תקופות חגים וסופי שבוע דורשות היערכות שונה לאירועי סייבר. לא מפני שכל תקיפה מתרחשת דווקא אז, אלא משום שלעתים יש פחות אנשי צוות זמינים, זמני התגובה מתארכים ושינויים חריגים עלולים להישאר ללא בדיקה.
CISA וה־FBI פרסמו בעבר אזהרות ייעודיות לקראת חגים וסופי שבוע, לאחר שתוקפים ניצלו חלונות שבהם ארגונים פעלו במתכונת מצומצמת. זו אינה הוכחה לכך שרוב המתקפות מתרחשות בחגים, אלא סיבה מעשית לחזק כוננות ורציפות תפעולית.
מה כדאי להשלים לפני היציאה לחופשה?
- רשימת אנשי קשר והסלמה: מי מקבל התראה, מי מחליט על ניתוק מערכת ומי מתקשר עם הנהלה, ספקים ולקוחות.
- בדיקת התראות: לוודא שמערכות EDR, Firewall, שירותי זהויות וגיבוי מדווחות ושאין התראות קריטיות פתוחות.
- גיבוי ושחזור: לא להסתפק בהודעת "הגיבוי הצליח". יש לבדוק שחזור מדגמי ולוודא שקיימת שכבה שאינה נגישה ישירות מחשבון רגיל.
- גישה מרחוק: לצמצם חשבונות VPN ו־RDP שאינם נחוצים, להפעיל MFA ולהימנע מחשיפת שירותי ניהול ישירות לאינטרנט.
- חשבונות מנהל: להסיר חשבונות זמניים, לבדוק הרשאות חריגות ולהשתמש בחשבון נפרד לניהול.
- שינויים מתוכננים: לדחות שינויי תשתית לא חיוניים כאשר אין צוות מלא שיכול לטפל בתקלה.
מה צריך לנטר במהלך החג?
העדיפות היא להתראות בעלות הקשר: כניסה חריגה לחשבון מנהל, יצירת כלל העברת דואר, ריבוי ניסיונות כניסה, ביטול כלי הגנה, מחיקה בהיקף גדול, שינוי בהרשאות או תעבורת רשת לא רגילה. לא כל חריגה היא תקיפה, ולכן יש צורך בתהליך בדיקה ולא רק באיסוף התראות.
ארגון קטן שאינו מפעיל צוות מסביב לשעון צריך לפחות להגדיר מי מקבל התראות קריטיות ומהו זמן התגובה המצופה. שירות SOC יכול לסייע בניטור ובמיון, אך גם הוא אינו מחליף נהלי חירום, גיבויים ותוכנית התאוששות שנבדקה.
אחרי החג
בימים הראשונים לאחר החזרה כדאי לבדוק שינויים בחשבונות, כללי דואר, הרשאות, תוכנות שהותקנו ואירועי גישה מרחוק. בדיקה קצרה וממוקדת עדיפה על הנחה שהיעדר תלונה פירושו שלא התרחש דבר.
ב־M-Challenge ממליצים להתייחס להכנה לחגים כחלק מנוהל רציפות עסקית קבוע: רשימת בדיקות קצרה, אחריות ברורה ותרגול שחזור. זה שימושי גם בסופי שבוע ארוכים, בחופשות מרוכזות ובתקופות שבהן צוות IT פועל בהרכב מצומצם.
מקורות: CISA ו־FBI: מודעות לכופרה בחגים ובסופי שבוע, וכן הנחיות FBI בנושא כופרה.
צילום: Freestockpro / Pexels. מקור: Pexels.
