28/04/2025
איך מבדק חדירה שגרתי הפך לסטירת התעוררות.
הוזמנו לבצע מבדק חדירה באחד מארגוני הבריאות הגדולים בארץ.
כבר בפגישה הראשונה, הסיסו הבהיר:
"אנחנו לא צריכים עוד ספק. עושים אצלנו הכול: סקרי סיכונים, מבדקי חדירה, ואפילו כמה פעמים בשנה."
חייכתי ואמרתי בכנות: "וואו, מרשים מאוד! בדיוק כך צריך להתנהל ארגון רציני."
לרגע אפילו חשבתי שאין לי מה לחדש.
אבל אז, כמעט בטעות, נפלט לו:
"אנחנו עובדים כבר מעל שלוש שנים עם אותו ספק, אין צורך לחדש."
ופה – נדלקה אצלי נורה אדומה... והחיוך שלי התרחב.
פניתי אליו ואמרתי:
"תראה, זה נהדר שאתם משקיעים בבדיקות. אבל דווקא בגלל זה חשוב מידי פעם להביא עיניים חדשות.
בודק שעושה שוב ושוב את אותו הדבר, עלול להיכנס לשגרה – אולי בלי לשים לב, ולהסתמך רק על הגנות הקיימות.
אני לא מציע להחליף ספק – חלילה. אני מציע להוסיף. להרחיב את זווית הראייה ולהכניס גישות נוספות שיעזרו לכם לגלות מה שאולי נשאר מתחת לרדאר."
הסיסו עצר לרגע, ואז חייך ואמר:
אוקיי. אני מוכן לאתגר. אבל – אני לא מוריד אף שכבת הגנה:
EDR פעיל
NAC פעיל
מערכת DLP מופעלת
שירות SOC מלא
הכנסת USB חסומה לחלוטין
חסימות נוספות על הכנסת כלים חיצוניים.
וכך Matan Haim Sandori ו- Eyal Zevelev, התותחים שלנו, קיבלו את המשימה.
הגענו ללקוח.
ההתחלה הייתה קשה: כל דלת סגורה, כל גישה חסומה.
אבל... אנחנו לא מחפשים דלתות פתוחות – אנחנו בונים דלתות חדשות.
מה עשינו?
הורדנו תחנה Bootable של Hiren's Boot.
חיברנו דיסק און קי ל-,USB והפעלנו את התחנה מחדש.
במקום לעלות את ה-Windows כרגיל – בחרנו לטעון את ה-Hiren Boot.
בגלל שלא הייתה הצפנת דיסק פעילה, הצלחנו לקבל גישה מלאה למערכת הקבצים.
העברנו קבצים בין התחנה של ה- Hiren Bootלתחנה המקורית של ה-Windows .
ומשם, העלינו סביבת Kali Linux בתוך VMware.
עכשיו? הייתה לנו תחנה פנימית — עם חופש להריץ כל כלי תקיפה שרצינו.
תוך שעות ספורות, היינו כבר עמוק בתוך מערכות הארגון.
בפגישה הבאה מול הסיסו, הסיפור היה שונה לגמרי...
הפואנטה:
גם אם תציב את כל ההגנות, תחסום USB, ותפעיל מערכות 24/7 , בלי עיניים חדשות וחשיבה מחוץ לקופסה – אתה תמיד תשאיר פתח למי שמחפש אותו באמת.
