טכניקות בלימת התקפות
בלימה אפקטיבית מגבילה את ההיקף וההשפעה של התקפות סייבר, מונעת התפשטות ומעניקה זמן לחקירה ולתיקון מלאים.
מושג ומטרה
בלימה נועדה לעצור או להגביל את התקדמותה של התקפה מתמשכת. היא שונה ממניעה (מניעת ההתקפה הראשונית) ומתיקון (סילוק שורש הבעיה לאחר התקפה).
המטרה היא למזער נזק, להגן על נכסים קריטיים ולהרוויח זמן לתגובה מלאה.
טכניקות נפוצות
בידוד רשת: בידוד מערכות שנפגעו ל-VLANs נפרדים או ניתוקן מהרשת.
חומת אש: חסימת תעבורה זדונית באמצעות חוקי חומת אש (לדוגמה חסימת IPs, פורטים או פרוטוקולים מסוימים).
ACLs: שימוש ב-Access Control Lists (ACLs) בנתבים ובמתגים כדי להגביל גישה למשאבים קריטיים.
השבתת חשבונות: השבתת חשבונות משתמש שנפגעו כדי למנוע גישה נוספת.
סיום תהליכים: סיום תהליכים זדוניים הפועלים על מערכות שנפגעו.
הסגר קבצים: בידוד קבצים זדוניים שזוהו ב הסגר כדי למנוע הרצה.
בידוד רשת
בידוד מערכות שנפגעו מונע התפשטות רוחבית למערכות אחרות.
ניתן לעשות זאת ידנית (ניתוק כבל הרשת) או אוטומטית (העברה ל-VLAN מבודד באמצעות תוכנה).
חשוב לתעד ולתקשר את הבידוד כדי למנוע שיבוש בלתי מכוון של שירותים לגיטימיים.
חומת אש ו-ACLs
חומת אש ו-ACLs משמשות לחסימת תעבורה זדונית על בסיס חוקים.
חוקים יכולים להתבסס על IPs, פורטים, פרוטוקולים, דפוסי תעבורה או מאפיינים אחרים.
חשוב לבדוק את החוקים לפני הטמעתם בסביבת ייצור כדי למנוע שיבוש של שירותים לגיטימיים.
השבתת חשבונות
השבתת חשבונות שנפגעו מונעת מתוקפים גישה למערכות ולנתונים.
חשוב לעקוב אחר נהלים כדי להבטיח שההשבתה לא תשפיע על משתמשים או מערכות אחרים.
יש לחקור חשבונות מושבתים כדי לקבוע את סיבת הפגיעה ו ליישם אמצעי מניעה.
סיום תהליכים
סיום תהליכים זדוניים מונע מהם להמשיך לבצע פעולות זדוניות.
חשוב לזהות תהליכים לגיטימיים כדי למנוע שיבוש שירותים.
יש לנתח תהליכים שהסתיימו כדי לקבוע את סיבת ההרצה ו ליישם אמצעי מניעה.
הסגר קבצים
בידוד קבצים זדוניים מונע מהם להיות מורצים או לגרום נזק.
יש לנתח קבצים בהסגר כדי לקבוע את סיבת ההדבקה ו ליישם אמצעי מניעה.
חשוב לעקוב אחר נהלים כדי להבטיח שקבצים לגיטימיים לא יוכנסו להסגר בטעות.
אוטומציה
אוטומציה של טכניקות בלימה מאיצה את התגובה ומפחיתה את ההשפעה של התקפות.
כלי SIEM, EDR ו-SOAR יכולים להפוך לאוטומטיים את בידוד הרשת, חסימת תעבורה והשבתת חשבונות.
חשוב להגדיר ולבדוק את האוטומציה כדי להבטיח שהיא פועלת כראוי ו אינה גורמת לשיבוש שירותים לגיטימיים.
בדיקות וסימולציות
בדיקה וסימולציה של טכניקות בלימה מבטיחות שהן פועלות כראוי ושהצוותים מוכנים להגיב להתקפות.
בדיקות חדירה ותרגילי סימולציה יכולים לזהות כשלים בנהלים ובכלי הבלימה.
יש להשתמש בתוצאות הבדיקות והסימולציות כדי לשפר את הנהלים ואת כלי הבלימה.
אתגרים נפוצים
תוצאות חיוביות שגויות: זיהוי שגוי של מערכות או קבצים כ זדוניים ונקיטת אמצעי בלימה מיותרים.
השפעה תפעולית: שיבוש שירותים לגיטימיים בעת יישום אמצעי בלימה.
היקף מוגבל: אי-בלימה מלאה של ההתקפה, המאפשרת לה להתפשט למערכות אחרות.
המלצות סופיות
בלימה מהירה ואפקטיבית יכולה להוות את ההבדל בין אירוע קל לאסון. הכנה מוקדמת עם playbooks מתועדים, כלים מוגדרים וצוותים מאומנים מאפשרת בלימה נחרצת תחת לחץ.