מהו Active Threat Response ולמה ארגונים עוברים אליו?

ההגדרה: ממודיעין לחסימה — באופן רציף ואוטומטי

Active Threat Response הוא גישה תפעולית שבה אינדיקטורים לתקיפה (IOCs) — כתובות IP עוינות, דומיינים זדוניים, Hashes של קבצים נגועים, שולחים חשודים וכתובות C2 — נאספים ממקורות מודיעין, מאומתים, מתורגמים לחוקי הגנה ומופצים אוטומטית לכל מערכות האבטחה של הארגון.

בניגוד לתהליך ידני שבו אנליסט קורא דוח מודיעין ומעדכן חוקים במערכת אחת, ATR פועל כצינור רציף: כל אינדיקטור רלוונטי שמתגלה בעולם נכנס למערכות ההגנה של הארגון בהקדם האפשרי — ב־Firewall, בהגנת הדוא״ל, ב־EDR ובשכבות נוספות בו־זמנית.

מה ההבדל בין ATR לבין EDR ואנטי־וירוס?

מערכות EDR ואנטי־וירוס הן שכבות הגנה חיוניות, אבל הן מגיבות למה שהן מכירות: חתימות, התנהגויות חשודות ועדכונים שמפיץ היצרן. מרגע שאיום חדש מזוהה בעולם ועד שהוא נחסם אצל כל לקוחות היצרן עוברות שעות ולעיתים יותר — תלוי במחזורי העדכון, בתהליכי האימות ובתעדוף של אותו יצרן.

ATR אינו מחליף את המערכות האלה, אלא מזין אותן. הוא מוסיף שכבת תיאום שמוודאת שכל מערכת בארגון מקבלת את האינדיקטורים העדכניים ביותר — כולל כאלה שמקורם במודיעין מקומי, בגופי CERT או בקמפיינים שמכוונים ספציפית לשוק שבו הארגון פועל.

• EDR ואנטי־וירוס: חסימה על בסיס עדכוני יצרן וזיהוי התנהגותי
• ATR: הפצה יזומה של מודיעין עדכני לכל שכבות ההגנה
• יחד: כיסוי רחב יותר וזמן חשיפה קצר משמעותית

למה דווקא עכשיו?

שלושה שינויים הפכו את ATR מ'נחמד שיש' להכרח: ראשית, תוקפים מחליפים תשתיות בקצב גבוה — דומיין פישינג חי לעיתים שעות ספורות בלבד. שנית, מתקפות מבוססות Agentic AI מאפשרות לתוקפים לייצר וריאציות של תשתית תקיפה בקצב שלא היה קיים בעבר. ושלישית, סביבת ה־IT הארגונית התפזרה: דוא״ל בענן, עבודה מרחוק, SaaS — אין עוד נקודת שליטה אחת.

בסביבה כזו, הגנה שמבוססת רק על עדכוני יצרן היא הגנה שמפגרת אחרי המציאות. הארגונים שמצליחים לצמצם נזק הם אלה שמקצרים את הזמן בין 'האיום ידוע' לבין 'האיום חסום אצלנו'.

איך זה נראה בפועל: PULSE כדוגמה

PULSE, שירות ה־Active Threat Response של Persist Security, ממחיש את המודל: השירות מקבל אינדיקטורים ממקורות מודיעין גלובליים ומקומיים, גופי CERT ומערך הסייבר; אנליסטים ותהליכי אימות אוטומטיים בוחנים כל אינדיקטור — אמינות, הקשר ורלוונטיות; ולאחר האימות האינדיקטור מתורגם לפעולת הגנה קונקרטית ומופץ במקביל ל־Firewall, למערכות הדוא״ל (Microsoft 365, Google Workspace), ל־EDR ולשכבות נוספות.

חשוב לא פחות: התהליך כולל גם ניקוי מתמשך. אינדיקטורים שפג תוקפם מוסרים, כדי שמערכות ההגנה לא יתמלאו בחוקים מיותרים שפוגעים בביצועים ויוצרים חסימות שווא.

מה ארגון מרוויח מזה?

התוצאה העסקית של ATR נמדדת בצמצום חלון החשיפה: פחות משתמשים שמגיעים לאתר פישינג פעיל, פחות תחנות שמתקשרות לשרת C2, ופחות אירועים שמגיעים בכלל לשלב התגובה והשיקום — השלב היקר ביותר בכל תקרית.

בנוסף, ATR מוריד עומס מצוותי האבטחה: במקום לעדכן ידנית חוקים בחמש מערכות שונות, הצוות מקבל שכבה אחת שמתאמת את כולן, עם תיעוד מלא של מה נחסם, מתי ולמה.