הפשיעה האינטרנטית הופכת לחברתית 

הפשיעה האינטרנטית הופכת לחברתית

בשנים האחרונות גדלה נוכחותן של רשתות חברתיות אינטרנטיות וכיום הן חלק בלתי נפרד מחיי היום-יום שלנו. הצלחתן של הרשתות החברתיות נובעת מהצורך האנושי בשיתוף המידע ומהצורך שלנו בחברים, צרכים שיכולים להיות מסופקים כיום מבלי לצאת מהבית. אנשים נוטים להיחשף יותר ברשתות חברתיות, כמו גם לבטוח יותר באנשים, בהשוואה לחיי היום-יום הרגילים שלהם. התקשרות ברשתות אלה היא אימפרסונאלית (לא אישית) ולפיכך אנו נוטים לעשות במסגרתה דברים שלעולם לא היינו עושים מול אדם בשר ודם.

משהפכה הפשיעה האינטרנטית למקצועית ומאורגנת יותר ולעסק רווחי לכל דבר, האקרים החלו להבין כי רשתות חברתיות יכולות להיות נכס מצוין למאווייהם הזדונים. האקרים ראו כי חלה ירידה חדה בתגובות לדואר הזבל שלהם (spam) ולמתקפות הפישינג (phishing) - שכן פתרונות אנטי-ספאם השתכללו פלאים לאורך השנים ואנשים החלו סומכים פחות ופחות על דואר אלקטרוני.

מנגד, קל מאוד להצטרף כחבר של מישהו או להפוך למעריץ בעמוד של המפורסמים בפייסבוק. לג'סטין ביבר ולברק אובמה לדוגמא, יש יותר מ-16 מיליון מעריצים בדף הפייסבוק שלהם, וכל אחד מהמעריצים יסמוך בקלות על ה-"פוסט" אשר הגיע מביבר או מאובמה בצירוף הודעה וקישור. לטום הנקס יש יותר ממיליון אנשים שעוקבים אחריו בטוויטר ולליאונרדו די קפריו קצת יותר מחצי מיליון. "ציוץ" מזויף אחד, ומרבית המעריצים ילחצו בוודאות על הקישור אשר יחדיר וירוס למחשב שלהם. מערכת ההודעות החדשה של פייסבוק תקל אף יותר על האקרים לשלוח הודעות מזויפות, לא רק לחברים אלא גם לחברים של החברים שלהם... זה יהיה ממש גן עדן להאקרים. 

רשתות חברתיות הן חלק ממהפכת Web 2.0 אשר הביאה את השיתופיות והפתיחות לאינטרנט. ניתן לדמות זאת לתשתית רב-גונית, המארחת מגוון אפליקציות המשמשות לשיתופי פעולה, שיחות אחד עם השני, שיתוף מידע ומתן אפשרות למשתמשים להשתמש במערכת וירטואלית מבוססת ענן אשר לצערנו - כמעט ואינה בטוחה.

למערכות ההפעלה המוקדמות של Windows אין מערכת אבטחה מובנת. לקח למייקרוסופט שנים רבות עד שבנתה מערכת הפעלה מאובטחת עם הרשאות והגבלות. לצערנו, התשתית של Web 2.0 ממשיכה את אותה תבנית: מאחר שנבנתה עם הפנים לשיתופיות, היא מקריבה את הביטחון והמוגנות לטובת פתיחות ושימושיות. יעברו עוד שנים מספר בטרם יתווספו ויאומצו תקני אבטחה נוספים אשר יהפכו את ה-Web 2.0 למאובטחת באמת.

קחו למשל את "Facebook Applications", פלטפורמה נחמדה ושימושית להוספת פונקציונאליות והנאה לדפי הפייסבוק. גולשים המשתמשים באפליקציות אלה חושבים שהן חלק מהפייסבוק ועל כן - הן אפליקציות בטוחות. האמת היא שפייסבוק רק "מארח" את האפליקציות הללו ולמעשה הן נכתבו על-ידי צד שלישי, אותו הגולשים לא מכירים ולא בהכרח יכולים לבטוח בו.

כולנו מכירים את השאלה  "do you allow sharing information with..." כאשר אתה מפעיל את אחת האפליקציות. מרגע שאתה לוחץ על אישור, כל המידע האישי שלך, החברים שלך, התמונות וכדומה הופכים גלויים לאדם שאין לך שליטה עליו כלל וכלל. פונקציות דומות קיימות גם בטוויטר, ב-MySpace, בגוגל ובאתרי שיתוף רבים אחרים.

כיום, האיום המרכזי על ארגונים הוא קוד עוין (וירוס) המגיע מרשת האינטרנט. האקרים ישתמשו בכל שיטה על-מנת לפגוע במחשבים, בין אם על-ידי ניצול פרצות אבטחה ובין אם על-ידי הובלת הגולש לבקר באתר שלהם המכיל את התוכנות הזדוניות ואת הקוד העוין. הבעיה הגדולה ביותר היא שתוכנת האנטי וירוס היושבת על שולחן העבודה במחשב של כל ארגון, אינה מספקת הגנה נאותה מפני רוב הקודים של קוד עוין מבוסס רשת. הדרך הנפוצה ביותר לפגוע במחשב היא באמצעות תוכן אינטרנטי אשר ינצל את הפגיעות (החור האבטחתי) ביישום האינטרנטי (כגון קבצי PDF, תוכנות פלאש, דפדפן וכדומה). ניצול פגיעות מסוג זה מתרחש בקונטקסט של היישום ולא ניתן למנוע אותו על-ידי האנטי וירוס הרגיל המותקן במחשב המשתמש. זיהוי הווירוס יהיה רק לאחר שהמחשב כבר יהיה נגוע בו, דבר שיחייב הפעלת תהליך ניקוי מסובך, שלעיתים אף אינו יעיל.

אין ספק שארגונים חייבים להתייחס ברצינות רבה יותר לאיומים המזוהים עם Web 2.0 ועם רשתות חברתיות. בעבר, היה מספיק לחסום את הכניסה לפייסבוק או לטוויטר; היום, זה פשוט לא עובד יותר. עובדים רוצים לקבל עדכונים על הסטטוס של החברים שלהם, לראות תמונות עדכניות ולשמוע 'ציוצים' אחרונים. הם מעוניינים בנוסף לקבל התראות ועדכונים מהבלוגים המועדפים עליהם ולשלוח 'ציוץ' לחברים שלהם כשיוצאים להפסקת צהריים. לא רק זה, אלא שכיום - ארגונים רבים מתחילים לנצל את היתרונות של פלטפורמות Web 2.0 ושל הרשתות החברתיות, ומתחילים לייצר לעצמם נוכחות מקוונת, באמצעות העובדים שלהם.

בהחלט קיים צורך לשלוט ולהסדיר את כל נושא הרשתות החברתיות ואתרי ה-Web 2.0: כיצד ניתן להשתמש בהם, מהן הפונקציות המאושרות, מה צריך להיות מוגבל וכיצד למנוע מהעובדים להעלות מידע חסוי לאינטרנט. מבחינה זו, לצפות בעדכונים בדף הפייסבוק יכולה להיות פעולה לגיטימית, אך לאפשר לעובדים להפעיל אפליקציות או לשחק במשחקים בפייסבוק - לא יהיה מומלץ מבחינתו של הארגון.

כאשר שוקלים להטמיע או לשדרג פתרונות אבטחת תוכן, ארגונים צריכים לחפש אחר מוצר או שירות המציע לא רק חסימת וירוסים ומסנני כתובות המבוססים על קטגוריית האתרים. ארגונים צריכים לשקול מוצרים אשר יכולים לבצע בדיקה מעמיקה של הפרוטוקולים (תקשורת ברמה 7), ולהציע מדיניות כוללת לאכיפת השימוש במגוון הפונקציות של אתרי Web 2.0, שיכולה לחשוף ולמנוע תקשורת אינטרנטית בלתי מאושרת של היישומים המותקנים במחשב.

Gartner, חברת ייעוץ ומחקר מובילה בתחומי טכנולוגיות מידע, קבעה ב'מדד הקסם' (Magic Quadrant) שלה בנושא אבטחת Web כי: "שערים לאבטחת אינטרנט חייבים להכיל יחדיו מסנני URL, מסנני קודים זדונים ושליטה על האפליקציות באינטרנט, וכל זאת מבלי לפגוע בביצועים של משתמשי הקצה, דבר המהווה אתגר עבור תוכנות האנטי וירוס ומסנני האתרים המסורתיים". גרטנר גם קבעו שפונקציה של מניעת דליפת מידע צריכה להיות חלק ממוצרי שער אבטחת האינטרנט (Web Security Gateway). 

קיימים כיום בשוק פתרונות המאפשרים יישום מדיניות שימוש ברשתות חברתיות ואתרי Web 2.0 ונותנים בקרה גרנולארית על אפליקציות אינטרנטיות ופרוטוקולים אפליקטיביים המוסיפים רובד חשוב לאסטרטגית אבטחת המידע בארגון.

כותב המאמר הוא שמעון גרופר, מומחה בכיר לאבטחת מידע בחטיבת eSafe של סייפנט, מובילה עולמית באבטחת מידע.