אבטחת סייבר מעולם לא הייתה אתגר פשוט לפתרון, אך בענפי התשתיות הקריטיות, אנשי האבטחה פועלים בליגה משלהם.
הכל מתחיל ביריבים, שאינם פושעים אופורטוניסטים המחפשים רווח מהיר.
אנו מדברים על קבוצות הנתמכות על ידי המדינה הפועלות באמצעות משאבים ממשלתיים, או על רשתות פשיעה סייברית מאורגנות שמטרותיהן נעות מתוכנות כופר ועד ריגול לטווח ארוך.
לומר שהסיכון גבוה יהיה אנדרסטייטמנט; דו"ח הפשע המקוון של ה-FBI לשנת 2024 תיעד למעלה מ-4,800 תלונות מארגוני תשתית קריטית. ייתכן שהמספר לא נראה גבוה, עד שמסתכלים עליו בהקשר של שנה שלמה; מבחינה סטטיסטית, מספר זה עשוי להתפרש כ-13 מתקפות ביום, אחת כל שעתיים. עבור ארגוני הגנה בפרט, מתקפה מוצלחת עלולה לפגוע באופן ישיר בריבונות הלאומית.
אין זה מפתיע שסביבת איומים כה חמורה פועלת במסגרת תקנות תאימות קפדניות ובלתי מתפשרות, כגון ה-NCSC (המרכז הלאומי לאבטחת סייבר) בבריטניה.
במקביל, פתרונות אבטחה העומדים בדרישות ה-NCSC צריכים להיות ניתנים לשכפול בכל רחבי המערכת. ארגוני הגנה הם רב-שכבתיים, ולכן ההגנה עליהם חייבת להיות מודולרית, וניתנת ליישום בכל רחבי הארגון, ולא רק באותם חלקים שזיהו את הצורך מלכתחילה.
בהקשר זה, כוח ימי מוביל של נאט"ו שיתף פעולה עם OPSWAT ברורה: פיתוח פתרון CDS (Cross Domain Solution) מוסמך ותואם ל-NCSC, שיוכל להתרחב מעבר לדיוויזיה בודדת ולשמש כבסיס לאימוץ נרחב.
תכנון ארכיטקטורת CDS הניתנת להרחבה עבור סוגי קבצים וענפים מרובים, במסגרת של גמישות רגולטורית אפסית
הלקוח שלנו נתקל באתגר שנראה בתחילה בלתי אפשרי לפתרון.
פיתוח פתרון CDS עבור זרימות נתוני IMPEX (יבוא/יצוא) בין רמות סיווג שונות, העומד בדרישות ההפרדה הרשתית המחמירות של ה-NCSC. הפתרון נדרש להיות בעל יכולת הרחבה וניתן לשכפול על פני מספר זרועות של מערכת הביטחון, לתמוך במגוון רחב של סוגי קבצים, ולשמור על רמת העמידות הגבוהה ביותר האפשרית בפני איומי סייבר.
בואו נבחן כל שכבה בתורה.
לא היה קיים שער בין-דומיינים מאושר של IMPEX
רשתות מסווגות בתוך מוסדות ממשלתיים ומוסדות ביטחוניים זקוקות לכללים שאושרו באופן רשמי לגבי זרימת נתונים ב-IMPEX, אשר ייאכפו באמצעות שער IMPEX בין-תחומי. בתחילה, שער כזה לא היה קיים במערכות של הלקוח שלנו.
בפועל, משמעות הדבר היא שלא היה קיים כלל תהליך דיגיטלי מאושר לפעילות IMPEX. בהיעדר תהליך כזה, הלקוח לא יכול היה להעביר נתונים מעבר לגבולות הסיווג באופן שניתן לעקוב אחריו ומוכן לביקורת.
יכולות בדיקה הנדרשות לתמיכה בסוגי קבצים שונים
סוגי נתונים רבים הועברו ברשתות בעלות סיווג שונה: קבצי משתמשים, תיקוני אבטחה, עדכוני קושחה לחומרה, יישומים במכולות ותוכנה צבאית מותאמת אישית – כולם נדרשו לחצות את אותו הגבול. היה צורך לבדוק את הנתונים ביסודיות, כדי להבטיח שאף גורם זדוני לא הצליח לחדור לסביבות בעלות סיווג גבוה.
עם זאת, ככל שהנתונים גדולים ומורכבים יותר, כך קשה יותר לוודא שהם נקיים. סוגים מסוימים של קבצים לא יכלו להיחשב כמסמכים רגילים. תיקונים, תוכנות התקנה, קושחה, סקריפטים ותוכנה צבאית מותאמת אישית נדרשו לבדיקה התנהגותית, שכן סריקה סטטית בלבד לא יכלה להוכיח כיצד הם יתנהגו לאחר שיוכנסו לסביבה מסווגת. במקביל, כל פער בכיסוי היה עלול לסכן את הגבול עצמו.
תקנים מחמירים המחייבים הפרדה מוחלטת בין הרשתות
מסגרת ה-NCSC כוללת כללים נוקשים לגבי האופן שבו הנתונים צריכים לעבור בין רמות הסיווג. במרכז זאת עומדות פונקציות אכיפת האבטחה (SEF): בדיקות אבטחה המכסות את כל ההיבטים, החל מזיהוי תוכנות זדוניות ועד לאימות פורמט.
במסגרת פעילותו תחת ה-NCSC, נדרש הלקוח לקבוע כללים מוחלטים להפרדת רשתות (סיווג SECRET/OPEN). אסור בשום פנים ואופן שתתקיים תקשורת בין הסביבות המסווגות לאלה שאינן מסווגות, כאשר שער ה-CDS משמש כמחסום מוחלט.
אי-עמידה בדרישות הסריקה של ה-SEF עלולה להוביל להגעתו של קובץ זדוני לרשת מסווגת, או לחילוץ מידע רגיש.
פיתוח פתרון המתאים לאימוץ נרחב יותר
הדרישה מעולם לא הייתה רק לפתור בעיה אחת.
המשרד הממשלתי משתרע על פני מספר מחלקות, סוכנויות, מיקומים ופיקודים, והפתרון הבין-תחומי שיושם על ידי הלקוח נדרש לפעול בכל אלה.
דבר שפעל רק בהקשר אחד היה מותיר חלק אחר במחלקה עם פער זהה. הלקוח נדרש לבנות מערכת שתוכל להפוך לסטנדרט אחיד ולהיות מיושמת בכל רחבי הארגון.
כשאין מקום לטעויות: ארכיטקטורה רב-תחומית רב-שכבתית, בעלת הסמכת NCSC
האתגר שהציב הלקוח לא היה ניתן לפתרון באמצעות מוצר אחד בלבד.
במקום זאת, OPSWAT ארכיטקטורה רב-ממדית, הנתמכת על ידי מגוון מוצרים וטכנולוגיות, שבה כל שכבה פועלת למען המטרה הרחבה יותר: להבטיח ששום דבר לא יחצה את גבול הסיווג ללא בדיקה.
הפרדה פיזית של הרשת באמצעות ה MetaDefender Optical DiodeDiode™
הבסיס של הארכיטקטורה התבסס על דיודות נתונים חומריות, המאלצות זרימת נתונים חד-כיוונית ברמת הרשת. בניגוד למנגנוני בקרה מבוססי תוכנה, שניתן להגדירם באופן שגוי או לעקוף אותם, דיודה חומרתית הופכת את זרימת הנתונים בכיוון ההפוך לבלתי אפשרית מבחינה פיזית.
אילוצים פיזיים מבטיחים את ההפרדה המוחלטת בין הרשת הסודית לרשת הפתוחה, כפי שנדרש על ידי ה-NCSC.
Optical Diode MetaDefender Optical Diode לאפשר העברת נתונים חד-כיוונית, מאובטחת ומופעלת באמצעות חומרה, בין רשתות IT ל-OT, ובכך להפוך את העברת התעבורה מרמות סיווג נמוכות יותר לסביבות מוגנות לבלתי אפשרית מבחינה פיזית.
טיפול בקבצים רב-שכבתי באמצעות פלטפורמת MetaDefender Core™
כל קובץ שחוצה את הגבול נתפס ונבדק על ידי MetaDefender Core, כאשר עומק הבדיקה מותאם לסביבת היעד.
קבצים הנכנסים לרשת SECRET עוברים את כל שלבי הטיפול: סריקה רב-שלבית באמצעות מספר מנועי סריקה כדי להגדיל את שיעורי הזיהוי, וטכנולוגיית Deep CDR™ להסרת כל איום נסתר. Adaptive Sandbox ניתוח דינמי מבוסס אמולציה על קבצים חשודים, ומאלץ תוכנות זדוניות המתחמקות לגלות התנהגות שעשויה שלא להתגלות בבדיקה סטטית או בסביבת סנדבוקס מסורתית המבוססת על מכונה וירטואלית.
קובצים המועברים לסביבות בעלות רמת אבטחה נמוכה יותר נסרקים אך ורק באמצעות מספר מנועי אנטי-תוכנה זדונית, דבר המבטיח הגנה עקבית בכל זרימת נתונים.
MetaDefender Core פלטפורמת זיהוי ומניעת איומים מתקדמת OPSWAT; הפלטפורמה משלבת את טכנולוגיית Deep CDR™,Multiscanning Metascan™ וסביבת בדיקה Adaptive Sandbox להגן על זרימות העבודה של קבצים בתשתיות קריטיות.
העברת קבצים אוטומטית באמצעות טכנולוגייתManaged File TransferTransfer™ של MetaDefender
Managed File Transfer ) MetaDefender מבצעת אוטומציה של ייבוא וייצוא כל סוגי הנתונים השונים שבהם מטפל הלקוח, ובכך יוצרת תהליך מבוקר וניתן לביקורת.
שום דבר לא נע באופן ידני, שום דבר לא נע ללא מעקב, ושום דבר לא עוקף את שכבות הבדיקה.
Managed File Transfer MetaDefender Managed File Transfer בקרות מבוססות מדיניות ומניעת איומים משולבת, כדי לאפשר העברה בטוחה של קבצים רגישים בין ארגונים, מערכות או אזורי אבטחה.
ארכיטקטורה בעלת הסמכת NCSC
הארכיטקטורה המבוססת על מוצרי OPSWATעומדת בתבניות האבטחה של ה-NCSC לזרימת נתונים בין-תחומית. היא הפכה לפתרון IMPEX הראשון שקיבל אישור ממשלתי, כלומר ניתן לאמץ אותה כסטנדרט אחיד בכל ענפי הארגון ללא צורך בתכנון מחדש מאפס.
לבנות את זה פעם אחת, לבנות את זה נכון, ולהרחיב את זה ליותר ממיליון קבצים ביום
בבסיסו, CDS הוא אתגר של הרכבת הרכיבים הנכונים לכדי מערכת העומדת בתקנות המחמירות ביותר, בכל סוגי הקבצים, בהיקף הנדרש על ידי פעולות הגנה בפועל.
הסביבה אינה סלחנית: יריבים מתוחכמים ובעלי מוטיבציה גבוהה, אפס סובלנות כלפי ליקויים בתאימות, ואין מקום לטעויות.
מבחינת הלקוח שלנו, יישום CDS בקנה מידה גדול הוא בעיה שנפתרה. יחד, בנינו ארכיטקטורה מודולרית ומאושרת, הניתנת להרחבה לעיבוד של למעלה ממיליון קבצים ביום.
אם זה נשמע פשוט, זה רק משום OPSWAT באבטחת קבצים כבר למעלה מעשרים שנה, בסביבות התובעניות ביותר שקיימות בתשתיות קריטיות.
בין אם החברה שלכם מתמודדת עם אתגר דומה החוצה תחומים שונים, ובין אם מדובר בבעיה כללית יותר של אבטחת קבצים בתשתית קריטית, OPSWAT את הניסיון הדרוש כדי לסייע; בואו נדבר.
