האקרים: מה הם עושים ומה ההבדל בין תוקף לבודק אבטחה

מה הם האקרים ומה מבדיל בין תקיפה לבדיקת אבטחה

בהקשר של אבטחת מידע, האקרים הם אנשים שמאתרים חולשות במערכות מחשב ומשתמשים בהן. הפעילות יכולה לשרת גניבת מידע ושיבוש מערכות, או בדיקת אבטחה שנועדה לעזור לבעלי המערכת לתקן אותה. ההרשאה, מטרת הפעילות והגבולות שנקבעו לבדיקה הם ההבדלים המרכזיים בין המקרים.

האקרים אתיים מקבלים אישור מהארגון ומסכמים איתו אילו מערכות ייבדקו ובאילו שיטות. לפי ההסבר על האקינג אתי של IBM, ההסכמה כוללת מסגרת של לוחות זמנים, שיטות, מערכות ונכסים שייבדקו. הם שומרים על סודיות הממצאים ומשתפים אותם רק עם הארגון, כדי שיוכל לחזק את ההגנות שלו.

הכלים והמיומנויות של בודק אבטחה דומים לאלה של תוקף. מה שמבדיל ביניהם הוא האישור מבעל המערכת והמטרה, שהיא שיפור האבטחה בלי לפגוע ברשת או במשתמשים שלה.

שלושה כינויים נפוצים

• כובע לבן: האקר אתי, שפועל באישור כדי לשפר את אבטחת הרשת.
• כובע שחור: פושע סייבר שפועל לטובתו האישית או למטרות אחרות, למשל גניבת מידע או כספים ושיבוש פעילות.
• כובע אפור: מי שפועל בשיטות לא אתיות או מחוץ לחוק, אך למטרה שעשויה להיות טובה. לפי IBM, גם כוונה טובה כזו עלולה לחשוף לתוקפים זדוניים וקטורי תקיפה חדשים.

איך תוקפים מגיעים למידע ולחשבונות

ניסיון להשתלט על חשבון יכול להתחיל בהודעה שמתחזה לחברה מוכרת. ההודעה מנסה לגרום לכם למסור פרטים, ללחוץ על קישור או לפתוח קובץ שמתקין תוכנה זדונית. דרך נוספת היא ניצול חולשה בתוכנה, ולכן עדכוני אבטחה הם חלק מההגנה על המכשיר.

נניח שמגיעה הודעה שלפיה החשבון שלכם עומד להיחסם. אם היא מפנה אתכם למסך כניסה מזויף, הזנת הסיסמה עלולה למסור אותה למתחזה. ההמלצה של נציבות הסחר הפדרלית בארצות הברית היא לא ללחוץ על קישורים בהודעות דוא"ל או מסרונים שלא ציפיתם להם, ולפנות לחברה דרך כתובת אתר או מספר טלפון שאתם יודעים שהם אמיתיים.

כדי להכיר את סימני האזהרה לפני פתיחת קישור, אפשר להיעזר בהסבר על זיהוי הודעות פישינג.

שני מסלולים עיקריים

• מניפולציה על האדם: הודעה מתחזה שמבקשת סיסמה, לחיצה או הורדת קובץ.
• ניצול חולשה טכנית: תוכנה, מערכת הפעלה או יישומון שלא עודכנו ומכילים פגם ידוע.

בשני המסלולים, הצעד הראשון שבידיכם הוא זהירות לפני לחיצה ועדכון שוטף של המכשירים.

מה עושים האקרים אתיים במסגרת העבודה

בדיקת חדירה היא תקיפה מדומה ומוסכמת, שמטרתה להמחיש מה תוקף עלול להשיג. לפי IBM, הבודקים מנצלים חולשות ונעים ברשת כדי להראות לאילו נכסים אפשר להגיע. התהליך כולל שלושה שלבים: איסוף מידע מקדים, הכנת התקיפה ודיווח.

הערכת חולשות היא פעילות אחרת. היא מאתרת בעיות, מסווגת אותן ומדרגת אותן לפי עדיפות, אבל לא מתקדמת לניצול שלהן. IBM מציינת שלעיתים משתמשים בשני המונחים לסירוגין, ושבדיקת חדירה היא רק אחת מהשיטות של האקרים אתיים, כפי שמפורט בהסבר של IBM.

בסיום העבודה הבודקים מתעדים את הממצאים, והארגון מחליט מה לתקן ובאיזה סדר. התיעוד הזה הוא חלק מרכזי מהתוצר, כי בלעדיו הארגון לא יידע מה לשנות.

אם אתם מזמינים בדיקה לעסק, בקשו הצעה שמגדירה את המערכות הכלולות, גבולות הבדיקה והתוצר שתקבלו. להרחבה על הבדיקות שאפשר להזמין, קראו על ביקורת אבטחת מידע בעסק.

מה לברר לפני שמזמינים

1. אילו מערכות ונכסים נכללים בבדיקה ואילו מחוץ לה.
2. באילו שיטות הבודקים רשאים להשתמש ובאילו מועדים.
3. מי מקבל את הדוח ואיך נשמרת סודיות הממצאים.
4. אם מדובר בהערכת חולשות בלבד או גם בניסיון ניצול מוסכם.

איך מצמצמים את הסיכון מחשיפה לתוקפים

התחילו מהחשבונות ומהמכשירים שאתם משתמשים בהם. לפי נציבות הסחר הפדרלית, כדאי להתקין עדכונים ברגע שהם יוצאים ולהפעיל עדכון אוטומטי בתוכנות אבטחה, בדפדפן, במערכת ההפעלה וביישומונים בנייד.

סיסמה חזקה ארוכה: ההמלצה היא לפחות 15 תווים, או צירוף של מילים אקראיות. מנהל סיסמאות מוכר יכול ליצור סיסמאות חזקות ולשמור אותן, ואת הסיסמה של המנהל עצמו צריך לבחור בקפידה ולהגן עליה.

אימות דו־שלבי מוסיף דרישת זיהוי מעבר לסיסמה. קודים שנשלחים בהודעה או בדוא"ל עוזרים, אבל נציבות הסחר ממליצה לבחור ביישומון אימות או במפתח אבטחה כשיש אפשרות לכך. הוראות לשירותים נפוצים מופיעות במדריך להפעלת אימות דו־שלבי ושמירת גיבוי.

את המלצות ההגנה מפרטת נציבות הסחר הפדרלית.

רשימת בדיקה קצרה

• עדכונים אוטומטיים פועלים במכשיר, בדפדפן וביישומונים.
• לכל חשבון חשוב יש סיסמה ארוכה וייחודית.
• אימות דו־שלבי מופעל, רצוי ביישומון אימות או במפתח אבטחה.
• לא לוחצים על קישורים בהודעות שלא ציפיתם להן, ופונים לחברה דרך מספר או אתר מוכרים.

איפה מתחילים ללמוד בלי לבדוק מערכות של אחרים

לתרגול ראשוני אפשר להשתמש בסביבות שנבנו ללמידה. האקדמיה לאבטחת יישומי רשת של PortSwigger מציעה חומרי לימוד ומעבדות אינטראקטיביות בחינם. יש בה גם מסלולי לימוד מסודרים שמאפשרים להתקדם בצורה מובנית.

בחרו נושא, קראו את ההסבר ותרגלו במעבדה הייעודית. לאחר התרגול, נסו לכתוב מה הייתה החולשה וכיצד הייתם מסבירים את התיקון לבעל המערכת. כך תכירו גם את עבודת התיעוד וההסבר שנלווית לבדיקות אבטחה.

תרגול מחוץ למעבדות כאלה, על מערכות של אחרים ובלי אישור, חורג מהגדרת ההאקינג האתי כפי שמתארת IBM, שבה ההרשאה והמסגרת המוסכמת הן תנאי לפעילות.

מי ששוקל להפוך את התחום למקצוע יכול להמשיך אל המדריך על מסלול הכניסה לתפקיד חוקר סייבר.