.jpg)
המידע והנתונים אשר עוברים בתוך הארגון ומחוצה לו הם רבים מאוד, דינמיים ורגישים לארגון. כתוצאה מכך, ארגונים מחויבים להישמר מכלל איומי הסייבר הגוברים ולמנוע חשיפה וזליגת מידע מתוך הארגון בכל דרך.
מכיוון שישנו מידע רב וחיוני אשר עובר בארגון ומחוצה לו בין כלל הגורמים, החל מעובדי החברה, ספקים, קבלנים, לקוחות החברה וכן הלאה, ארגונים נדרשו (ועדיין נדרשים) לבצע השקעה רבה בפלטפורמות וטכנולוגיות אבטחת מידע מגוונות במטרה לצמצם את האיומים והסיכונים מול הארגון. יחד עם זאת, המאמצים להישאר מעודכנים וחדשנים היא השקעה עצומה ולעיתים משימה קשה מאוד.
למרות כל ההשקעה במשאבים, בפלטפורמות ובטכנולוגיות אבטחת סייבר שונות, החוליה החלשה בכל המנגנון של אבטחת המידע היא הגורם האנושי. הגורם האנושי שהוא החלק המרכזי והחשוב של הארגון הינו אותם עובדים, ספקים, שותפים ולקוחות החברה אשר עלולים לגרום באופן לא מכוון לנזק תדמיתי, נזק כלכלי ומבוכה רבה בארגון.
חשוב להדגיש כי אחוזי הסיכוי לפגיעה מתוך הארגון הינם גבוהים מאוד ומשמעותיים יותר מאשר מחוץ לארגון, לפיכך מתחזקת כל הזמן הדעה הרווחת שחלק לא קטן מההשקעה צריכה להיות בגורם האנושי, וזה אומר השקעה להגברת מודעות אבטחת המידע בקרב העובדים וכל גורם אנושי שמתחבר לארגון.
אין ספק שהגברת מודעות לעובדי הארגון היא משימה קשה מאוד ולעיתים בלתי אפשרית בגלל העובדה שאפשר לבצע מניפולציה על הגורם האנושי בכל עת!
כאן נכנס נושא מעניין מאוד - הנדסה חברתית, שלמעשה מצד אחד משלבת מחקרים מדעיים בתחומי הפסיכולוגיה והסוציולוגיה ומצד שני את התוקפים שמריצים את הקמפיין. לכן הנדסה חברתית היא אחת הטכניקות הישנות והמוצלחות ביותר למימוש תקיפת סייבר, וככל הנראה תישאר איתנו עוד הרבה.
הנדסה חברתית הוא מונח שהחל את דרכו בתחום אבטחת המידע הקלאסית ומשם התפתח וקיבל צורות שונות בתוך אבטחת המידע המודרנית.
:הנדסה חברתית נעשית באופן זהה ולפי מספר עקרונות
• השלב הראשון שבו לומדים ככל שניתן על המשתמש. ניתן לבצע זאת במספר דרכים שונות: למשל באמצעות הרשת, פניה לסביבת אנשים קרובה ואפילו שיחה אנונימית מול המשתמש.
• בשלב השני מגבשים את איסוף המידע לתוכנית שבו מחליטים על שיטה ואופן הפריצה.
• בשלב השלישי מכינים את התשתית והכלים לביצוע הקמפיין והפריצה, בין אם כתיבת קוד, הקמת אתר פיקטיבי וכן הלאה.
• בשלב הרביעי מתבצעת התקיפה מול אותו גורם ומכוונת לנקודות הרגישות במטרה לגרום לשיתוף פעולה.
הערה: הנדסה חברתית היא לא רק הונאות באמצעות דואר אלא יכולה לכלול הונאות באמצעות וישינג, סמישינג, פריטקסטניג, בייטינג וכן הלאה. המשותף לכולם הוא האופן שבו ניתן להוציא מידע מתוך המשתמש.
אם ניקח לדוגמא את התקפות הסמישינג שהיו לאחרונה של ביטוח לאומי, חברות טלקום וכן הלאה היה ניתן לראות פניקה מסוימת מול משתמשים ולקוחות רבים ופרסום לגבי המתקפה בכל מקום.
הגברת מודעות סייבר
ישנם דרכים רבות להגברת מודעות הסייבר בארגון החל מהרצת כלי Attack Simulator שונים כגון IronScales או Office 365, דרך שיווק פנים ארגוני ועד ביצוע הדרכות פרונטאליות לעובדי הארגון.
הדבר החשוב ביותר בתהליך הגברת מודעות הסייבר הוא התמדה ועקביות.
IronScales הגברת מודעות הסייבר באמצעות
הכלי IronSchool של חברת IronScales מספק תרחישים וקמפיינים שונים בדומה להאקר שתוקף עם אפשרויות מגוונות אבל לא רק בגלל שהכלי מספק אפשרויות נוספות של למידה ודירוג משתמשי קצה. הכלי מספק בין היתר את האפשרויות הבאות:
• סוג תרחיש
• סוג קמפיין
• נמענים
• כמות חזרות
• הדרכה לאחר ביצוע הפעולה
• הערכה ודירוג משתמשי קצה
• כלי למידה שלם בהתאם לקמפיין
בסיום ההרצה מתקבל מידע רב אודות הקמפיין, בין היתר משתמשים אשר לחצו על קישורים, משתמשים אשר קראו את המייל, מי ביצע את הלמידה ומידע נוסף. הדוחות המופקים מאפשרים לבצע ניתוח לדוחות וע"י כך לתת את המידע הרלוונטי לגבי משתמשים מסוכנים לפי דירוג שמתבצע אוטומטית באמצעות IronScales.
הערה: הכלי IronSchool הוא כלי שמטרתו לספק Attack Simulator וכן Security Awareness Training והינו חלק ממשפחת כלים ושירות ענן נוסף שמבצע הגנה על תעבורת הדואר באמצעות תשתית רחבה ועם כלים נוספים כולל AI מול תעבורת הדואר.
Office 365 Attack Simulator הגברת מודעות הסייבר
כלי נוסף שעושה עבודה מצוינת הוא Office 365 Attack Simulator שיצא בתקופה האחרונה אך בשונה מהכלי שלIronScales , המטרה שלו היא לבצע הדמיה של פישינג בדרך שונה בכדי לתת מענה על מתקפות שונות, כגון:
• מתקפת Password Spray
• מתקפת Brute Force
• מתקפת Spear Phishing
הכלי Office 365 Attack Simulator מפעיל תבניות מוכנות להרצה ומאפשר להריץ את הכלי מתוך הממשק בפשטות.
נקח למשל מתקפה נפוצה מאוד והיא Spear Phishing שמטרתה לטרגט משתמשים מסוימים ולבצע עליהם מניפולציה בכדי שישתפו פעולה וילחצו על הקישורים הנדרשים. מתקפות Spear Phishing הן הונאות אשר לרוב מבוצעות באמצעות הדואר ארגוני ושמות להם למטרה ארגון וגורמים מאוד ספציפיים בחיפוש אחר מידע רגיש או השגת רווח כלכלי. מתקפות Spear Phishing לרוב רצות ע"י תוקפים לא אקראיים.
בכלי Attack Simulator ניתן ליצור תבנית חדשה או להשתמש בתבנית קיימת. כמו בדוגמה המצורפת.
הכלי Office 365 Attack Simulator מאפשר מתקפות נוספות וניתן לבצע קסטומיזציה על התבנית בהתאם לדרישות הארגון ולהריץ בכל בעת. הדוחות הזמינים מספקים מידע אודות משתמשים אשר לחצו על הקישורים וכן הלאה.
הגברת מודעות סייבר היא רובד חשוב באבטחת המידע הארגוני אשר מצריכה זמן וביצוע עקבי מול המשתמשים הארגוניים במטרה לצמצם את החשיפה של המשתמשים ובכדי לגרום למודעות בקרב העובדים.
המטרה בקמפיינים היא לא רק להשתמש בתבניות הקיימות אלא ליצור תבניות חדשות המבוססות על טרנדים חיצוניים במטרה לבצע מניפולציות חכמות ככל שניתן ובכדי לגרום להעלאת המודעות.
: (הדגשים בהגברת מודעות הסייבר חייבים להיות (בין היתר
• התמדה ועקביות בהרצת קמפיינים (למשל כל מספר ימים)
• יצירת קמפיינים מעניינים (והוספה לקמפיינים הקיימים כיום)
• יצירת מניפולציות מותאמות אישית (בהתאם למידע הרגיש לארגון)
• שילוב מול הדרכות פרונטליות ובהתאם לממצאים (כולל הדרכות נקודתיות של 1:1)
• ייצור והגברת המודעות, למשל שיתוף עובדים בנעשה עם התרחישים השונים
ישנם עוד עשרות דגשים שניתן ליישם בהגברת מודעות הסייבר בכדי להגיע למטרה והיא צמצום והפחתת האפשרויות של אחוז המשתמשים אשר ילחץ על קישור.
MVP Security ,מאת: אלי שלמה
המידע והנתונים אשר עוברים בתוך הארגון ומחוצה לו הם רבים מאוד, דינמיים ורגישים לארגון. כתוצאה מכך, ארגונים מחויבים להישמר מכלל איומי הסייבר הגוברים ולמנוע חשיפה וזליגת מידע מתוך הארגון בכל דרך.
מכיוון שישנו מידע רב וחיוני אשר עובר בארגון ומחוצה לו בין כלל הגורמים, החל מעובדי החברה, ספקים, קבלנים, לקוחות החברה וכן הלאה, ארגונים נדרשו (ועדיין נדרשים) לבצע השקעה רבה בפלטפורמות וטכנולוגיות אבטחת מידע מגוונות במטרה לצמצם את האיומים והסיכונים מול הארגון. יחד עם זאת, המאמצים להישאר מעודכנים וחדשנים היא השקעה עצומה ולעיתים משימה קשה מאוד.
למרות כל ההשקעה במשאבים, בפלטפורמות ובטכנולוגיות אבטחת סייבר שונות, החוליה החלשה בכל המנגנון של אבטחת המידע היא הגורם האנושי. הגורם האנושי שהוא החלק המרכזי והחשוב של הארגון הינו אותם עובדים, ספקים, שותפים ולקוחות החברה אשר עלולים לגרום באופן לא מכוון לנזק תדמיתי, נזק כלכלי ומבוכה רבה בארגון.
חשוב להדגיש כי אחוזי הסיכוי לפגיעה מתוך הארגון הינם גבוהים מאוד ומשמעותיים יותר מאשר מחוץ לארגון, לפיכך מתחזקת כל הזמן הדעה הרווחת שחלק לא קטן מההשקעה צריכה להיות בגורם האנושי, וזה אומר השקעה להגברת מודעות אבטחת המידע בקרב העובדים וכל גורם אנושי שמתחבר לארגון.
אין ספק שהגברת מודעות לעובדי הארגון היא משימה קשה מאוד ולעיתים בלתי אפשרית בגלל העובדה שאפשר לבצע מניפולציה על הגורם האנושי בכל עת!
כאן נכנס נושא מעניין מאוד - הנדסה חברתית, שלמעשה מצד אחד משלבת מחקרים מדעיים בתחומי הפסיכולוגיה והסוציולוגיה ומצד שני את התוקפים שמריצים את הקמפיין. לכן הנדסה חברתית היא אחת הטכניקות הישנות והמוצלחות ביותר למימוש תקיפת סייבר, וככל הנראה תישאר איתנו עוד הרבה.
הנדסה חברתית הוא מונח שהחל את דרכו בתחום אבטחת המידע הקלאסית ומשם התפתח וקיבל צורות שונות בתוך אבטחת המידע המודרנית.
:הנדסה חברתית נעשית באופן זהה ולפי מספר עקרונות
• השלב הראשון שבו לומדים ככל שניתן על המשתמש. ניתן לבצע זאת במספר דרכים שונות: למשל באמצעות הרשת, פניה לסביבת אנשים קרובה ואפילו שיחה אנונימית מול המשתמש.
• בשלב השני מגבשים את איסוף המידע לתוכנית שבו מחליטים על שיטה ואופן הפריצה.
• בשלב השלישי מכינים את התשתית והכלים לביצוע הקמפיין והפריצה, בין אם כתיבת קוד, הקמת אתר פיקטיבי וכן הלאה.
• בשלב הרביעי מתבצעת התקיפה מול אותו גורם ומכוונת לנקודות הרגישות במטרה לגרום לשיתוף פעולה.
הערה: הנדסה חברתית היא לא רק הונאות באמצעות דואר אלא יכולה לכלול הונאות באמצעות וישינג, סמישינג, פריטקסטניג, בייטינג וכן הלאה. המשותף לכולם הוא האופן שבו ניתן להוציא מידע מתוך המשתמש.
אם ניקח לדוגמא את התקפות הסמישינג שהיו לאחרונה של ביטוח לאומי, חברות טלקום וכן הלאה היה ניתן לראות פניקה מסוימת מול משתמשים ולקוחות רבים ופרסום לגבי המתקפה בכל מקום.
הגברת מודעות סייבר
ישנם דרכים רבות להגברת מודעות הסייבר בארגון החל מהרצת כלי Attack Simulator שונים כגון IronScales או Office 365, דרך שיווק פנים ארגוני ועד ביצוע הדרכות פרונטאליות לעובדי הארגון.
הדבר החשוב ביותר בתהליך הגברת מודעות הסייבר הוא התמדה ועקביות.
IronScales הגברת מודעות הסייבר באמצעות
הכלי IronSchool של חברת IronScales מספק תרחישים וקמפיינים שונים בדומה להאקר שתוקף עם אפשרויות מגוונות אבל לא רק בגלל שהכלי מספק אפשרויות נוספות של למידה ודירוג משתמשי קצה. הכלי מספק בין היתר את האפשרויות הבאות:
• סוג תרחיש
• סוג קמפיין
• נמענים
• כמות חזרות
• הדרכה לאחר ביצוע הפעולה
• הערכה ודירוג משתמשי קצה
• כלי למידה שלם בהתאם לקמפיין
בסיום ההרצה מתקבל מידע רב אודות הקמפיין, בין היתר משתמשים אשר לחצו על קישורים, משתמשים אשר קראו את המייל, מי ביצע את הלמידה ומידע נוסף. הדוחות המופקים מאפשרים לבצע ניתוח לדוחות וע"י כך לתת את המידע הרלוונטי לגבי משתמשים מסוכנים לפי דירוג שמתבצע אוטומטית באמצעות IronScales.
הערה: הכלי IronSchool הוא כלי שמטרתו לספק Attack Simulator וכן Security Awareness Training והינו חלק ממשפחת כלים ושירות ענן נוסף שמבצע הגנה על תעבורת הדואר באמצעות תשתית רחבה ועם כלים נוספים כולל AI מול תעבורת הדואר.
Office 365 Attack Simulator הגברת מודעות הסייבר
כלי נוסף שעושה עבודה מצוינת הוא Office 365 Attack Simulator שיצא בתקופה האחרונה אך בשונה מהכלי שלIronScales , המטרה שלו היא לבצע הדמיה של פישינג בדרך שונה בכדי לתת מענה על מתקפות שונות, כגון:
• מתקפת Password Spray
• מתקפת Brute Force
• מתקפת Spear Phishing
הכלי Office 365 Attack Simulator מפעיל תבניות מוכנות להרצה ומאפשר להריץ את הכלי מתוך הממשק בפשטות.
נקח למשל מתקפה נפוצה מאוד והיא Spear Phishing שמטרתה לטרגט משתמשים מסוימים ולבצע עליהם מניפולציה בכדי שישתפו פעולה וילחצו על הקישורים הנדרשים. מתקפות Spear Phishing הן הונאות אשר לרוב מבוצעות באמצעות הדואר ארגוני ושמות להם למטרה ארגון וגורמים מאוד ספציפיים בחיפוש אחר מידע רגיש או השגת רווח כלכלי. מתקפות Spear Phishing לרוב רצות ע"י תוקפים לא אקראיים.
בכלי Attack Simulator ניתן ליצור תבנית חדשה או להשתמש בתבנית קיימת. כמו בדוגמה המצורפת.
הכלי Office 365 Attack Simulator מאפשר מתקפות נוספות וניתן לבצע קסטומיזציה על התבנית בהתאם לדרישות הארגון ולהריץ בכל בעת. הדוחות הזמינים מספקים מידע אודות משתמשים אשר לחצו על הקישורים וכן הלאה.
הגברת מודעות סייבר היא רובד חשוב באבטחת המידע הארגוני אשר מצריכה זמן וביצוע עקבי מול המשתמשים הארגוניים במטרה לצמצם את החשיפה של המשתמשים ובכדי לגרום למודעות בקרב העובדים.
המטרה בקמפיינים היא לא רק להשתמש בתבניות הקיימות אלא ליצור תבניות חדשות המבוססות על טרנדים חיצוניים במטרה לבצע מניפולציות חכמות ככל שניתן ובכדי לגרום להעלאת המודעות.
: (הדגשים בהגברת מודעות הסייבר חייבים להיות (בין היתר
• התמדה ועקביות בהרצת קמפיינים (למשל כל מספר ימים)
• יצירת קמפיינים מעניינים (והוספה לקמפיינים הקיימים כיום)
• יצירת מניפולציות מותאמות אישית (בהתאם למידע הרגיש לארגון)
• שילוב מול הדרכות פרונטליות ובהתאם לממצאים (כולל הדרכות נקודתיות של 1:1)
• ייצור והגברת המודעות, למשל שיתוף עובדים בנעשה עם התרחישים השונים
ישנם עוד עשרות דגשים שניתן ליישם בהגברת מודעות הסייבר בכדי להגיע למטרה והיא צמצום והפחתת האפשרויות של אחוז המשתמשים אשר ילחץ על קישור.
MVP Security ,מאת: אלי שלמה
לפרטים נוספים ויצירת קשר עם נציג אורקל
הודעתך לא התקבלה - נסה שוב מאוחר יותר
