הכנות לפני התקפת סייבר

בלי כתוביותעם כתוביות

מילון מושגים:

Active Directory - שירות מדריך של מיקרוסופט לניהול מרכזי של משתמשים, מחשבים והרשאות ברשת ארגונית מבוססת דומיין.

שרת אינטרנט - תוכנה או מחשב שמקבלים בקשות HTTP ומגישים דפי אינטרנט ומשאבים ללקוחות.

HTTPS - הגרסה המאובטחת של HTTP, שמצפינה את התקשורת בין הדפדפן לשרת בעזרת TLS ומאמתת את זהות האתר.

MFA - אימות רב-שלבי: דרישה ליותר מראיה אחת לזהות, למשל סיסמה בתוספת קוד חד-פעמי, לחיזוק האבטחה.

אדמיניסטרטור - משתמש בעל הרשאות הניהול הגבוהות ביותר במערכת, שיכול לשנות הגדרות, להתקין תוכנות ולנהל משתמשים אחרים.

וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.

לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.

פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.

הכנות לפני התקפת סייבר

בשיעור זה נכנסים לפרק הרביעי של תהליך הטיפול באירועים ועוסקים בהכנות שאפשר לעשות לפני התקיפה, רואים את ההקשחה של שרתים ושל Active Directory, את האיזון בין אבטחה לנוחות, את חשיבות המדיניות והצוות המאומן, ואת כל מה שצריך להכין מראש בתיק החירום.

נושאי הסיכום המוצגים בשיעור:

1. מה זו הכנה: כל מה שקורה לפני התקיפה נקרא הכנות, וההכנות האלו יכולות להימשך שנים, כי בזמן האירוע האמיתי אין זמן לחשוב ואף אחד לא יודע מה קורה, ולכן כל הסדר והנהלים צריכים להיות מוכנים מראש.

2. הקשחת שרתים: להקשיח פירושו לאבטח מערכת ולעשות אותה קשה יותר לתקיפה, לדוגמה סגירת פורטים שלא נחוצים, כמו שרת ווב שעובד רק HTTPS ואפשר לסגור את פורט 80.

3. הקשחת Active Directory ו-MFA: ניהול מרכזי של משתמשים מאפשר להוסיף אימות רב גורמי, שבו נשלח הודעה לאישור התחברות למערכת, וכך מגדילים משמעותית את רמת האבטחה.

4. ניהול הרשאות מוגברות: משתמשים בעלי הרשאות גבוהות צריכים ניהול חכם, לדוגמה לא לתת לכל משתמש אדמיניסטרטור מקומי על התחנה שלו, כי משתמש אמור לעבוד עם התוכנות המותקנות ולא להתקין דברים חדשים, וכך גם אם נכנס וירוס או מלוור הנזק מצומצם הרבה יותר.

5. האיזון בין אבטחה לנוחות: כל הגברת אבטחה באה על חשבון הנוחות, המשתמשים מתלוננים והעומק על הצוות גדל, אפשר לבנות מערכת מאוד מאובטחת אבל אז יהיה קשה או בלתי אפשרי לעבוד איתה, ולכן כל ארגון מגדיר מדיניות אבטחה משלו שתלויה במנהלים.

6. מדיניות ברורה וצוות מאומן: צריכה להיות מדיניות ברורה מה עושים במקרה של תקיפה, צוות מטפל באירועים שמוגדר מראש, ותרגולים מחוץ לשעות העבודה שבהם מדמים פריצה ומבצעים את הנהלים, פעם בשנה או בחצי שנה, ואפשר גם להסתמך על חברה חיצונית שתסייע בזמן אירוע.

7. Baseline, קו בסיס: צריך לדעת מה המצב הנורמלי בארגון, מה העומס הנורמלי על שרת ועל רשת, עוקבים אחרי המערכות בימים רגילים ולומדים את ההתנהגות היומיומית שלהן, ורק כך אפשר לזהות סטייה שמעלה חשד לפעילות זדונית.

8. Golden Image: צילום של תחנת עבודה במצב מושלם, שאפשר להתקין על כל תחנה ולהחזיר אותה למצב האפס שלה עם כל התוכנות בפנים, וכך במקרה של אירוע מוחקים את התחנה ובונים אותה מחדש נקייה ומהירה.

9. שרטוט רשת וחשבונות סודיים: צריך שרטוט של הרשת, וחשבונות סודיים עם הרשאות מלאות שלא נעשה בהם שימוש ביום יום, בדרך כלל על לפטופ נקי שעומד בצד, ואחרי החקירה מבטלים את החשבון ומאפסים לו סיסמה עד התקרית הבאה.

10. תקציב חירום ודף צ'יט: צריך תקציב קטן אך זמין למקרה חירום, כי בארגונים גדולים אישור הוצאת כסף לוקח חודשים, וגם דף עזר קצר עם כל הפקודות החשובות ומיקומי הלוגים, לדוגמה היכן נמצאים הלוגים בלינוקס.

11. דיווח לרשויות: לפעמים צריך להודיע לרשויות על הפריצה, ארגונים שכפופים ל-GDPR, הנוהל האירופאי, חייבים לדווח על אירועים מסוימים גם לרשויות החוק, וכל זה חלק מההכנות.

12. כלים ותיעוד בתיק החירום: מכינים מראש פורנזיק אימג', העתק של הווינדוס עם הבעיות שאפשר לחקור לעומק, יכולת לעשות קפצ'ור לתקשורת ברשת וניתוח לוגים, ותיעוד מלא של המערכות במערכת נפרדת ברשת אחרת או בענן, שלא יושפע מהפריצה, כדי שיהיה אפשר לשחזר ולהתקין שרתים מחדש גם שנים אחרי שהוגדרו.

סיכום:

בשיעור זה הבנו שההכנות לפני התקיפה הן לב ליבו של תהליך הטיפול באירועים, ראינו איך מקשיחים שרתים ו-Active Directory ומנהלים בחוכמה הרשאות מוגברות, דנו באיזון בין אבטחה לנוחות ובחשיבות המדיניות הברורה והצוות המאומן, וסקרנו את כל הכלים שצריך להכין מראש בתיק החירום, מה-baseline וה-golden image ועד החשבונות הסודיים, התקציב, דף העזר והתיעוד המוגן, וסימנו את הפרק כהושלם.

בשיעור הבא נעסוק בנושא רשומת SPF - הגנה נגד פישינג - DNS.

פרקי ההרצאה: הכנות לפני התקפת סייבר

תמלול ההרצאה: הכנות לפני התקפת סייבר

הטקסט המלא של הדקות הראשונות בהרצאה «הכנות לפני התקפת סייבר» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, אנחנו בפרק רביעי על הכנות שאנחנו יכולים לעשות לפני האירוע, לפני התקיפה. ההכנות האלו יכולות להימשך במשך שנים. למעשה כל מה שקורה לפני התקיפה זה נקרא הכנות.
00:17
ומה אנחנו יכולים לעשות? אנחנו יכולים להקשיח שרתים. להקשיח זה אומר לאבטח, לאבטח שרת, לאבטח איזושהי מערכת. המושג המקצועי זה להקשיח, לעשות אותה קשה יותר לעבודה, אבל מאובטחת יותר.
00:36
לדוגמה, אנחנו יכולים לסגור פורטים שלא נחוצים לנו. נניח יש לנו שרת ווב שעובד גם פורט 80 וגם 443, גם HTTP וגם HTTPS, והחלטנו שאנחנו עובדים רק HTTPS.
00:50
אז אפשר לסגור את הפורט 80, זה נקרא להקשיח שרת. אפשר גם להקשיח Active Directory, ניהול מרכזי של יוזרים. אנחנו יכולים להוסיף multi-factor authentication זה אומר שנשלח לנו sms בשביל לאשר לוגין למערכת אפשר גם לנהל בצורה טובה יותר privileged access privileged זה בעלי הרשאות גבוהות משתמשים בעלי הרשאות גבוהות לנהל אותם בצורה יותר חכמה לדוגמה לא לתת
01:20
לכולם אדמיניסטרטור מקומי על התחנות שלהם יוזר אמור לעבוד עם התוכנות המותקנות במחשב, והוא לא אמור להתקין שום דבר חדש. הוא לא צריך שיהיו לו הרשאות של אדמיניסטרטור.
01:34
ואז אם נכנס וירוס או מיילוור לתוך התחנה ומנצל את היוזר שהפעיל אותו, הנזק שלו הרבה יותר מצומצם, כי הוא לא יכול להתקין דברים חדשים במחשב, יש לו הרשאות מוגבלות.
01:49
זאת אומרת שניהול של משתמשים עם הרשאות של אדמיניסטרטורים, הרשאות גבוהות, צריך להיות ניהול קשוח, ניהול חכם. ויש עוד הרבה דברים שאפשר לעשות כדי להגביר את אבטחת המידע בארגון, אבל שימו לב, כל הגברת אבטחה זה חוסר נוחות.
02:06
פתאום יוזר לא יכול להתקין לעצמו איזו תוכנה שהוא צריך. לא נוח לו, הוא מתחיל להתלונן. זה גם עומס עלינו, כי כל דבר פתאום הם פונים אלינו.
02:15
נפוץ היום להגביל USB, שאנשים לא יוכלו להכניס USB לא מורשה לתחנת עבודה. כל הדברים האלו זה נקרא Preparation, הכנות. וכל האבטחה באה על חשבון הנוחות.
02:28
אפשר לעשות מערכת ממש מאובטחת, אבל זה יהיה סבל לעבוד איתה, או שזה יהיה אפילו בלתי אפשרי. תמיד מחפשים את האיזון הזה בין הנוחות לבין האבטחה, ואין פה תשובה חד משמעית.
02:39
לכן לכל ארגון יש את המדיניות שלו, מדיניות אבטחה משלו, וזה תלוי במנהלים. צריכה להיות מדיניות ברורה מה עושים במקרה של תקיפה. תקפו אותנו, מה מתחילים לעשות?
02:51
צריך שצוות יהיה מאומן, שהם ידעו מה לעשות. בארגונים בפועל עושים להם תרגול מחוץ לשעות עבודה, נניח כולם הולכים הביתה, ובאיזה שש בערב עושים להם תרגיל, כאילו הייתה תקרית, כאילו מישהו פרץ לאנשהו, והם צריכים לבצע את כל הנוהל של נניח לנתק את האינטרנט או לנתק איזושהי רשת.
03:14
הבדיקות האלו נעשות פעם בשנה או פעם בחצי שנה, תלוי בארגון. והם כמובן שצריכים להיות סקילד, מאומנים, וצריך להיות צוות של טיפול באירוע אבטחת מידע.
03:25
צריך להגדיר מראש מי הוא הצוות שמטפל באירוע. תראו, בזמן אירוע אמיתי, כשקורית פתאום פרצה, אתם נכנסים לפאניקה.
03:34
המנהלים שלכם מכניסים אתכם לפאניקה. זה הכל מתחיל להיות בלאגן, טלפונים, אף אחד לא יודע מה קורה, צועקים עליכם. אם אתם לא יודעים בדיוק מה לעשות, זה יכול להיות בעייתי מאוד להתחיל לחשוב בזמן אמת.
03:48
בגלל זה יש clear policy, מדיניות ברורה, לדוגמה, למי מתקשרים, מי הם חברי הצוות שצריכים לטפל באירועים כאלו.