دشمن خودتان را بشناسید!

هرچند مطالعات رفتاری متعددی در رابطه با نظریه جرم وجود دارند که می‌تواند انگیزه‌های یک هکر را تشریح کند اما راهکار کلیدی، بررسی موضوع از دیدگاه خود هکرها است. نظریه‌ها نشان می‌دهد که اگر منفعت یک حمله بیشتر از خطر آن باشد، افراد چه هکر باشند یا غیرهکر به نوعی وارد آن فعالیت مجرمانه می‌شوند. در نتیجه، شرکت‌های کوچک و متوسط باید به داده‌هایی که از آن محافظت می‌کنند، بیش از پیش دقت کنند. مدیران  شرکت از دیدگاه یک هکر، به پرسش‌های زیر باید پاسخ بدهند:

ارزش داده‌ها از نگاه اجتماعی چقدر است؟

ارزش داده‌ها از دید اقتصادی چقدر است؟

به دست آوردن داده‌ها چقدر راحت یا سخت است؟

خطر گیر افتادن چقدر است؟

پیامدهای گیر افتادن چیست؟

آشنایی با طرز فکر دشمن، کاری ارزشمند و دانستن روش حمله آنها فوق العاده ارزشمند است. ما در این بخش سعی می‌کنیم با بررسی ذهن یک هکر به کمک تیم قرمز eSentire (گروهی از بهترین هکرهای اخلاقی که از فریبنده‌ترین روش‌ها برای آزمایش سازوکارهای دفاعی مشتریان خودشان استفاده می‌کنند) دشمن خودمان را بشناسیم. یک هکر به روش‌های مختلفی می‌تواند به داده‌های حساس دسترسی پیدا کند. ما برای این که نشان دهیم یک هکر چگونه می‌تواند بدون استفاده از بدافزار، به داده‌های حساس دسترسی پیدا کرده و حتی از داده‌های حساس به دست آمده از طریق سایر رخنه‌ها، بر ضد سازمان مورد نظر سوءاستفاده کند یک روش خاص را مورد بررسی قرار خواهیم داد.

هکرها برای شناسایی دشمنان خودشان، از فرایند شناسایی استفاده می‌کنند که در حوزه امنیت بیشتر به آن اطلاعات اپن سورس[۱] (OSINT) گفته می‌شود. OSINT یک اصطلاح فنی است که به جمع آوری داده‌های سیستم هدف مورد نظر گفته می‌شود که به صورت عمومی در دسترس همگان قرار دارد. هرچند این کار از نظر فنی ضروری نیست اما برای تعیین روش ­ها و ابزارهای مناسب جهت دستیابی سریع و مخفیانه به اهداف مورد نظر، انجام این مرحله مهم است.

مرحله شناسایی حمله را می توان مثل یک کوه یخ در نظر گرفت. فعالیت‌های نفوذی هکر برای یافتن و استخراج داده‌های حساس، فقط نوک این کوه یخ است. جمع آوری اطلاعات، مهندسی اجتماعی و برنامه ریزی که قبل از آن صورت می‌گیرد باعث می‌شود هکرها اطلاعات مورد نیاز درباره سازمان مورد نظرشان را به دست آورند. همچین این امر نشان دهنده یکی از مزایای هکرها نسبت به اهدافشان است؛ این که حرکت اول توسط هکرها انجام می‌شود. وقتی مرحله شناسایی تکمیل شود، مهاجم در حمله موقعیت بهتری خواهد داشت و در رابطه با زیرساخت دفاعی موجود و نقاط ضعف احتمالی آن اطلاعات کسب کرده است.

مهم ترین مرحله‌ای که معمولاً نادیده گرفته می‌شود، جمع آوری اطلاعات است. هر چه زمان بیشتری را صرف مرحله شناسایی کنید، گزینه‌های شما برای اجرای یک حمله موفق بیشتر خواهد بود.

شناختن دشمن برای بررسی این که چرا داده‌های حساس شما مورد هدف قرار می‌گیرد، ضروری است و آشنایی با خطرات مرتبط با از دست رفتن داده‌ها برای اولویت دهی به محافظت از آنها امری کاملاً ضروری است.

هرچند به نظر می‌رسد داده‌های حساس، یک تعریف واضح و مشخص دارند اما معمولاً در شرکت‌های کوچک و متوسط تعریف و دسته‌بندی شفافی از این داده‌ها وجود ندارد.

در نظرسنجی اخیری که توسط شرکت eSentire از ۳۰۰ کارشناس امنیت اطلاعات انجام گرفته است، مشخص شد که حدود ۶۳ درصد از شرکت‌ها تعریف واضحی از داده‌های حساس در شرکت خودشان ندارند. ۵۵ درصد از آنها نیز فاقد سیاست طبقه‌بندی داده‌ها بودند و فقط ۵۱ درصد از آنها حس می‌کردند توانایی شناسایی و واکنش نشان دادن به حمله بر ضد داده‌های حساس خودشان را دارند.

معمولاً کاربران از یک کلمه عبور مشابه برای حساب‌های کاربری مختلف استفاده می‌کنند چون هیچ شخصی تمایلی ندارد که ده‌ها کلمه عبور مختلف را به خاطر بسپارد. در نتیجه بیشتر شرکت‌ها کاربران را موظف می‌کنند که مثلاً پس از ۶۰ یا ۹۰ روز کلمه عبورشان را عوض کنند. این اقدام به عنوان یک راهکار امنیتی، معقول به نظر می‌رسد زیرا تغییر مکرر کلمه های عبور باعث می‌شود کار هکرها سخت تر شود اما این قانون اجباری موجب افزایش استفاده از کلمه های عبور متداول و معمولی خواهد شد. هیچ فردی تمایلی ندارد که هر چند ماه یکبار مجبور به حفظ کردن یک کلمه عبور کاملاً جدید باشد؛ بنابراین افراد سعی می‌کنند یک الگوی خاصی برای کلمه های عبورشان داشته و همان را به خاطر بسپارند، مثل spring2019، summer2019، winter2019 و غیره. راهکارهای مدیریت کلمه عبور هم برای مدیریت این شرایط طراحی شده‌اند اما هنوز به پذیرش گسترده نرسیدند.

هکرهای اخلاقی ما هم همین کار را انجام دادند و با جستجوی فراگیر توانستند کلمه های عبوری همچون summer2017 و summer17 را امتحان کنند. آنها سرانجام از بین هزاران ایمیل توانستند به ۳۹ حساب کاربری دسترسی پیدا کنند.

تیم قرمز eSentire توانست با به دست گرفتن کنترل مجموعاً ۴۰ حساب کاربری مختلف (۳۹ حساب کاربری علاوه بر حساب کاربری اصلی هک شده) در شبکه نفوذ کرده و اطلاعات حساسی مثل لیست کاربران، اسناد مربوط به برنامه ریزی سال مالی و راهبرد سازمان و اطلاعات کارت اعتباری افراد را به دست آورند.

شناسایی دشمن برای تشخیص این که چرا داده‌های حساس شما مورد هدف قرار گرفته‌اند، ضروری است. دانستن خطرات مربوط به افشای داده‌ها برای اولویت دهی به سازوکارهای محافظتی، امری ضروری و بدون قید و شرط است.

هرچند به نظر می‌رسد که داده‌های حساس، یک تعریف روشن و مشخصی دارد اما معمولاً همان طور که قبلاٌ گفته شد، در شرکت‌های کوچک و متوسط تعریف و دسته‌بندی آشکاری از این داده‌ها وجود ندارد. در نظرسنجی اخیری که توسط شرکت eSentire از ۳۰۰ کارشناس امنیت انجام گرفته است، حدود ۶۳ درصد از شرکت‌ها تعریف شفافی از داده‌های حساس در شرکت خودشان نداشتند. ۵۵ درصد از آنها نیز فاقد سیاست طبقه‌بندی داده‌ها بودند.

آیا داده‌های حساس و یا ارزشمند، در شرکت شما به صورت شفافی تعریف شده‌اند؟ در شکل زیر، پاسخ‌های نه و مطمئن نیستم با هم ترکیب شده‌اند.

آیا سازمان شما خط مشی واضحی برای طبقه‌بندی داده‌ها دارد؟

برای بیشتر شرکت‌های کوچک و متوسط، محافظت از داده‌های حساس نیاز به سرمایه گذاری‌های بیشتر جهت افزایش قابلیت‌های شناسایی و واکنش دارد. سرمایه گذاری جهت تهیه فناوری ها، فرایندها و افراد مورد نیاز برای تهیه یک مرکز عملیات امنیتی تعهد بزرگی است که ممکن است بسیاری از شرکت ­ها نتوانند از عهده آن برآیند. برای شرکت‌هایی که تخصص یا بودجه لازم برای ایجاد چنین مرکزی را به صورت داخلی ندارند، خدمات شناسایی و عکس‌العمل مدیریت شده‌ای وجود دارند که جایگزین مناسبی محسوب می‌شوند.

منبع: فراست