ISO 27001 A.8.7: הגנה על שרתי משחקים ופלטפורמות מסחר מפני סיכוני תוכנה זדונית

מדוע הגנה מפני תוכנות זדוניות שונה עבור שרתי משחקים וכלי מסחר

הגנה יעילה מפני תוכנות זדוניות עבור שרתי משחקים וכלי מסחר פירושה הגנה על שירותים בעלי השהייה נמוכה ובעלי ערך גבוה וכלכלות וירטואליות מפני התקפות שהופכות במהרה לאובדן כסף, הונאה ונזק תדמיתי. אתם מגנים על שחקנים, צוות ותשתיות בסביבה שבה רמאים, טוענים וגנבי מידע נותנים לתוקפים נתיבים ישירים למזומן, השפעה והשפעה רגשית, ושבה שרתי מרובי משתתפים, משגרים ופלטפורמות מסחר נמצאים כעת קרובים לבנקאות מקוונת מבחינת סיכון. פושעים עוקבים אחר ערך: כותר פופולרי עם סקינים או מטבעות הניתנים לסחירה מציע תשלומים חזקים, בסיס שחקנים נלהב ולעתים קרובות בקרות פורמליות חלשות יותר מאשר פיננסים מוסדרים, והתקפות קודמות שילבו תוכנות זדוניות קלאסיות (סוסיאני, כלי גישה מרחוק, תוכנות כופר) עם טכניקות ספציפיות למשחק כגון מודים זדוניים, "אופטימיזציות" טרויאניות וטועני רמאים המשמשים גם כמתקיני תוכנות זדוניות.

מנקודת מבט של סיכון, שרתי משחקי מרובי משתתפים, משגרים ופלטפורמות מסחר מתנהגים באופן דומה מאוד לשירותים פיננסיים בעלי רגולציה קלה. הם מרכזים ערך, מושכים תוקפים מאורגנים ולעתים קרובות פועלים על תשתית שכוונו במקור לביצועים ולא לבקרות פורמליות. זו הסיבה שכעת רואים את אותן משפחות של תוכנות זדוניות המכוונות הן לבנקאות מקוונת והן למערכות אקולוגיות של משחקים, רק עטופות בפיתיונות וערוצי הפצה שונים.

זה יוצר בעיית עיצוב שונה מאוד מזו של IT משרדי קלאסי. שרתי משחקים חייבים לשמור על השהייה במסגרת תקציבים מוגבלים, ולכלי מסחר יש לעתים קרובות ציפיות תפוקה וזמינות מחמירות. סוכני קצה כבדים וכלליים בכל צומת יכולים להרוס את זמני הפריימים ואת קצב ה-Tick. עם זאת, אם לא תעשו דבר, אתם חשופים לבניות שנפגעו, כלי ניהול חטופים והונאות המונעות על ידי תוכנות זדוניות.

אתם גם מתמודדים עם משטח איום כפול: מכשירי שחקנים ותשתית אולפן. תוכנות זדוניות בדרך כלל פועלות תחילה על מחשב של נגן או על תחנת עבודה של חבר צוות, ואז פונות למערכות בנייה, קונסולות ותוכנות אחוריות בעלות ערך אמיתי.

הגנה חזקה מפני תוכנות זדוניות מתחילה כהחלטה עיצובית, לא ככלי נוסף.

בצד התשתיות, חלק מהמערכות רגישות במיוחד:

לבנות מערכות ורצים של CI/CD שיכולים להחדיר דלתות אחוריות לקבצי בינארי של משחקים
פלטפורמות תזמור וקונסולות ענן עם שליטה על ציי רכב שלמים
מערכות מסחר אחוריות ופורטלים מקוונים המטפלים באימות ובמלאי

תקן ISO 27001 מתייחס להגנה מפני תוכנות זדוניות כבעיית ניהול, ולא רק כבחירת כלים. התקן מצפה מכם להבין את הסיכונים שלכם, להחליט אילו נכסים וזרימות עבודה נכנסים לתחום, וליישם בקרות מידתיות לגילוי, מניעה ושחזור, בתמיכת אנשים שיודעים כיצד לא לעקוף אותן.

מכיוון שמדובר בנושא אבטחה ותאימות, ראוי לציין במפורש: המידע כאן הוא כללי ואינו מהווה ייעוץ משפטי או רגולטורי, ועליכם תמיד לאשר פרשנויות עם היועצים והרואי חשבון שלכם.

ויזואלי: תרשים מקצה לקצה ממכשירי השחקנים דרך שרתי משחקים, כלי מסחר ו-CI/CD, תוך הדגשת נקודות כניסה מרכזיות לתוכנות זדוניות.

מדוע תקן ISO 27001 A.8.7 כל כך חשוב במשחקים ובמסחר

תקן ISO 27001 A.8.7 חשוב במשחקים ובמסחר משום שהוא הופך רמאויות, גנבי מידע וכלים חטופים לסיכון רשמי שעליכם לנהל, לא רק רעשי רקע עבור צוותי תמיכה, ומקשר הצהרת בקרה קצרה לסיכונים ממשיים מאוד כמו הפסקות פעילות, גניבת חשבונות והונאה. הוא נותן לכם מנדט ברור להתייחס לתוכנות זדוניות כאיום על זמן הפעילות, על כלכלות וירטואליות ועל אמון ולא רק על נקודות קצה, ומעניק לכם את הסמכות להתייחס לרמאויות, לטוענים, לגנבי מידע ולפרצות בשרשרת האספקה כחלק מבעיית זדוניות אחת שמערכת הניהול שלכם חייבת לטפל בה באופן מאורגן ומגובה בראיות.

במילים פשוטות, A.8.7 מחבר כמה שורות של טקסט בקרה למגוון רחב של השפעות ברמת העסק. הוא נותן לגיטימציה לשיחות על צ'יטים, טוענים ומודים זדוניים כערוצי תוכנות זדוניות אמיתיים שיכולים לשבש טורנירים, לפגוע בכלכלות ולכרסם באמון, במקום נושאים שרק צוותי תמיכה בשחקנים מודאגים מהם.

מנקודת מבט עסקית, אירועי תוכנות זדוניות בתחום זה הם לעיתים רחוקות "רק בעיות IT". הם יכולים:

שירותי דירוג או טורנירים במצב לא מקוון במהלך אירועי שיא
לגרום לביטולי חיובים, החזרים כספיים וקפיצות בתמיכת לקוחות
לעוות את הכלכלות במשחק באמצעות הטעיה או גניבת נכסים
לפגוע ביחסי הפלטפורמה והרגולטורים כאשר הבקרות נראות חלשות

כאשר ממקמים את A.8.7 בצורה נכונה, הוא הופך לדרך ליישר קו בין צוותי אבטחה, פעולות חיה ותאימות סביב מטרה משותפת: חוויות משחק ומסחר עמידות, הוגנות ועמידות בפני תוקפים ומבקרים.

עבור מנהלי מערכות מידע ומנהיגי אבטחה, זה גם יוצר קומה ברורה עבור הדירקטוריונים: שליטה בתוכנות זדוניות אינה רק על סוכני אירוח, אלא על הגנה על זרמי הכנסה ואמון המותג.

מה נחשב כתוכנה זדונית בעולם שלך

עבור שרתי משחקים וכלי מסחר, כדאי לנקוב בשמות של משפחות תוכנות זדוניות החשובות ביותר, ולאחר מכן לתכנן ולהוכיח את הבקרות המתאימות לכל אחת מהן. לאחר הגדרת הקטגוריות הללו, A.8.7 הופך לרשימת איומים קונקרטית ולא לדרישה מופשטת.

דוגמאות נפוצות כוללות:

גנבי מידע ולוגרי מפתחות: שאוספים אישורי שחקנים או צוות, עוגיות ואסימוני סשן
טרויאנים לגישה מרחוק (RATs): המספקים שליטה מתמשכת על תחנות עבודה של מפתחים, שרתי בנייה או קונסולות תזמור
בוטנטים ומטעינים: משמשים ל-DDoS, מילוי אישורים וניצול לרעה של מסחר אוטומטי
תוכנות זדוניות בשרשרת האספקה: מוטמעות במשחקים פרוצים, ערכות פיתוח תוכנה של צד שלישי, תוספים או צינורות CI/CD
תוכנות כופר: מיקוד בתשתיות ואחסון אחוריים

ברגע שמקטלים אילו מבין אלה יכולים להגיע באופן ריאלי לסביבה שלכם, A.8.7 מפסיק להיות מופשט ומתחיל להצביע על אמצעים טכניים וארגוניים ספציפיים שעליכם לתכנן וליישם.

עבור אנשי מקצוע, משימה פשוטה להתחלתית היא לתחזק מסמך פרופיל תוכנות זדוניות חי עבור המשחק או הפלטפורמה שלכם, שיעודכן לאחר אירועים וסקירות מודיעין על איומים.

ויזואלי: תצוגת מטריצת איומים הממפה משפחות של תוכנות זדוניות לנכסים (שרתי משחקים, כלי מסחר, CI/CD, נקודות קצה של הצוות).

הזמן הדגמה

מה באמת דורש תקן ISO 27001 A.8.7

תקן ISO 27001:2022, בקרה A.8.7, דורש ממך לתכנן, להפעיל ולתחזק בקרות לגילוי, מניעה ושחזור של תוכנות זדוניות, המגובות במודעות משתמשים שתמנע מאנשים לבטל את ההגנות. באולפן משחקים או בחברת מסחר, משמעות הדבר היא להבין כיצד תוכנות זדוניות עלולות להשפיע על השירותים שלך ולהראות שיש לך הגנות מרובדות ומנוהלות היטב.

טקסט הבקרה קצר ונייטרלי מבחינה טכנולוגית בכוונה. הוא אינו דורש מוצר מסוים או מתעקש להתקין את אותו סוכן בכל מחשב מארח. מבקרים מחפשים במקום זאת קומה קוהרנטית: זיהיתם את הסיכון של תוכנות זדוניות במערכת ה-ISMS שלכם, טיפלתם בו באמצעות בקרות הגיוניות, ויכולתם להראות שהבקרות הללו פועלות בפעילות היומיומית באמצעות רשומות ומחזורי סקירה.

אולפנים רבים מניחים בתחילה ש"הגנה מפני תוכנות זדוניות" שווה ערך לדוחות כיסוי של האנטי-וירוס. זה לעיתים רחוקות מספיק לביקורת וכמעט אף פעם לא מספיק לאבטחה בזמן אמת. כדי לעמוד בדרישות A.8.7 בצורה אמינה, בדרך כלל נדרשים מספר זרמי עבודה ברורים עם בעלים, מדדים וראיות מתמשכות.

עבור מנהיגים, זה הופך את ההגנה מפני תוכנות זדוניות מציפייה מעורפלת להיקף בר-ניהול: חלק מוגדר ממערכת ניהול אבטחת המידע שלכם שניתן לשלוט בו, לספק לו משאבים ולשפר אותו לאורך זמן.

הגנה מפני תוכנות זדוניות הופכת משכנעת כאשר סיכונים, בקרות וראיות מסתדרים יחד בקומה אחת פשוטה.

חלוקת A.8.7 לארבעה זרמי עבודה

חלוקת A.8.7 למספר קטן של זרמי עבודה מקלה על הקצאת בעלים, קביעת ציפיות ואיסוף הראיות הנכונות, ופרשנות מעשית לסביבות משחק ומסחר פשוט מפצלת את העבודה לארבעה זרמים שניתן להקצות ולעקוב אחריהם. לאחר מכן ניתן להראות למבקרים כיצד כל זרם תומך במניעה, גילוי והתאוששות באופן שמתחבר בצורה ברורה לארכיטקטורה ולתהליכים שלכם.

בפועל, צוותים רבים מתבססים על ארבעה זרמי עבודה אשר יחד מכסים את ליבת A.8.7 ומתאימים בצורה מסודרת לתפקידים ומערכות קיימים.

הערכת סיכונים – לזהות איומים הקשורים לתוכנות זדוניות במאגר הסיכונים שלך, כגון:

גנבי מידע או RATs במחשבי צוות שמגיעים לכלי ניהול או מערכות בנייה
מודים או תוספים קהילתיים שנפגעו ומחדירים קוד למפעילי אפליקציות
בוטים למסחר או הרחבות דפדפן המותקפות על ידי טרויאנים, המשמשים שחקנים או שותפים
התקפות שרשרת אספקה שהופכות את צינור הבנייה או מנגנוני העדכון שלך לנשק

לכל איום המופיע ברשימה צריכים להיות בעלים, סבירות, השפעה וטיפול מתוכנן.

בקרות טכניות – לתכנן אמצעים רב-שכבתיים למניעה, גילוי והתאוששות מאיומים אלה בנושאים הבאים:

נקודות קצה למפתחים ותחנות עבודה לניהול
מערכות CI/CD, תשתית חתימה ורישום
שרתי משחקים, פלטפורמות תזמור ומטוסי בקרה
משגרים, לקוחות מסחר וממשקי קצה של אתרים

בקרות עשויות לכלול הקשחה, סריקה, רישום היתרים, פילוח, רישום וגיבוי.

מודעות והתנהגות – לוודא שהצוות והקבלנים הרלוונטיים מבינים:

כיצד תוכנות זדוניות עלולות להגיע לכלי בנייה, קונסולות או סביבות בדיקה
מדוע שימוש בכלים לא מאושרים, צ'יטים או תוכנות פרוצות מסוכן
כיצד לזהות ולדווח על פעילות חשודה או פישינג

תוכן ההדרכה ורישום נוכחות מהווים חלק מהראיות שלך במסגרת סעיף A.8.7.

ראיות וממשל – לחבר הכל בחזרה למערכת ה-ISMS שלך באמצעות:

מדיניות ותקנים המסבירים את הגישה שלך לתוכנות זדוניות
רישומי הערכת סיכונים, חריגים, שינויים ואירועים
יומני רישום ודוחות מכלים המראים שהבקרות פועלות ונבדקות

מטופל כך, A.8.7 הופך לתוכנית ניתנת לניהול ולא לדרישה מעורפלת. עבור אנשי מקצוע, הוא גם יוצר רשימת מטלות ברורה: שמירה על סיכונים מעודכנים, כוונון בקרות, מתן הדרכות ואיסוף ראיות.

פרשנויות מוטעות נפוצות שכדאי להימנע מהן

הבנת מה שתקן A.8.7 אינו דורש חשובה לא פחות מהידיעה מה הוא מצפה. הימנעות מכמה אי הבנות נפוצות תחסוך לכם זמן ותפחית חיכוכים עם רואי חשבון.

מספר אי הבנות חוזרות ונשנות גורמות כאב לארגוני ציד ומסחר, וקל למנוע אותן אם יודעים לחפש אותן.

"A.8.7 פירושו אנטי-וירוס בכל מקום.": עבור חלק מהמארחים בעלי השהייה קריטית, זה לא אפשרי. התקן מאפשר חלופות אם ניתן להראות הגנה שווה ערך או טובה יותר באמצעות הקשחה, פילוח ובקרות במעלה הזרם.

"תוכנה זדונית בצד השחקן אינה במסגרת התחום.": אינך יכול לנהל את מכשירי השחקנים ישירות, אך הערכת הסיכונים שלך חייבת לקחת בחשבון תוכנות זדוניות בצד השחקן במקרים בהם הן מובילות לגניבת חשבון, הונאה בתוך המשחק או ניצול לרעה של ממשקי API של המערכת.

"מודעות שווה ערך למצגת שנתית." עבור A.8.7, יש להתאים את המודעות. יש להכשיר מהנדסים וצוותי Live Ops בנוגע לבטיחות בצנרת הבנייה, היגיינת כלי ניהול וכיצד פעולותיהם עלולות להחדיר או להפיץ תוכנות זדוניות.

"ראיות הן תרגיל חד פעמי." מבקרים מצפים לראות שיומני רישום, רישומי הדרכה ודוחות בקרה יישארו מעודכנים, ושהלקחים מהאירועים יובילו לעדכונים של טיפולי סיכונים ותקנים.

בדיקה מנטלית שימושית היא זו: אם תסיר את כלי האנטי-וירוס שלך מחר, האם אחסון התוכנות הזדוניות שלך יקרוס? אם התשובה היא כן, המימוש שלך של A.8.7 כנראה צר מדי וממוקד מדי בכלים.

ויזואלי: תרשים פשוט המקשר את ארבעת זרמי העבודה לסוגי ראיות לדוגמה (סיכונים, בקרות, הדרכה, יומנים).

ISMS.online מעניק לך יתרון של 81% מרגע הכניסה

ISO 27001 בקלות

עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.

התחל כאן

תרגום A.8.7 לארכיטקטורת שרתי משחקים

A.8.7 מתורגם לארכיטקטורת שרתי משחקים כהגנות רב-שכבתיות המכבדות תקציבי ביצועים תוך חסימת נתיבי תוכנות זדוניות ריאליסטיים, ופועל בצורה הטובה ביותר כעיצוב הגנה מעמיקה ששומר על סריקה כבדה מחוץ לנתיב החם ועדיין מגן על המערכות שמייצרות, פורסות ומריצות קוד משחק. אתם שואפים להרחיק סריקה ולוגיקה כבדה מלולאות משחק חמות, אך עדיין להוכיח שאתם יכולים למנוע, לזהות ולהתאושש מפגיעה, תוך התייחסות לסיכון תוכנות זדוניות כאל אילוץ עיצובי מרכזי עבור הקצה האחורי שלכם ולא כתוסף.

עבור שרתי משחקים, A.8.7 פועל בצורה הטובה ביותר כארכיטקטורת הגנה מעמיקה אשר שומרת על סריקות כבדות מחוץ למסלול החם, ועדיין מגנה על המערכות שמייצרות, פורסות ומריצות קוד משחק. המטרה היא להתייחס לסיכון תוכנות זדוניות כאל אילוץ עיצובי מרכזי עבור ה-backend שלכם, ולא כתוסף.

דרך פרגמטית להתחיל היא למפות את ארכיטקטורת מרובי המשתתפים שלכם ולהחליט היכן תוכנות זדוניות יכולות להשפיע בצורה הגדולה ביותר. זה בדרך כלל כולל שרתי משחקים סמכותיים, אשכולות שידוכים, שירותי לובי, שרתים אחוריים נגד צ'יטים, פלטפורמות תזמור וכלי ניהול המשמשים לניהולם. כל אחד מהם ממלא תפקיד שונה וזקוק לתמהיל בקרה מעט שונה, אך כולם צריכים להתאים לקומה עקבית אחת של A.8.7.

כשחושבים בשכבות, אפשר לבחור מה חייב לרוץ על מארח המשחק עצמו, מה שייך לתשתית סמוכה, ומה יכול לשבת לחלוטין מחוץ לנתיב התעבורה החי, כמו סריקה ב-CI/CD או בקצה.

עבור מנהיגי הנדסה, גישה רב-שכבתית זו גם מקלה על שיחות שדרוג: ניתן להסביר בדיוק היכן ממוקמות בקרות האבטחה, כיצד הן משפיעות על הביצועים ואילו פשרות התקבלו.

ויזואלי: דיאגרמת הגנה שכבתית על שרתי משחקים, ממכשירי השחקן דרך הקצה, צמתי המשחק, תזמור ו-CI/CD.

מודל בקרה שכבתי עבור שרתי משחקים

מודל בקרה שכבתי מקבץ הגנות לשכבות מארח, רשת, יישום וניהול, כך שתוכלו להסיק מסקנות לגבי פשרות, להקצות בעלות ולהראות למבקרים כיצד כל שכבה תורמת להגנה מפני תוכנות זדוניות, ועיצוב טיפוסי המותאם ל-A.8.7 עבור שרתי משחקים ישתמש בכמה שכבות חיזוק כדי לשמור על פשרות. מבנה זה מקל על ההסבר היכן נמצאות בקרות, מדוע הן נבחרו וכיצד הן מאזנות ביצועים עם אבטחה בפועל.

עיצוב טיפוסי המיושר ל-A.8.7 עבור שרתי משחקים עשוי להשתמש בכמה שכבות חיזוק.

שכבת מארח (צמתי משחק):
תמונות של מערכת הפעלה נעולות עם שירותים נדרשים בלבד מותקנים
גישת מנהל מקומית מינימלית; ניהול באמצעות מארחי bastion ואוטומציה
ניהול תצורה ולוחות זמנים מדויקים של תיקונים
תוכנות אנטי-וירוס או רשימת היתרים מכוונים בקפידה, היכן שתקציבי הביצועים מאפשרים זאת

רשת ושכבת קצה:
הגנה מפני DDoS וקרצוף תעבורה בקצה כדי לסנן תעבורה זדונית ברורה
פילוח רשת להפרדת תעבורת משחקים מרשתות ניהול וניהול
זיהוי חדירות או ניטור אנומליות המותאמים לפרוטוקול ולפרופיל התעבורה שלך

שכבת יישום:
אימות קלט קפדני ואכיפת פרוטוקול בשירותי משחקים
כללים להגבלת קצב וזיהוי שימוש לרעה שמזהים דפוסים דמויי בוטים
שילוב של טלמטריה נגד צ'יטים שיכולה לסמן הזרקת קוד חריגה או זיהוי קוד (hooking)

שכבת ניהול ותצפית:
גישה מבוקרת היטב לכלי תזמור, פריסה וניהול
רישום מקיף של שינויי תצורה, פריסות ואירועים חשודים
לוחות מחוונים והתראות לחשיפת אנומליות הקשורות לתוכנות זדוניות במהירות

עם מבנה זה, פשרה בשכבה אחת נוטה הרבה פחות להתפשט לכל הנכס, וניתן לתאר את תפקידה של כל שכבה בבירור לרואי החשבון.

עבור אנשי מקצוע כמו מנהלי SRE וצוותי פלטפורמה, שכבות אלו מתואמות בצורה מסודרת לאחריות הקיימת: תמונות ותיקונים, מדיניות רשת, בקרות יישומים ויכולת תצפית.

בחירות עיצוב המסייעות בזיהוי ובשחזור

דפוסי עיצוב מסוימים הופכים את גילוי ושחזור תוכנות זדוניות למהירים ואמינים יותר. הם גם יוצרים ארטיפקטים חזקים וניתנים למעקב שניתן להציג במהלך ביקורות.

מספר דפוסי עיצוב הופכים אירועי תוכנה זדונית לפחות סבירים וקלים יותר להתאוששות מהם, ובמקביל מספקים לכם ראיות חזקות לביקורת.

שלב 1 – תמונות זהב סטנדרטיות

בניית כל צמתי המשחק מתמונות סרוקות ומוכרות מפחיתה את הסיכוי לסחיפה שקטה או תוכנה שנשכחה שהופכת לנקודת הדבקה. כאשר יש חשד לפגיעה, ניתן לפרק ולבנות מחדש במקום לנקות את המכונות במקומן. הגדרות תמונות ומדריכים להקשחה משמשים גם כארטיפקטים של A.8.7.

שלב 2 – תשתית בלתי ניתנת לשינוי, "החלפה, אל תתקין"

במיוחד עבור עומסי עבודה במכולות, התייחסות לשרתי משחקים כאל שרתים חד פעמיים הופכת את הבלימה והשחזור למהירים יותר. לאחר חסימת גישה זדונית או הסרת תמונה גרועה מהצמתים, ניתן למחזר צמתים ולהיות בטוחים שהשאריות של ארטיפקטים נעלמו. יומני שינויים ופריסה מראים כיצד ביצעת את השחזור.

שלב 3 – נתיבי ניהול מבוקרים בקפידה

הגבלת הכלים והנתיבים שדרכם מנהלי מערכת מגיעים לייצור מפחיתה את הסיכוי שתוכנות זדוניות בתחנת עבודה אישית יוכלו להיכנס לסביבת המשחק. תיעוד נתיבים אלה ושמירה עליהם צרים מספקים לכם מבוא פשוט הן לצוותי אבטחה והן למבקרים.

יחד, בחירות אלו מחיות את A.8.7 בדיאגרמות הארכיטקטורה, במחברות הריצה ובחבילות הביקורת שלכם. הן גם מספקות למנהלי מערכות מידע (CISO) מנופי עיצוב קונקרטיים לדון בהם עם צוותי הנדסה ודירקטוריונים.

ויזואלי: זרימה קטנה המציגה "חשד לפריצה → מיחזור צומת מתמונה מוזהבת → שחזור שירות ורישום פעולות".

יישום A.8.7 על פלטפורמות מסחר וכלכלות בתוך המשחק

בפלטפורמות מסחר ובכלכלות בתוך המשחק, סעיף A.8.7 עוסק בהגנה על זרימות ערך והגינות לא פחות מאשר בתשתית, תוך הכרה בכך שהונאות המבוססות על תוכנות זדוניות, השתלטות על חשבונות וגניבת פריטים הם סיכונים מרכזיים וזקוקים לבקרות בצד השרת ובקרות תהליכים שמזהות ומכילות התנהגויות אלו. בצד המסחר, מדובר בהרבה יותר משמירה על ניקיון שרתי האינטרנט של השוק; מדובר בהגנה על זרימות ערך וכלכלות בתוך המשחק מפני גנבי מידע, בוטים טרויאניים ומערכות צוות פגועות שניתן להשתמש בהן כדי לשנות מחירים, להעניק פריטים או לעקוף בדיקות הונאה.

בצד המסחר, A.8.7 עוסק ביותר משמירה על ניקיון שרתי האינטרנט של השוק; מדובר בהגנה על זרימת ערך וכלכלות בתוך המשחק מפני הונאות המבוססות על תוכנות זדוניות. גנבי מידע ו-keyloggers מכוונים לכניסות למסחר, בוטים עם סוסים טרויאניים מנצלים לרעה ממשקי API, ומערכות צוות שנפגעו יכולות לשמש לשינוי מחירים, הענקת פריטים או עקיפת בדיקות הונאה.

כאן, הגנה מפני תוכנות זדוניות הופכת לבלתי נפרדת מניהול הונאות ותכנון כלכלי. אותה מערך בקרה צריך לתמוך במשחק הוגן, בציפיות רגולטוריות ובדרישות המניעה, הגילוי וההתאוששות של נספח A.8.7.

לכל הפחות, עליך לזהות את הרכיבים שמשפיעים על ערך ואמון:

ממשקי מסחר באינטרנט ובתוך הלקוח
מיקרו-שירותי שוק ומכירות פומביות
שירותי מלאי וספר חשבונות
כלי תמיכה ומאסטר משחק עם הכוח לשנות את האיזונים
ממשקי API לשותפים, בוטים וכלים חיצוניים

כל אחד מאלה מתמודד עם איומים שונים המופעלים על ידי תוכנות זדוניות וצריך שיהיו לו יעדי בקרה וראיות משלו.

ויזואלי: דיאגרמת נתיב הונאה ממכשירי שחקנים ותחנות עבודה של הצוות דרך ממשקי מסחר, ספרי חשבונות וכלי ניהול.

מיפוי נתיבי הונאה המבוססים על תוכנות זדוניות

מיפוי נתיבי הונאה המבוססים על תוכנות זדוניות עוזר לך לראות כיצד גנב מידע או RAT במכשיר יחיד עלול להוביל לנזק פיננסי או כלכלי, ודרך פשוטה להסיק מסקנות לגבי סיכון מסחרי תחת A.8.7 היא לעקוב אחר "נתיבי הונאה" אלה ולאחר מכן לשבור אותם באמצעות בקרות. לאחר שתוכל לעקוב אחר האופן שבו תוכנות זדוניות מגיעות, היכן הן יתגלו ואילו אמצעים ישברו את השרשרת, תוכל לתכנן הגנות בצד השרת ובתהליך העונות על ציפיות האבטחה והביקורת כאחד.

דרך פשוטה להסיק מסקנות לגבי סיכון מסחר תחת A.8.7 היא לעקוב אחר "נתיבי הונאה" שתוכנות זדוניות עלולות לאפשר ולאחר מכן לשבור נתיבים אלה באמצעות בקרות.

דוגמאות אופייניות כוללות:

גונב מידע מצד השחקן: – גונבת פרטי כניסה לשוק כך שתוקפים מרוקנים מלאי ומוכרים פריטים חיצונית
תחנת עבודה של הצוות RAT: – חוטף כלי תמיכה או כלי ניהול מערכות כך שתוקפים יעניקו פריטים או ישנו מחירים באופן לא לגיטימי
בוט מסחר מופעל על ידי טרויאן: – מתחזה ככלי עזר תוך כדי חילוץ מפתחות API וביצוע עסקאות מניפולטיביות
תוסף דפדפן שנפגע: – מזריק סקריפטים לממשקי משתמש של מסחר כדי ללכוד פרטי התחברות או לשנות חשבונות יעד

עבור כל נתיב שתזהו, שאלו שלוש שאלות:

כיצד תוכנות זדוניות יגיעו לראשונה לסביבה שלך או בקרבתה.
היכן זה יזוהה, אם בכלל, במערכת הנוכחית שלך?
אילו בקרות ישברו את השרשרת: אימות חזק יותר, מוניטין של המכשיר, מגבלות קצב, אימות מחוץ לתחום או שינויים בתהליכי הצוות?

מענה מהיר על שאלות אלו חושף היכן A.8.7 זקוק לעזרה מבקרות גישה, רישום וניהול אירועים במקומות אחרים בתקן.

עבור אנשי מקצוע, הפיכת נתיבי ההונאה הללו לספרי נהלים עבור צוותי אבטחה ותמיכה מסייעת להבטיח תגובות עקביות כאשר מופיעה פעילות חשודה.

בקרות צד-שרת התומכות ב-A.8.7 במסחר

בקרות בצד השרת מאפשרות לך לרסן את השפעת התוכנות הזדוניות גם על מכשירים שאינך מנהל. אם תעצב אותן היטב, הן יספקו הן את צוותי האבטחה והן את המבקרים בכך שיראו כיצד אתה מגביל הונאות ומתאושש מניצול לרעה.

בסביבות מסחר מסתמכים לעתים קרובות יותר על בקרות בצד השרת מאשר על סריקה כבדה בצד הלקוח, במיוחד במקרים בהם לא ניתן לנהל את התקני השחקנים ישירות. המפתח הוא להראות כיצד בקרות אלו מונעות, מזהות ומגבילות שימוש לרעה המונע על ידי תוכנות זדוניות.

אמצעים שימושיים כוללים:

זיהוי אנומליות בעסקאות: – מזהה גדלים, תדירות או יעדים חריגים המצביעים על חשבונות שנפרצו
טביעת אצבע של המכשיר והסשן: – מזהה דפוסים מסוכנים כגון מכשירים, מיקומים או כלים חדשים לפעולות רגישות
אימות משופר: – מוסיף בדיקות נוספות עבור העברות בסכום גבוה או שינויים בפרטי התשלום
עיכוב בהסדר או בירור: – מאט או מסמן פעילות חשודה כדי שצוותי הונאה יוכלו להתערב לפני שהנזק הופך קבוע

אתם יכולים להציג את אלה באופן לגיטימי כחלק ממערכת ההגנה שלכם מפני תוכנות זדוניות אם הערכת הסיכונים והתיעוד שלכם מבהירים את השרשרת: אתם יודעים שגנבי מידע יהיו קיימים, ואמצעים אלה בצד השרת מגבילים את הנזק שהם יכולים לגרום.

אפשר לחשוב על הפשרה כך:

גישה	מיקוד ראשוני	פערים אופייניים
בקרות תוכנות זדוניות לנקודת קצה בלבד	הגנה על מכשירי לקוח ונקודות קצה של הצוות	תצוגה מוגבלת של נתיבי הונאה במשחק
בקרות אנומליה בצד השרת	זיהוי ובלימת חשבונות שנפרצו	עדיין זקוק להיגיינה טובה בנקודות הקצה
נקודת קצה משולבת + מיקוד שרת	נקודות קצה, ממשקי API, ספרי חשבונות וכלים שעובדים יחד	כיסוי וראיות טובים יותר

מסגור בקרות בדרך זו עוזר לך להסביר למבקרים מדוע ניתן לעמוד בדרישות A.8.7 על ידי שילוב של היגיינת נקודות קצה והגנות חזקות מפני הונאות בצד השרת, גם כאשר אינך שולט בכל מכשיר שנוגע במערכת האקולוגית שלך.

ויזואלי: תרשים זה לצד זה המציג "בקרות נקודת קצה של השחקן" לעומת "בקרות מסחר בצד השרת" וכיצד שניהם משפיעים על תגובת האירוע.

הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.

הזמן את ההדגמה שלך

תכנון הגנות מפני תוכנות זדוניות בעלות השהייה נמוכה וזמינות גבוהה

תכנון הגנות מפני תוכנות זדוניות בעלות השהייה נמוכה וזמינות גבוהה פירושו התייחסות לביצועים ולאבטחה כאל אילוצים משותפים, כך שתוכלו להזיז בדיקות כבדות מהדרך החמה, לשמור על שליטה הדוקה על ערוצי ניהול ותצורה, ולהוכיח שפשרות הן מכוונות ולא מקריות. פלטפורמות משחקים ומסחר חיות או מתות על השהייה וזמן פעולה, כך שכל יישום A.8.7 חייב לכבד תקציבי ביצועים מחמירים ועדיין להגן על הסביבה שלכם מפני תוכנות זדוניות מציאותיות.

פלטפורמות משחקים ומסחר חיות או מתות על סמך זמן השהייה וזמן פעולה, כך שכל יישום A.8.7 חייב לכבד תקציבי ביצועים מחמירים. עליכם להגן על הסביבה שלכם מבלי לשבור זמני פריימים, קצבי טיק או מהירות התאמת הזמנות.

השיחות החשובות ביותר כאן נוטות להיות בין אבטחה להנדסת פלטפורמה. אבטחה רוצה עומק בדיקה וטלמטריה עשירה; הנדסה רוצה ביצועים ומצבי כשל צפויים. תכנון יעיל של A.8.7 מאפשר את שניהם על ידי דחיית בדיקות כבדות מהנתיב החם ושימוש באמצעים ממוקדים שבהם תעבורה חיה מעובדת.

ברמה גבוהה, העיצוב שלך צריך:

לתפוס תעבורה גרועה ברורה ומשפחות של תוכנות זדוניות ידועות לפני שהן מגיעות לשירותי משחק או מסחר
לאכוף בקרות קפדניות של תצורה, גישה ושינויים במארחים קריטיים לביצועים
להסתמך על ניטור וטלמטריה שיכולים לזהות אנומליות מבלי לבדוק כל חבילה או קובץ בנתיב החם

עבור מנהיגים בכירים, זה גם המקום שבו ניתן לחבר החלטות אבטחה לחוויית השחקן ולאמינות המסחר: בקרות שגורמות לגמגום או להפסקות פעילות יאבדו במהירות את התמיכה.

דפוסים מעשיים המאזנים אבטחה וביצועים

דפוסי תכנון מעשיים מראים כי אילוצי ביצועים שולבו בהחלטות אבטחה מההתחלה, וכאשר מיישמים אותם באופן עקבי, הם מקלים על החיים הן עבור המהנדסים והן עבור המבקרים. מספר גישות חוזרות ונשנות עוזרות לכם לעמוד ביעדי אבטחה וביצועים, תוך מתן רציונל ברור בכל פעם שמבקר שואל מדוע בקרה נתונה פועלת או לא פועלת בנתיב החם.

מספר דפוסים חוזרים עוזרים לך לעמוד ביעדי אבטחה וביצועים כאחד, תוך מתן רציונל ברור למבקרים.

"אבטחה מחוץ למסלול החם" בקצה: – השתמשו בהגנה ייעודית של DDoS, חומות אש של יישומי אינטרנט ושירותי ניקוי תעבורה מול התשתית שלכם. כלים אלה יכולים לבצע בדיקות כבדות יותר והגבלת קצב מבלי להתחרות על מעבד בצמתי משחק או מסחר.

חריגים מבוססי סיכון עבור סוכני מארח: – במקומות בהם אנטי-וירוס בזמן אמת או EDR יגרמו לתקורה בלתי מקובלת, יש לתעד חריגים ולהסתמך על הקשחת נתונים, אי-יכולת שינוי תמונה, בקרות גישה מועדפות וסינון במעלה הזרם כבקרות פיצוי. יש לבדוק ולנמק מחדש חריגים אלה באופן קבוע.

סריקה בתקופות שקטות: – להריץ סריקות מעמיקות יותר של תוכנות זדוניות על תמונות, קונטיינרים או דיסקים במהלך חלונות פריסה ומחזורי תחזוקה במקום במהלך התאמות או תקופות שיא במסחר. זה נותן לך את רוב התועלת ללא תקורה מתמדת של תוכנות זדוניות.

החלטות מפורשות בנוגע לחוסן: – להחליט מראש האם שירותי אבטחה כגון בדיקה מקוונת או מגבילי קצב צריכים להיכשל במצב פתיחה או סגירה תחת עומס, ולתעד החלטות אלו כחלק מטיפול הסיכונים. בדרך זו, כלי תקול לא יהפוך בטעות לסירוב שירות עצמי.

בדיקות ביצועים ואבטחה משותפות: – בדקו שינויים בבקרות הקשורות לתוכנות זדוניות תחת עומס ריאלי כדי למדוד את השפעתם על השהייה, קצב ה-tick, זמן ההתאמה והקיבולת. כללו בדיקות אלו בקריטריונים שלכם לניהול השינויים ולשחרור.

דפוסים אלה, כאשר מטופלים באופן עקבי, מאפשרים לכם לתת למבקרים הסבר משכנע היכן וכיצד אתם מפעילים (או לא מפעילים) סוגים מסוימים של טכנולוגיית אנטי-תוכנות זדוניות, תוך מתן ביטחון לצוותי ההנדסה שהביצועים מוגנים.

עבור צוותי SRE ופלטפורמה, רשימת בדיקה פשוטה של "בדיקות אבטחה וביצועים טרום פריסה" מבטיחה שדפוסים אלה יהפכו לתרגול חוזר ולא למאמצים חד פעמיים.

הסכמה על תקציבי ביצועים עם הנדסה ומבקרים

הסכמה על תקציבי ביצועים עם הנדסה ומבקרים הופכת את תחושות הבטן לגבי בקרות "כבדות מדי" להחלטות מדידות והגנה. זה מפחית ויכוחים במהלך התכנון ועוזר לכם להצדיק חריגים מול מעריכים חיצוניים.

כדי שהדפוסים הללו יישמרו, עליכם להסכים באופן מפורש לגבי מהי "תקורה מקובלת" וכיצד תוכיחו זאת. זה מפחית חיכוכים בכל פעם שאתם מציגים או מתאימים בקרות הקשורות לתוכנות זדוניות.

בפועל, זה בדרך כלל אומר:

הגדרת יעדי השהייה, תפוקה וזמינות עבור כל שירות עיקרי
ציון כמות בקרות אבטחה נוספות המותרות להוסיף תחת עומס רגיל
הסכמה אילו בדיקות תבצעו, ואילו תוצאות נחשבות מקובלות

צוותי אבטחה והנדסה צריכים לתעד את ההחלטות הללו ולשתף אותן עם צוותי הביקורת והתאימות. כאשר מבקר שואל מדוע אינכם מפעילים סוכן מסוים בשרתי משחקים, תוכלו להצביע על נתוני ביצועים, טיפולי סיכונים מוסכמים ובקרות חלופיות במקום להסתמך על הבטחות בעל פה.

עם הזמן, תקציב ביצועים משותף זה הופך לחלק מהראיות שלך במסגרת A.8.7. זה מראה ששקלת הגנות מפני תוכנות זדוניות לצד חוויית המשתמש ויעדים עסקיים, וזה מסביר מדוע נעשו בחירות עיצוב ספציפיות.

ויזואלי: תרשים פשוט המציג השהיה בסיסית לעומת תקורה נוספת מבקרות אבטחה, עם טווח תקציב מוסכם.

הגנה על CI/CD ושרשרת האספקה של תוכנת משחקים

הגנה על CI/CD ועל שרשרת האספקה של התוכנה היא מרכזית ב-A.8.7, מכיוון ש-pipeline פרוץ יכול לדחוף תוכנות זדוניות לכל שחקן ופלטפורמה בו זמנית, ורבים מהאירועים המזיקים ביותר מתחילים בצינורות הבנייה והאספקה ולא בשרתי הייצור. המטרה שלך היא לעצור קוד זדוני מלהיכנס ל-builds, לזהות אותו לפני השחרור ולהתאושש במהירות כאשר משהו חומק, מה שהופך את הגנת שרשרת האספקה לחלק מרכזי בעמידה ב-A.8.7 ולא לתוספת נחמדה.

רבים מאירועי התוכנה הזדונית המזיקים ביותר אינם מתחילים בשרתי ייצור; הם מתחילים בצינורות בנייה ואספקה. עבור אולפנים וצוותי מסחר מודרניים, הגנה על שרשרת האספקה של התוכנה היא חלק מרכזי בעמידה בתקן A.8.7 ולא תוספת נחמדה.

שרשרת האספקה כוללת את כל מה שנוגע בקוד ובנכסים שלך לפני שהם מגיעים לשחקנים:

מאגרי מקורות ומנהלי תלויות
רצים של CI, בניית שרתים וכלי אריזה
רישומי מכולות ומחסני חפצים
תשתית חתימה וערוצי שחרור
תוכנות תיקון, משגרים ומנגנוני עדכון אוטומטיים

אם אחת מהתוכנות הללו נפגעת, אתם עלולים בסופו של דבר להפיץ תוכנות זדוניות תחת שמכם, מה שיהפוך במהרה למשבר אבטחה ואמון כאחד.

עבור דירקטוריונים ומנהלים, זהו לרוב התרחיש בעל ההשפעה הגדולה ביותר: טעות אחת ב-CI/CD עלולה לפגוע במוניטין של המותג ולגרום לביקורת רגולטורית.

ויזואלי: דיאגרמת צינור CI/CD המציגה את שלבי המקור, הבנייה, הסריקה, החתימה והשחרור, עם בקרות תוכנה זדונית בכל שלב.

בניית בקרות נגד תוכנות זדוניות בצנרת

בניית בקרות נגד תוכנות זדוניות ב-CI/CD פירושה הכנסת שלבי אבטחה ברורים במסלול משלב ה-commit ועד לשחרור, וגישה פרגמטית תחת A.8.7 משלבת את השלבים הטכניים הללו עם בעלות ברורה כך שאחריות הגילוי, המניעה והשחזור תהיה חד משמעית ומוכחת היטב. לכל שלב צריכים להיות בעלים מוגדרים, בדיקות אוטומטיות ויומני רישום כדי שתוכלו לשחזר את מה שקרה עבור חקירות וביקורות.

גישה פרגמטית לתוכנות זדוניות בשרשרת האספקה תחת A.8.7 משלבת בדרך כלל שלבים טכניים ובעלות ברורה, כך שהאחריות על גילוי, מניעה והתאוששות תהיה חד משמעית.

אבני בניין נפוצות כוללות:

תשתית בנייה ייעודית ומחוזקת: – להגביל את מי שיכול להתחבר לשרתי בנייה, להימנע משימוש בהם לגלישה יומיומית או דוא"ל, ולנטר פעילות חריגה. אמצעים אלה מפחיתים את הסיכוי שתוכנות זדוניות יינחתו על מכונות בנייה מלכתחילה.

מדיניות תלות בהיקף: – אפשרו תלויות רק ממקורות מאומתים, הצמידו גרסאות והשתמשו במנגנוני SBOM (רשימת חומרים של תוכנה) כדי לדעת מה מכיל כל בנייה. אם ספרייה מתבררת מאוחר יותר כזדונית, תוכלו למצוא במהירות בנייה מושפעת.

שלבי סריקה אוטומטית: – הוסיפו סריקת תוכנות זדוניות ואבטחה כשלבים סטנדרטיים ב-CI/CD, תוך בדיקת תמונות מקור, קבצים בינאריים ותמונות קונטיינר לפני קידום. שלבים אלה מספקים זיהוי מוקדם של תוכנות זדוניות ותומכים ישירות ביעדי הזיהוי והמניעה של A.8.7.

שליטה קפדנית על מפתחות חתימה: – לשמור מפתחות חתימת קוד בחומרה מאובטחת או בשירותים מנוהלים, להגביל את מי שיכול לבקש חתימות ולרשום את כל פעולות החתימה. זה מגן מפני תוקפים המפיצים תוכנות זדוניות שנראות כמו עדכון רשמי.

נתיבי שחרור מבוקרים: – להשתמש בצינורות חוזרים כדי להכניס מבנים לייצור, עם אישורים ובדיקות מתועדים. להימנע מפריסות אד-הוק, "מחוץ לפס", שעוקפות בקרות ומקשות על הוכחת מה קרה.

גם בעלות חשובה. מהנדסי בנייה בדרך כלל מחזיקים בשליטה על תצורת הצינור ועל התפעול היומיומי, צוותי אבטחה מגדירים דרישות סריקה והקשחה, ומנהלי גרסאות או בעלי מוצר מאשרים את מה שעולה לאוויר. הפיכת האחריות הזו למפורשת מחזקת הן את הבקרה בפועל והן את רצף הביקורת שלכם.

עבור אנשי מקצוע, צעד מעשי הוא להתייחס לתצורת צינור כאל קוד. בדרך זו, השינויים נבדקים, מבוקרים על ידי גרסאות וקלים להוכחה.

הוכחת בקרות שרשרת אספקה למבקרים בתקן ISO 27001

הוכחת בקרות שרשרת אספקה למבקרים פירושה חיבור דיאגרמות ומדיניות לראיות קונקרטיות. אתם רוצים להראות שבוצעו בדיקות, בעיות נתפסו והחלטות נרשמו, לא רק שהתכוונתם להפעיל צינור אספקה מאובטח.

כדי לשכנע את המבקרים שבקרות שרשרת האספקה שלכם עומדות בתקן A.8.7, אתם צריכים יותר מתרשימים. אתם צריכים ראיות לכך שבקרות בוצעו ושאנשים פעלו על סמך תוצאותיהן.

חפצים שימושיים כוללים:

הגדרות צינור המציגות היכן ממוקמים שלבי הסריקה, האישור והחתימה
יומני רישום או דוחות אחרונים מסורקי תוכנות זדוניות המקושרים לבניות ספציפיות
רישומי בניות חסומות או כושלות עקב ממצאים חשודים וכיצד הן תוקנו
רשומות שינוי המציגות מתי ומדוע שלבי צינור נוספו או שונו

דוגמה פשוטה עוזרת לחבר את זה. נניח שספרייה של צד שלישי שבה אתה משתמש מתגלה מאוחר יותר ככוללת קוד זדוני. במימוש חזק של A.8.7 היית יודע:

אילו גרסאות בנייה ומשחק כללו את הספרייה המושפעת (מ-SBOMs)
כאשר סורקי הצינורות שלך סימנו לראשונה את הבעיה
מי החליט לחסום מהדורות נוספות או לבטל מהדורות קיימות
באיזו מהירות יוצרו ונפרסו מבנים נקיים

היכולת לזהות את הקומה הזו, עם חותמות זמן ואישורים, מראה שההגנות שלך מפני תוכנות זדוניות משתרעות לאורך כל מחזור חיי התוכנה, לא רק לאורך הייצור.

ויזואלי: תצוגת ציר זמן של "ספרייה נפגעה → התראת סורק → בנייה חסומה → גרסה נקייה נשלחה", עם סימון נקודות ראיות.

ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.

הזמן את ההדגמה שלך

תיעוד A.8.7 עבור ביקורות באולפן משחקים

תיעוד A.8.7 עבור ביקורות פירושו ללכוד בדיוק את הכמות הנדרשת כדי לחבר בין סיכונים, בקרות וראיות מבלי להטביע צוותים בניירת. אתם שואפים למערך מסמכים קטן ומבוקר גרסאות, המשקף במדויק כיצד שרתי משחקים, כלי מסחר וצנרת עובדים באמת.

אפילו מערך בקרה מתוכנן היטב יגרום לחיכוכים בביקורת ISO 27001 אם הוא לא מתועד בבירור. עבור A.8.7, התיעוד צריך לגשר בין המציאות הטכנית לבין השפה בה משתמשים המבקרים מבלי לאלץ אותך לכתוב הכל מחדש מדי שנה.

רוב האולפנים המצליחים שומרים על מערך התיעוד של A.8.7 קטן במכוון ומקשרים אותו לארכיטקטים מפורטים יותר במקום לשכפל מידע. המפתח הוא להדגים שאתם מכירים את הסיכונים שלכם, טיפלתם בהם באמצעות בקרות מתאימות, ויכולים להראות את הבקרות הללו בפעולה בשרתי משחקים, כלי מסחר וצנרת.

תיעוד ברור וקליל הופך את A.8.7 ממטלת ביקורת למפה אמינה של אופן העבודה בפועל.

מסמכים מרכזיים וראיות להכנה

הכנת סט מסמכים מרכזי עבור A.8.7 מעניקה למבקרים נקודת התחלה ומספקת לכם מבנה יציב לתחזוקה, כל עוד כל מסמך מצביע על ראיות חיות במקום לנסות לתאר הכל בפירוט. הפריטים הבאים מופיעים בדרך כלל בחבילות ביקורת עבור סביבות משחקים ומסחר וקשורים ישירות לגישות שתוארו קודם לכן.

הפריטים הבאים מופיעים בדרך כלל בחבילות ביקורת A.8.7 עבור סביבות משחקים ומסחר וקשורים ישירות לגישות שתוארו קודם לכן:

מדיניות אבטחה של תוכנות זדוניות או נקודות קצה: שמתאר את הגישה הכוללת שלך להגנה מפני תוכנות זדוניות וכיצד היא קשורה למערכת ה-ISMS שלך. היא צריכה להתייחס לארכיטקטורת שרתי משחקים, פלטפורמות מסחר ו-CI/CD במידת הצורך.

הערכות סיכונים: שמציינים במפורש איומי תוכנה זדונית על שרתי משחקים, מערכות מסחר, CI/CD ונקודות קצה של הצוות. אלה מקשרים חזרה לזרם העבודה של הסיכונים ולניתוח נתיב ההונאה שביצעת.

סטנדרטים טכניים או קווי בסיס: עבור הקשחת מארח, פילוח רשת, תמונות זהב, שילוב נגד רמאויות ואמצעי הגנה של CI/CD. אלה מתארים את הארכיטקטורה השכבתית ואת בקרות שרשרת האספקה עליהן אתם מסתמכים.

רישומי הכשרה ומודעות: מכסים מפתחים, צוותי הפעלה חיים, תמיכה וצוותים אחרים שיכולים להשפיע על הסיכון לתוכנות זדוניות. אלה תומכים בזרם העבודה של התנהגות ומודעות תחת A.8.7.

ראיות מבצעיות: , כגון דוחות פריסה וסריקה, יומני רישום מכלים הקשורים לתוכנות זדוניות, רישומי אירועים ותוצאות בדיקות שחזור. אלה מראים שמנגנוני מניעה, זיהוי ושחזור פועלים, נבדקים ומשופרים.

אינכם זקוקים למסמכים ענקיים ומפוארים. טקסטים קצרים, המבוקרים על ידי גרסאות, המקושרים לארטיפקטים אמיתיים של המערכת, קלים יותר לעדכון ויש להם משקל רב יותר אצל מבקרים.

פלטפורמת ניהול מרכזית כמו ISMS.online יכולה להקל על כך על ידי אחסון מדיניות, סיכונים, משימות וראיות יחד. זה מפחית את הטרחה לפני ביקורת ועוזר לצוותי CISO, פרטיות ותפעול להישאר מעודכנים לגבי המצב הנוכחי של בקרות A.8.7.

ויזואלי: מפת מסמכים המציגה מדיניות, סיכונים, סטנדרטים וראיות המקושרות חזרה לרשומת בקרה אחת במסגרת A.8.7.

שמירה על תיעוד תואם למערכות חיות

שמירה על תיעוד תואם למערכות חיות מגנה עליכם מבעיית "המציאות על הנייר לעומת המציאות בפועל" אשר חותרת תחת ביקורות רבות. כאשר דיאגרמות, סטנדרטים וראיות זורמים יחד, שאלות הופכות להיות הרבה יותר קלות למענה.

אולפנים שמתקשים עם A.8.7 בביקורות בדרך כלל נתקלים באחת משתי בעיות: או שהבקרות שלהם קיימות אך אינן מתועדות ואינן עקביות, או שהניירת שלהם מתארת עולם שכבר אינו תואם את מה שקורה בפועל.

ניתן להימנע מפער זה על ידי:

קישור עדכוני תיעוד לניהול שינויים, כך ששינויים בארכיטקטורה או בצנרת יגרמו לסקירות של תקנים ומדיניות רלוונטיים
שימוש בתבניות משותפות להערכות סיכונים ואירועים הקשורים לתוכנות זדוניות, כך שצוותים ירשמים מידע בצורה עקבית
תדריך תזמון, סקירות סדירות של מסמכים הקשורים ל-A.8.7 כחלק מסקירת ההנהלה, במקום לנסות כתיבה מחדש גדולה לפני ביקורות

כאשר תיעוד ומערכות חיות מתפתחים יחד, קל הרבה יותר לענות על שאלות מפורטות של מבקר לגבי אופן פעולתה של בקרה ספציפית כיום, מדוע היא נבחרה וכיצד היא מנוטרת.

עבור אנשי מקצוע, משמעות הדבר היא גם פחות עבודה חוזרת: אתם מעדכנים פעם אחת כחלק מתהליכי שינוי רגילים במקום להכין גרסאות נפרדות של המציאות, המבוססות על "ביקורת בלבד".

ויזואלי: דיאגרמת לולאה פשוטה – "שינוי במערכות → עדכון סטנדרטים → איסוף ראיות → סקירת הנהלה → מוכן לביקורת".

הזמן הדגמה עם ISMS.online עוד היום

ISMS.online עוזר לך להביא הגנה מפני תוכנות זדוניות עבור שרתי משחקים וכלי מסחר למערכת אחת תואמת ISO, כך שתוכל להגן על שחקנים והכנסות תוך כדי שמירה על מוכנות לביקורות. על ידי ריכוז סיכונים, מדיניות, ארכיטקטורות, משימות וראיות, תוכל לראות במבט חטוף כיצד נספח A.8.7 פועל בפועל ולא רק במסמכי מדיניות.

כיצד ISMS.online עוזר לך ליישם את A.8.7 באופן תפעולי

ייתכן שכבר הפעלתם אנטי-וירוס, זיהוי ותגובה לנקודות קצה, הגנה מפני רמאויות, הגנה מפני DDoS וסריקת CI/CD. החלק החסר הוא לעתים קרובות שכבת ממשל וראיות ברורה שמראה למי הבעלים של איזו בקרה, כיצד בקרות ממופות ל-A.8.7, היכן מאושרות חריגים ואילו יומנים או דוחות נחשבים כראיות ראשוניות.

בפועל, זה עשוי להיות אומר:

מיפוי שכבות שרת המשחק, שירותי המסחר ושלבי CI/CD ליעדי בקרה ספציפיים של A.8.7
קישור מדיניות, הקשחת מדריכים וספרי עבודה ליעדים אלו כדי שהצוות יוכל למצוא את מה שהוא צריך במהירות
צירוף יומני רישום, דוחות סריקה ורישומי הדרכה כראיות, כך שלא תצטרכו לחפש תיקיות בכל פעם שמתקרב ביקורת

עם הזמן, נקודת מבט מובנית זו משנה את האופן שבו A.8.7 מרגישה. במקום מאבק שנתי להוכיח שכלים שונים מסתכמים ב"הגנה מפני תוכנות זדוניות", אתם מקבלים מערכת חיה שבה שינויים בתשתית, בכללי מסחר או בצינורות משתקפים אוטומטית בקומת הבקרה שלכם.

עבור מנהלי מערכות מידע ומנהלי אבטחה, זה הופך לנכס ברמת הדירקטוריון: אתם יכולים להדגים כיצד הגנות מפני תוכנות זדוניות תורמות לחוסן, הגנה על הכנסות ואמון רגולטורי במקום אחד.

מה הדגמה ממוקדת של A.8.7 יכולה לכסות

מפגש ממוקד על נספח A.8.7 הוא דרך מעשית לראות האם ISMS.online מתאים לסטודיו או לפלטפורמת המסחר שלכם. אתם מביאים את נקודות הכאב הנוכחיות שלכם וסקיצה גסה של הארכיטקטורה שלכם; המפגש מראה כיצד אלו מתממשות למודל בקרה וראיות המותאם ל-ISO.

מפגש טיפוסי יכול:

סקירה כיצד סיכונים, בקרות וראיות הקשורים לתוכנות זדוניות בנויים עבור כותר פעיל או מוצר מסחר
הראו כיצד נרשמים חריגים, אילוצי ביצועים ובקרות פיצוי מבלי להחליש את מעמד הביקורת שלכם.
חקור כיצד חפצי משחק, מסחר, CI/CD ואימון תורמים כולם לקומה אחת ומובנת של A.8.7

אם אתם רוצים להפחית את הלחץ של ביקורת, לחזק את האבטחה ולתת לצוותים תחושת בעלות ברורה יותר, בחינת ISMS.online דרך עדשת A.8.7 היא צעד הגיוני הבא. היא מאפשרת לכם לבחון האם גישה זו תקל באופן ניכר על ניהול הפעילות היומיומית והערכות הפורמליות, תוך שמירה על בטיחות השחקנים וכלכלה הוגנת.

הזמן הדגמה

שאלות נפוצות

כיצד עלינו באמת לקרוא את תקן ISO 27001 A.8.7 עבור שרתי משחקים, משגרים וכלי מסחר?

תקן ISO 27001 A.8.7 מצפה ממך לנהל תוכנות זדוניות כמערכת בקרה מוגדרת ומבוססת סיכונים עבור המשחקים ומחסנית המסחר שלך, ולא כהצהרה מעורפלת של "יש לנו אנטי-וירוס".

מה המשמעות של A.8.7 במערכת אקולוגית של משחקים ומסחר חיים?

הסעיף מבקש ממך להראות שאתה מבין כיצד תוכנות זדוניות מאיימות על שירות חי וכלכלה, ושיש לך שליטה פרופורציונלית. במשחק מקוון או בפלטפורמת מסחר, זה בדרך כלל אומר ששקלת במפורש:

פשרה של שרתי משחקים, שדכנים ושירותי מסחר בזמן אמת.
תוכנה זדונית בסוכני בנייה, מערכות חתימה וקונסולות תזמור.
משגרים, תוכנות טלאים או שכבות-על טרויאניות המשמשות שחקנים.
כלים ותוספים המשמשים מפתחים, צוותי Live Ops וצוותי תמיכה.

עבור כל אחד מאלה, A.8.7 מצפה שתגדיר כיצד אתה מונע הדבקה, מזהה התנהגות חשודה ומשיב מצבים נקיים. אינך צריך לציין מזהי בקרה לשחקנים שלך, אך עליך להראות למבקרים שתרחישים אלה נלכדו במרשם הסיכונים שלך וממופים לתקנים ונהלים ספציפיים.

כיצד נהפוך את הסעיף לעיצוב פשוט וניתן להסבר?

דרך שימושית לשמור על A.8.7 ברור היא לתאר כל שכבה במחסנית שלך בשפה פשוטה:

תשתית משחקים ומסחר: תמונות בסיס קשות, נתיבי ניהול מבוקרים, רישום וניטור.
צינורות וכלים: בדיקות תוכנות זדוניות ותקינות של קוד, תלויות, ארטיפקטים ותמונות של קונטיינר.
נקודות קצה וקונסולות: כלים מינימליים נחוצים, דפדפנים נעולים, תוכנות הגנה במידת הצורך.
אנשים ותהליך: הדרכה, מצטרפים/עוזבים, בקרת שינויים וטיפול באירועים המציינים במפורש תוכנות זדוניות.

אם אתם יכולים לשרטט את הקומה הזו על לוח לבן תוך חמש דקות ולאחר מכן להצביע על מדיניות, סטנדרטים ורשומות תואמות במערכת ניהול אבטחת המידע שלכם, אתם מיישמים את A.8.7 בדיוק באופן שבו מבקרים מחפשים.

כיצד נוכל להגן על שרתי משחקים הרגישים להשהייה מבלי להאט אותם?

אתם מגנים על שרתים מהירים על ידי הצבת רוב הפקדים ה"כבדים" סביב אותם ושמירה על הגנות חיוניות בלבד on אותם, תוך רישום בחירות אלו כהחלטות סיכון רשמיות.

כיצד נראה עיצוב הגנה מפני השהייה מפני תוכנות זדוניות?

עבור עומסי עבודה שבהם מילי-שניות חשובות, בדרך כלל מפצלים את הגישה:

בשרתים קריטיים: בניית מערכות הפעלה סטנדרטיות ומופשטות; תצורה מבוקרת; שירותי רקע מינימליים; בדיקות רישום ותקינות במקום סוכני אבטחה מלאים בסגנון שולחן עבודה.
על מערכות תומכות: כלי זיהוי ותגובה עשירים יותר בתחנות עבודה של ניהול, שרתי בניה, תשתית רישום ורשתות ניהול, שבהן תקורה נוספת קטנה מקובלת.
בהיקף: בקרות במעלה הזרם כגון הגנה מפני DDoS, הגבלת קצב וזיהוי בוטים כדי להרחיק תעבורה פוגענית משלבי המשחק והמסחר.

דפוס זה מאפשר לך להראות שחשבת על ביצועים כדרישה עסקית והתאמת את בחירות האבטחה שלך אליה, במקום פשוט לכבות את הבקרות ולקוות לטוב.

כיצד נוכיח למבקרים שאיזנו בין ביצועים להגנה באחריות?

מנקודת מבט של תקן ISO 27001, הדבר החשוב הוא שהחלטות הביצועים שלך יהיו מוקלט וניתן לחזור עליו, לא רק ידע שבטי. זה בדרך כלל אומר:

תיעוד היכן הקלת את הגדרות ברירת המחדל של ההגנה ומדוע.
תיאור אמצעי הפיצוי שנקטת במקום זאת.
שמירת תוצאות בדיקה המציגות בקרות חדשות אינה פוגעת במשחק או במסחר הרגילים.
ניתוב רשומות אלו דרך בקרת שינויים כך שאישורים וסקירות יהיו גלויים.

כאשר מבקרים יכולים לראות נתיב ברור מהערכת סיכונים, דרך תקן התכנון ועד לראיות הבדיקה, הם הרבה יותר בטוחים שהגישה שלכם מגנה על זמינות, סודיות ויושרה.

אילו תרחישי תוכנה זדונית צריכים לתעדף צוות משחק מקוון או מסחר בתוך המשחק?

העדיפות הראשונה שלך צריכה להיות תוכנות זדוניות שמובילות במהירות ל... השתלטות על חשבון, אובדן של פריטים או מטבע יקרי ערך, פגיעה בסביבת הצוות או שיבוש שירותי פלטפורמה מרכזיים.

כיצד איומים אלה מופיעים בדרך כלל במסעות אמיתיים של שחקנים וצוות?

אתה יכול לעגן את החשיבה שלך בכמה דפוסים קונקרטיים:

התקני נגן: גנבי מידע ולוגרי מפתחות אשר לוכדים פרטי משגר, סיסמאות שנשמרו או אסימוני סשן, מה שמוביל לריקון מלאי ועומס תמיכה.
מכונות צוות: כלי גישה מרחוק, הרחבות דפדפן זדוניות או כלי עזר פרוצים בתחנות עבודה של מפתחים, פעולות חיה או תמיכה, ויוצרים נתיב למערכות פנימיות חזקות.
מערכת הפעלה ומסחר: שתלים או כלים של התמדה שהושלכו לשרתים דרך ממשקי ניהול חשופים או גניבת אישורים.
צינורות ותלויות: חבילות זדוניות במנהלי תלויות או תוספים פגומים עבור מנועי משחקים וכלי יצירה.

עבודה על האופן שבו כל אחד מאלה יפגע בפועל במשחק ובקהילה שלך עוזרת לך להסביר לבעלי העניין מדוע אמצעים ספציפיים - כגון גישת מנהל מבוקרת, סריקת תלויות או סטנדרטים של תחנות עבודה - נחוצים ואין לדלג עליהם.

כיצד אנו משתמשים בתרחישים אלה כדי למקד את יישום A.8.7 שלנו?

לאחר שרישום התרחישים המרכזיים, ניתן לקשור אותם לפעולות גלויות:

התייחסו אליהם ישירות בערכי הסיכון ובתוכניות הטיפול.
קשר אותם לתקנים טכניים ונהלי הפעלה ספציפיים.
קשרו מודולי הדרכה ותרגילים רלוונטיים לאותם סיפורים.

זה שומר על התוכנית שלך ממוקדת בהתקפות שחשובות לכותר או לפלטפורמה הספציפית שלך, ומקל הרבה יותר על התשובה לשאלה הבלתי נמנעת מצד ההנהלה או המבקרים: "מדוע בחרתם בבקרות אלו ולא באחרות?"

כיצד עלינו לאבטח צינורות בנייה ומשגרים כדי שיישארו מהירים ואמינים?

אתם מאבטחים את צינורות הבנייה על ידי יצירת בדיקות תוכנות זדוניות ותקינות כחלק מ... שערים באיכות רגילה, ואתם שומרים על אמינות המשגרים על ידי הסתמכות על חתימה וזרימות עדכון מבוקרות במקום סריקה עמוקה מתמדת.

איך זה נראה בהגדרה טיפוסית של CI/CD ומשגר?

נקודת התחלה מעשית היא:

הפעלת מערכות build על סוכנים ייעודיים באמצעות תמונות מבוקרות וגישה מוגבלת של מנהל מערכת.
הפרדת רשתות בנייה מסביבות ייצור וסביבות הפונות לשחקנים.
כלול שלבים אוטומטיים לסריקת קוד מקור, תלויות, ארטיפקטים מהודקים ותמונות של קונטיינר.
דרוש שרק חפצים חתומים ומאומתים יוכלו לעבור לבמה ולהפקה.

עבור משגרים ותוכנות תיקון, בדרך כלל תקבלו את התוצאות הטובות ביותר מ:

חתימה על קבצים בינאריים וספריות ואימות חתימות לפני התקנה ובעדכון.
אימות מניפסטים או גיבוב (hashes) עבור קבצים שהורדו כדי לזהות שינויים.
שימוש בערוצים מוצפנים ומאומתים עבור תעבורת עדכונים ומטא-דאטה.
תזמון עבודת אימות מעמיקה יותר במהלך עדכונים או תקופות חוסר פעילות במקום בכל הפעלה.

שילוב זה מאפשר לך לנוע במהירות תוך מתן סיפור הגנה על האופן שבו קוד זדוני מונע מפלטי הבנייה והתקנות השחקנים שלך.

כיצד ניתן לתעד זאת עבור ISO 27001 מבלי להעמיס על הצוותים?

רוב הארגונים שומרים על תיאור פשוט ואז מצרפים פרטים במידת הצורך. לדוגמה:

תקן אחד שמסביר כיצד קוד, תלויות, ארטיפקטים ותמונות נבדקים ונחתמים.
ספרי ריצה קצרים לתגובה לכשלים בבדיקות אלו.
הפניות במיפוי סעיף A.8.7 שלך, המצביעות על הגדרות צינור ורשומות חתימה כראיה.

אם הפריטים הללו חיים יחד במערכת ניהול אבטחת המידע שלך, מהנדסים יכולים להמשיך לעבוד במהירות ועדיין לספק למבקרים תמונה ברורה ומובנית של אופן פעולת אבטחת הבנייה והמשגרים מדי יום.

כיצד נוכל להראות למבקר ISO 27001 שבקרות התוכנות הזדוניות שלנו אכן פועלות.

רואי חשבון בדרך כלל רוצים לראות קומה מחוברתסיכונים נוכחיים, הבקרות הקיימות, כיצד בקרות אלו פועלות בפועל, וכיצד אתם משפרים אותן לאחר אירועים או בדיקות.

איזה חומר מעניק למבקרים ביטחון לגבי סעיף A.8.7?

אתם יכולים להכין סט ממוקד של פריטים שיסבירו את הגישה שלכם מבלי להטביע אף אחד בפרטים:

תקן כתוב או מדיניות קצרה המכסה הגנה מפני תוכנות זדוניות בשרתים, נקודות קצה, צינורות ושירותי תמיכה.
רישומי סיכונים וטיפול המציינים תרחישים ספציפיים הקשורים לתוכנות זדוניות ומפנים לבקרות הרלוונטיות.
סטנדרטים טכניים לתחומים כמו בניית שרתים, פילוח, גישת מנהל, חתימת קוד ואבטחת תחנות עבודה.
תוכניות הדרכה ורישום השלמות עבור תפקידים שיכולים להכניס או לזהות תוכנות זדוניות, כגון מפתחים וצוותי Live Ops.

מסמכים אלה מדגימים שעיצבת תוכנית. כדי להוכיח שהיא פועלת במציאות, עליך להוסיף ראיות תפעוליות.

אילו אותות תפעוליים עלינו לאסוף לאורך זמן?

רואי חשבון מגיבים היטב כאשר הם רואים כי בקרות נשמרות ומותאמות, למשל באמצעות:

דוחות מגמות או לוחות מחוונים של תוכנות זדוניות, כלי רישום וניטור על נכסים קריטיים.
רישומי אירועים המראים כיצד אירועים בוצעו מיון, בלימה, חקירה וסגירה.
יומני בדיקה המדגימים שניתן לשחזר מערכות למצב נקי מגיבויים.
הערות ותוצאות מסקירות הנהלה או סקירות לאחר אירוע, בהן הוסכם ויושמו שינויים.

אם כל אחד מהפריטים הללו מקשר חזרה לערך סיכון, תקן או בקרה במערכת הניהול שלך, מתברר שהגנה מפני תוכנות זדוניות היא חלק ממעגל חי של שיפור ולא תרגיל חד פעמי שנעשה כדי לעבור ביקורת.

מתי הגיוני לתמוך ב-A.8.7 עם פלטפורמת ISMS כמו ISMS.online?

פלטפורמת ISMS הופכת שימושית כאשר החלק הקשה של A.8.7 הוא תיאום אנשים, מסמכים וראיות, לא רק הפעלת כלים טכניים יותר.

אילו פערים פלטפורמת ISMS סוגרת שמוצרי אבטחה לא יכולים לסגור?

מוצרי אבטחה ייעודיים מזהים וחוסמים פעילות זדונית; מערכת ניהול עוזרת לך להוכיח שהאופן שבו אתה מתמודד עם אותות אלה הוא מובנה וניתן לחזור עליו. בפועל, משמעות הדבר היא היכולת:

קשר את A.8.7 לשרתים, צינורות, קונסולות וכלים הספציפיים הנכללים במסגרת המשחק או פלטפורמת המסחר שלך.
הקצו בעלים לבקרות, סיכונים, חריגים וסקירות תקופתיות, ובדקו האם אחריות זו מתקיימת.
חברו בין מדיניות, הערכות סיכונים, סטנדרטים, אירועים, תוצאות בדיקות ורישומי הדרכה כך שיספרו סיפור אחד וקוהרנטי.

כאשר החלקים הללו נמצאים במקום אחד, אינכם צריכים עוד לבנות מחדש את התשובה ל"כיצד אתם מנהלים תוכנות זדוניות?" מאפס בכל פעם שלקוח, שותף או רואה חשבון שואל.

כיצד ISMS.online עוזר להפוך את זה לחלק מהפעילות היומיומית?

שימוש בפלטפורמה מובנית מאפשר לך להתייחס ל-A.8.7 כחלק מאופן ניהול השירות ולא כפרויקט נפרד. צוותים יכולים:

רישום איומים חדשים, אירועים וכמעט החטאות כסיכונים ופעולות לשיפור כנגד בקרות שזוהו בבירור.
רשמו שינויים בתמונות שרת, התנהגות משגר או שערי צינור עם אישורים והפניות לתקנים שהם תומכים בהם.
תכננו ועקבו אחר הדרכות, תרגילים ושחזרו מבחנים מבלי שיהיה צורך לתחזק גיליונות אלקטרוניים נפרדים או רשימות משימות אד-הוק.

אם אתם רוצים שהארגון שלכם יוכר כאמין ומאורגן באופן שבו הוא מטפל בסיכוני תוכנות זדוניות, ריכוז עבודה זו בסביבה כמו ISMS.online יכול להקל הרבה יותר על הצגת רמת המשמעת שהלקוחות, השותפים והמבקרים מצפים לה, מבלי לאלץ אתכם לשנות את הכלים הטכניים שכבר עובדים היטב עבור הפלטפורמה שלכם.