האתגר
- חשבון שנפרץ. באוגוסט 2026 תוקף השתלט על חשבון של עובד.
- מתקפה על עובד נוסף. עובד אחר קיבל מאות מיילים תוך כ-40 דקות, ולמחרת מייל פישינג.
- סימנים שלא טופלו. כבר בחודשים שלפני הפריצה נרשמו התחברויות בסיכון גבוה לחשבון, ואף אחד לא קיבל עליהן התראה.
- דרכי כניסה פתוחות. התחברות דרך Device Code, App passwords, ו-MFA בהודעת SMS.
מה עשינו יחד
1חקירה וסגירת האירוע
על בסיס הדוח של צוות ה-IT של החברה והלוגים ב-Entra, איתרנו ממצאים שעוד לא עלו: עובד נוסף שהותקף, סימנים מוקדמים מהחודשים שלפני הפריצה, וניסיון כניסה נוסף כחודש אחרי האירוע, שנחסם.
היתרון: החברה יודעת מה בדיוק קרה. לפי כל הראיות, האירוע הסתיים ולא נותרו קצוות פתוחים.
2מיפוי הפערים עם Griffin31
בדקנו את הסביבה מול יותר מ-350 המלצות. בעזרת המיפוי הבנו אילו איומים ווקטורי תקיפה רלוונטיים לסביבה, ובנינו סדר עבודה בשלושה שלבים:
- קודם האיומים ווקטורי התקיפה.
- אחר כך שיפורים מהירים (Quick Wins).
- בסוף תוכנית לטווח ארוך.
היתרון: במקום רשימה ארוכה של הגדרות, החברה ידעה מה לסגור קודם, ולמה.
3תוכנית עבודה מפורטת
על בסיס המיפוי בנינו תוכנית בחמישה תחומים: זהויות וגישה, תחנות, אבטחת מייל, Defender for Endpoint וטלפונים. לכל פעולה יש לוח זמנים, והכל עובר קודם בפיילוט.
היתרון: הקשחה בגלים, בלי לעצור את העבודה של העובדים.
4גישה: רק משתמש מזוהה ממכשיר תקין
חיבור Active Directory ל-Entra ID, מדיניות Conditional Access שחוסמת Device Code ו-App passwords, מדיניות מבוססת סיכון, MFA עמיד לפישינג ודרישה למכשיר תקין.
היתרון: הדרך שבה התוקף נכנס סגורה. גם אם סיסמה דולפת, היא לא מספיקה כדי להיכנס.
5תחנות: Intune, Defender ועדכונים אוטומטיים
רישום המחשבים ל-Intune, Security Baseline של Microsoft, מדיניות תאימות, Defender for Endpoint במקום האנטי-וירוס הקודם, ומעבר של עדכוני Windows מ-WSUS ל-Intune.
היתרון: כל המחשבים מוגדרים לפי אותו סטנדרט, מוגנים ומתעדכנים לבד. מחשב שלא עומד בדרישות לא מקבל גישה למידע של החברה.
6מייל: הגנה מהתחזות ומפישינג
Defender for Office 365 עם הגנה מחמירה לכספים, להנהלה ולמנהלי המערכת, הגנה מהתחזות למשתמשים ולדומיינים, Safe Links ו-Safe Attachments.
היתרון: מיילים מתחזים וקישורים זדוניים נחסמים לפני שהם מגיעים לעובד.
7טלפונים: מידע ארגוני מוגן גם במכשיר פרטי
מדיניות הגנה לאפליקציות ב-iOS וב-Android: קוד או ביומטריה, הצפנה, חסימת העתקה לאפליקציות פרטיות, ומחיקה של המידע הארגוני בלבד.
היתרון: עובדים עובדים מהטלפון, והמידע הארגוני לא יוצא מהאפליקציות של החברה.
8וידוא וניטור מתמשך
בסוף ההטמעה וידאנו ב-Griffin31 שהסביבה תקינה ושהפערים נסגרו. מאז Griffin31 סורק את הסביבה ושולח התראה במייל כשהגדרת אבטחה נחלשת, וגם על שינויים רגישים ב-Entra ID.
היתרון: ההקשחה לא נשחקת עם הזמן. אם הגדרה נחלשת, צוות ה-IT יודע על זה אחרי הסריקה הבאה.
מה השתנה
חושדים שחשבון בארגון נפרץ? נתחיל בבדיקה של הלוגים והגדרות האבטחה.
קביעת שיחה