כנס הענק RSA 2010 נפתח בארה"ב

כנס אבטחת המידע הגדול בעולם, RSA 2010, נפתח היום (ב') בסן פרנסיסקו שבארה"ב. כ-300 חברות – מתאגידי ענק ועד סטארט-אפים, יציגו את מוצריהם במקביל למאות ההרצאות. נבחרת מרצי המפתח כוללת בין היתר את ארט קוביילו, מנכ"ל RSA – חטיבת האבטחה של EMC; אנריקה סלאם, מנכ"ל סימנטק (Symantec) – חברת אבטחת המידע הגדולה בעולם; דייב דה-וולט, מנכ"ל מק'אפי (McAfee); דייב האנסן – המנמ"ר שנעשה למנהל עסקי האבטחה הגלובליים של CA; אל זולר, מנכ"ל קבוצת התוכנה ביבמ (IBM) ואחרים.

RSA ישראל, שהוקמה בעקבות רכישתה של סיוטה הישראלית לפני כארבע שנים, מובילה ב-RSA את פתרונות מניעת הרמאויות והמלחמה בפשע המקוון. את הסניף המקומי ייצגו בכנס מיכל בלומנשטיק-ברוורמן – המנכ"ל, אורי ריבנר – ה-CTO שאף ירצה בכנס, ומומחים נוספים.

לדברי עידן אהרוני, מנהל צוות ומומחה להונאות ב-RSA, אחד הנושאים החשובים שיועלו השנה בכנס הוא גניבת זהויות. גניבת זהויות – כמו זו המיוחסת בימים אלה לגורמים עלומים בהקשר חיסולו של איש החמאס בדובאי, אמר אהרוני, היא עניין עתיק, שהפך לעסק לכל דבר.

הוא הסביר, כי "גניבת זהויות קיימת משחר ההיסטוריה. תיעוד של התופעה ניתן למצוא עוד במקורותינו, בספר בראשית. כאשר רצה יצחק לברך את בנו הבכור, דרבנה רבקה דווקא את האח הצעיר, יעקב, שילך וייטול את הברכה מאביו. מכיוון שעיניו של יצחק כהו עם השנים, לא יכול היה לזהות את בניו במראה עיניים בלבד. על מנת לגרום לאביו להאמין שהוא למעשה אחיו הבכור והשעיר, עשיו, לבש יעקב את בגדיו של עשיו ושם על ידיו וצווארו צמר עיזים. כך, בזמן שעשיו יצא לצוד, יעקב ניגש אל אביו במרמה, סעד עימו וזכה לקבל את הברכה".

"בעולם של ימינו אמנם הדמויות והכלים השתנו, אך הקונספט נשאר", הוסיף אהרוני. "בזמן שאתם קוראים שורות אלו, יושב לו נוכל בביתו או בקפה אינטרנט, וקונה את המקבילה המודרנית של 'צמר עיזים' בעולם התחתון ברשת. לאחר מכן, כאשר הוא עטוי בצמר ובבגדיו של מישהו אחר, הוא יינצל את עיוורונם של ארגונים ברשת על מנת לקבל אלפי ברכות שהן לא שלו (עדיף בדולרים)".

על מנת למנוע מאותם גנבים לנצל את "השטחים המתים" של הבנקים, הקמעונאים והארגונים האחרים שניתן לגנוב מהם כסף, גופים שונים פיתחו כללים ותקנים של אבטחת מידע. במקביל, תעשיית אבטחת המידע מספקת באופן קבוע לאותם ארגונים את התחמושת בעזרתה הם אמורים להתמודד עם ה-"יעקבים" למיניהם –  פתרונות שונים (ולעיתים משונים) למניעת הונאות. והנה, למרות כל הטכנולוגיה המתוחכמת והכללים הנוקשים, עדיין מצליחים הגנבים לרהט את הבית ואת הכיס על חשבון הברון. אך אין לנו סיבה להיות מופתעים, כי אחרי הכול – אין מערכת שאי אפשר לעקוף.

"עובדה שכנראה גם לא תפתיע אף אחד, היא שיש מטרות ספציפיות אשר נחשבות לאטרקטיביות יותר לתקיפה – בנקים וקמעונאים שגנבים מנסים לגנוב מהם יותר כסף מאשר אחרים", ציין אהרוני מ-RSA. במקביל, אמר, ישנם ארגונים שגנבים שומרים נפשם מפניהם. "ישנם גם מקרים לא מעטים שארגונים מסויימים הפכו פתאום ל-'מטרה חמה' בעיני אותם גנבים, אשר החלו לרכז את מאמציהם בהם. ישנם בנקים שמעולם לא חוו פישינג על בשרם, ולפתע הם מוצאים את עצמם מתמודדים עם מספר רב של אתרי פישינג ביום. מדוע זה קורה? מדוע גנבים שונים מרחבי העולם, אשר פועלים בנפרד אחד מהשני, מתחילים להביע עניין במטרה אחת ספציפית באותו פרק זמן?".

התשובה, אמר, פשוטה למדי. "כלל אצבע הוא, שגנבי זהויות יעדיפו להתרכז בארגונים אשר קל יחסית לגנוב מהם כסף ביחס לשאר. בימים אלו, גניבת זהויות היא עסק לכל דבר, עם הכנסות, הוצאות ובעיקר רווחים. בדיוק כמו כל עסק מן השורה, מטרתו של כל גנב היא למקסם רווחים. למה להתמקד בבנק שמצריך השקעה של משאבים רבים כדי לגנוב ממנו, כאשר ניתן להתמקד בבנקים שיניבו את אותם רווחים בחצי ההשקעה? הרווח הכלכלי הוא זה שיכתיב לגנב במי להתמקד. כאשר ארגון מעבה את מערך אבטחת המידע שלו ומקטין את 'השטח המת', ההשקעה הנדרשת עולה והרווחים צונחים. ברגע שגניבה מארגון אחר תניב רווח גדול יותר – יעברו הגנבים להתרכז בו. לחילופין, אם גילו הגנבים דרך ניסוי וטעייה, דרך חדשה לגנוב כסף בקלות מארגון מסוים, מה שכמובן מבטיח רווח גדול יחסית, יעדיפו הגנבים להתרכז בו. ברגע שהשמועה תתפשט באינטרנט על כך שנמצא טרף קל חדש – לצוות האבטחה של הארגון תצפה תקופה עמוסה".

כמובן, אמר אהרוני, שיש דרכים רבות לגנוב כסף, במיוחד מבנקים – בנקאות באינטרנט, בנקאות בטלפון, קנייה עם הכרטיס אשראי באינטרנט או בחנות פיזית, במקרים מסויימים אפילו ניתן פשוט ללכת לכספומט ולהוציא כסף. "עיבוי אבטחה בערוץ אחד יכול להביא לשתי תוצאות אפשריות – או שהגנבים יעברו לתקוף ארגון אחר, או שפשוט יעברו לתקוף את אותה מטרה דרך ערוץ אחר.  היו מקרים בהם בנקים השקיעו משאבים רבים בלאבטח את מערך הבנקאות באינטרנט מפני הונאות, אך למרות זאת המשיכו לספוג הפסדים רבים מהונאות דרך שירותי הבנקאות בטלפון".

הוא סיכם באמרו, כי "המטרה הסופית של כל מנהל אבטחה המבקש להגן על ארגונו מפני נוכלים, בין אם הם מתחזים באינטרנט או בין אם הם מתחזים פיזית, היא להקשות על חייהם של אותם נוכלים. אין צורך לבנות חומות שלא ניתן לעבור,כאשר (לרוב גם לקוחות לגיטימיים לא מסוגלים לעבור אותן. יש לבנות חומות שיהיו במעט יותר גבוהות משל האחרים – ויש לבנות אותן כך שיכללו בתוכן את כל הערוצים השונים של הארגון".