עדכון ובקרת איכות: הכתבה עוסקת בדיווח שפורסם במאי 2025 על טכניקת Bring Your Own Installer (BYOI). אין מדובר בעקיפה כללית של כל התקנת SentinelOne, אלא בתרחיש שנצפה בסביבות שבהן סוכן ה־EDR הוגדר או הותקן באופן שאפשר לנצל את תהליך השדרוג וההסרה.
מה קרה בפועל?
חוקרי התגובה לאירועים של Aon’s Stroz Friedberg תיארו תוקף שהביא עמו מתקין לגיטימי של SentinelOne וניצל את תהליך השדרוג או השנמוך של הסוכן. לפי הדיווח, המהלך עקף את מנגנון ההגנה מפני שינוי (anti-tamper) והשאיר את התחנה ללא הגנת הסוכן.
הנקודה החשובה היא שהמתקין עצמו אינו בהכרח זדוני. הסיכון נוצר מהאופן שבו תהליך התקנה מורשה יכול לשנות רכיב אבטחה כאשר קיימת תצורה לא נכונה, גרסה פגיעה או הרשאות מנהל שנפלו בידי התוקף. לכן אין להסיק שכל מתקין חתום הוא בטוח, וגם לא שכל מוצר EDR ניתן לעקיפה באותה דרך.
למה BYOI מסוכנת?
- שימוש ברכיב לגיטימי: כלי חתום עשוי לעורר פחות חשד מכלי תקיפה לא מוכר.
- ניצול הרשאות שכבר נפרצו: התרחיש בדרך כלל דורש לתוקף גישה והרשאות מספיקות בתחנה; הוא אינו מחליף את החדירה הראשונית.
- פגיעה בשכבת ההגנה: אם הסוכן נעצר או מוסר, התוקף מקבל חלון זמן לפעילות נוספת.
- קושי תפעולי: ארגון שמסתמך רק על סטטוס “מותקן” עלול שלא להבחין במהירות שסוכן חדל לדווח.
מה מנהלי IT ו־SOC צריכים לבדוק?
- גרסאות ותצורה: לעדכן את סוכן SentinelOne לפי הנחיות היצרן ולוודא שהגדרות anti-tamper וההרשאות תואמות למדיניות.
- בריאות הסוכן: לנטר לא רק התקנה, אלא גם heartbeat, גרסה, מדיניות פעילה וזמן הדיווח האחרון.
- שינויים בשירותים: ליצור התראות על עצירה, הסרה, שנמוך או התקנה מחדש של סוכן האבטחה.
- הרשאות מנהל: לצמצם חשבונות מקומיים בעלי הרשאות גבוהות ולהגן על חשבונות ניהול באמצעות MFA ותחנות ניהול ייעודיות.
- בקרות משלימות: לשלב לוגים מרכזיים, SIEM, בקרת יישומים וניטור זהויות. EDR הוא שכבה מרכזית, אך אינו תחליף לארכיטקטורת הגנה רב־שכבתית.
- תרגול תגובה: להגדיר מראש מה עושים כאשר סוכן מפסיק לדווח: בידוד באמצעות בקרת רשת, איסוף ראיות והחלפת סודות שנחשפו.
מה לא נכון להסיק
הדיווח אינו הוכחה לכך שמערכות EDR “סומכות על כל מתקין רשמי” או שאפשר לעקוף אותן תמיד באמצעות DLL זדוני. טכניקות של DLL side-loading קיימות ומתועדות בנפרד ב־MITRE ATT&CK, אך הן אינן זהות לתרחיש BYOI שתואר כאן.
השורה התחתונה: כלי הגנה על תחנות קצה חייב להיות מנוטר כמו כל שירות קריטי. התקנה נכונה, עדכונים, הגבלת הרשאות והתראה על שינויי סוכן מצמצמים את הסיכון, אך אין בקרת אבטחה שמעניקה חסינות מוחלטת.
מקורות: Dark Reading — Bring Your Own Installer Attack Targets SentinelOne EDR; MITRE ATT&CK — Hijack Execution Flow.
קרדיט תמונה: צילום: Dan Nelson / Pexels. שימוש לפי רישיון Pexels.
