התפלגות סריקות רשת ממדינות שונות

המלצתי בפוסט הקודם לחסום תעבורת רשת ממדינות עוינות, ובמידת האפשר ממדינות אחרות שלא צפויות מהן פניות לגיטימיות לאתר החברה. ציינתי גם שזהו צעד אחד, מתוך מספר פעולות שיש לנקוט, שניתן ליישום די בקלות ומבלי להכנס להוצאות גדולות. חסימה זו לא תגרום לסיכון להיעלם, אך תקטין אותו באופן משמעותי.

בחנתי את סריקות הרשת המגיעות מחו"ל בחודשים האחרונים. מעניין לבחון מאילו מדינות מתקיימות סריקות רבות על הרשת בכל יום. לאחר ניתוח הנתונים הרבים (מיליוני סריקות), עולים הממוצעים היומיים הבאים:

• ארצות הברית אחראית כמעט לחמישית מהסריקות (18%)
• מהמדינות הבאות הגיעו כמעט מחצית הסריקות: ארה"ב, טאייוון, רוסיה, סין, קוריאה וברזיל
• כמעט 4% מהסריקות הגיעו ממדינות מוסלמיות/ערביות (בין השאר: פקיסטן, סעודיה, אירן, מרוקו, מצריים, אלג'יריה, כוויית, ירדן ועוד)

הטבלה הבאה מציגה את 30 המדינות המובילות בסריקות:

הגנה מפני Cyber Terror

כמו הרבה ביטויים אחרים, סייבר טרור נהיה טרנד חם לאחרונה. כאילו האקרים ממרוקו ואירן לא השחיתו לנו אתרים לפני שלוש וארבע שנים. אפשר להיזכר באיומים שהיו לקראת ספטמבר האחרון שלא יצא מהם הרבה.

אני לא יודע האם ישנו שינוי במגמת נסיונות הפגיעה בחברות ישראליות או שרק התקשורת מקדישה לכך יותר תשומת לב. גם מתקפת כרטיסי האשראי האחרונה התגלתה הרבה פחות חמורה אחרי שהאבק שקע. בחנתי שני קבצים שהגיעו אלי ואני רוצה לציין שהרבה מהמידע בקובץ הודבק באופן מלאכותי ע"י ההאקר הסעודי. הרבה רשומות סתם. הרבה שמות נכונים אבל מספרי כרטיסי אשראי לא אמיתיים (בדקתי מדגמית מספר אנשים).

מצד שני, בהחלט חייבים להיערך כנגד Cyber Terror. נתחיל בזה שלא לגמרי ברור מה כוללת הגדרה זו. גם לי לא. האם המקרה של כרטיסי האשראי נופל בקטגוריה של סייבר טרור? אני מניח שבעתיד הקרוב יפתחו פתרונות טובים. הנה מספר הצעות שלדעתי יעילות מאוד וניתנות ליישום בהרבה ארגונים ללא מאמץ רב.

• חסימת תקשורת מארצות שאין איתן עסקים. ניתן לחסום תקשורת משם במערכות IPS או Firewall מתקדמות בהגדרות פשוטות. סביר להניח שניתן לחסום תקשורת מכל מדינות ערב באופן גורף ללא חשש. אם הארגון שלכם אינו בינלאומי ואינו עוסק במסחר מקוון, אפשר לשקול לחסום תקשורת מכל מדינה מחוץ לישראל.
• סגירת פורטים שאינם בשימוש, להם ה – Firewall מאזין. אם יש לכם אתר אינטרנט שעובד פורט 80 ועוד פורט או שניים להתחברות מרחוק לרשת החברה, אפשר לחסום את כל הפורטים האחרים.
• להפעיל הגנות DoS ב – Firewall, IPS או כל רכיב אחר בעל תכונה כזו שמותקן ב – Gateway.
• לבצע גיבויים שוטפים (כל שעה) לכל השרתים הפונים לאינטרנט. ולהיות ערוכים ומתורגלים לשחזור מהיר של השרתים.
• להגדיר נוהל מפורט לתגובה במקרה פגיעה מהתקפת סייבר. על הנוהל להחיל גם תגובה ברמה העסקית – יידוע מנהלים רלוונטיים וכדומה. רצוי גם לתרגל אותו, לפחות על יבש.