איך מתחילים להגן על הרשת: רשתות ואבטחת מידע בפועל
כדי להגן על רשת ביתית או עסקית, מתחילים בזיהוי המכשירים המחוברים, ממשיכים לאבטחת הנתב והחיבור האלחוטי, ומגבילים גישה בין אורחים, ציוד חכם ומחשבי עבודה. במקביל מעדכנים את המכשירים ומגינים על החשבונות שדרכם ניגשים למידע. הפעולות משלימות זו את זו: מכשיר לא מוגן עלול לסכן מידע גם כשהנתב מוגדר כראוי. לפני שמשלמים על הגנה למחשב, בדקו מה McAfee כוללת ומהם תנאי החידוש.
האיומים כוללים הצטרפות לא מורשית לרשת, ניצול תוכנה שלא עודכנה, השתלטות על ציוד וחשיפה של קבצים למי שלא אמור לראות אותם. לפי המרכז לאבטחת האינטרנט (CIS), נתב או מחשב שנפרצו עלולים להפוך לחלק מרשת בוטנט שמשמשת לתקיפת מערכות אחרות. זהו סיכון שרלוונטי גם לעבודה מהבית, כפי שמוסבר בהנחיות לאבטחת רשתות במשרדים קטנים.
לפני שינוי הכינו גישה מורשית להגדרות הנתב, את הוראות היצרן וגיבוי של ההגדרות הקיימות. אם ספק האינטרנט או איש המחשוב מנהלים את הציוד, תיאמו איתם את השינוי. שינוי הגדרות האבטחה עשוי לדרוש חיבור מחדש של מכשירים, ולכן בעסק רצוי לקבוע מועד שבו אפשר לבדוק שהעבודה חוזרת לפעול.
לסקירה רחבה יותר של סוגי האיומים והמושגים אפשר לקרוא את ההסבר על אבטחת מידע והאיומים שחשוב להכיר.
| אמצעי ההגנה | התפקיד שלו | מה לבדוק בהגדרה |
|---|---|---|
| סיסמת ניהול הנתב | מגבילה גישה לשינוי הגדרות הנתב | סיסמה ייחודית שהוחלפה מברירת המחדל |
| סיסמת הרשת האלחוטית | מגבילה הצטרפות של מכשירים לרשת | סיסמה חזקה ונפרדת מסיסמת הניהול |
| הצפנה אלחוטית | מקשה על אחרים לקרוא מידע המשודר ברשת | בחירה ב־WPA3 או ב־WPA2 בהתאם לתמיכה |
| עדכוני הנתב | שומרים את תוכנת הנתב מעודכנת | בדיקת עדכונים אצל היצרן או ספק האינטרנט |
| רשת אורחים | מאפשרת חיבור נפרד למבקרים | שם וסיסמה נפרדים והפרדה מהרשת הראשית |
| חומת אש | מוסיפה שכבת הגנה לנתב ולרשת | שהאפשרות מופעלת בהגדרות הנתב |
מקור: רשות הסחר הפדרלית של ארצות הברית
שלבים ראשונים: מיפוי המכשירים והאחראים
- רשמו את הציוד שמתחבר לרשת: מחשבים, טלפונים, מדפסות, מצלמות, ציוד אחסון ומכשירים חכמים. כללו גם מכשירים אישיים שמשמשים לעבודה וחיבורים מרחוק.
- לכל מכשיר ציינו מי משתמש בו, למה הוא נחוץ ומי אחראי לעדכונים שלו. בעסק, הפרידו ברשימה בין ציוד שבבעלות העסק לבין ציוד של עובדים או מבקרים.
- בדקו מכשירים שאינכם מזהים לפני שמחליטים מה לעשות בהם. המטרה היא להגיע לרשימה מוסברת של הציוד המורשה ולזהות ציוד שאינו מנוהל.
מיפוי כזה הוא הבסיס לבקרה: קשה להחליט מה לעדכן או להפריד כשלא יודעים מה מחובר. הנחיות ניהול הנכסים של המרכז לאבטחת האינטרנט כוללות גם ציוד שמתחבר פיזית, מרחוק ובסביבות ענן.
בעסק, הוסיפו לרשימה מי רשאי לשנות הגדרות ומי מאשר חיבור של ציוד חדש. אפשר לשלב את חלוקת האחריות בתוך נהלי אבטחת המידע של העסק, כדי שהטיפול לא יהיה תלוי בזיכרון של עובד מסוים.
המשך ההגדרה: סיסמאות, עדכונים ואבטחת רשת אלחוטית
- שמרו גיבוי של הגדרות הנתב לפי הוראות היצרן. בדקו שיש עדכון לתוכנה הפנימית שלו, המכונה קושחה, והפעילו עדכונים אוטומטיים אם קיימת אפשרות מתאימה.
- הגדירו סיסמה ייחודית לניהול הנתב וסיסמה נפרדת לחיבור לרשת האלחוטית. הראשונה מאפשרת לשנות הגדרות; השנייה מאפשרת למכשירים להצטרף לרשת.
- בחרו בהגדרות האבטחה WPA3 Personal כאשר הציוד תומך בכך. כשנדרשת תאימות למכשירים ישנים, בדקו מצב WPA2/WPA3 Transitional; אם הוא אינו מתאים, אפשר להשתמש ב־WPA2 Personal עם AES. הימנעו מ־WEP, מ־TKIP ומרשת פתוחה.
- ודאו שחומת האש בנתב מופעלת. בדקו גם ניהול מרחוק ואת האפשרויות WPS ו־UPnP, וכבו אותן כשאינן נחוצות. בציוד עסקי מנוהל יש לברר את השימוש בהן לפני השינוי.
ההבחנה בין הסיסמאות וההמלצות לחומת אש ולצמצום תכונות מופיעות במדריך רשות הסחר הפדרלית לאבטחת רשת ביתית. את מצבי ההצפנה וההתאמה לציוד ישן מפרטת Apple בהגדרות המומלצות לנתבים ולנקודות גישה.
לפי רשות הסחר הפדרלית, WPS מחבר מכשירים בלחיצת כפתור במקום בסיסמה, UPnP מאפשר למכשירים לאתר זה את זה ברשת, וניהול מרחוק מאפשר לשנות את הגדרות הנתב דרך האינטרנט. המדריך ממליץ לכבות את שלושתן, וכן לרשום את הנתב אצל היצרן כדי לקבל הודעות על עדכונים.
הסתרת שם הרשת אינה מגינה מפני גישה לא מורשית, וגם סינון לפי כתובת החומרה של המכשיר אינו בסיס מספק להגנה. לפי Apple, אפשר להעתיק או לזייף כתובות כאלה. התמקדו בהצפנה, בסיסמה ובעדכונים, ובדקו את ההגדרה בכל נקודת גישה שמשרתת את הרשת.
הפרדת אורחים ומצלמות ממחשבי העבודה
- הקימו רשת אורחים בעלת שם וסיסמה נפרדים, בהתאם ליכולות הנתב. בדקו בהוראות היצרן שההגדרה מגבילה גישה לרשת הראשית, ולא הסתפקו בשם שונה.
- שקלו רשת נפרדת למצלמות ולציוד חכם. הגדירו את הגישה הדרושה לשימוש בהם, ובדקו שההפרדה אינה מאפשרת מעבר חופשי למחשבי העבודה.
רשת אורחים מצמצמת את הצורך למסור למבקרים את סיסמת הרשת הראשית, ותוכנה זדונית במכשיר של אורח נשארת מחוץ לרשת הראשית. הפרדה של מצלמות יכולה גם לצמצם את הגישה אליהן ממחשב שנפרץ, כפי שממליצה רשות הסחר הפדרלית בהנחיות לאבטחת מצלמות.
נניח שבמשרד קטן יש מחשבי עובדים, מצלמות ומבקרים שצריכים אינטרנט. אפשר לתכנן חיבור נפרד למבקרים, ולהגדיר עם איש המחשוב איך העובדים המורשים ניגשים למצלמות. זו דוגמה לתכנון אפשרי; ההגדרות בפועל תלויות בציוד ובשימושים.
אם ההפרדה מונעת הדפסה או צפייה במצלמה, הגדירו במפורש איזו גישה דרושה. בעסק, בקשו מאיש המחשוב לתעד מי צריך להגיע לאיזה שירות ולבדוק שהפתרון מאפשר את הפעולה הנחוצה בלי לפתוח מחדש גישה לכל המכשירים.
הגנת המחשבים והחשבונות שמתחברים לרשת
- עדכנו מערכות הפעלה, דפדפנים ויישומים. ודאו שהגנת הנוזקות וחומת האש במחשב פעילות. תוכנה שאינה מקבלת עוד עדכוני אבטחה דורשת פתרון חלופי נתמך.
- הגנו על החשבונות החשובים באמצעות מפתחות גישה, כשיש תמיכה, או סיסמאות חזקות ואימות דו־שלבי. התחילו בחשבונות שמחזיקים מידע עסקי או מאפשרים לנהל אותו.
- בדקו הרשאות והסירו גישה שאינה נדרשת עוד. כללו בבדיקה חשבונות של עובדים, מנהלים וספקים שמקבלים גישה למערכות.
חומת אש חוסמת חיבורים לא רצויים, ועדכוני תוכנה מתקנים חולשות שתוקפים עלולים לנצל. אלה חלק מהנחיות מרכז הסייבר הבריטי להגנת מכשירים. הגנה על חיבור הרשת אינה מבטלת את הצורך להגן גם על הכניסה לחשבונות.
מרכז הסייבר הבריטי ממליץ בנפרד, בהנחיות להגנה על חשבונות חשובים, להפעיל מפתחות גישה בחשבונות קריטיים לעסק כשהם זמינים, כי הם מגינים מפני מתקפות דיוג נפוצות. בחשבונות שאינם תומכים בהם מומלץ לשלב סיסמה חזקה וייחודית עם אימות דו־שלבי, וגם סוג אימות חלש יותר עדיף על העדר אימות. להפעלת האימות בשירותים נפוצים היעזרו במדריך להפעלת אימות דו־שלבי ולשמירת גיבוי.
ניהול ההרשאות צריך לכלול גם ביטול גישה כשהצורך בה מסתיים, בהתאם לעקרונות ניהול הגישה של המרכז לאבטחת האינטרנט.
גיבוי ובדיקות השלמה לפני שחוזרים לעבודה
- גבו את המידע הדרוש לפעילות, ובדקו שאתם יודעים לשחזר אותו. אם הגיבוי נמצא בכונן חיצוני, נתקו אותו מהמחשב כשאינו בשימוש; נוזקות עלולות לפגוע גם בהתקני אחסון מחוברים.
- לאחר השינויים בדקו גלישה, הדפסה וגישה למערכות הדרושות לעבודה. בדקו בנפרד גם את חיבור האורחים ואת ההגבלות שהגדרתם לו.
הנחיות הגיבוי של מרכז הסייבר הבריטי מדגישות שצריך לבדוק שהגיבוי מכיל את המידע החשוב ולדעת איך לשחזר אותו. גיבוי מסייע להתאושש מאובדן מידע או מכופרה, ולכן הוא חלק מההיערכות גם לאחר שהרשת הוגדרה.
לפני סיום, ודאו שכל סעיף ברשימה קיבל מענה:
- רשימת הציוד מוכרת ומעודכנת, ויש אחראי לטיפול בו.
- הנתב עודכן, והוגדרו סיסמאות נפרדות לניהול ולחיבור.
- ההצפנה וחומת האש פעילות.
- נבדקה הפרדת האורחים והציוד שהוחלט להפריד.
- המחשבים והחשבונות החשובים מוגנים, וההרשאות נבדקו.
- הגיבוי זמין ונבדקה אפשרות השחזור.
בעסק, תעדו מה שונה ומי מטפל בהתראות. הנחיות הניטור וההגנה על הרשת מתייחסות למעקב מתמשך כחלק מההגנה על התשתית והמשתמשים.
פתרון תקלות בלי לבטל את ההגנה
אם מכשיר מפסיק להתחבר אחרי שינוי ההצפנה, בדקו תחילה אם הוא תומך במצב שנבחר. במקרה הצורך הסירו מהמכשיר את הרשת השמורה והתחברו מחדש. מצב המעבר WPA2/WPA3 עשוי להתאים לציוד ישן; הימנעו מהפיכת הרשת לפתוחה כדי לפתור את התקלה.
אם מצלמה אינה נגישה אחרי הפרדת הרשתות, בדקו בהוראות היצרן איך אמורים לצפות בה. בחנו גם את סיסמת החשבון, העדכונים והרשאות הצפייה מרחוק. ההפרדה אינה מחליפה את ההגנה על המצלמה ועל החשבון שמפעיל אותה. אם אתם שוקלים תוכנת אבטחה למחשבים, קראו מה Norton מציעה ומה לבדוק לפני מנוי.
כשאין גורם שיודע להסביר את הגדרות העסק, הכינו לאיש המחשוב רשימת שאלות קונקרטית: איזה ציוד אינו נתמך, מי יכול לנהל את הנתב, אילו מכשירים נגישים לאורחים, ואיך נבדק השחזור. אפשר להיעזר בהסבר על ביקורת אבטחת מידע לעסק כדי להגדיר את הבדיקה ולבקש תיעוד של הממצאים והתיקונים הנדרשים.
מקורות
- רשות הסחר הפדרלית: אבטחת רשת אלחוטית ביתית
- Apple: הגדרות מומלצות לנתבים ולנקודות גישה
- המרכז לאבטחת האינטרנט: אבטחת עבודה מרחוק ומשרדים קטנים
- המרכז לאבטחת האינטרנט: מיפוי ובקרה של ציוד ארגוני
- רשות הסחר הפדרלית: אבטחת מצלמות ביתיות
- מרכז הסייבר הבריטי: הגנה על מכשירים בארגונים קטנים
- מרכז הסייבר הבריטי: הגנה על חשבונות מקוונים חשובים
- המרכז לאבטחת האינטרנט: ניהול הרשאות גישה
- מרכז הסייבר הבריטי: גיבוי מידע ושחזור
- המרכז לאבטחת האינטרנט: ניטור והגנה על רשתות
