משרד רואי חשבון, משרד עורכי דין ומרפאה פרטית נראים שונים מאוד זה מזה, אבל יש להם מכנה משותף: כולם מחזיקים מידע רגיש במיוחד. דוחות כספיים של לקוחות, מסמכים חסויים, תיקים רפואיים. כולם כפופים לחובות סודיות ולחובות הגנת פרטיות, ורובם מנהלים את הרשת עם מינימום משאבים, בדרך כלל חומת אש אחת שהותקנה לפני כמה שנים, וטכנאי חיצוני שמגיע לתמונה רק כשמשהו לא עובד.
הבשורה הטובה היא שחלק גדול מהסיכון אפשר לצמצם עם כמה בדיקות פשוטות. הנה חמש בדיקות שכדאי לבצע, או לבקש מספק ה-IT שלכם לבצע, כבר החודש.
1. האם ה-VPN מוגן באימות דו-שלבי?
חיבור VPN מאפשר לעובדים לעבוד מהבית, אבל הוא גם אחת הדלתות הראשונות שתוקפים מנסים לפרוץ. אם ההתחברות מבוססת על שם משתמש וסיסמה בלבד, סיסמה אחת שדלפה מספיקה כדי להיכנס לרשת המשרד.
מה לבדוק: האם מוגדר MFA לכל משתמשי ה-VPN, ללא יוצאים מן הכלל. בנוסף, האם יש הגבלה גאוגרפית שמאפשרת התחברות רק מהמדינות שבהן העובדים באמת נמצאים.
2. האם ממשק הניהול של חומת האש חשוף לאינטרנט?
ממשק הניהול הוא המקום שממנו שולטים בחומת האש כולה. אם אפשר להגיע אליו מכל מקום באינטרנט, כל אחד יכול לנסות להתחבר אליו. זו טעות נפוצה, לרוב שארית מהתקנה או מתמיכה מרחוק שנפתחה "זמנית".
מה לבדוק: האם ממשק הניהול נגיש מצד ה-WAN, והאם מוגדרת רשימת Trusted Hosts שמגבילה את הגישה לכתובות מוכרות בלבד.
3. האם הקושחה מעודכנת?
עדכוני קושחה סוגרים חולשות אבטחה ידועות. חומת אש שלא עודכנה ממשיכה לעבוד כרגיל, ולכן אף אחד במשרד לא מרגיש שמשהו לא בסדר. דווקא בגלל זה היא מסוכנת.
מה לבדוק: מהי גרסת הקושחה הנוכחית, מתי עודכנה לאחרונה, והאם יש גרסה חדשה יותר שמומלצת על ידי היצרן. כדאי לבדוק גם את מצב הרישוי, כי שירותי אבטחה רבים תלויים ברישוי בתוקף.
4. האם יש משתמשים שכבר לא צריכים גישה?
מזכירה שעזבה לפני שנה, מתמחה שסיים, ספק תוכנה שהתקין מערכת והמשיך הלאה. אם החשבונות שלהם עדיין פעילים, הם מהווים נקודת כניסה שאף אחד לא מנטר, וסיסמאות ישנות הן בדיוק מה שתוקפים מחפשים.
מה לבדוק: רשימת המשתמשים בחומת האש וב-VPN מול רשימת העובדים והספקים הפעילים כיום. כל חשבון שאין לו בעלים ברור צריך להיחסם.
5. האם יש חוקי Any/Any פתוחים?
חוק Any/Any מאפשר כל תעבורה מכל מקור לכל יעד. לפעמים הוא נפתח כדי לפתור תקלה במהירות או כדי לאפשר לספק חיצוני לעבוד, ואז נשכח. חוק כזה מבטל בפועל חלק גדול מההגנה שחומת האש אמורה לספק.
מה לבדוק: האם קיימים חוקים רחבים מדי, ומתי נוצרו. כל חוק שאין לו הסבר עסקי ברור צריך להיבחן ולהיסגר או להצטמצם.
איך לבצע את הבדיקות בלי לשבש את העבודה
הבדיקות עצמן לא מחייבות השבתה של המשרד, אבל כדאי לתכנן אותן נכון:
- קבעו מועד מראש. שעה אחת עם ספק ה-IT, רצוי בשעות שקטות, כדי שאם יתברר שצריך לסגור חוק או לחסום משתמש, הדבר ייעשה בלי לחץ.
- הכינו רשימת עובדים וספקים עדכנית. בלעדיה אי אפשר לדעת אילו חשבונות מיותרים.
- תעדו כל ממצא. מה נמצא, מה הוחלט ומי אחראי לטפל. תיעוד כזה עוזר גם להראות שהמשרד פעל באחריות לשמירה על המידע.
- עדכנו את העובדים. הפעלת MFA או הגבלה גאוגרפית דורשות הסבר קצר, כדי שעובדים לא יופתעו בפעם הבאה שיתחברו מהבית.
למה בדיקה חד-פעמית לא מספיקה
גם אם תבצעו את כל חמש הבדיקות החודש ותמצאו שהכול תקין, המצב ישתנה. לאורך שנה הקושחה מתיישנת שוב, חוקים זמניים נפתחים, משתמשים מצטרפים ועוזבים, תעודות מתקרבות לפקיעה וניסיונות התחברות כושלים מצטברים. בנוסף, מתקפות כופרה לרוב לא מתחילות בהצפנה. לפניה מופיעים סימנים כמו ניסיונות התחברות, תעבורה חריגה ופעילות VPN חשודה, ואת הסימנים האלה צריך לראות בזמן אמת, לא בבדיקה השנתית.
איך הופכים את הרשימה לשגרה אוטומטית
כאן נכנסים כלי ניטור רציף. מערכת BlueNOC לניטור אבטחת חומות אש בודקת באופן שוטף חלק גדול מהנושאים שברשימה, ומצליבה בין תצורה, לוגים, תעבורה, פעילות VPN, גרסאות קושחה ומודיעין איומים. כך למשל, מאות ניסיונות התחברות כושלים ל-VPN מקובצים לאירוע אחד ונבדקים מול קיום MFA, הגבלות גאוגרפיות וחשיפת ה-VPN. ניסיונות התחברות לממשק הניהול מוצלבים עם חשיפת הממשק ל-WAN ועם הגדרות Trusted Hosts. מצב הקושחה והרישוי של כל מכשיר מוצג בקונסולה.
הניטור הוא לקריאה בלבד ואינו דורש התקנת סוכן על מחשבי המשרד. המערכת תומכת בחומות אש Check Point Quantum Spark (דגמי 1500, 1600, 1800 ו-2000) וב-Fortinet FortiGate. כשנמצאת בעיה ב-FortiGate, כלי ה-Admin Mode של המערכת מאפשר לטכנאי להכין תיקון מודרך, כמו הגבלת גישת ניהול, ביטול גישת VPN של משתמש, הידוק חוקים או השבתת חוק מיותר בכפוף לבדיקת השפעה. כל שינוי מבוצע רק לאחר אישור מפורש של הטכנאי, לאחר גיבוי ובדיקות בטיחות.
שאלות נפוצות
האם משרד של חמישה עובדים באמת צריך את כל זה?
כן. תוקפים בוחרים מטרות לפי חולשה ולא לפי גודל, ומשרד קטן עם מידע רגיש ו-VPN בלי MFA הוא מטרה נוחה במיוחד.
מה עושים עם חוק Any/Any שאיש לא יודע למה נוצר?
לא מוחקים אותו בפזיזות. קודם בודקים איזו תעבורה עוברת דרכו ואילו מערכות עלולות להיות מושפעות, ורק אז מצמצמים או משביתים אותו בצורה מבוקרת.
האם אפשר לבצע את הבדיקות בלי ספק IT?
חלק מהן כן, למשל השוואת רשימת המשתמשים לרשימת העובדים. בדיקות כמו גרסת קושחה או חשיפת ממשק הניהול דורשות גישה להגדרות, ועדיף שיבצע אותן מי שמכיר את המכשיר.
מי יעשה את זה בשבילכם
למשרד מקצועי אין סיבה להפוך למומחה אבטחת רשתות. הדרך הנכונה היא לעבוד עם ספק שמבצע את המעקב באופן שוטף. R-Net, ספקית שירותי IT וענן לעסקים הפועלת מאז 2003, מעניקה שירותי IT מרחוק שיכולים לכלול מעקב כזה, ואפשר לפנות גם לחברות שירותי מחשוב לעסקים אחרות שמכירות את התחום. BlueNOC עצמה מפותחת ומופצת על ידי איי.פי מחשבים.
בין אם תבחרו לבצע את הבדיקות בעצמכם ובין אם תעבירו אותן לספק, העיקר הוא להתחיל. חמש שאלות, שיחה אחת עם ספק ה-IT, והמשרד שלכם יהיה במקום טוב יותר כבר בסוף החודש.
