מי שלא חי מתחת לאדמה בשבועות האחרונים בוודאי שמע על פרסומן של החולשות במימוש של מיקרוסופט ובמימוש של הפרוייקט Samba לפרוטוקול SMB. אני מדבר כמובן על CVE-2017-0144 ועל CVE-2017-7494, אחת מהחולשות התגלתה על ידי צוות הפיתוח של סמבה, והשניה פורסמה על ידי החבר'ה של TheShadowBrokers תחת השם EternalBlue כחלק מבאנדל הכלים והחולשות שהם גנבו (לפי טענתם) מה-NSA.

החולשות עצמן מעניינות טכנולוגית, אך הן חדשות של אתמול, והן גם בכלל לא מרכז הנקודה של מה שאני מעוניין לדבר עליו.

לאחר ש-CVE-2017-0144 פורסמה, באו חבר'ה רעים נוספים (מאשימים הפעם את צפון קוריאה אם הצלחתי לעקוב נכון), וכתבו כופרה (סלחו לי...) בשם WannaCry אשר מנצלת בין היתר את החולשה הנ"ל לטובת התפשטות אוטונומית ובכך להגיע למספר רב של מחשבים. פורסמו לא מעט ארגונים שחטפו בגל הזה (ובטח קיימים עוד יותר ארגונים שחטפו ולא פורסם עליהם כלום). שירותי הרפואה הלאומיים של אנגליה נפגעו, FedEx נפגעו, חברות הרכבת הלאומית של גרמניה ושל רוסיה נפגעו, שתיים מבין חברות התקשורת הגדולות בספרד וברוסיה, חברת רנו, הבנק המרכזי הרוסי, והרשימה עוד גדולה. לפי ה-New York Times כמעט חצי מליון מחשבים נדבקו בכ-150 מדינות שונות.

וכאן באה הנקודה שעליה רציתי לדבר. החולשה היא חולשה במימוש של SMB, לא בתוכנת Client של דואר אלקטרוני, לא ב-Viewer של קבצי מסמכים ולא חולשה באחד מהדפדפנים הנפוצים היום בשוק, אלא במימוש של הפרוטוקול SMB. ולכן זה אומר שלאותם ארגונים שחטפו את המכה היה שירות SMB חשוף לאינטרנט.

כאן (שלא במקרי כופרה אחרים), אי אפשר להאשים את העובד התמים שלא ידע, העובד הסקרן שלחץ על הקישור או העובד הטיפש שפתח קובץ שהגיע במייל ממקור שאינו מזוהה. כאן אפשר להאשים אך ורק את איש ה-IT שבחר לחשוף שרת SMB לאינטרנט. ואגב אפילו לא היה מדובר ב-0day! התולעת חומשה בחולשה הנ"ל אחרי שמיקרוסופט שחררו את MS17-010. אז אותם אנשי IT הם גם אלו שבחרו לא לעדכן את אותן המערכות.

לשמוע דברים כאלה זה מרגיז - לא מדובר בארגונים כמו "משה בלונים", אלא מדובר בארגונים רציניים שאנשי אבטחת המידע שלהם אמורים להתחלחל רק מהמחשבה על העניין.

יש אילוצים שבגינם הארגון מחייב אתכם למצוא פתרונות יצירתיים? מעולה, אתגרים זה טוב. אבל המקרה הזה זה כבר משהו אחר. במקרים כאלה, בתור אנשי IT / אבטחת מידע, אתם אמורים לעמוד על שתי הרגליים האחוריות שלכם ולחשוף שיניים. אף אחד חוץ מכם לא יודע באמת כמה זה מסוכן. ולא משנה מה, גם לא כפתרון זמני או נקודתי - פשוט לא עושים דברים כאלה.

תמיד צאו מנקודת הנחה שלאויב שלכם יש כמה 0day בשרוול. ושיש לו יותר משרוול אחד. אתם ממש חייבים לייצא ממשק SSH כלפי חוץ? שלכל הפחות יהיה מדובר בהזדהות מבוססת מפתחות, עם רשימת מורשים לבנה ושימו את הכל מאחורי VPN, כי אין שום סיבה שתהיה לו כתובת IP חיצונית. ואחרי כל זה - שלא יהיה שום סיכוי שמהשרת הזה ניתן יהיה להגיע באופן ישיר לרשת הפנים-ארגונית שלכם. זה שעד היום לא פורסמה חולשה באותו שירות לא אומר שהיא לא קיימת.

אנחנו חיים במציאות אשר מראה לנו שדברים כאלה עשויים להתרחש כל הזמן. צאו מנקודת הנחה מחמירה כמה שהתקציב שלכם מאפשר. ונסו להתמודד עם ההשלכות שנובעות מכך על הרשת שלכם כמה שרק ניתן. זה נכון שהצד המגן תמיד יהיה כמה צעדים אחורה, אבל זה לא אומר שהוא תמיד חייב לחטוף.