בשנים האחרונות התרגלנו לראות מערכות אבטחה דרך ממשקים מרשימים: גרפים צבעוניים, מפות תקיפה, ציוני סיכון, התראות ודוחות. כל אלו חשובים, ולעיתים גם מספקים תמונה ברורה מאוד של מצב הארגון. אבל דווקא בימים אלו חשוב לזכור שממשק, מתקדם ככל שיהיה, אינו תחליף לצוות שמסתכל על האירועים, מבין את ההקשר ויודע מתי נדרשת תגובה.
זה הרעיון שעומד מאחורי MCS Watch & Protect.
השירות לא נולד מתוך רצון להוסיף עוד מערכת לרשימת המערכות שהעסק כבר מנהל. ברוב הארגונים קיימים ממילא אנטי-וירוס, פתרונות גיבוי, Microsoft 365, חומות אש, מערכות ענן וכלים נוספים. הבעיה היא שהמידע מפוזר בין יותר מדי מסכים, ולעיתים אף אחד לא עובר עליו באופן רציף.
התוצאה עלולה להיות אירוע שקיבל התראה, אבל לא קיבל תשומת לב.
לדוגמה, ניסיון התחברות ממדינה חריגה יכול להיראות כמו עוד שורה ביומן. יצירת כלל חדש בתיבת דואר יכולה להיראות כמו שינוי טכני קטן. פורט שנפתח בשרת, תעודת SSL שעומדת לפוג, משתמש חדש שקיבל הרשאות ניהול או תחנה שמדווחת על פעילות חשודה – כל אחד מהאירועים האלה עשוי להיות תמים. לעיתים הם גם הסימן הראשון לכך שמשהו אינו תקין.
ההבדל נמצא בהקשר.
כאשר מסתכלים על אירוע בודד, קשה להבין את משמעותו. כאשר מחברים בין אירועים, שינויים והתנהגות לאורך זמן, מתקבלת תמונה אחרת. התחברות חריגה, ולאחריה שינוי כלל העברה בדואר, ולאחר מכן ניסיון לגשת למידע רגיש – כבר אינם שלושה אירועים נפרדים. הם עשויים להיות תהליך אחד שדורש בדיקה מיידית.
מעבר למערכת נדרשת צפייה אנושית
MCS Watch & Protect משלב בין מערכת ניטור לבין צוות שמסתכל על הנתונים בזמן אמת, בהתאם למסלול ולשעות השירות שהוגדרו. המטרה אינה להציף את הלקוח בכל אירוע קטן, אלא לזהות את הדברים שבאמת מצריכים תשומת לב.
מערכות אוטומטיות יודעות לסרוק, להשוות, לתעד ולהתריע. הן עושות זאת במהירות ובקנה מידה שאדם אינו יכול לבצע בעצמו. עם זאת, מערכת אינה תמיד יודעת להבין את ההקשר העסקי.
האם העובד באמת נמצא בחו״ל?
האם השרת שנפתח אליו פורט חדש הוגדר כחלק מפרויקט מתוכנן?
האם מנהל המערכת יצר את המשתמש החדש, או שמדובר בפעולה בלתי צפויה?
האם ההתראה בתחנת הקצה היא זיהוי שגוי, או התחלה של אירוע שדורש בידוד?
לשם כך נדרש שילוב בין טכנולוגיה, ניסיון ושיקול דעת.
הסתכלות רחבה על סביבת הלקוח
השירות עוקב אחר מספר שכבות בסביבה הארגונית: Microsoft 365, משתמשים והרשאות, מצב אימות רב-שלבי, כללי העברת דואר, שינויים בתפקידים ניהוליים, חשיפות חיצוניות, פורטים פתוחים, תעודות, הגדרות דואר, כתובות IP, דומיינים, רשימות חסימה ואירועים ממערכות אבטחה נוספות.
הרעיון הוא לא רק לדעת מה המצב כרגע, אלא גם להבין מה השתנה.
בעולם הסייבר, שינוי קטן יכול להיות חשוב יותר מציון סיכון כללי. משתמש שהיה רגיל לעבוד מישראל ופתאום מתחבר ממיקום חריג. תיבת דואר שבה הופיע כלל חדש. הרשאה שהוענקה ללא תיעוד. שירות חיצוני שנפתח בטעות. אלו בדיוק המקומות שבהם ניטור רציף יכול לצמצם את הזמן שבין תחילת האירוע לבין הרגע שבו מישהו מבחין בו.
זמן התגובה חשוב לא פחות מהזיהוי
זיהוי הוא רק השלב הראשון. כאשר מתגלה אירוע משמעותי, נדרש לדעת כיצד לפעול: האם לחסום משתמש, לאפס סיסמה, לנתק סשנים פעילים, לבודד תחנה, להסיר כלל דואר, לבדוק הרשאות או לערב גורם נוסף.
לכן MCS Watch & Protect כולל גם תהליכי תגובה ופעולות חירום שנועדו לסייע לצוות לפעול במהירות ובצורה מסודרת. לא כל התראה מחייבת פעולה דרמטית, אך אירוע אמיתי אינו המקום להתחיל לחשוב מאפס מה עושים עכשיו.
חשוב להדגיש: אין מערכת שמבטיחה אפס אירועים, ואין שירות שיכול לבטל לחלוטין את הסיכון. המטרה היא מעשית יותר – להקטין את הסיכוי שאירוע משמעותי יישאר ללא תשומת לב, ולשפר את היכולת לזהות, לבדוק ולהגיב בזמן.
בסופו של דבר, אבטחת מידע אינה רק שאלה של איזה מוצר מותקן בארגון. היא תלויה גם בשאלה פשוטה יותר: האם מישהו באמת מסתכל
מידע נוסף על שירותי המחשוב והסייבר של M-Challenge ניתן למצוא באתר החברה.
צילום: Michael Geiger / Unsplash, ברישיון Unsplash.
למידע נוסף על שירותי אבטחת הסייבר המנוהלת: MCS – Managed Cyber Security.
