זהות כהיקף החדש: שליטה באבטחת אפס אמון (Zero Trust) ב-Microsoft 365

By Mirko Peters · 2026-08-28

ברוכים השבים לפודקאסט ולבלוג המלווה שלנו! אם האזנתם לפרקים האחרונים שלנו, אתם יודעים שהתעמקנו לאחרונה באבטחת ענן, בארכיט…

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לפודקאסט ולבלוג הנלווה! אם האזנתם לפרקים האחרונים שלנו, אתם יודעים שהתעמקנו באבטחת ענן, בארכיטקטורות ייחוס ובמה שנדרש כדי לאבטח דייר מודרני. בפוסט הזה אנחנו מרחיבים את הרעיונות המרכזיים מהדיון האחרון. כדי להתעדכן בגרסה הקולית ולשמוע את הפירוק המלא, מומלץ להאזין לפרק הקשור, Zero Trust Across Microsoft 365 and Dynamics 365. היום נבחן מדוע הזהות הפכה להיקף האולטימטיבי, וכיצד אפשר ליישם מסגרת Zero Trust ללא פשרות באמצעות Azure AD (Microsoft Entra ID), Intune ו-Microsoft Defender.

מבוא לאבטחת Zero Trust ב-Microsoft 365

במשך עשרות שנים נבנתה אבטחת הארגונים כמו מבצרימי הביניים: בונים חומת מגן עבה ובלתי חדירה סביב הרשת הפיזית, ומי שהצליח להיכנס מעבר לתעלה נחשב מהימן כברירת מחדל. מודל אבטחת החומה והתעלה המסורתי הזה כשל מיסודו בסביבת העבודה ההיברידית והמבוססת-ענן של ימינו. כשעובדים ניגשים ליישומי הארגון מבתי קפה, ממשרדים ביתיים ומכשירים ניידים מרחבי העולם, היקף הרשת הארגונית התפורר. ההיקף החדש אינו עוד חומת אש פיזית או טווח כתובות IP ארגוני – הוא הזהות.

המעבר לארכיטקטורת Zero Trust ב-Microsoft 365 פירושו פעולה לפי עיקרון אחד שאינו מתפשר: לעולם אל תסמכו על אף אחד, ותמיד אמתו. במקום להניח שמשתמש או מכשיר בטוחים רק משום שהם מתחברים ממיקום מאושר, כל בקשת גישה נעצרת, נבדקת ומאומתת בזמן אמת על סמך כל הנתונים הזמינים.

למה Zero Trust חשוב בנוף האיומים של היום

נוף האיומים המודרני מהיר, חכם ואוטומטי יותר מאי פעם. תוקפים כבר לא מסתפקים בניחוש סיסמאות; הם מנצלים בינה מלאכותית כדי להרחיב קמפייני פישינג, מבצעים מתקפות credential stuffing מתוחכמות ועוקפים בקשות אימות רב-שלבי מסורתיות באמצעות מתקפות עייפות ומסגרות של תוקף-מתווך (AITM).

יתרה מכך, סביבות ענן כמו Microsoft 365 ו-Dynamics 365 מכילות את הנכסים הדיגיטליים היקרים ביותר של הארגון – מרשומות פיננסיות רגישות ומנתוני לקוחות ועד קניין רוחני. כשפושעי סייבר חודרים לארגון, הם מחפשים להתפשט לרוחב דרך חשבונות שירות חלשים ותפקידי משתמש עם הרשאות מופרזות. יישום Zero Trust מבטיח שגם אם תוקף יצליח לחשוף אישור גישה של משתמש אחד, הוא ייתקל בחומה של אימות מתמשך, הרשאות מינימליות וחסמי גישה מבוססי הקשר.

ארכיטקטורת Zero Trust ועקרונות ליבה

בניית ארכיטקטורת Zero Trust עמידה דורשת תיאום של כמה תחומי אבטחה חופפים. זו אינה מוצר יחיד שרוכשים או מתג שמפעילים במרכז הניהול של Microsoft 365; זוהי אסטרטגיה הוליסטית הנשענת על שלושה עקרונות יסוד:

• אמת באופן מפורש: תמיד בצעו אימות והרשאה על סמך כל נקודות המידע הזמינות, לרבות זהות המשתמש, המיקום, תקינות המכשיר, השירות או עומס העבודה, סיווג הנתונים וחריגות.
• השתמשו בגישה בעלת הרשאות מינימליות: הגבילו את גישת המשתמשים באמצעות מודלים של Just-In-Time (JIT) ו-Just-Enough-Access (JEA), מדיניות אדפטיבית מבוססת סיכון והגנה על נתונים, כדי לאבטח גם את הפרודוקטיביות וגם את האבטחה.
• הניחו שהפריצה כבר התרחשה: צמצמו את רדיוס הנזק על ידי פילוח הגישה לפי רשת, משתמש, מכשירים והבנת היישומים. הצפינו מקצה לקצה והשתמשו באנליטיקה כדי לקבל תמונת מצב, לזהות איומים ולשפר את ההגנות באופן מתמשך.

יישום ניהול זהויות וגישה

מאחר שהזהות היא מישור האכיפה המרכזי ב-Microsoft 365, אסטרטגיית ניהול הזהויות והגישה (IAM) שלכם מהווה את אבן היסוד של תנוחת האבטחה. ללא בקרות IAM חזקות, שאר מערך האבטחה מתנדנד על חול טובעני.

אימות רב-שלבי (MFA)

אימות רב-גורמי (MFA) הוא הכרחי ללא פשרות. הגנת סיסמה סטנדרטית אינה מספקת כלל מול טכניקות פישינג מודרניות. כאשר מחייבים משתמשים לאמת את זהותם בכמה שיטות נפרדות – כמו אפליקציית Microsoft Authenticator עם התאמת מספרים, מפתחות אבטחה חומרתיים מסוג FIDO2 או Windows Hello for Business – מצמצמים משמעותית את הסיכוי לגישה לא מורשית לחשבון. יש לאכוף אימות רב-גורמי העמיד לפישינג לכל המשתמשים, ללא יוצא מן הכלל לחשבונות משתמשים רגילים, ולהחיל מדיניות מחמירה על חשבונות מנהל.

גישה מותנית

כללי גישה סטטיים שייכים לעבר. Azure AD Conditional Access משמש כמוח של היקף האבטחה שלכם, ובודק אותות סיכון בזמן אמת לפני מתן גישה למשאבים. כאשר משתמש מנסה להתחבר, מדיניות Conditional Access בודקת מיידית גורמים כגון:

• האם המשתמש מתחבר ממיקום חריג או ממיקום שאליו אי אפשר להגיע בזמן הנתון?
• האם המכשיר עומד בתקני האבטחה הארגוניים?
• מהו ציון הסיכון שמשויך למשתמש ולסשן ההתחברות?
• האם רגישות היישום המבוקש דורשת אימות בשלבים נוספים (step-up authentication)?

אם המערכת מזהה חריגות, היא יכולה לחסום את הגישה באופן דינמי, לדרוש איפוס סיסמה או לכפות אתגר אימות רב-גורמי מיידי לפני שהסשן נוצר.

הבטחת תאימות מכשירים וניהול נקודות קצה

זהות יכולה להיות לגיטימית, אך אם המכשיר שדרכו נגשים לנתונים ארגוניים נפגע בתוכנה זדונית או פועל עם מערכת הפעלה מיושנת שלא עודכנה, הארגון נותר פגיע באופן משמעותי. תאימות מכשירים מבטיחה שנקודות הקצה עומדות בדרישות אבטחה מחמירות לפני שמותר להן להתקרב לדייר Microsoft 365 שלכם.

באמצעות Microsoft Intune לצד Microsoft Defender for Endpoint, מנהלים יכולים לאכוף מדיניות נקודות קצה מחמירה. ניתן לחייב הצפנה מלאה של הדיסק (BitLocker או FileVault), לדרוש Secure Boot ושבבי TPM (Trusted Platform Module), ולוודא שעדכוני אבטחה של מערכת ההפעלה מיושמים בתוך מסגרת זמן מחמירה. אם מכשיר יוצא מהתאימות – למשל כאשר סוכן האנטי-וירוס מושבת או גרסת מערכת ההפעלה מתיישנת – מדיניות Conditional Access יכולה לשלול באופן אוטומטי את הרשאות הגישה של המכשיר עד לתיקון.

הגנה על נתונים וממשל מידע

אבטחת הגישה לדייר היא רק חצי מהמאבק; יש לאבטח גם את הנתונים עצמם, בכל מקום שאליו הם מגיעים. מודלים מסורתיים של היקף הגנה מניחים שהנתונים בטוחים בתוך הרשת, אבל בעולם של עבודה מרחוק ושיתוף פעולה בענן, קבצים מורדים, משותפים ונשלחים בדוא"ל מחוץ לגבולות הארגון באופן מתמיד.

Microsoft Purview מאפשר לארגונים לגלות, לסווג ולתייג נתונים רגישים באופן אוטומטי. באמצעות החלת תוויות רגישות יחד עם הצפנה, ההגנה נלווית למסמך עצמו. אם קובץ חסוי מועתק החוצה או נשלח לנמען לא מורשה, ההצפנה מבטיחה שהקובץ יישאר בלתי קריא. יתרה מזו, מדיניות Data Loss Prevention (DLP) פועלת כמעקות בטיחות ב-Exchange Online, ב-SharePoint, ב-OneDrive וב-Microsoft Teams, וחוסמת באופן פעיל משתמשים משיתוף של מספרי כרטיסי אשראי רגישים, מידע מזהה אישי (PII) או קניין רוחני.

ניטור מתמשך, זיהוי איומים ותגובה

ארכיטקטורת Zero Trust היא דינמית, ולכן היא דורשת ערנות מתמדת. ניטור מתמשך מבטיח שצוותי האבטחה לא ימתינו להודעה על פריצה הרסנית כדי לפעול. באמצעות ביקורת מאוחדת, איסוף לוגים מרכזי ואינטגרציה עם SIEM דרך Microsoft Sentinel, לארגונים מתקבלת נראות מעמיקה להתנהגות של משתמשים ושל מכשירים.

Microsoft Defender משמש כהרחבה אוטומטית של מרכז הפעלת אבטחה (SOC). Defender מנתח אותות מזהויות, מנקודות קצה, מדוא"ל ומיישומי ענן. כאשר חקירה אוטומטית מזהה התנהגות חשודה – כמו הורדות המוניות חריגות של קבצים או ניסיונות תנועה רוחבית ברשת – הוא יכול להפעיל סקריפטים לתיקון אוטומטי, כדי לבודד נקודות קצה נגועות, להשבית חשבונות שנפרצו ולהתריע למנהלים בזמן אמת.

הרחבת Zero Trust ל-Dynamics 365

בעוד ש-Microsoft 365 מאבטח כלי פרודוקטיביות ושיתוף פעולה, פעולות עסקיות קריטיות רבות מתנהלות בתוך Dynamics 365, ושם נמצאים ספרי לקוחות רגישים, רשומות פיננסיות וצנרות תפעוליות. יישום עקרונות Zero Trust ב-Dynamics 365 הוא חיוני.

מכיוון ש-Dynamics 365 משתלב היטב עם Azure AD, ניתן להחיל על משתמשי CRM ו-ERP את אותן מדיניות מחמירות של גישה מותנית, דרישות MFA ובדיקות תאימות מכשירים, כפי שאתם עושים לדואר אלקטרוני ולאחסון מסמכים. בנוסף, שימוש בבקרת גישה מבוססת תפקידים (RBAC) ואבטחה ברמת השדה מבטיח שנציגי מכירות, סוכני תמיכה ושותפים חיצוניים רואים רק את הרשומות והשדות הספציפיים הדרושים להם לביצוע תפקידם.

שיטות עבודה מומלצות לאבטחה ומכשולים נפוצים

יישום Zero Trust הוא מסע ולא יעד. ארגונים נופלים לעתים קרובות במלכודות נפוצות לאורך הדרך. מכשול מרכזי אחד הוא תחושת ביטחון כוזבת, כלומר ההנחה שהפעלה פשוטה של גישה מותנית או השגת ציון Microsoft Secure Score גבוה פירושה שהעבודה הסתיימה. תנוחת האבטחה דורשת כוונון מתמיד, ביקורות ובדיקות יומנים שוטפות.

אתגר נפוץ נוסף הוא פתרון בעיות גישה, כאשר מדיניות מגבילה מדי חוסמת בשוגג זרימות עבודה לגיטימיות. צוותי האבטחה חייבים להכיר לעומק את יומני הכניסה של Entra ID ואת חוברת העבודה Conditional Access Insights, כדי לאתר במהירות התנגשויות מדיניות מבלי לפגוע בפרודוקטיביות של המשתמשים. והכי חשוב, הדרכת עובדים ומסעות מודעות מתמשכים הם הכרחיים; הבקרות הטכניות שלכם חזקות רק כמו ה"חומת האש האנושית" שמתחזקת אותן.

סיפורי יישום מהעולם האמיתי ולקחים שנלמדו

ארגונים מכל הסקטורים, מסוכנויות ממשלתיות פדרליות כמו משרד העבודה האמריקאי ועד ספקי פתרונות ארגוניים גלובליים, עברו בהצלחה למודלים של Zero Trust באמצעות מחסנית האבטחה של Microsoft. הלקח האוניברסלי מהטמעות אלה הוא שפריסה מדורגת היא קריטית.

ניסיון לאכוף בן לילה כל מדיניות אבטחה מחמירה יגרום בהכרח לחיכוך תפעולי ויוביל משתמשים לפתרונות עוקפים של Shadow IT. פריסות מוצלחות מתחילות בקבוצות פיילוט, מנצלות אוטומציה כדי למזער את עומס הניהול, ומהדקות בהדרגה את קווי הבסיס לאבטחה ככל שהבשלות הארגונית גדלה.

רשימת בדיקה מקיפה של Zero Trust עבור Microsoft 365

כדי לעזור לכם לבקר את הסביבה שלכם ולעקוב אחר ההתקדמות, השתמשו ברשימת הבדיקה הבסיסית הזו בתחומים התפעוליים המרכזיים:

• אכפו MFA עמיד לפישינג ו-Azure AD Conditional Access עבור כל חשבונות המשתמשים והמנהלים.
• חסמו פרוטוקולי אימות מדור קודם כדי לבטל וקטורי תקיפה ידועים של קציר אישורי גישה.
• רשמו את כל מכשירי הקצה הארגוניים וה-BYOD ב-Microsoft Intune עם מדיניות תאימות מחמירה.
• פרסו את Microsoft Defender for Endpoint וודאו שטלמטריית EDR פעילה בכל המכשירים.
• סווגו, תייגו והצפינו נתונים רגישים באמצעות תוויות רגישות של Microsoft Purview ומדיניות DLP.
• יישמו ניהול גישה מזוהה לזמן מוגבל (JIT) לפריווילגיות באמצעות Azure AD PIM.
• הפעילו רישום ביקורת מאוחד ושלבו את טלמטריית הדייר עם Microsoft Sentinel.
• ערכו תרגילי שולחן קבועים, הערכות תנוחת אבטחה וסקירות של Secure Score.

שאלות נפוצות

מהו עיקרון ה-Zero Trust וכיצד הוא חל על Microsoft 365?

עיקרון ה-Zero Trust מניח שאין אמון מובלע באף משתמש, מכשיר או רשת. ב-Microsoft 365 הוא מיושם באמצעות Azure AD לאימות זהות מתמשך, Conditional Access להערכה לפי הקשר, Intune לאימות בריאות המכשיר ו-Purview להגנה מבוססת נתונים.

כיצד מתכננים ומיישמים פריסת Zero Trust עבור Microsoft 365?

היישום מתחיל בהערכת אבטחה מקיפה ובגילוי נכסים. משם, ארגונים מאמצים תוכנית פריסה מדורגת, שמתחילה בהגנות זהות בסיסיות כמו MFA, מתרחבת לתאימות מכשירים באמצעות Intune, ומוסיפה לבסוף ממשל נתונים מתקדם וניטור איומים.

איזה תפקיד ממלא Intune ביישום עקרונות Zero Trust?

Intune אוכף מדיניות לניהול נקודות קצה ולתאימות מכשירים. על ידי אימות שמכשיר עומד בתקני האבטחה הארגוניים לפני מתן גישה למשאבים, Intune מגשר על הפער שבין אימות זהות לבין מצב המכשיר.

כיצד Zero Trust משפיע על דרישות ציות ורגולציה?

Zero Trust מפשט מאוד את הציות על ידי הטמעת הגנת נתונים, רישום גישה מחמיר, הצפנה ומסלולי ביקורת אוטומטיים ישירות בארכיטקטורה התפעולית, מה שמקל על עמידה במסגרות רגולטוריות בתחומי הפיננסים, הבריאות והממשל.

שליטה ב-Zero Trust ב-Microsoft 365 היא ההשקעה בעלת ההשפעה הגדולה ביותר שארגון יכול לבצע בתחום אבטחת הענן שלו. כאשר עוברים מחשיבה של הגנת היקף לאימות זהות, גישה לפי עיקרון הרשאות מינימליות והנחה של פריצה אפשרית, בונים ארגון עמיד, זריז ומוכן לחדש בענן בצורה מאובטחת. כדי להעמיק בגישות האלה, כדאי לצפות בפרק הפודקאסט המלא שלנו באתר Zero Trust Across Microsoft 365 and Dynamics 365. שמרו על אבטחה, המשיכו לאמת, ונתראה בפרק הבא!