דן הולדן, יבמ-ISS: "איומים חדשים בתקופה הקרובה יתמקדו בדפדפנים, ביישומים ובמיחשוב ענן"

"פרצות האבטחה החדשות שצפויות להתגלות במהלך השנה הנוכחית במערכות מחשב תהיינה בכל מקום: החל ממערכות ההפעלה, דרך תוכנות התשתית ובמיוחד בתחום היישומים, המרכז יותר ויותר תשומת לב ופעילות מכיוונם של פושעים קיברנטיים וכותבי קוד זדוני. האיומים הבאים יתמקדו בדפדפנים, ביישומים ובענן מיחשוב", כך אמר דן הולדן, מנהל קבוצת המחקר לתחום האבטחה ב-X-Force, הפועל במסגרת יבמ-ISS בראיון לאנשים ומחשבים. הולדן ביקר בארץ בשבוע שעבר, ונפגש עם מנמ"רים ומנהלי אבטחה מקומיים.

צוות X-Force הוקם ב-1996 כארגון המחקר הפנימי של חברת ISS, שנרכשה בהמשך על ידי יבמ. הולדן הצטרף לקבוצה ב- 1998 והפך למנהלה לפני כשלוש שנים. לדבריו, "במחצית הראשונה של 2009 התגלו 3,240 נקודות חשיפה וסיכונים חדשים – ירידה של 8% בהשוואה לתקופה המקבילה אשתקד. קצב הגילוי של נקודות תורפה וסיכונים חדשים שומר על יציבות יחסית, לאחר שרשם ב-2007 את הירידה הראשונה שלו בכל הזמנים, ושב ועלה מעט ב-2008". הוא הוסיף, כי "עד סוף 2009 צפויות להתגלות 7,000 פרצות אבטחה חדשות במערכות מחשב. רק מחצית מהפרצות המוכרות זוכות מדי שנה לטלאי אבטחה הסוגרים אותן לחלוטין. במציאות הזאת, גדלה חשיבות ההיערכות הארגונית להתמודדות עם איומי האבטחה: ברמת הזיהוי, בהטלאה ובחסימת אפשרויות הגישה באמצעות פרצות שלא טופלו למעשה".

מהן המגמות בעולם אבטחת המידע?
"האיום על יישומים הולך וגדל, משום שהגיוון הגובר של מערכות ההפעלה והאבטחה המשופרת שלהן מקשים על מפתחי הקוד הזדוני. יש יותר יישומים מאשר מערכות הפעלה, וקל יותר להתקיף כל יישום בפני עצמו.

עם כל ההתקדמות שנרשמה בשני העשורים האחרונים בתחום האבטחה, עדיין הטכנולוגיה אינה בשלה להצעת מוצר מדף שיידע למנוע מראש את מכלול הסיכונים. אנחנו פועלים טוב מאוד בתחום הזיהוי, מתקדמים במעקב אחר המתקיפים. צריך להגיע לטכנולוגיה שתוכל להגן מראש, יותר מאשר להגיב לאיומים לאחר שאלה נחשפים ומתגלים".

איפה נקודת התורפה במאבק מול הרעים?
"הבעיה היא שאנשים כותבים תוכנה, ואנשים עושים שגיאות. כל עוד כותבים תוכנה, תהיינה נקודות פגיעות וטכנולוגיות חדשות לזיהוי ולהגנה. המעבר למיחשוב ענן משנה את התשתיות, והתוקפים יעקבו אחר שינוי זה על מנת לנצלו. כיוון שאנחנו צופים כ-7,000 פרצות חדשות גם השנה, השאלה היא מה עושים על מנת לא רק להגיב, אלא לבנות תהליך שיאפשר חיזוי פרצות והגדרת תהליך שימנע מהן לגרום נזק של ממש".

לדבריו, "חלק גדול מהמחקר שלנו לאחרונה היה בתחום אבטחת דפדפנים. אלה, ביחד עם יישומי ווב, הם בלי ספק אחת הנקודות העיוורות והרגישות של התעשייה: ככל שאנחנו נעים ומתקדמים יותר ויותר לתחום מיחשוב הענן, צריך לחשוב איך ניגשים ליישומים. הגישה היא באמצעות דפדפנים אל יישומי ווב. בעבר, ניסינו להגן על התשתיות – רשת, שרתים, נקודות קצה, מערכות הפעלה. כיום, טכנולוגיית הווירטואליזציה הסיטה את האיומים גם אל היישומים. יש בימינו מגוון רחב של מערכות הפעלה – חלונות (Windows), לינוקס (Linux), מערכות הפעלה סלולריות – והמכנה המשותף לכולן הוא הדפדפן, שאותו צריך לאבטח. בתחום השרתים – מה שצריך לאבטח הוא היישום. אין זה משנה מה מערכת ההפעלה, לא משנה מה סוג שרת היישומים – האתגר הוא לאבטח את היישום עצמו".

הולדן הוסיף, כי "שורש ההבדל בין האיומים על דפדפנים ועל יישומים ובין איומים מדורות קודמים הוא בשימוש בשפות ברמה גבוהה. לקח לנו זמן רב להבין איך לתכנת בשפות נמוכות דוגמת C או C++. מי שמפתחים בשפות גבוהות יותר עוסקים בסקריפטים, ואלה יוצרים כר לאיומים מסוג חדש. ברוח זאת, האיום והבעיה בדפדפנים אינם דווקא בדפדפן עצמו אלא ביישומים המשתלבים, Plug-ins, ובאופן שבו הדפדפן מתקשר עם התוכן.

ההשקעה הגוברת בווירטואליזציה ובבניית פתרונות מיחשוב ענן יוצרת תשתית חדשה, הצפויה להפוך יעד לתוקפים. אנחנו חוקרים את התחום וצופים שתוקפים ינסו להשתמש בתשתיות הללו לטובתם. מיחשוב ענן הוא סביבה מופשטת יותר: זה מעבר משרתים פיזיים ניתנים להבנה פשוטה – למודל וירטואליזציה של 'מלון', שבו כל היישומים מתגוררים יחדיו ועוברים דרך אותו דלפק קבלה המאפשר שליטה ופיקוח, ל-'מוטל', שבו אנשים נכנסים ויוצאים ללא פיקוח".

מהו האתגר של תעשיית האבטחה?
"המניע מאחורי רוב הקוד הזדוני הנוצר כיום הוא הניסיון לעשות רווח. בעבר, פורץ מחשבים או מפתח קוד זדוני בנו לעצמם את הכלים לפריצת מערכות האבטחה. כיום ניתן לרוכשם באינטרנט. התוקפים התבגרו".

לדבריו, יש "לתת לתעשיית ה-IT דרכים ליזום ולהקדים תרופת אבטחה מונעת, לפני גילוי החדירה או האיום. חייבים לשלב את האבטחה כשיקול מתחילת הבנייה של המערכת – ולא בסופה.

האתגר העתידי המרכזי הוא ניהול אבטחה משולב, שלטובתו נדרשים כלים יעילים יותר לניהול כולל. זו לא רק שאלה של כלים טובים יותר – אלא גם של ניהול נכון ומקיף יותר של הכלים הקיימים. זה לא תמיד עניין של עצירת האיום, אלא עצם היכולת לחזותו ולנהל את ההתגוננות. ככל שיותר יישומים מפותחים ויותר תשתיות נפרשות מדי יום, הופך ניהול תהליך האבטחה לאתגר המרכזי".