עבודה מרחוק בלי לפתוח דלת לתוקפים: ניהול VPN לעובדים בעסק

מאז שעבודה מהבית הפכה לחלק קבוע משגרת העבודה, ה-VPN של הארגון הפך לאחת הנקודות הרגישות ביותר ברשת. זו הדלת שדרכה עובדים נכנסים מכל מקום, ובדיוק בגלל זה זו גם הדלת שתוקפים מנסים לפרוץ ראשונה. בעסקים קטנים ובינוניים, ניהול ה-VPN נעשה לעיתים קרובות באופן מאולתר: עובד חדש מקבל גישה, עובד שעזב נשכח במערכת, וחוקי גישה שנפתחו "רק לשבוע" נשארים לשנים.

המאמר הזה עובר על הסיכונים המרכזיים בניהול VPN לעובדים, על הדרכים המקובלות להתמודד איתם, ועל האופן שבו כלים חדשים מקלים על הטכנאי לנהל את כל זה בלי להיות מומחה לכל יצרן.

Brute force מול ה-VPN: רעש או איום?

כל מי שהציץ פעם בלוג של חומת אש עם VPN חשוף לאינטרנט מכיר את התמונה: מאות ואלפי ניסיונות התחברות כושלים, עם שמות משתמש כמו admin, test או שמות פרטיים נפוצים, מכתובות IP בכל רחבי העולם. רוב הניסיונות האלה אוטומטיים, והרבה מנהלי מערכות למדו להתעלם מהם.

הבעיה היא שההתעלמות גורפת. מאה ניסיונות נגד חשבון שמוגן באימות דו-שלבי הם סיכון נמוך יחסית. מאה ניסיונות נגד חשבון שאין לו MFA, כשה-VPN נגיש מכל מדינה, הם כבר סיפור אחר. ההבדל לא נמצא בלוג עצמו אלא בהקשר שמסביבו.

זו בדיוק הגישה של BlueNOC, פלטפורמת ניטור רציף לאבטחת חומות אש. המערכת מקבצת מאות כישלונות התחברות ל-VPN לאירוע אחד, ומצליבה אותו מול השאלות החשובות באמת: האם MFA מופעל, האם קיימות הגבלות Geo, ועד כמה ה-VPN חשוף. הטכנאי לא מקבל עוד התראה, הוא מקבל הערכת סיכון עם הסבר.

שלושה עקרונות לניהול VPN בטוח

1. אימות דו-שלבי לכל משתמש. סיסמה לבדה כבר מזמן אינה מספיקה לגישה מרחוק. MFA הופך את רוב ניסיונות ה-brute force לחסרי תועלת.
2. הגבלה גאוגרפית. אם כל העובדים נמצאים בישראל, אין סיבה שה-VPN יהיה נגיש מכל מדינה בעולם. הגבלת Geo מצמצמת משמעותית את משטח התקיפה, וכשעובד טס לחו"ל אפשר לפתוח גישה זמנית וממוקדת.
3. מחזור חיים של הרשאות. גישת VPN צריכה להיפתח ביום הראשון של העובד ולהיסגר ביום האחרון שלו. משתמשים ישנים שנשארים פעילים הם אחד הסיכונים השקטים ביותר, כי התחברות מוצלחת שלהם נראית בלוג כמו פעילות לגיטימית.

כשה-Tunnel נופל, האשם הוא לא תמיד ה-VPN

צד אחר של ניהול VPN הוא יציבות. עובדים מתלוננים שהחיבור מתנתק, סניף מדווח שאין גישה לשרת במשרד הראשי, והטכנאי מתחיל לבדוק את הגדרות ה-VPN. לעיתים קרובות מתברר שהבעיה בכלל לא שם.

BlueNOC מצליבה שגיאות של VPN Tunnels עם מצב ה-WAN וה-SD-WAN, כדי לקבוע אם הבעיה ב-VPN עצמו, בצד המרוחק או בקו האינטרנט. בדוגמה מייצגת מהמערכת, נפילת WAN אומתה גם על ידי חומת האש וגם על ידי בדיקת קישוריות חיצונית. חיבור ה-BGP ושני Tunnels של IPsec שנפלו באותו זמן סווגו כתוצאות של אותה תקלה ולא כתקלות נפרדות. הממצא הוצג ברמת ודאות של 97%, מאומת על ידי שני מקורות בלתי תלויים.

המשמעות המעשית ברורה: במקום לשבור את הראש על הגדרות IPsec, הטכנאי יודע שצריך לפנות לספק האינטרנט או לבדוק את המעבר לקו הגיבוי.

מתן וביטול גישת VPN בלי להיות מומחה FortiOS

עד כאן הזיהוי. אבל רוב העבודה היומיומית סביב VPN היא דווקא תפעולית: לפתוח גישה לעובד חדש, לסגור לעובד שעזב, להדק הגבלות אחרי אירוע חשוד. בחומות אש של Fortinet FortiGate, למשל, הפעולות האלה מחייבות היכרות עם הממשק ולעיתים עם פקודות FortiOS, ולא כל טכנאי בצוות מרגיש בנוח עם זה.

מצב Admin Mode החדש של BlueNOC נועד לסגור את הפער הזה. הטכנאי מתחבר עם חשבון ה-Administrator של חומת האש, בוחר פעולה כמו מתן או ביטול גישת VPN לעובד, ועונה על כמה שאלות פשוטות בעברית. המערכת מנתחת את התצורה הקיימת, בונה תוכנית שינוי מדויקת ומציגה מה ישתנה ומה ההשפעה האפשרית. שום פעולה לא מבוצעת בלי אישור מפורש של הטכנאי.

כמה עקרונות בטיחות מובנים בתהליך:

• המערכת לא ממציאה כתובות IP, פורטים, ממשקים או פרמטרים. כל ערך מגיע מתצורת המכשיר או מתשובה מפורשת של הטכנאי, ואם חסר מידע, היא שואלת.
• לפני שינויים שעלולים להשפיע על ניהול המכשיר נבדקות הגדרות הגישה החיות. אם לא ניתן לוודא שהשינוי בטוח, הביצוע נחסם ולא רק מוצגת אזהרה.
• לפני כל שינוי נשמר גיבוי של תצורת חומת האש במחשב הטכנאי.
• חוקים שנוצרו דרך המערכת מופיעים ברשימה ייעודית, ולחיצה על "בטל" מכינה תוכנית ביטול שעוברת את אותן בדיקות בטיחות, גיבוי ואישור.

Admin Mode מסייע גם בתרחישי תקלות נפוצים, כמו עובד שלא מצליח להתחבר ל-VPN או ניסיונות התחברות חשודים חוזרים. חשוב לציין שהניטור עצמו נשאר תמיד במצב קריאה בלבד, וסיסמת ה-Administrator אינה נשמרת ואינה משמשת לסריקות השגרתיות.

צ'קליסט קצר לקליטה ולעזיבה של עובד

כדי שמחזור החיים של הרשאות VPN לא יישאר על הנייר, כדאי לקבוע תהליך קבוע מול משאבי אנוש או ההנהלה:

• ביום הקליטה: פתיחת משתמש אישי ולא משותף, הפעלת MFA לפני ההתחברות הראשונה והגדרת המשאבים שהעובד צריך בפועל.
• לפני נסיעה לחו"ל: בקשה מראש לפתיחת גישה זמנית מהמדינה הרלוונטית, עם תאריך סיום ברור.
• ביום העזיבה: ביטול גישת ה-VPN באותו יום ולא בסוף החודש, כולל בדיקה שאין חשבונות נוספים על שם העובד.
• פעם ברבעון: השוואה בין רשימת משתמשי ה-VPN לרשימת העובדים והספקים הפעילים.

התהליך פשוט, אבל הוא סוגר את אחד הפערים הנפוצים ביותר: חשבון של עובד לשעבר שממשיך לפעול בשקט. כדאי שהאחריות לכל שלב תהיה מוגדרת בשם, ולא תישאר באוויר.

מי צריך להחזיק את התמונה

לרוב העסקים אין איש IT פנימי שמתמחה באבטחת רשת, ולכן ניהול ה-VPN עובר בדרך כלל לספק חיצוני. ספקי שירותים מנוהלים כמו R-Net, חברת שירותי IT וענן שתומכת בעסקים מרחוק מאז 2003, או ספקים אחרים של שירותי IT ומחשוב לעסקים, יכולים להיעזר בכלים מהסוג הזה כדי לנהל לקוחות רבים מקונסולה אחת. BlueNOC מפותחת ומופצת בישראל על ידי חברת איי.פי מחשבים.

בסופו של דבר, VPN מאובטח הוא לא הגדרה חד-פעמית אלא תהליך מתמשך. מי שבודק אותו באופן קבוע, ויודע להבדיל בין רעש לאיום, יכול לתת לעובדים גמישות בלי לפתוח דלת לתוקפים.