פוסטים

הגנות ‏בגישה ‏מרחוק

תמונה
בתחילת הסגר של הקורונה, בארגון שאני מלווה, הגישה מרחוק הייתה לחלק מאנשי IT ולמנהלים.
פתאום עלה צורך לתת גישה מרחוק לשאר העובדים. התשתיות קנו והקשיחו עוד כ-200 מחשבים ניידים לעובדים שהוגדרו חיוניים.

הגישה דרכם כן מאבטחת ומנותרת. נטמעו  עוד מוצרים להפרדה בין סביבות וליחצן אפליקציות.

הפתרון מאובטח, אך לא מגיע לכל העובדים, כי יש עוד הרבה, שנשארו ללא מחשבים.

בגלל שאף אחד לא ידע מתי הסגר יסתיים, הוחלט גם לבדוק אופציה של נתינת גישה מוגבלת לשאר העובדים מהמחשבים הביתיים, כלומר מחשבים "מלוכלכים, אשר אין עלים שליטה ובקרה.

לארגון יש VPN של אחד הספקים המובילים, אבל מכוון שהיה מדובר בלתת גישה לארגון ממחשבים "מלוכלכים", ראיתי בזה סיכון, כי לכל אחד יש אנטי-וירוסים שונים, רשתות אל חוטיות לרוב עם סיסמאות קלות, ולא ניתן לדעת עם המחשבים האלו כבר נגועים במשהו.


אני התנגדתי לתת גישה ל-VPN בלי כל בקרה, כי מדובר בין השאר על ארגון תחת רגולציה. הסברתי כי בדיקה שה-VPN מתבצע: בדיקת אנטי-וירוס, ובדיקת firewall אינה מספקת. בתור איש תקיפה, אני יכול לעקוף את הבדיקות ולהחדיר לארגון נוזקה.

ההצעה שלי היי…

קורונה ב IT

תמונה
בגלל ההיסטריה שמתפשטת יותר מקורונה החלטתי לכתוב כמה מילים על זה. 
אז בזמן האחרון הרבה חברות נערכות לתת לעובדים גישה מרחוק שימשכו לעבוד מהבית, כי גם בתי הספר עכשיו נסגרו ואין מה לעשות עם ילדים.
הכוונה בסך הכל טובה, לא להשבית את המשק ולאפשר לאנשים לעבוד מהבית שזה גם מנמיך את אפשרויות ההדבקה בקורונה.
יחד עם זאת את הגישה מרחוק מן הסתם צריך לאבטח ברמה טובה, על מנת שהתוקפים לא ינצלו אותה לחדירה לארגון. 
יצא לי לבדוק כמה פתרונות בנושא זה, ובכולם הצלחתי "לפרוץ" - הכוונה לגשת למקומות שלא היתי צריך לגשת אליהם מרחוק.
אז מכל הבדיקות שעשיתי אספתי כמה טיפים לשיפור אבטחת המידע בגישה מרחוק:
1. כדאי מאוד שהגישה תהיה באמצעות VPN. 2. כדאי מאוד שהזדהות תהיה 2fa 3. כדאי מאוד לתת גישה רק לאפליקציות הנחוצות ולא גישה לטרמינל מלא 4. כדאי מאוד להקשיח את התפריטי context (קליק ימני בעכבר) 5. כדאי מאוד לחסום גישה לאפליקציות לא נחוצות של windows וכן לסגור הרצה של סקריפטים: vbs, ps1, js, hta וכו' 6. כדאי מאוד לחסום גישה לאינטרנט מהמחשב כל עוד החיבור לארגון פעיל 7. כדאי מאוד לנתר יותר בהקפדה את ההפעלו…

ליווי אבטחת מידע אפליקטיבית

תמונה
אבטחת מידע אפליקטיבית היא חלק מההגנות שניתן וצריך לעשות בארגון המפתח בין היתר אפליקציות חדשות. בהרבה ארגונים אבטחת מידע נוגע בפרויקט בסיומו, כאשר צריך לבדוק את האפליקציה ולאשר עליה לאוויר. וגישה זו הינה בעייתית. מכוון  שבבדיקות אבטחת מידע (בדיקות חדירה, סקר קוד, סקר אפליקטיבי) אפשר לגלות פערים אשר היה אפשר למנוע אילו אבטחת מידע היו בודקים את הפרויקט עוד בשלב האפיון. במקומות בהן אני נותן שירות, השתדלתי שכל פרויקט חדש שמתחיל, יהיה חייב לעבור ליווי של מומחה אבטחת מידע  אפליקטיבי בשביל להגדיר דרישות אבטחת מידע שיכנסו לפרויקט טרם תחילת הפיתוח. גישה זו מונעת בנית ארכיטקטורה לקויה, ופיתוח לא נכון.
למשאל באחד הפרויקטים שליוויתי, הדגשתי צורך בבדיקות מסוימות בקלט אשר המאפיינים לא חשבו כי מבחינתם היה חשוב לעלות את הפרויקט בזמן. אך בבדיקות קבלה של אבטחת מידע זה בטח היה עולה והיו צריכים לשנות את הפרויקט לאחר סיומו. 
במקרה אחר בו עשיתי רק בדיקות לפני עליה לאוויר, לא היה ליווי אפליקטיבי. ובבדיקות של API התגלו דברים אשר היו יכולים לחשוף מידע רב לפי ת.ז. אחר הצגת הממצאים והמלצות לפתרון, התקבלה ההחלטה…

הגנה על Web services 2

בחלק הראשון סיפרתי על הזדהות בהגנה על ה WS. עכשיו אני רוצה לספר קצת על אבטחה בארכיטקטורה של ה WS. אז על מה כדאי לשים לב בארכיטקטורה של WS ? באחד הסקרים שעשיתי מזמן, גיליתי שה-WS עוברים מהאיזור של DMZ אל האיזור של שרתים פנימיים דרך ה FW אך ללא שום הגנה נוספת. כלומר הסיכון כאן שהתוקף במידה ופורץ לאחזור ה-DMZ יוכל בקלות להפעיל WS ב-ESB. אני המלצתי כמקובל לשים XML FW בין הסביבות (ולפעמים מקובל לשים 2), אך בגלל יוקר המוצר (DATAPOWER), לא רצו לשים כלום. ומכוון שאני בעבר בא מתחום הפתוח, איפיינתי אפליקציה שתעשה הגנה בסיסית על ה-WS במעבר בין האיזורים. באפליקציה זו דרשתי את הדברים הבאים:
* בדיקת גודל ה-Request
* בדיקת Schema Validation
* בדיקת RegEx על השדות
* הזדהות עם X.509 בין כל ה-WS
* שבירת פרוטוקול ל-MQ וחזרה
* בדיקת Response על RegEx
* בדיקת גודל ה-Response כמובן היו עוד כמה דרישות על log, מיסוך וכו. והאפליקציה עשתה את שלה - נתנה הגנה מינימלית בין הסביבות. זה כמובן לא DP, אבל גם משהו. מכוון שהמוצר לא כלל חתימות התקפתיות, דרשתי גם להעביר את הפניה דרך WAF הפנימי. בצורה זו הפתרון נראה סב…

הגנה על WEB SERVICES

היום בתעשיה משתמשים הרבה ב-WEB SERVICES עבור אינטגרציה בין מערכות שונות. בשביל תפקוד העסק שימוש ב-WS נהיה סטנדרט כבר מזמן. הבעיה שלא כל הארגונים משקיעים בהגנה על WS האלה. כאן אני רוצה לספר על מה שאני ממליץ באבטחת WS בארגון.

בגדול (אבל לא כולם עושים את זה) באבטחת WS צריך לדאוג ל-3 דברים:

הזדהות (חזקה)תווך העברת נתונים (מוצפן - SSL)חתימה על המסר ואני מוסיף גם את הסגמנטציה - כלומר פתיחת חוקים מתאימים ב-FW שרק הגורמים הרלוונטיים יגיעו לשרת הנכון.
לגבי תווך הצפנה - הכל ברור גם כך, זה חייב להיות מוצפן.
בהזדהות אני ממליץ להשתמש ב-CLIENT CERTIFICATE או במילים אחרות בסרטיפיקט X.509. סרטיפיקט זה צריך להיות מונפק ע"י ה-CA הארגוני ולכלול מידע על הזהות שמזדהה לקבלת שירות. הבעיה בפתרון זה שלא כולם יודעים לעשות את זה כמו שצריך. ומה זה כמו שצריך? - זה כמובן בדיקת סרטיפיקט שהוא חתום ע"י ה-CA המתאים (בד"כ מתבצעת ע"י התשתית), אך בנוסף לזה זה גם בדיקת פרמטרים של הסרטיפיקט כגון CN. למה צריך את זה ? מכוון שבארגון מנפיקים די הרבה סרטיפיקטים, ויש סיכוי (במידה ובדיקת CN לא מתבצעת), שהתוקף …

גישה פיסית - game over

תמונה
בארץ היו כבר כמה אירועים של גניבת מידע ע"י העובדים באמצעות העתקת מידע מדיסק קשיח. הרי מה בעיה להוציא דיסק בסוף היום עם המידע שכבר הכנת מראש, לקחת אותו הביתה ובבוקר להחזיר כאילו לא קרה כלום.
ההמלצה שלי (ושל מומחים אחרים) תמיד היתה - הצפנת דיסק. אבל בתעשייה לא כל כך רצים לעשות זאת, בגלל "קושי תפעולי".

אבל במבדקי סייבר שאני מדי פעם מבצע, אני מראה עד כמה קל בגישה פיסית למחשב להשתלט עליו. מזמן (עוד בימי bt5), לצורך מבדקי סייבר הכנתי לי bootable disk אשר עשה דבר פשוט  בעת שהעלו ממנו את המחשב. הדבר הפשוט הזה היה מכניס למחשב משתמש לוקלי חדש עם הרשאות ניהוליות. כלומר התהליך היה כזה:

מכבים את המחשבמנתקים מהרשת (למקרה שיש NAC)מכניסים דיסק USBמדליקים את המחשב ונכנסים ל-biosבוחרים העלה מדיסק usbמעלים את המחשבבסיום ההעלה, אוטומתית היה מופעל סקריפט שיוצר משתמש אדמיניסטראטיבי ובסיום היה מכבה את המחשב גם אוטומטיתמוציאים את הכונן ה-usbמחברים את הרשתמדליקים את המחשב ומעלים אותו באופן רגילנכנסים למחשב עם משתמש שנוצר עם הרשאות גבוהות.

ומכאן הרבה אופציות פתוחות:

התקנת תוכנות לסריקת רשתהתקנת ת…

מוצרי אנומליה

תמונה
לא מזמן יצא לי לבחון כמה מוצרי אנומליה. אני לא אזכיר כאן את שמם. רק אגיד שהיו לי ציפיות גבוהות מהמוצרים, והם לא התממשו. אני והצוות שלי ניגשנו למשימה זו עם כל הלב. הכנו כ-30 תסריטים לבחינת מוצרי אנומליה ב-POC שביצענו. בדקנו 4 מוצרים שונים מהמובילים בשוק. ומתוכם אף אחד לא קיבל ציון גבוה.

הבדיקות היו מגוונות וכללו את הנושאים הבאים:

הפעלת תהליכים מתוך MS OFFICE וגם מתוך קבצי PDFהפעלת KEY-LOGGERהפעלת נוזקות CRYPTO LOCKER ידועות (בסביבה מבודדת) ו-ZERO DAYבחינת ניטרול AGENT/SERVICEגישה וביצוע DUMP לתהליכים רגישיםהפעלת תהליכים אינטראקטיביים עם הרשאות SYSTEMהוספת משתמשים ניהולייםביצוע DLL INJECTIONביצוע FILELESS THREAD INJECTIONוכו' כמו שאמרתי תוצאות הבחינה היו לא הכי טובות. על הנייר (במצגת) הכל נראה וורוד וטוב. אך בפועל רוב התסריטים לא התגלו. מסקנה שלי - המוצרים עדיין לא בשלים, וככל הנראה הוונדורים  מבינים מה זה אנומליה, כל אחד בצורה שלו.
המלצה: תבחנו טוב את המוצרים ולא רק על הסמך המצגת, וגם בהיבט הסיכונים שהגדרתם.

נ.ב.: בעכבות הבדיקות שעשינו 2 וונדורים כבר ביצעו שינוים במוצרים שלהם.


www.sh…