מבוא לבדיקת חדירות פיזית - כשהתקיפה לא קורית במקלדת בכלל¶
כשאנשים חושבים על בדיקת חדירות, הם מדמיינים מישהו מול מסך, מקליד פקודות בטרמינל שחור. אבל יש תחום שלם בבדיקות חדירות שלא נוגע במקלדת בכלל בשלב הראשון - בדיקת חדירות פיזית, שבה המטרה היא להיכנס פיזית למשרדים ומתקנים של הארגון.
למה בכלל צריך בדיקת חדירות פיזית¶
הרעיון הבסיסי פשוט - כל ההגנות הטכנולוגיות בעולם, חומות אש, הצפנה, ניטור רשת, לא שוות הרבה אם תוקף יכול פשוט להיכנס למשרד, לשבת ליד עמדת עבודה פתוחה, ולחבר התקן שמעניק לו גישה ישירה לרשת הפנימית. בדיקת חדירות פיזית בודקת בדיוק את השכבה הזו - האם הבקרות הפיזיות של הארגון, כמו כרטיסי כניסה, מצלמות, ונהלי קבלת אורחים, באמת עומדות מול תוקף נחוש.
זה תחום שהרבה ארגונים מזניחים, כי הם משקיעים כל התקציב שלהם באבטחה דיגיטלית ושוכחים שדלת לא נעולה או עובד קבלה שלא בודק תגים יכולים לעקוף את כל זה בקלות.
אילו טכניקות משתמשים בהן¶
הנדסה חברתית פיזית¶
חלק גדול מבדיקת חדירות פיזית מבוסס על הנדסה חברתית - שכנוע עובדים, מאבטחים או אנשי קבלה לתת גישה שלא הייתה אמורה להינתן. זה יכול להיות בפוזה של שליח, טכנאי תחזוקה, או אפילו עובד חדש שרק שכח את התג שלו בבית. תוקפים מנוסים משתמשים בביטחון עצמי ובגוף שפה נכון הרבה יותר מאשר בכל כלי טכני.
Tailgating¶
טכניקה פשוטה אך יעילה להפליא - פשוט להיכנס אחרי עובד לגיטימי דרך דלת מאובטחת, כשהיא עוד פתוחה. ברוב המקרים, נימוס אנושי בסיסי (להחזיק דלת פתוחה למישהו שנראה עסוק) גובר על נהלי אבטחה.
שיבוט כרטיסי גישה¶
הרבה מערכות בקרת כניסה עדיין משתמשות בטכנולוגיית RFID ישנה וחסרת הצפנה מספקת, שבמקרים רבים ניתן לשכפל עם ציוד זול יחסית, לפעמים אפילו ממרחק, בלי מגע ישיר בכרטיס.
חדירה למתקן והשארת התקנים¶
ברגע שיש גישה פיזית, המטרה בדרך כלל היא לחבר התקן קטן לרשת - כמו Raspberry Pi מוסתר - שמעניק לתוקף גישה מרוחקת לרשת הפנימית גם אחרי שהוא כבר עזב את המתקן פיזית.
למה זו לא "משחק ריגול", זו עבודה רצינית¶
חשוב להדגיש - בדיקת חדירות פיזית מבוצעת תמיד עם אישור מפורש ומתועד, כולל מכתב הרשאה שהבודק נושא איתו כל הזמן, למקרה שהוא ייתפס בזמן הבדיקה (וזה קורה, וזה בסדר גמור - זה גם חלק מהבדיקה). ההיקף מוגדר בקפידה מראש - אילו מתקנים, באילו שעות, ומה מותר ומה אסור לעשות בתוך הרשת אם מגיעים אליה.
זה תחום שדורש לא רק ידע טכני, אלא גם רמת בגרות ואחריות גבוהה - טעות בתיאום, או חריגה מההיקף המוסכם, יכולה ליצור בעיה משפטית ולא רק מקצועית.
למה זה משתלב עם שאר עולם בדיקות החדירות¶
בדיקת חדירות פיזית לרוב לא עומדת לבד - היא מתחברת לתקיפה הדיגיטלית. תוקף שהצליח לחבר התקן לרשת בזמן ביקור פיזי, ממשיך משם בדיוק כמו בבדיקת חדירות פנימית רגילה - רקון ברשת, זיהוי בקר הדומיין, ונסיון להסלים הרשאות דרך אותן טכניקות שמשתמשים בהן בכל בדיקה פנימית אחרת, מ-NTLM Relay ועד תקיפת Active Directory מלאה.
זה ממחיש נקודה חשובה - בדיקת חדירות פיזית היא לא תחום מבודד, היא עוד וקטור כניסה אפשרי לאותה מטרה. מי שרוצה להבין אותה לעומק צריך קודם בסיס חזק בתקיפה דיגיטלית, כי שם קורה רוב העבודה אחרי שהכניסה הפיזית הצליחה.
לפני שמתעניינים בכיוון הפיזי, כדאי לבנות בסיס טכני מוצק בקורס בודק חדירות שלי - מרקון ועד תקיפת דומיין מלא, כי זה מה שנותן משמעות אמיתית לכל כניסה פיזית מוצלחת.
לסיכום¶
בדיקת חדירות פיזית מזכירה לנו שאבטחת מידע היא לא רק קוד ורשתות, היא גם דלתות, כרטיסי כניסה, ואנשים. תחום מרתק, אבל גם תחום שדורש אחריות משפטית ומקצועית גבוהה מאוד, ולא מקום להתחיל בו לפני שיש בסיס טכני חזק.
בואו לדבר על התחום הזה ותחומים נוספים בבדיקות חדירות בקהילה שלנו.