אוטומציה של PowerShell עבור PIM של Entra: הכירו את הכלי 'Intrepid' של Mark Orr

By Mirko Peters · 2026-08-13

ברוכים השבים לבלוג! אם אתם עוקבים אחר סדרת הפודקאסטים שלנו, אתם יודעים שאנחנו לעיתים קרובות מתעמקים באבטחת ענן מודרנית, בארכיטקטורת זהויות ובדרכים…

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג! אם אתם עוקבים אחר סדרת הפודקאסטים שלנו, אתם יודעים שאנחנו מתעמקים לעתים קרובות באבטחת ענן מודרנית, בארכיטקטורת זהויות ובדרכים להקל על מנהלי IT בחיי היומיום, מבלי לפגוע במנגנוני האבטחה. בפרק האחרון ישבנו עם מיקרוסופט MVP, Mark Orr, לשיעור מעמיק על אבטחה מבוססת זהות, ניהול הרשאות והעקרונות הבסיסיים של Zero Trust. אם עדיין לא הספקתם להאזין, כדאי מאוד לבדוק את הדף המלא של הפרק ENTRA PIM EXPLAINED: Securing Privileged Access with Mark Orr [MVP].

אחד הנושאים המרכזיים שעלו בשיחה ההיא היה החיכוך הטבעי שמלווה את Privileged Identity Management (PIM) המודרני. גישת Just-In-Time (JIT) היא דרישת חובה בכל מערך אבטחה ארגוני, אבל השגרה היומיומית החוזרת של ניווט בפורטלים כדי להפעיל מספר תפקידים יכולה להוציא מנהלים מדעתם. כדי לפתור בדיוק את הבעיה הזו, Mark פיתח כלי PowerShell מותאם אישית בשם Intrepid. בפוסט הזה נרחיב על הנושאים שנדונו בפרק, נפרק את הסיכונים הטמונים בהרשאות קבועות, נסביר איך Intrepid מייעל הפעלות המוניות של PIM, וכיצד ניתן לשמור על מדיניות אבטחה הדוקה תוך הסרת חיכוך מנהלי מיותר.

מבוא לחיכוך בגישה מוגברת ב-PIM של Microsoft Entra

Microsoft Entra Privileged Identity Management שינה מהיסוד את האופן שבו ארגונים מנהלים הרשאות ניהוליות. עברו הימים שבהם איש IT החזיק בחשבון Global Administrator או Exchange Administrator קבוע שש עד שמונה שעות ביום. במקום זאת, PIM אוכף את עקרון ההרשאות המינימליות באמצעות מתן שיוך תפקידים כשיר (eligible) במקום שיוך פעיל. כאשר יש לבצע משימה ניהולית, המשתמש מבקש הפעלה, מספק נימוק ו—אם הוגדר כך—עובר אימות רב-שלבי או תהליך אישור.

עם זאת, השיפור האבטחתי המשמעותי הזה מגיע עם חיסרון מורגש: חיכוך ניהולי. בסביבת ארגון מורכבת, מהנדס יחיד עלול להצטרך להפעיל שלושה או ארבעה תפקידים שונים רק כדי לאתר תקלה בפריסה רב-שכבתית או לבצע חלון תחזוקה שגרתי. פתיחת מרכז הניהול של Entra, חיפוש של כל תפקיד בנפרד, לחיצה על הפעלה, הקלדת נימוק והשלמת בקשות האימות עבור כל תפקיד בנפרד הופכים לעניין מייגע במהירות. כאשר אמצעי אבטחה יוצרים כמות עצומה של חיכוך יומיומי, הטבע האנושי גובר, והמנהלים מתחילים לחפש עקיפות. בדיוק החיכוך הזה הוא שמוביל להתנהגות לא מאובטחת, כמו השארת תפקידים פעילים הרבה יותר מהנדרש, או לחץ על ההנהלה לקבל שיוכי תפקידים קבועים.

הסיכון האבטחתי בהפעלה קבועה של תפקידים

כדי להבין מדוע כלים כמו Intrepid חשובים כל כך, צריך לחזור אל הסיבה שבגללה שיוכי תפקידים קבועים הם תבנית מסוכנת בסייבר המודרני. כפי ש-Mark Orr הדגיש בשיחה שלנו בפודקאסט, הזהות היא היקף האבטחה החדש. תוקפים כבר לא מבזבזים זמן על פריצה לחומות אש היקפיות כבדות, כאשר אפשר פשוט לבצע פישינג לעובד או לרכוש פרטי גישה שנגנבו ברשת האפלה.

אם מנהל משתמש בחשבון עם הרשאות קבועות ופעילות, במיוחד אם אותו חשבון משמש גם למשימות פרודוקטיביות יומיומיות כמו בדיקת דואר ופתיחת קישורים, מתקפת פישינג מוצלחת מוסרת מיד את מפתחות הממלכה לידי התוקף. עם חשבון Global Administrator פעיל תמיד, תוקף יכול בשקט ליצור חשבונות גיבוי נסתרים, לשנות מדיניות Conditional Access, לגנוב מידע רגיש ולפרוס תוכנת כופר על כל הדייר.

ניהול זהויות מיוחדות (Privileged Identity Management) מפחית סיכון זה, בכך שהחשבונות נשארים ללא הרשאות מוגברות עד שנולד צורך מפורש ומוגבל בזמן. אולם עצם הפעלת PIM אינה מספיקה, אם מנהלים משאירים תפקידים פעילים כל היום מתוך נוחות. הנוהג המומלץ מחייב להגביל את הסשנים המוגברים באופן מחמיר, עד ארבע שעות לכל היותר, ולבטל את ההפעלה ברגע שהמשימה הסתיימה. גישור על הפער שבין דרישת האבטחה של ניהול Just-In-Time לבין הצורך התפעולי ביעילות דורש אוטומציה חכמה.

הצגת Intrepid: כלי PowerShell להפעלה המונית של PIM

מתוך ההבנה של העייפות התפעולית שנוצרת מהפעלות חוזרות של PIM, פיתח Mark Orr את 'Intrepid', כלי PowerShell בקוד פתוח שנועד לפשט ולהפוך לאוטומטית את ההפעלה ההמונית של תפקידי Microsoft Entra PIM. במקום לאלץ מנהלים ללחוץ דרך מספר ממשקים גרפיים באינטרנט בכל בוקר, או בכל פעם שנפתח חלון תחזוקה, מאפשר Intrepid למהנדסים מורשים לכתוב סקריפטים ולייעל את תהליכי קבלת ההרשאות שלהם.

Intrepid משמש כגשר בין יכולות הסקריפטינג של PowerShell לבין נקודות הקצה של Microsoft Graph API שמנהלות את ניהול תפקידי PIM. על ידי הגדרת קבוצת יעד של תפקידים בתוך תצורה או בהרצת סקריפט, מנהל יכול להפעיל בקשות עבור מספר תפקידים בו זמנית. הכלי מטפל בתזמור מאחורי הקלעים: הוא שולח את ההצדקות הנדרשות, עוקב אחר סטטוס ההפעלה, ומוודא שהבקשות עומדות בגבולות שנקבעו בדייר Entra שלכם.

גישה זו הופכת משימה ידנית מייגעת ורב-שלבית להרצה אחת וזורמת. מהנדס יכול לשבת בתחנת העבודה המאובטחת שלו, להריץ את סקריפט Intrepid המותאם אישית, ולבקש ביעילות כל תפקיד הנדרש למשמרת או לפרויקט שלו, בלי לאבד את הריכוז ובלי לבזבז זמן יקר בניווט בתפריטי הרשת.

כיצד Intrepid מכבד Conditional Access והקשרי אימות

חשש נפוץ בקרב אדריכלי אבטחה, כששומעים על כלי הסלמת הרשאות אוטומטיים, הוא האם האוטומציה עוקפת בקרות אבטחה. אחרי הכול, אם סקריפט יכול לבקש תפקידי ניהול בשקט, האם הוא יכול גם לעקוף אימות רב-שלבי, מיקומים מהימנים או בדיקות תאימות מכשירים?

היתרון של Intrepid הוא שהוא נבנה על בסיס עקרונות שמעמידים את האבטחה בראש. הוא אינו עוקף את מדיניות Microsoft Entra Conditional Access, אלא מכבד אותה במלואה. כאשר סקריפט של Intrepid מתחיל הפעלה של תפקיד PIM, Microsoft Entra בודק את הבקשה מול כל מדיניות Conditional Access הפעילה שחלה על המשתמש ועל התפקיד. אם תפקיד מסוים דורש אישור עמיד להתחזות (phishing-resistant), מכשיר תואם, או הקשר אימות (Authentication Context) ספציפי, מסגרת האוטומציה אוכפת את הדרישות הללו.

אם במהלך רצף ההפעלה נדרש אתגר אימות או הנחיה אינטראקטיבית כדי לעמוד במדיניות Conditional Access, זרימת העבודה נעצרת או מציגה הנחיה מתאימה כדי להבטיח עמידה בדרישות. כך הארגונים אינם צריכים להקריב ממשל, ביקורת או אכיפת מדיניות בשם יעילות ניהולית. אתם מקבלים את המהירות של האוטומציה יחד עם שלמות בלתי מתפשרת של ארכיטקטורת Zero Trust הקיימת שלכם.

ניהול Just-In-Time מיועל ללא פשרה על האבטחה

בעת הטמעת אוטומציה בסביבות ארגוניות, איזון נכון בין אבטחה לשימושיות הוא תמיד האתגר המרכזי. יותר מדי אבטחה מובילה ל-Shadow IT ולמשתמשים מתוסכלים שמוצאים דרכים עוקפות. יותר מדי נוחות מובילה לפרצות אבטחה ולתשתיות שנפגעו.

כלים כמו Intrepid מוכיחים שיעילות ניהולית ותקינות אבטחה מחמירה אינן סותרות זו את זו. על ידי הסרת החיכוך מניהול Just-In-Time, Intrepid מעודד מנהלים להשתמש ב-PIM בדיוק כפי שתוכנן. כאשר הפעלת שלושה או ארבעה תפקידים דורשת שתי לחיצות דרך סקריפט, במקום חמש דקות של ניווט ידני ברשת, מנהלים נוטים הרבה יותר לבטל את התפקידים מיד לאחר סיום המשימות.

בנוסף, הפעלת תפקידים באמצעות סקריפטים מאפשרת לארגונים לתקנן את מחרוזות ההצדקה שלהם, לשפר את יכולת הביקורת ולאכוף עקביות בין צוותי ההנדסה. במקום הצדקות משתנות שמזינים ידנית מנהלים שונים, סקריפטים אוטומטיים יכולים לרשום מספרי כרטיסים, מזהי בקשות שינוי או חלונות תחזוקה באופן תקני ישירות ביומן הביקורת של PIM.

שיטות עבודה מומלצות לניהול תפקידים מיוחסים בארגון

כשאתם שוקלים לשלב כלים כמו Intrepid בסביבת הארגון שלכם, כדאי לבחון שיטות עבודה מומלצות רחבות יותר לניהול זהויות מיוחסות, כדי לוודא שהארכיטקטורה שלכם תישאר עמידה באיומים מודרניים:

• בידוד זהויות ניהוליות: אל תשתמשו בחשבון פרודוקטיביות יומיומי למשימות ניהול. חשבונות מיוחסים צריכים להיות זהויות שקיימות בענן בלבד, ללא תיבות דואר של Exchange, רישיונות Teams או עומסי עבודה של משתמש רגיל.
• אכיפת אימות עמיד לפישינג: דרשו מפתחות אבטחה חומרתיים, Windows Hello for Business או מפתחות גישה (passkeys) לכל החשבונות המיוחסים. אימות חזק נותר ההגנה הטובה ביותר מפני גניבת אישורי כניסה.
• קיצור חלונות ההעלאה בהרשאות: עודדו את צוותי ההנדסה שלכם להגביל את משך הפעלת התפקידים. ארבע שעות הן בדרך כלל זמן רב מספיק לרוב המשימות התפעוליות. אם נדרש זמן נוסף, יש להגיש בקשה חדשה.
• שילוב גישה מותנית וציות ב-Intune: ודאו שגישה ניהולית ניתנת רק כאשר גם זהות המשתמש וגם המכשיר עומדים במדיניות הציות והתקינות המוגדרת דרך Microsoft Intune.
• אוטומציה באחריות: השתמשו בכלים קהילתיים וסקריפטים מותאמים אישית של PowerShell, כמו Intrepid של Mark Orr, כדי להפחית עומס ניהולי, אך בדקו תמיד את הסקריפטים שלכם כדי לוודא שהם מכבדים את מסגרות הממשל והמדיניות של הארגון.

בסופו של דבר, אבטחת סביבת ענן ארגונית היא מסע מתמשך ולא סימון תיבה חד-פעמי. ככל שגורמי איום הופכים למתוחכמים יותר, התהליכים הניהוליים שלנו חייבים להתפתח בהתאם. בשילוב כלים חזקים כמו Entra PIM, אישורים עמידים לפישינג, ציות של נקודות קצה וכלי אוטומציה חכמים כמו Intrepid, צוותי אבטחה יכולים להגן על התשתית שלהם ובו בזמן לאפשר למהנדסים שלהם לעבוד מהר ובבטחה יותר.

כדי לשמוע עוד תובנות מ-Mark Orr על משמעת בדרגה צבאית ב-IT, אסטרטגיות אימות ללא סיסמה והנוף המתפתח של אבטחת Microsoft, הקשיבו לשיחה המלאה בפרק הפודקאסט שכותרתו ENTRA PIM EXPLAINED: Securing Privileged Access with Mark Orr [MVP]. תודה שקראתם, ושמרו על אבטחה!