התקדמות הטכנולוגיה הביאה עמה המון שינויים חיוביים לחיינו, כמו האפשרות לאחסן מידע בקלות וביעילות במערכות ממוחשבות, האפשרות לנהל מידע מרחוק והאפשרות ליהנות ממידע זמין ונגיש מתי שאנו צריכים אותו. אולם, אותה התקדמות טכנולוגית הביאה עמה גם סיכונים שונים מתחום הסייבר. כולנו שמענו בעבר על פרצות סייבר למיניהן, בהן נחשפו פרטים אישיים של לקוחות או שנחשף מידע חשוב מסוג כלשהו. כדי לדאוג שהמערכת הממוחשבת עמידה לפריצות, ישנן בדיקות חדירות סייבר, המבוצעות ע"י האקרים "טובים" ומטרתן לזהות חולשות במערכת.
מבדקי חדירה או מבדקי חדירות
מדובר במבדקים של מערכות מחשוב בארגון מסוים, בד"כ מערכות מתוחכמות, במטרה להבין עד כמה המערכת חדירה (מבפנים ומבחוץ) למתקפות סייבר, מהם הסיכונים הקיימים ומהן והיכן יש פרצות, במידה ואלו קיימות. המטרה המרכזית היא לדמות פריצה של האקרים אמיתיים על מנת לחזק את מערך ההגנה של המערכת הממוחשבת. קיימות דרגות עומק שונות לבדיקות כאלה, שכן מדובר במעין התקדמות של ההאקר הבודק בתוך המערכת, עד למציאת פרצה. לעיתים קיימות כמה פרצות, לעיתים לא כל המידע החסוי יהיה חשוף לאחר מציאת הפרצה וכו'. מה שחשוב לדעת בשלב זה, הוא שמטרתו של ההאקר הבודק היא קודם כל לאתר פרצות שטחיות יותר, לאחר מכן עומקיות, ולאחר מכן להעריך מהו הנזק שחלילה ייגרם בהתאם למידע או לחומר שנחשף בעקבות הפרצה. יש לציין, כי עומק הבדיקה תלוי פעמים רבות במזמין, כלומר החברה המזמינה את השירות.
- מומלץ להיוועץ עם אנשי מקצוע באשר לנחיצות בדיקת החדירות, בין אם מדובר בארגון או עסק קטן ובין אם לא. עבור ארגונים רבים הבדיקה היא הכרחית.
מטרות בדיקת חדירות סייבר: פירוט
מטרת העל: שמירה על אבטחת המידע – לכל ארגון, בטח כאדר מדובר על ארגון גדול, ישנו צורך באבטחת מידע, בין אם מדובר במידע פרטי של הארגון ובין אם מדובר במידע של לקוחות. לצערנו, כבר הינו עדים בעבר למקרים שונים בהם פרטים של לקוחות נחשפו באופן כזה או אחר ע"י האקרים, ולמעשה כולנו חשופים לסכנה הזו, שכן כולנו מסתמכים במידה כזו או אחרת על הטכנולוגיה ומשאירים בה פרטים שונים.
אולם, בין אם מדובר בצורך להגן על מידע פרטי של הארגון ובין אם מדובר על הצורך של הלקוחות, מטרת העל של בדיקת החדירות תמיד תהיה לאפשר לעסק או לארגון להגן על המידע בצורה הטובה ביותר. כדי לעשות זאת, יש צורך לדמות פריצה של ממש.
זיהוי חולשות – בהנחה שאף מערכת ממוחשבת אינה מושלמת, סביר להניח שיהיו לה חולשות מסוימות. השאלה היא כמובן מהן והיכן הן. בנוסף, שאלה שחובה לא פחות היא – עד כמה מהר תוקף פוטנציאלי יוכל למצוא אותן.
שלא יעבדו עליכם – סביר להניח שרובנו לא "האקרים" ולכן, רובנו לא יכולים לבחון באמת את המערכות הממוחשבות שלנו בעצמנו, אלא יש אנשים שעושים את זה בשבילנו לרוב, בייחוד כשמדובר על עסק גדול. אולם, האם אותה הגנה של המערכת הממוחשבת היא טובה ומספיקה עבור הארגון? יכול להיות שכן ויכול להיות שלא. המטרה של בדיקת החדירות בהקשר זה, היא לאפשר לבעלי עסקים וראשי ארגונים לדעת עד כמה טובה המערכת הקיימת.
הזכרנו זאת לפני: איזה מידע יהיה חשוף ראשון? מערכות ממוחשבות כוללות סוגים שונים של מידע, ברמות סודיות שונות. בדיקת חדירות נועדה בין היתר כדי לבדוק את סוג המידע שייחשף ראשון (אם ייחשף) במקרה של פריצה אמיתית. למידע הראשון שייחשף, למידע השני שייחשף וכן הלאה, יש משמעות רבה מבחינת רמת בטיחות המידע של הארגון, מכיוון שלמידע או חומר מסוגים שונים יש משמעויות שונות.
האם בדיקות חדירות סייבר הן יעילות?
ככלל, ככל עוד שבדיקת החדירות תהיה יותר איכותית (כלומר תבדוק לעומק את מערכות ההגנה\שכבות ההגנה), היא תהיה יותר יעילה. בנוסף, ככל עוד שבדיקת החדירות תדמה מתקפת סייבר אמיתית מבחינה טכנולוגית וכד', היא תהיה יותר יעילה. אולם, קיימות טכניקות וסוגי בדיקות שונות, שלכל אחת מהן יש את היתרון שלה. שני סוגי הבדיקות העיקריות הם:
- בדיקה פנימית לאחר שההאקר הבודק קיבל את מלא המידע על המערכת שאותה הוא בודק. בדיקה כזו דומה לאדם שמקבל מראש מעין "מפה" של הבית, כולל השערים שבו והמנעולים שבו. מדובר בבדיקה יעילה למדי, שכן היא מאפשרת להאקר לבחון לעומק כל פרט ופרט במערכת הקיימת. בנוסף, קיימים ממילא איומים של גורמים מבפנים המכירים את המערכת, כל שבדיקה זו אינה מדמה בהכרח מצב מלאכותי, אלא יכולה לדמות מצב ריאלי. עם זאת, החיסרון העיקרי שלה הוא שהיא אינה מדמה מצב בו להאקר אין גישה כלל לנתוני המערכת.
- בדיקה חיצונית מבלי שההאקר קיבל מידע כלשהו. זוהי בדיקה המדמה מצב ריאלי בו פורץ חיצוני מנסה לחדור למערכות הארגון. בדיקה כזו יעילה מצד מה שהיא מדמה, כלומר היא יעילה בחיקוי אחר אופן הפעולה של פורץ אמיתי. מצד שני, היא לוקחת זמן רב יותר, שכן מבלי מידע מקדים מאוד קשה לחדור למערכת. בנוסף, לא תמיד ההאקר שבודק את המערכת מצליח להגיע לכל החלקים במערכת ולבדוק אותן.
מה קורה בסוף בדיקת החדירות?
קיימות בדיקות שונות, כך שבסוף הבדיקה ניתן לקבל מידע על הפרצות, החולשות, המידע שיכול להיאסף, קמת האבטחה של המערכת ועוד. מומלץ ביותר, לבצע בדיקת חדירות שבסופה הארגון יקבל מידע על דרכים שבאמצעותן ניתן לשפר את רמת האבטחה. כמו כן, חשוב לדעת מה עושים במידה שחלילה תתקיים פריצה. כמובן שיש לתקן פרצות ושאר חלקים הדורשים תיקון במערכת. נקודה נוספת שחשוב לציין, היא שבדיקת חדירות הסייבר מסייעת לפעילות הארגון לטווח הארוך, שכן היא חוסכת משאבים ומונעת תקלות.