מה עושים מיד כשמגלים סימן חשוד
צרו קשר עם מנהל המערכת בערוץ מוכר שאינו התיבה החשודה. תעדו שעה, הודעה או שינוי שלא זוהה: כלל העברה, בקשת אימות לא צפויה או דואר שלא שלחתם. אל תאשרו בקשות כניסה נוספות ואל תעבירו קודי אימות למי שמציג את עצמו כתמיכה.
Microsoft ממליצה לחסום את החשבון שנפגע במהלך הבירור. מנהל מוסמך מתאם את צמצום הגישה ושומר מידע רלוונטי בלי לעכב פעולה דחופה לשם תיעוד מושלם. אין למחוק את החשבון או את תכולת הדואר כתגובה ראשונה.
אילו פעולות צריכות להיבדק בנפרד
המסגרת הבאה מפרידה בין שליטה בזהות, חיבורים והתנהגות התיבה. זוהי רשימת עבודה לבירור מוסמך, לא פקודת תיקון אוטומטית. לפני שינוי יש להגדיר מי מבצע, מה צפוי להיפגע בתפעול ואיך תיבדק התוצאה.
| תחום | מה בודקים | תוצאה שצריך לתעד |
|---|---|---|
| זהות וכניסה | חסימה ואיפוס מתאים למקור הזהות | מי חסם, מתי ואיזה מקור זהות טופל |
| חיבורים פעילים | ביטול sessions ואסימונים רלוונטיים | מה בוטל ומה דורש טיפול ביישום |
| אמצעי אימות | שיטות ומכשירים שנרשמו ללא אישור | מה הוסר ואיך נרשמה שיטה אמינה |
| יישומים והרשאות | הסכמות וגישה של יישומים לא מוכרים | אילו הרשאות בוטלו או נבדקות |
| תיבת דואר | העברות, כללים, הרשאות ושינויים חשודים | מה שוחזר ומה נשמר כראיה |
למה שינוי סיסמה וביטול sessions אינם אותו דבר
איפוס סיסמה מטפל בסוד כניסה; חיבור שכבר אושר עשוי להשתמש באסימון או במצב התחברות של יישום. תיעוד Entra מסביר שיכולה להיות השהיה עד לביטול גישה אפקטיבי ושיישומים מנהלים גם sessions משלהם. לכן אין להבטיח שכל חלון פתוח נסגר מיד לאחר לחיצה אחת.
בסביבה מסונכרנת או מאוחדת עם ספק זהות אחר, הפעולה צריכה להתאים למקור הזהות וליישומים. בקשו מהאחראי לתעד אילו גישות בוטלו, אילו מערכות נבדקו ואילו דורשות השלמה. אין לשלוח סיסמה חדשה דרך התיבה שעדיין חשודה.
איך בודקים את היקף האירוע
בדקו לוגים זמינים של כניסות ופעולות ואת הקשר שלהם לממצאים. גישה לחשבון יכולה להשפיע גם על קבצים ושירותים נוספים. היקף הלוגים, הרישיונות ומשך השמירה קובעים מה אפשר לבדוק; היעדר תיעוד אינו הוכחה שלא התרחשה פעולה.
הכינו ציר זמן עם הבחנה בין עובדה להשערה. אם התבקש שינוי רגיש, כגון שינוי פרטי ספק, עצרו את התהליך העסקי ואמתו מול איש קשר מוכר בערוץ אחר. החלטות על מסירת הודעות ושימור מידע מועברות לבעלי הסמכות בארגון בהתאם להיקף שנמצא.
מתי מחזירים את החשבון לפעילות
החזרה מתבצעת אחרי בדיקת אמצעי הכניסה, החיבורים והשינויים שנמצאו, ובהתאם להחלטת האחראי. בודקים כניסה ממכשיר אמין, שליחה וקבלה ויישומים שהושפעו מהחסימה. אין להחזיר כלל העברה רק משום שהיה קיים לפני תחילת הבדיקה.
רשומת הסגירה צריכה לומר מה הוכח, מה תוקן ומה עדיין חסר. הגדירו מי עוקב אחרי חזרת סימנים. אם החשבון החשוד הוא חשבון ניהול, אם אין מנהל חלופי או אם לא ניתן לזהות את מקור הזהות, נדרש סיוע מתאים לפני שינויים רחבים.
תרחיש: לקוח קיבל בקשה לשנות פרטי תשלום
זו המחשה של סדר בירור, לא מקרה לקוח. לקוח מדווח על הודעה מהתיבה העסקית המבקשת לשנות חשבון בנק. מאמתים את הדיווח מול איש קשר מוכר, שומרים את ההודעה המקורית ואת פרטי הזמן ומערבים את הגורם המורשה. כתובת שולח מוכרת אינה שוללת שימוש לא מורשה בתיבה.
מנהל המערכת מתאם את צמצום הגישה ובודק את החשבון, הכללים, ההרשאות והמידע הזמין. לצד הטיפול הטכני, בעל הסמכות בעסק מחליט אילו תשלומים לעצור ואילו גורמים לעדכן. אם כסף הועבר, פונים בהקדם לגורם התשלום המתאים; אין הבטחה לעצירה או להשבה.
לא מפיצים ייצוא מלא של התיבה בקבוצת צוות לצורך בירור. שומרים רק מידע רלוונטי בערוץ מוסכם ומגבילים גישה. אם חשבון מנהל נפגע או שהסימנים מופיעים אצל כמה עובדים, היקף העבודה עשוי לחרוג משחזור תיבה אחת ולדרוש טיפול רחב יותר. זמינות שירות והתחלת עבודה מחייבות תיאום.
