שרתים הם לב פועם של כל ארגון, ומטרה מרכזית לתוקפים. מדריך מקיף להקשחת שרתים Windows ו-Linux בהתאם לסטנדרטים הבינלאומיים - CIS Benchmarks, NIST, ו-DISA STIG.
שרתים הם המטרה המועדפת על תוקפי סייבר - הם מכילים נתונים קריטיים, מריצים שירותים חיוניים, ולעיתים מחוברים ישירות לאינטרנט. הקשחת שרתים (Server Hardening) היא תהליך שיטתי לצמצום משטח התקיפה, חיזוק הגנות, וביטול נקודות תורפה. במדריך זה נלמד איך לעשות זאת נכון.
Server Hardening היא מתודולוגיה לחיזוק אבטחת שרתים על ידי:
מטרה ראשונית לתוקפים: 93% מהפריצות לארגונים מתחילות בשרתים חשופים
נתונים קריטיים: שרתים מכילים את הנכסים הכי רגישים בארגון
חשיפה לאינטרנט: שרתי Web, Mail, VPN חשופים לרשת הפתוחה
דרישות רגולציה: PCI-DSS, HIPAA, ISO 27001 מחייבים הקשחה
עלות פריצה: עלות ממוצעת של פריצה - $4.45M (IBM Security 2023)
עקרון "Minimal Install": כל שירות או אפליקציה שמותקנים על השרת הם נקודת תורפה פוטנציאלית. ככל שיש פחות קוד רץ - כך משטח התקיפה קטן יותר.
services.msc - Disable: Print Spooler, Remote Registry, Telnet
Disable-PSRemoting
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
systemctl list-unit-files --type=service
systemctl disable [service-name]
apt remove / yum remove - Telnet, FTP, NFS (אם לא דרוש)
apt remove xserver-xorg*
/etc/modprobe.d/ והשבת מודולים מסוכנים
טיפ פרו: השתמש ב-CIS Benchmark כרשימת תיוג - הוא כולל רשימה מלאה של שירותים שמומלץ להסיר/לכבות בכל פלטפורמה.
עקרון Least Privilege: כל משתמש וכל תהליך צריכים לקבל רק את ההרשאות המינימליות הדרושות להם לביצוע המשימות שלהם - ולא יותר.
usermod -L root
sudo במקום root ישיר
אזהרה: חשבונות עם הרשאות מנהלים הם המטרה המועדפת לתוקפים. ברגע שהם נפרצים - התוקף שולט בכל השרת.
Network-Level Hardening: אפילו אם השרת מוקשח היטב - אם הוא פתוח לכל האינטרנט, הוא עדיין חשוף. חובה להגביל גישה לשרת רק למי שצריך.
Set-NetFirewallProfile -All -Enabled True
ufw enable - הפעל Firewall
ufw default deny incoming - חסום הכל
ufw allow 22/tcp - אפשר SSH (לכתובות ספציפיות בלבד!)
ערוך /etc/ssh/sshd_config:
PermitRootLogin no - אסור כניסת rootPasswordAuthentication no - רק SSH KeysPort 2222 - שנה פורט ברירת מחדל (אופציונלי)AllowUsers user1 user2 - רשימה לבנה של משתמשיםMaxAuthTries 3 - הגבל ניסיונותHKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumberלעולם לא: אל תחשוף SSH/RDP ישירות לאינטרנט ללא הגנה. השתמש ב-VPN, Bastion Host, או Zero Trust Network Access (ZTNA).
Patch Management: רוב הפריצות לשרתים מתבצעות באמצעות פגיעויות ידועות שכבר יש להן תיקון זמין - אבל לא הותקן. עדכוני אבטחה הם קו ההגנה הראשון והחשוב ביותר.
מהפריצות קורות דרך פגיעויות שיש להן תיקון זמין
זמן ממוצע להתקנת תיקון קריטי בארגונים
זמן לפיתוח Exploit לאחר פרסום פגיעות
מהארגונים נפרצו דרך פגיעויות ידועות
yum updateinfo list security או apt list --upgradable
unattended-upgrades (Debian/Ubuntu) או yum-cron (RHEL/CentOS)
זכור: תיקון אבטחה שלא מותקן = פגיעות פתוחה. אפילו התיקון הכי טוב לא עוזר אם הוא יושב על המדף.
Logging & Monitoring: אפילו השרת המוקשח ביותר יכול להיפרץ. הגנה היא לא רק מניעה - זה גם יכולת לזהות תקיפות בזמן אמת ולהגיב מהר.
secpol.msc → Local Policies → Audit Policy
Enable-PSTranscription
/var/log/
systemctl enable auditd - תיעוד מתקדם
/etc/ssh/sshd_config הוסף LogLevel VERBOSE
כלים: Zabbix, Nagios, Prometheus
כלים: OSSEC, Wazuh, Tripwire
שלח את כל הלוגים משרתים שונים למערכת ריכוזית אחת - זה מאפשר:
פתרונות SIEM:
Splunk, ELK Stack (Elasticsearch + Logstash + Kibana), Graylog, Azure Sentinel, QRadar
הגדר התראות לאירועים חשודים:
Golden Rule: "אתה לא יכול להגן על מה שאתה לא רואה." ניטור ולוגים הם העיניים והאוזניים שלך בסביבת השרתים.
הקשחת שרתים היא לא רק Best Practice - היא גם דרישה רגולטורית בתקנים רבים:
תקן הזהב להקשחת מערכות. מדריכים מפורטים ל-Windows, Linux, Docker, Cloud.
🔗 cisecurity.org/cis-benchmarks
מסגרת מקיפה לניהול סיכוני סייבר מהמכון הלאומי האמריקאי לתקנים.
🔗 nist.gov/cyberframework
Security Technical Implementation Guides - תקני הקשחה של משרד ההגנה האמריקאי.
🔗 public.cyber.mil/stigs
תקן אבטחת מידע לכרטיסי אשראי - דורש הקשחת שרתים שמעבדים תשלומים.
🔗 pcisecuritystandards.org
סרוק את כל השרתים, תעד תצורות, זהה פגיעויות. זהו נקודת המוצא שלך.
בחר תקן (CIS/NIST/DISA), התאם למציאות הארגונית, וקבע מדיניות הקשחה מפורטת.
התחל בשרתים קריטיים, בדוק בסביבת LAB, הטמע ב-PROD בזהירות.
השתמש ב-Ansible/Puppet/Chef כדי שכל שרת חדש כבר יהיה מוקשח מהרגע הראשון.
סרוק מחדש מדי רבעון, תקן Drift, עדכן מדיניות לאור איומים חדשים.
Minimal Attack Surface: פחות שירותים = פחות סיכון
Least Privilege: כל אחד מקבל רק את ההרשאות שהוא באמת צריך
Defense in Depth: הגנה בשכבות - לא מסתמכים על מנגנון אחד
Patch Early, Patch Often: עדכוני אבטחה הם לא אופציונליים
Log Everything: אי אפשר להגן על מה שלא רואים
Automate: תהליכים ידניים = טעויות אנוש
הכירו את הגישה החדשנית לאבטחת מידע שמניחה שאף אחד לא מהימן עד שמוכיח אחרת.
קרא עודעם האימוץ ההמוני של בינה מלאכותית, נוצרים אתגרי אבטחה חדשים ומורכבים.
קרא עודעקרונות תכנון תשתית רשת עמידה שמוכנה לאתגרים הטכנולוגיים של העשור הקרוב.
קרא עודהצוות שלנו מתמחה בהקשחת שרתים Windows ו-Linux בהתאם לתקנים הבינלאומיים ויכול לסייע לכם להגן על התשתיות הקריטיות