הצעדים המרכזיים להגנה על מערכת פריוריטי
- צמצום גישה והתחברות מאובטחת הצעד הראשון והאפקטיבי ביותר בהגנה על המערכת הוא פשוט לצמצם את משטח התקיפה שלה. מכיוון שכל שירות שפתוח לעולם הרחב מהווה מטרה פוטנציאלית לתוקפים, הדרך הבטוחה ביותר היא למנוע גישה ישירה ובלתי מבוקרת מבחוץ. המשמעות היא לאפשר לעובדים ולמשתמשים השונים להתחבר למערכת הפריוריטי אך ורק לאחר שהם התחברו לרשת הווירטואלית הפרטית של הארגון (VPN) או כאשר הם נמצאים פיזית בתוך רשת המשרד. גישה תשתיתית זו מבטיחה שהמערכת כלל אינה חשופה לאינטרנט הפתוח, ובכך מצמצמת דרסטית את הסיכון לניסיונות סריקה, פריצה או חדירה בלתי מורשית מצד גורמים עוינים.
- הגנה על ידי מערכת WAF שכבת מגן קריטית נוספת לכל מערכת מבוססת ווב היא מערכת WAF (Web Application Firewall). תפקידה המרכזי של מערכת זו הוא לבחון בקפידה כל פיסת מידע ובקשה המגיעה אל שרת הפריוריטי ולסנן תקשורת אפליקטיבית בעלת אופי זדוני. טכנולוגיה זו מספקת הגנה חכמה ופעילה בזמן אמת, והיא חוסמת אוטומטית מגוון רחב של איומים מתקדמים. בין היתר, המערכת מונעת ניסיונות של הזרקת קוד לבסיס הנתונים (SQL Injection), מסננת פקודות HTTP חריגות ובולמת מתקפות עומס (DDoS) שנועדו להפיל את השרת ולהשבית את העבודה בארגון.
- העברת שרת הפריוריטי ווב ל-DMZ כאשר פותחים את הגישה לשרת ה-Priority Web לאינטרנט החיצוני, חושפים אותו למעשה לתוקפים שמנסים ללא הרף לאתר חולשות, לפגוע בשרת או אפילו להשתלט עליו לחלוטין. כדי למזער את הנזק הפוטנציאלי במקרה שבו תוקף מצליח לפרוץ את מעטפת ההגנה הראשונית, חובה לבודד את השרת ברמת הארכיטקטורה של הרשת. ההמלצה היא למקם את שרת הפריוריטי תחת אזור רשת מבודד ונפרד (DMZ), המופרד מהרשת הפנימית הרגישה על ידי חומת האש (FW) הארגונית. תצורה נכונה זו מבטיחה שגם אם תהיה פגיעה בשרת הפריוריטי עצמו, לתוקף לא תהיה שום אפשרות לדלג ולגשת לשאר השרתים והמחשבים ברשת המקומית ללא חצייה נוספת של מערך האבטחה.
- פשוט וחשוב: הגדרות פנימיות במערכת לצד פתרונות התשתית והסייבר המתקדמים ביותר, אסור להזניח את אבני היסוד של אבטחת המידע שנמצאות בתוך מערכת הפריוריטי עצמה. יש להקפיד וליישם את ההגדרות הבאות:
- מדיניות נעילת כניסה: חובה להגדיר בצורה מוקפדת את מספר הניסיונות הכושלים המותרים להזנת סיסמה, לקבוע את חלון הזמן לספירת כשלים אלו, ולהגדיר כמה זמן יינעל המשתמש באופן אוטומטי. פעולות אלו מונעות מתקפות ניחוש סיסמאות שיטתיות.
- קביעת מדיניות סיסמאות: יש להכריח את העובדים לעמוד בסטנדרט אבטחה גבוה על ידי קביעת תוקף מקסימלי לסיסמה (המחייב החלפה תקופתית), דרישה לאורך סיסמה מינימלי, וחיוב במורכבות סיסמה הכוללת שילוב של אותיות, מספרים ותווים מיוחדים.
חשוב מאוד לוודא שהגדרות אלו אינן נשארות כהמלצה בלבד, אלא מיושמות בפועל כך שיתאימו למדיניות אבטחת המידע הכוללת והמחמירה של הארגון.
