חיבור מחשבי Mac לשיתוף קבצים בשרת Windows הוא דבר שגרתי. הבעיה מתחילה כאשר כל המחשבים מקבלים את אותו שם משתמש ואת אותה סיסמה. זה נוח להקמה, אבל מבטל כמעט לחלוטין את היכולת לדעת מי פתח, שינה או מחק קובץ.
בסביבה שבה מחשבי Windows, מחשבי Mac ושרתים נמצאים באותה רשת מקומית, חשבון משותף יוצר נקודת כשל אחת. אם הסיסמה נשמרה במחשב שנפרץ, התוקף מקבל את אותן הרשאות שיש לכל המשתמשים האחרים המחוברים באמצעותו.
מה מאבדים כשכולם נכנסים באותו חשבון?
אין זיהוי אמיתי של המשתמש
בלוגים של שרת הקבצים תופיע זהות אחת. במקרה של מחיקה, הצפנה או העתקה חריגה, קשה להבחין אם הפעולה בוצעה על ידי עובד מסוים, תוכנה תקולה או גורם עוין. כתובת ה־IP של התחנה יכולה לעזור, אבל היא אינה תחליף לזהות אישית ואינה תמיד נשמרת בכל מערכת.
הסיסמה מתפזרת בין עשרות מחשבים
כל תחנה נוספת שבה נשמרת הסיסמה מגדילה את שטח התקיפה. במחשבי Mac היא עשויה להישמר ב־Keychain, ובמערכות אחרות במנהל האישורים. החלפת הסיסמה הופכת לפרויקט, ולכן ארגונים נוטים לדחות אותה ולהשאיר את אותו סוד פעיל זמן רב.
הרשאות רחבות מדי
חשבון משותף מקבל בדרך כלל הרשאה שמתאימה לכולם, ולכן בפועל היא מתאימה לאף אחד. מי שצריך לקרוא תיקייה אחת מקבל לעיתים גם אפשרות לשנות או למחוק תיקיות אחרות. זה מנוגד לעקרון ההרשאה המינימלית שממליץ לתת לכל זהות רק את הגישה הדרושה לתפקידה.
תנועה רוחבית ברשת
אם מחשב לא מנוהל או לא מוגן נפגע, חשבון תקף לשיתוף קבצים יכול לשמש לגישה לשרת ולמידע. העובדה שמדובר ב־Mac אינה הופכת אותו לחסין. שכבת ההגנה צריכה לכלול עדכונים, הצפנת דיסק, הגנת נקודות קצה, ניהול מרכזי וניטור, בהתאם לרמת הסיכון ולתאימות המוצר.
איך מתקנים בלי לשבור את העבודה?
- יוצרים זהות אישית לכל עובד. אם יש Active Directory או ספק זהויות ארגוני, משתמשים בזהות הקיימת ולא בחשבון כללי.
- מקצים הרשאות לקבוצות. מנהלים גישה לפי מחלקה או תפקיד, ולא מוסיפים הרשאה ידנית לכל משתמש בכל תיקייה.
- מפרידים בין קריאה, שינוי ומחיקה. לא כל מי שצריך לפתוח קובץ צריך גם למחוק אותו.
- מפעילים רישום אירועים. יש לוודא שהשרת מתעד כניסות ופעולות בקבצים הרגישים ושמישהו בודק חריגות.
- מנהלים גם את מחשבי ה־Mac. MDM מאפשר לאכוף עדכונים, הצפנה, הגדרות אבטחה ותצורה עקבית. מומלץ לבדוק ביצועים ותאימות של פתרון EDR בקבוצת פיילוט לפני פריסה רחבה, ולא לוותר על שכבת ההגנה בלי חלופה מתועדת.
- מפרידים רשתות לפי צורך. VLAN וכללי Firewall יכולים לצמצם מעבר בין תחנות, שרתים ומערכות ניהול. הפרדה לבדה אינה מחליפה זהויות והרשאות נכונות.
- מכינים תוכנית מעבר. מתחילים בקבוצה קטנה, ממפים שיתופים קיימים, בודקים אפליקציות ישנות ורק לאחר מכן מבטלים את החשבון המשותף.
ומה אם אפליקציה ישנה חייבת חשבון משותף?
יש מערכות ישנות שלא תומכות בזיהוי אישי. במקרה כזה החשבון צריך להיות ייעודי למערכת, עם הרשאות מצומצמות, סיסמה ארוכה ומנוהלת, הגבלת התחברות ממחשבים מורשים וניטור. אסור להשתמש בו גם לעבודה יומיומית או לכניסה אינטראקטיבית לשרת.
כדאי לקרוא גם את המדריך על ניהול מחשבי Mac בארגון. מניסיון בעולמות IT וסייבר, אריאל מרום מדגיש שהמטרה אינה לבחור בין Mac ל־Windows, אלא לנהל את שניהם תחת מדיניות זהויות, נקודות קצה ורשת אחידה.
מקורות מקצועיים: Microsoft Entra ועקרונות Zero Trust, וכן Apple Platform Deployment.
צילום: Optimerch GmbH / Pexels. מקור: Pexels.
