AnyDesk Unattended Access מאפשר לצוותי תמיכה ו־IT להתחבר למחשב גם כאשר אין אדם מולו. זו יכולת לגיטימית לתחזוקה ולעבודה מרחוק, אך היא יוצרת ערוץ גישה קבוע ולכן חייבת להיות מאושרת, מנוהלת ומנוטרת. הבעיה אינה עצם ההתקנה אלא שימוש ללא בקרה, סיסמה חלשה או הרשאות רחבות מדי.
מה הסיכון בגישה ללא נוכחות
לפי התיעוד הרשמי של AnyDesk, מי שמחזיק במזהה המכשיר ובסיסמת הגישה עשוי לקבל שליטה בהתאם לפרופיל ההרשאות שהוגדר. AnyDesk תומך באימות דו־שלבי וברשימת בקרת גישה, אך יש להפעיל ולהגדיר אותם. גם פרטי התחברות שמורים וטוקנים קיימים דורשים ניהול מסודר; שינוי סיסמה מבטל טוקנים קיימים.
רשימת בדיקה להגדרה בטוחה יותר
- אישור מרכזי: אפשרו רק כלי שליטה מרחוק שאושרו על ידי ה־IT וחסמו התקנות לא מורשות.
- סיסמה ייחודית וחזקה: אל תמחזרו סיסמה בין מחשבים. AnyDesk ממליצה על יותר מ־12 תווים ועל שילוב תווים.
- 2FA: הפעילו אימות דו־שלבי לגישת Unattended ובדקו אם נשמרו פרטי התחברות שעוקפים את דרישת הקוד לפי המדיניות שהוגדרה.
- Access Control List: הגבילו חיבורים למזהים או כינויים מורשים בלבד, כאשר התצורה והרישוי תומכים בכך.
- הרשאות מינימליות: צרו פרופיל גישה שמתיר רק את הפעולות הנחוצות והימנעו מהרשאות מנהל כברירת מחדל.
- ניטור ועדכונים: תעדו חיבורים, עקבו אחרי התראות EDR/XDR, עדכנו את הלקוח והסירו גישה שאינה נדרשת עוד.
- הנדסה חברתית: הנחו עובדים לא להתקין כלי שליטה בעקבות שיחה, הודעה או חלון קופץ שלא אומתו בערוץ ארגוני מוכר.
מתי עדיף חיבור זמני
בתמיכה חד־פעמית, אישור ידני בכל חיבור מצמצם את חלון החשיפה. במחשבי שרת או בעמדות שדורשות תחזוקה שוטפת, גישה ללא נוכחות יכולה להיות מוצדקת — בתנאי שהיא חלק ממדיניות מנוהלת ולא פתרון מאולתר. VPN לבדו אינו מחליף אימות, הרשאות וניטור של כלי השליטה.
מקורות: הגדרת Unattended Access ב־AnyDesk; המלצות אבטחה ו־Access Control List.
קרדיט תמונה: Mikhail Nilov / Pexels, ברישיון החופשי של Pexels.
