עצרו פישינג לפני שהוא מגיע: למה אימות רב-גורמי הוא ההגנה הטובה ביותר שלכם

By Mirko Peters · 2026-08-12

ברוכים השבים לבלוג הפודקאסט! אם אתם מאזינים קבועים, אתם יודעים שאנחנו מדברים הרבה על ניהול זהויות וגישה. לאחרונה פרסמנו … חובה…

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג הפודקאסט! אם אתם מאזינים קבועים, אתם יודעים שאנחנו מדברים הרבה על ניהול זהויות והרשאות גישה. לאחרונה פרסמנו פרק שחובה להאזין לו, Lock Down Microsoft Entra ID Before Phishing Hits. אם עדיין לא הספקתם לשמוע אותו, כדאי מאוד להוסיף אותו לתור ההאזנה מיד אחרי שתסיימו לקרוא את הסקירה הזו. היום אנחנו מרחיבים את השיחה הזו ומעמיקים בשאלה למה הסיסמאות הישנות והסטטיות שלכם מאכזבות, איך אימות רב-גורמי יכול להפוך את המצב לטובתכם מול פושעי הסייבר, ומה עליכם לעשות כבר עכשיו כדי לנעול את סביבת Microsoft Entra ID שלכם.

למה סיסמאות מסורתיות כבר אינן מספיקות

בואו נדבר על הפיל שבחדר: הסיסמה המסורתית מתה. טוב, מבחינה טכנית היא עדיין מתהלכת ויוצרת בלגן, אבל רשמית היא החוליה החלשה ביותר בשרשרת האבטחה שלכם. במשך עשורים הסתמכנו על מחרוזות מורכבות של אותיות, מספרים וסמלים כדי להגן על חיינו הדיגיטליים. ביקשנו ממשתמשים לזכור צירופים בלתי אפשריים, לשנות אותם כל תשעים יום ולעולם לא לרשום אותם. ולא מפתיע, הפסיכולוגיה האנושית מרדה. אנשים התחילו לחזור על אותה סיסמה בחשבונות אישיים ומקצועיים, לרשום אותן על פתקיות דביקות, או ליצור וריאציות כל כך צפויות שסקריפט בסיסי יכול לפצח אותן תוך שניות.

פושעי סייבר כבר לא צריכים לבזבז מחזורי מעבד על ניסיונות brute-force לסיסמאות, כשהנדסה חברתית ופישינג קלים בהרבה. קמפיינים של פישינג התפתחו הרבה מעבר לאימיילים המגושמים והמלאים בשגיאות כתיב של תחילת שנות ה-2000. היום התוקפים משתמשים בטקטיקות מתוחכמות, בניתוב מורכב ובמסגרות של מתווך-תוקף (adversary-in-the-middle) כדי ליירט אישורי גישה בזמן אמת. כשעובד מוסר את הסיסמה שלו בדף התחברות מזויף שנראה משכנע, התוקף מקבל את מפתחות הממלכה באופן מיידי. להסתמך על סיסמה בלבד זה כמו לנעול את הדלת הקדמית בעזרת חוט. זה אולי ימנע מאדם ישר להיכנס, אבל כל מי שיש לו כוונה זדונית יחלוף פנימה בלי קושי.

איך אימות רב-גורמי חוסם יותר מ-99% מניסיונות לפריצה לחשבונות

אם הסיסמאות שבורות, מה הפתרון? נכנס אימות רב-גורמי, או MFA. על ידי דרישה ממשתמשים לספק שניים או יותר פרטי אימות נפרדים כדי לאמת את זהותם, MFA משנה לחלוטין את חישוב הסיכויים של התוקפים. גם אם שחקן פישינג גונב את הסיסמה של משתמש, הוא נתקל בקיר אטום כשהמערכת דורשת גורם שני.

הנתונים מדברים בעד עצמם. מחקרי אבטחה מקיפים מראים שוב ושוב שהטמעה של MFA חזק יכולה לחסום יותר מ-99% מניסיונות לפריצה לחשבונות. חשבו על זה לרגע. הפעלה פשוטה של MFA מבטלת את רוב המתקפות האוטומטיות והממוקדות בין לילה. MFA נשען בדרך כלל על שילוב של משהו שאתם יודעים (הסיסמה שלכם), משהו שיש לכם (טלפון, טוקן חומרה) ומשהו שאתם (טביעת אצבע ביומטרית או סריקת פנים). כשהוא מוגדר נכון בתוך פלטפורמה כמו Microsoft Entra ID, הוא הופך את תנוחת האבטחה שלכם מיעד פתוח לטירה מבוצרת.

חקירת שיטות עמידות לפישינג כמו מפתחות FIDO2

לא כל MFA שווה באותה מידה. למרות שהתראות דחיפה והודעות SMS עם קודים עדיפים בבירור על סיסמה בלבד, הן עדיין פגיעות להתקפות חכמות כמו MFA fatigue וטכניקות פישינג מתקדמות של מתווך-תוקף. כאן נכנסות שיטות אימות העמידות לפישינג ומצילות את המצב.

שיטות MFA העמידות לפישינג, כמו מפתחות אבטחה מסוג FIDO2 ואימות מבוסס אישורים (Certificate-Based Authentication), קושרות את סשן האימות למקור הספציפי של האתר או השירות שאליו ניגשים. אם משתמש מוטעה ונכנס לאתר התחברות מזויף של פישינג, מפתח FIDO2 פשוט לא ישחרר את האישורים כי הדומיין לא תואם. המפתח מזהה שהיעד מזויף ומסרב לשתף פעולה. שילוב מפתחות חומרה כמו YubiKey או שימוש במאמתי פלטפורמה כמו Windows Hello for Business מבטיח שגם אם המשתמשים שלכם יהיו המטרה של קמפיינים הכי משכנעים שיש, התוקפים ילכו משם ריקם.

אבטחת Microsoft Entra ID מפני איומים מודרניים

אבטחת הארגון שלכם היא הרבה מעבר לסימון תיבת MFA. נדרשת אסטרטגיה מקיפה שמנצלת את תכונות האבטחה המתקדמות שמובנות ב-Microsoft Entra ID. כדי לעצור באמת התחזות דיוג (phishing) בשלבה, צריך לבנות אסטרטגיית הגנה מרובת שכבות.

התחילו בהגדרת מדיניות Conditional Access מבוססות סיכון. המדיניות הללו בוחנות אותות בזמן אמת, כמו זהות המשתמש, תאימות המכשיר, המיקום והתנהגות הכניסה. אם משתמש מתחבר ממדינה לא מוכרת או ממכשיר שאינו מנוהל, Entra ID יכול להעלות אוטומטית את רמת האבטחה ולדרוש MFA, או לחסום את ניסיון הגישה לגמרי. לאחר מכן, הסתכלו על Privileged Identity Management (PIM) כדי לבטל הרשאות ניהול קבועות. באמצעות אכיפת גישה Just-in-Time, מנהלים מקבלים הרשאות מוגברות רק כשהם צריכים אותן, ולפרק זמן מוגבל מאוד. שלבו זאת עם Continuous Access Evaluation כדי לבטל טוקנים מיידית כשמזוהה איום, ותקבלו סביבה שמסתגלת לסיכון באופן דינמי.

סיכום

נוף האיומים משתנה מהר מתמיד, אבל אתם לא חסרי אונים. על ידי מעבר מסיסמאות מסורתיות פגיעות לאימות רב-שלבי חזק ועמיד להתחזות דיוג, ניתן לסגור את הדלת בפני רוב מתקפות הסייבר. אבטחת Microsoft Entra ID דורשת ערנות, כלים מודרניים כמו גישה מותנית ו-PIM, ומחויבות לשיפור מתמיד. אם תרצו להעמיק עוד יותר בצעדים מעשיים לחיזוק תשתית הזהות שלכם, כדאי מאוד להאזין לפרק המשלים בפודקאסט: Lock Down Microsoft Entra ID Before Phishing Hits. הישארו מאובטחים, המשיכו לחנך את המשתמשים, ונתראה בפרק הבא!