תעודת מכשיר שפג תוקפה לא נראית כמו אירוע אבטחה דרמטי - עד שהמנהל לא מצליח להתחבר ל-VPN, עמדות מפסיקות להזדהות מול רשת ה-Wi-Fi, או שירות קריטי נופל כי שרשרת האישורים לא חודשה בזמן. ניהול תעודות מכשיר בענן ארגוני נועד למנוע בדיוק את התרחיש הזה: לתת לכל מכשיר זהות מאומתת, ולשלוט במחזור החיים שלה בלי להסתמך על קבצים מקומיים, גיליונות אקסל ותזכורות ידניות.

בארגון קטן אפשר לפעמים לזהות תקלה במהירות. בארגון עם מאות או אלפי תחנות, מכשירים ניידים, שרתים, עובדים היברידיים וספקים חיצוניים - תעודה לא מנוהלת הופכת לנקודת כשל תפעולית ולפער אבטחה. הבעיה אינה רק הנפקת תעודה. האתגר הוא לדעת מי מחזיק בה, לאיזו מטרה היא משמשת, מתי היא מסתיימת ואיך מבטלים אותה מיד כשמכשיר נגנב, מוחלף או יוצא מהניהול הארגוני.

למה תעודות מכשיר הופכות לצוואר בקבוק

בשטח, תעודות משמשות להרבה יותר מאתרי אינטרנט. הן יכולות לאמת תחנות קצה מול רשת אלחוטית ארגונית, לאפשר גישה ל-VPN, לזהות מכשירים מול שירותי ענן, לחתום על קוד, להצפין תקשורת בין שרתים ולהוכיח שהמכשיר עומד במדיניות גישה. כאשר משתמשים במודל Zero Trust, תעודת המכשיר היא לעיתים שכבת אימות משלימה ל-MFA של המשתמש.

הכאוס מתחיל כאשר כל מערכת מטפלת בתעודות אחרת. צוות התשתיות מנפיק אישורים לשרתים, צוות אבטחת המידע מנהל אישורי גישה, וספק חיצוני מתקין תעודה על ציוד ייעודי. אין מאגר אחיד, אין בעלים ברור, וביום שבו תעודת Root או Intermediate מתקרבת לתפוגה, אף אחד לא בטוח אילו מערכות יושפעו.

גם תהליך החלפת מחשב עלול להשאיר שאריות: התעודה של המכשיר הישן עדיין פעילה, למרות שהוא כבר לא נמצא אצל עובד או נמחק ממערכת הניהול. מבחינת בקרת גישה, זו זהות שלא נסגרה. מבחינת ביקורת אבטחה, זו שאלה שתצטרכו להסביר.

ניהול תעודות מכשיר בענן ארגוני מתחיל במלאי אמין

לפני שבוחרים מנגנון הנפקה או מדיניות חידוש, צריך לבנות תמונת מצב. לא רשימת קבצים, אלא מלאי נכסים שמקשר בין תעודה, מכשיר, משתמש, מערכת ומטרה עסקית. אם אי אפשר לענות בתוך דקות על השאלה "אילו מכשירים משתמשים בתעודה הזו?" - אין עדיין שליטה אמיתית.

המלאי צריך לכלול לפחות את סוג התעודה, הרשות המנפיקה, תאריך ההנפקה והתפוגה, טביעת האצבע, שם המכשיר, הבעלים, סביבת העבודה והשירות שאליו היא נותנת גישה. כדאי לסמן גם אם המפתח הפרטי מוגן בחומרה או במאגר האישורים של מערכת ההפעלה, ואם ניתן לייצא אותו. פרטים אלו קובעים את רמת הסיכון במקרה של גניבה או פגיעה בתחנת קצה.

בארגונים שמנהלים ציוד באמצעות פלטפורמת ניהול נקודות קצה, נכון לקשור את מצב התעודה למצב התאימות של המכשיר. מחשב שלא מוצפן, לא עודכן או יצא מניהול - לא אמור להמשיך לקבל או לחדש תעודת גישה. החיבור הזה מצמצם עבודה ידנית ומונע מצב שבו הרשאה נשארת פעילה בגלל שהמערכות לא מדברות ביניהן.

הפרדה בין תעודות משתמש, מכשיר ושירות

אחת הטעויות הנפוצות היא שימוש באותה תעודה או באותו תהליך לכל צורך. תעודת משתמש מוכיחה מי האדם שמבקש גישה. תעודת מכשיר מוכיחה שהתחנה עצמה מוכרת ומנוהלת. תעודת שירות או שרת מזוהה עם רכיב תשתיתי, ולעיתים היא קריטית לתקשורת בין מערכות.

ההפרדה הזו חשובה במיוחד בגישה מרחוק. אם עובד מתחבר עם MFA בלבד, אתם יודעים שהמשתמש עבר אימות. אם מוסיפים תעודת מכשיר תקפה, אתם יודעים גם שהבקשה הגיעה מציוד ארגוני שעומד במדיניות. מצד שני, הדרישה הכפולה אינה מתאימה בהכרח לכל שירות. ספקים חיצוניים, מכשירי שטח או מערכות ישנות עשויים לדרוש תהליך חריג ומבוקר במקום כלל גורף שיחסום עבודה תקינה.

לכל סוג תעודה צריך להיות בעלים תפעולי. לא "מחלקת IT", אלא תפקיד או צוות מוגדר שאחראי על אישור ההנפקה, מדיניות החידוש והתגובה לתקלה. ללא בעלים, כל התראה על תפוגה נשארת בתיבת דואר כללית עד שהיא הופכת לאירוע.

אוטומציה נכונה: הנפקה, חידוש וביטול

ניהול ידני של תעודות לא מחזיק לאורך זמן. הוא תלוי באנשים, בתזכורות ובידע שלא תמיד מתועד. בארגון ענני, ההנפקה צריכה להתבצע דרך מנגנון מאובטח שמשתלב בניהול המכשירים ובתשתית האישורים, כך שמכשיר זכאי מקבל תעודה רק לאחר רישום ואימות.

תהליך תקין כולל ארבעה שלבים:

1. רישום המכשיר במערכת הניהול הארגונית ובדיקת תאימות למדיניות.
2. הנפקת תעודה עם תוקף מוגבל והרשאות שמותאמות למטרה המדויקת שלה.
3. חידוש אוטומטי לפני תפוגה, עם התראות במקרה שהחידוש נכשל.
4. ביטול או שלילה מיידיים כאשר המכשיר יוצא מניהול, מוחלף, אובד או מזוהה כחשוד.

הדגש הוא על חידוש מבוקר, לא על תוקף ארוך ככל האפשר. תעודה ארוכת טווח מפחיתה לכאורה את מספר החידושים, אבל מגדילה את חלון הסיכון אם המפתח נחשף. תוקף קצר יותר מצמצם את הסיכון, אך מחייב אוטומציה אמינה וניטור. האיזון תלוי ברגישות השירות, ביכולת של המכשירים להתחבר לרשת ובדרישות הציות של הארגון.

אל תתעלמו מתעודות שורש ושרשרת אמון

תעודת מכשיר יכולה להיות תקינה ועדיין להיכשל אם תחנת הקצה לא סומכת על רשות האישורים הנכונה, אם תעודת ביניים חסרה, או אם בוצע שינוי בשרשרת האמון בלי הפצה מסודרת. זהו מקור קלאסי לתקלות שבהן חלק מהמחשבים מתחברים וחלק לא - במיוחד לאחר החלפת ספק אישורים, מעבר לענן או עדכון של מערכות הפעלה.

לכן צריך לנהל גם את הפצת תעודות השורש והביניים דרך כלי ניהול המרכזי, עם קבוצות ניסוי לפני הפצה רחבה. אין מקום לשליחת קובצי תעודה במייל או להתקנה ידנית על עשרות תחנות. הפעולה אולי פותרת תקלה נקודתית, אבל היא יוצרת פער תיעוד ומקשה על ביטול או החלפה עתידיים.

לפני כל החלפה של רשות אישורים או שינוי מדיניות, בדקו שלושה דברים: אילו מערכות תלויות בשרשרת הקיימת, אילו מערכות ישנות אינן תומכות באלגוריתם או בפרופיל החדש, ואיך תתבצע חזרה לאחור אם ההפצה נכשלת. סביבת בדיקות מצומצמת אינה מותרות - היא ההבדל בין שינוי מתוכנן להשבתה רחבה.

מדידה וביקורת: כאן גם ה-FinOps נכנס לתמונה

לתעודות יש היבט תפעולי, אך גם עלות עקיפה ברורה. תקלות גישה מייצרות קריאות שירות, זמן אבחון, השבתת עובדים ולעיתים רכישה כפולה של רכיבי אבטחה כי אין תמונה מלאה של מה שכבר קיים. כאשר ניהול התעודות מחובר למאגר הנכסים ולניהול הרישוי, קל יותר לזהות מערכות כפולות, שירותים שלא נמצאים בשימוש ותשתיות שתוקפן עומד להסתיים.

מדדים שימושיים אינם צריכים להיות מסובכים: שיעור התעודות שמתחדשות אוטומטית, מספר תעודות ללא בעלים, תעודות שתוקפן מסתיים ב-30 הימים הקרובים, מספר מכשירים עם תעודה פעילה שאינם עומדים במדיניות תאימות, וזמן ממוצע לביטול תעודה לאחר הוצאת נכס משירות. המדדים האלה הופכים את השיחה עם הנהלה ורכש ממסרים כלליים על אבטחה לעובדות תפעוליות.

בביקורת, תידרשו להראות מי מאשר גישה, איך מזהים מכשיר לא מורשה, ומה קורה כאשר עובד עוזב או מחשב נעלם. תהליך מתועד עם לוגים של הנפקה, חידוש וביטול מספק תשובה. גיליון אקסל שלא עודכן חודשים לא.

מתי כדאי לעצור ולבחון את הארכיטקטורה

אם אתם מקבלים התראות תפוגה מכלי ניטור שונים, אם צוותים שונים מנהלים מאגרי אישורים נפרדים, או אם ביטול גישה למכשיר דורש פתיחת כמה קריאות שירות - זו אינדיקציה שהארכיטקטורה דורשת איחוד. לא תמיד הפתרון הוא להחליף הכול. לפעמים נכון להתחיל במיפוי, לקבוע רשות אישורים מרכזית, ולהגדיר תהליך מוסכם למערכות חריגות.

בארגונים בישראל, גם מעטפת מקומית עושה הבדל כאשר צריך לתאם בין אבטחת מידע, תשתיות, רכש וספק בינלאומי. חשבונית מס ישראלית, זמינות בשעות העבודה ותמיכה אנושית בעברית חוסכות לא מעט זמן כשצריך לפתור תקלה או ליישר רישוי סביב תשתית חדשה. שליו סופט יכולה לסייע בצד הרישוי וההתאמה של כלי הניהול הארגוניים, בלי להשאיר את הצוות שלכם מול בירוקרטיה של ספק חוץ.

המהלך הנכון לשבוע הקרוב הוא לא להנפיק עוד תעודה. בחרו שירות גישה אחד שחשוב לארגון, מיפו את כל התעודות שמאפשרות אותו, ודאו שלכל אחת יש בעלים, תאריך תפוגה ודרך ביטול. משם אפשר לבנות שליטה אמיתית - שכבה אחר שכבה, בלי לגלות את הפער רק כשמישהו כבר לא מצליח לעבוד.