סייבר בקו הקצה: מה זה סייבר ואיך מסתכלים על זה?

פתיחה

בעשירי לפברואר בכל שנה מציין האיחוד האירופאי את "יום האינטרנט הבטוח" (safer internet day), שמוקדש להטמעה וללמידה של שימוש נכון ובטוח באינטרנט עבור כלל המשתמשים בו. אצלנו ב-MiC החלטנו לנצל את ההזדמנות לציון חודש פברואר כולו כ"חודש סייבר", בחודש שכלל סיורים מיוחדים לאגפי מיחשוב וסייבר, ופעילויות נוספות. בעוד שימוש בטוח באינטרנט כולל את הצעדים והפרקטיקות הספציפיים של המשתמש הפרטי ברשת, כך שלמשל, לא ייגנבו פרטי המשתמש שלו – "סייבר" (במקור, קיצור של המילה קיברנטיקה) הוא כיום מונח שיכול לתאר את כלל עולם המיחשוב וההתנהלות בו, אך לרוב תוך התייחסות ספציפית יותר לעולם אבטחת המידע.

אבטחת המידע כוללת כמובן גם את ה"עשה ואל תעשה" למשתמש הקצה, אך היא כוללת גם התייחסויות נרחבות יותר לצורות התקיפה האפשריות וצורות ההגנה האפשריות מפניהן, שלעיתים רבות אינן תלויות באופי השימוש הפרטי של משתמש הקצה, אלא באופן בו התכונַנו מראש ומיגַנו את מערכות המיחשוב שלנו מבעוד מועד.

בשני החלקים של המאמר הזה, נציג כמה ממושגי היסוד ודרכי החשיבה בעולם אבטחת המידע וסייבר, ונסביר מעט על המצב ברשויות המקומיות בישראל.

מתחילים מהיסודות

שלוש המטרות העיקריות והידועות של אבטחת המידע, שגם זכו לראשי התיבות המוצלחים CIA הן: סודיות, שלמות וזמינות (באנגלית: Confidentiality, Integrity, Availability).

המטרות האלו הן בעצם תמונת המראה לשלושה נזקים אפשריים, שיכולים לעשות האקרים למכשירים האלקטרוניים שלנו שמחוברים לרשת האינטרנטית: האקרים יכולים לנסות לפרוץ לרשת שלנו או בשביל לגשת לנתונים סודיים ופרטיים ולחשוף אותם לאנשים שלא היו אמורים להיחשף אליהם; או בשביל למחוק את הנתונים האלה/ לשנות אותם; או בשביל לחסום אותם לגישה שלנו ולהקשות את הגישה אליהם. אבטחת מידע טובה מבטיחה גם שהמידע יישאר סודי (ולא ייחשף לעיניים ללא סיווג מתאים), גם שהוא יישאר שלם (לא יימחק או ישתנה), וגם שהוא יישאר זמין.

כבר מהפתיחה הזו אנו יכולים לראות שתי נקודות מעניינות בנושא הסייבר וההגנה על המידע: הראשונה היא, שהתעוררות הנושא והפיכתו לחשובה קשורה קשר בל יינתק לכפר הגלובלי ולהתרחבות יכולות התקשורת האנושיות מאז שנות ה-90 וכניסתו של האינטרנט – שכן תקיפות סייבר, לפחות במובנן העדכני, הן משהו שלא היה יכול להתקיים לפני המעבר לשימוש כלל עולמי באינטרנט. המעבר של האנושות לתקשורת מבוססת אינטרנט הפך את כולנו למחוברים ונגישים יותר, וקיצר את המרחקים וזמני התגובה שלנו. יש בכך ברכה מרובה גם בפן של התקשורת האישית וגם בפן של עידוד וצמיחה כלכליים. אך עם זאת, העובדה שאנחנו מקושרים יותר וזמינים יותר להרבה יותר מקומות בעולם – היא היא זו שגם גרמה לדבר ההפוך: אם אנחנו מקושרים יותר לכולם הרי שכולם גם מקושרים יותר אלינו, ולא תמיד אלו האנשים שהיינו רוצים שיהיו קשורים אלינו. זו למעשה דוגמא נוספת לכיצד כמעט כל התרחבות טכנולוגית טומנת בחובה ברכות גדולות אך גם סיכונים, ואימוץ נכון וחכם של טכנולוגיות חייב להבין זאת, ולצפות מראש את הסיכונים הללו ולהיערך אליהם.

מה שמביא אותנו אל הנקודה הבאה: חלק הארי באבטחת המידע אכן עסוק בחשיבה על הצעדים שיש לעשות כנגד האקרים ושאר גורמים שמטרתם לפגוע בנו, תוך שהם מנצלים בצורה זדונית את היכולות האינטרנטיות. כפי שניתן לראות בצורה בה מנוסחת ההגדרה של שלוש המטרות העיקריות באבטחת המידע: הניסוח שלהן מבליט את העובדה ש"אבטחת המידע" היא עולם עיסוק "לעומתי". כלומר, עולם עיסוק שכל מטרתו הוא התמודדות עם תופעה אחרת וקודמת, שקיימת לפני כן. לצורך העניין, אם היינו בעולם אידיאלי והיינו בטוחים שאין ולא יהיו אף אנשים רעים בעולם, הרי שעולם "אבטחת המידע" למעשה לא היה קיים. אלו לא דברים בעלמא – יש להם משמעות, והמשמעות היא שכדי להבין את עולם אבטחת המידע בצורה טובה, צריך להתחיל קודם כל דווקא בהבנה קצת יותר עמוקה של המוח הקרימינלי שינסה לפגוע בנו.

על המטרות, האמצעים וכלי-הביצוע של הפושע

כשעסקנו בפגיעה בסודיות, שלמות או זמינות המידע למעשה עסקנו באמצעים וסוגי הנזק של הפשע. אך צריך להבין שלכל תוקף יש גם מטרה שבגללה הוא רוצה לפגוע בנו, וגם כלי או דרך שבאמצעותו הוא פוגע בנו. נגיד את זה ככה: תוקף רוצה להשיג מטרה מסויימת, ובשביל להשיג אותה הוא מחליט על איזה סוג נזק הוא רוצה לגרום לנו – כך שהנזק הוא למעשה האמצעי להשגת המטרה. אך כדי לגרום את הנזק הזה בפועל הוא זקוק לכלים או לדרכים מסויימים, והוא בוחר בהם בהתאם לסוג הנזק אותו הוא רוצה להסב לנו (כי הרי לא כל כלי גורם את אותו הנזק).

מה יכולות להיות המטרות של ההאקר? קודם כל, הוא יכול לרצות ליצור נזק רק בשביל ליצור נזק. זה תוקף שמטרתו היא שנסבול, ואז סוג הנזק שהוא יבחר הוא כנראה סוג הנזק הקשה ביותר עבורנו. מטרה שניה אפשרית – תקיפה עבור ריגול. בשונה מהמטרה הקודמת, זו בד"כ תקיפה שנשארת חשאית, שהמטרה שלה היא שלא נבין שאנחנו מותקפים, ושבד"כ מתמקדת בסוג הנזק של חשיפת הסודיות של המידע שאנו מחזיקים בו. מטרה שלישית היא תקיפה למען יצירת השפעה ותודעה – פה בד"כ התוקף ירצה שנדע שהותקפנו, ובד"כ גם ירצה שכמה שיותר אנשים ידעו זאת בנוסף, כי המטרה מבחינתו היא מעין שיימינג תודעתי ויחצני. ולבסוף, קיימת גם המטרה הרביעית של יצירת רווח אישי – כלומר, תקיפה שנעשית על מנת להרוויח כסף: בין אם מתוך ציפייה שנשלם על מידע שנגנב מאיתנו, ובין אם מתוך כוונה למכור את המידע שנגנב מאיתנו לגורמים אחרים.

הכלים והדרכים בהם ניתן להשתמש על מנת לגרום נזק ולהשיג אחת מארבע המטרות לעיל, הם רבים ומתרבים ככל שהזמן עובר – וזה בדיוק מה שהופך את ההתגוננות מפניהם ליותר ויותר מורכבת. אולם, בסופו של דבר כל הדרכים האלו נועדו לאפשר להאקר לפרוץ לתוך המערכות הסגורות שלנו, ובעצם להשיג גישה חופשית לכל הנתונים שבתוך המערכות שלנו. מהבחינה הזו, ניתן לחלק את הכלים שברשות ההאקר לשני סוגים עיקריים: כלים טכנולוגיים וכלים מניפולטיביים שאינם טכנולוגיים. בכלים טכנולוגיים הכוונה לכל התוכנות הזדוניות שמנסות לתקוף את מערכת המחשבים והאינטרנט שלנו, בשלל שיטות שונות. ואילו בכלים המניפולטיביים הכוונה לשיטות דיוג שונות, שנועדו לגרום למשתמש התמים לתת להאקר מרצונו ומבלי דעת את פרטי הכניסה למערכת – כך שבמקום שההאקר יצטרך להפעיל כלים טכנולוגיים ותוכנות כדי לפרוץ למערכת, הוא רק יקליד את שם המשתמש והסיסמה, ממש כמונו.

נשמע כמו משהו שלא פשוט להתגונן מולו, נכון? בחלק הבא של המאמר נעסוק בדרכי ההתגוננות השונות, ונכיר קצת יותר לעומק את המצב ברשויות המקומיות בישראל.