ספק שירותי IT מנוהלים (MSP) שמנהל חומות אש עבור לקוחות רבים מכיר היטב את השגרה: כל לקוח עם מכשיר משלו, ממשק ניהול נפרד, פרטי התחברות נפרדים ותיבת התראות שמתמלאת מהר יותר ממה שאפשר לקרוא. התוצאה צפויה. ההתראות החשובות נבלעות ברעש, הבדיקות נעשות רק כשהלקוח מתקשר, והשירות הופך מתגובתי לכבאי.
הבעיה היא לא מחסור במידע. חומות אש מייצרות כמויות גדולות של לוגים, אירועים ונתוני תעבורה. הבעיה היא היכולת להפוך את המידע הזה לתמונה אחת ברורה, ומשם לפעולה.
קונסולה אחת לכל הלקוחות
הצעד הראשון הוא לרכז. BlueNOC, פלטפורמת ניטור אבטחה רציף לחומות אש, מציגה את כל הלקוחות ואת כל חומות האש במסך אחד. לכל מכשיר מוצגים ציון אבטחה, מצב הקושחה, רישוי, עומס תעבורה, יציבות קו ומועד הסריקה האחרונה. מסננים מהירים מאפשרים לראות מיד אילו מכשירים מנותקים, אילו נמצאים בעומס גבוה ואצל מי הרישוי בסיכון.
המערכת תומכת בחומות אש Check Point Quantum Spark (דגמי 1500, 1600, 1800 ו-2000) וב-Fortinet FortiGate. הניטור הוא לקריאה בלבד ואינו דורש התקנת סוכן על תחנות הקצה, כך שצירוף לקוח חדש לא מחייב פרויקט התקנה אצלו.
הצלבה במקום רעש של התראות
ההבדל המהותי בין ניטור שימושי לבין עוד מקור של התראות הוא ההצלבה. במקום לשלוח התראה על כל אירוע בנפרד, BlueNOC מצליבה בין תצורה, לוגים, תעבורה, פעילות VPN, גרסאות קושחה ומודיעין איומים, כדי לזהות סיכונים אמיתיים, להסביר את שורש הבעיה ולומר לטכנאי מה לעשות. כמה דוגמאות:
- C2 ו-beaconing. תעבורה יוצאת מחזורית מוצלבת עם סיווגי Botnet ו-C2 של FortiGuard, עם המוניטין של היעד ועם דפוס ההתנהגות.
- Brute force. מאות התחברויות VPN כושלות מקובצות לאירוע אחד, שנבדק מול קיום MFA, הגבלות גאוגרפיות ומידת החשיפה של ה-VPN.
- יציבות VPN. שגיאות ב-Tunnel של VPN מוצלבות עם תקינות ה-WAN וה-SD-WAN, כדי לקבוע אם הבעיה ב-VPN עצמו, בצד המרוחק או בקו האינטרנט.
- חשיפת ממשק הניהול. ניסיונות התחברות לממשק הניהול מוצלבים עם השאלה האם הממשק חשוף ל-WAN ואם מוגדרים Trusted Hosts.
דוגמה לממצא כזה: נפילת WAN שאומתה גם על ידי חומת האש וגם על ידי בדיקת קישוריות חיצונית. BGP ושני Tunnel של IPsec שנפלו באותו זמן סווגו כתוצאות של אותה תקלה, ולא כתקלות נפרדות. רמת הביטחון בממצא הייתה 97%, באימות של שני מקורות בלתי תלויים. עבור טכנאי במוקד, זה ההבדל בין שלוש קריאות פתוחות שכל אחת נחקרת בנפרד לבין ממצא אחד עם סיבה ברורה.
מממצא לתיקון מודרך
זיהוי טוב הוא רק חצי מהעבודה. החצי השני הוא תיקון, ושם רוב ה-MSP נתקלים בצוואר בקבוק: לא כל טכנאי שולט ב-FortiOS, והמומחים הבכירים הופכים לנקודת תלות.
כאן נכנס BlueNOC Admin Mode. טכנאי יכול להתחיל ישירות מממצא, ללחוץ על "הכן תיקון", לענות על כמה שאלות פשוטות בעברית ולקבל תוכנית שינוי מדויקת שמציגה מה ישתנה ומה עלול להיות מושפע. הכלי לא ממציא ערכים, כל פרמטר מגיע מתצורת המכשיר או מתשובה מפורשת של הטכנאי. לפני שינוי שעלול להשפיע על הגישה לניהול נבדקות הגדרות הגישה החיות, ואם הבטיחות לא מאומתת הביצוע נחסם. לפני כל שינוי נשמר גיבוי של התצורה על מחשב הטכנאי, עם שם הלקוח, פרטי המכשיר והתאריך, וכל פעולה נרשמת.
לרשת של לקוחות רבים יש לכך משמעות כפולה. ראשית, טכנאים פחות מנוסים יכולים לטפל במשימות שגרתיות בצורה בטוחה. שנית, כל שינוי מתועד באופן אחיד: חוקים שנוצרו דרך BlueNOC מופיעים ברשימה ייעודית עם מי יצר, מתי ומספר התוכנית, ואפשר לבטל אותם דרך תוכנית ביטול שעוברת את אותן בדיקות. חשוב לציין שהניטור עצמו נשאר לקריאה בלבד, עם חשבון ייעודי, וסיסמת ה-Administrator לא נשמרת ולא משמשת לסריקות.
איך מתחילים: הטמעה הדרגתית אצל הלקוחות
MSP לא צריך לחבר את כל הלקוחות ביום אחד. גישה מעשית היא להתחיל במספר מצומצם של לקוחות שבהם הסיכון ברור, למשל לקוחות עם VPN נגיש מהאינטרנט, עם עובדים רבים מרחוק או עם חומות אש שלא עודכנו זמן רב. כך הצוות לומד את הממצאים, מגבש נהלי טיפול ורק אז מרחיב לשאר הלקוחות.
כדאי להגדיר מראש כמה כללי עבודה:
- מי בצוות עובר על הקונסולה בכל בוקר, ומה עושים עם מכשיר שמופיע כמנותק.
- אילו סוגי ממצאים מטופלים מיד, ואילו נאספים לשיחה התקופתית עם הלקוח.
- אילו משימות טכנאי זוטר רשאי לבצע דרך התיקון המודרך, ואילו דורשות אישור של טכנאי בכיר.
- איך מדווחים ללקוח על ממצא שטופל, כך שהערך של השירות יהיה גלוי לו.
- מה עושים כשאותו ממצא חוזר אצל כמה לקוחות, ומי מחליט על טיפול רוחבי.
הערך העסקי: מעבר לשירות יזום
עבור MSP, השאלה היא לא רק טכנית. לקוחות משלמים על שקט נפשי, ושקט נפשי נבנה מהתראה מוקדמת ולא מתגובה מהירה לתקלה שכבר קרתה. כשה-MSP מגיע ללקוח עם ממצא, הסבר וגם תוכנית תיקון, הוא מציג שירות שונה מהותית: לא "קיבלנו את הקריאה שלך", אלא "זיהינו ניסיונות התחברות חשודים ל-VPN וכבר הידקנו את ההגדרות".
הדבר בולט במיוחד בהקשר של כופרה. ההצפנה היא לרוב לא הסימן הראשון למתקפה. לפניה מופיעים ניסיונות התחברות, תעבורה חריגה, תקשורת C2, שינויי תצורה, פעילות VPN חשודה ואירועי IPS. MSP שרואה את הסימנים האלה בזמן אצל כל הלקוחות שלו מספק ערך שקשה להשיג בדרך אחרת.
שאלות נפוצות של ספקי שירות
האם צריך להתקין משהו אצל הלקוח?
לא על תחנות הקצה. הניטור עובד במצב קריאה בלבד ואינו דורש התקנת סוכן, ולכן צירוף לקוח לא הופך לפרויקט התקנה.
מה קורה אם טכנאי מבצע שינוי שגוי?
לפני כל שינוי נשמר גיבוי של התצורה, ושינויים שבוצעו דרך המערכת ניתנים לביטול בתוכנית ביטול שעוברת את אותן בדיקות בטיחות ואישור מפורש.
ספקים ותיקים בתחום, כמו R-Net, שמספקת שירותי IT וענן מרחוק לעסקים מאז 2003, או חברות שירותי מחשוב לעסקים אחרות, יודעים שהבידול האמיתי בשוק הוא היכולת להיות צעד לפני הלקוח. כלי שמרכז, מצליב ומוביל עד לתיקון הופך את היכולת הזו לשגרה.
BlueNOC מפותחת ומופצת על ידי חברת איי.פי מחשבים, והחזון שלה מסוכם במשפט From Detection to Resolution: לא עוד התראה בתיבה, אלא דרך מסודרת מזיהוי ועד פתרון.
