EDR עם disk encryption הוא שילוב של זיהוי ותגובה לאיומים בנקודות קצה (EDR) עם הצפנת דיסק מלאה (Full Disk Encryption), שמנוהלים מאותה פלטפורמה. EDR מגן על התחנה בזמן שהיא פועלת, וההצפנה מגינה על המידע שבכונן כשמחשב כבוי אובד או נגנב. לפי NIST, איומים רבים על התקני קצה עלולים לגרום לכך שמידע שמאוחסן בהם יהיה נגיש לגורמים לא מורשים.
בקצרה
- EDR מזהה ובולם איומים בזמן שהמחשב פועל, והצפנת דיסק מלאה מגינה על המידע שבכונן כשמחשב כבוי מגיע לידיים זרות.
- לפי Bitdefender, GravityZone Full Disk Encryption מנהל את BitLocker ב-Windows ואת FileVault ב-macOS, בלי סוכן נוסף ובלי שרת לניהול מפתחות.
- אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את פלטפורמת Bitdefender GravityZone.
מה מכסה EDR ומה מכסה הצפנת דיסק מלאה?
EDR והצפנת דיסק מלאה מכסים שני מצבים שונים. EDR מנטר את התחנה בזמן שהיא פועלת, מזהה פעילות חשודה ויכול לבודד את התחנה או לעצור תהליך. הצפנת דיסק מלאה מגינה על המידע כשמחשב כבוי אובד או נגנב, כי בלי מפתח ההצפנה הנתונים שבכונן אינם קריאים.
לפי Bitdefender, GravityZone Full Disk Encryption מגן על המידע שבכונן בלי קשר למי שמחזיק במכשיר פיזית. תרחיש מוכר הוא מחשב נייד כבוי שנשכח במונית או נגנב מהרכב, במיוחד בארגון שעובדים בו גם מהבית ובדרכים. כשהמחשב פועל והמשתמש מחובר, המידע פתוח למי שמשתמש בו, ובמצב הזה ההגנה מפני מתקפות נשענת על ה-EDR ועל נעילת המסך.
|
תרחיש |
השכבה שמטפלת בו |
מה קורה בפועל |
|
תוכנה זדונית רצה על התחנה |
EDR |
זיהוי הפעילות ובלימה שלה |
|
תוקף מנסה להשתלט על חשבון בתחנה פעילה |
EDR |
זיהוי התנהגות חריגה ותגובה |
|
מחשב נייד כבוי אבד או נגנב |
הצפנת דיסק מלאה |
המידע שבכונן נשאר מוצפן |
|
הכונן הוצא והוכנס למחשב אחר |
הצפנת דיסק מלאה |
בלי המפתח הכונן אינו קריא |
|
עובד שכח את סיסמת ההצפנה |
ניהול מפתחות השחזור |
פתיחת הכונן עם מפתח ששמור במערכת הניהול |
למה לנהל את BitLocker ו-FileVault מקונסולה אחת?
ניהול מרכזי של BitLocker ו-FileVault מאפשר לצוות ה-IT להפעיל הצפנה בכל המחשבים לפי מדיניות, לראות אילו מחשבים מוצפנים ואילו לא, ולשמור את מפתחות השחזור במקום אחד. בלי ניהול כזה, כל הצפנה מופעלת ומתועדת בנפרד בכל מחשב, וקשה לדעת מה המצב בארגון כולו.
לפי Bitdefender, BitLocker ו-FileVault כבר כלולים במערכות ההפעלה הנתמכות, ומה שחסר להם הוא ניהול מרכזי. לפי Bitdefender, GravityZone Full Disk Encryption מנהל את ההצפנה המובנית הזו, בלי סוכן נוסף ובלי שרת לניהול מפתחות. הטמעה מסודרת כוללת ארבעה שלבים.
- מיפוי: בודקים אילו מחשבים כבר מוצפנים ואילו מערכות הפעלה יש בארגון.
- מדיניות: מגדירים אילו קבוצות מחשבים מוצפנות ובאיזה סדר.
- מפתחות: מוודאים שמפתחות השחזור נשמרים במערכת הניהול לפני ההפעלה.
- בקרה: בודקים מדי תקופה שאין מחשב חדש שהצטרף לארגון בלי הצפנה.
כדאי להתחיל מהמחשבים הניידים, כי הם יוצאים מהמשרד ונמצאים בסיכון גבוה יותר לאובדן או לגניבה. אחר כך ממשיכים למחשבים הנייחים, ובמקביל מוודאים שכל מחשב חדש מקבל את מדיניות ההצפנה כבר ביום הראשון.
מה קורה כשעובד שוכח את הסיסמה?
כשעובד שוכח את סיסמת ההצפנה או את קוד ה-PIN, או כשהמחשב נכנס למצב שחזור, צוות ה-IT פותח את הכונן בעזרת מפתח השחזור. לכן ניהול מפתחות השחזור הוא חלק מרכזי בכל פרויקט הצפנה. מפתח שאבד יחד עם הסיסמה עלול להשאיר את המידע נעול גם בפני הארגון עצמו, ובמקרה הגרוע לגרום לאובדן המידע.
לפי Bitdefender, GravityZone שומר את מפתחות השחזור שנדרשים לפתיחת הכוננים המוצפנים כשמשתמש שוכח את הסיסמה. כך התמיכה לא תלויה בקובץ ששמור במחשב של העובד או בפתק במגירה, ואפשר לפתוח את הכונן גם כשהעובד לא זמין.
איך מראים בביקורת שהמחשבים מוצפנים?
כדי להראות בביקורת שהמחשבים מוצפנים, ארגון צריך דוח עדכני שמפרט לכל מחשב אם ההצפנה פעילה. דוח כזה עוזר לענות על שאלות של מבקרים, של לקוחות ושל חברות ביטוח סייבר בלי לאסוף נתונים ידנית מכל מחשב, והוא מראה גם אילו מחשבים עדיין דורשים טיפול.
לפי Bitdefender, GravityZone Full Disk Encryption מפיק דוחות הצפנה ייעודיים להוכחת תאימות בביקורת. מומלץ להגדיר את הדוח כחלק מהבקרה התקופתית ולא רק לפני ביקורת, כי מחשבים חדשים מצטרפים לארגון ומחשבים ישנים מוחלפים.
איך מתחילים פרויקט של EDR עם הצפנת דיסק?
כדי לקבל EDR עם הצפנת דיסק, בוחרים פלטפורמה שמנהלת את שתי השכבות מאותה קונסולה, ומתכננים את ההטמעה בשלבים של מיפוי, מדיניות, שמירת מפתחות ובקרה. לפני ההפעלה כדאי לבדוק שגרסת מערכת ההפעלה בכל מחשב תומכת בהצפנה המובנית, ולוודא שמפתחות השחזור נשמרים במערכת הניהול.
אופק דיסט מפיצה בישראל את פלטפורמת Bitdefender GravityZone, שכוללת EDR, XDR ו-SIEM ומבוססת על למידת מכונה ו-AI. אופק דיסט מעניקה שירות ותמיכה בעברית, בשעון ישראל.
סיכום
EDR עם disk encryption מפחית את הסיכון גם במתקפה על מחשב פועל וגם באובדן או בגניבה של מחשב. ניהול מרכזי של BitLocker ו-FileVault, שמירה של מפתחות השחזור ודוחות הצפנה הופכים את ההצפנה לתהליך מבוקר ולא לפעולה חד-פעמית בכל מחשב. אופק דיסט מפיצה בישראל את Bitdefender GravityZone ומעניקה תמיכה בעברית.
לתיאום ייעוץ או הדגמה, צוות אופק דיסט זמין בטלפון 073-22-00-123.
שאלות נפוצות על EDR עם disk encryption
מה זה הצפנת דיסק מלאה?
הצפנת דיסק מלאה (Full Disk Encryption) מצפינה את כל הכונן, כך שהמידע אינו קריא בלי מפתח או סיסמה. ב-Windows זה נעשה בדרך כלל עם BitLocker, וב-macOS עם FileVault.
האם צריך להתקין תוכנת הצפנה נוספת?
לא בהכרח. לפי Bitdefender, BitLocker ו-FileVault כבר כלולים במערכות ההפעלה הנתמכות. לפי Bitdefender, GravityZone Full Disk Encryption מנהל אותם בלי סוכן נוסף. ב-Windows, ניהול מלא של BitLocker זמין בגרסאות Pro, Enterprise ו-Education, ובגרסת Home יש הצפנת מכשיר מוגבלת יותר.
מה ההבדל בין הצפנת דיסק להצפנת קבצים?
הצפנת דיסק מלאה מגינה על כל הכונן, כולל קבצים זמניים וקובצי מערכת. הצפנת קבצים מגינה רק על הקבצים שנבחרו, ומתאימה כשרוצים להגן על קובץ גם כשהוא נשלח החוצה.
מי מחזיק את מפתחות השחזור?
בפתרון מנוהל, מפתחות השחזור נשמרים במערכת הניהול של הארגון ולא אצל העובד. כך צוות ה-IT יכול לפתוח כונן מוצפן גם כשהעובד שכח את הסיסמה או עזב את הארגון.
איך יודעים שכל המחשבים בארגון מוצפנים?
דוח הצפנה מרכזי מציג לכל מחשב אם ההצפנה פעילה. מומלץ לבדוק אותו מדי תקופה ולטפל מיד בכל מחשב שמופיע בו כלא מוצפן.