banner

ארגון מסורתי הפועל כ-20 שנה באותן שיטות הפך תוך חצי שנה לארגון מבוסס ענן הפועל גלובאלית וכולל שרידות, המשכיות עסקית ואבטחת מידע.

ישבתי במשרדו של מנכל החברה, שהיה ממוקם ליד מעבדת ההנדסה הגנטית בחווה הפסטורלית שלהם בדרום. הוא סיפר לי על מהלך עסקי עם חוצפה ישראלית טיפוסית שהחברה הצליחה לבצע שהביא לזכייתה בעסקה ענקית בסין. העסקה כוללת תכנון מעבדה דומה אבל גדולה בכמה סדרי גודל, תכנון פיזי, אספקה של ציוד מתקדם וכמובן העברת ידע לגידול (שהינו הנכס המשמעותי ביותר של החברה).

אך מאז שהעסקה נסגרה, הם נתקלים באירועים מתרבים שמומחי אבטחת מידע היו מסווגים כניסיונות חדירה אל מחשבי הצוות העוסק בפרויקט. היקף וסוג הפעילות שעסקו בה בעבר לא הציפו צורך במערך מחשוב מוגן במיוחד.

MFA- SSO- OKTA- אוקטה

התבקשנו לבצע תכנון מחדש למערך המחשוב של החברה כאשר העקרונות המובילים הם: ניידות גבוהה בסביבה גלובאלית, שיתוף נוח של מידע בין אנשי החברה לספקים חיצוניים, גמישות בשימוש במכשירי קצה כולל מכשירים אישיים, קלות תפעול ומחיר.

עם הצידה הזו יצאנו לדרך לתכנון המערך החדש לא לפני שהצהרנו שכל פעילות החברה תעבור לענן וקיבלנו התחייבות הבעלים לגבות אותנו במהלך השינוי אל מול העובדים (התרענו שזה יכאב).

ניהול זהויות OKTA

הצעד הראשון ליציאה לענן היה תכנון מחדש של ניהול הזהויות שמשתמשות במערכות המידע של החברה. הפתרון שהפעלנו היה מערכת ניהול זהויות בענן של יצרן מוביל. עובדים, קבלני משנה, שותפים עסקיים, לקוחות. יש לוודא שכולם נרשמים בספריה מרכזית ומקבלים את הגדרות הכניסה המתאימות עבורם למערכות השונות. ניתן לייבא אותם בקלות באמצעות LDAP או מתוך אפליקציות קיימות אם לא קיימת ספריה מקומית (נניח Gmail).

הגדרנו את מאפייני האבטחה הרצויים שכללו:

  1. אישור גישה מכל מכשיר דרך פורטל אחד ( SSO – Single Sign On)
  2. הפעלת הזדהות כפולה בגישה למערכות (MFA – Multi Factor Authentication)
  3. מדיניות הזדהות אחידה לכלל אפליקציות הענן
  4. וניטור ניסיונות התחברות מחוץ לישראל

לאחר מכן הגדרנו את האינטגרציה לאפליקציות ענן. המערכת מתחברת באמצעות SAML לרוב שירותי הענן הקיימים ובכך מייתרת את הצורך בניהול הזהויות באפליקציות השונות באמצעות Trustשמתבצע בין הדומיין של הלקוח באפליקציית הענן לדומיין שלו במערכת.

אפליקציות מובילות כמו Salesforce ו-GSuite מאפשרות רמת אינטגרציה גבוה יותר הכוללת הקצאה של רישיונות ו-Roles למשתמשים ואף את הקמתם באפליקציית היעד על פי מאפיינים שהוגדרו מראש (Provisioning). זהו מרכיב חשוב ביותר שכן, עזיבת עובד מטופלת בקלות על ידי מניעת גישה שלו למערכת ואף ניתן להגדיר באופן אוטומטי הסרת ההרשאות והרישיון שלו מהאפליקציות שבהן השתמש.

דואר אלקטרוני

העברת הדואר לאופיס 365 התבצעה בצורה חלקה יחסית היות ורוב המשתמשים המשיכו לעבוד על האאוטלוק המקומי. אימות המשתמשים מתבצע מול מערכת ההזדהות ולכן ניתן לשמר את ההשקעה בגרסת אופיס 2013 עבור האאוטלוק ולרכוש רישיוי אופיס אונליין עבור שרת הדואר של 365 כשלשניהם סיסמא אחת.

ERP

המעבר לאשבל גם כן היה חלק. מכיוון שאשבל לא מאפשרים הזדהות בפרוטוקול SAML השתמשנו בטכנולוגית SWA (Secure web Authentication) המובנית במערכת על מנת לאפשר SSO. זהו תהליך קל שמאפשר מחד שמירה על השליטה בסיסמא על ידי Administrator עם חוויית משתמש קלה ובטוחה של הלקוח דרך פורטל ה-SSO.

תיקיות משותפות Sharepoint Online

האתגר הגדול ביותר היה ההתנערות משרת הקבצים הישן. ניהול השיתופים, רמות ההרשאה והגיבוי לא תאמו את הציפיות של החברה והיוו פירצת אבטחה קלה לכל דכפין. איום כופר שארע לאחרונה היה הקש ששבר את גב הגמל והחברה אישרה מעבר לתיקיה משותפת לענן.

הבחירה ב-SharePoint Online נבעה מסיבה כלכלית שכן מייקרוסופט נותנים נפח של 1TB לאתר כחלק מחבילת הבסיס של אופיס אונליין שנרכשה עבור שרת הדואר. 

הקושי האובייקטיבי של אנשים עם הרגלים חדשים כמו גם קשיי גדילה של המוצר היווה אתגר משמעותי בהטמעת הפתרון. אבל רובם נפתרו תוך כדי תנועה כאשר נוצר ישור קו עם פיצ'רים סטנדרטים בתעשייה שהיו חשובים כגון סנכרון תיקיות למחשבים.

שלבי ההטמעה:

  1. בניית עץ ספריות והרשאות על פי המבנה העתידי של החברה עם דגש להפרדה בין ספריות לשימוש ההנהלה, לשימוש פנימי וכאלה שמשמשות קבלני משנה.
  2. הגדרת הגישה של המסמכים דרך מגוון אפליקציות אופיס 2013 המותקנות על התחנות.
  3. הוספת האפליקציה לפורטל ה-SSO ופרסומו לכל תחנות הקצה והניידים.
  4. התקנת ה-Agent החדש של Microsoft (גרסת ביטא) לסנכרון תיקיות SharePoint למחשבים.
  5. הפעלת גיבוי על אתר המסמכים של החברה ב-SharePoint באמצעות אפליקציית הענן של חברת Cloud Ally. המוצר מתחבר באמצעות API לאתר ומושך את המידע לגיבוי בענן שלAmazon (תומך גם בגיבוי תיבות דואר).

ניהול תחנות הקצה KACE1000

עכשיו לאחר שסגרנו את חדר השרתים ועברנו לשימוש באפליקציות ענן, נותרו רק תחנות העבודה והניידים כרכיבי מחשוב שנדרש לנהל פיזית. על מנת לענות לעקרונות שהוגדרו על ידי המנכל, בחרנו בשירות ענן מיצרן מוכר לניהול תחנות הקצה בתצורה של שירות ענן.

המוצר מכיל למעשה ארבע פונקציות עיקריות:

  • ניהול אבטחת מידע והגדרות מערכת ההפעלה (באמצעות Agent) 
  • ניהול רישיונות תוכנה
  • ניהול הפצת תוכנה (כל התוכנות המותקנות כולל עדכונים)
  • שירות לקוחות מובנה

היתרון הגדול של השירות עבור החברה הינו העלות הנמוכה ביחס לשירותים דומים, קלות השימוש והעובדה שהוא מתקשר מול הרכיבים דרך האינטרנט בצורה מאובטחת ולא מחייב רשת ארגונית.

יתרון נוסף שלא בא לידי ביטוי כאן אבל מאוד רלוונטי לעידן הגלובלי וה- BYOD הוא שהמוצר מנהל מחשבי Windows, Linux ו-MACOS באותו אופן עם צורך בידע מוקדם מינימאלי.

תהליך ההטמעה כלל:

  1. פריסת סוכנים על המחשבים המנוהלים
  2. בניית פרופיל תחנה כולל הגדרות ואבטחת מידע, ייבוא הפרופיל למערכת והפצתו לכל המחשבים.
  3. הפעלת ניטור רישיונות עבור חבילת האופיס, אנטי-וירוס, ועוד מספר תוכנות נדרשות
  4. הפעלת עדכוני תוכנה מחזוריים לתוספי Java, Flash אנטי וירוס ומערכות הפעלה
  5. בניית White-list למניעת התקנות תוכנות לא רצויות.
  6. הפעלת ניטור לבדיקת תקינות שירותי האנטי וירוס (Services) בתחנות.
  7. ניהול אחיד של Power Management .

אין ספק שישנם עוד היבטים רבים שניתן לשפר ולשדרג אך במגבלות הדרישות והתקציב אנו חושבים שהתצורה הנוכחית מאפשרת גמישות ובטיחות מרביים בעולם החדש אליו נכנסה החברה.

הלקחים המרכזיים שלמדנו מהתהליך:

  1. ברמה ההתנהגותית - ארגון מסורתי (עובדים מבוגרים) מסוגל לאמץ תוך זמן קצר יחסית מהפכה דיגיטלית לשירותי SaaS באופן מלא.
  2. אבטחת מידע - איום הכופר הפך ל-Non-Issue. יש שליטה מלאה בהרשאות גישה למידע.
  3. המשכיות עסקית - אובדן מידע כתוצאה מרשלנות המשתמשים הפך ל-Non-Issue.
  4. ניידות - הנגשת המידע דרך מכשירי הטלפון הניידים הפך למובן מאליו.
  • קטגוריות: מאמרים

  • תגיות:

  • כשהססמאות חלשות – OKTA חזקה

    מאת: Yafit Zisser | 26/05/2020

    סיסמאות זה לחלשים? חישבו שוב: רק בארצות הברית עסקים מפסידים 7.3 מיליון דולר בשנה בשל פרצות אבטחה. ומה קורה ברחבי העולם? לא פחות מהפסד שנתי ממוצע של 4.47 מיליארד דולר בגלל כשלים בבקרה. ואם זה לא מספיק, נמצא כי 81% מהפריצות למערכות IT  בארגון גם הם תוצאה של סיסמאות חלשות.  סכומי-עתק יורדים לטמיון בשל כשלי […]

    קרא עוד
  • אבטחת מידע – זה לא משחק ילדים. TikTok

    מאת: Yafit Zisser | 05/05/2020

    מצלמים מפלטרים מעלים לטיקטוק- והטיקטוק זוכר הכל. ילדים זה שמחה והמון המון מידע.. ולא רק של הילדים. הטיקטוק משגע את העולם ובטח עכשיו ב'זמן קורונה', אתם יודעים הכל על הילדים שלכם? גם ה- TikTok. עם המקום הרביעי במספר ההורדות לשנת 2018 כשרק פייסבוק וואטסאפ עוקפות אותה, טיקטוק עושה להורים בית ספר. האפליקציה שכבשה את העולם […]

    קרא עוד
  • מתפשט כמו מגפה – הגנה על מידע

    מאת: Itzik Hanan | 26/03/2020

    וירוס ה COVID_19 סוחף את מדינות העולם ואתו, מתעוררים כל מיני פתרונות קסם למגפה, בזמן שמה שבאמת צריך הוא אנשי מקצוע. הבהלה והפאניקה עושות את שלהן. בתוך שבוע בלבד, ראינו איך עולם שלם מתהפך על פיו: הסופרים מפוצצים והתורים בדרך לקופה הם אינסופיים, רשתות מעלות את מחירי האלכו-ג'ל במאות אחוזים, מנצלות את האנשים המבוהלים בכל […]

    קרא עוד
  • ניהול פוליטיקת זהויות – בחירות 2020 / 3#

    מאת: Yafit Zisser | 01/03/2020

    מה קורה כשהגבולות בין הפוליטי והאישי הולכים ומיטשטשים? בזמנים כאלה, אבטחת מידע היא התחום שצריך לעמוד בחזית הטכנולוגיה. דליפת מידע של מיליוני בוחרים בישראל מציתה נורה אדומה בכל הנוגע לאבטחת מידע. אם מפלגה גדולה אינה מצליחה לשמור על חסינות המידע, מה זה אומר על ארגונים פיננסיים ואיך נערכים לעידן שבו פריצה למידע רגיש היא אחת […]

    קרא עוד
  • MobileIron & Microsoft – שילוב מנצח

    מאת: Muli Motola | 09/12/2019

    אם אתם שוקלים מעבר לחבילה של מיקרוסופט office 365 עם Intune עליכם לבחון מקרוב את המשמעויות של זה. מגבלות על אפשרות הבחירה (BYOD), חוויית השימוש של משתמש הקצה, אבטחה וגמישות תפעולית עלולות להאט את תוכניות העבודה למעבר למקום עבודה דיגיטלי עדכני. אנו נשאלים על ידי הלקוחות שלנו כיצד מיקרוסופט ומוביילאיירון משלימים זה את זה ומה […]

    קרא עוד
  • הטמעת IDM בפורטל הארגוני שלכם בקלות

    מאת: Muli Motola | 19/11/2019

    פרוטוקול oauth 2.0 – בימינו, כשאתה שומע מישהו מדבר על OAuth, סביר להניח שהם מתכוונים ל- OAuth 2.0. גרסאות קודמות לתקן אינן מיושמות יותר.OAuth היא פרוטוקול הרשאה המאפשרת לך לעבוד עם מערכות חיצוניות בצורה מאובטחת באמצעות מזהים דיגיטליים הנקראים Tokens. סוג אחד של Tokens נקרא Access Token. תפקידו לאפשר לך לממש APIs בצורה מאובטחת. שירות […]

    קרא עוד
למאמרים נוספים
צור קשר hlink
X

צור קשר

דילוג לתוכן