דרוג:

מאת: דורון סיון, מומחה להתגוננות בפני התקפות האקרים ומנכ"ל MadSec, המתמחה בתחום אבטחת המידע

תגובתה של חברת סוני להתקפת הסייבר, בגניזת הסרט "ראיון סוף", הציתה ויכוח נוקב על הדרך שבה היה על החברה להגיב לאיומים מעין אלה. נשיא ארצות הברית ברק אובמה טען שסוני לא הייתה צריכה להתקפל ולגנוז את הסרט, אולם סוני, אשר להתמודד מול איומים ממשיים בפיגועי טרור, נאלצה להיכנע.

הדמוקרטיה וחופש הביטוי בארצות הברית עמדו למבחן, אולם, לאף אחד מהגורמים המעורבים – ממשל ארצות הברית, האף-בי-איי או חברת סוני – לא הייתה מפת דרכים מוגדרת לניהול המשבר. היום פורסם כי חברת סוני שכרה את שירותיה של יועצת התקשורת הידועה ג'ודי סמית', על מנת להתמודד עם הרעש התקשורתי והנזק התדמיתי, אך האם זה באמת מספיק?

משבר סוני הזה הוא אינדיקציה ברורה למה שמכונה בעגה המקצועית "אירוע APT". קבוצת האקרים סימנה כיעד את שרתי חברת סוני. להצלחת הפריצה קדם הליך ארוך של איסוף מידע והתקנת סוס טרויאני שגורם לזליגת מידע, וכל זאת מבלי שהמערכות הצליחו להצביע על כך.

הצלחת האירוע מצביעה על כך שישנם סוסים נוספים במערכת של סוני, לכן, התמודדות עם משבר סייבר בהיקף זה אינה יכולה להיות מוגדרת רק לטווח הצר של התקשורת. חברת סוני חייבת לגבש תוכנית ארגונית להתמודדות עם אירועי סייבר בזמן אמת אשר תקטין את הנזק הנוכחי ואת הנזקים העתידיים שעדיין עלולים להיווצר.

כיצד סוני הייתה צריכה לנהל את גזרת הסייבר שלה?

·         שלב ראשון: הכנה מוקדמת –לפני פרוץ המשבר הבא.

ההכנה המוקדמת כוללת גיבוי של המידע, שמירתו באתר נפרד מהאתר הראשי ואיסוף מודיעין סייבר העשוי לספק זמן תגובה ארוך יותר. על סוני לערוך בדיקות אבטחת מידע שוטפות וניהול סיכונים ונכסים מסודר.

·         שלב שני: זיהוי בזמן אמת.

מערכות אבטחת מידע שונות המנתחות התנהגות ברשת עשויות לאפשר לסוני לקבל התראה כמעט מיידית על משבר סייבר. גם אמצעים כגון אנטיוירוס או חומת אש הקיימים ברוב הארגונים היום יכולים לתת התראות למנהל הרשת, בתנאי שהם מוגדרים כראוי. ארגון גלובלי חזק כמו סוני, החושש באופן מיוחד מפגיעת סייבר, צריך לשקול הטמעת מערכת ייעודית לניטור אירועי אבטחת מידע.

     ·         שלב שלישי: תגובה.

שלב זה צריך כמובן להפתח בחסימת ההתקפה המיידית, אך עליו לכלול גם תחילת חקירה פנימית על ידי צוות המחשוב בסוני, יצירת קשר עם חוקרי אבטחה המתמחים בפשעי סייבר, ויצירת קשר עם גורמי אכיפת החוק במידת הצורך.

כפי שציינתי, סביר כי קיימים סוסים טרויאנים נוספים במערכת של סוני. יש לקוות שמלבד הפעולות האלמנטאריות של שינויי הסיסמא בכל המערכות, החברה גם מבצעת ביצוע עדכוני חומרה דקדקניים ומעקב קפדני על כל קבצי ה- log, כמו גם ניטור של פעולות חריגות.

ניתוח פרטני של המקרה יסייע לאתר את הסוס הטרויאני ולזהות את הכתובת אליה נשלח המידע מהארגון. פעולה זו חייבת להתבצע במקביל לפעולות של ההקשחה וקבלת סיוע ברמת הניטור של הלקוח. על הארגון לבצע בדיקות הקשחה לכל מערכת שיש לה ממשק חיצוני, דוגמת: אתרים, נתבים, קישורי VPN. על מנהלי הרשת להיות ערניים במיוחד מאחר והם יעד מבוקש בארגון עקב הגישה שיש להם לכל המערכות.

·         שלב רביעי ואחרון: הכלה והתאוששות.

לצערנו, לא תמיד ניתן למנוע נזקי משבר באופן מוחלט, ולכן חשוב להתמודד איתם היטב ככל הניתן. ראשית היה על סוני להודיע לגורמים העשויים להיפגע מהמשבר כגון עובדים, לקוחות וכדומה, ולנסות להקטין את הפגיעה בהם ככל הניתן. שנית עליה לתכנן כיצד למנוע את הישנות הפרצה שגרמה למשבר מלכתחילה. שלישית, על סוני לחזור לשלב ההכנה המוקדמת, ולתקן אותו על פי הלקחים שהופקו מהמשבר.

לסיכום, משבר סייבר עלול להזיק לארגון הנתקל בו בדרכים שונות. מידע אישי עלול לזלוג ולגרום לפגיעה בעובדים או בלקוחות, מכרזים או הצעות מחיר עשויות להתגלגל לידיו של מתחרה עסקי ומידע עשוי אף להימחק או לצאת מכלל שימוש, כפי שקרה למשל למספר ארגונים שהמידע שלהם הוצפן והם נאלצו לשלם דמי כופר כדי לשחררו.

חשוב לזכור כי אנו חשופים בכל עת למשבר סייבר. ארגונים רבים בוחרים לטמון את ראשם בחול, דבר שמצמצם משמעותית את יכולת ההתמודדות שלהם עם משבר בזמן אמת. משבר הסייבר בסוני הוכיח כי השקעה מוקדמת בתכנון תגובה למשבר סייבר ובכלי אבטחת מידע וניטור בסיסיים, עשויה להקטין באופן משמעותי את הנזק שיגרם כתוצאה מן המתקפה ולחסוך לארגון הפסדים כלכליים מיותרים.