פתיחה: למה דווקא נקודות הקצה הן החוליה החלשה?
דמיינו את העסק שלכם כמבצר. יש לכם חומות גבוהות, שערים חזקים, שומרים בכניסה. אבל מה קורה כשיש עשרות דלתות קטנות פזורות לאורך החומה, וכל עובד מחזיק מפתח לאחת מהן? זה בדיוק המצב עם נקודות קצה בארגון.
כל מחשב נייד, כל טלפון חכם, כל טאבלט שעובד משתמש בו כדי להתחבר למערכות העסק הוא דלת פוטנציאלית לפורצים. והמספרים מדברים בעד עצמם: יותר ממחצית מהארגונים נפגעו ממתקפות כופר, והמספר רק עולה. התוקפים יודעים שקל יותר לפרוץ דרך המחשב הנייד של עובד שעובד מהבית מאשר לתקוף ישירות את השרתים המרכזיים.
אבטחת נקודות קצה היא לא עוד באזז-וורד בעולם הסייבר. היא ההבדל בין עסק שממשיך לפעול לבין עסק שמגלה בוקר אחד שכל המידע שלו מוצפן ומישהו דורש כופר.
מה זה בכלל נקודות קצה ולמה זה משנה לכם?
הגדרה פשוטה למי שלא חי ונושם טכנולוגיה
נקודות קצה הן כל המכשירים שמתחברים לרשת העסקית שלכם. לא מדובר רק במחשבים במשרד. הרשימה ארוכה ומפתיעה:
המחשב הנייד שהמנהלת לוקחת הביתה בערב. הטלפון החכם שממנו איש המכירות בודק מיילים בדרכים. הטאבלט שבחדר הישיבות. השרת שיושב בחדר השרתים או בענן. תחנות העבודה של המעצבים. ואפילו המצלמה החכמה בכניסה למשרד או המדפסת הרשתית, כל אלה נקודות קצה.
בעידן של עבודה מרחוק ו-BYOD, כשעובדים מביאים מכשירים אישיים לעבודה, מספר נקודות הקצה התפוצץ. עסק קטן של עשרה עובדים יכול בקלות להגיע לשלושים או ארבעים נקודות קצה שונות. וכל אחת מהן היא פוטנציאלית דלת כניסה לתוקפים.
שלוש הדרכים שבהן פורצים לעסק שלכם
יש שלוש נקודות כניסה עיקריות לכל מערכת IT: אנשים, רשתות, ונקודות קצה.
דרך אנשים התוקפים עובדים באמצעות מניפולציה. הודעת פישינג שנראית כמו מייל מהבנק, שיחת טלפון מאדם שמתחזה לתמיכה טכנית, קישור מפתה ברשת חברתית. הם משכנעים מישהו למסור סיסמה או ללחוץ על משהו שלא צריך.
דרך הרשת הם מחפשים חולשות טכניות. פורט פתוח שלא צריך להיות פתוח, הגדרה שגויה בפיירוול, פרוטוקול ישן ופגיע שעדיין פעיל.
ודרך נקודות הקצה הם מנצלים את העובדה שהמכשירים האלה לרוב פחות מוגנים מהשרתים המרכזיים. מחשב נייד עם מערכת הפעלה לא מעודכנת, תוכנה פרוצה, או פשוט הגדרות אבטחה חלשות.
הסיבה שנקודות קצה הפכו ליעד מועדף היא פשוטה: הן הרבות ביותר, הן הכי קשות לניטור, והן לרוב בשליטה חלקית של העסק בלבד.
ההבדל שחייבים להבין: אבטחת נקודות קצה זה לא אנטי-וירוס
הטעות הנפוצה שעולה לעסקים ביוקר
הרבה בעלי עסקים חושבים שאם יש להם אנטי-וירוס על המחשבים, הם מוגנים. זו טעות שיכולה לעלות ביוקר. אנטי-וירוס הוא כלי אחד בארגז כלים שלם. להסתמך רק עליו זה כמו לנעול את הדלת הראשית אבל להשאיר את כל החלונות פתוחים.
אבטחת מידע אמיתית של נקודות קצה כוללת שכבות רבות של הגנה שעובדות יחד. אנטי-וירוס הוא רק השכבה הבסיסית ביותר.
מה כוללת אבטחת נקודות קצה אמיתית?
מערכות EDR, שזה קיצור של Endpoint Detection and Response, הן הדור הבא של הגנה. הן לא רק מחפשות וירוסים מוכרים, הן מנטרות התנהגות חשודה בזמן אמת. אם תוכנה מתחילה להתנהג בצורה לא רגילה, למשל לנסות להצפין קבצים בקצב מהיר, המערכת תזהה ותעצור את זה גם אם מדובר בתוכנה זדונית חדשה שאף אנטי-וירוס עוד לא מכיר.
הקשחת תצורות היא תהליך שבו מגדירים את נקודות הקצה בצורה שמקטינה את משטח ההתקפה. סוגרים פורטים שלא צריך, מבטלים שירותים מיותרים, מגדירים הרשאות מינימליות.
סינון DNS עוצר חיבורים לאתרים זדוניים מוכרים עוד לפני שהמשתמש מגיע אליהם. אם עובד לוחץ בטעות על קישור מפישינג, הסינון יכול לחסום את החיבור לאתר הזדוני.
פיירוול מקומי על כל נקודת קצה מגביל את התעבורה שנכנסת ויוצאת מהמכשיר. לא רק ברמת הרשת הארגונית, אלא על כל מכשיר בנפרד.
והדרכת משתמשים, כי בסוף היום האנשים הם עדיין החוליה החלשה. עובד שיודע לזהות מייל פישינג שווה יותר מעשר מערכות אבטחה.
איך בונים אבטחת נקודות קצה שעובדת?
שלב ראשון: לדעת מה קורה בעולם
אי אפשר להגן מפני איומים שלא מכירים. לכן הצעד הראשון הוא להיות מעודכנים במה שקורה בעולם הסייבר. אילו סוגי התקפות נפוצים עכשיו? אילו חולשות חדשות התגלו? מה התוקפים מחפשים?
זה לא אומר שבעל העסק צריך להפוך למומחה סייבר. אבל מי שאחראי על ה-IT, בין אם זה עובד פנימי או חברת מחשוב חיצונית, צריך להיות עם היד על הדופק. לעקוב אחרי פרסומים של מערך הסייבר הלאומי, להיות מנוי לעדכוני אבטחה של הספקים הרלוונטיים, להשתתף בקהילות מקצועיות.
שלב שני: תהליך הקשחה מסודר
הקשחה זה לא משהו שעושים פעם אחת ושוכחים. זה תהליך מתמשך שכולל כמה שלבים:
קודם כל מזהים סיכון. נגיד, גיליתם שיש חולשה חדשה ב-Windows שתוקפים מנצלים.
אחר כך מעריכים את הסבירות וההשפעה. האם החולשה הזו רלוונטית למערכות שלכם? מה יקרה אם מישהו ינצל אותה?
בשלב הבא מפתחים פתרון. אולי זה עדכון תוכנה, אולי שינוי הגדרה, אולי חסימה של משהו ברשת.
לפני שמיישמים בכל הארגון, בודקים על מכונת בדיקה או קבוצה קטנה. לפעמים התיקון יוצר בעיות חדשות.
רק אחרי שווידאתם שהפתרון עובד, פורסים בהדרגה לכל הארגון, עם תוכנית גיבוי למקרה שמשהו משתבש.
ולבסוף מתעדים הכל. מה שונה, למה, ומתי.
שלב שלישי: להיפטר מהטכנולוגיה הישנה
יש פרוטוקולים וטכנולוגיות שפשוט לא צריכים להתקיים יותר. הם נולדו בעידן אחר, כשאבטחה לא הייתה שיקול מרכזי, והם מלאים בחורים.
SMBv1 הוא פרוטוקול שיתוף קבצים ישן שהיה אחראי להפצה של WannaCry, אחת ממתקפות הכופר הגדולות בהיסטוריה. אין שום סיבה שהוא יהיה פעיל במערכות מודרניות.
PowerShell 2.0, גרסה ישנה של כלי ניהול חזק של Windows, חסרה מנגנוני אבטחה שנוספו בגרסאות חדשות יותר. תוקפים אוהבים להשתמש בה בדיוק בגלל זה.
TLS 1.0 ו-1.1 הם פרוטוקולי הצפנה ישנים שאפשר לפרוץ. כל התקשורת צריכה לעבור ל-TLS 1.2 או 1.3.
גיבוי ועדכונים שוטפים הם חלק בלתי נפרד מהתהליך. מערכות לא מעודכנות הן מערכות פגיעות.
ארבעת המעגלים של הגנה על נקודות קצה
מעגל ראשון: מערכת ההפעלה
הכל מתחיל במערכת ההפעלה עצמה. Windows, macOS, Linux, כל אחת מהן צריכה להיות מוגדרת נכון.
כללי ASR, שזה Attack Surface Reduction, הם הגדרות מובנות ב-Windows שמונעות התנהגויות מסוכנות נפוצות. למשל, למנוע מקבצי Office להריץ קוד, לחסום תהליכים לא חתומים שרצים מ-USB, למנוע גניבת אישורים מזיכרון המערכת.
הגבלת תנועה רוחבית מונעת מתוקף שכבר נכנס למכשיר אחד להתפשט בקלות לשאר הרשת. אם מחשב אחד נפרץ, זה לא אומר שכל הארגון חשוף.
הפעלת תכונות הגנה מובנות כמו SmartScreen שמזהיר מפני הורדות מסוכנות, או הגנה מבוססת מוניטין שחוסמת תוכנות לא מוכרות.
מעגל שני: הרשת
גם אם המכשיר עצמו מוגן, החיבור שלו לרשת יכול להיות נקודת תורפה.
RDP, פרוטוקול שולחן עבודה מרוחק, הוא אחד הדברים הכי מנוצלים על ידי תוקפים. אם הוא פתוח לאינטרנט, זו הזמנה לצרות. או שמשביתים אותו לגמרי, או שמקשיחים אותו רצינית עם VPN ואימות חזק.
NetBIOS ופרוטוקולים ישנים אחרים שלפעמים עדיין פעילים בלי סיבה טובה צריכים להיות מושבתים.
חומת אש מקומית על כל מכשיר, לא רק ברמת הרשת, מוסיפה שכבת הגנה נוספת.
מעגל שלישי: חשבונות והרשאות
הרבה מהנזק במתקפות סייבר נגרם בגלל הרשאות מוגזמות. עובד שיש לו הרשאות אדמין על המחשב שלו בלי סיבה אמיתית הוא סיכון מיותר.
עקרון ההרשאות המינימליות אומר שכל משתמש צריך לקבל רק את ההרשאות שהוא באמת צריך לעבודה שלו, לא יותר.
הגנה על אישורים מונעת מתוקפים לגנוב סיסמאות וטוקנים מהזיכרון של מכשירים פרוצים.
ניהול חשבונות מנהל מקומיים מוודא שגם אם תוקף מצליח לקבל גישה למחשב אחד, הוא לא יכול להשתמש באותם אישורים כדי להיכנס למחשבים אחרים.
מעגל רביעי: יישומים ודפדפנים
התוכנות שעובדים משתמשים בהן יום יום הן גם נקודות תורפה פוטנציאליות.
Microsoft Office ו-Adobe Reader הן מטרות אהובות על תוקפים בדיוק כי הן נפוצות כל כך. קובץ Word או PDF זדוני יכול להריץ קוד על המחשב אם היישומים לא מוגדרים נכון.
דפדפנים הם אולי היישום הכי קריטי. אנשים מבלים שעות ביום בדפדפן, נכנסים לאתרים, מורידים קבצים, מזינים סיסמאות. הגדרות אבטחה נכונות בדפדפן, כולל הגנת פישינג, בידוד תהליכים, ושליטה על הרחבות מותקנות, הן קריטיות.
למה עדיף למנוע מאשר לטפל?
המחיר האמיתי של מתקפה
עסקים שחוו מתקפת סייבר יספרו לכם שהמחיר הרבה יותר גבוה ממה שנראה במבט ראשון.
יש את העלות הישירה: כופר אם משלמים, עלות שחזור מערכות, שעות עבודה של אנשי IT, ייעוץ משפטי, הודעה ללקוחות.
יש את העלות העקיפה: ימי עבודה שאבדו, פרויקטים שהתעכבו, לקוחות שעזבו, מוניטין שנפגע.
ויש את העלות ארוכת הטווח: פרמיות ביטוח שעולות, לקוחות פוטנציאליים שמפחדים לעבוד עם חברה שנפרצה, צורך להשקיע הרבה יותר באבטחה אחרי מעשה.
בהשוואה לכל זה, ההשקעה באבטחת נקודות קצה מראש היא זולה להפליא.
הגישה הנכונה: שכבות הגנה
אין פתרון קסם אחד שמגן מכל האיומים. הגישה הנכונה היא Defense in Depth, הגנה בשכבות. כל שכבה מוסיפה מכשול נוסף בפני התוקף.
אם האנטי-וירוס לא תפס את הקובץ הזדוני, אולי ה-EDR יזהה את ההתנהגות החשודה. אם גם זה לא עבד, אולי ההקשחה תמנע מהתוקף להתקדם. אם הכל נכשל, לפחות יש גיבוי שמאפשר לשחזר.
איך מתחילים?
הצעד הראשון: לדעת מה יש לכם
אי אפשר להגן על מה שלא יודעים שקיים. הצעד הראשון הוא מיפוי של כל נקודות הקצה בארגון. כל מחשב, כל טלפון, כל מכשיר שמתחבר לרשת.
הצעד השני: להעריך את המצב
איפה אתם עומדים היום? האם יש אנטי-וירוס על כל המכשירים? האם מערכות ההפעלה מעודכנות? האם יש הגדרות אבטחה בסיסיות?
הצעד השלישי: לתעדף
לא צריך לעשות הכל ביום אחד. תתעדפו לפי סיכון. מה הכי קריטי? מה הכי חשוף? מה הכי קל לתקן?
הצעד הרביעי: לבנות תהליך
אבטחה היא לא פרויקט חד פעמי, היא תהליך מתמשך. צריך תהליכים לעדכון שוטף, לבדיקה תקופתית, לתגובה לאירועים.
הצעד החמישי: לקבל עזרה מקצועית
אם אין לכם את המומחיות הפנימית, ולרוב העסקים הקטנים והבינוניים אין, עבדו עם מומחי מחשוב שזו ההתמחות שלהם. זה יותר זול מלנסות ללמוד הכל לבד, ובטוח יותר מלעשות טעויות יקרות.
סיכום: אבטחת נקודות קצה היא לא בחירה, היא הכרח
בעולם שבו יותר ממחצית הארגונים נפגעים ממתקפות כופר, אבטחת נקודות קצה היא לא מותרות. היא חלק בסיסי מניהול עסק אחראי.
הטכנולוגיה קיימת. הכלים זמינים. השיטות ידועות. מה שנדרש הוא ההחלטה להתייחס לזה ברצינות ולהשקיע את המשאבים הדרושים.
התוקפים לא יושבים בחיבוק ידיים. הם משתפרים כל הזמן, מפתחים שיטות חדשות, מחפשים דרכים חדשות להיכנס. ההגנה שלכם צריכה להתפתח באותו קצב.
אל תחכו למתקפה כדי להבין שהייתם צריכים להתכונן. התכוננו עכשיו.
