ביום שבו מתקינים חומת אש חדשה בעסק, הכול נראה מסודר. הטכנאי מגדיר חוקים, מחבר את קווי האינטרנט, מקים חיבור VPN לעובדים מהבית, מוודא שהכול עובד ויוצא לדרכו. בעל העסק מקבל תחושה שהנושא סגור. אבל השאלה החשובה באמת מתחילה דווקא אחר כך: מי בודק את חומת האש אחרי שהמתקין הולך?
רוב העסקים הקטנים והבינוניים לא שואלים את השאלה הזו עד שמשהו משתבש. חומת האש נתפסת כמו לוח חשמל, מתקינים פעם אחת ושוכחים ממנה. בפועל, היא אחד הרכיבים הדינמיים ביותר ברשת הארגונית, וכל שינוי קטן בעסק משאיר בה סימן.
מה קורה לחומת אש בשנה הראשונה
גם כשההתקנה בוצעה היטב, לאורך שנים עשר חודשים מצטברים שינויים שאיש לא תכנן ואיש לא עוקב אחריהם. אלה התהליכים שחוזרים כמעט בכל ארגון:
- הקושחה מתיישנת. יצרניות חומות האש משחררות עדכונים שסוגרים חולשות אבטחה. מכשיר שלא עודכן ממשיך לעבוד כרגיל, ולכן קשה לשים לב שהוא חשוף.
- חוקים זמניים נשארים לתמיד. ספק תוכנה ביקש גישה, מישהו פתח חוק Any/Any "רק לבדיקה", והחוק נשאר פעיל הרבה אחרי שהבדיקה הסתיימה.
- ה-VPN נפתח לכל העולם. כדי שעובד בחו"ל יוכל להתחבר, הוסרה הגבלה גאוגרפית. ההגבלה לא חזרה.
- משתמשים ישנים נשארים פעילים. עובדים שעזבו, ספקים שסיימו פרויקט, חשבונות בדיקה. כל אחד מהם הוא דלת שאיש לא נעל.
- תעודות מתקרבות לפקיעה. תעודה שפוקעת יכולה להשבית חיבורים מאובטחים בדיוק ביום עמוס.
- ניסיונות פריצה מצטברים. ניסיונות התחברות כושלים ל-VPN מתרחשים ברקע, יום אחרי יום, בלי שמישהו מסתכל על הלוגים.
- קווים ו-Tunnel של IPsec מאבדים יציבות. ניתוקים קצרים שנראים כמו "סתם תקלה באינטרנט" הם לפעמים סימן לבעיה עמוקה יותר.
אף אחד מהשינויים האלה לא נראה דרמטי בפני עצמו. יחד הם יוצרים פער הולך וגדל בין מה שבעל העסק חושב שמגן עליו לבין מה שקורה בפועל.
למה זה צריך לעניין את ההנהלה
מתקפות כופרה הן הדוגמה הבולטת. מנהלים רבים מניחים שהסימן הראשון למתקפה הוא קבצים מוצפנים והודעת כופר על המסך. בפועל, ההצפנה היא לרוב לא הסימן הראשון. לפניה מופיעים בדרך כלל סימנים מוקדמים: ניסיונות התחברות חוזרים, תעבורה חריגה, תקשורת עם שרתי שליטה ובקרה (C2), שינויי תצורה לא מוסברים, פעילות VPN חשודה ואירועי IPS. רבים מהסימנים האלה עוברים דרך חומת האש. השאלה היא אם מישהו רואה אותם בזמן.
מעבר לאבטחה יש גם היבט תפעולי. קו אינטרנט שקורס, חיבור בין סניפים שמתנתק או VPN שלא עובד בבוקר של ישיבה חשובה עולים לעסק בזמן עבודה ובאמון של לקוחות. מעקב שוטף מאפשר לזהות מגמות לפני שהן הופכות לתקלה.
מה נותן ניטור רציף של חומת האש
בדיקה תקופתית, פעם בשנה או כשנזכרים, כבר לא מספיקה. כלים מודרניים מאפשרים מעקב רציף שמצליב בין כמה מקורות מידע. BlueNOC, מערכת לניטור אבטחה רציף של חומות אש, היא דוגמה לגישה כזו. המערכת מצליבה בין תצורת חומת האש, הלוגים, התעבורה, פעילות ה-VPN, גרסאות הקושחה ומודיעין איומים, כדי לזהות סיכונים אמיתיים, להסביר מה שורש הבעיה ולומר לטכנאי בדיוק מה לעשות.
כמה עקרונות שכדאי להכיר כבעלי עסק:
- הניטור הוא לקריאה בלבד. הסריקות לא משנות הגדרות, ואין צורך להתקין סוכן על מחשבי העובדים.
- הצלבה במקום רעש. מאות ניסיונות התחברות כושלים ל-VPN מקובצים לאירוע אחד, ונבדקים מול השאלות האם מוגדר אימות דו-שלבי (MFA), האם קיימת הגבלה גאוגרפית ועד כמה ה-VPN חשוף.
- הבחנה בין סיבה לתוצאה. כשקו אינטרנט נופל, המערכת יכולה לזהות שהשיבושים בחיבורים התלויים בו הם תוצאה של אותה תקלה, ולא בעיות נפרדות שדורשות טיפול נפרד.
המערכת תומכת בחומות אש מסדרת Check Point Quantum Spark (דגמי 1500, 1600, 1800 ו-2000) ובחומות אש Fortinet FortiGate, שתיהן נפוצות מאוד בעסקים קטנים ובינוניים. היא מפותחת ומופצת על ידי איי.פי מחשבים.
תרחיש מוכר מהשטח
קחו לדוגמה משרד של עשרים עובדים שהתקין חומת אש לפני שנה וחצי. בתחילת הדרך הכול עבד. במהלך השנה נוסף חוק זמני עבור ספק תוכנת הנהלת חשבונות, עובדת שעזבה המשיכה להחזיק חשבון VPN פעיל, וההגבלה הגאוגרפית הוסרה כשהמנכ"ל נסע לכנס בחו"ל. אף אחד מהשינויים לא תועד, וכל אחד מהם נעשה מסיבה טובה באותו רגע.
יום אחד מתחילים להופיע בלוגים ניסיונות התחברות חוזרים ל-VPN מכתובות בחו"ל, דווקא מול שם המשתמש של העובדת שעזבה. אם אף אחד לא מסתכל, הסימן הזה עובר בשקט. אם יש מעקב שוטף, הוא הופך לממצא אחד ברור: חשבון ישן, VPN פתוח לכל מדינה וניסיונות פריצה פעילים. הפתרון במקרה כזה פשוט יחסית, חסימת החשבון והחזרת ההגבלה, אבל רק בתנאי שמישהו רואה את התמונה בזמן.
האם צריך לעשות את זה לבד?
לא בהכרח. רוב העסקים הקטנים לא מעסיקים איש אבטחת מידע במשרה מלאה, וגם לא צריכים. הדרך המעשית היא לעבוד עם ספק שירותי IT מנוהלים (MSP) שעוקב אחר חומת האש באופן שוטף ומטפל בממצאים. R-Net, חברת שירותי IT וענן לעסקים הפועלת מאז 2003, יכולה לקחת את המשימה הזו על עצמה במסגרת שירותי IT מרחוק, כך שבעל העסק לא צריך להפוך למומחה רשתות. גם חברות שירותי מחשוב לעסקים נוספות מציעות מעטפת תמיכה שכוללת התייחסות לחומת האש.
מה שחשוב הוא לשאול את הספק שלכם כמה שאלות פשוטות: מתי עודכנה הקושחה לאחרונה? מי יכול להתחבר ל-VPN, ומאיפה? האם יש חוקים פתוחים שאיש לא זוכר למה נוצרו? מתי פוקעות התעודות? אם התשובות לא ברורות, זה הזמן להכניס ניטור רציף.
שאלות נפוצות
כל כמה זמן צריך לבדוק את חומת האש?
בדיקה שנתית היא מינימום, אבל היא משאירה חלון ארוך שבו שינויים וניסיונות פריצה עוברים בלי שאיש רואה אותם. המטרה היא מעקב שוטף, כך ששינוי מהותי בתצורה או בהתנהגות הרשת יתגלה בתוך זמן קצר ולא בבדיקה הבאה.
האם ניטור רציף מפריע לעבודה השוטפת?
ניטור שעובד במצב קריאה בלבד אינו משנה הגדרות ואינו מחייב התקנת תוכנה על מחשבי העובדים, ולכן העבודה היומיומית במשרד נמשכת כרגיל.
מה הצעד הראשון שכדאי לעשות?
לבקש מספק ה-IT רשימה של החוקים, המשתמשים וגרסת הקושחה הנוכחית, ולעבור עליה יחד. כבר השיחה הזו חושפת לרוב פערים שאיש לא היה מודע להם.
השורה התחתונה
חומת אש היא לא מוצר שקונים ושוכחים, היא תהליך. העסקים שנשארים מוגנים לאורך זמן הם לא בהכרח אלה עם הציוד היקר ביותר, אלא אלה שמישהו מסתכל על הציוד שלהם באופן קבוע ושואל מה השתנה מאז יום ההתקנה.
