הגנה מתואמת: למה חסימה במערכת אחת לעולם אינה מספיקה

התוקף חושב במסלולים, לא במערכות

צוותי אבטחה נוטים לחשוב במונחי מערכות: יש לנו הגנת דוא״ל, יש Web Gateway, יש EDR. התוקף חושב במונחי מסלול אל היעד: אם הדוא״ל חסום — נשלח את הקישור ב־SMS או ברשת חברתית; אם הדומיין חסום ב־DNS הארגוני — נתפוס את המשתמש כשהוא מחוץ לרשת; אם הקובץ נחסם בהורדה — ננסה דרך התקן נייד או שיתוף קבצים.

כל מערכת שלא קיבלה את האינדיקטור היא מסלול פתוח. ולכן חסימה 'נקודתית' — גם אם מהירה — משאירה את הקמפיין חי.

מה זו אכיפה רוחבית בפועל

אכיפה רוחבית פירושה שאינדיקטור אחד מופץ, באותו חלון זמן, לכל נקודות האכיפה הרלוונטיות:

• רשת: Firewall, Proxy ו־DNS — חסימת גישה לתשתית מכל מכשיר ברשת
• דוא״ל: Microsoft 365 / Google Workspace / SEG — עצירת הודעות נכנסות וחסימת שולחים
• תחנות קצה: EDR ואנטי־וירוס — חסימת קבצים גם כשהמשתמש מחוץ למשרד
• ענן וזהויות: בקרות גישה מותנית וסינון בשכבת ה־SaaS

האתגר: ארבע מערכות, ארבע שפות, ארבעה קצבים

הסיבה שרוב הארגונים לא אוכפים רוחבית אינה חוסר הבנה — אלא עלות תפעולית. לכל מערכת ממשק שונה, פורמט שונה ותהליך עדכון שונה. עדכון ידני של ארבע־חמש מערכות לכל אינדיקטור אינו ריאלי בקצב של עשרות ומאות אינדיקטורים ביום, ולכן בפועל מתעדכנת רק המערכת 'הקרובה' — לרוב זו שנוחה לעדכון, לא זו שחשובה ביותר לאותו איום.

כאן בדיוק נמצא הערך של שכבת תיאום כמו PULSE: היא מתממשקת לכל המערכות, מתרגמת כל אינדיקטור לשפה של כל מערכת, ומפיצה במקביל — כך שהשאלה 'איפה לחסום' מתייתרת. התשובה היא תמיד: בכל מקום רלוונטי, בבת אחת.

בונוס: תמונת מצב אחת במקום ארבע

כשהאכיפה מתואמת, גם הנראות משתפרת. אפשר לשאול שאלות שאי אפשר היה לשאול קודם: האם אותו אינדיקטור נחסם גם בדוא״ל וגם ברשת? אילו תחנות ניסו לגשת לתשתית שנחסמה — סימן לניסיון תקיפה שדורש בדיקה? התיעוד המרוכז הזה חיוני גם לחקירות אירועים וגם לעמידה בדרישות רגולציה ודיווח.