכות להיות כרוכות גם בבדיקת שילוב עם יישומים ומערכות אחרות, והסרת, או צמצום, רכיבי שילוב והרשאות מיותרים.
• הקשחת מסד נתונים: צור מגבלות ניהול, למשל על ידי שליטה בגישה המוגנת, על מה המשתמשים יכולים לעשות במסד נתונים; הפעל את בדיקת הצומת כדי לאמת יישומים ומשתמשים; להצפין מידע על בסיס נתונים – גם במעבר וגם במנוחה; לאכוף סיסמאות מאובטחות; להציג הרשאות של בקרת גישה מבוססת תפקידים (RBAC); הסרת חשבונות שאינם בשימוש;
• הקשחת מערכת ההפעלה: החל באופן אוטומטי עדכוני מערכת הפעלה, ערכות Service Pack וטלאים. הסרת מנהלי התקנים מיותרים, שיתוף קבצים, ספריות, תוכנה, שירותים ופונקציונליות; להצפין אחסון מקומי; להדק הרשאות רישום ומערכות אחרות; רישום כל הפעילות, השגיאות והאזהרות; ליישם בקרות משתמש מיוחדות.
• ביטול חשבונות והרשאות מיותרים: אכוף הרשאות הכי פחות על ידי הסרת חשבונות מיותרים (כגון חשבונות יתומים וחשבונות שאינם בשימוש) והרשאות בכל תשתית ה- IT.

אבטחת מערכות הפעלה היא תהליך של הבטחת שלמות מערכת ההפעלה, סודיות וזמינות. אבטחת מערכת הפעלה מתייחסת לשלבים או אמצעים שצוינו להגנה על מערכת ההפעלה מפני איומים, וירוסים, תולעים, תוכנות זדוניות או פריצות לפורצים מרוחקים.

תחום זה כולל היבטים של אבטחת מידע בכל הנוגע למערכת הפעלה. חולשות מרכזיות הקימות במערכת, מתקפות ידועות,  תהליכי הקשחה, והתהליכים השונים והשירותים הניתנים ע"י מחשב מוקשח, וכיצד ניתן לאפשר שירותים שונים ע"ג מחשב מוקשח למרות המגבלות.

הקשחת מערכת ההפעלה

ישנן שיטות שונות להקשות על מערכות יוניקס ולינוקס. בהן: החלת תיקון על הגרעין כמו Exec Shield או PaX; סגירת יציאות רשת פתוחות; והקמת מערכות גילוי חדירות, חומות אש ומערכות למניעת חדירות. ישנם גם תסריטים וכלים מקשיחים כמו Lynis, Bastille Linux, JASS למערכות Solaris ו- Apache / PHP Hardener שיכולים, למשל, להשבית תכונות לא נחוצות בקבצי תצורה או לבצע אמצעי הגנה אחרים.

ההקשחה היא פעולה של קביעת תצורה של מערכת הפעלה בצורה מאובטחת, עדכונה, יצירת כללים ומדיניות שיסייעו בשליטה במערכת בצורה מאובטחת, והסרת יישומים ושירותים מיותרים. זה נעשה כדי למזער את החשיפה של מערכת ההפעלה למחשבים לאיומים ולהפחתת הסיכון האפשרי.

אבטחת מסדי נתונים נוגעת לשימוש במגוון רחב של בקרות אבטחת מידע להגנה על מסדי נתונים (כולל נתונים, יישומי בסיס נתונים, שרתי בסיסי נתונים) מפני פגיעה בסודיותם, בשלמותם ובזמינותם. האבטחה כרוכה בסוגים שונים ובקטגוריות שונות של בקרות: טכניות, פרוצדוראליות / מנהליות ופיזיות.

התחום עוסק בהיבטי אבטחת המידע למסדי נתונים: גישת משתמשים, הגנה על מידע נייח במערכות מסדי נתונים, חולשות טיפוסיות, אופני ההגנה ומוצרים משלימים, וכן מתקפות ידועות. היבטי הגנה עיקריים:

• בקרת גישה
• ביקורת
• אימות
• הצפנה
• בקרות שלמות
• גיבויים
• אבטחת אפליקציות

התחום עוסק במדיניות, במוצרים, במומחיות, בעקרונות ובשיטות לאבטחת רשת.

כיום  קיימים כלים ויישומים רבים לניהול אבטחת רשת המתייחסים לאיומים וניצולים פרטניים וגם אי-ציות לתקנות. כאשר רק מספר דקות של השבתה עלולות לגרום לשיבוש נרחב ולפגיעה מאסיבית בשורה התחתונה של הארגון ובמוניטין שלו, חיוני כי אמצעי ההגנה הללו יתקיימו.

נדרשת שליטה במנגנוני ההגנה של רשתות המחשבים שבארגון, מוצרי אבטחה, גישה מרחוק למשאבי הארגון וההגנה על דרכי גישה אלו. היבטי אבטחה בעת קישור הארגון לאינטרנט. מנגנוני אבטחה ופרוטוקולים אפליקטיביים של השכבות הגבוהות במודל OSI. יש לשלוט בפרוטוקולים המרכזיים, בשימושם ובהיבטי אבטחה של הפרוטוקולים, היבטי אבטחת מידע הנובעים מקישור הרשת הארגונית כולה/ או חלקה  לאינטרנט, מנגנוני הגנה, סוגי הפרוטוקולים השונים המשמשים לקישור אפליקטיבי, וחולשות מרכזיות בתקשורת.

אבטחת רשת פיזית

בקרות אבטחה גופניות נועדו למנוע מאנשים בלתי מורשים לקבל גישה פיזית לרכיבי רשת כמו נתבים, ארונות כבלים וכן הלאה. גישה מבוקרת, כמו מנעולים, אימות ביומטרי והתקנים אחרים, חיונית בכל ארגון.

אבטחת רשת טכנית

פקדי אבטחה טכניים מגנים על נתונים המאוחסנים ברשת או שנמצאים במעבר לרשת, אל או מחוץ לרשת. ההגנה היא כפולה; היא צריכה להגן על נתונים ומערכות מפני עובדים לא מורשים, והיא גם צריכה להגן מפני פעילויות זדוניות מצד עובדים.

אבטחת רשת מנהלית

בקרות אבטחה מנהליות מורכבות ממדיניות אבטחה ותהליכים השולטים בהתנהגות המשתמשים, כולל אופן האימות של המשתמשים, רמת הגישה שלהם וגם כיצד אנשי צוות ה- IT מיישמים שינויים בתשתית.

סוגי אבטחת רשת

להלן מספר דרכים לאבטחת הרשת.

בקרת גישה לרשת – Network Access Control – NAC

כדי להבטיח שתוקפים פוטנציאליים לא יוכלו לחדור לרשת, חייבת להתקיים מדיניות מקיפה לבקרת גישה הן למשתמשים והן למכשירים. לא לכל משתמש צריכה להיות גישה לרשת. כדי להרחיק תוקפים פוטנציאליים, יש להכיר כל משתמש וכל מכשיר, ואז ניתן לאכוף את מדיניות האבטחה. ניתן להגדיר בקרת גישה לרשת. לדוגמה, ניתן להעניק למנהלי מערכת גישה מלאה לרשת אך לשלול גישה לתיקיות חסויות ספציפיות או למנוע מההתקנים האישיים שלהם להצטרף לרשת.

תוכנת אנטי-וירוס ותוכנות אנטי-נוזקה – Anti Virus & Anti Malware

תוכנות אלו מגנות על ארגון מפני מגוון תוכנות זדוניות, כולל וירוסים, תוכנות כופר, תולעים וטרויאנים. התוכנות הטובות ביותר נגד תוכנות ריגול לא סורקות רק אחר תוכנות זדוניות בעת הכניסה, אלא גם עוקבות אחר קבצים אחר-כך ברציפות כדי למצוא חריגות, להסיר תוכנות זדוניות ולתקן נזק.

מערכת חומת אש – Firewall

חומות אש מייצרות מחסום בין הרשת הפנימית המהימנה לבין רשתות חיצוניות לא מהימנות, כגון האינטרנט. הם משתמשים בקבוצה של כללים מוגדרים כדי לאפשר או לחסום תנועה. חומת אש יכולה להיות חומרה, תוכנה או שניהם.

מערכות לאיתור חדירות – IDS – Intrusion Detection Systems

מערכת למניעת חדירות סורקת את תעבורת הרשת כדי לחסום פעיל התקפות. מכשירי IPS עושים זאת על ידי שימוש במסד נתונים של מודיעין איומים עולמי כדי לא רק לחסום פעילות זדונית, אלא גם לעקוב אחר התקדמות קבצים חשודים ותוכנות זדוניות ברחבי הרשת על-מנת למנוע התפשטות של התפרצויות ואיתור מחדש.

מערכות למניעת חדירות – IPS – Intrusion Prevention Systems

מערכת למניעת חדירות (IPS) היא סוג של אבטחת רשת הפועלת לאיתור ומניעה של איומים מזוהים. ה- IPS מדווח על אירועים אלה למנהלי מערכות ונוקט בפעולות מניעה, כגון סגירת נקודות גישה וקביעת תצורה של חומות אש למניעת התקפות עתידיות.

אבטחת דוא"ל – email Security

שערי דוא"ל הם וקטור האיום מספר אחד להפרת אבטחה. התוקפים משתמשים במידע אישי ובטקטיקות הנדסיות חברתיות כדי לבנות קמפיין דיוג מתוחכם בכדי להטעות נמענים ולשלוח אותם לאתרים המציגים תוכנות זדוניות. יישום אבטחה בדוא"ל חוסם התקפות נכנסות ושולט בהודעות יוצאות כדי למנוע אובדן של נתונים רגישים.

פילוח רשת (Network Segmentation)

פילוח מוגדר תוכנה מכניס את תנועת הרשת לסיווגים שונים ומקלה על אכיפת מדיניות האבטחה. באופן אידיאלי, הסיווגים מבוססים על זהות של נקודות קצה, ולא על כתובות IP בלבד. באפשרותך להקצות זכויות גישה על סמך תפקיד, מיקום ועוד, כך שרמת הגישה הנכונה ניתנת לאנשים הנכונים והמכשירים החשודים כלולים ומתוקנים.

רשתות וירטואליות פרטיות (Virtual Private Networks)

רשתות וירטואליות פרטיות (VPN) יוצרים חיבור מוצפן לרשת מנקודת קצה או אתר אחר באינטרנט. לדוגמה, משתמשים העובדים מהבית בדרך כלל יתחברו לרשת הארגון דרך VPN. נתונים בין שתי הנקודות מוצפנים והמשתמש יצטרך לאמת כדי לאפשר תקשורת בין המכשיר שלהם לרשת.

VPN עם גישה מרחוק משתמש ב- IPsec או בשכבת Sockets Secure כדי לאמת את התקשורת בין התקן לרשת.

ניתוח התנהגותי (Behaviour Analysisֹׂׂ)

כדי לאתר התנהגות לא תקינה ברשת, עליך לדעת כיצד נראית התנהגות נורמלית. כלי ניתוח התנהגותיים מבחינים אוטומטית בפעילויות החורגות מהנורמה. לאחר מכן צוות האבטחה יכול לזהות טוב יותר אינדיקטורים לפשרה המהווים בעיה פוטנציאלית ולתקן במהירות איומים.

פושעי רשת מתמקדים יותר ויותר במכשירים ניידים ובאפליקציות. במהלך שלוש השנים הבאות, 90 אחוז מארגוני ה- IT עשויים לתמוך ביישומים ארגוניים במכשירים ניידים אישיים. כמובן שנדרשת שליטה באילו מכשירים יכולים לגשת לרשת. יהיה עלינו גם לקבוע את התצורה של החיבורים שלהם כך שתעבורת הרשת תהיה פרטית.

מערכת Mobile device management – MDM מספקת ניהול, אבחון וניטור ריכוזיים באוויר עבור המכשירים הניידים המנוהלים על ידי הארגון – החל מ- iPad ו- Androids ועד Mac ו- PC. התכנה עוקבת אחר המכשירים בארגון, ומציגה ערכים שימושיים כגון מידע על חומרת / תוכנת לקוח ומיקום עדכני, ואף מאפשר למנהלי מערכת לנעול ולמחוק התקנים מרחוק.

ה-MDM מקל גם על הגדרת ופריסת הגדרות רשת כמו קישוריות אלחוטית, הגדרות אבטחה וגישה VPN מרחוק לכל המכשירים ברשת בו-זמנית. במקום לספק ידנית מכשירים לחיבוריות לרשת, או להסתמך על משתמשי קצה שיעשו זאת, ניתן לקבוע הגדרות כמו WPA2-Enterprise בלוח המחוונים, ולאפשר לענן "לדחוף" את ההגדרות למכשירי משתמשי קצה.

שיטות עבודה מומלצות בנושא אבטחת  מכשירים ניידים

• אימות משתמש – הגבלת הגישה למכשיר על ידי דרישת אימות משתמש . ניתן לנעול את רוב המכשירים הסלולריים עם נעילת מסך, סיסמא או מספר זיהוי אישי (PIN), אך בדרך כלל אמצעים אלה כבויים כברירת מחדל. יש לבצע דרישת אימות לפני גישה למכשיר נייד, הנתונים על המכשיר מוגנים במקרה של אובדן או גניבה של המכשיר הנייד. הקפד להשתמש בסיסמה חזקה על מנת להקשות על הגנב הפוטנציאלי לגשת למכשיר.
• עדכון מערכת ההפעלה הניידת באמצעות תיקוני אבטחה – שמור על מערכת ההפעלה הסלולרית והאפליקציות שלה מעודכנות. מערכות הפעלה סלולריות כמו iOS של אפל , פלטפורמת האנדרואיד של גוגל וטלפון ה- Microsoft של מיקרוסופט מספקות עדכונים שוטפים למשתמשים הפותרים פגיעויות אבטחה ואיומי אבטחה ניידים אחרים , וכן מספקים אפשרויות ותכונות אבטחה וביצועים נוספים למשתמשים. שדרוגים אלה לא מתעדכנים תמיד באופן אוטומטי, כך שמשתמשים במכשירים ניידים עשויים להידרש להפעיל עדכונים אוטומטיים או לעדכן את הטלפונים והיישומים שלהם באופן ידני על בסיס קבוע.
• גיבוי קבוע של המכשיר הנייד – ודא שנתוני המכשיר הנייד מגובים באופן קבוע. על ידי גיבוי מכשיר לכונן קשיח אחר או לענן, ניתן לשחזר את הנתונים במקרה שהמכשיר ייפגע או יאבד או נגנב. כלי גיבוי או אפליקציה הפועלים אוטומטית בלוח זמנים שצוין מומלץ לשמור על נתוני הגיבוי עדכניים ככל האפשר.

• שימוש בהצפנה – השתמש בהצפנה עבור נתונים המאוחסנים בטלפון כמו גם לנתונים העוברים עם טכנולוגיות מאובטחות כמו VPN. זוהי גם שיטה מומלצת לאבטחה לנייד שלעולם לא להעביר מידע רגיש או אישי על גבי רשת Wi-Fi ציבורית, במיוחד כזו שאינה מאובטחת, מבלי להשתמש באפשרות שידור מאובטחת כמו VPN.
• אפשר למחוק נתונים מרחוק – וודא כי אפשרות למחיקת נתונים מרחוק זמינה במכשיר וכי המשתמשים ידעו להשתמש בהם במקרה שהמכשיר נגנב או יאבד. אפליקציית Find My iPhone של אפל, למשל, מציעה אפשרות למחוק נתונים מרחוק בנוסף ליכולת למצוא את האייפון אם הוא אבוד.
• השבתת Wi-Fi ו- Bluetooth כשלא נחוץ – הגבל את הפוטנציאל לגישה של האקרים דרך Wi-Fi או Bluetooth על ידי השבתת אפשרויות קישוריות אלה כאשר אין צורך בכך.
• זהירות מדיוג – הימנע מתכניות דיוג אפשריות ואיומי תוכנה זדונית על ידי הימנעות מלחיצה על קישורים או פתיחת קבצים מצורפים לדואר אלקטרוני ממקורות לא מהימנים, מכיוון שהם עשויים להיות ממקור הונאה שמתחזה כחבר לגיטימי.
• הימנעות מ"פריצות הכלא" – ודא שהטלפון נשאר נעול. פריצת הטלפון החכם באמצעות jail יכולה לאפשר למשתמשים להריץ אפליקציות לא מאומתות או לא נתמכות, רבות מהיישומים הללו כוללות פגיעויות אבטחה. למעשה, מרבית ניצולי האבטחה עבור מכשירי iOS של אפל משפיעים רק על מכשירי iPhone "שבורים".
• הוספת אפליקציית אבטחה לנייד – חקור ובחר אפליקציית אבטחה ניידת בעלת מוניטין המרחיבה את מאפייני האבטחה המובנים של מערכת ההפעלה הניידת של המכשיר. ספקי אבטחה ידועים של צד שלישי כמו Lookout, Avast, Kaspersky, Symantec ו- Qihu מציעים אפליקציות אבטחה סלולריות עבור iOS, Android ו- Windows Phone.
• הפצת שיטות העבודה המומלצות בנושא אבטחה לנייד – בסביבות ארגוניות ועסקיות קטנות, חיוני שצוות ה- IT יוודא כי המדיניות של החברה ושיטות העבודה המומלצות בנושא אבטחת מובייל מועברות בבירור לעובדים כך שהם מודעים למה לעשות ומה לא לעשות במונחים של שמירה על האבטחה של הנייד שלהם.

רשתות אלחוטיות אינן מאובטחות כמו רשתות קוויות. ללא אמצעי אבטחה מחמירים, התקנת רשת LAN אלחוטית יכולה להיות מסוכנת כמו התקנת יציאות Ethernet בכל מקום, כולל בחניון. כדי למנוע תקיפה, נדרשים מוצרים שתוכננו במיוחד להגנה על רשת אלחוטית.

אבטחה אלחוטית היא מניעה של גישה לא מורשית או נזק למחשבים או נתונים הצג עמודבאמצעות רשתות אלחוטיות, הכוללות רשתות Wi-Fi. הסוג הנפוץ ביותר הוא אבטחת Wi-Fi, הכוללת Wired Equivalent Privacy (WEP) ו- Wi-Fi Protected Access (WPA). .

ה- WEP הוא תקן אבטחה חלש. לעתים קרובות ניתן לפצח את הסיסמה תוך מספר דקות באמצעות מחשב נייד בסיסי וכלי תוכנה זמינים באופן נרחב. WEP הוא תקן IEEE 802.11 ישן משנת 1997. הוא הוחלף בשנת 2003 על ידי WPA, Wi-Fi Protected Access הייתה אלטרנטיבה מהירה לשיפור האבטחה ב- WEP.

כיום, התקן הרלבנטי הוא WPA2; חומרה מסוימת אינה יכולה לתמוך ב- WPA2 ללא שדרוג קושחה או החלפתו. WPA2 משתמש במכשיר הצפנה שמצפין את הרשת באמצעות מפתח 256 סיביות; אורך המפתח הארוך יותר משפר את האבטחה בהשוואה ל- WEP. לעתים קרובות חברות אוכפות אבטחה באמצעות מערכת מבוססת אישורים כדי לאמת את המכשיר המחבר, בהתאם לתקן 802.1X.

שלבים באבטחת רשתות אלחוטיות

אם לא הגדרנו היטב על מה אנו מגנים ומדוע, אמצעי האבטחה הם חסרי ערך מעשי. חשוב לזהות נכסים עסקיים שיש להגן עליהם ואת ההשפעה של נזק, גניבה או אובדן.

לצורך אבטחת רשת אלחוטית , כמו בחיוג וב- DSL, על ניהול המדיניות להגדיר דרישות גישה. מי צריך גישה למה ומתי? אם לחברה כבר קיימת מדיניות גישה מרחוק עבור מטיילים ותקשורת, הרחב אותה לשילוב אלחוטי. אם אין מדיניות כזו, צור מדיניות. זכור לכלול תרחישים הייחודיים לאלחוטי, כמו עובדים במקומות חמים ציבוריים או מבקרים במשרד.

שקול כיצד הרשת האלחוטית משנה את הכללים עבור מבקרי המשרד. חברות מעטות מציעות גישה לאתרנט ללקוחות מבקרים או לשותפים עסקיים. שקעים באזורים ציבוריים בדרך כלל מושבתים או צמודים לכתובות ידועות. אולם מחשבים ניידים ומכשירים ניידים יכולים להתחבר בקלות לאפליקציות AP (Access OPoint) הסמוכות או לתחנות אלחוטיות אחרות. זה גם איום וגם הזדמנות. על מדיניות אבטחה להגדיר כללים לגישה לאורחים. לדוגמה, ניתן להתיר אורחים מחוברים באמצעות מכשירי AP ספציפיים עם יעדים, פרוטוקולים מוגבלים, משך רוחב הפס. אם אסור לאורחים לגשת, על המדיניות לציין זאת כך שניתן לנקוט בצעדים כדי למנוע חדירה של מבקרים.

אבטחת אפליקציות מתארת ​​אמצעי אבטחה ברמת היישום שמטרתם למנוע גניבה או חטיפה של נתונים או קוד באפליקציה. התחום כולל את שיקולי האבטחה שמתרחשים במהלך פיתוח ועיצוב אפליקציות, לרבות השלכה על מערכות וגישה ליישומים לאחר פריסתם.

אבטחת יישומים חשובה מכיוון שהיישומים של היום זמינים ברשתות שונות ואף מחוברים לענן, ולכן – חשובים לפגיעויות, לאיומי אבטחה ולהתקפות. בדיקות אבטחת יישומים יכולות לחשוף חולשות ברמת היישום, ולסייע במניעת התקפות אלה.

אבטחת יישומים עשויה לכלול חומרה, תוכנה ונהלים המזהים או ממזערים את פגיעויות האבטחה. אמצעי אבטחה ברמת היישום מובנים בדרך כלל בתוכנה, כגון חומת אש של אפליקציות (WAF) המגדירה אילו פעילויות מותרות ואלו אסורות. קיימים גם נהלים יכולים הנוגעים לשגרת אבטחת יישומים הכוללת פרוטוקולים, חובת בדיקות וכן הלאה.

הגדרת אבטחת יישומים

אבטחת אפליקציות היא תהליך פיתוח, הוספה ובדיקה של תכונות אבטחה בתוך יישומים כדי למנוע פגיעויות אבטחה מפני איומים כגון גישה ושינוי לא מורשים.

סוגי אבטחת יישומים

סוגים שונים של מאפייני אבטחת יישומים כוללים אימות, אישור, קידוד, רישום ובדיקת אבטחת יישומים. מפתחים יכולים גם לתקן יישומים להפחתת פגיעויות האבטחה.

• אימות: נהלים שמבטיחים שרק משתמשים מורשים יקבלו גישה ליישום.
• הרשאה: לאחר אימות המשתמש, ייתכן שהמשתמש יהיה מורשה לגשת ליישום ולהשתמש בו. המערכת יכולה לאמת שמשתמש רשאי לגשת ליישום על ידי השוואה בין זהות המשתמש לרשימה של משתמשים מורשים. אימות חייב להתרחש לפני ההרשאה כך שהיישום יתאים רק לתעודות משתמש מאומתות לרשימת המשתמשים המורשית.

• הצפנה: לאחר אימות המשתמש ומשתמש ביישום, אמצעי אבטחה אחרים יכולים להגן על נתונים רגישים מלהיחשף בפני בלתי-מורשים. ביישומים מבוססי ענן, בהם תנועה המכילה נתונים רגישים בין משתמש הקצה לענן, ניתן להצפין את התנועה כדי לשמור על בטיחות הנתונים.
• רישום: אם קיימת הפרת אבטחה ביישום, רישום יכול לעזור לזהות מי קיבל גישה לנתונים ואיך. קבצי יומן היישומים מספקים רשומה עם חותמת זמן לאילו היבטים של היישום ניגשו ועל ידי מי.

בדיקת אבטחת יישומים: תהליך הכרחי כדי להבטיח שכל בקרות האבטחה הללו פועלות כראוי.

בדיקת אבטחת יישומים

מפתחי אפליקציות מבצעים בדיקות אבטחת יישומים כחלק מתכנת פיתוח התוכנה כדי לוודא שאין תקלת אבטחה בגרסה חדשה או מעודכנת של יישום תוכנה. ביקורת אבטחה יכולה לוודא שהיישום עומד במערכת ספציפית של קריטריונים. לאחר שהאפליקציה עוברת את הביקורות, על המפתחים להבטיח שרק משתמשים מורשים ידעו לגשת אליה. בבדיקת חדירות, מבוצע הבודק פעולות זהות לאלו שמבצע האקר, ומחפש דרכים לפרוץ ליישום. בדיקות חדירה עשויות לכלול הנדסה חברתית או ניסיון לרמות משתמשים כדי לקבל גישה לא מורשית.

איומים מתקדמים יכולים להסתתר באתרים לגיטימיים. משתמשים עשויים לסכן את הארגון שלא במתכוון על ידי לחיצה על המקום בו הם לא צריכים. מערכות אבטחת Web חוסמת אתרים מסוכנים ובודקת אתרים לא ידועים באופן אוטומטי לפני שהוא מאפשר למשתמשים להכנס עליהם.

פתרון לאבטחת Web ישלוט על השימוש באינטרנט של אנשי הארגון, יחסום איומים מבוססי-אינטרנט, וישלול גישה לאתרים זדוניים. זה יגן על שער האינטרנט באתר או בענן.

אבטחת יישומי אינטרנט היא מרכיב מרכזי בכל עסק מבוסס אינטרנט. אופיו הגלובלי של האינטרנט חושף את נכסי האינטרנט להתקפה ממקומות שונים ורמות שונות של גודל ומורכבות. אבטחת יישומי אינטרנט עוסקת באופן ספציפי באבטחה סביב אתרים, יישומי אינטרנט ושירותי אינטרנט כגון APIs.

פגיעויות נפוצות בנושא אבטחת אינטרנט

התקפות נגד יישומי אינטרנט נעות בין מניפולציה ממוקדת של מסד נתונים ועד הפרעה ברשת רחבת היקף. נסקור כמה משיטות ההתקפה הנפוצות או "וקטורים" המנוצלים בדרך כלל.

• סקריפטים בין אתרים (XSS) Cross Site Scripting – XSS הוא פגיעות המאפשרת לתוקף להזרים סקריפטים בצד הלקוח לדף אינטרנט על מנת לגשת ישירות למידע חשוב, להתחזות למשתמש או להערים על המשתמש לחשוף מידע חשוב.
• הזרקת SQL (SQi) – SQi היא שיטה שבאמצעותה תוקף מנצל פגיעויות באופן בו מסד נתונים מבצע שאילתות חיפוש. התוקפים משתמשים ב- SQi כדי לקבל גישה למידע בלתי מורשה, לשנות או ליצור הרשאות משתמש חדשות, או לתפעל או להשמיד נתונים רגישים בדרך אחרת.
• התקפות מניעת שירות (DoS) והתקפות מניעת שירות (DDoS) מבוזרות – באמצעות מגוון ווקטורים, התוקפים מסוגלים להעמיס על שרת ממוקד או בתשתית הסובבת אותו בסוגים שונים של תנועת התקפות. כאשר שרת כבר לא מסוגל לעבד בקשות נכנסות בצורה יעילה, הוא מתחיל להתנהג באטיות ובסופו של דבר מונע שירות לבקשות נכנסות ממשתמשים לגיטימיים.
• השחתת זיכרון – השחתת זיכרון מתרחשת כאשר מיקום בזיכרון משתנה במכוון, וכתוצאה מכך פוטנציאל להתנהגות בלתי צפויה בתוכנה. שחקנים רעים ינסו לרחרח ולנצל שחיתות בזיכרון באמצעות מעללים כמו הזרקת קוד או התקפות הצפת מאגר.
• הצפת מאגר – הצפת מאגר היא אנומליה המתרחשת כאשר תוכנה כותבת נתונים לחלל מוגדר בזיכרון המכונה מאגר. הצפת יכולת המאגר גורמת לכך שמיקומי זיכרון סמוכים יוחלפו עם נתונים. ניתן לנצל התנהגות זו כדי להזרים קוד זדוני לזיכרון, ועלול ליצור פגיעות במחשב הממוקד.

• זיוף בקשות חוצות-אתרים (CSRF) – זיוף בקשות חוצות-אתרים כולל הטרמה של הקורבן להגיש בקשה המשתמשת באימות או באישור שלהם. על ידי מינוף הרשאות החשבון של משתמש, תוקף מסוגל לשלוח בקשה שמתחפשת כמשתמש. לאחר פגיעה בחשבון המשתמש, התוקף יכול לסנן, להשמיד או לשנות מידע חשוב. בדרך כלל ממוקדות חשבונות מיוחסים במיוחד כגון מנהלים או מנהלים.
• הפרת נתונים – בשונה מווקטורי התקפה ספציפיים, הפרת נתונים היא מונח כללי המתייחס לשחרור מידע רגיש או סודי, ויכול להתרחש באמצעות פעולות זדוניות או בטעות. ההיקף של מה שנחשב להפרת נתונים הוא רחב למדי ועשוי להכיל מכמה רשומות בעלות ערך רב עד מיליוני חשבונות משתמשים חשופים.

מהן השיטות הטובות ביותר להפחתת פגיעויות?

שלבים חשובים בהגנה על יישומי אינטרנט מפני ניצול כוללים שימוש בהצפנה עדכנית, הדורשת אימות נכון, תיקון רציף של פגיעויות שהתגלו והיגיינת פיתוח תוכנה טובה. המציאות היא שתוקפים חכמים עשויים להיות מסוגלים למצוא פגיעויות אפילו בסביבת אבטחה די חזקה, ומומלץ על אסטרטגיית אבטחה הוליסטית.

ניתן לשפר את אבטחת יישומי האינטרנט על ידי הגנה מפני התקפות DDoS, שכבת יישומים והתקפות DNS:

WAF – (Web Application firewall) מוגן מפני התקפות שכבת יישומים

חומת אש של יישום אינטרנט או WAF מסייעת בהגנה על יישום אינטרנט מפני תנועת HTTP זדונית. על ידי הצבת מחסום סינון בין השרת הממוקד לתוקף, ה- WAF מסוגל להגן מפני התקפות כמו זיוף בין אתרים, סקריפטים בין אתרים והזרקת SQL.

אבטחת ענן – המכונה גם אבטחת מחשוב ענן – מתייחסת לדיסציפלינה והפרקטיקה של הגנה על סביבות מחשוב ענן, יישומים, נתונים ומידע. אבטחת ענן כוללת אבטחת סביבות ענן מפני שימוש / גישה בלתי מורשים, התקפות של מניעת שירות (DDOS), האקרים, תוכנות זדוניות וסיכונים אחרים. בעוד שאבטחת ענן חלה על אבטחה בסביבות ענן, המונח הקשור, אבטחה מבוססת ענן, מתייחס לתוכנה כמודל אספקת שירות (SaaS) של שירותי אבטחה, המתארחים בענן ולא נפרסים באמצעות חומרה מקומית או תוכנה.

סוגי סביבות ענן

• שירותי ענן ציבוריים – מתארחים על ידי ספקי שירותי ענן של צד שלישי (למשל, שירותי אינטרנט של אמזון (AWS), Microsoft Azure, Google Cloud) ובאופן כללי נגישים דרך דפדפני האינטרנט, ולכן ניהול זהויות, אימות ובקרת גישה חיוניים.
• ענן פרטי – בדרך כלל מוקדש ונגיש לארגון יחיד בלבד. עם זאת, הם עדיין חשופים לפריצות גישה, הנדסה חברתית וניצולים אחרים.
• ענן היברידי – שילוב היבטים של עננים ציבוריים ופרטיים, מאפשר לארגונים לשלוט יותר בנתונים ובמשאבים שלהם מאשר בסביבת ענן ציבורית, ובכל זאת, יוכלו להשתמש במדרגיות ויתרונות אחרים של הענן הציבורי בעת הצורך.

קטגוריות של שירות ענן

• תשתית כשירות (IaaS) – מאפשר מודל לפי דרישה עבור משאבי מחשוב וירטואליזציה מוגדרים מראש של מרכז נתונים (כלומר רשת, אחסון ומערכות הפעלה). המודל יכול לכלול אוטומציה של יצירת מכונות וירטואליות, וחשוב לקחת בחשבון כיצד מכונות וירטואליות מספקות, מנוהלות ומנותקות.
• פלטפורמה כשירות (PaaS) – מספק כלים ותשתיות מחשוב אחרות, המאפשרים לארגונים להתמקד בבניית והפעלת יישומי אינטרנט ושירותים. סביבות PaaS תומכות בעיקר בצוותי מפתחים, פעולות וצוות DevOps. כאן ניהול וקביעת תצורה של הרשאות ושירותים בשירות עצמי הוא המפתח לשליטה בסיכון.
• תוכנה כשירות (SaaS) – מורכב מאפליקציות שמתארחות על ידי צד שלישי ומועברות בדרך כלל כשירותי תוכנה באמצעות דפדפן אינטרנט אליו ניתן לגשת מצד הלקוח. בעוד ש- SaaS מבטל את הצורך בפריסה וניהול של יישומים במכשירים של משתמשי קצה, פוטנציאל כל עובד יכול לגשת לשירותי אינטרנט ולהוריד תוכן. לפיכך, נראות ובקרת גישה נאותות נדרשות כדי לפקח על סוגים של יישומי SaaS שאליהם נגיש, שימוש ועלות.

שיטות מומלצות לאבטחת מחשוב ענן

• אסטרטגיה ומדיניות – תוכנית אבטחה הוליסטית בענן צריכה להסביר בעלות ואחריות (פנימית / חיצונית) של סיכוני אבטחת ענן, פערים בהגנה / תאימות, ולזהות בקרות הדרושות להטמעת אבטחה ולהגעה למצב הסיום הרצוי.
• פילוח רשת – בסביבות מרובות דיירי ענן זרים, הערך איזה פילוח קיים בין המשאבים לזה של לקוחות אחרים, כמו גם בין המקרים. מינוף גישה אזורית לבידוד מופעים, מכולות, יישומים ומערכות מלאות זו מזו במידת האפשר.
• ניהול זהויות וגישה וניהול גישה לפי צורך בלבד – מינוף תהליכי ניהול זהות ואימות איתנים כדי להבטיח שרק למשתמשים מורשים תהיה גישה לסביבת הענן, ליישומים ולנתונים. לאכוף את הפריבילגיה הפחותה להגביל את הגישה המוקדמת ולהקשות על משאבי ענן (למשל, חשיפת משאבים לאינטרנט רק לפי הצורך, והפעל את היכולות / התכונות / הגישה הלא נחוצים). ודא שההרשאות מבוססות על תפקידים, וכי הגישה המוקדמת מבוקרת ומתועדת באמצעות ניטור הפעלות.
• ניהול נכסים בענן – ברגע שמאפשרים שירותים ונכסים בענן, יש להכפיפם תחת מערכת ניהול (כלומר ניהול סיסמאות וכו').
• בקרת סיסמה (סיסמאות מוגנות ולא סודיות) – לעולם אל תאפשר שימוש בסיסמאות משותפות. שלב סיסמאות עם מערכות אימות אחרות עבור אזורים רגישים. ודא שיטות עבודה מומלצות לניהול סיסמאות.
• ניהול פגיעות – בצע באופן קבוע סריקות פגיעות וביקורות אבטחה, ותקן פגיעויות ידועות.
• הצפנה – ודא שנתוני הענן מוצפנים, במנוחה ובמעבר.
• התאוששות מאסון – היה מודע למדיניות ותהליכי גיבוי, שמירה ושחזור נתונים של ספקי הענן. האם הם עומדים בתקנים הפנימיים? האם קיימות אסטרטגיות ופתרונות לשבירת זכוכית?
• מעקב, התראה ודיווח – יישום אבטחה מתמדת וניטור פעילויות משתמשים בכל הסביבות והמופעים. נסה לשלב ולרכז ריכוז נתונים של ספק הענן (אם קיים) עם נתונים מפתרונות פנים-פנים ושאר ספקים, כך שתקבל תמונה הוליסטית של הנעשה בסביבתך.

אבטחת נקודות קצה היא גישה להגנה על רשתות מחשבים המקושרות מרחוק למכשירי לקוח. חיבור מחשבים ניידים, טאבלטים, טלפונים ניידים ומכשירים אלחוטיים אחרים לרשתות ארגוניות יוצר נתיבי התקפה לאיומי אבטחה. אבטחת נקודות קצה מנסה להבטיח כי מכשירים כאלה עומדים ברמה מוגדרת של עמידה בתקנים.

מרחב האבטחה של נקודת הקצה התפתח במהלך השנים האחרונות מתוכנת אנטי-וירוס מוגבלת, להגנה מקיפה וכוללת יותר. ההגנה כוללת אנטי-וירוס מהדור הבא, איתור איומים, חקירה ותגובה, ניהול מכשירים, הגנת דליפת נתונים (DLP) ושיקולים אחרים להתמודדות עם איומים מתפתחים.

ניהול אבטחת נקודות קצה היא גישה תוכנה המסייעת בזיהוי וניהול גישה למחשבים ולנתונים של המשתמשים דרך רשת ארגונית. זה מאפשר למנהל הרשת להגביל את השימוש בנתונים רגישים כמו גם גישה מסוימת לאתר מסוים למשתמשים ספציפיים, על מנת לוודא עמידה במדיניות הארגון ובסטנדרטים שנטל על עצמו הארגון. הרכיבים המעורבים בהתאמת מערכות ניהול אבטחת נקודות הקצה כוללות: VPN, מערכת הפעלה של השרתים ותכנות מערכת לקוח מעודכנות. התקני מחשב שאינם עומדים במדיניות הארגון ניתנים לגישה מוגבלת לרשת LAN וירטואלית. הצפנת נתונים בנקודות קצה והתקני אחסון נשלפים מסייעת בהגנה מפני דליפות נתונים.

דגם לקוח ושרת

מערכות אבטחת נקודות קצה פועלות על פי מודל שרת-לקוח, ותוכנית האבטחה נשלטת על ידי שרת מארח המנוהל באופן מרכזי עם תוכנית מוגדרת עבור מחשב-לקוח המותקנת בכל כונני הרשת. יש עוד דגם שנקרא הנגשת תוכנה כשירות (SaaS), תוכנות האבטחה והשרת המארח נשמרים מרחוק על ידי הסוחר. בענף כרטיסי התשלום התרומה משני דגמי המסירה היא שתוכנת השרת מאמתת ומאמתת את פרטי הכניסה למשתמש ומבצעת סריקת התקנים כדי לבדוק אם היא עומדת בתקני אבטחה ארגוניים ייעודיים לפני שמתירה גישה לרשת.

בנוסף להגנה על נקודות הקצה של הארגון מפני איומים פוטנציאליים, אבטחת נקודות הקצה מאפשרת למנהלי IT לפקח על פונקציות פעולה ואסטרטגיות לגיבוי נתונים.

פלטפורמות הגנת נקודות קצה – EPP Endpoint protection platforms –

פלטפורמות הגנה על נקודות קצה הן פתרונות הניתנים לפריסה בנקודת הקצה כדי להגן מפני תוכנות זדוניות מבוססות קבצים וסוגים אחרים, באמצעות יכולות מניעה, חקירה ותיקון. מספר ספקים מייצרים מערכות EPP עם פלטפורמות גילוי ותגובה של (EDR) Endpoint Detection and Response – מערכות המתמקדות בזיהוי איומים, תגובה ובקרה אחידה.

על ארגונים לוודא שהצוות שלהם לא ישלח מידע רגיש מחוץ לרשת. טכנולוגיות DLP, יכולות למנוע מאנשים להעלות, להעביר, או אפילו להדפיס מידע קריטי בצורה לא בטוחה.

מערכות למניעת דלף מידע פועלות לזיהוי, ניטור ואבטחה של מידע המועבר בתקשורת והמצוי במאגרי מידע וביחידות הקצה, באמצעות ניתוח עמוק של תוכן ותוך שימוש בממשק ניהול מרכזי. המערכת מנטרת נתונים ובהתאם למדיניות החוקים שנקבעה מראש חוסמת העברת המידע אל גורמים בלתי מורשים.

דלף מידע עשוי לנבוע מסיבות שונות ובהן טעויות אנוש, תקלות טכניות ופעולות ריגול עסקי של מתחרים. אובדן מחשבים ניידים המכילים מידע עסקי רגיש, טעויות הפצת דואר אלקטרוני והחדרת תוכנות ריגול וסוסים טרויאניים.

סוג דליפות מידע

• זיהוי ומניעת דלף העובר ברשת – הטכנולוגיה מותקנת בנקודות היציאה ברשת ומנתחת את התעבורה כדי לאתר נתונים רגישים שנשלחו תוך הפרה של מדיניות אבטחת המידע.
• זיהוי ומניעת דלף מעמדות קצה – הטכנולוגיה מותקנת בתחנות עבודה או בשרתים פנימיים ומנטרת את המידע שעובר בהם. מערכת למניעת דלף מידע מגנה מגינה מפני העתקה של קבצים אל מדיה חיצונית, העברה של הנתונים באמצעות הדואר האלקטרוני ותוכנות מסרים מידיים ועוד. למערכת יכולת בדיקה של מידע שהוצפן על ידי המשתמש. אם הקובץ המוצפן מכיל מידע רגיש, המערכת תחסום אותו ותדווח על כך. יש לשים לב שהודעת דואר אלקטרוני המכילה מידע רגיש שמעולם לא נשלחה, לא תנוטר על ידי המערכת למניעת דלף מידע. לא ניתן להתקין את מערכת למניעת דלף מידע על טלפונים סלולריים ומחשבי כף יד.

• זיהוי נתונים – למערכות למניעת דלף מידע מספר אפשרויות לזיהוי מידע חסוי או רגיש. בתהליך זיהוי הנתונים, קובע הארגון כללי חיפוש שונים:
• זיהוי נתונים מובנה, הגדרת נתונים הנמצאים בשדות קבועים בתוך דף אינטרנט, מסמך טקסט, גיליון אלקטרוני, מספרים השווים או דומים באורכם למספר כרטיס אשראי וסימונם כחסויים.
• זיהוי מדויק: זיהוי תוכן על פי פרמטרים מדויקים וזהים לחלוטין כך שלא יתאפשרו מקרים שגוים.
• זיהוי לא מדויק: מילות מפתח, ביטויים רגולריים, תגי מטא, ניתוח סטטיסטי ועוד.
• מניעת דלף מהארכיון – פעולה זו מתייחסת למידע המאוחסן בארכיון הנתונים. מערכת למניעת דלף מידע מגנה על נתונים אלה בעזרת הצפנה ושימור נתונים, הגדרת בקשת גישה ועוד.
• מניעת דלף בעת שימוש בנתונים – פעולה זו מתרחשת כאשר המשתמש משתמש בקבצים, מערכות למניעת דלף מידע, מגנות על הנתונים בזמן השימוש ויכולות לנטר ולדווח על פעולות לא מורשות (צילום מסך, העתקה או שינוי של מידע, הדפסה ומשלוח בפקס ועוד).
• מניעת דלף בעת העברה – פעולה זו מתרחשת כאשר הנתונים עוברים דרך רשת פנימית או חיצונית אל נקודת הקצה. מערכות למניעת דלף מידע מגנות ועוקבות אחר הנתונים הרגישים שמועברים ברשת.

אבטחת ICS, או אבטחת מערכות בקרה תעשייתית (Industrial Control System), כוללת שמירה ואבטחה של מערכות בקרה תעשייתיות, כמו גם את התוכנה והחומרה הדרושים המשמשים את המערכת.

הגדרת מערכת בקרה תעשייתית

מערכת בקרה תעשייתית היא מערכת המשמשת למעקב אחר תהליכים תעשייתיים. היא יכולה להיות מורכבת מבקרים בודדים או מרשת מורכבת של תת-מערכות בקרה אינטראקטיביות המורכבות ממאות או אלפי חיבורים. מערכות אלה מקבלות נתונים מחיישנים מרוחקים המפקחים ומודדים משתנים שונים בתהליכים. לאחר מכן משווים משתני תהליכים אלה לסטנדרט הנדרש, ובהתאם – המערכת תשלח פקודות שישלטו על תהליכים באמצעות רכיבי הבקרה הסופיים, כמו שסתומי בקרה.

לדוגמה, חיישנים מרוחקים יבדקו את המכונות ואז ישלחו נתונים למערכת הבקרה התעשייתית. אם המערכת מבחינה כי המכונות מתחממות יתר על המידה, ה- ICS תודיע למכונות לכבות אותה. בבניינים מורכבים וגדולים, משמש ICS וויסות השימוש באנרגיה.

אבטחת ICS מתמקדת בהיבטים הבאים:

• אבטחה והגנה על מערכות בקרה תעשייתיות, והתוכנה והחומרה המשמשת בהפעלה ובקרה של מכונות, והתקנים אחרים המשמשים במפעל ובעסקים תעשייתיים אחרים.
• שמירת תהליכים ומכונות פועלות בצורה חלקה.
• לוודא שהמידע והנתונים המוצגים בלוח המחוונים ובמסכי חדר הבקרה מדויקים ומשקפים את מה שקורה באמת במפעל או ברצפת הייצור.

לרוב מערכות הבקרה התעשייתיות אין גם כוח מחשוב או שיש להם משאבים מוגבלים מאוד המשמשים למחשוב. המשמעות היא שהם לא יוכלו להריץ תוכנות אנטי-תוכנה אנטי-וירוס.

בנוסף, לא ברור מי צריך להיות אחראי עליה. לאנשי ה- IT יש את הניסיון והמומחיות הנדרשים בכדי לאבטח את המערכות, אך אין להם הבנה מלאה של אופן פעולתן של מערכות ICS והייחודיות שלהן. אנשי IT נוטים להגן על הסודיות והשלמות ראשונים, מכיוון שהיבט הזמינות אינו באחריותם, לכאורה. אנשי הטכנולוגיה התפעולית (OT), שעיקר הדאגה שלהם היא שמערכות אלה מוכנות לשימוש בכל עת, ולכן, אנשי ה- OT מתנגדים להורדת מערכות אלה לשם עדכון תכנות האבטחה, כי מבחינתם העברת מערכות אלה למצב לא מקוון עלולה לסכן עובדים, ולכן זמינות וזמן פעולה חשובים יותר, מנקודת ראותם, מאשר סודיות ושלמות.