Suggestions
Erez Dasa
CISO, CSXF, CISM, CDPSE - Information Security Officer
Erez Dasa is a cybersecurity professional with a diverse educational background and extensive experience in information security management. He pursued his Cyber Security Risk Management studies at Harvard University and a CISO program at Technion - Israel Institute of Technology. Erez also holds a Bachelor's degree in Information Systems Management & Accounting from Lev Academic Center (JCT) and certifications in Cloud Security Officer from Mile2 and MCITP from John Bryce.
Throughout his career, Erez Dasa has held key positions in various organizations, including serving as an Information Security Manager at the Israel Tax Authority. He has also worked as a Cyber Security Lecturer at iNT college, Information Security Consultant at Bank Yahav, Information Security Team Leader at the Israel Ministry of Health, and as a Technical Support Specialist at the Municipality of Jerusalem.
Highlights
האירוניה - חברת KnowBe4, המספקת פתרונות וכלים להעלאת מודעות בתחום אבטחת המידע, מדווחת כי היא גייסה לחברה תוקף מצפון קוריאה לאחר שזה הצליח להערים על החברה באמצעות AI.
בהודעה שפירסם מנכ"ל החברה הוא מדווח כי החברה רצתה לגייס מפתח תוכנה חדש למחלקת ה-AI של החברה. במסגרת תהליך הגיוס קיבלה החברה קורות חיים של מועמדים, ביצעה ראיונות, בדיקות רקע ובירורים נוספים ולבסוף החליטה לגייס את אחד המועמדים.
צוות הגיוס בחברה ביצע למועמד ארבעה ראיונות וידאו תוך שהם מאשרים כי המועמד אכן דומה לתמונה שנשלחה בקורות החיים, בנוסף ביצע צוות הגיוס למועמד בדיקות רקע מקיפות והכל היה נראה תקין הודות לזהות הגנובה בה השתמש התוקף ולשינויים שביצע התוקף בתמונה שלו באמצעות AI. תמונות מצ"ב, התמונה משמאל היא התמונה המקורית והתמונה מימין היא התמונה המעובדת שנשלחה לצוות הגיוס.
מפה לשם, החברה גייסה את המועמד ושלחה לו מחשב וציוד נדרש לתחילת עבודה, מיד עם קבלת המחשב החל התוקף לנסות ולהטמיע נוזקות שונות ברשת של החברה, מוצר ה-EDR שלח התראות לצוות ה-SOC ואלו יצרו קשר עם העובד כדי לנסות להבין מה קרה. העובד ענה שהוא שהוא רק ניסה לשנות הגדרות במחשב בשביל לשפר את מהירות האינטרנט.... התשובות המפוקפקות והמענה החלקי לא סיפקו את צוות ה-SOC ומידע שנאסף מהעמדה של העובד נשלח לחקירה אצל מנדיאנט.
תוך זמן קצר התברר גודל המחדל - מדובר היה בתוקף מצפון קוריאה שהצליח להערים על החברה בכל תהליך הגיוס והציג את עצמו כאילו הוא עובד המתגורר בארה"ב. הכתובת שסיפק ל-KnowBe4 עבור שליחת הציוד הייתה למעשה חוות מחשבים ניידים אליה התחבר התוקף מצפון קוריאה באמצעות VPN תוך שהוא עובד בשעות הערב על מנת לדמות עבודה בזמן של ארצות הברית.
מסקנה? אם בדיקות הרקע בחברה, שכל מהותה זה מודעות לאבטחת מידע, לא הספיקו בשביל לזהות את התרמית, אז סביר להניח שבמקומות אחרים המצב גרוע יותר. בדיעבד, חברת KnowBe4 מציינת כי היו כמה סימנים מחשידים אך אלו לא קיבלו את תשומת הלב הראויה, כמו כן תהליך בדיקות הרקע לא היה מהודק מספיק.
מה קורה אצלכם בחברה? אתם סומכים על תהליך הגיוס שלכם?
#הונאה #טכנולוגיה #גיוס #AI
תשמעו סיפור מוזר על איך מפתח אחד יצר כאוס ב- npm...
מפתח החליט להשתעשע ויצר ספריית קוד פתוח ב-npm תחת השם everything.
הספריה הזו, כשמה כן היא, הוגדרה ככה שהיא נשענת על כל מיליוני הספריות הציבוריות הקיימות ב-npm ככה שאם מפתח רושם את הפקודה npm install everything הוא למעשה יוריד למחשב שלו את הספרייה הזו ואחריה את כל הספריות ב-npm... כמובן שזה לא פרקטי ומי שניסה לעשות זאת נתקל בקריסה של העמדה מחוסר מקום וחוסר משאבים נוספים....
אבל רגע, זה לא הכל, כאן רק הבלגן באמת מתחיל.... המפתח חשב לתומו שבזה השעשוע מסתיים אבל הצרות רק התחילו.
ב-npm קיים כלל לפיו אם ספריה X נשענת על ספריה Y (דהיינו Y היא ספריה תלויה של X) אז למפתח של ספריה Y אין אפשרות להסיר את הספריה מ-npm כי אחרת הוא פוגע בפעילות של X...
אתם מצליחים להבין לאן זה הולך?
הספריה everything הגדירה שכל הספריות ב-npm הם ספריות תלויות שלה ובכך למעשה היא מנעה מכל המפתחים העושים שימוש ב-npm להסיר את הספריות שלהם מהמאגר...
לא רק שהם הגדירו שכל הספריות הן ספריות תלויות אלא הם אפילו לא הגדירו תלות בגרסה מסויימת, אלא השאירו את זה wildcard (*) ככה שגם אם מפתח רוצה להסיר ספריה בגרסה ישנה מלפני שנתיים הוא עדיין תלוי ב-Everything ולא יכול לעשות זאת...
אחרי שהמפתח הבין את גודל הטעות הוא פנה ל-Github ול-npm כדי שינסו לתקן את הבלגן, ב-github הורידו את הרפוסיטורי של everything מהאוויר, אבל ב-npm הספריה עדיין קיימת והכאב ראש של מי שיוריד אותה או מי שתלוי בה עדיין קיים...
אני מניח בתגובות את המאמר שהמפתח כתב בנושא...
#npm #opensource #supplychainsecurity
