תארו בנפשכם סיטואציה כזו: חברת הדלתות הגדולה במדינה מפרסמת מודעה בעיתון: "…התגלתה חולשה במנעולים שלנו! אם לוקחים מברג פיליפס, מסובבים אותו 3 פעמים לימין, הדלת נפתחת. אנחנו מאפשרים ללקוחות להגיע לנקודות שירות שלנו, עוד היום, ולקבל מנעול עדכני". ונניח ודלת הבית שלכם היא מאותה חברה, מה אתם עושים?
הרי את המודעה קוראים גם גנבים, ודי ברור שהם ינסו לנצל את החולשה. אפשר להניח שהם יעשו את זה מהר יותר מכל כמות הטכנאים שניתן לגייס לתקן את התקלה. בנוסף, גם אם החברה לא תציין במדויק כיצד ניתן לנצל את החולשה במנעול, עצם הידיעה שקיימת חולשה כזו, יכולה לתת תמריץ לגנבים לחפש דירות בעלות המנעול המדובר.
נשמע כמו תרחיש הזוי? ככה בדיוק הדברים עובדים בענף הסייבר. ארגון ללא מטרות רווח בשם MITRE מנטר ומפרסם מידע לגבי חולשות ברכיבי תוכנה, מה שמכונה CVE (ר"ת Common Vulnerabilities and Exposures). הדיווחים של הארגון מפרטים בין היתר: באיזו גרסת תוכנה בדיוק נמצא הבאג, תיאור החולשה ולעיתים אף רמזים טכניים לניצול וכן רמת החומרה שלה מ-Low ועד Critical.
זהו מידע ציבורי לגמרי, מה שמכונה N-Day Vulnerability. ומרגע פרסום החולשה מתחיל מרדף: ארגונים ממהרים לבדוק אם הם חשופים ולהתקין עדכון תוכנה (Patch). אבל זה לא תמיד קל; ה-Average Time to Patch בארגון עומד על ממוצע של 30 יום, תלוי בבשלות הסייבר בארגון וכן בפרמטרים נוספים כגון חומרת החולשה ורמת הסיכון הספציפית לארגון.
אגב, במקרים רבים, קיים עדכון (קבוע או זמני) עוד אפילו לפני הפרסום של MITREֿ, הבעיה אינה רק באי זמינות התיקון אלא במהירות בה הארגון מספיק ליישם את התיקון לפני שתוקפים מנצלים את החולשה. לעיתים, עצם החלת תיקון יכולה לגרום לתקלות ובעיות כך שביצוע העדכון הוא לא פעולה חפת סיכון. יש פה בעייה של חלון חשיפה, כלומר הפער בין פרסום החולשה לבין סגירתה בפועל.
בינתיים, התוקפים בונים נוזקה שמנצלת את הפרצה. ה-Time-to-Exploit הממוצע שלהם עומד על ימים בודדים בלבד ואף פחות (נכון לשנים 2024-2025). זאת אומרת, כמעט בהגדרה, ידם של התוקפים על העליונה. זו בעיה שהתעשייה מתמודדת איתה כבר שנים מספר. ואם זה לא מספיק, הגיעה הבינה המלאכותית.
כלי AI מצטיינים בסריקת קוד וכתיבת קוד. הם מאפשרים לתוקפים לנתח את ה-CVE ולייצר ממנו מתקפה אפקטיבית במהירות שיא. בנוסף, בוטים לא מתעייפים; הם סורקים את כל נכסי התוכנה של הארגון, ולא רק את הנפוצים שבהם. במונחים מקצועיים: ה-Attack Surface (משטח התקיפה) גדל, כי גם חולשות ב"שוליים" של הארגון הופכות לנגישות בקלות.
יהיו שישאלו, אז למה בכלל לפרסם על החולשה? שאלה טובה. ללא פרסום, רק התוקפים יודעים (במקרה של Zero-Day), אין מודעות מצד החברות ומכאן אין לחץ או דחיפות להתקין את העדכון. בפועל, רוב מוצרי הסייבר מסתמכים על CVE בצורה ישירה ועקיפה וזו נקודה מאוד משמעותית בתפיסת ההגנה הארגונית.
אז נחזור לשאלה המקורית: מה עושים אם פורסם כי הדלת פרוצה? אפשר לנסות להקשות דרך מנגנוני הגנה נוספים כגון התקנת אזעקה, נעילת דלת הבניין, הצבת שומר בסלון או לפחות להעביר חפצים יקרי ערך לכספת. אלו גישות לגיטימיות גם בסייבר ובהרבה מקרים המפתח הינו הגנה במספר שכבות, ניהול סיכונים (לדוגמא לפי סבירות ניצול בפועל, השפעה עסקית וכדומה) ומעבר מתפיסה ראקטיבית לתפיסה פרואקטיבית. בסופו של יום, לא כל חולשה מצריכה טיפול. בפועל, רק חלק קטן מהחולשות מנוצלות באופן אקטיבי ("In the wild״) ולכן ארגונים מתקדמים מתמקדים בעיקר באלו עם סבירות ניצול גבוהה.
אבל צריך להודות: בשלב הזה הבעיה רחוקה מפתרון. האימוץ המואץ של כלי AI בידי תוקפים לא רק האיץ את קצב הניצול ,הוא גם הגדיל את הפער מול יכולות ההגנה של ארגונים. הקרב האמיתי כבר לא מתנהל סביב עצם תיקון החולשות, אלא סביב היכולת לצמצם את הזמן בין גילוין לבין הרגע שבו הן מנוצלות בפועל.
האם הארגון שלכם בנוי להתמודדות עם הפער או רק לקוות שהוא ייסגר?
