Zero Trust היא גישה שאינה מעניקה אמון רק בגלל מיקום ברשת או בעלות על מכשיר. החלטות גישה מתייחסות למשתמש, למכשיר ולמשאב. אימות והרשאה נבחנים לפני פתיחת גישה ובהתאם למדיניות. ראו NIST SP 800-207.
למה המודל הישן לא עובד יותר
המודל המסורתי — Firewall בכניסה, ורשת פנימית "מהימנה" — נבנה לעולם שבו כולם ישבו במשרד וכל השרתים היו בחדר שרתים אחד. העולם הזה נגמר:
- עבודה מרחוק — עובדים מתחברים מהבית, מקפה, מחו"ל
- ענן — שרתים ב-Azure, אפליקציות ב-SaaS, מידע בכל מקום
- BYOD — מכשירים אישיים ניגשים למידע ארגוני
- תנועה רוחבית — לאחר חדירה, הרשאות וקשרים רחבים עלולים לאפשר גישה למשאבים נוספים
מתקפת כופרה טיפוסית: התוקף נכנס דרך מייל פישינג, מקבל גישה לתחנת עבודה אחת, ומשם נע רוחבית ברשת הפנימית כי הכל "מהימן". בקרות גישה והפרדה נועדו לצמצם את האפשרויות לתנועה כזו.
חמישה נושאים לתכנון
1. אימות מתמיד (Never Trust, Always Verify)
בודקים אימות והרשאה לפי המדיניות והמשאב, גם בגישה מתוך הרשת. אין פירוש הדבר שהמשתמש מקליד סיסמה או מבצע MFA מחדש בכל פעולה; מנגנוני ההחלטה והמשך הגישה תלויים בתכנון.
2. גישה מינימלית (Least Privilege)
כל משתמש מקבל את ההרשאות המינימליות שהוא צריך לעבודה שלו. לא Admin by default. לא גישה לכל השיתופים. לא VPN שפותח הכל.
3. הנחת פריצה (Assume Breach)
מתכננים את האבטחה כאילו התוקף כבר בפנים. המשמעות: סגמנטציה, ניטור, ותגובה מהירה.
4. אימות מפורש (Explicit Verification)
כל החלטת גישה מבוססת על: זהות המשתמש, מצב המכשיר, מיקום, זמן, ורגישות המשאב. לא רק סיסמה.
5. Micro-Segmentation
במקום רשת שטוחה אחת — חלוקה לאזורים מבודדים. מצמצמים את נתיבי הגישה בין האזורים באמצעות בקרות מתאימות. הפרדה אינה מבטיחה שתנועה רוחבית בלתי אפשרית.
איך מתחילים — תוכנית הטמעה מעשית
שלב 1: מיפוי נכסים ומשתמשים
לפני שמגינים — צריך לדעת על מה: - אילו מערכות קריטיות קיימות - מי ניגש אליהן ומאיפה - אילו זרימות תעבורה קיימות ברשת - אילו חשבונות מיוחסים (Admin) פעילים
שלב 2: תכנון והטמעת אימות חזק
בוחנים שיטות אימות עמידות לפישינג במערכות המתאימות, עם הכנת תהליך שחזור וחריגים. אין שיעור הגנה אחיד לכל תצורה. - M365/Entra ID — Conditional Access עם MFA - VPN — אימות מרובה גורמים - מערכות קריטיות — MFA גם לגישה פנימית - חשבונות Admin — FIDO2 או Hardware Token
שלב 3: Conditional Access
מגדירים מדיניות לפי משתמש, משאב, מיקום ומצב מכשיר, ובהתאם לזכאות לרישוי. ב־Entra, יכולות המבוססות על סיכון דורשות בחינת Entra ID P2; הגבלת הורדות עשויה להצריך הגדרות נוספות בשירות. אין כלל מובנה שמבטיח חסימה בכל שעה חריגה. מתחילים בבדיקה ובפריסה מדורגת. ראו תיעוד Conditional Access.
שלב 4: תכנון הפרדה ובקרת תעבורה
חלוקת הרשת לאזורים מבודדים: - שרתי ייצור מופרדים משרתי פיתוח - תחנות עבודה לא מדברות ישירות עם שרתי DB - IoT (מצלמות, מדפסות) ב-VLAN נפרד - ניהול (management) ב-subnet מבודד
שלב 5: ניטור ובקרה
Zero Trust בלי ניטור הוא חצי עבודה: - SIEM/SOC לאיסוף וניתוח לוגים - EDR/XDR לזיהוי התנהגות חריגה בנקודות קצה - UEBA (User and Entity Behavior Analytics) לזיהוי שימוש חריג בחשבונות
טכנולוגיות שמרכיבות Zero Trust
| רכיב | תפקיד | כלים נפוצים | |--------|--------|-------------| | Identity Provider | ניהול זהויות | Entra ID, Okta | | MFA | אימות חזק | Microsoft Authenticator, Duo, YubiKey | | ZTNA | גישה מרחוק ללא VPN | Zscaler, Cloudflare Access, Entra Private Access | | EDR/XDR | הגנת נקודות קצה | CrowdStrike, SentinelOne, Defender | | SIEM | ניטור וניתוח | Microsoft Sentinel, Splunk | | NAC | בקרת גישה לרשת | Cisco ISE, FortiNAC |
תרחיש להמחשה: גישה מרחוק לכמה מערכות
ארגון מאפשר לעובדים להתחבר מרחוק, אך הגישה הקיימת רחבה מהנדרש לתפקידם. זהו תרחיש לדוגמה, לא סיפור לקוח. אפשר למפות את היישומים, להגדיר קבוצות והרשאות ולבחון גישה ממוקדת למשאבים, עם בדיקה של תלויות ותהליכי תמיכה.
ההחלטה אם להשאיר VPN, לשנות תצורה או לשלב ZTNA נבחנת לפי המערכות. תוצאות אבטחה צריכות להיבדק; אין הבטחה שאירוע ייעצר ללא נזק.
טעויות נפוצות ביישום
- "נעשה הכל ביום אחד" — Zero Trust הוא מסע, לא פרויקט. מתכננים הטמעה מדורגת לפי הסיכונים, התלות והמשאבים.
- MFA בלי Conditional Access — MFA לבד לא מספיק אם אין מדיניות שמגיבה להקשר.
- התעלמות מחשבונות ניהול — הגדירו אימות חזק, צמצום הרשאות ותהליך גישה לשעת חירום.
- רשת שטוחה — אם כל דבר מדבר עם כל דבר, אין Zero Trust.
איך DLTS מסייעת ביישום
מתחילים ממיפוי מערכות, זהויות וגישות, בוחרים בקרות לפי עדיפות ובודקים אותן עם קבוצת משתמשים. מסכמים היקף עבודה, רישוי, לוח זמנים ותפעול שוטף. אין חובת החלפת VPN או התחייבות ל־SOC ולכיסוי מסוים בלי הגדרה בהצעה.
ניהול זהויות והרשאות | תאמו שיחה
שאלות נפוצות
כמה זמן לוקח ליישם Zero Trust? הזמן תלוי במערכות, בתלויות וברמת הבשלות. בוחרים שלבים ובדיקות קבלה ומעדכנים את התוכנית לפי התוצאות; פריסה מדורגת יכולה לצמצם סיכון לשיבוש אך אינה מבטלת אותו.
האם Zero Trust מחליף Firewall? לא. Firewall עדיין רלוונטי כשכבת הגנה — אבל הוא לא השכבה היחידה. Zero Trust מוסיף הגנה בכל שכבה: זהות, מכשיר, אפליקציה, ומידע.
כמה זה עולה? בוחנים את המנויים המדויקים ואת היכולות שכבר קיימות, ואז מתכננים רישוי נוסף, עבודה ותפעול. משקל כל רכיב משתנה לפי הארגון; אין להניח שכל יכולת כלולה ב־E3 או E5.
Zero Trust בפועל — לא פרויקט, מסע
Zero Trust הוא לא מוצר שקונים. הגישה מתמקדת במשאבים ובהחלטות גישה, עם בחינה של זהות, הרשאות והקשר במקום הנחת אמון על סמך הרשת בלבד.
5 הצעדים הראשונים
- MFA לכולם — הצעד הכי משתלם. MFA = Zero Trust שלב 1.
- Conditional Access — Entra ID P1. חסמו Legacy Auth. דרשו Compliant Device.
- Least Privilege — הסירו Domain Admin מכל מי שלא חייב.
- Segmentation — הגדירו הפרדה ובקרת תעבורה לפי צורך; VLAN לבדו אינו מדיניות גישה.
- EDR — CrowdStrike/SentinelOne/Defender על כל Endpoint.
אלה נקודות לתכנון, לא מדד להשלמת Zero Trust. יש לבדוק כיסוי, תלויות ואחריות לתחזוקת הבקרות.
קראו גם: אבטחת מידע וסייבר | ניהול זהויות והרשאות