הקשחת שרתים ועמדות קצה: רשימת בדיקות מומלצת

הקשחת שרתים ועמדות קצה: רשימת בדיקות מומלצת

אם יש נושא אחד שמחזיר שקט לארגון בלי דרמות מיותרות, זה הקשחת שרתים ועמדות קצה.

לא ״עוד כלי״, לא ״עוד מדיניות״, אלא סדר פעולות ברור שנותן לך שליטה אמיתית: מה פתוח, מה סגור, מה מנוטר, ומה פשוט לא אמור להתקיים.

כאן תקבל רשימת בדיקות מומלצת, פרקטית ומעמיקה, עם מספיק עומק כדי שתסיים לקרוא ותגיד: יופי, עכשיו אפשר לעבוד.

לפני שמקשיחים: 3 שאלות שמצילות שעות (ועצבים)

הקשחה טובה לא מתחילה בקונפיגורציה. היא מתחילה בהבנה מה אתה מגן ולמה.

• מה הנכסים הכי חשובים? דומיין, בסיסי נתונים, קבצי לקוחות, סודות API, מפתחות הצפנה.
• מה מודל האיום הריאלי? לא סרט ריגול. מה באמת יכול לקרות אצלך: דיוג, גניבת קרדנצ׳יאלס, תנועת צד, כופרה.
• מה רמת הסיכון שאתה מוכן לקבל? כי ״אפס סיכון״ זה נחמד על מצגת. במציאות צריך איזון בין אבטחה לתפעול.

ברגע שיש תשובות, כל החלטת הקשחה נהיית חדה: עושים, לא עושים, דוחים, או מטפלים בהמשך.

הבסיס שלא מתווכחים איתו: נכסים, זהויות והרשאות

הרבה ״הקשחות״ נופלות על משהו פשוט: אין תמונת מצב של מי נוגע במה.

אז מתחילים מליבה: זהויות, הרשאות ומיפוי נכסים. פחות זוהר, יותר קריטי.

1) מיפוי נכסים – מי בכלל נמצא אצלך ברשת?

אם יש שרת שאף אחד לא יודע למה הוא קיים, יש לו תחביבים משלו. בדרך כלל לא כאלה שתאהב.

• אינבנטורי מלא לשרתים, תחנות, VM, קונטיינרים, רכיבי ענן ושירותים מנוהלים.
• סיווג: פרודקשן, בדיקות, פיתוח, מעבדה.
• בעלות: לכל מערכת יש Owner. בלי Owner זה ״יתום״, ויתומים עושים בעיות.
• רשימת חשיפה: מה פתוח החוצה, מה פנימי, מה נגיש דרך VPN, ומה נגיש משום מה מכל מקום.

2) זהויות – הסיפור האמיתי של אבטחה

בין אם זה AD, Entra ID או מערכת IAM אחרת, זה המקום שבו ״הכול״ קורה.

• MFA לכל משתמש, ובעדיפות גבוהה למשתמשים עם הרשאות ניהול.
• גישה אדמיניסטרטיבית נפרדת: משתמש אדמין לא צריך מייל וגלישה רגילה.
• עקרון המינימום: אם לא חייבים הרשאה – לא נותנים.
• ביקורת קבוצות: Admins, RDP Users, Local Administrators, קבוצות חריגות.
• חשבונות שירות: סיסמאות חזקות, רוטציה, הגבלות התחברות, בלי ״לעולם לא פג תוקף״ כברירת מחדל.

3) הרשאות לקבצים ולשיתופים – המקום שבו נולדת כופרה

כופרה אוהבת שיתופים פתוחים כמו שקפה אוהב בוקר. אז לא נותנים לה את זה.

• צמצום Write: מי שצריך לקרוא – שיקרא. מי שצריך לכתוב – רק מה שצריך.
• בקרת ירושה: תיקיות עם הרשאות שנגררות שנים הן ״מוזיאון טעויות״.
• גישה לפי קבוצות ולא לפי משתמשים, כדי שאפשר יהיה לנהל ולבקר.

הקשחת שרתים: לא רק ״לסגור פורטים״

שרתים הם יעד מועדף כי הם יציבים, זמינים, וכולם תלויים בהם. בדיוק מה שתוקף אוהב.

החדשות הטובות: הקשחת שרתים טובה היא תהליך די ברור, והרווח עצום.

4) Patch זה נחמד. Patch עם משמעת זה מנצח

עדכונים הם לא אירוע חד פעמי. הם הרגל.

• חלון עדכונים קבוע עם תקשורת מסודרת.
• סיווג דחיפות: קריטי, חשוב, רגיל. לא כל עדכון שווה אותו דבר.
• בדיקות פרה-פרודקשן אם יש מערכות רגישות, כדי לא לגלות ״תופעות לוואי״ בשעות שיא.
• מדידה: כמה שרתים לא מעודכנים, כמה זמן בממוצע לתיקון, ואיפה הפערים.

5) שירותים מיותרים – יאללה, להוריד משקל

כל שירות שרץ הוא עוד משטח תקיפה. ואם הוא לא נחוץ, הוא בעיקר תחביב מסוכן.

• הסרה או כיבוי של רכיבים שלא בשימוש: שרתי Web לא נדרשים, Print Spooler איפה שלא צריך, פרוטוקולים ישנים.
• ביקורת Startup: מה עולה אוטומטית ולמה.
• סטנדרטיזציה: תמונת בסיס לשרתים לפי תפקיד – DB, אפליקציה, דומיין, קבצים.

6) הקשחת גישה מרחוק – כי RDP זה לא סלון פתוח

גישה מרחוק היא חובה. אבל חייבת להיות עם כללי בית.

• הגבלה ברמת רשת: רק דרך VPN, jump box, או פתרון גישה מאובטח.
• רשימות Allow לכתובות מקור, איפה שאפשר.
• הקשחת פרוטוקולים: ביטול גרסאות חלשות, חיזוק הצפנה.
• זמן נעילה וניתוק: סשנים שלא בשימוש נסגרים אוטומטית.

7) לוגים וניטור – אם זה לא נרשם, זה לא קרה (עד שזה קרה)

לוגים הם ההבדל בין ״יש בעיה״ לבין ״יש לנו סיפור מסודר עם ראיות״.

• איסוף מרכזי לוגים לשרת מרכזי או SIEM.
• סנכרון זמן לכל המערכות. בלי זה, החקירה נהיית פאזל עם חלקים חסרים.
• אירועים חשובים: כניסות כושלות, שינויי הרשאות, יצירת משתמשים, התקנות שירותים, שינויי GPO.
• התראות חכמות: פחות רעש, יותר אות. אחרת כולם לומדים להתעלם.

8) גיבויים – החבל שאתה שמח שיש כשצריך

גיבוי זה לא ״יש לנו NAS״. גיבוי זה תהליך עם בדיקות התאוששות.

• כלל 3-2-1: שלושה עותקים, שני סוגי מדיה, עותק אחד מנותק או בלתי ניתן לשינוי.
• הפרדת הרשאות בין סביבת הייצור לבין סביבת הגיבוי.
• בדיקות שחזור קבועות, לא רק ״בדיקה שהקבצים קיימים״.
• יעדי RPO/RTO: כמה מידע מותר לאבד וכמה זמן מותר להיות למטה.

הקשחת עמדות קצה: איפה שהחיים האמיתיים קורים

עמדות קצה הן המקום שבו אנשים עובדים. וגם לוחצים. לפעמים על דברים יצירתיים.

הקשחת תחנות עבודה ולפטופים חייבת להיות חכמה: מספיק חזקה כדי לעצור נזק, ומספיק ידידותית כדי לא לגרום לעקיפות ״יצירתיות״.

9) ניהול מרכזי – בלי זה אתה מנהל אוסף הפתעות

אם אין MDM או ניהול מרכזי, קשה להבטיח מדיניות אחידה.

• מדיניות בסיס: מסך נעילה, הצפנה, חומת אש, עדכונים.
• תצורת דפדפן: חסימת הרחבות לא מורשות, הקשחת הגדרות פרטיות, ניהול תעודות.
• התקנות: מי רשאי להתקין תוכנות, ומתי.

10) EDR/אנטי-וירוס – כן, עדיין. אבל עם מוח

כלי הגנה לתחנות הם לא קסם, אבל הם שכבה חזקה מאוד כשמגדירים נכון.

• הגנה בזמן אמת עם מדיניות אחידה.
• בקרת התנהגות לזיהוי פעילות חשודה, לא רק חתימות.
• תגובה: בידוד תחנה בלחיצה, איסוף פורנזי, חסימת IOC.
• חריגים: מינימום חריגים, עם תיעוד ומעקב. חריגים הם כמו ״רק הפעם״ – זה אף פעם לא רק פעם.

11) הצפנת דיסק – כי לפטופ מטייל לפעמים לבד

אובדן מכשיר לא חייב להיות אירוע אבטחה. אם הדיסק מוצפן, זה בעיקר אירוע לוגיסטי.

• הצפנה מלאה לכל עמדות הקצה.
• ניהול מפתחות מרכזי ושחזור מבוקר.
• בדיקת תאימות כדי לוודא שהצפנה באמת פעילה ולא ״אמורה להיות״.

12) הרשאות מקומיות – למה כולם אדמינים, בעצם?

אם משתמש הוא Admin מקומי, כל נוזקה מרגישה בבית.

• הסרת Admin מקומי כברירת מחדל.
• פתרון Elevation מבוקר למשימות שדורשות הרשאה.
• חשבון מקומי ייחודי או מנוהל, כדי למנוע תנועת צד דרך סיסמאות זהות.

13) מאקרואים, סקריפטים וקבצים חכמים מדי – זה חמוד עד שזה כואב

העולם אוהב אוטומציות. גם תוקפים. לכן צריך מדיניות ברורה.

• חסימת מאקרואים ממקורות לא מהימנים.
• חתימה דיגיטלית לסקריפטים פנימיים היכן שמתאפשר.
• הגבלות הרצה לפי צורך: App Control או Allowlisting בסביבות רגישות.

הרשת עצמה: 5 שכבות שעושות סדר

אפשר להקשיח שרתים ועמדות עד מחר, אבל אם הרשת שטוחה כמו פיתה, תנועה צדדית נהיית ספורט קל.

14) סגמנטציה – כי ״כולם עם כולם״ זה לא צוות, זה כאוס

סגמנטציה טובה מקטינה נזק ומפשטת שליטה.

• הפרדה בין משתמשים, שרתים, ניהול, OT אם יש, ואורחים.
• חומות אש פנימיות או ACL לפי צרכים אמיתיים.
• מינימום פתיחות: לא פותחים טווחים כי ״אולי זה יעזור״.

15) DNS ופרוקסי – המקומות שבהם רואים הכל

כאן אפשר לתפוס המון דברים לפני שהם נהיים אירוע.

• סינון DNS לדומיינים חשודים.
• לוגים של DNS עם חיפוש קל.
• בקרת יציאה לתעבורה יוצאת, במיוחד משרתים שלא אמורים לגלוש.

16) TLS ותעודות – לא רק ל״HTTPS״

תעודות הן תשתית אמון. אם הן מבולגנות, האמון נשחק מהר.

• מיפוי תעודות: איפה יש תעודות, מתי פגות, מי מנפיק.
• ביטול הצפנה חלשה וסטנדרטיזציה של גרסאות.
• אוטומציה לחידוש כדי להימנע מ״למה הכול נפל בבוקר״.

רשימת בדיקות מומלצת: צ׳ק ליסט שעובד באמת

כאן מגיע החלק הפרקטי. אפשר לקחת את הרשימה, להפוך אותה למשימות, ולרוץ קדימה בקצב שמתאים לארגון.

17) צ׳ק ליסט לשרתים (מינימום אפקטיבי)

• כל שרת משויך לבעלים ולסביבה, עם תיעוד תפקיד.
• עדכוני אבטחה מנוהלים, עם מדדים לזמן תיקון.
• שירותים מיותרים כבויים או הוסרו.
• גישה מרחוק מוגבלת ומנוהלת, בלי פתיחה חופשית החוצה.
• חומת אש מקומית פעילה עם כללים מצומצמים.
• הקשחת הרשאות קבצים ושיתופים לפי קבוצות.
• לוגים נשלחים למערכת מרכזית, עם סנכרון זמן.
• גיבויים עם בדיקות שחזור, כולל עותק מנותק או בלתי ניתן לשינוי.

18) צ׳ק ליסט לעמדות קצה (מה שיציל לך יום עבודה)

• MDM או ניהול מרכזי עם מדיניות עקבית.
• EDR פעיל עם יכולת בידוד ותגובה.
• הצפנת דיסק מלאה וניהול מפתחות מסודר.
• אין Admin מקומי כברירת מחדל, יש מנגנון Elevation מבוקר.
• הקשחת דפדפן והגבלת הרחבות.
• חסימת מאקרואים ממקורות לא מהימנים והגבלת סקריפטים.
• נעילה אוטומטית, בסיסמאות חזקות, ו-MFA במערכות קריטיות.

19) צ׳ק ליסט לרשת ולתשתיות (הדבק שמחבר הכל)

• סגמנטציה בסיסית לפחות בין משתמשים לשרתים.
• כללי יציאה מצומצמים לשרתים.
• DNS עם לוגים וסינון דומיינים חשודים.
• מיפוי תעודות וחידוש אוטומטי היכן שאפשר.
• ניטור והתראות עם פחות רעש ויותר אות.

שאלות ותשובות קצרות (כן, אלה ששואלים תמיד)

20) ״מה קודם: שרתים או עמדות קצה?״

מתחילים היכן שהסיכון הכי גבוה והחשיפה הכי גדולה. בהרבה ארגונים זה עמדות קצה בגלל דיוג, ואז עוברים לשרתים כדי לחסום תנועה צדדית ולהגן על נתונים.

21) ״אפשר להקשיח בלי לשבור למשתמשים את העבודה?״

כן. פשוט עושים את זה בשלבים, עם מדיניות מדורגת, תיעוד ברור, ומנגנון חריגים מסודר. הקשחה טובה היא כזו שכמעט לא מרגישים.

22) ״כמה חשוב ניהול הרשאות לעומת כלי אבטחה?״

ניהול הרשאות הוא הבסיס. כלים עוזרים, אבל אם כולם אדמינים והכול פתוח, הכלים בעיקר יתעדו את הבלגן באיכות גבוהה.

23) ״מה המדד הכי טוב לדעת שהקשחה מצליחה?״

מדדים פשוטים: ירידה בכמות חריגות, זמן תיקון קצר יותר, פחות מערכות לא מנוהלות, והיכולת לענות מהר על ״מי ניגש למה ומתי״.

24) ״מה הדבר הכי נפוץ ששוכחים בהקשחת שרתים?״

לוגים. כולם חושבים שיזכרו להפעיל אחר כך, ואז מגיע יום שבו צריך אותם. והם לא שם.

25) ״איך נמנעים ממצב של צ׳ק ליסט שמסמנים ולא באמת מבינים?״

מחברים כל סעיף לסיכון שהוא מטפל בו, ומגדירים ״איך נראה מצב תקין״. צ׳ק ליסט בלי הקשר זה כמו דיאטה בלי אוכל במקרר.

26) ״צריך גם תהליך, או שמספיק טכני?״

צריך גם תהליך: ניהול שינויים, ניהול חריגים, ונוהל תגובה לאירועים. בלי זה, ההקשחה נשחקת עם הזמן כי ״רק פתחתי רגע״ נהיה מצב קבוע.

עוד שתי נקודות שמבדילות בין ״בסדר״ ל״וואו״

כדי להיות כמה רמות מעל, יש שני הרגלים קטנים שעושים הבדל ענק: תיעוד מינימלי אבל חד, ובדיקות חוזרות.

תיעוד מינימלי אומר: מה הסטנדרט, מי הבעלים, ואיפה רואים שזה עובד.

בדיקות חוזרות אומר: סריקות פגיעויות, ביקורות הרשאות, ותרגולי שחזור. לא כדי להלחיץ. כדי לישון טוב.

ואם בא לך לקרוא עוד על אנשים שעוסקים בעולמות טכנולוגיים עסקיים, אפשר להציץ בפרופיל של אילון אוריאל וגם בעמוד של איילון אוריאל.

הקשחת מערכות, חיזוק שרתים, מיגון תחנות קצה והקשחת תשתיות רשת הם לא פרויקט שמסיימים ושמים עליו וי. זה סט של הרגלים טובים, עם צ׳ק ליסט ברור, מדדים קטנים, ושיפור מתמיד.

כשתעשה את זה נכון, תרגיש את זה ביום יום: פחות הפתעות, פחות כיבוי שריפות, ויותר זמן להתעסק במה שבאמת מקדם את הארגון.