בדיקת אבטחה נקודתית יכולה לזהות חולשות ביום שבו בוצעה, אבל סביבת IT משתנה כל הזמן: שירות נפתח, תעודה פגה, כלל דואר משתנה או חשבון מקבל הרשאה חדשה. ניטור מתמשך נועד לצמצם את הפער בין הבדיקה התקופתית לבין המצב בפועל.
מה המשמעות של ניטור מתמשך?
אין הכוונה שכל בדיקה מתבצעת בכל שנייה. התדירות תלויה בכלי, במקור הנתונים ובסיכון: חלק מהאירועים מתקבלים כמעט בזמן אמת, ואחרים נבדקים אחת לכמה דקות, שעות או ימים.
NIST SP 800-137 מתאר ניטור מתמשך כתכנית שמספקת נראות לנכסים, לחולשות ולאפקטיביות של בקרות, כדי לאפשר תגובה בזמן המתאים לסיכון.
אילו שינויים כדאי לנטר?
- שירותים ופורטים שנחשפו לאינטרנט.
- תוקף ותצורה של תעודות SSL/TLS.
- רשומות SPF, DKIM ו־DMARC ושינויים בשרתי הדואר.
- הופעה ברשימות חסימה ושינוי במוניטין של כתובות IP.
- כניסות חריגות, שינויי הרשאות וכללי העברת דואר.
- התראות מכלי Endpoint, ענן וזהות.
מה ניטור אינו מחליף?
ניטור מתמשך אינו מבטיח שכל מתקפה תזוהה, ואינו מחליף בדיקת חדירה, הקשחה, גיבויים או תכנית תגובה לאירוע. הוא גם עלול לייצר התרעות שווא, ולכן נדרשים סינון, תיעדוף ובדיקה אנושית.
בדיקת חדירה וניטור ממלאים תפקידים שונים: הבדיקה מחפשת דרכי ניצול בתרחיש מוגדר, ואילו הניטור עוקב אחר שינויים ואירועים לאורך זמן. ארגון בשל משלב ביניהם במקום לבחור רק באחד.
איך מתחילים נכון?
- ממפים נכסים קריטיים ובעלי תפקידים.
- מגדירים מה נחשב שינוי מהותי ומהי תדירות הבדיקה המתאימה.
- קובעים למי מגיעה כל התרעה ומה זמן התגובה הנדרש.
- מתעדים טיפול, חריגים וסיבות לסגירת התרעה.
- בודקים באופן תקופתי אם הניטור מכסה את הנכסים העדכניים.
שירותים מנוהלים כמו MCS – Managed Cyber Security יכולים לרכז בדיקות חשיפה, דואר, זהות והתראות אבטחה, אך ההחלטה והטיפול נשארים חלק מתהליך מקצועי ולא פעולה אוטומטית עיוורת.
השורה התחתונה
המטרה של ניטור מתמשך היא לזהות שינוי מוקדם ולתת לארגון זמן להגיב. הערך מגיע מכיסוי נכון, הקשר, תיעדוף ובקרה אנושית — לא רק מכמות הסריקות או ההתראות.
קרדיט תמונה: Tima Miroshnichenko / Pexels, בהתאם לרישיון Pexels.
