הגנה על תחנות קצה

ברוב הארגונים , משקיעים הרבה משאבים בהגנה על השרתים , על חומת האש וכו' .
ובתחנות הקצה מתקינים אנטי וירוס ובטוחים שהתחנה מוגנת .
 
אז זהו שלא , ראשית יש להבין , אנטי-וירוס מסורתי הוא מנגנון שמבוסס על חתימות .
הוא סורק קבצים ותהליכים בתחנת עבודה , משווה לחתימות של מתקפות זדוניות שהוא מכיר , ובמידה והוא מזהה משהו מוכר , מנסה לעצור את התהליך ומתריע .

האם זה מספיק ?? זה הספיק אולי בשנות ה90 ותחילת שנות ה2000 .
היום אפשר להשיג ברשת ההאפלה מתקפות לכל דורש , והם מורכבות יותר  וקשות יותר לזיהוי .
והם מייצרות לעצמם עוד ועוד מוטציות , אותה מתקפה שמשתנה ומשנה לעצמה את החתימה , ולכן האנטי וירוס לא מכיר  אותה .

                         

אז איך בעצם נגן על התחנות קצה ?

• אנטי-וירוס מהדור הבא , כזה שיודע לנתח התנהגות ומשתמש בלימוד מכונה על מנת להשוות התנהגות של מתקפה חדשה למתקפה מוכרת ולחסום אותה גם מבלי שיש לו חתימה מתאימה .
•  EDR – Endpoint Detection And Response – זהו מוצר שיודע לבצע ניתוח מעמיק על פעולות בתחנה , כולל חיפוש מרחוק למזהיים של מתקפות (קבצים, גישות לרשת או לאינטרנט וכו') למפות את הפעולות שנעשו על מנת לתחקר במקרה הצורך איך קרתה המתקפה ולאן עוד היא התפשטה , ובמקרה ונקבל מזהים של מתקפה ונזין אותם בממשק ניהול נקבל סריקה על כל התחנות האם יש סימנים שהמתקפה קרתה אצלנו ואף למנוע אותה , ע"י עצירת תהליכים , חסימת רשת ועוד כל מיני פעולות מונעות .
• סינון ובדיקת התוכן של הגלישה באינטרנט , יכול להיות ע"י תוכנה שמריצה את הדפדפן אינטרנט בSandBox  מקומי , ובכך מונעת מנזק לזלוג לשאר המחשב . דרך נוספת לסנן ולבדוק את הגלישה היא בדיקה וסינון התוכן בשרת נפרד (פרוקסי) .

והכי חשוב וללא עלות הקשחה:

• להסיר את המשתמש מלהיות מנהל (Local Admin) על התחנת עבודה . 
• במידה ויש תוכנה שדורשת ריצה תחת חשבון מנהל אפשר למצוא תוכנות צד ג' שמסייעות למהלך.
• למנוע מקבצי הרצה לפעול ממקומות זמניים של קבצי אינטרנט (Temp , APPDATA) .
• להפעיל חומת אש ולאפשר גישה רק למה שנדרש .
• חסימת USB ומניעת שימוש בהתקני אחסון ניידים , מודם סלולרי וכרטיסי רשת אלחוטיים . 
• להתקין עדכוני אבטחה של המערכת הפעלה ותוכנות צד ג' .

יש עוד פעולות שאפשר לעשות , כמו רשימה לבנה של תוכנות שמאושרות לרוץ בתחנה ושכל שאר התוכנות יחסמו , ביטול המשתמשים המקומיים בעלי הרשאת מנהל מקומי ועוד .
   

אך אלה שצוינו בפוסט הם יחסית פשוטים יותר לביצוע ונותנים עלות מול תועלת גבוה .
                       

לכל שאלה נוספת מוזמנים לפנות אליי בדוא"ל  Info@cyberland.co.il .