Advanced Persistent Threats והשלכותיהן על מתודולוגיות Red Team מבוססות מודיעין​

Red Team, Threat Intelligence ו APT במציאות המשתנה של מתקפות סייבר

תקציר

הנוף הקיברנטי משתנה במהירות. מתקפות אינן עוד אירועים נקודתיים אלא קמפיינים מתמשכים, מבוססי מודיעין, אוטומציה ובינה מלאכותית. במציאות זו, שילוב בין Threat Intelligence לבין פעילות Red Team מקצועית הופך לקריטי עבור ארגונים המעוניינים לבחון את רמת החוסן האמיתית שלהם.

מאמר זה מסביר מהו Threat Intelligence, מהי פעילות Red Team, מהו APT ומדוע הוא פועל לאורך זמן, וכיצד השילוב בין כל המרכיבים הללו מייצר יתרון

הגנתי משמעותי.

מהו Threat Intelligence?

Threat Intelligence הוא תהליך שיטתי של איסוף, ניתוח והפקת תובנות ממידע הקשור לאיומי סייבר, במטרה לאפשר קבלת החלטות מבוססת סיכון. מדובר במעבר מגישה תגובתית לגישה פרואקטיבית הנשענת על הבנת היריב, טכניקות הפעולה שלו ומטרותיו.

:ניתן לחלק מודיעין איומים לארבע רמות מרכזיות.

• הרמה האסטרטגית עוסקת במגמות גלובליות, מדינות תוקפות וקבוצות תקיפה מאורגנות.

• הרמה האופרטיבית מתמקדת בקמפיינים פעילים ובטכניקות פעולה של תוקפים.

• הרמה הטקטית כוללת אינדיקטורים כגון כתובות IP, דומיינים וחתימות קבצים.

• הרמה הטכנית עוסקת   בניתוח נוזקות, קוד זדוני ותשתיות תקיפה.

Threat Intelligence אפקטיבי מאפשר לארגון להבין מי עלול לתקוף אותו, באילו טכניקות סביר שישתמשו, ומהו משטח התקיפה הרלוונטי עבורו.

מהי פעילות Red Team?

Red Team היא פעילות תקיפה סימולטיבית המדמה תוקף אמיתי במטרה לבחון את רמת החוסן הארגונית ברמה הטכנולוגית, התהליכית והאנושית. בניגוד לבדיקת חדירה קלאסית המתמקדת בזיהוי חולשות בזמן קצר, Red Team פועל בגישה רחבה יותר ובוחן גם את יכולות

הזיהוי והתגובה של הארגון.

תהליך טיפוסי כולל שלב איסוף מידע, השגת גישה ראשונית, העלאת הרשאות, תנועה רוחבית ברשת, ביסוס מנגנוני התמדה ואיסוף או הדמיית דליפת מידע. המטרה איננה רק לפרוץ אלא לבדוק האם הארגון מזהה, מגיב ומתמודד עם תקיפה מתמשכת.

מהו APT?

APT הוא קיצור של Advanced Persistent Threat. מדובר במודל תקיפה מתוחכם ומתמשך, המבוצע לרוב על ידי קבוצות מאורגנות ולעיתים ממומנות מדינתית, אשר מטרתן איננה רווח מיידי אלא השגת יעד אסטרטגי כגון ריגול תעשייתי, איסוף מודיעין או פגיעה בתשתיות קריטיות. 

המונח כולל שלושה רכיבים מרכזיים: 

• המילה Advanced מתייחסת לשימוש בטכניקות מתקדמות כגון חולשות יום אפס - Zero Day, שימוש בכלי מערכת לגיטימיים להסוואת פעילות, פיתוח נוזקות מותאמות ויכולת עקיפת מערכות זיהוי מתקדמות.

• המילה Persistent מתארת שהייה ממושכת ברשת היעד תוך הימנעות מחשיפה.

• המילה Threat משקפת את העובדה שמדובר בגוף מאורגן, בעל משאבים, תכנון וסבלנות. מדוע APT פועל לאורך זמן. 

APT אינו אירוע תקיפה קצר אלא קמפיין מבצעי. הסיבה לשהייה ממושכת נעוצה באופי המטרות ובשיטת הפעולה.

• ראשית, המטרות הן אסטרטגיות ולא טקטיות. תוקף APT אינו מחפש פגיעה מהירה אלא איסוף מידע רגיש, מיפוי תשתיות והבנה עמוקה של הסביבה הארגונית. תהליך כזה דורש זמן. 

• שנית, התקיפה מתבצעת בשלבים הדרגתיים. לאחר שלב איסוף המידע מתבצעת חדירה ראשונית, לרוב באמצעות דיוג ממוקד. בהמשך  תבצעת העלאת הרשאות, תנועה רוחבית, מיפוי שרתים ואיסוף נתונים. כל שלב עשוי להימשך שבועות ואף חודשים. 

• שלישית, התוקף שואף לפעול בפרופיל נמוך. הוא משתמש בכלים לגיטימיים של מערכת ההפעלה, פועל בשעות פעילות רגילות ויוצר מנגנוני התמדה שקטים. המטרה היא להימנע מהפעלת התרעות. 

המדד המרכזי בהקשר זה הוא Dwell Time, כלומר פרק הזמן שבין החדירה הראשונית לבין הזיהוי. במתקפות APT פרק זמן זה עשוי להגיע לחודשים ארוכים. ככל שהשהייה ארוכה יותר כך התוקף צובר מודיעין עמוק יותר ויכולת פגיעה מדויקת יותר.

הקשר בין APT ל Red Team

כדי לבחון את רמת המוכנות האמיתית של ארגון, פעילות Red Team צריכה לאמץ חשיבה של APT. אין די במציאת חולשה טכנית אחת. יש לבנות תרחיש מתמשך המדמה קמפיין תקיפה הכולל שהייה ברשת, תנועה הדרגתית וניסיון הסתרה.

כאשר Red Team נשען על Threat Intelligence עדכני, ניתן לדמות טכניקות פעולה אמיתיות המיוחסות לקבוצות תקיפה מוכרות ולמפות אותן למסגרת MITRE ATTACK. בכך הארגון אינו מתאמן מול תרחיש תאורטי אלא מול איום רלוונטי.

מתקפות מודרניות ושינוי הפרדיגמה

בשנים האחרונות ניכרת עלייה במתקפות כופרה מתקדמות, בתקיפות שרשרת אספקה ובשימוש בטכניקות Living off the Land. נוסף על כך, בינה מלאכותית מאפשרת לתוקפים לבצע אוטומציה של איסוף מידע, לייצר הודעות דיוג מותאמות אישית ולנתח תשתיות במהירות גבוהה.

משמעות הדבר היא שמתקפות מתקדמות הופכות ליעילות יותר, שקטות יותר ומדויקות יותר. ארגון המסתמך על הגנה סטטית ועל בדיקות תאימות תקופתיות בלבד עלול שלא לזהות קמפיין תקיפה מתמשך.

כיצד ארגונים צריכים להגיב?

ארגונים צריכים לעבור מגישה המתמקדת בעמידה בתקנים לגישה המתמקדת בחוסן אמיתי. יש לשלב מודיעין איומים עדכני בתרגילי סימולציה, לבחון תרחישים רב שכבתיים הכוללים רשת, זהויות, יישומים וסביבת ענן, ולהעריך את יכולות הזיהוי והתגובה לאורך זמן.

שילוב בין Threat Intelligence, פעילות Red Team וחשיבה מבוססת APT מאפשר לארגון להבין לא רק האם ניתן לפרוץ אליו אלא האם ניתן להישאר בתוכו מבלי להתגלות.

מסקנה

APT איננו אירוע נקודתי אלא מבצע מודיעיני מתמשך. השהייה הארוכה היא אסטרטגיה מכוונת שנועדה לאפשר איסוף מידע ופגיעה מדויקת. לכן, בחינת רמת ההגנה הארגונית חייבת לכלול סימולציה של תקיפה מתמשכת המבוססת על מודיעין עדכני.

ארגון שמבין את דפוס הפעולה של APT ובודק את עצמו בהתאם, מגדיל באופן משמעותי את סיכוייו לזהות ולבלום קמפיין תקיפה לפני שיגרם נזק מהותי.

אודות המחבר

Yoram Dar הוא מרצה וחוקר בתחום הסייבר ו- Offensive Cybersecurity, מתודולוגיות Penetration Testing בשילוב בינה מלאכותית בזיהוי ובהגנה מפני איומי סייבר. פעילותו האקדמית והמקצועית מתמקדת בניתוח טכניקות תקיפה מתקדמות ובפיתוח גישות מבוססות AI להגנה פרואקטיבית.