אל תעליבו את אנשי הסייבר, מגיע להם הרבה יותר קרדיט

נכון, מלחמת סייבר היא בהחלט צד מאוד דומיננטי בעולם אבטחת המידע אבל צריך להגיד – ישראל חווה לא מעט מתקפות דיגיטליות, אולם רק חלק לא גדול מהן, יכול להיחשב כמלחמת סייבר. לא כל פינג לרשת חברת חשמל ראוי להיכלל בספירת 19,000 אירועי סייבר בשעה. אחרי שאמרנו את זה - בישראל יש מעט מאוד אנשי אבטחת מידע שיכולים לקרוא לעצמם מומחי סייבר ולו מהטעם הפשוט, התמחות בלוחמת סייבר מחייבת מיומנות שקשה להשיג כשלא מטפלים באירוע סייבר מובהק.

מבחינת התקשורת, אין ספק שהמונח סייבר "עושה את העבודה". הוא מייצר טראפיק ומוכר עיתונים כי הוא מפחיד. מפחיד כי מעטים יודעים מה באמת המשמעות שלו. הוא מסקרן כי מעטים יודעים כיצד הוא מתנהל והוא מאתגר את המחשבה כי כולנו ראינו את מת לחיות 4.

מהי לוחמת סייבר?

בשבוע שעבר אירחה סדנת נאמן למדע, טכנולוגיה וביטחון את כנס הסייבר ה-3. לכנס הגיעו מספר מומחים בינ"ל אבל אותי תפסה יותר מכולם ההרצאה של פול דה סוזה, מנהל תחום לוחמת סייבר ב- CSFI-CWD . בתמצות מרשים למדיי ניסח סוזה את ההבדל בין מומחה סייבר ומומחה אבטחת מידע. לשיטתו, מומחה סייבר חייב שיהיה לו ותק של לפחות 10 שנים ברמה הגבוהה ביותר של פעילות בתחום CNO – Computer Network Operations הכולל בניית, הגנת וניצול רשתות.

ובכלל, מהי לוחמת סייבר? התפיסה המקובלת מתייחסת למעורבות של מדינות. לוחמת סייבר בשונה מעוד התקפת Defacement או DDOS מערבת כלים מתוחכמים ובהיקפים גדולים. איתור מחרוזת תווים המבטיחה שמדובר באתר שניתן לפרוץ אליו באמצעות SQL Injection לא באמת יכולה להיחשב כמתקפת סייבר, למרות שהיא מתבצעת במרחב הקיברנטי האינסופי.

דה סוזה אף מספק הגדרות משלו להבהרת ההבדלים. למשל הוא מגדיר תפקיד ארגוני חדש – DCO – Defensive Cyberspace Operations ומפרט את הכישורים והמיומנויות ההכרחיות כדי להיחשב לוחם סייבר: ביצוע התקפת מטרות, הערכת יעילות ההתקפה, זיהוי מטרות, פיתוח וייצור תובנות, מימוש יכולות, איסוף, עיבוד ואחסון מידע, הקשחת רשתות, איתור התקפות, יכולות ביטול, הגנה ופיתוח כלי הצפנה.

מה ההבדל בין stuxnet והשחתת אתרים?

וירוס הוא בהחלט חלק מלוחמת סייבר. השבתת עשרות בנקים אמריקאים היא חלק מלוחמת סייבר. פגיעה בעשרות אלפי מחשבים ושרתים בדרום קוריאה היא חלק ממלחמת סייבר. כדי שאירוע יוכל לקבל את התואר המחמיא דה-היום, "סייבר", כדאי שיהיה בו קצת יותר מהתארגנות חשופה תקשורתית של כמה עשרות או מאות בני 12 אינדונזים וכווייתים וגם כמה בחריינים.

5 ה-D של הסייבר

לדעת דה סוזה האקר שיפעל לפי 5 הd's ייחשב לוחם סייבר ראוי: DECEIVE – הטעיית האויב באמצעות מניפולציה, עיוות, או זיוף הראיות כדי לגרום לו להגיב באופן שיפגע באינטרסים שלו עצמו. DEGRADE – להפחית באופן זמני את היעילות של היריב, מערכות הבקרה ואת מאמצי איסוף המידע. DENY - לעכב או למנוע מהאויב מלהשתמש בשטח, כוח אדם, ציוד או מתקנים. DESTROY - כדי לגרום נזק דיגיטלי עד ביטול השמישות של המחשב או המערכת. DISRUPT – לשבש ו/או להפסיק את זרימת המידע בין גופים שצוינו או נבחרו במרחב הקיברנטי.

האקרים שעומדים מאחורי אירועי סייבר לא מקבלים את הריגוש היומי שלהם מהפלת 30 אתרים שאוחסנו בחברת אתרים רשלנית. הם יחפשו את הדרך לחדור למחשבי RSA ולגנוב מהם את מפתחות ההצפנה שמיושמים במחשבי לוקהיד מרטין. האקרים רציניים שמעוניינים לבצע אירוע סייבר או להתמודד עם אחד שכזה, יתמכו לרב על ידי ארגון גדול ו/או שנתמך אף הוא על ידי מדינה עם משאבים נאים.

הם יחפשו דרכים לעקוף מנגנוני הגנה מבלי בכלל שיזהו אותם. הם לא יודיעו שהם באים. הם ישתמשו בהרבה מאוד ידע והכרות עם מערכות הפעלה שונות. הם יבצעו טכניקות האקינג מגוונות וכן, למרות שבעיני חלקם הגדול זה סתם עוד יום במשרד, הם בהחלט עושים מהלכים מאתגרים שמרביתנו לא מסוגל לחשוב ברמת המורכבות שלהם. מבינים, זו כבר חשיבה אחרת. אל תעליבו אותם כשאתם מתייחסים לאירועים שטחיים, יומיומיים ולמומחי אבטחת מידע מוכשרים ככל שיהיו כאירועי ואנשי סייבר.

הכותבת מנהלת את מירון תקשורת משווקת המלווה חברות אבטחת מידע וסייבר למעלה מ-13 שנים. www.meyron-mc.com