המסגרת המסורתית לניהול זהויות לעומת ITDR: למה כללים סטטיים כבר לא מספיקים

By Mirko Peters · 2026-08-13

ברוכים השבים לבלוג! אם אתם עוקבים אחרי מסע הפודקאסט שלנו, אתם יודעים שאנחנו מקדישים הרבה זמן לפירוק מסגרות אבטחה מורכבות ולעזרה למנהלים להבין את הסביבות הענניות והמקומיות שלהם. היום אנחנו מרחיבים על נושא שמשנה את הדרך שבה מרכזי תפעול אבטחה מודרניים פועלים: המעבר מגבולות אבטחה מסורתיים להגנה מתקדמת על זהויות. על וجه הספציפי, עלינו לדבר על הסיבה שבגללה ניהול זהויות והרשאות מסורתי (IAM) כבר אינו מספי

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג! אם אתם עוקבים אחרי מסע הפודקאסט שלנו, אתם יודעים שאנחנו מקדישים הרבה זמן לפירוק מסגרות אבטחה מורכבות ולעזרה למנהלים להבין את הסביבות הענניות והמקומיות שלהם. היום אנחנו מרחיבים על נושא שמשנה את הדרך שבה מרכזי תפעול אבטחה מודרניים פועלים: המעבר מגבולות אבטחה מסורתיים להגנה מתקדמת על זהויות. באופן ספציפי, עלינו לדבר על הסיבה שבגללה ניהול זהויות והרשאות מסורתי (IAM) כבר אינו מספיק כדי להגן על ארגונים מפני תקיפות מתוחכמות המבוססות על פרטי התחברות, ולמה זיהוי איומים על זהויות ותגובה אליהם (ITDR) הפך לתקן הזהב לפיקוח אבטחה רציף.

בעולם שבו עבודה מרחוק, ארכיטקטורות ענן היברידיות וסקריפטים אוטומטיים מגדירים את הפעילות היומיומית, הperimeter התפורר לחלוטין. התוקפים כבר לא מנסים לפרוץ את חומות האש שלכם; במקום זאת, הם פשוט נכנסים עם פרטי התחברות גנובים. כדי להבין לעומק מדוע הכללים הסטטיים נכשלים ואיך כלים מודרניים מצליחים לגשר על הפער, כדאי להאזין לפרק הפודקאסט המשלים שלנו, Microsoft Defender for Identity - Simply Explained, שבו אנחנו צוללים ישירות אל המכניקה המעשית של שמירה על זהויות ארגוניות בטוחות.

הבנת ההבדל בין IAM מסורתי ל-ITDR

כדי להבין מדוע שיטות אבטחה מודרניות מתפתחות כל כך מהר, קודם כול עלינו להסתכל על הכלים של העבר. כלי ניהול זהויות והרשאות מסורתיים נבנו בעיקר לניהול מחזור חיים והקצאה. תפקידם המרכזי היה לענות על שאלות פשוטות: מי המשתמש הזה? לאיזו קבוצה הוא שייך? האם יש לו הרשאה לגשת לתיקיה משותפת או ליישום ספציפי? לאחר שהמשתמש אומת בהצלחה וקיבל את הטוקן או התג שלו, מערכות IAM מסורתיות בעיקר נסוגו והניחו שהכול תקין.

כאן נכנס לתמונה זיהוי איומים על זהויות ותגובה אליהם, הידוע בשם ITDR. ITDR נועד במיוחד לגשר על פער הנראות העצום שקיים לאחר האימות. בעוד IAM מסורתי מתמקד בבקרת גישה, הקצאה ומדיניות סטטית, ITDR מתמקד בניטור רציף, זיהוי התנהגות חריגה של משתמשים ותגובה לפריצות פעילות המבוססות על זהויות בזמן אמת. הוא מכיר בכך שלהיות בעל הסיסמה הנכונה לא אומר אוטומטית שמי שמקליד אותה הוא הבעלים החוקי של החשבון.

המגבלות של כללים סטטיים באבטחה מודרנית

אחד הליקויים הגדולים ביותר במודלי האבטחה המסורתיים הוא ההסתמכות הכבדה על כללים סטטיים. במשך עשרות שנים, צוותי אבטחה הסתמכו על מדיניות קשיחה, טריגרים של סף קבוע ורשימות מוגדרות מראש של גורמים עוינים ידועים. אם ניסיון התחברות עמד בתנאים סטטיים מסוימים, כגון הגעה מכתובת IP ארגונית בשעות העבודה הרגילות, הוא נחשב אוטומטית לבטוח, ללא קשר למה שקרה אחר כך.

לצערנו, פושעי סייבר מודרניים למדו לעקוף את המחסומים הסטטיים האלה בקלות. התוקפים משתמשים בפרטי ניהול לגיטימיים, מפעילים קבצים בינאריים מסוג Living-off-the-Land (LotL) ומחקים בזהירות תעבורה עסקית רגילה כדי לחמוק לחלוטין מתחת לרדאר של ההתראות המבוססות על כללים. כאשר תנוחת האבטחה שלכם נשענת כולה על כללים סטטיים, אתם למעשה מחכים שתוקף ישתמש בתרחיש ידוע וצפוי. אם הוא יסטה ממנו אפילו מעט, או אם ינצל פרטי התחברות לגיטימיים שהשיג באמצעות פישינג, מערכת IAM המסורתית שלכם נותרת עיוורת לחלוטין לפעילות הזדונית המתרחשת בתוך הסביבה שלכם.

איך אנליטיקה התנהגותית משנה את המשחק

כדי להתמודד עם תקיפות שעוקפות כללים סטטיים, אדריכלי אבטחה נאלצו לחשוב מחדש לגמרי על האופן שבו הם מנטרים את התעבורה הארגונית. כאן נכנסת לתמונה האנליטיקה ההתנהגותית. במקום לשאול אם פעולה מפרה כלל נוקשה ומוגדר מראש, האנליטיקה ההתנהגותית שואלת שאלה הרבה יותר עוצמתית: האם זה נורמלי עבור המשתמש הספציפי הזה?

מנוע ניתוח התנהגותי יוצר קו בסיס של פעילות רגילה לאורך זמן. הוא לומד את שעות ההתחברות הטיפוסיות של המשתמש, את תחנות העבודה המועדפות עליו, את מהירות הגישה הרגילה לקבצים, את דפוסי החברות בקבוצות, ואפילו את קצב ההקלדה וההרגלים בניווט. כשחשבון נפרץ, התוקף נדיר שמחקה כל פרט קטן בשגרת היום של הקורבן. על ידי הערכה מתמשכת של דפוסי ההתנהגות הללו, פתרונות אבטחה יכולים לזהות חריגות עדינות, כגון תנועה רוחבית חריגה, בקשות פתאומיות לשכפול ספריית השירות או הסלמות הרשאות בלתי צפויות, הרבה לפני שהגורם הזדוני יוכל להשיג את מטרתו הסופית.

ניטור בזמן אמת ואותות מ-Active Directory

נראות היא הכול באבטחת סייבר. אם אינכם יכולים לראות מה קורה בכל שירותי הספרייה שלכם, אינכם יכולים להתגונן מפניו. פלטפורמות ITDR מודרניות מצטיינות בכך שהן מתחברות ישירות לאותות המרכזיים של תשתית הזהויות שלכם, כולל Active Directory מקומי וספקי זהויות מבוססי ענן.

ניטור בזמן אמת מעריך גורמי סיכון באופן דינמי, תוך כדי תהליכי האימות וההרשאה עצמם. במקום להפיק דוח למחרת בבוקר, כלי ITDR חזק מנתח משתני הקשר כגון מוניטין של כתובת IP, עמידה של המכשיר בדרישות, סוכני משתמש חריגים וסיטואציות של נסיעה בלתי אפשרית, ברגע המדויק שבו מתבצעת הבקשה. אם מזוהה איום במהלך הסשן, המערכת יכולה לאכוף מיד אתגרי אימות מרובה גורמים, לבטל טוקנים של סשנים, או להגביל זמנית גישה לפני שייגרם נזק מבני.

תעדוף איומים באמצעות דירוג סיכונים מבוסס בינה מלאכותית

עייפות מהתראות היא אחד הרוצחים השקטים הגדולים ביותר במרכזי הפעלה לאבטחה (SOC) מודרניים. כאשר כלי ניטור מפזר אלפי התראות בעלות דיוק נמוך מדי יום, אנליסטים אנושיים חווים עייפות באופן בלתי נמנע, מה שמוביל להחמצת אזהרות ולעיכוב בזמני תגובה לאירועים.

מערכות ITDR מודרניות פותרות בעיה זו באמצעות דירוג סיכונים מבוסס בינה מלאכותית. במקום להתייחס לכל התראה בנפרד כאל מצב חירום עצמאי, הבינה המלאכותית מקשרת בין אותות נמוכים מרובים, כגון שינוי התנהגותי קל בשילוב שינוי קל בהקשר המכשיר, ומחשבת ציון סיכון מאוחד עבור היישות. אירועים מתועדפים בצורה שקופה לפי מדדי חומרה, כך שאנליסטי ה-SOC שלכם יודעים מיד אילו התראות דורשות התערבות ידנית דחופה ואילו ניתן לטפל בהן בבטחה באמצעות תהליכים אוטומטיים.

ייעול פעילות באמצעות תגובות אוטומטיות

באבטחת סייבר, מהירות היא הכול. תוקף יכול לפרוץ לזהות, לשלוף אישורי גישה ולנוע רוחבית ברשת תוך דקות ספורות. המתנה לכך שאנליסט אנושי יבדוק ידנית התראה, יאמת את הפריצה וינקוט פעולה היא לעיתים קרובות איטית מדי בהרבה.

לכן יכולות תגובה אוטומטיות הפכו לחיוניות כל כך. פלטפורמות אבטחת זהויות מודרניות כוללות ספרי הפעלה מוכנים מראש ותהליכים אוטומטיים שיכולים לנקוט צעדי תיקון מיידיים ברגע שאיום חמור מאושר. אם חשבון שירות (service principal) או חשבון משתמש מציגים סימנים ברורים להתקפת כוח גס או לגניבת אישורים, המערכת יכולה להשבית את החשבון באופן אוטומטי, לבודד את נקודת הקצה המושפעת ולהודיע לצוות תגובה לאירועים, וכל זאת ללא צורך בהתערבות אנושית בשלב הראשוני של הכלה. הדבר מקצר משמעותית את זמן השהייה של התוקף ומגביל את היקף הנזק של ההתקפה.

אבטחת סביבות היברידיות ורב-ענניות

מעט מאוד ארגונים פועלים כיום רק בענן או רק על תשתית מקומית. הרוב המכריע של הארגונים המודרניים מנהלים סביבות היברידיות מורכבות, שבהן תחומי Active Directory מקומיים מסתנכרנים בצורה חלקה עם ספריות בענן כגון Microsoft Entra ID.

המציאות ההיברידית הזו יוצרת אתגרי אבטחה ייחודיים, שכן תוקפים מנצלים לעיתים קרובות את נקודות המפגש שבין התשתית המקומית לענן כדי להסלים הרשאות. כלי זיהוי איומי זהויות מודרניים נועדו במיוחד לגשר על הפער הזה. על ידי קליטת אותות מבקרי תחום מקומיים ומשירותי זהות בענן, פתרונות אלה מספקים מבט מאוחד שעוקב אחר פעילות חשודה בכל הנכסים הדיגיטליים שלכם. בין אם תוקף מתחיל את מסעו על שרת קבצים מקומי ישן ועובר אל אפליקציות פרודוקטיביות מבוססות ענן, מסגרת הגנת הזהויות שלכם שומרת על נראות מלאה.

סיכום: מעבר למודל אבטחה פרואקטיבי

המעבר מניהול זהויות סטטי לזיהוי איומים דינמי ולתגובה אליהם אינו רק מגמה חולפת; זו הכרח מוחלט להישרדות בנוף האיומים המודרני. ככל שפושעי סייבר הופכים מתוחכמים יותר ומסתמכים יותר ויותר על אישורי גישה לגיטימיים כדי לעקוף הגנות היקף, הסתמכות על IAM מדור קודם וכללים נוקשים כבר אינה אסטרטגיה בת קיימא. באמצעות ניטור התנהגותי מתמיד, דירוג סיכונים מבוסס בינה מלאכותית, ניטור בזמן אמת ותגובות אוטומטיות, ארגונים יכולים לעבור מעמדה תגובתית למודל אבטחה פרואקטיבי באמת.

כדי להעמיק ולהבין איך המושגים האלה באים לידי ביטוי בסביבות ארגוניות, כדאי מאוד להאזין לפרק הפודקאסט המלא שלנו, Microsoft Defender for Identity - Simply Explained. הבנה של הכלים האלה והטמעה נכונה שלהם יבטיחו שהארגון שלכם ישמור על חוסן מול כל איום מבוסס זהות שיגיע בהמשך.