כשמחשב נדבק, מבודדים אותו מהרשת לפני שהמתקפה מתפשטת למחשבים אחרים, ואפשר לבודד תחנה או שרת נגועים מרחוק, מתוך קונסולת הניהול. לפי Bitdefender, בפלטפורמת GravityZone פעולת Isolate endpoint מבודדת תחנה מתוך הקונסולה, ותחנה מבודדת יכולה לתקשר רק עם GravityZone. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone. המאמר מסביר איך מבצעים את הבידוד, מה קורה לתחנה המבודדת ומה עושים אחריו.
בקצרה
- לפי Bitdefender, בידוד תחנה מתבצע מתוך GravityZone Control Center, בעמוד Network, דרך הכפתור Actions והפעולה Isolate endpoint.
- לפי Bitdefender, תחנה מבודדת יכולה לתקשר רק עם GravityZone, וכדי להחזיר אותה לרשת בוחרים Remove from isolation.
- לפי NIST SP 800-61 Rev. 3 (אפריל 2025), רוב האירועים דורשים הכלה מסוג כלשהו, ואחריה ייתכן שיידרש מיגור של מנגנוני התמדה ונקודות כניסה.
למה כדאי לבודד תחנה נגועה מיד?
בידוד הוא צעד הכלה, כלומר הצעד שמונע מאירוע הסייבר להתרחב. לפי CISA, אחרי שקובעים אילו מערכות נפגעו מבודדים אותן מיד. לפי NIST SP 800-61 Rev. 3 (אפריל 2025), הכלה פירושה מניעת התרחבות של אירוע, היא יכולה למנוע נזק נוסף, ורוב האירועים דורשים הכלה מסוג כלשהו.
לפי Bitdefender, בידוד תחנה נועד להכיל התפשטות של פעילות זדונית אפשרית, כמו תנועה רוחבית, לתחנות אחרות ברשת. לפי CISA, אם נראה שכמה מערכות או רשתות משנה נפגעו, מנתקים את הרשת ברמת המתג. כשסוכן ההגנה של Bitdefender מותקן בתחנה, היא מחוברת לקונסולה והרישיון עונה על הדרישות, אפשר לבודד אותה בלי להגיע פיזית למחשב, וזה שימושי בארגונים עם כמה סניפים או עם עובדים מהבית. אחרי הבידוד, הטיפול בתחנה נגועה ממשיך בשלבים האלה.
- הכלה: ניתוק התחנה הנגועה מהרשת, כדי שהנוזקה לא תתפשט.
- חקירה: איסוף נתונים מהתחנה המבודדת, כדי להבין מה קרה ואילו מערכות נוספות נפגעו.
- מיגור: מחיקת הנוזקה, השבתת חשבונות שנפרצו ותיקון החולשות שנוצלו.
- החזרה לרשת: כדאי לבצע אותה רק אחרי שהתחנה נוקתה ונבדקה.
איך לבודד תחנה או שרת נגועים מרחוק ב-Bitdefender GravityZone?
לפי Bitdefender, כדי לבודד תחנה אחת או יותר מרחוק מתחברים ל-GravityZone Control Center ונכנסים לעמוד Network בתפריט הצד. לפי Bitdefender, מסמנים את התחנות שרוצים לבודד, לוחצים על הכפתור Actions בראש הטבלה, בוחרים Isolate endpoint ומאשרים. אפשר לסמן כמה תחנות ושרתים מנוהלים ולבודד אותם בבת אחת, וזה שימושי כשההדבקה כבר הגיעה לכמה מחשבים.
לפי Bitdefender, ב-macOS פעולת הבידוד דורשת שמודול EDR יהיה מותקן בתחנה, וב-Windows הפעולה זמינה בין שהמודול מותקן ובין שלא. לפי Bitdefender, כדי שהאפשרות Isolate endpoint תהיה זמינה, לארגון צריך להיות רישיון לאחד לפחות מכמה מוצרים, ובהם GravityZone Business Security Premium, GravityZone Business Security Enterprise, GravityZone Security for Servers או GravityZone EDR Cloud. לפי Bitdefender, במנוי חודשי נדרש גם ש-Advanced Threat Security יהיה מופעל. כדאי לבדוק מראש אילו תחנות ואילו רישיונות בארגון עונים על הדרישות, ולא לגלות זאת באמצע אירוע.
| פעולה בקונסולה | מה היא עושה |
| Isolate endpoint, מעמוד Network | לפי Bitdefender, מבודדת את התחנה, והיא מתקשרת רק עם GravityZone |
| Isolate, מעמוד Response של האירוע | לפי Bitdefender, מנתקת את התחנה מהרשת מתוך חקירת האירוע |
| Remove from isolation | לפי Bitdefender, מחברת את התחנה חזרה לרשת |
| Remote Shell | לפי Bitdefender, מריצה פקודות חקירה בתחנה, ברישיון שכולל אותה |
| Isolate host, בשירות MDR | לפי Bitdefender, צוות ה-SOC מנתק את המארח, לפי אישור מראש |
מה קורה לתחנה מבודדת, ואיך מחזירים אותה לרשת?
לפי Bitdefender, כשתחנה מבודדת, היא יכולה לתקשר רק עם GravityZone. כך צוות ה-IT ממשיך לנהל אותה מהקונסולה, בעוד שהתקשורת שלה לשאר הרשת חסומה. לפי Bitdefender, תחנות מבודדות מציגות הודעת אזהרה בלשונית General של חלון המידע של התחנה, וכדי להחזיר תחנה לרשת בוחרים בפעולה Remove from isolation.
לפי NIST SP 800-61 Rev. 3 (אפריל 2025), אחרי ההכלה ייתכן שיידרש מיגור כדי לחסל מנגנוני התמדה ונקודות כניסה, כמו מחיקת נוזקה, השבתת חשבונות משתמש שנפרצו וזיהוי ותיקון של כל החולשות שנוצלו.
איך מבודדים תחנה מתוך חקירת אירוע ב-GravityZone?
כשהאירוע כבר מופיע בקונסולה, אפשר לבודד את התחנה ישירות מתוך החקירה, בלי לחזור לעמוד Network. לפי Bitdefender, בעמוד Response של האירוע, תחת קטגוריית Containment, הפעולה Isolate מנתקת את התחנה מהרשת כדי למנוע מפעילות זדונית אפשרית להתפשט לתחנות אחרות. לפי Bitdefender, הפעולה Remove from isolation באותו עמוד מחברת אותה חזרה לרשת.
לפי Bitdefender, לוח הפרטים של צומת התחנה בגרף האירוע מציג את הפעולות שבוצעו אוטומטית בידי GravityZone לצמצום האיום ואת הפעולות שאפשר לבצע, ובהן Isolate Host לבידוד התחנה מהרשת. לפי Bitdefender, טווח הפעולות יכול להשתנות לפי הרישיון.
לפי Bitdefender, הפעולה Remote Shell פותחת חיבור שורת פקודה מרחוק לתחנה המעורבת באירוע ומאפשרת להריץ פקודות חקירה ישירות במערכת ההפעלה שלה. לפי Bitdefender, האפשרות מוצגת רק ללקוחות עם רישיון שכולל את Remote Shell. לפי Bitdefender, הפעולה Install patches מתקינה בתחנת היעד תיקון אבטחה חסר, והיא מוצגת רק עם מודול Patch Management, תוסף הזמין ברישיון נפרד.
האם אפשר שהבידוד יתבצע בלי צוות פנימי?
כן, כשיש שירות ניטור מנוהל שמורשה לפעול. לפי Bitdefender, בשירות MDR אפשר לאשר מראש לצוות ה-SOC לבצע פעולות מסוימות בלי אישור מפורש בכל פעם שנדרש, ובהן Isolate host. לפי Bitdefender, בפעולה הזאת המומחים מנתקים את המארח, כלומר התחנה, מהרשת כך שהוא לא יוכל עוד להתחבר למערכות אחרות או לקבל מהן חיבורים.
לפי NIST SP 800-61 Rev. 3 (אפריל 2025), כדאי לשקול להגדיר טכנולוגיות סייבר כך שיבצעו אוטומטית חלק מפעולות ההכלה, כמו העברת תחנה שנפרצה לרשת תיקון מבודדת. לפי NIST, מומלץ לאפשר למטפלי האירוע לבחור ולבצע ידנית פעולות הכלה במקום אמצעי ההכלה האוטומטיים או בנוסף להם. כשחלק מפעולות ההכלה מוגדרות אוטומטית או מאושרות מראש, הבידוד לא תלוי בזמינות של איש צוות ברגע הזיהוי.
מה עושים כשאי אפשר לבודד מהקונסולה?
מנתקים פיזית. לפי CISA, אם אי אפשר לנתק מיד את הרשת, גם לא זמנית, יש לאתר את כבל הרשת, לנתק את המכשירים שנפגעו מהרשת או להסיר אותם מה-Wi-Fi כדי להכיל את ההדבקה. ניתוק פיזי נדרש כשהתחנה לא מנוהלת, הסוכן לא מותקן או שהקונסולה לא זמינה, והוא מחייב מישהו ליד המחשב.
לפני אירוע כדאי למפות אילו תחנות ושרתים מנוהלים בקונסולה ואילו ידרשו ניתוק פיזי, כדי שההחלטה באירוע תהיה מהירה.
סיכום
צעד הכלה מרכזי באירוע הוא לבודד תחנה או שרת נגועים מרחוק, ולפי CISA מבצעים אותו מיד אחרי שקובעים אילו מערכות נפגעו. לפי Bitdefender, ב-GravityZone מבצעים אותו מעמוד Network או מתוך חקירת האירוע, התחנה המבודדת מתקשרת רק עם GravityZone, ומחזירים אותה לרשת בפעולה Remove from isolation.
אופק דיסט מפיצה בישראל את Bitdefender GravityZone ונותנת שירות ותמיכה בעברית, בשעון ישראל, בלי פנייה ליצרן בחו"ל.
נתקלתם במתקפה? קו החירום של אופק דיסט, 073-2200106, מספק ייעוץ ראשוני ללא עלות.
שאלות נפוצות על בידוד תחנה נגועה מרחוק
האם תחנה מבודדת מנותקת לגמרי מהרשת?
לא לגמרי. לפי Bitdefender, תחנה מבודדת יכולה לתקשר רק עם GravityZone. התקשורת לשאר הרשת נחסמת, והניהול מהקונסולה נמשך.
האם אפשר לבודד שרת כמו תחנת עבודה?
כן, כשהסוכן מותקן בשרת והרישיון מאפשר זאת. לפי Bitdefender, הפעולה Isolate endpoint מתבצעת מעמוד Network על התחנות שמסומנות בטבלה, ובין המוצרים שמאפשרים אותה נמצא גם GravityZone Security for Servers. לפני אירוע כדאי לוודא שהסוכן מותקן בשרתים הקריטיים.
האם הבידוד עובד גם ב-macOS?
כן, אבל התנאי שונה בין המערכות. לפי Bitdefender, ב-macOS נדרש שמודול EDR יהיה מותקן בתחנה, וב-Windows הפעולה זמינה גם בלעדיו. בסביבה מעורבת כדאי לוודא שמודול EDR פרוס בכל מחשבי ה-Mac.
איך מחזירים תחנה מבודדת לרשת?
לפי Bitdefender, בוחרים את התחנה בעמוד Network, לוחצים Actions ובוחרים Remove from isolation. כדאי לעשות זאת רק אחרי שהתחנה נוקתה ונבדקה. לפי NIST SP 800-61 Rev. 3 (אפריל 2025), אחרי ההכלה ייתכן שיידרש מיגור.
איך חוקרים תחנה מתוך הקונסולה?
לפי Bitdefender, הפעולה Remote Shell מאפשרת להריץ פקודות חקירה ישירות במערכת ההפעלה של התחנה ולאסוף נתונים פורנזיים. לפי Bitdefender, היא מוצגת רק ללקוחות עם רישיון שכולל אותה.
מה עושים אם כמה מחשבים נדבקו בבת אחת?
לפי CISA, אם נראה שכמה מערכות או רשתות משנה נפגעו, יש לנתק את הרשת ברמת המתג. לפי Bitdefender, בקונסולה אפשר לסמן כמה תחנות ולבודד אותן בפעולה אחת.