בלחימה מול איראן, החזית הפיזית שקטה לפרקים; אך החזית הדיגיטלית אינה עוצרת לרגע. בזמן שטילים נבלמים בשמיים, מתקפות סייבר עוקפות גבולות גיאוגרפיים ופוגעות ישירות בעורף האזרחי והעסקי.
קבוצות תקיפה איראניות, בשירות משמרות המהפיכה, פועלות מסביב לשעון כדי לייצר נזק, בלבול ותודעה על מנת לתמרן תשתיות אזרחיות, ארגונים עסקיים ובכירים במשק. בניגוד לפשיעת סייבר קלאסית שמונעת מרווח כספי, רוב הפעילות האיראנית מכוונת להשפעה, הרתעה ופגיעה תודעתית.
שתי הטעויות ה"יקרות" בארגון הן ההנחה שעובד חייב להקליק על קישור זדוני כדי לחשוף את הארגון – ושהוא לא יעשה זאת. אלו הנחות שגויות: בעידן הבינה הג'נרטיבית יותר קל לשטות בעובד, וממילא ישנם עוד מגוון וקטורים ונתיבי כניסה לארגון. השאלה היחידה היא מה יתרחש ביום הפריצה ולוודא שטעות אחת לא תחשוף את כלל נכסי הארגון.
עם מה אנחנו מתמודדים: מפת איום הסייבר האיראני
כדי להבין עם מה מדינת ישראל מתמודדת היום בחזית הסייבר האיראנית, חשוב להבין את מפת איומי הסייבר האיראנית, אשר מורכבת מכמה וקטורי תקיפה שחוזרים שוב ושוב באירועים אמיתיים בעולם:
- מאגרי מידע חשופים
מאגרי מידע שנשארו פתוחים לאינטרנט בגלל תקלה בהגדרות או חוסר תשומת לב. ברגע שהן נכנסות, הן מתקדמות במערכות בשלבים ("תנועה רוחבית") כדי לאתר מידע רגיש אותו התוקפים נוטים לפרסם באופן פומבי , דבר שיכול לגרום לארגונים לנזקי מוניטין גדולים..
מה אפשר לעשות:
- מיפוי נכסים חיצוניים (Attack Surface)
- סגירת אינדקסים ציבוריים
- הפעלת (CSPM) Cloud Security Posture Management בסיסי
- עבודה עם IaC עם Policy as Code כדי למנוע טעויות כבר בתהליכי הפיתוח המוקדמים
- מוחקי מידע (Wipers)
בניגוד לקבוצות כופר פליליות, כאן לא תמיד יש מטרה כלכלית. שימוש ב-Wipers נועד למחוק מידע לחלוטין- ללא אפשרות שחזור. מתקפות כמו BibiWiper המחישו את היכולת הזו.
מה אפשר לעשות:
- גיבויים בלתי ניתנים לשינוי (Immutable)
- בדיקות שחזור רבעוניות (וידוא יכולת התאוששות)
- מערכות EDR במצב חסימה (ולא רק זיהוי) למדיניות מחיקה המונית או סקריפטים חשודים
- פגיעה בתשתיות קריטיות
מערכות תעשייתיות המנהלות מים, חשמל, ייצור ומזון הן יעד אסטרטגי. פגיעה בהן מייצרת השפעה לאומית ותודעתית רחבה. כבר נרשמו מספר נסיונות כאלו מצד תוקפים איראנים.
מה אפשר לעשות:
- הפרדה מלאה בין רשת ארגונית לרשת ייצור
- מיפוי מדויק של מערכות קריטיות
- ניטור אנומליות בסביבות תפעוליות (OT)
- אישור כפול לשינויי הגדרות או כיבוי ציוד רגיש
- פריצה לטלפונים וחשבונות של בכירים
מתבצעים ניסיונות חדירה לחשבונות ומכשירים של מנהלים ואישי ציבור באמצעות הודעות התחזות ממוקדות ואיסוף מודיעין מוקדם. הקלקה אחת עלולה להספיק כדי לעקוף חלק מההגנות.
מה אפשר לעשות:
- הפרדת חשבונות אישיים וארגוניים
- MFA חזק או Passkeys
- מכשירים מוקשחים לבכירים
- מדיניות גישת ניהול מאובטחת ומתועדת בלבד
- מתקפות מניעת שירות והשחתת אתרים
מתקפות DDoS והשחתות אתרים נועדו בעיקר לייצר רעש תקשורתי ולהמחיש "נוכחות". לעיתים הנזק זמני, אך תחת עומס או אתחול חירום עלולות להיווצר פרצות משניות.
מה אפשר לעשות:
- שימוש ב WAF וCDN
- תוכנית DDoS-Ready מסודרת
- אתר גיבוי חלופי
- תוכנית התאוששות (DR) גם לאתרי תדמית ושירותים קריטיים
טעות אנוש היא הנחת עבודה: לא תקלה נדירה
במוקדם או במאוחר עובד יקליק על קישור לא נכון, יקליד פרטים במקום מסוכן או יוריד קובץ מזיק.
זה לא בהכרח חוסר זהירות, אלו תוקפים שעובדים במשרה מלאה כדי להיראות אמינים, עם מסרים שמלוטשים באמצעות GenAI ועוברים את "מבחן העין".
ארגון שמאמין שהדרכות מודעות לבדן יעלימו את הסיכון; טועה. מניעת 100% טעויות אינה ריאלית. מה שריאלי הוא לדאוג שמנגנוני ההגנה יוודאו שהקלקה אחת לא תפתח את כל הדלתות.
שכבה ועוד שכבה: להקשות על גישה לא מורשית
מודל ההגנה בשכבות (Defense in Depth) נועד כדי לדאוג שהתוקף יהיה מוגבל ככל הניתן לאחר חדירה, אך לא נועד כדי למנוע מהתוקף להיכנס. הוא לא עונה על השאלה "איך נמנע כניסה", אלא "כמה רחוק תוקף עלול להגיע".
במודל ההגנה בשכבות המהות היא לא להסתמך על שכבה אחת, אלא לבנות מערך שבו כל שלב בשרשרת התקיפה מהווה מחסום נוסף.
היררכיית שכבות ההגנה כוללת:
- שכבת זהות – MFA, ניהול הרשאות
- שכבת רשת – סגמנטציה והפרדה
- שכבת תחנות קצה- EDR
- שכבת דוא"ל וגלישה – סינון ואנטי־פישינג
- שכבת שרתים – הקשחה וקונפיגורציה מאובטחת
- שכבת ניטור – SIEM/SOC
- שכבת התאוששות – גיבויים ו-DR
הדרך הבטוחה ביותר: לא לסמוך על שום דבר
מודל ה Zero Trust (אפס אמון) מבוסס על הנחה בסיסית: אין אמון אוטומטי בתוך הארגון, גם לא ברשת הפנימית או במשתמשים מוכרים. כל גישה, כל בקשה וכל מערכת נבדקים בכל רגע, ומקבלים גישה רק אם היא נדרשת ומאושרת.
אימוץ המודל בארגון משנה את הדרך בה ניגשים לאבטחה: הרשאות מצומצמות למינימום הנדרש, אימות רב־שלבי חובה, הפרדה ברשתות ובסביבות קריטיות, ומעקב רציף אחר פעילות חריגה.
אם תוקף מצליח להיכנס, ההשפעה שלו מוגבלת, הגישה מבודדת וניטור מיידי מזהה כל ניסיון תנועה חריגה. Zero Trust אינו רק פרקטיקה טכנולוגית; אלא שינוי תפיסתי מלא, שמבטיח שכל שכבת הגנה פועלת, כל הזמן, ומקטין את הסיכון מניצול טעויות אנוש או פרצות במערכות.
בדיקת מציאות: מבדקי PT כבטוחה לרמת האבטחה בארגון
יישום תפיסות של מודלים כמו "הגנה בשכבות" ו"אפס אמון" מהווים מסגרת חזקה, אך כדי שארגון באמת יצליח לוודא שהכל מתפקד, עליו לבצע מבדקי חדירה (Penetration Tests) סדירים.
מבדקים אלה מתבצעים על ידי מקצוענים שיודעים לחשוב כמו תוקף, תוך כדי שימוש ביצירתיות שמטרתם היא לאתר את נקודות התורפה של הארגון: ברשת, בהרשאות ובמערכות השונות והמגוונות.
מבדקי חדירה מהווים את הצורה המציאותית ביותר לוודא שכל שכבה אכן מונעת או מגבילה חדירה, ומכינה את הארגון להתמודד עם האירוע הבא בצורה מבוקרת.
לסיכום: זה בידיים שלנו
העורף הדיגיטלי הפך לחזית. ההבנה שזה רק עניין של זמן עד שתוקף יצליח להיכנס היא קריטית.
בניית ארכיטקטורת הגנה בשכבות, לצד אימוץ גישת Zero Trust ועריכת בדיקות חדירות שוטפות, מבטיחים צמצום מוקדם של משטח התקיפה ומקטינים משמעותית את יכולת התנועה של התוקף; ובכך מפחיתים את הסבירות להתפשטות בתוך הרשת.ההבדל בין אירוע משתק לאירוע מנוהל אינו תלוי מאוד בעומק ההגנה שנבנה מראש. החזית כבר כאן. השאלה היא כמה אנחנו מוכנים לרגע שבו תוקף יצליח להיכנס לרשת.
אנחנו לרשותכם בכל שאלה.
עידן כהן, מנהל תחום הסייבר ההתקפי והחדשנות EY
