Cyberstorage: הגנה על אחסון ומידע מפני תקיפות

עוד מושג באנגלית נכנס לשיחה: Cyberstorage. לפני שמוסיפים אותו לרשימת הדברים שצריך לקנות, בואו נבין מה הוא מנסה לפתור. כמו Zero Trust, וירטואליזציה והתאוששות מאסון, גם כאן הרעיון מתחיל בצורך מעשי: להגן על הפעילות העסקית ועל המידע כשהתוקפים מכוונים לאחסון עצמו.

העקרונות המרכזיים

• מגנים על אחסון
• מפרידים הרשאות
• בודקים עמידות ושחזור

ארגונים רוצים להקשות על תוקפים לשנות מידע תפעולי ולהשמיד גיבויים. Cyberstorage מתאר יכולות להגנת המידע שבאחסון מפני מתקפות סייבר. שלוש השאלות שכדאי לשאול הן מה המושג אומר, איזה ערך הוא נותן ומה אפשר ליישם כבר עכשיו.

כשהתוקף מגיע גם למידע וגם לגיבויים

כאן האחסון עצמו נמצא על הכוונת: מאגרים לטווח קצר וארוך עם מידע רגיש או קריטי, וגם יעדי גיבוי מקומיים ובענן. כלומר, לא רק מערכת העבודה צריכה הגנה — גם המקום שממנו תכננתם לחזור אליה.

המקור מתמקד בשני דפוסים: כופרה הכוללת גניבה והצפנת מידע, וריגול או חבלה הכוללים מחיקה ושינוי נתונים. הוא מבחין ביניהם לבין מחיקת יומנים מקומיים שנועדה להסתיר את פעולות התוקף.

המסמך מצטט כי ב־86% מהמתקפות שנבדקו נגנב מידע, כולל נפחים גדולים, וכי ב־95% היה ניסיון להגיע לאחסון כדי לפגוע בגיבויים. הוא מציין פגיעה בחלק ממאגרי הגיבוי ב־38% מהמקרים ובכל המאגרים ב־30%. המקורות המצוטטים הם דוח Coveware לרבעון השני של 2022 ודוח מגמות הכופרה של Veeam משנת 2022.

המקור מעלה אפשרות שתוקפים יעבירו דגש מהצפנה, שיוצרת השבתה בולטת ומושכת תשומת לב מרשויות, לגניבת מידע ולאיום בפרסום שלו ברשת האפלה. ההצפנה היא אמצעי ללחוץ על הקורבן, ולא המטרה הכלכלית עצמה.

בין אם נעשה שימוש בהצפנה ובין אם לא, פגיעה במערכות, ניצול הרשאות, פגיעה ב־Active Directory ותנועה לרוחב הרשת עלולים לחייב החזרה של הסביבה למצב שאפשר לתת בו אמון, לפני התקיפה.

רעיון שימושי או עוד מילה למצגת?

האם Cyberstorage מסייע להתמודד עם תקיפות על האחסון, או בעיקר מוסיף מונח לשיחה? כדי לענות, המחבר מפרק את ההגדרה לעקרונות ובודק איך ליישם אותם. זו דרך טובה להבין טכנולוגיה: להתחיל במה שהיא עושה, ולא בכמה מרשים נשמע השם.

המחבר חושב שכדאי להכיר את המושג, כי הוא עוזר למקד את השיחה במה צריך להגן עליו ואיך. בזמן כתיבת המסמך הוא תיאר אותו בעיקר כתפיסה וכבסיס לדיון, ולא כמוצר מוגדר היטב שחייבים לקנות.

המקור מפנה לעקומת Gartner Hype Cycle לטכנולוגיות אחסון והגנת מידע. בגרף המצוטט Cyberstorage נמצא בשלב Innovation Trigger, תחילת ההתעניינות בחדשנות. הסימון של 5–10 שנים מתאר תחזית של Gartner לזמן עד שלב בשלות שבו פתרונות מספקים ערך באופן מבוסס.

המחבר מדגיש שתחזיות אינן תמיד מדויקות, ושקיומם של ספקים המציעים מוצרים בתחום אינו סותר את העובדה שהתחום עדיין מתפתח. המסר הוא לבחון את כוונת ההגנה ולראות איך אפשר לקדם את אותם יעדים באמצעות אסטרטגיות קיימות.

מה Gartner התכוונה כשאמרה Cyberstorage?

המונח קיבל בולטות בדוח Gartner מיולי 2022. לפי ההגדרה המובאת במסמך, Cyberstorage מגן על נתוני מערכות אחסון מפני כופרה באמצעות זיהוי מוקדם וחסימת מתקפות, ומסייע בהתאוששות באמצעות ניתוח שמזהה מתי התחילה התקיפה. הפתרון יכול להיות תוכנה, התקן ייעודי או חלק משולב בפתרון האחסון.

המחבר גוזר מההגדרה שתי דרכי פעולה מרכזיות:

• עוצרים מתקפות בשלב מוקדם: אם אפשר למנוע גישה לפני שנפגע מידע תפעולי או מידע גיבוי, מצבו של הארגון טוב יותר.
• מבינים מתי התחילה התקיפה: אם לא נעצרה, צריך לדעת מתי נפגעו תחנות, מתי שירותי ספרייה נוצלו ומתי ניגשו לנתונים או שינו אותם. כך אפשר להימנע משחזור מערכת שכבר הייתה נגועה בתקופה שבה התוקף פעל בשקט, ולבחור נקודה שנבדקה גם מבחינת אמון ובטיחות.

ההגדרה אינה מחייבת טכנולוגיית חומרה אחת. היא מתארת את מטרות ההגנה ואת הקשר בין זיהוי, חסימה והתאוששות.

שלוש מטרות נוספות

המסמך מצטט מהדוח שלושה יעדים:

1. לתת עדיפות להגנה פעילה על אחסון מידע לא מובנה, משום שהגבלת תקיפה או חסימתה עדיפות על התאוששות ממנה.
2. להקשיח את פתרון האחסון הקיים באמצעות ניהול חולשות והמלצות הספק.
3. לא להתייחס למוצרי Cyberstorage כתחליף לגיבוי, לכספות גיבוי בלתי ניתנות לשינוי, לניטור רשת או להתאוששות מאסון.

המחבר מפשט זאת לשלושה עקרונות:

• מניעת תקיפה: להגביל או לחסום אותה לפני שנדרש שחזור.
• הגנה על המידע: למנוע גישה לא מורשית לאחסון גם אם שכבת המניעה לא עצרה את התוקף.
• אסטרטגיה רב־שכבתית: לשלב גיבוי, מאגר מוגן, תוכניות שחזור וניטור, עם יכולות נוספות למניעה, זיהוי ותגובה.

מה אפשר לעשות עם הכלים שכבר קיימים?

לא חייבים להתחיל מאוסף כלים שמנסה לחקות מוצר עם התווית Cyberstorage. המחבר מציע להתחיל באסטרטגיה שמשרתת את המטרות: מניעה, הגנה על המידע ושילוב שכבות. נבחן איך פתרונות קיימים יכולים לסייע.

טכנולוגיות למניעת תקיפות

המקור מתמקד בכניסה דרך חולשה ביישום או במערכת ההפעלה, גישה מרחוק החשופה לאינטרנט ודואר דיוג. הוא מצטט את Coveware לרבעון הראשון של 2023 ומציג דיוג כנתיב התחלתי משמעותי בכופרה מאז סוף 2021.

דוגמאות לשכבות הגנה על דואר:

• הגנת דואר: אימות פרטי השולח, בדיקת קישורים, בחינת קבצים מצורפים בסביבה מבודדת והמרה של מסמכים לפורמט בטוח יותר לבדיקה. הגנת DNS וגלישה יכולה לבחון גם את היעדים שאליהם הודעה מנסה להפנות.
• הדרכת מודעות: המקור מצטט 82% מהפרות המידע שבהן היה ״גורם אנושי״, לפי Verizon DBIR 2022. הוא ממליץ על הדרכה רציפה בהונאות, הנדסה חברתית ודיוג, ועל הסבר תפקיד העובדים באבטחה. אפשר להשתמש בתרגילי דיוג כמשוב כדי לזהות היכן נדרשת הדרכה נוספת.
• הגנת תחנות: המקור מצטט דוח Acronis משנת 2022, שלפיו קצת יותר מ־11% ממתקפות הדואר הגיעו לתיבת המשתמש למרות הגנת דואר, אורך החיים הממוצע של דגימת נוזקה היה 1.7 ימים וכמעט שלושה רבעים מהדגימות נצפו פעם אחת בלבד. הוא מדגיש שיש להניח שחלק מהתקיפות יעברו את שכבות המניעה ולבחון גם הגנה על תחנת הקצה.

בהקשר זה המחבר מציג למידת מכונה ולמידה עמוקה ככלים לזיהוי איומים מתקדמים, כולל דגימות חדשות, ומציע לבחון אותן כחלק מהגנת התחנה.

טכנולוגיות להגנת מידע תפעולי

המידע הפעיל בייצור הוא יעד לגניבה ולשינוי. ברוח ההגנה הפעילה על אחסון, המקור מציע:

• אימות רב־שלבי: דרישת גורמי אימות נוספים מקשה על שימוש לרעה בפרטי גישה פנימיים, גם כאשר קיימות הרשאות מוגברות.
• ניהול גישה בעלת הרשאות מיוחדות, PAM: צמצום האנשים שיכולים להשתמש בחשבון מוגבר וההתקנים שמהם ועליהם הוא פועל יכול להגביל תנועה לרוחב הרשת וגישה לאחסון.
• יומני קבצים ו־SIEM: ניטור מרכזי של גישה לקבצים והתראה על שימוש חריג מספקים ראות ומאפשרים להגיב לתוקף שכבר הגיע לשלב הזה.
• מניעת אובדן מידע, DLP: המקור מציין שהכלים עשויים להיות מוגבלים כאשר תוקף מעביר מידע בערוצים שאינם נבדקים, או כשהמידע מוצפן לפני ההעברה. יש לבדוק את יכולת הכיסוי בתצורה המסוימת.
• ניטור רשת: מידע שנגנב צריך לעבור בתקשורת כלשהי. התראה על יציאה חריגה של מידע עשויה לעזור לזהות פעילות ולחסום אותה.

טכנולוגיות להגנת מידע הגיבוי

המקור מציין קבוצות כגון Conti, Hive, Phobos ו־Samas כדוגמאות היסטוריות לתוקפים שניסו לפגוע בגיבויים כדי להגביר לחץ לתשלום. לכן צריך להגן גם על המידע הזה.

• עותק מחוץ לאתר: ה״1״ בכלל 3-2-1 הוא עותק שנמצא מחוץ לאתר. המקור מציג אחסון בענן כדרך נפוצה להשיג זאת.
• גיבוי בלתי ניתן לשינוי: נעילה מתאימה יכולה למנוע שינוי או מחיקה במשך תקופה מוגדרת. המחבר ממליץ לבחון את היכולת בפתרון הגיבוי, באחסון או בשניהם.

מחברים את שכבות ההגנה לתוכנית אחת

המחבר מציין שהביטוי ״אסטרטגיה רב־שכבתית״ הוא הפרשנות המעשית שלו ליעדים, ולא ציטוט ישיר מ־Gartner. שילוב של תהליכים וטכנולוגיות יכול ליצור יכולת מניעה ותגובה חזקה יותר. הוא ממליץ להיעזר במסגרות מוכרות לארגון מאמצי האבטחה.

NIST Cybersecurity Framework

NIST פיתח מסגרת לשיפור אבטחת הסייבר, שהמקור מציג כמתאימה לארגונים שונים בגודל, בענף ובמורכבות. המסגרת מסייעת לבנות תהליך שיפור מתמשך ומפנה למקורות נוספים. היא אינה כשלעצמה אישור תאימות לכל דרישה.

MITRE ATT&CK

מסגרת ATT&CK, טקטיקות, טכניקות וידע משותף על יריבים, מציגה דפוסי פעולה המשמשים תוקפים. היא מאורגנת לפי הפעולות ומספקת פרטים, דוגמאות, קבוצות קשורות, שיטות זיהוי ודרכי צמצום סיכון. אפשר להיעזר בה לבדיקת כיסוי ההגנה ולהבנת תרחישי תקיפה.

להעמקה: NIST CSF וMITRE ATT&CK.

מתחילים מההגנה, לא מהתווית

המטרה נשארת מעשית: להגן על מידע תפעולי ועל גיבויים מגישה לא מורשית, ולצמצם פגיעה אם תוקף כבר נכנס. אפשר לבדוק איך ההגנות הקיימות שלכם משרתות את המטרות האלה גם כשהמוצרים וההגדרות בתחום עדיין מתפתחים.

לפי המקור, המושג ימשיך להתפתח עם הטכנולוגיה ועם השוק. העיקרון לא משתנה: מקשים על תוקפים להיכנס, ומגנים על הנתונים גם אם הצליחו. את זה משיגים באמצעות טכנולוגיה ותהליכים מתאימים, לא באמצעות שם חדש בלבד.

נוסח עברי מלא המבוסס על גוף המאמר בקובץ ה־PDF שסופק, בעריכת שפה לקריאה נוחה. הערות דיוק ותיקונים למקור מסומנים בנפרד. דוגמאות הסבר נוספו לפי הצורך; תפריטי אתר, מודעות וקישורי המלצות אינם חלק מגוף המאמר.

מקור: elevating-your-backup-game-achieving-cyberstorage.pdf מאת MSP360.