הגדרת Threat Prevention
בצ'ק פוינט

נושאי הסיכום המוצגים בשיעור:

1. המקום שאליו הגענו: עד עכשיו התעסקנו במנגנונים שמונעים סיכון ובבקרת אפליקציות, אך ברגע שתוקף שולח סקריפט או קובץ זדוני דרך ערוצים לגיטימיים, כמו דואר אלקטרוני או סקריפט מוטמע בדף אינטרנט, אין לנו דרך למנוע זאת, ולשם כך הומצא מניעת האיומים, שבא אחרי שהדברים מאופשרים ונכנסים רק לאתרים המורשים, ועדיין בודק כל דבר.

2. שתי שיטות עבודה: קיימות שתי שיטות, השיטה העצמאית והשיטה המותאמת, כאשר השיטה העצמאית היא שיטה חדשה שנכנסה רק בגרסת R81.10, ולפני כן השיטה המותאמת נקראה בשם מניעת האיומים בפשטות.

3. ההיגיון שמאחורי השיטה העצמאית: ההבדל ביניהם הוא שצ'ק פוינט החליטו שהם לא סומכים על אנשי ה-IT, והפרשנות הזאת מבוססת על מקרים שבהם רשתות שהוגנו בפיירוולים של צ'ק פוינט נפרצו והוצפנו, מה שפוגע במוניטין של החברה, והסיבה לכך שהאיזון בין אבטחה לתפעול אצל אנשי ה-IT מוטה, והרבה פעמים מעדיפים שלא להפעיל ולא להקשיח מערכות כדי שהארגון יעבוד, שיהיה שקט, שלא יהיו תקלות ושהדברים יזרמו.

4. מהי השיטה העצמאית: השיטה העצמאית לא שואלת אף אחד והיא עובדת לבד, משהו כמו בעידן של הבינה המלאכותית, המערכת מפעילה אלגוריתם ומפעילה את ההגנות לבד, וכל מה שנשאר לנו הוא שאם משהו נחסם והוא אמור לעבוד, לעשות לו חריגה.

5. המצב בשטח ועמדת המרצה: כרגע לא ראינו מקום אחד שהפעיל את השיטה העצמאית, כולם מפחדים ממנה והיא עוד לא ממש נתפסת, הנטייה היא לא להפעיל אותה כי אנשי IT רוצים את השליטה בידיים שלהם, אך אני בעד חדשנות, ואם תהיה לי רשת ממש חדשה מאפס אני אפעיל בה את השיטה העצמאית, מכיוון שהיתרון של רשת חדשה מאפס הוא שאין מצב שדברים עבדו ועכשיו פתאום הם מפסיקים לעבוד, היוזר מתרגל למה שיש, מתחילים מתעבורה מאוד בסיסית, אין נקודת רפרנס להשוות, ואם משהו לא עובד פותרים.

6. התנאי המוקדם, בדיקת HTTPS: כמובן שבדיקת התעבורה המוצפנת כבר מוטמעת בשלבים מוקדמים יותר, ובלי בדיקת HTTPS רוב ההגנות לא קריאות, והפעלתי את השיטה העצמאית והוא מציג את ההגנות לפי המדיניות, אנטי בוט, אנטי וירוס והדמיית איומים, שאנחנו נשענים פה על הענן של צ'ק פוינט.

7. סדר הבליידים, אנטי וירוס ראשון: הבליידים התווספו לפוליסה, ואחזור עליהם, מנגנון מניעת החדירות מונע התקפות בעיקר אך הוא מונע עוד מלא דברים, וכל מה שהוא לא קובץ למעשה ה-IPS מטפל בו, וקבצים זה בבליידים הבאים בתור, והאנטי וירוס הוא ראשון כי אם יש וירוס אין טעם להעביר את זה להדמיית האיומים, מכיוון שהאנטי וירוס בודק חתימות, אם מישהו חטף את הווירוס הזה יש חתימה, העדכון של האנטי וירוס מעודכן לגביו והוא כבר חוסם אותו, ואם הוא לא מעודכן לגביו הפיירוול מעביר את זה, ואם הוא לא מעודכן וזה קובץ אז זה עובר להדמיית האיומים.

8. הדמיית האיומים, הסנדבוקס בענן: הדמיית האיומים היא סנדבוקס שממש מריץ את הקובץ ורואה אם משהו השתנה בווינדוס, בענן האיומים יש מלא שרתי סנדבוקס והם מריצים, הסנדבוקס מנהל מסד נתונים של כל סוגי הקבצים שהוא כבר בדק, כי אם הגיע קובץ שהוא אותו דבר הוא פשוט יודע אם הוא מורשה או לא מורשה והוא לא בודק אותו שוב, וכמובן שהתעבורה מוצפנת בין הפיירוול לבין הסנדבוקסים של ענן האיומים.

9. אנטי בוט: קיים מנגנון נוסף שנקרא אנטי בוט, שבודק אם יש כבר מחשב ברשת שיש בו בוט, בוטים משדרים למרכז שליטה וזה גם חתימות שמתעדכנות, כל מנועי האבטחה יודעים מי מרכזי השליטה הקיימים, ואם נוצר מרכז שליטה חדש שהם עדיין לא יודעים על קיומו, הראשון שידבק ויידעו יתווסף גם הוא לרשימה.

10. חילוץ האיומים: הדמיית האיומים יכולה לקחת דקה או שתיים עד שהיא סורקת את הקובץ, במיוחד אם זה קבצים גדולים, ולכן המציאו את הבלייד שנקרא חילוץ האיומים, שמעביר למשתמש את הקובץ בלי כל מיני מודולים פנימיים כמו פקודות מאקרו, אובייקטים פעילים וכתובות, כל מה שיכול להזיק נחתך, ובגלל זה זה נקרא חילוץ, הוא כאילו מעביר צילום של הקובץ, אם זה קובץ וורד אז זה לא ממש הוורד עצמו אלא כאילו תמונה של הוורד, ויש גם הגדרה שאפשר לשנות את החילוץ כך שבמקום לחתוך את הקובץ ולהוריד ממנו חלקים לא טובים הוא פשוט יהפוך אותו לתמונה בקובץ PDF, ואז כשהדמיית האיומים מסיימת את העבודה וסורקת והקובץ תקין רק אז המשתמש מקבל את הקובץ המקורי.

11. חילוץ בשנייה ושילוב בדואר: חילוץ האיומים עובד תוך שנייה בעוד הדמיית האיומים לוקחת לה דקה שתיים תלוי בגודל הקובץ, המשתמש פשוט מוריד עכשיו קובץ מהאינטרנט, פותח אותו ומקבל אותו נקי מכישורים או שהוא מקבל אותו כקובץ PDF, וכשהדמיית האיומים מסיימת הוא מקבל את הקובץ המקורי, ובדואר אלקטרוני זה הכי נפוץ שדוחפים לשרת הדואר את הקובץ המקורי במקום את הקובץ החתוך, וכל בלייד פה זה עולם ומלואו, אך בתור מטמיעים של פיירוולים או מנהלי פיירוולים אנחנו רק צריכים להפעיל את זה, האלגוריתמים עובדים מאחורי הקלעים ואין לנו הרבה התערבות.

12. ההבדל המרכזי בין השיטות בפוליסה: חוזרים לשכבת הרשת של הפוליסה, אם הלכנו על השיטה העצמאית אנחנו למעשה במדיניות שלה ואין לנו יותר מה לגעת, ואם הלכנו על השיטה המותאמת אני צריך לסמן מה מופעל, וזה ההבדל המרכזי, אנשים אומרים שאין צורך ב-IPS ברשת הפנימית ומפעילים רק אנטי וירוס ואנטי בוט, ופיירוולים חיצוניים מפעילים יותר בליידים, וכן אפשר לעשות רק על מניעת האיומים ואפשר רק על בקרת הגישה או גם וגם, ובדרך כלל כולם עושים גם וגם כדי לא לפספס.

13. האלגוריתם שמקצה פרופיל אוטומטית: בשיטה העצמאית האלגוריתם של צ'ק פוינט מזהה שזהו אשכול פיירוול שיש לו רגל לאינטרנט ואז הוא קורא לו שומר סף בין הרשת הפנימית לאינטרנט, ואם זה היה פיירוול פנימי שהוא ללא אינטרנט הוא היה בוחר פרופיל של מרכז נתונים, ויש פה גם אפשרות לעזרה בהחלטה והשוואת פרופילים, ואפשר גם להעביר אותו למצב ניטור ואז כל השיטה העצמאית מתה, הוא רק מסתכל ולא עושה שום השפעה, וקיים פרופיל של אבטחה מרבית שמיועד למרכזי נתונים, שכן יש פיירוולים שלא יודעים מה זה אינטרנט, ובארגונים גדולים יש פיירוול לאינטרנט, פיירוול לחיבור מרחוק, פיירוול לחיבורים פנימיים, וזה לרשת אלחוטית וזה לענן עם הפיירוולים שלנו בענן.

14. הגנה על סוגי קבצים ופרופילים לפי קבוצות: בטאב של הגנת קבצים אפשר לקבוע מראש אילו סוגי קבצים לא לבדוק, לדוגמה לחסום מראש קבצי הרצה וחבילות התקנה, לא רוצים כל דבר שיכול להזיק, ואז מה עושים כשכן צריכים, נותנים הרשאה למשתמש ספציפי שיוריד את זה, כי אני לא סומך על המשתמש הרגיל, המשתמש הרגיל לא צריך בכלל קבצי הרצה, הוא אמור רק להשתמש במחשב ולא להתקין שום תוכנה, ובשביל זה הומצאה השיטה הזאת, הפרופילים עוזרים לנו להגדיר פרופיל למנהל מערכת ופרופיל למשתמשים, כמו שעשינו פרופיל עם קבוצת מעבדה ראשונה ושנייה, בערך אותה שיטה, המשתמש או הקבוצה הזאת מורשים להוריד קבצי הרצה ואלה ואלה לא.

15. עריכת פרופיל ברירת המחדל: בפרופיל המומלץ רואים שקבצי הרצה נמצאים במצב בדיקה, ואפשר לשנות, בדיקה ואז חסימה, זה עוקף את השיטה המותאמת וזה יותר קל, בשיטה המותאמת פשוט עושים קליק ימני ורוצים לשנות והוא עושה עליו חסימה, ובואו נראה מה עוד מסוכן לנו, יש לנו סקריפטים של לינוקס, יש לנו אצוות, אין שום סיבה להוריד אצוות, אז עושים גם פה חסימה, למרות שהוא במצב בדיקה והוא אמור לחסום אותו, אבל למה לקחת סיכונים אם הם מתוחכמים ויעקפו את האנטי וירוסים, אני פשוט לא לוקח סיכונים וסוגר.

16. סנדבוקס על הכול: רואים שעל כל הסוגים האלה הסנדבוקס לא עובד, ואפשר להשוות לגבי סוג קובץ אחר ורואים שיש לנו סנדבוקס שעובד, אני יכול להפעיל על הכול סנדבוקס, כמו שאמרתי קודם רק מה שנחסם ברמת החתימה של האנטי וירוס לא מגיע לסנדבוקס, ובפרופיל ברירת המחדל כנראה עושים הקלות, ובקיצור זה מלא עבודה, אני הייתי מעדיף שהכול יעבור סנדבוקס ללא רחמים, שהסנדבוקס יגיד לי הקובץ נקי או לא, או לחילופין יחסום, ואם משתמשים בפרופיל הזה אני ממליץ שהכול יעבור סנדבוקס, אין פה שאלה, כאשר יש סוגי קבצים שאפשר לבחון אחד אחד, וסקריפטים זה חובה סנדבוקס.

17. התאמת השם והשכחה הקלאסית: אחרי השינויים שומרים את הפרופיל תחת שם חדש, אך שכחתי לסמן את מניעת האיומים בכלל, ולכן ההתקנה שעשינו לא ממש משפיעה, ואפשר לעשות רק על מניעת האיומים ואפשר רק על בקרת הגישה או גם וגם, ובדרך כלל כולם עושים גם וגם כדי לא לפספס.

18. השיטה המותאמת עובדת לפי פרופילים: המדיניות המותאמת עובדת לפי פרופילים, והיתרון שלה הוא שאני יכול לשים פרופילים שונים לפי מקור ויעד, כלומר תעבורה פנימית לדוגמה בין רשת מקומית אחת לשנייה, כמו בין תחנה לשרת, אני רק אסרוק אנטי וירוס, ותעבורה בין תחנות לאינטרנט או בין שרתים לאינטרנט, אני אשים את כל ההגנות, ואז אני יכול לשים פרופילים, לבחור את הפרופיל בפעולה ולערוך אותו, ויש פרופילים שהם מובנים שפשוט ברגע שנוגעים בהם זה משכפל והוא שואל אותך לאיזה שם לתת.

19. רמות ההגנה, שני מדדים: נבחר פרופיל רק לאנטי וירוס ואפשר לבחור את רמת ההגנות, ומה זה אומר רמת ההגנות, אני יכול להחליט שאני רוצה את כל ההגנות ולא אכפת לי מה ההשפעה על הביצועים, וזה מאוד משפיע על הביצועים אבל לא אכפת לי כי יש לי מכונה מאוד חזקה, ובאותה שיטה אפשר לכוון לפי חומרת ההגנה, כמה היא חמורה, כלומר מה יקרה אם משהו מסוג מסוים יקרה לך על הרשת, ואז אני יכול להגיד לא משנה מה החומרה, אני רוצה להגן נמוך ומעלה.

20. רמות הוודאות ומניעת תוצאות שגויות: אני יכול להגיד לו מה לעשות אם הוא בטוח לחלוטין, ודאות גבוהה, וכמובן שבוודאות גבוהה נבחר מניעה, גם בוודאות בינונית, ויש מקומות שגם בוודאות נמוכה אומרים לא לוקחים סיכונים, אבל ברגע שעושים מניעה בוודאות נמוכה זה אומר גם דברים שהפיירוול חושד שהם בעייתיים אבל בפועל הם לא בעייתיים, קוראים לזה תוצאה שגויה, ואז עושים חריגה, ואלה הפרקטיקה הטובה ביותר, זה מה שתראו בשטח, ודאות גבוהה או נמוכה, נמוכה ומעלה, כאשר את הוודאות הנמוכה בדרך כלל משלמים בזיהוי בלבד.

21. חוק ייעודי לדואר אלקטרוני: בפרופיל מסמנים הכול, אלא אם כן, כמו שאמרתי קודם, אם זו תעבורה פנימית רוצים רק אנטי וירוס אז עושים פרופיל רק לאנטי וירוס, ואני יכול גם להוסיף חוק רק לתעבורת דואר, להוסיף את השירות ולשים פה את פרוטוקול הדואר, ואז לבחור פרפורמנס לא מעניין אותי, שהפיירוול יעבוד קשה, זה לא בן אדם, הוא לא צריך הפסקת צהריים, לא משנה מה החומרה, אנחנו נפעיל את כל ההגנות, וזה הגנות מפני דואר שתכף נגביל לפרוטוקול הדואר בלבד.

22. מה IPS מטפל בו: בפרופיל הדואר שמים גם הדמיית איומים, כל דואר שיגיע עם קובץ מצורף נשלח אל ענן האיומים, וגם IPS, שהוא בודק תגובות מכתובות IP זדוניות, נניח אם מישהו כבר שלח דואר מכתובת מסוימת והם דואר זבל אז ה-IPS יחסום אותם, וב-IPS אפשר להגדיר מלא דברים, כמו שאמרתי ה-IPS הוא מטפל בכל מה שהוא לא קובץ, אפשר לבחור לפי מדינות גיאוגרפיה, ואפשר לבדוק פרצות, פרצות שווינדוס מתעדכנת כל הזמן מולן, וההאקרים מוצאים פרצות ומוכרים את הפתרון כדי שהיצרניות של המערכות לא רק מערכות הפעלה, גם לאדובי יש מלא פרצות ומלא אפליקציות, ולכל דבר יש שוק, וזה היתרון על השיטה העצמאית, והחיסרון של השיטה המותאמת הוא שאני יכול לבחור לא להפעיל את הדמיית האיומים או לבחור לא להפעיל את ה-IPS ואז אני לא מוגן, ושמשהו יקרה יאשימו את צ'ק פוינט ויגידו שהפיירוול לא עשה את העבודה.

23. הערה חשובה על דיוק בחוקים: אני אישית ראיתי את זה בעיניים, אנשי ה-IT מרשים לעצמם לפתוח חוקים עבורם, הם מוגנים, ואז יש כלל כלשהו בפוליסה ובכלל שמכסה הכול, ואז אכלנו אותה, וצריך לדייק בכל חוק וחוק.

24. הגדרות IPS בפרופיל הדואר: מיישמים את הפרופיל על תעבורה פנימית בין כתובות פנימיות שאינן ניתנות לניתוב, ומייצרים פרופיל לדואר בלבד עם כל ההגנות, ובפרופיל יש החרגות, ובדרך כלל בפרופילים יותר רציניים מורידים את אלה, אפשר לעשות החרגות שה-IPS לא יבחן תעבורה כזו או אחרת, וניתן דוגמה, אני יכול להגיד כל הפרצות מתחת לשנת 2020 נניח אל תבדוק אותם, למה, כי העדכונים האוטומטיים שלי מותקנים, כל המערכות הפעלה מותקנות, אל תבזבזו כוחות על באגים ישנים שכבר פתרו אותם, ויש פה עוד מיליון קטגוריות ופרמטרים של עקיפות, אבל אם מורידים את זה אין שום עקיפה וזה יבחן כל פקטה ופקטה ויבדוק אם יש בה איזושהי בעיה.

25. הלקח ההיסטורי של זיהוי בלבד: פעם היה נהוג לשים עדכונים חדשים של חתימות במצב זיהוי בלבד, יצר מלא מלא בעיות, ואף העול היה פרוץ לגמרי, כל מה שהוא חם מהתנור, כל הפרצות החדשות היו על זיהוי, לדוגמה פרצת לוג 4J שנכנסה למלא מקומות, הפיירוול שם יומן והודעה, לוג 4J נכנס ונפרץ, ואז כמובן ששינו את זה וזה בלי מצב זיהוי, ובקיצור פעם המערכות היו פחות אמינות עם הרבה הרבה תוצאות שגויות, ואז היו מנגנוני הגנה מההגנה עצמה, וכאן אין הרבה מה לעשות, למעט אפשרות לערוך את דף החסימה כמו שעשינו בבקרת האפליקציות, זה אותו רעיון.

26. כיוון הבדיקה של האנטי וירוס: זה פרמטר מאוד חשוב, אם עושים הגנה מרשת פנימית לרשת פנימית אז כאן האנטי וירוס לא עובד כי הוא מוגדר רק חיצוני אל אזור ההפרדה, אני יכול לשנות את זה להכול, וברגע ששיניתי להכול הוא בודק גם בין רשת מקומית לרשת מקומית בתוך הרשת שלנו, וזה משהו שחשוב לזכור, ובגלל שאנחנו מדברים על דואר אלקטרוני אני אשאיר את זה על חיצוני אל אזור ההפרדה ונשנה את השם לפרופיל דואר.

27. סינון סוגי קבצים בפרופיל הדואר: גם פה אני יכול לבחור אילו סוגי קבצים, אני יכול להגיד לו תבחר את כל סוגי הקבצים ותסרוק הכול, ואני יכול להגיד לו רק סוגי קבצים מאוד ספציפיים, לדוגמה אם בשער שלי מראש אני חוסם קבצי הרצה ופקודות וכל מיני דברים אין טעם לעשות להם בדיקה, מראש חוסמים, מי שולח חבילות התקנה בדואר, אף אחד לא שולח, יש דרופבוקסים למיניהם, אז אין טעם שהפיירוול יתאמץ, מראש מעבירים פה, זה הרבה יותר קל, נשים קליק ימני וחוסמים, אין סיבה שנהיה חשופים, בשיטה הזאת עוברים פה על כל העולם ומשאירים רק מה שאנחנו יודעים שמקבלים בדואר, כל השאר פשוט לחסום, ומה עוד, אפשר לעבד סוגי קבצים, כאן אני סומך על צ'ק פוינט, רק קבצים שצ'ק פוינט חושדים בהם שהם בדרך כלל חשופים לנוזלות, אז אני אוהב לבחור ספציפית מה אני רוצה לסרוק ומה אני רוצה לחסום, ואפשר גם ארכיונים דחוסים.

28. האיזון בין ביצועים לאבטחה בסריקת ארכיונים: בסריקת ארכיונים כתוב לנו השפעה על ביצועים, אבל כמו שאמרתי המכונה שלנו חזקה, ופה יש מנגנון הגנה שהפיירוול לא ייתקע, הוא פשוט אחרי שלושים שניות יפסיק לסרוק את הארכיון, ואני יכול להגיד לו אם זה עבר את השלושים שניות לחסום או להשאיר בברירת המחדל, ואני יכול להעלות את זה גם לשישים שניות, והרעיון הוא שהנוזלות בדרך כלל הן בקבצים קטנים, אף אחד לא טורח להכניס את הנוזלה במשהו שהוא מעל שני מגה בייט, ואנחנו צריכים לקחת בחשבון שהפיירוול הוא לא מכונה אינסופית, יש לה גבולות, וכמו שיש לנו שיקול תפעול מול אבטחת מידע, יש לנו שיקול של ביצועים מול אבטחת מידע, אם הפיירוול לא יזוז יהיו לנו נפילות שהן בגלל ביצועים ולא בגלל חסימות, ואז חייבים למצוא גם את האיזון בין הביצועים לאבטחה.

29. הגדרות הדמיית האיומים בפרופיל: בהדמיית האיומים כמו באנטי וירוס יש לנו הודעות, וגם פה אני בודק רק קבצים מבחוץ או מאזור ההפרדה, ופה אני יכול להוסיף גם שיתוף קבצים והעברת קבצים, אם קובץ מגיע בהעברת קבצים, הפופולרי זה דרך האינטרנט כאילו דרך הרשת הפתוחה, אבל אם יש לי שרתי העברת קבצים ואני רוצה לבדוק אותם, או אם יש לי גישה בשיתוף קבצים, פחות פופולרי מול האינטרנט, ואני יכול באותה שיטה גם להגיד לו על מה לעשות הדמיית איומים, סוגי קבצים כאלה ואחרים, כמו שאמרתי גיליונות אלקטרוניים לדוגמה לא יגיעו אליי בדואר, זה פרופיל של דואר, אז אני מראש אחסום אותו, או שאני עושה בדיקה ואז הוא ייחסם כבר ברמה של האנטי וירוס, והאנטי וירוס הוא ראשון ואני יכול להגיד לו הכול, לאפשר את כל סוגי הקבצים, יש פה רשימה מכובדת ואני יכול פה לסמן מה אני רוצה שיעשה הדמיית איומים, כל גיליונות האלקטרוניים וכל חבילות האופיס אני כבר רואה שהם פה, הקבצים הם פה, ואם חסמתי את כל השאר באנטי וירוס אז כמובן שהם לא יגיעו לפה, וארכיונים לדוגמה אין פה שאלה, פותחים את הארכיון, פותחים את הקבצים, צריך לעבור פה אחד אחד בקיצור, וארכיוני המערכת לדוגמה, העדכון האוטומטי הוא גם בארכיון מערכת, הייתי במלא מקומות שראיתי שכל העדכון האוטומטי טוחן את הפיירוול על תור הדמיית איומים, ואז צריך לעשות פרופיל שהוא עקיפה לדומיין של העדכונים של מיקרוסופט, ואז זה לא יעבור את הבדיקת הסנדבוקס המיותרת, כי זה עדכונים שהגיעו ממיקרוסופט, אם הם הגיעו עם נוזלה כל המחשוב פרוצה לגמרי, והמערכת יודעת אם זה מתחזה או לא, ואז אין טעם להעמיס על הפיירוול.

30. מיקום הסנדבוקס ומדיניות ההעברה: פה אני יכול להגיד לו ענן האיומים או שער מקומי, אמרנו שאפשר להריץ את הסנדבוקס על הפיירוול עצמו, פחות פופולרי, בענן הכי פופולרי, או מכשירים מרוחקים, מכשירים מרוחקים זה פיירוול שהתקינו בצד רק לסנדבוקס, קופסה מיוחדת, כמו שיש גרסאות לפיירוול אין גרסאות לסנדבוקסים, ובדרך כלל לא נוגעים, ענן האיומים הכי פופולרי, ופה אני בוחר אם בזמן ההדמיה, כי אמרנו שההדמיה לוקחת זמן, האם אני מעביר את הקובץ או לא, אני יכול להגיד אוקיי הקובץ יעבור ליוזר בינתיים ואני אבדוק אותו, זו אספקת תוכן מהירה, ואני יכול להגיד שהמשתמש יחכה עד שהקובץ יעבור הדמיה, אבטחה מרבית, ואני יכול להגיד לו לעשות לפרוטוקול הרשת בלבד מעבר מהיר, כאילו על הרשת הפתוחה יעביר, אבל על דואר אף אחד לא מחכה לדואר מול תוכנת הדואר, פשוט הדוארים מופיעים ורק אז מתחילים לטפל בהם.

31. ההמלצה החכמה ביותר: מה שהכי חכם לעשות זה מניעה מרבית ולהפעיל את חילוץ האיומים, שהמשתמש מקבל את הקובץ כאילו הוא צילום מסך, וחילוץ האיומים מאפשר גישה למקור אם הקובץ אינו זדוני, כלומר אם הקובץ בהדמיית האיומים נמצא נקי אז המשתמש מקבל אותו, והחילוץ חותך פוטנציאל זדוני, חותך קישורים, חותך סקריפטים, כל מיני דברים, או שפשוט ממיר לקובץ PDF וזה יותר פופולרי, וגם פה יש לנו אותו דבר של כל הקבצים, נניח כבר חסמנו באנטי וירוס את רוב הקבצים ובמה שנשאר הסנדבוקס מבין מה שנשאר, אז אפשר להגיד לו כל הקבצים או רק מה שיכול להיות עם רמת ודאות כזו או אחרת, נמוכה ומעלה, כאילו הנמוך ומעלה זה למעשה לבחור בהכול, אבל אפשר להגיד לו אם ודאות נמוכה או בינונית, ובדרך כלל עושים כל קובץ ונשענים על זה שהאנטי וירוס כבר סינן את רוב הקבצים.

32. תיעוד החילוץ וקבצים פגומים ומוצפנים: גם פה יש לנו משהו דומה, שימו לב זה פשוט רשימה זהה אבל לבליידים שונים, בדיוק אותו דבר, מה יש לנו פה, יש לנו תיעוד יומן של כל מה שעבר חילוץ ויש לנו תיעוד של הכול, גם מה שלא עבר את החילוץ, וקבצים פגומים אנחנו יכולים להעביר או לחסום, וכמובן שנחסום זדוניים, ואני יכול להחליט שהם מוצפנים אני לא מכניס, אבל יש מלא מסמכי וורד מוגני סיסמה שהם גם מוצפנים עם הסיסמה ואז נקבל מלא בקשות לשחרר, ויש כאן אפס דיגום, אין הרבה מה לגעת, פשוט נותנים למנגנון לבדוק אם זה אתר דיגום או לא.

33. מחווני איום ומלכודת DNS: מחוונים זהו מושג של מחווני פשיעה, יש מערכות שהם בנוסף לחתימות שמתעדכנות, זה מעין דחיפה כזו של כל מיני הגנות, ויש לנו מלכודת DNS, אנחנו יכולים לשחק אותה כמו בפוט, כל תעבורה שתגיע לכתובת ה-DNS הזאת היא כנראה זדונית, מה זה אומר, נניח משתמש פונה לאיזשהו אתר שצ'ק פוינט מזהה כזדוני, במקום להפנות את הבקשה, הרי זה הכול בסופו של דבר רשומות DNS, מתחיל ברשומת DNS, במקום לתרגם לו את הכתובת של האתר הזדוני הוא מתרגם לו איזשהו כתובת, לדוגמה אחת שתיים שלוש ארבע, ואז כל תעבורה שרואים ביומן אל אותה כתובת אנחנו יודעים שהיא זדונית, והפיירוול כאילו הפנה את המשתמש לאתר שלא קיים, ואני יכול להמציא פה גם אתר שהוא ממש לא קיים, נניח ברשת שלנו, וברגע שאנחנו רואים יומנים אל אותה כתובת DNS אנחנו יודעים שזו בקשה לאותו אתר זדוני.

34. תשלום במסד הנתונים של מכונת הניהול: אחרי השמירה הוא יגיד לי שאי אפשר לערוך את פרופיל ברירת המחדל של הדואר, כל פרופיל כזה מפוצץ את מסד הנתונים של מכונת הניהול, וככל שיש יותר פרופילים הייצוא של מכונת הניהול ייקח יותר זמן, יהיה יותר גדול, יותר גיגה בייט, והכול פה משוכפל שוב, ואסור לשכוח לעבור לפרופיל הדואר.

35. הגדרת היעד והמקור בפוליסה: ביעד אני לא יודע אם יש לנו אינטרנט פה כמו בבקרת האפליקציות אבל יש לנו חיצוני, אני רואה אזור חיצוני, ולפני שממשיכים קוראים לזה מדיניות מותאמת, כי מקודם עשינו על השיטה העצמאית, כמובן שבחרנו בשערים ובשרתים ובחרנו שאנחנו עובדים בשיטה העצמאית אז זה לא עובד פה, הוא לא מגיע לחוקים האלה, הוא הולך ישר לשיטה העצמאית, וזה הפרופיל שהוא הרבה הרבה יותר נפוץ.

36. סדר החוקים בפוליסה המותאמת: יש לנו פרופיל פנימי רק אנטי וירוס, יש לנו פרופיל רק לפרוטוקול הדואר שקוראים לו דואר בלבד, ובאמת בדואר בלבד אין בוטים אז אפשר להוריד את הבוטים, תעבורה מתוך המחשב הארגוני החוצה אל איזשהו מרכז שליטה והזמן המרכזי זה כל השאר, ואני יכול להגביל את התעבורה החוצה, ובדרך כלל מה שרואים זה את הפרופיל של הכול אל הכול שלא נוגעים בו, ונניח שהולכים על המיטוב, הוא בגלל שהוא הגנה מצוינת לכל פרוטוקולי הרשת הנפוצים, זה סוג של אופטימיזציה בין ההגנה לביצועים של הפיירוול, ואם זו תעבורה פנימית זה ייפול על האנטי וירוס בלבד, ואם זה דוארים זה ייפול על הפרופיל של הדואר, ואם זה לא ולא זה ילך למיטוב, ואפשר כמובן עוד ועוד ועוד פרופילים, נניח יש עקיפות למיניהן, לדוגמה יש לנו איזה שירות בענן שמורשה גישה, נניח איזה אנטי וירוס ענני והעדכונים שלו כוללים קבצי הרצה, ואז אנחנו נעשה פרופיל שמאפשר קבצי הרצה כי אחרת האנטי וירוס יחסום אותו, כל מיני כאלה החרגות, ואני פה יוצר לפי מקור ולפי יעד, והיום במקור וביעד אני יכול לקבוע גם אובייקט שמתעדכן, שבגרסאות הישנות לא היה אפשר, לדוגמה אובייקט מתעדכן זה כל ענן מסוים, הפיירוול פשוט יודע שזה מהענן הזה, אני לא צריך להגיד לו את הכתובות הספציפיות, הוא מתעדכן אוטומטית, קוראים לזה מתעדכן בגלל זה, והחיצוני, בואו נחזור אליו, החיצוני זה בכרטיס רשת, הכרטיס מול האינטרנט מסומן כחיצוני, זאת אומרת כל תעבורה דרך הכרטיס הזה היא נחשבת חיצונית, וזו הייתה תזכורת.

37. עקיבה אחרי פרצות מפורסמות: לפני שמסיימים, רוצים להראות שכאן יש לי את הרשימה של הפרופילים שאפשר לשכפל ולערוך בלי קשר לאיזה חוק הם נמצאים, וכאן יש לי רשימה של כל ההגנות, IPS וכמויות אדירות, ומה שהכי מעניין אותנו זה שמתפרסמת הודעה של פרצה מסוימת שהיא עכשיו משהו עדכני, וכל מה שאנחנו צריכים לראות שהפרצה, כל הפרצות, הן מתפרסמות, וכל מה שמעניין אותנו זה לוודא שהפרצה שמצאו תיחסם, ואם אנחנו בפרופיל המיטוב זה אומר שזה נחסם, וזה אומר שאין פעילות, ויכולות להיות הרבה סיבות למה הוא איננו פעיל, אבל אם זו פרצה שאתם יודעים שחייבים להתגונן ממנה, מעבירים את זה למניעה, וזה הכי פופולרי, כל מיני פרצות שנמצאו, יש פה טונות, ומה שמאפיין את כל הפרצות האלה שזה לא ממש קובץ, זה איזשהו קוד שעובר בפרוטוקול הרשת המוצפן או הפתוח, זה יכול להיות בשורת כתובת, אם נניח אני אתקוף את האתר הזה אז בדרך כלל יהיה פה עוד כל מיני נתיבים שהאתר מקבל את זה, הוא מפרש את זה לקוד ואז הוא חוטף, וכמו שאמרתי מה שמעניין אותנו נניח בסקריפטינג חוצה אתרים מה שמעניין אותנו זה שזה יהיה במניעה והשמטה, ומה שאמרתי מה שמעניין זה להפוך את זה להשמטה, ודוגמאות נוספות לדברים שצריך לשים לב, חוץ מפרצות נניח אדובי אם יש לו איזושהו פרצה כזו או אחרת רואים שזה מ-2009, דיברנו על זה, כנראה שזה מאוד מאוד ישן, ויש פה עוד מלא הגנות שה-IPS מטפל בהם, מניעת שירות, בדיקות זמינות ארוכות, סריקת פורטים, מלא מלא, והפרופיל שהגדרנו אמור להגן עלינו.

38. הפרופיל המחמיר: אמרנו שזה אם לא זה ולא זה אז זה, ואפשר גם להשתמש פה בפרופיל המחמיר, שהוא יותר מחמיר, ואם הביצועים גבוהים או נמוכים תבצע את ההגנות, ואם החומרה נמוכה ומעלה תעשה הגנות, זה הפרופיל המחמיר, ובקיצור הפרופיל הזה אמור להגן עלינו, וגם פה אפשר לעבור על כל סוגי הקבצים, זה לא עובר בין פרופילים, לכל פרופיל צריך להגדיר מחדש, וכמובן שמנסים לשמור אז צריך לשנות את השם כי הוא לא דורך על הפרופיל המחמיר, הפרופיל המחמיר תמיד יישאר לנו.

39. סיכום השיטות: בגדול, המדיניות המותאמת יותר גמישה, נותנת לי לבחור בין תעבורות ואיזו רמת חומרה, יכולה לאפשר ולחסום סוגים לפי פורטים, לפי מקור ויעד, והשיטה העצמאית, ברגע שבחרנו בה, היא עושה הכול לבד, ומה שנשאר לנו לעשות זה רק חריגות, וזהו.

40. המסקנה הסופית: ההטמעה של זה היא מאוד פשוטה אבל הרבה הרבה ניפוי שגיאות, הרבה בדיקה של יומנים, וזהו בגדול, חריגות, רוצים שמשם ירד קובץ הרצה ומשם לא ירד, זו ההתעסקות, אבל מה שחשוב שזה מופעל, כי אם זה לא מופעל, הפיירוול הזה הוא פחות או יותר קופסת ברזל, לא עושה יותר מדי.