למה גישת "הגדר ושכח" נכשלת: טיפול ב-Microsoft Defender כמערכת חיה

By Mirko Peters · 2026-08-11

ברוכים השבים לפודקאסט ולסדרת ההעמקות המתמשכת שלנו בנושא אבטחת סביבת הענן שלכם. אם אי פעם חוויתם את תחושת הבטן הצונחת כשהודעת פישינג מתוחכמת מגיעה ישר לתיבת הדואר של משתמש, למרות ש-Microsoft 365 Security מופעל, אתם בהחלט לא לבד. ארגונים רבים רואים ב-Microsoft Defender for Office 365 תיבת סימון שמסמנים פעם אחת. מפעילים אותו, משאירים את ההגדרות בברירת מחדל ועוזבים, בהנחה שענקיות הענן דואגות לכל דבר מ

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לפודקאסט ולסדרת ההעמקות המתמשכת שלנו בנושא אבטחת סביבת הענן שלכם. אם אי פעם חוויתם את תחושת הבטן הצונחת כשהודעת פישינג מתוחכמת נוחתת ישר בתיבת הדואר של משתמש, למרות ש-Microsoft 365 Security מופעל, אתם בהחלט לא לבד. ארגונים רבים רואים ב-Microsoft Defender for Office 365 תרגיל של תיבת סימון חד-פעמית. מפעילים אותו, משאירים את הפרמטרים בהגדרות ברירת המחדל ועוזבים, בהנחה שענקיות הענן דואגות לכל דבר מאחורי הקלעים. לרוע המזל, דווקא התפיסה של "הגדר ושכח" היא בדיוק מה שגורמי איומים מודרניים מסתמכים עליו כדי לחמוק מההגנות שלכם.

הגדרות האבטחה ברירת המחדל ב-Microsoft 365 הן רק נקודת פתיחה, ולא הגנה מלאה. כדי להגן באמת על הארגון מפני התקפות פישינג מתפתחות, הונאות דואר אלקטרוני עסקי (BEC) וקבצים מצורפים זדוניים, צריך כוונון מתמשך, סקירות קבועות ולולאות משוב פעילות. להרחבה על הנושאים האלה ולהאזנה לדיון מפורט על כוונון הסביבה, כדאי להאזין לפרק הקשור שלנו, Tune Microsoft Defender for Office 365 Against Phishing. בפוסט הזה נפרק איך צינור האבטחה פועל בפועל, נחשוף את מלכודות התצורה הנסתרות, ונספק לכם תוכנית עבודה מעשית לחיזוק ההגנות בלי לשבש את פעילות העסק.

מה תלמדו

• כיצד Safe Links, Safe Attachments, למידת מכונה נגד פישינג וכללי תעבורה (Transport Rules) משתלבים זה בזה בתוך צינור מסירת הדואר האלקטרוני.
• הפערים והנקודות העיוורות שדרכם קמפיינים פישינג ממוקדים עדיין מצליחים לחדור.
• מלכודות התצורה הנפוצות שבהן נופלים מנהלים, וכיצד אפשר להימנע מהן באופן פעיל.
• תוכנית צעד-אחר-צעד להפיכת Defender ליעיל מאוד, בלי לשבור תהליכי דואר אלקטרוני עסקיים שגרתיים.

בתוך הצינור: איפה הודעות נעצרות ואיפה הן חולפות

כדי להבין מדוע הגדרות ברירת המחדל נכשלות, קודם צריך להציץ פנימה ולראות איך Microsoft Defender מעבד הודעת דואר אלקטרוני נכנסת. זו לא שומר סף בודד, אלא צינור אבטחה רב-שכבתי. אם השכבות האלה לא מוגדרות כך שיתקשרו זו עם זו ומכוונות כראוי, הודעות עלולות לחמוק דרך הסדקים.

1. Safe Links: הרכיב הזה כותב מחדש כתובות URL בהודעות נכנסות ובודק אותן בזמן הלחיצה, גם ימים לאחר שההודעה נמסרה. עם זאת, מדיניות בהיקף שגוי או חסימה אגרסיבית מדי עלולות לשבור קישורים לגיטימיים שצוותי שיווק או פלטפורמות סקרים משתמשים בהם, ולייצר לחץ פנימי עז להחליש את ההגבלות לחלוטין.
2. Safe Attachments (ATP): הרכיב הזה מפעיל קבצים בתוך sandbox ענני מאובטח לפני שהם מגיעים למשתמש. אם הוא מוגדר למצב Monitor במקום Block או Dynamic Delivery, איומים רק נרשמים ולא נעצרים. כלומר, המשתמשים מקבלים את המטען הזדוני, וצוות האבטחה מקבל התראה רק בדיעבד.
3. Anti-Phishing: השכבה הזו, שמשלבת למידת מכונה מתקדמת עם הגנה מפני התחזות, מגינה מפני זיוף שם תצוגה, דומיינים דומים מאוד ודפוסי שליחה חריגים. ספי זיהוי שכווננו בצורה לא נכונה יכולים להניב או התראות שווא מטרידות על שותפים חיצוניים לגיטימיים, או החמצות מוחלטות של זיופים שמכוונים ל-VIP.
4. Transport Rules: לכללי זרימת דואר יש כוח מסוכן לעקוף את ההגנה לחלוטין או לסנן הודעות פעמיים בלי צורך. הכנסת דומיינים של שותפים שלמים לרשימת ההיתרים דרך כללי תעבורה יוצרת לעיתים קרובות נקודות עיוורות גדולות, ותוקפים ישמחו לנצל אותן.

מלכודות תצורה שכדאי להימנע מהן

ארגונים רבים מערערים בעצמם את מצב האבטחה שלהם כשהם נופלים למלכודות תצורה נפוצות. זיהוי המוקשים האלה הוא הצעד הראשון לבניית ארכיטקטורת הגנה דוא"לית עמידה.

• מדיניות גלובלית אחידה לכולם: לצוות הכספים ולהנהלה הבכירה אין את פרופיל הסיכון של צוות השיווק או של העובדים הכלליים. אי-שימוש במדיניות מבוססת תפקידים משאיר את המטרות היקרות ביותר שלכם עם הגנה חלשה מדי.
• Safe Attachments במצב Monitor-only: ייתכן שהתראות יופעלו, אבל המשתמשים עדיין יקבלו את המטען המסוכן. עליכם לעבור ל-Dynamic Delivery ולמדיניות חסימה קפדנית.
• רשימות הרשאה בכללי תעבורה (Transport rules): לעולם אין לעקוף את Defender לחלוטין עבור דומיינים שלמים. במקום זאת, השתמשו במנגנוני שולחים מהימנים תוך שמירה על מנועי הסריקה פעילים.
• הגנת התחזות שלא עברה כוונון: אם אינכם מגינים באופן פעיל על המנהלים הבכירים, צוות הכספים וצוות החשבונות לספקים מפני זיוף שם תצוגה ודומיין, אתם מזמינים במישרין ניסיונות פישינג להונאת העברות כספיות.
• ברירות מחדל לנצח: מודלים של למידת מכונה דורשים לולאות משוב אנושיות וכוונון תקופתי של הספים. ברירות המחדל שמגיעות מהקופסה הן רק נקודת מוצא.
• היעדר משוב או מחזור סקירה: כאשר תוצאות חיוביות כוזבות ושליליות כוזבות אינן מתוקנות לעולם, המודלים סוטים מהמציאות, והמשתמשים מאבדים במהירות את האמון בכלי האבטחה.

תוכנית העבודה (שכבתית ומודעת לעסק)

בניית סביבה מאובטחת דורשת גישה אסטרטגית שמאזנת בין הגנה חזקה לבין פרודוקטיביות עסקית. להלן האופן שבו ניתן לבנות תנוחת אבטחה שכבתית ומודעת לעסק.

1) תכנון מדיניות לפי קבוצות סיכון

כספים והנהלה בכירה:

• Safe Links: מופעל, עם אימות בזמן הלחיצה, חסימת קישורים לא מוכרים וסריקה בזמן אמת בכל אפליקציות Office וב-Microsoft Teams.
• Safe Attachments: מוגדר ל-Dynamic Delivery בשילוב Block.
• Anti-Phishing: מוגדר להגנה גבוהה, עם הגנת התחזות מחמירה עבור אישים בכירים (VIP), דומיינים פנימיים וחיקויים של ספקים מוכרים.

צוות כללי:

• Safe Links: מופעל, תוך שמירה על שכתוב כתובות URL ותוך מתן זרימה ברורה לשליחה ולדיווח על תוצאות חיוביות כוזבות לגיטימיות.
• קבצים מצורפים בטוחים: Dynamic Delivery בשילוב עם Block.
• Anti-Phishing: הגנה סטנדרטית, בשילוב דיווח מתמיד של משתמשים והדרכה מתמשכת למודעות.

שיווק/תפעול עם תהליכי עבודה עתירי קישורים:

• Safe Links: מופעל, עם חריגים מכוילים בקפידה עבור פלטפורמות שאומתו, תוך הימנעות מכל עקיפה גלובלית בכל הארגון.
• קבצים מצורפים בטוחים: Dynamic Delivery.
• יש להוסיף מסלול בדיקה מהיר ומובנה עבור קישורים חסומים של קמפיינים, באמצעות תיבת דואר משותפת או תור של SecOps.

2) אכיפה, לא רק תצפית

עברו מתצפית פסיבית לאכיפה פעילה. הגדירו את Safe Attachments לחסימה או להחלפה באמצעות Dynamic Delivery. במדיניות Anti-Phishing, העבירו ניסיונות פישינג בביטחון גבוה ישירות להסגר, שלחו איומים בביטחון בינוני לתיקיית הספאם, ואספקו פריטים בביטחון נמוך רק עם תג אבטחה.

3) סגירת נתיבי העקיפה

בדקו את כל כללי התעבורה בדייר שלכם בחיפוש אחר תנאים שעוקפים מסנני ספאם, תוכנה זדונית או פישינג. החליפו כללי עקיפה רחבים בדומיין שלם בשולחים מהימנים שהוגדרו בהיקף מדויק, תוך שמירה על הפעלת הסריקה ברקע. בנוסף, שמרו על בקרה הדוקה על העברה אוטומטית של דואר לכתובות חיצוניות.

4) לולאות משוב וניטור

קבעו קצב תפעולי קבוע. מדי שבוע, בדקו את יומני ההסגר, דיווחים על תוצאות חיוביות ושליליות כוזבות, נתוני Threat Explorer ומעקבי הודעות (message traces). הדריכו את המשתמשים להשתמש בפעילות באופן פעיל בתוסף Report Message, כך שמרכז תפעול האבטחה (SOC) יוכל להזין את הדיווחים האלה בחזרה לרשימות ההרשאה והחסימה וללמד את מודלי למידת המכונה.

5) שריריים לתגובה לאירועים

כאשר הודעת פישינג בלתי נמנע תגיע לתיבת דואר, הצוות שלכם צריך לפעול במהירות ובדיוק. חפשו פריטי דואר דומים בכל הארגון באמצעות Threat Explorer, בצעו מחיקות המוניות, כפו איפוס אישורי כניסה אם לחצו על קישור, בדקו הסכמות של יישומי OAuth והוסיפו את הדומיין הפוגעני לרשימות המעקב הפעילות שלכם.

רשימת בדיקה מהירה לתצורה

לפני שתסיימו את תהליך הביקורת, עברו על רשימת הבדיקה המהירה הזו כדי לוודא שסביבת Microsoft Defender for Office 365 שלכם מוקשחת כראוי:

• Safe Links מופעל עבור דואר, אפליקציות Office ו-Teams, עם הגנה בזמן לחיצה מופעלת.
• Safe Attachments מוגדר ל-Dynamic Delivery ול-Block/Replace (תוך הימנעות ממצב Monitor).
• Anti-Phishing מוגדר עם הגנת התחזות עבור אישים בכירים (VIP), צוות הכספים, צוות החשבונות לספקים ודומיינים פנימיים.
• אפס עקיפות של כללי תעבורה בדומיין שלם; הוחלפו בשולחים מהימנים בהיקף מוגדר ובסריקה פעילה.
• הוגדרו מדיניות מבוססת תפקידים עבור הנהלה בכירה, כספים, צוות כללי ושיווק, עם ספי סיכון נפרדים.
• תוסף הדיווח של משתמשים הותקן בנקודות הקצה ונמצא במעקב פעיל.
• סקירה שבועית הוגדרה עבור Threat Explorer, Quarantine, False Positives/Negatives ו-Message Trace.
• נתהלי עבודה תפעוליים תועדו ונבדקו לטיפול בהודעות פישינג שכבר הגיעו לתיבות דואר, לביצוע מחיקות (purges) ולתגובה לזיוף דומיין של ספקים.

התייחסות אל Microsoft Defender כאל מערכת חיה ונושמת, ולא כאל רשימת בדיקה סטטית, מעבירה את תנוחת האבטחה שלכם ממצב תגובתי למצב יזום. כדי להעמיק באסטרטגיות האלה, האזינו לדיון המלא בפודקאסט בכתובת Tune Microsoft Defender for Office 365 Against Phishing. הישארו מאובטחים, המשיכו לכוונן את המדיניות שלכם, ונתראה בפרק הבא!