מדוע תנועה צידית מהווה בעיה כה חמורה עבור MSPs?
תנועה רוחבית היא רצינית כל כך עבור ספקי שירותי ניהול (MSP) משום שמערכת אחת שנפגעה יכולה להפוך במהירות לגשר לסביבות לקוחות רבות. כאשר תוקפים יכולים לעשות שימוש חוזר באישורים או לחצות רשתות עם הפרדה גרועה, הם נעים בשקט לעבר המערכות והשירותים בעלי הערך הגבוה ביותר שאתם מנהלים. זהו הדפוס שהופך אישור או נקודת קצה שנפגעה לאירוע מרובה לקוחות. כלי הניהול מרחוק שלכם, נתיבי ניהול מורשה ואינטגרציות מחברים לעתים קרובות עשרות או מאות סביבות לקוח, כך שכל חולשה באופן שבו אתם מעצבים ומפקחים על הגישה יכולה להגדיל באופן דרמטי את רדיוס הפיצוץ של הפריצה. תקן ISO 27001 מספק לכם דרך מובנית לטפל בכך כסיכון בעל שם ולתכנן בקרות כך שהתוקפים יפגעו בקירות במקום לפתוח דלתות.
הדרך הקלה ביותר עבור פולש היא זו שאף אחד לא חשב שישלוט בה או אפילו ישים לב אליה.
עבור ספקי שירותי ניהול (MSP), תנועה רוחבית היא הדפוס שהופך אישור או נקודת קצה שנפגעו לאירוע מרובה לקוחות. כלי הניהול מרחוק, נתיבי הניהול הפריבילגיים והאינטגרציות שלכם מחברים לעתים קרובות עשרות או מאות סביבות לקוח, כך שכל חולשה באופן שבו אתם מעצבים ומפקחים על הגישה יכולה להגדיל באופן דרמטי את רדיוס הפיצוץ של הפריצה. תקן ISO 27001 מספק לכם דרך מובנית לטפל בכך כסיכון בעל שם ולתכנן בקרות כך שתוקפים יפגעו בקירות במקום לפתוח דלתות.
מידע זה הינו כללי ואינו מחליף ייעוץ משפטי, רגולטורי או ייעוץ משפטי ממומחים מוסמכים.
מדוע תוקפים אוהבים MSPs לתנועה צידית
תוקפים מעריכים ספקי שירותי ניהול שירותים (MSP) משום שהפלטפורמות והאנשים שלכם מרכזים גישה חזקה ואמינה לסביבות לקוחות רבות ושונות. דריסת רגל אחת בכלים או בחשבונות המהנדסים שלכם יכולה לספק להם נתיב שקט למספר דיירים מבלי לפרוץ לכל לקוח ישירות, מה שהופך אתכם למטרה אידיאלית של "קפיצה בין איים" שבה הם יכולים לרכוב על הגישה שלכם לסביבות מרובות במורד הזרם.
אתה והכלים שלך לרוב:
- זוכה לאמון מצד לקוחות רבים
- מותר דרך חומות אש ו-VPN
- הפעלת סוכנים או חשבונות ניהול על פני שרתים, נקודות קצה ושירותי ענן
דפוס נפוץ הוא שתוקף מבצע פישינג לאחד המהנדסים שלכם או מנצל פגיעות במערכת הניהול או הכרטיסים מרחוק שלכם. הם מקבלים גישה ראשונית לסביבה הפנימית שלכם או לקונסולה המקושרת ללקוחות מרובים. משם, הם מנסים לעשות שימוש חוזר באישורים, להסתובב באמצעות כלי גישה מרחוק או לעבור לרשתות לקוחות ודיירים בענן. אם מודל בקרת הגישה שלכם שטוח והניטור שלכם חלש, הם עלולים לשוטט זמן רב לפני שתשימו לב, ולהפוך חולשה בודדת למשבר מרובה לקוחות.
מה המשמעות האמיתית של תנועה צידית עבור העסק שלך
תנועה רוחבית הופכת אירוע אבטחה יחיד למשבר רב-לקוחות וחוזים, שעלול לפגוע באמון, בהכנסות וביחסי רגולציה. מכיוון שאתם יושבים בלב סביבות של לקוחות רבות, רדיוס הפיצוץ שלכם גדול באופן טבעי מרוב הארגונים.
מנקודת מבט עסקית ותאימות, לתנועה רוחבית יש שלוש השלכות קשות:
- השפעה מרוכזת: – פשרה אחת יכולה להשפיע על עשרות חוזים, הסכמי רמת שירות והתחייבויות להגנה על נתונים בו זמנית.
- ייחוס קשה: – לקוחות עשויים להתקשות לראות האם התקלה טמונה בבקרות שלהם, בבקרות שלכם או באופן שבו השניים חוברו.
- חשיפה רגולטורית: – אם אתם תומכים במגזרים מוסדרים, רגולטורים עשויים להטיל ספק באופן שבו תכננתם וסיווגתם את הגישה לסביבות שלהם.
עבור ספקי שירותי ניהול גישה (MSPs) בשלב Comply (Compliance) הפועלים לקראת הסמכת ISO 27001 הראשונה שלהם, זהו לעיתים קרובות הסיכון שמשכנע בסופו של דבר את בעלי העניין להשקיע בבקרת גישה מובנית ולא בפרקטיקות אד-הוק. עבור ספקי שירותי ניהול גישה (MSPs) בשלב Strengthencies (Strengthencies) שכבר מפעילים מערכת ניהול גישה (ISMS), טיפול מפורש בתנועה רוחבית הוא בדרך כלל מה שמניע אתכם משלב "אנו עוברים ביקורות" לשלב "אנו יכולים להכיל אירועים חמורים".
תקן ISO 27001 עוזר לכם להגיב למציאות זו בצורה מובנית. אתם מגדירים תנועה רוחבית כסיכון בהערכה שלכם, בוחרים בקרות רלוונטיות בנספח A עבור זהות, פריבילגיה, הפרדה וניטור, ומתעדים את מה שאתם עושים בהצהרת הישימות שלכם. זה הופך אותנו לחשוב שאנחנו בטוחים ולפיכך יש לנו מערכת מוסכמת וניתנת לביקורת להגבלת חופש התנועה של התוקף.
כאשר אתם מתייחסים במפורש לתנועה רוחבית במערכת ניהול אבטחת המידע שלכם (ISMS), אתם מקבלים בסיס להסבר לדירקטוריונים, למבקרים וללקוחות לא רק כיצד אתם מנסים למנוע פרצות, אלא כיצד אתם מכלים אותן כאשר המניעה נכשלת.
הזמן הדגמהכיצד מתפתחת בדרך כלל תנועה רוחבית בסביבות MSP וסביבות מרובות דיירים?
תנועה צידית בסביבות MSP בדרך כלל עוקבת אחר רצף מוכר: גישה ראשונית, הרחבת הרשאות, תנועה צידית בין מערכות ודיירים, ואז השפעה. כאשר מבינים את השרשרת הזו, ניתן לתכנן בקרות גישה תואמות לתקן ISO 27001 אשר שוברים אותה בנקודות מרובות.
מתקפה טיפוסית מתחילה בנקודת תורפה אחת, כגון מנהל מערכת שנפרץ על ידי פישינג, שירות אינטרנט שלא תוקן או כלי גישה מרחוק שאינו מאובטח כראוי. משם, התוקפים מחפשים אחר אישורים משותפים, תפקידים רחבים מדי, רשתות שטוחות ונתיבי ניהול לא מנוטרים, כדי שיוכלו לעבור ממערכת אחת לאחרת, ובסופו של דבר, מהסביבה שלכם אל סביבות הלקוחות.
שרשרת הריגה אופיינית של תנועה צידית של MSP
שרשרת קילוף טיפוסית של תנועה לרוחב של MSP מראה כיצד חולשה אחת יכולה להסלים לפגיעה מרובת משתמשים אם בקרת הגישה והניטור חלשים. על ידי סקירה של כל שלב, ניתן לראות היכן זהות, הפרדה ורישום צריכים להקשות על ההתקדמות ולהגביר את הנראות עבור תוקף.
גרסה פשוטה נראית לרוב כך:
- דריסת רגל ראשונית – התוקף משיג כניסה על ידי גניבת אישורי מהנדס, ניצול שירות חשוף או ניצול לרעה של אינטגרציה של צד שלישי.
- גילוי והסלמת הרשאות – הם ממפים את תשתית וכלים של הזהות שלך, מחפשים סודות שמאוחסנים במטמון, תפקידים חלשים או קונסולות שתצורתן לא נכונה מאפשרות להם לשדרג את הרשאותיהם.
- תנועה ממזרח למערב ושינוי כיוון הדיירים – עם הרשאות גבוהות יותר או שליטה בכלי ניהול, הם עוברים בין מערכות פנימיות ומסובבים לסביבות לקוחות באמצעות נתיבי הגישה המהימנים שלך.
- השפעה והתמדה – הם פורסים תוכנות זדוניות, גונבים מידע ויוצרים דלתות אחוריות תוך ניסיון להשבית או להתחמק מהניטור שלכם.
כל שלב מופעל או נחסם על ידי האופן שבו אתם מעצבים בקרות זהות, הרשאות ובקרות רשת. תקן ISO 27001 מספק לכם מסגרת להגדרה, יישום וסקירה של בקרות אלו, כך שכל קפיצה תהפוך לקשה יותר, מסוכנת יותר וגלויה יותר.
פריצה מרובת משתמשים מתחילה לרוב בכלים ותהליכים יומיומיים ולא בניצול אקזוטי שמופיע רק בכותרות. אם המהנדסים שלכם יכולים להגיע לסביבות לקוחות רבות ממספר קטן של קונסולות וחשבונות, תוקף שיפגע בנתיבים אלה יכול להשיג במהירות טווח הגעה רחב.
דמיינו ספק שירות ניהולי (MSP) שמנהל עשרות עסקים קטנים באמצעות פלטפורמת ניטור מרחוק משותפת, ספק זהויות מרכזי עם תפקידי ניהול בין-דיירים וגישה ל-VPN או שולחן עבודה מרוחק לרשתות הלקוחות. חשבון ניהול של מהנדס יחיד נפגע. אין תחנת עבודה נפרדת לניהול, אימות רב-גורמי אינו עקבי, וחשבונות שירות משמשים על פני לקוחות רבים. פילוח הרשת מינימלי; רשתות ניהול ורשתות לקוחות מופרדות באופן רופף בלבד.
בתרחיש זה, התוקף יכול להשתמש בגישת הניהול של מנהל המערכת כדי לדחוף כלים לסביבות לקוחות מרובות, ולאחר מכן להזיז את הנתונים לדומיינים של Active Directory או דיירי ענן של הלקוח באמצעות אישורים שנשמרו. הניטור מוגבל, כך שתעבורה יוצאת דופן ממזרח למערב וכניסות מורשות אינן מסומנות במהירות מספקת כדי להכיל את הנזק.
אם מערכת ה-ISMS שלכם אינה מטפלת במפורש בסיכון לתנועה צידית, ייתכן שאין לכם גבולות גישה מוגדרים בין נכסי לקוחות, כללים מתועדים לגישה בין-דיירים והעלאת רמת חירום, או רישום מרכזי שמקשר אירועים בין כלים ודיירים. לעומת זאת, MSP התואם לתקן ISO 27001 אמור להיות מסוגל להראות שבקרות זהות וגישה מגבילות את טווח ההגעה של כל מהנדס, פעולות חסויות נרשמות ונבדקות, ותכנון רשת ופלטפורמה מצמצם את היכולת להשתמש בחשבון אחד כמפתח שלד אוניברסלי.
אם אתם רוצים להפוך מיפוי תרחישים מסוג זה לבקרות קונקרטיות וניתנות לביקורת, פלטפורמת ISMS כמו ISMS.online יכולה לעזור לכם לקשר סיכונים, מדיניות, תפקידים וראיות במקום אחד במקום לפזר אותם על פני מסמכים וכלים.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
אילו פערים בבקרת גישה הופכים את ספקי שירותי ניהול גישה (MSP) לפגיעים במיוחד לתנועה רוחבית?
פערי בקרת הגישה שחושפים ספקי שירותי ניהול (MSP) לתנועה רוחבית הם בדרך כלל חולשות מוכרות שמעולם לא טופלו במלואן. מכיוון שהעסק שלך תלוי בכלים משותפים, טווח הגעה רחב ואוטומציה עוצמתית, כל חוסר עקביות באופן שבו אתה מנהל זהויות, הרשאות, רשתות וניטור יכול להשאיר נתיבים רחבים פתוחים הצידה ברגע שתוקף חודר.
פערים אלה נמשכים לעיתים קרובות משום שקשה לראותם מתוך פעילות עמוסה. תקן ISO 27001 עוזר לך לתת להם שם ולקבל בעלות, ולאחר מכן לבחור בקרות בנספח A שסוגרות אותם באופן מבוסס סיכונים במקום להסתמך על תיקונים חד פעמיים.
פערים בזהות ובפריבילגיות שפותחים דלתות
חולשות בניהול זהויות וגישה הן גורם מרכזי לתנועה רוחבית בסביבות MSP משום שהן מרכזים בשקט כוח במספר קטן של חשבונות. תוקפים רוצים בדיוק את אותו הדבר שהמהנדסים שלכם מעריכים: אישורים שעובדים בכל מקום.
בעיות נפוצות כוללות:
- חשבונות משותפים או גנריים: שמהנדסים או שירותים משתמשים בהם באופן קולקטיבי, מה שמקשה על ייחוס פעולות או החלת הרשאות מינימליות.
- תפקידים בעלי פריבילגיות יתר: כאשר לצוות התמיכה היומיומי יש זכויות רחבות בקרב לקוחות רבים "למקרה הצורך".
- אימות רב-גורמי (MFA) לא עקבי: בחשבונות פריבילגיים, מערכות מדור קודם וכלים של צד שלישי.
- תהליכים חלשים של מצטרף-עובר-עוזר: שמשאירים חשבונות רדומים או עודפים כאשר הצוות מחליף תפקידים או עוזב.
- חשבונות שירות שנעשה בהם שימוש חוזר בין דיירים: , כך שפגיעה בלקוח אחד או במערכת פנימית אחת מספקת גישה לרבים אחרים.
דפוסים אלה מעניקים לתוקפים מספר קטן של זהויות חזקות המגשרות בין הסביבה הפנימית שלך לבין אחוזות לקוחות מרובות. תחת ISO 27001:2022, בקרות כגון נספח A.5.15 (בקרת גישה), A.5.16 (ניהול זהויות), A.5.18 (זכויות גישה) ו-A.8.2 (זכויות גישה מועדפות) הן מנופים מפורשים שתוכלו למשוך כדי לצמצם את משטח התקיפה של זהויות. הן דוחפות אתכם לעבר חשבונות ייחודיים, בקרת גישה מבוססת תפקידים, זרימות עבודה מובנות של הקצאה ואישור, וסקירות גישה סדירות.
ברגע שרואים כמה מהנדסים יכולים להגיע לכמה דיירים עם כמה מעט אילוצים, מתברר מדוע תוקפים ממשיכים לכוון למאגרי זהויות של MSP. בניית ציפיות אלו במדיניות וב-ISMS שלכם מקלה הרבה יותר על זיהוי ותיקון דפוסי זהות שמגדילים בשקט את הסיכון לתנועה צידית, בין אם אתם רק מתחילים את פרויקט ISO 27001 הראשון שלכם או מכוונים מערך בקרה מבוסס.
פערים ברשת ובניטור ששומרים על תוקפים בלתי נראים
אפילו עם בקרות זהות חזקות יותר, רשתות שטוחות ונראות מוגבלת מאפשרות לתוקפים לנוע הצידה למשך זמן רב לאחר הפריצה. תנועה צידית משגשגת בסביבות בהן התעבורה זורמת בחופשיות ופעילות חשודה משתלבת בפעילות הרגילה.
פערים אופייניים כוללים:
- פילוח מינימלי: בין רשתות פנימיות ארגוניות, רשתות ניהול ושערי VPN של לקוחות או נתיבי גישה מרחוק.
- מישורי ניהול בלתי מוגבלים: , שבהם קונסולות ניהול מרחוק, גיבוי ושולחן עבודה מרוחק יושבות באזורים המבוקרים בצורה גרועה.
- רישום דלילה: ממערכות מפתח כגון פלטפורמות ניהול מרחוק, ספקי זהויות, רשתות VPN וחומות אש, או יומני רישום שאינם מרוכזים ומתואמים.
- חוסר ניטור התנהגותי: עבור הפעלות מורשות, כגון זמני כניסה חריגים, כלים בלתי צפויים שבוצעו או שינויים המוניים.
חולשות אלו מקלות על תוקף לסרוק ולגלות מארחים ודיירים חדשים, לעבור מסביבה של לקוח אחד לאחר דרך תשתית משותפת ולכסות את עקבותיו על ידי ניצול נקודות מתות בנראות שלך.
בקרות טכנולוגיות לפי תקן ISO 27001:2022 מספקות משקל נגד. נספחים A.8.20 (אבטחת רשת), A.8.21 (אבטחת שירותי רשת), A.8.22 (הפרדת רשתות) ו-A.8.16 (פעילויות ניטור) מעודדים לתכנן ולתעד חלוקת אזורי רשת, להגדיר אילו מערכות יכולות לתקשר עם אילו מערכות אחרות וליישם ניטור המזהה דפוסים חריגים. כאשר מתייחסים לתנועה רוחבית כבעיית תכנון במקום רק כבעיית תגובה לאירועים, באופן טבעי נעים לעבר רשתות ניהול מפולחות, דפוסי אמון אפס וטלמטריה עשירה יותר.
מבחינה מעשית, ניתן להגדיר אזורי רשת ברורים עבור תחנות עבודה פנימיות של ניהול, כלי ניהול ונתיבי גישה ללקוחות; לאכוף כללי חומת אש ורשימות בקרת גישה המגבילות אילו אזורים יכולים להגיע לאילו אחרים; ולאסוף ולקשר יומני רישום מספקי זהויות, כלי ניהול מרחוק, VPN ושרתי מפתח לפלטפורמה מרכזית. שינויים אלה מקשים משמעותית על תוקף לחדור בסביבה שלך בשקט, גם אם יש לו אישורים תקפים, והם מספקים ל-MSPs בשלב Comply- ובשלב Strengthen-stage ראיות שהם יכולים לקחת בחשבון בביקורות ובסקירות לקוחות.
אילו בקרות לתקן ISO 27001:2022 נספח A הן החשובות ביותר לעצירת תנועה צידית?
מספר בקרות לפי נספח A של ISO 27001:2022 משפיעות ישירות על הסיכון לתנועה צידית בסביבות MSP, במיוחד אלו הקשורות לזהות, הרשאות, הפרדת רשת וניטור. כאשר ממפים נתיבי תקיפה מהעולם האמיתי לבקרות אלו, ניתן לתעדף את אלו שמגבילות באמת תנועה צידית במקום להתמקד בבקרות שנראות מרשימות רק בתיעוד.
הגישה היעילה ביותר היא להתחיל מתרחישים ספציפיים של "כיצד תוקף היה פועל?" ולאחר מכן לקשר כל שלב לבקרה אחת או יותר מנספח A שיהפכו את השלב הזה לקשה יותר או לגלוי יותר.
בקרות ארגוניות ואנשים המעצבות את התנהגות הגישה
בקרות ארגוניות ובקרות אנושיות קובעות את הציפיות שהמנגנונים הטכניים שלך חייבים לאכוף. עבור תנועה רוחבית, אלו הן הבקרות שמגדירות למי הבעלים של החלטות הגישה, כיצד הצוות צריך להתנהג ואילו התנהגויות אינן מקובלות בסביבות פנימיות ובסביבות של הלקוח.
דוגמאות מרכזיות כוללות:
- א.5.1 מדיניות לאבטחת מידע: – קובע ציפיות לבקרת גישה, הפרדה וניטור.
- A.5.2 תפקידים ואחריות בתחום אבטחת המידע: – מבהיר מי אחראי על החלטות גישה, ביקורות וחריגים.
- A.5.7 מודיעין איומים: – מעודד אותך לשקול טכניקות אמיתיות של תוקף, כולל תנועה צידית, בהערכת הסיכונים ובבקרות שלך.
- A.5.15 בקרת גישה: – קובע כי הגישה חייבת להיות מתאימה, מנוהלת ובקרה.
- A.5.16 ניהול זהויות: – מגדיר כיצד מונפקות, מנוהלות ומבוטלות זהויות.
- A.5.18 זכויות גישה: – מחייב תהליכי הקצאה, שינוי וביטול מובנים, כולל ביקורות תקופתיות.
- A.6.3 מודעות, חינוך והכשרה לאבטחת מידע: – מבטיח שהצוות יבין כיצד פעולותיהם יכולות לאפשר או לעצור תנועה צידית.
עבור ספקי שירותי ניהול (MSP), אלו הן הבקרות שבהן אתם מקודדים שחשבונות מנהל משותפים אינם מקובלים, שגישה בין-דיירים דורשת הצדקה ואישור מוגבל בזמן, ושתרחישי תנועה רוחבית מופיעים במפורש בהדרכות למהנדסים, אדריכלים וצוותי מוצר. הן לא עוצרות תוקפים בעצמן, אבל הן מגדירות את ההתנהגויות והאחריות שהנכס הטכני שלכם חייב לשקף, והן נותנות לארגונים בשלב Comply נקודת התחלה ברורה לשינוי תרבות.
בקרות טכנולוגיות המגבילות ישירות תנועה צידית
בקרות טכנולוגיות הן המקום שבו אתם מיישמים מחסומים קונקרטיים לתנועה הצידה. בקרות אלו מקושרות ישירות לאופן שבו אתם מעצבים תפקידים, רשתות וניטור, כך שתוקף לא יוכל להפוך דריסת רגל אחת לפגיעה מרובת משתמשים.
תצוגה קומפקטית של בקרות בעלות השפעה גבוהה עבור תנועה צידית ב-MSPs עשויה להיראות כך:
| בקרה בנספח א' | איזור מיקוד | כיצד זה עוזר להגביל את התנועה הצידית |
|---|---|---|
| A.8.2 זכויות גישה מורשות | חשבונות ותפקידים של מנהל מערכת | מגביל ומנטר חשבונות חזקים שתוקפים מבקשים לנצל לרעה |
| A.8.3 הגבלת גישה למידע | גבולות הרשאה | מגביל את הנתונים והמערכות שכל חשבון יכול להגיע אליהם |
| A.8.20 אבטחת רשת | בקרת תנועה והגנה | אוכף כללים לגבי אילו מערכות ואזורים יכולים לתקשר |
| A.8.22 הפרדת רשתות | יעוד ובידוד | מפרידה בין רשתות ניהול, פנימיות ורשתות לקוחות כדי להגביל את רדיוס הפיצוץ |
| א.8.16 פעולות ניטור | רישום וזיהוי | כתמים דפוסים יוצאי דופן המצביעים על תנועה צידית |
| A.8.8 ניהול נקודות תורפה טכניות | מתקשה | מפחית חולשות ניתנות לניצול שתוקפים משתמשים בהן כדי להשיג אחיזה צדדית |
בפועל, אתם מיישמים בקרות אלו באמצעות דפוסים כגון חשבונות ניהול ייחודיים מבוססי תפקידים עם MFA נאכף וגישה Just-in-Time; רשתות ניהול מופרדות הנגישות רק מתחנות עבודה ניהוליות קשות; חומות אש, VLAN ורשימות בקרת גישה האוכפות גבולות ברורים בין אזורים פנימיים, ניהוליים ואזורי לקוח; ואיסוף יומני רישום מרכזיים והתראות המתמקדים בפעולות מורשות ובגישה בין דיירים.
כאשר אתם מתעדים את הבקרות הללו במערכת ה-ISMS ובהצהרת הישימות שלכם, אתם יוצרים קו ברור מ"כך תוקפים נעים הצידה" ל"אלה הבקרות הספציפיות שאנו מיישמים כדי להפוך את התנועה הזו לקשה וגלויה". קו זה משכנע לא רק עבור מבקרים, אלא גם עבור לקוחות ודירקטוריונים הזקוקים לביטחון שמודל הגישה שלכם משקף את האיומים הנוכחיים.
ככל שתשפרו את המיפוי הזה, שימוש בפלטפורמת ISMS ייעודית כמו ISMS.online עוזר לכם להימנע מגליונות אלקטרוניים ומסמכים מפוזרים על ידי שמירת סיכונים, בקרות, יישומים טכניים וראיות ביקורת במקום אחד. זה מקל על צוותי שלב הציות להישאר קוהרנטיים ועל צוותי שלב החיזוק להימנע מסחיפה כשהם מוסיפים מסגרות ובקרות נוספות.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
כיצד ניתן לתכנן ארכיטקטורת בקרת גישה התואמת לתקן ISO 27001 עבור פעולות MSP מרובות דיירים?
תכנון בקרת גישה עבור MSP מרובה דיירים דרך עדשת ISO 27001 פירושו להתחיל מרדיוס הפיצוץ וגבולות האמון, ולאחר מכן לעבוד אחורה לעיצוב זהות, רשת וכלים. אתם רוצים שכל צעד שתוקף עשוי לנקוט ידרוש הרשאה חדשה ומוצדקת וייצר נתיב שתוכלו לראות ולחקור.
ארכיטקטורה התואמת לתקן ISO 27001 לא חייבת להיות מסובכת, אבל היא כן צריכה להיות מכוונת. אתם מגדירים אילו אזורים קיימים, מי יכול להגיע אליהם, אילו כלים פועלים בהם וכיצד אתם מוכיחים לעצמכם, למבקרים וללקוחות שההחלטות הללו נאכפות ונבדקות לאורך זמן.
עקרונות לארכיטקטורת בקרת גישה של MSP
עקרונות תכנון ברורים עוזרים לכם להתאים את האדריכלות לתקן ISO 27001 תוך הפחתה ישירה של הסיכון לתנועה צידית. התחלה מעקרונות אלה מקלה על בחירה והצדקה של בקרות בטון שמהנדסים ומבקרים יוכלו להבין כאחד.
עקרונות חשובים כוללים:
- אזורים פנימיים, ניהוליים ולקוחות נפרדים:
- סביבה פנימית ארגונית לדוא"ל, משאבי אנוש ופיננסים
- סביבת ניהול לניטור מרחוק, גיבוי, ניטור ותחנות עבודה ניהול
- סביבות לקוח עבור רשתות לפי דייר, דיירי ענן ויישומים
נספחים A.8.20 ו-A.8.22 תומכים בכך בכך שהם דורשים ממך לנהל את אבטחת הרשת וההפרדה שלה.
- בידוד הדיירים באופן לוגי, וכאשר הדבר אפשרי, פיזי:
- רשתות VPN או מנהרות לפי לקוח
- קבוצות ותפקידי ניהול לפי דייר בספקי זהויות ובכלי ניהול
- אין סיסמאות מנהל מקומיות או חשבונות שירות משותפים בין לקוחות
- עיצוב זהות באופן מרכזי אך החלת מינימום הרשאות באופן מקומי:
- השתמש בספק זהויות מרכזי לניהול זהויות מהנדסים.
- מיפוי תפקידים להרשאות ספציפיות של לקוחות, לא לגישה גורפת.
- יש ליישם את נספח A.5.16 ו-A.5.18 כדי לאכוף הקצאה מובנית וסקירת גישה סדירה.
- התייחסו לכלי ניהול כנכסים בסיכון גבוה:
- מקם ניהול מרחוק, גיבוי וקונסולות מרוחקות ברשתות ייעודיות ומוגנות.
- הגבל את הגישה לכלים אלה לתחנות עבודה ניהוליות מוקשחות.
- יש ליישם ניהול גישה מועדפת וניטור סשנים בהתאם לנספח A.8.2.
מנקודת מבט של תקן ISO 27001, עקרונות אלה ייכללו במדיניות אבטחת המידע ובקרת הגישה שלכם, בהגדרות היקף והקשר המציינות במפורש סביבות לקוח ופלטפורמות ניהול, ובדיאגרמות ארכיטקטורה ומלאי נכסים המבחינים בין אזורים פנימיים, ניהוליים ולקוחות. תיעוד זה מוביל לאחר מכן ליישום, בדיקות ביקורת פנימית וראיות ביקורת חיצוניות, ומעניק ל-MSPs חדשים ובוגרים כאחד קומה עקבית.
יישום עקרונות אלה בסביבות פנימיות ובסביבות של לקוחות
במעבר מעיקרון לפרקטיקה, אתם זקוקים לדפוסים שמהנדסים יוכלו להשתמש בהם מדי יום מבלי להאט את האספקה. דפוסים אלה צריכים להפוך את ההתנהגות המאובטחת לברירת המחדל, ולא למקרה מיוחד השמור ללקוחות בעלי פרופיל גבוה.
דפוסים אופייניים עבור MSPs המעוניינים להגביל תנועה צידית כוללים:
- תחנות עבודה של ניהול:
- נקודות קצה ייעודיות של ניהול עבור מהנדסים עם תצורות מחמירות.
- גישה לרשתות ניהול וקונסולות רק ממכשירים אלה.
- MFA נאכף והגנה חזקה על נקודות קצה כסטנדרט.
- מודלים של גישה לפי דייר:
- הפרד קבוצות או תפקידים בכלי ניהול מרחוק וגישה מרחוק עבור כל לקוח.
- העלאה בזמן אמת לתפקידי מנהל ברמת לקוח עבור משימות מוגדרות.
- אין חשבון מנהל גלובלי קבוע בכל הדיירים לשימוש יומיומי; במקום זאת חשבונות שבירת זכוכית עם בקרות וניטור קפדניים.
- כללי גישה בין-דיירים מתועדים:
- מדיניות המגדירה מתי מקובל להשתמש בכלים המשתרעים על פני דיירים, כגון פריסת סקריפטים או תיקונים.
- תהליכי שינוי ואישור עבור פעולות בסיכון גבוה שעלולות להשפיע על מספר לקוחות בו זמנית.
- רישום ופיקוח מרכזיים:
- יומני רישום מכלי ניהול, ספקי זהויות והתקני רשת נשלחים לפלטפורמה מרכזית.
- סקירות שוטפות התמקדו בפעולות מורשות, פעילות בין-דיירים ואנומליות.
תחת תקן ISO 27001, הערכת הסיכונים שלך צריכה לכלול במפורש תרחישים כגון "פגיעה בחשבון מנהל המהנדס" ו"פגיעה במסוף ניהול מרחוק". עבור כל תרחיש, עליך לתעד אילו בקרות בנספח A אתה מיייש, כיצד הן מעצבות את הארכיטקטורה והתהליך, וכיצד אתה בודק אותן באמצעות בדיקות טכניות, ביקורות פנימיות, ובמידת הצורך, סימולציות אירועים.
אם אתם כבר משתמשים ב-ISMS.online, תוכלו לרשום נכסים ואזורים, לקשר סיכונים לבקרות גישה ורשת ספציפיות ולתחזק את הצהרת הישימות שלכם וראיות קשורות ללא התאמה ידנית מתמדת. זה מקל על ספקי שירותי ניהול (MSPs) בשלב הציות ליישור קו בין מה שהם בונים למה שהם מתעדים, ועל ספקי שירותי ניהול (MSPs) בשלב החסכון להוכיח שהתכנון הטכני שלהם ורישומי ISO 27001 עדיין תואמים.
כיצד RBAC, פילוח רשת ו-PAM פועלים יחד כדי להכיל פרצה?
בקרת גישה מבוססת תפקידים, פילוח רשת וניהול גישה מועדפת יעילים ביותר כנגד תנועה רוחבית כאשר מתייחסים אליהם כאסטרטגיה משולבת אחת ולא כשלושה פרויקטים נפרדים. יחד, הם מחליטים מי יכול לעשות מה, היכן ובאילו תנאים, תוך הופכת התנהגות חריגה לקלה הרבה יותר לזיהוי וחקירה.
במסגרת ISO 27001, RBAC, סגמנטציה ו-PAM הן דרכים מעשיות ליישום בקרות כגון A.5.15, A.5.16, A.5.18, A.8.2, A.8.20 ו-A.8.22. עבור תוקף, שילוב זה אומר שאין נתיב אחד שמוביל בשקט מנקודת אחיזה בעלת הרשאות נמוכות לדיירים רבים.
תכנון RBAC שאוכף באמת את המינימום של הרשאות
ניהול RBAC יעיל עבור MSPs מתחיל במודל לחיקוי ברור המבוסס על משימות אמיתיות ולא על תיאורי תפקיד. המטרה היא שהעבודה היומיומית תוכל להתנהל בצורה חלקה, אך כל פעולה מסוכנת דורשת החלטה מכוונת ותירשם לבדיקה מאוחרת יותר.
שלבים מעשיים כוללים:
- הגדירו תפקידים לפי משימה, לא לפי תואר:
דוגמאות לכך עשויות לכלול "מהנדס שירות - דרגה 1", "מהנדס תשתיות - דרגה 2", "אנליסט אבטחה" ו"מנהל הצלחת לקוחות (קריאה בלבד)". עבור כל תפקיד, עליך להגדיר אילו סביבות לקוח, כלים ופעולות נחוצים באמת.
- תרגם תפקידים להרשאות מערכת:
מיפוי תפקידים לקבוצות ומדיניות גישה בספק הזהויות שלך, לאחר מכן הקצה הרשאות בכלי ניהול מרחוק, מערכות כרטיסים, VPN וקונסולות ענן בהתבסס על קבוצות אלו. הימנע מהרשאות ישירות וחד-פעמיות במידת האפשר כדי שיישארו ניתנים לניהול.
- כולל הפרדת תפקידים:
ודא שאף תפקיד יחיד לא יוכל גם לבקש וגם לאשר שינויים מסוכנים. הפרד תפקידים לפעילות היומיומית מתפקידים שמנהלים זכויות גישה ותצורות, כך שחשבון אחד שנפרץ לא יוכל לעקוף את כל הבדיקות.
- אכיפת העלאת גובה בזמן:
עבור משימות בסיכון גבוה, השתמשו בקידום Just-in-time לתפקיד חזק יותר עם זמני התחלה וסיום ברורים. רשמו, ובמידת האפשר, ניטור מה קורה במהלך מפגשים עם קידום מוגבר, כדי שתוכלו לסקור או לחקור מאוחר יותר.
מנקודת מבט של תקן ISO 27001, מבנה זה תומך בנספח A.5.16 (ניהול זהויות), A.5.18 (זכויות גישה) ו-A.8.2 (זכויות גישה מועדפות), ומספק לכם תמונה ברורה למבקרים וללקוחות לגבי האופן שבו אתם מונעים "חשבון אחד שישלוט בכולם". עבור ספקי שירותי ניהול (MSPs) בשלב Comply, אפילו מודל RBAC פשוט הוא צעד משמעותי קדימה לעומת הרשאות אד-הוק; עבור ספקי שירותי ניהול (MSPs) בשלב Strengthen, שיפור RBAC הוא לעתים קרובות המקום שבו אתם משחררים הפחתת סיכונים משמעותית מבלי להוסיף כלים חדשים.
יישום פילוח ו-PAM כדי להגביל את רדיוס הפיצוץ
פילוח רשת וניהול גישה מועדפת מבטיחים שגם אם RBAC נכשל או שחשבון נפגע, התוקף לא יוכל לשוטט בחופשיות. הם הכלים העיקריים שלך להפיכת אירוע חמור לאירוע מרוכז ולא למשבר בקנה מידה כולל.
מרכיבי מפתח כוללים:
- פילוח רשת:
- צור מקטעי רשת נפרדים עבור מערכות פנימיות של החברה, תשתית ניהול, ובמידת הצורך, הרשת המקומית של כל לקוח.
- השתמש בחומות אש וברשימות בקרת גישה כדי לשלוט בקפדנות בתעבורה בין מקטעים.
- הגבל נתיבי ניהול כך שרק תחנות עבודה של מנהלים יוכלו להגיע לממשקי ניהול, ורק דרך פרוטוקולים מוגדרים.
- ניהול גישה מורשית:
- פרטי גישה מורשים של הכספת, כולל חשבונות מנהל מקומיים, חשבונות שירות וחשבונות מנהל גלובליים של Break-Glass.
- השתמשו בהפעלות שהוצאו מהשירות או בהפעלות מתווכות במקום לחלק סיסמאות ישירות למהנדסים.
- הטמע גישה בזמן אמת (Just-in-time) עבור פעולות ניהול בסיכון גבוה, עם אישורים, מגבלות זמן והקלטת סשנים במידת הצורך.
- ניטור משולב עם נתיבי גישה:
- הזן גישה מורשית ולוחי יומני התקני רשת לפלטפורמת הניטור שלך.
- הגדר התראות עבור פעילויות מורשות חדשות, פעולות מורשות מחוץ לשעות הצפויות וגישה ממיקומים או מכשירים יוצאי דופן.
עבור תקן ISO 27001, כל זה קשור לנספחים A.8.2 ו-A.8.3 עבור הגבלות גישה פריבילגיות וכלליות, A.8.20 ו-A.8.22 עבור בלימה ברמת הרשת, ו-A.8.16 עבור פעילויות ניטור. יחד, RBAC, פילוח ו-PAM יוצרים מחסומים מרובים ומחזקים המגבילים את המרחק שבו תוקף יכול לנוע וכמה זמן הוא יכול להסתתר.
כאשר מתחילים לשלב RBAC, סגמנטציה ו-PAM לתבנית אחת, כמות התיעוד והראיות שצריך לתחזק גדלה במהירות. ריכוז הגדרות תפקידים, דיאגרמות רשת, נהלי גישה מועדפת, תפוקות ניטור וממצאי ביקורת פנימית ב-ISMS.online עוזר לכם לשמור על המורכבות תחת שליטה ומעניק לכם תמונה אחת של האופן שבו ההגנות שלכם מפני תנועה צדדית משתלבות יחד.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
כיצד יש לשלב את הסיכון של תנועה צידית בהערכת סיכונים, ב-SoA ובשיפור מתמיד של תקן ISO 27001?
כדי להפוך את אסטרטגיית התנועה הצידית שלכם לתמידה, עליכם לשלב אותה במחזור הליבה של תקן ISO 27001: הקשר, הערכת סיכונים, טיפול, הצהרת תחולה, יישום, ניטור, ביקורת פנימית, סקירת הנהלה ושיפור. זה שומר עליה גלויה למקבלי החלטות, מבקרים ולקוחות במקום לתת לה לדעוך לתרגיל טכני חד פעמי.
המטרה היא להתייחס לתנועה רוחבית כסיכון מובנה שעובר שוב ושוב דרך לולאת ה"תכנון-ביצוע-בדיקה-פעולה", ולא כפרויקט או אוסף של משימות שאינן קשורות.
לכידת תנועה צידית בהערכת הסיכונים ובהצהרת הישימות שלך
לכידת תנועה רוחבית בהערכת הסיכונים שלכם מתחילה בתיאור תרחישים מציאותיים במונחים שלכם. עבור ספקי שירותי ניהול (MSPs), תרחישים אלה צריכים לשקף במפורש כיצד אתם מתחברים ללקוחות ומפעילים כלי ניהול, כך שמנהיגים עסקיים יזהו את עצמם בדוגמאות.
דוגמאות רלוונטיות כוללות:
- פריצה לחשבון מנהל של מהנדס המובילה לגישה בין דיירים.
- ניצול פלטפורמת ניהול מרחוק או גישה מרחוק כדי לפנות ללקוחות מרובים.
- ניצול לרעה של חשבונות שירות משותפים למעבר בין מערכות פנימיות לסביבות לקוח.
- שימוש בתשתית גיבוי או ניטור כאבן קפיצה להוצאת נתונים.
עבור כל תרחיש, אתם מזהים נכסים מושפעים, שוקלים גורמי איום כגון קבוצות פשע, גורמים פנימיים או תוקפים בשרשרת האספקה, ומעריכים את הסבירות וההשפעה, תוך התחשבות במספר הלקוחות שכל נתיב נוגע בו. ארגונים בשלב הציות מגלים לעתים קרובות שמעולם לא רשמו תרחישים אלה באופן רשמי; ארגונים בשלב החיזוק משתמשים בהם כדי לאתגר האם הבקרות הקיימות עדיין משקפות את המציאות.
לאחר מכן, עליך למפות את התרחישים הללו לבקרות של נספח A כגון A.5.15, A.5.16 ו-A.5.18 עבור בקרת גישה ומחזור חיים של זהויות; A.8.2 ו-A.8.3 עבור הגבלת גישה מועדפת וכללית; A.8.20, A.8.21 ו-A.8.22 עבור הגנה והפרדה של הרשת; A.8.16 עבור ניטור; ו-A.8.8 עבור ניהול פגיעויות טכניות. הצהרת הישימות שלך צריכה לציין במפורש אילו מבין הבקרות הללו בחרת, כיצד הן מיושמות בהקשר של MSP וכל הצדקה לאי יישום בקרה יחד עם אמצעי פיצוי.
כאשר מבקרים ולקוחות רואים שתנועה רוחבית שזורה דרך הערכת הסיכונים ובהצהרת הישימות שלכם, הם יכולים לראות שמודל בקרת הגישה שלכם אינו מחשבה שלאחר מעשה ושהבקרות שלכם קשורות לנתיבי תקיפה אמיתיים ולא לרשימות תיוג גנריות.
ניטור יעילות וקידום שיפור מתמיד
הטמעת תנועה רוחבית בשיפור מתמיד פירושה הגדרת מדדים ופעילויות סקירה שיגידו לכם האם ההגנות שלכם עדיין פועלות ככל שמערך הטכנולוגיה ובסיס הלקוחות שלכם מתפתחים. תקן ISO 27001 מצפה מכם לעשות זאת באמצעות ניטור, ביקורת פנימית, סקירת הנהלה ופעולות מתקנות במקום להסתמך על פרויקטים חד פעמיים.
מדדים שימושיים עשויים לכלול:
- מדדי בקרת גישה: – מספר חשבונות בעלי זכויות יוצרים לכל מהנדס ולכל לקוח, אחוז החשבונות עם MFA מופעל (במיוחד עבור תפקידי מנהל), ושיעור השלמה וזמני הגעה של ביקורות גישה מתוזמנות.
- מדדי רשת ופילוח: – מספר מקטעי רשת ונקודות אכיפה הרלוונטיות לתעבורת ניהול, וספירת החריגים המתועדים שבהם תעבורת ניהול חוצה גבולות בדרכים יוצאות דופן.
- ניטור ומדדי אירועים: – זמן מאירוע חשוד חסוי ועד לגילוי, מספר התראות הקשורות לתנועה צידית שנחקרו בכל תקופה ולקחים שנלמדו מאירועים או כמעט-התנגשויות.
מבחינת סעיפי ISO 27001, אתם תומכים בסעיף 9.1 (ניטור, מדידה, ניתוח והערכה) על ידי הגדרת מדדים אלה וסקירתם באופן קבוע. אתם תומכים בסעיף 9.2 (ביקורת פנימית) על ידי הכללת בקרות תנועה צידית וראיות תואמות בהיקף הביקורת, ובסעיף 9.3 (סקירת הנהלה) על ידי הבאת סיכונים, אירועים ומגמות משמעותיים של תנועה צידית להנהלה. סעיף 10 (שיפור) מטופל כאשר אתם פועלים על סמך ממצאים כדי לחדד מדיניות, בקרות וארכיטקטורות.
אם אתם מריצים את עבודת ה-ISO 27001 שלכם ב-ISMS.online, כל הלולאה הזו - מסיכונים ובקרות דרך מדדים, ממצאי ביקורת ופעולות מתקנות - נמצאת במערכת אחת ולא על פני מסמכים מנותקים. זה עוזר לכם להימנע מהסטייה הסמנטית שיכולה להתרחש כאשר ארכיטקטורה, תפעול ותיעוד מתוחזקים בנפרד, וזה נותן ל-MSPs בשלב Comply וגם בשלב Strengthen דרך חוזרת ונשנית להראות שסיכון תנועה רוחבית מנוהל באמצעות מערכת ניהול פורמלית ולא רק באמצעות פרויקטים טכניים.
הזמן הדגמה עם ISMS.online עוד היום
ISMS.online עוזר לכם להפוך את תיאוריית בקרת הגישה ISO 27001 לאמצעי הגנה מעשיים וניתנים לביקורת מפני תזוזה רוחבית בסביבת ניהול הגישה (MSP) שלכם. במקום להתעסק עם גיליונות אלקטרוניים, מסמכים ותהליכים אד-הוק, אתם מקבלים מערכת אחת שבה סיכונים, בקרות, תפקידים, ארכיטקטורות וראיות מחוברים באופן שתוכלו להציג למבקרים, דירקטוריונים וללקוחות.
כיצד ISMS.online תומך ב-MSPs בשלבי הציות
אם אתם עובדים לקראת תקן ISO 27001 בפעם הראשונה, תנועה צידית יכולה להרגיש כמו נושא טכני מכריע. ISMS.online מספק לכם נתיב ברור ומודרך המאפשר לכם להגדיר את היקף הפרויקט, ללכוד תרחישי תנועה צידית בהערכת הסיכונים שלכם ולקשר אותם לטיפולים מעשיים מבלי שתצטרכו להיות מומחי תקנים.
ניתן לבנות מדיניות, נהלים והגדרות תפקידים המשקפות את אופן פעולת הצוותים בפועל, ולאחר מכן להדגים את החלטות בקרת הגישה והפרדת הרשת בצורה מובנית וידידותית למבקרים. זה מקל על השגת הסמכה תוך כדי הדגמה ללקוחות שאתם לוקחים ברצינות את הסיכון של "חשבון אחד, דיירים רבים" ומטפלים בו במסגרת ISMS רשמי ולא באמצעות פתרונות מהירים.
כיצד ISMS.online תומך ב-MSP בשלב Strengthen
אם אתם כבר מפעילים מערכת ניהול מערכות (ISMS) של ISO 27001 ורוצים לחזק את החוסן, ISMS.online הופכת למערכת ההפעלה לעבודת השיפור שלכם. תוכלו למפות את בקרות נספח A ליישומים קונקרטיים של RBAC, פילוח וגישה מועדפת, לעשות שימוש חוזר בראיות במסגרות שונות כמו ISO 27701, SOC 2 או NIS 2 ולעקוב אחר מדדים ופעולות לתנועה רוחבית לצד סיכונים אחרים בעלי השפעה גבוהה.
עבור מנהיגי אבטחה, קציני פרטיות ואנשי מקצוע, משמעות הדבר היא שתוכלו לתאם ביקורות פנימיות, סקירות הנהלה ודיווחי דירקטוריון ללא עבודה חוזרת מתמדת. הלקוחות שלכם מצפים יותר ויותר מכם להוכיח לא רק שאתם מוסמכים, אלא שבקרת הגישה שלכם באמת מגנה עליהם מפני הפיכתם לנזק משני במתקפת שרשרת אספקה. ISO 27001 מספק לכם את המסגרת; ISMS.online עוזר לכם להפעיל אותה מדי יום.
בחרו ב-ISMS.online כשתרצו להראות ללקוחות, למבקרים ולרגולטורים שסיכון תנועה צידית מנוהל באמצעות ISMS ISO 27001 חי, לא רק באמצעות כלים נקודתיים או פרקטיקות לא פורמליות, וכאשר אתם רוצים שגם צוותי ה-Comply וגם ה-Strengthen יעבדו מאותה תמונה מגובשת של בקרת גישה בכל דייר שאתם משרתים.
הזמן הדגמה
