תגובה לאירועים זה לא צעד אחד — זה מחזור. חמישה שלבים, מתורגלים רבעונית, משתפרים עם כל אירוע. חוק החמש מכה שוב. FNORD.
1. 🔍 גילוי
דע מתי משהו רע קורה.
ניטור: AWS GuardDuty (איומים בזמן אמת), CloudTrail (לוגי ביקורת), התראות אבטחה (פעולות חריגות). מקורות: מערכות אוטומטיות, עובדים, חוקרי אבטחה חיצוניים, לקוחות.
סיווג: קריטי (תגובה מיידית נדרשת), גבוה (תוך שעה), בינוני (תוך 4 שעות), נמוך (תוך 24 שעות). יעד זמן: גילוי אירועים קריטיים תוך 15 דקות.
גילוי הוא הצעד הראשון. אם אתה לא יודע שנפרצת, אתה כבר נפרץ — פשוט עוד לא יודע. GuardDuty + CloudTrail + ערנות = ראות שיטתית.
2. 🛡️ בידוד
עצור את הדימום.
מיידי: בודד מערכות שנפרצו (נתק רשת, בטל אישורים), מנע התפשטות, שמור ראיות. יעד זמן: פחות מ-30 דקות לאירועים קריטיים.
לטווח ארוך: מערכות מבודדות נשארות מבודדות עד הסרה מלאה. בקרות מפצות (WAF, כללי אבטחה, MFA כפוי). אל תחזיר לייצור לפני ניקיון.
בידוד הוא צמצום נזק. בודד, אז חקור. אל תתקן את השירות לפני שאתה מבין את ההיקף — תחזיר את השירות עם היריב בפנים.
3. 🧹 הסרה
הסר את האיום לחלוטין.
פעולות: הסרת תוכנות זדוניות, סגירת פרצות, סיבוב אישורים, תיקון מערכות, עדכון כללים. אימות: סרוק את כל המערכות שנפגעו. בלי הנחות — בדוק הכל.
פורנזיקה: איסוף ראיות, ניתוח שורש גורם, תיעוד נתיב התקיפה, זיהוי IOCs (אינדיקטורי פריצה). שמור על שרשרת משמורת לצורכי משפט אפשריים.
הסרה לא על מהירות — על שלמות. הסרה חלקית = פריצה חוזרת בלתי נמנעת. נקה הכל או תנקה שוב בקרוב.
4. 🔄 שחזור
החזר מערכות בבטחה.
פעולות: שחזור מגיבויים נקיים, בנייה מחדש של מערכות שנפרצו (בלי שימוש חוזר במערכת שנפרצה), אימות שלמות, ניטור אינטנסיבי. אל תמהר עם השחזור.
אימות: בדוק את כל הפונקציות, סרוק מערכות משוחזרות לשאריות, נטר חריגות. חזור לייצור רק אחרי נקי מאומת.
שחזור זה לא "אתחל והמשך." זה "בנה מחדש, אמת, נטר, ואז אולי תחזור." מהירות שנייה לוודאות.
5. 📝 לקחים
השתפר לאירוע הבא.
סקירה: תוך 48 שעות מפתרון. שאלות: מה קרה? למה לא גילינו מוקדם יותר? מה עבד/נכשל בתגובה? איך נמנע חזרה?
פעולות: עדכן בקרים, שפר ניטור, תקן מערכות, אמן צוות. תעד הכל. דוחות אירועים ציבוריים בונים אמון.
אירועים בלי לקחים יחזרו. תיעוד בלי פעולות זה תיאטרון. אנחנו מפרסמים לקחים בפומבי כי שקיפות בונה אמון יותר מסודיות. FNORD.