Microsoft Defender XDR - לתפוס תוקפים מוקדם - חלק 1: מבוא ל-Deception
פורסם ב-28 באפריל 2025
מבוא:
אני נרגש להתחיל מיני-סדרה חדשה שצוללת לאחת התוספות החזקות ביותר ל-Microsoft Defender XDR:
Built-in Deception Technology (טכנולוגיית הטעיה מובנית):
היכולת החדשה הזו נועדה לתפוס מוקדם תנועה רוחבית שמופעלת על ידי אדם, עוד לפני שהתוקפים מתקרבים בכלל לנכסים הקריטיים שלכם.
והחלק הכי טוב? היא משולבת במלואה, אוטומטית ברובה, ודורשת כמעט אפס מאמץ פריסה נוסף.
בואו נעבור על הנקודות המרכזיות ⬇️
**מהי Deception Technology? **- מדמה חשבונות, מארחים וקבצים שנראים אמיתיים ומשתלבים בסביבה האמיתית שלכם.
- שותלת את הנכסים המזויפים האלה (שנקראים **decoys **ו-lures) ב-endpoints באופן אוטומטי.
- ממתינה בשקט עד שתוקף מתקשר איתם, ואז מעלה התראות בביטחון גבוה לצוותי האבטחה.
זה נותן למגינים תובנות ישירות על התנהגות התוקפים, ובמקביל מקטין את הסיכון שנכסים אמיתיים ייפגעו.
**איך Microsoft Defender XDR מיישם deception **- יצירה אוטומטית של decoys: Defender XDR יוצר משתמשים, מכשירים ומשאבים מזויפים שמתאימים למוסכמות השמות ולפרופיל הסביבה של הארגון.
- המלצות מבוססות AI: המערכת משתמשת בלמידת מכונה כדי להציע את ה-decoys וה-lures המתאימים ביותר לרשת הספציפית שלכם.
- התאמה ידנית: אפשר גם ליצור בעצמכם lures ו-decoys אם אתם צריכים שליטה הדוקה יותר.
- פריסה חלקה: הפריסה ל-endpoints מתבצעת אוטומטית דרך PowerShell, בלי התקנות ידניות.
אחרי שנשתלו, אם תוקף מתקשר עם פרטי התחברות, קובץ או מכשיר מזויפים, אתם תדעו מיד.
**רכיבים מרכזיים: Decoys מול Lures **- **Decoys **הם מכשירים וחשבונות מזויפים שנראים בתוך הרשת שלכם וממתינים ש“יגעו” בהם תוקפים.
- **Lures **הם פריטים שנשתלו, כמו מסמכים, פרטי התחברות במטמון או קובצי תצורה, שתוכננו במיוחד למשוך תוקפים.
יש שני סוגים של lures:
- Basic Lures: מסמכים סטטיים או קובצי קישור.
- Advanced Lures: פרטי התחברות במטמון ואינטראקציות עם active directory, שמתנהגים כמו נכסים אמיתיים יותר כשפונים אליהם.
👉🏼 חשוב: בשלב הזה, פריסת lures מוגבלת ללקוחות Windows (Windows 10 RS5 ומעלה).
תמיכה בשרתים תגיע בהמשך.
**מתי Deception מפעיל התראה **- כל אינטראקציה עם decoy או lure מעלה התראה מיידית בביטחון גבוה.
- כל ההתראות מקושרות אוטומטית לאירועים (incidents) בתוך Defender XDR.
- כותרות ההתראות כוללות תמיד את המילה “deceptive”, כדי שיהיה קל לזהות אותן.
דוגמאות לכותרות התראה שתראו:
- Sign-in attempt with a deceptive user account
- Connection attempt to a deceptive host
ובפרטי ההתראה תמצאו תמיד:
- את התג Deception
- את המכשיר או חשבון המשתמש המזויף המעורב
- את סוג הפעילות החשודה שזוהתה (למשל גניבת פרטי התחברות, תנועה רוחבית)
דרישות מוקדמות לפריסה
לפני שאפשר להשתמש ב-deception, ודאו שאתם עומדים בדרישות האלה:
- מנוי תקף (Microsoft 365 E5, Microsoft Security E5 או Defender for Endpoint Plan 2).
- Defender for Endpoint הוא ה-EDR הראשי שלכם.
- המכשירים הם joined או hybrid-joined ל-Microsoft Entra ID (לשעבר Azure AD).
- PowerShell חייב להיות מופעל ב-endpoints.
- Automated Investigation and Response (AIR) חייב להיות מוגדר.
בנוסף, צריך הרשאות **Security Admin **או Global Admin כדי להגדיר את זה, אבל עדיף להימנע מ-Global Admin ככל האפשר, לטובת היגיינת אבטחה טובה יותר. למה Deception חשוב
התקפות של היום, בין אם כופרה (ransomware), BEC (business email compromise), פריצות ארגוניות ואפילו איומים של מדינות, נשענות מאוד על תנועה רוחבית.
לתפוס אותן בשלב הזה יכול להיות ההבדל בין אירוע קטן לפריצה מלאה.
עם deception מובנה:
- אתם הופכים תוקפים למקור המודיעין שלכם.
- אתם צופים בהתנהגות תוקפים אמיתית בצורה בטוחה.
- אתם מרוויחים זמן יקר להגיב, בזמן שהתוקפים מבזבזים זמן על נכסים מזויפים.
זה מהלך קלאסי באבטחת מידע:
להפוך את עצמכם ליעד קשה יותר, חכם יותר ומטעה יותר.
למידע נוסף:
https://learn.microsoft.com/en-us/defender-xdr/deception-overview
🔜 **מה הלאה? **בחלק 2 אעבור על איך להגדיר Deception Rules נכון, איך להגדיר היקפים (scopes), ואשתף טיפים מהשטח למיצוי הערך של היכולת, כולל מתי להעדיף basic lures ומתי advanced lures, בהתאם לסביבה שלכם 🔥.