בדיקת אבטחה והקשחת Windows
23 בדיקות, בלי לגעת בקבצים שלכם

מה בעצם נבדק בבדיקת אבטחה של Windows?

בדיקת האבטחה של XIT היא סקירה של 23 מנגנוני הגנה שמובנים ב-Windows, ושאלה אחת פשוטה לגבי כל אחד: הוא דלוק או כבוי. הסוכן שרץ על המחשב קורא את מצב ההגדרה — לא את התוכן של הקבצים — ושולח את התמונה הזאת כל 15 דקות. מתוכה נבנה הסעיף 🔐 אבטחה והגנה בדוח שאתם מקבלים בעברית.

שלושה דברים כדאי להבין מראש. ראשית, רוב 23 הבדיקות אינן תקלות אלא המלצות הקשחה. מחשב שכל ההמלצות כבויות בו עדיין עובד מצוין, ולכן הן לא מורידות לו את ציון הבריאות — הן מופיעות בנפרד, כרשימת שיפורים.

שנית, בדיקה שלא הצליחה לרוץ פשוט לא מופיעה בדוח. אם הסוכן לא הצליח לקרוא ערך מסוים, הוא משאיר אותו ריק במקום לנחש. שקט הוא תשובה כנה יותר מ-כבוי שגוי, ובעמוד הזה זה עיקרון שנשמר בקוד עצמו.

ושלישית, אנחנו לא משנים הגדרות מאחורי הגב. הדוח אומר מה נמצא ומה מומלץ, ואתם מחליטים אם ומתי. גם כשנדרשת הפעלה מחדש של המחשב — אנחנו ממליצים, לא כופים.

למה אנטי-וירוס הוא הקו האחרון ולא הראשון?

ההנחה הרווחת היא שמחשב מוגן אם יש עליו אנטי-וירוס. זו הנחה הפוכה. אנטי-וירוס נכנס לפעולה ברגע שקוד זדוני כבר רץ או עומד לרוץ על המחשב — הוא מזהה אותו לפי חתימה או התנהגות ומנסה לעצור אותו בזמן אמת. הוא הקו האחרון.

רוב 23 הבדיקות בעמוד הזה עוסקות בשאלה מוקדמת בהרבה: האם הקוד הזדוני בכלל מסוגל להתחיל לרוץ. מסמך Word עם מאקרו לא יכול להריץ קוד אם מדיניות המאקרו חוסמת אותו. דיסק-און-קי נגוע לא יריץ כלום אם ההפעלה האוטומטית מושבתת. תוכנה שלא נחתמה לא תיטען אם בקרת התוכנות המורשות אוכפת. במקרים האלה אין מה לזהות, כי אין מה שירוץ.

ההבדל הזה חשוב כי חתימות תמיד מפגרות אחרי האיום. בדיקת האבטחה מתריעה גם כשחתימות האנטי-וירוס לא התעדכנו יותר מ-72 שעות, בדיוק מהסיבה הזאת: מנוע עם חתימות בנות שלושה ימים לא מזהה משהו שנוצר אתמול. ההגדרות שמונעות הרצה, לעומת זאת, לא מתיישנות.

ויש עוד סיבה, פרקטית: כל ההגדרות האלה כבר קיימות במחשב. אתם לא קונים מוצר חדש, אתם מדליקים מתגים ששילמתם עליהם כשקניתם את Windows.

מאקרו במסמכי Office — דרך ההדבקה הנפוצה ביותר

מאקרו הוא קוד שמוטמע בתוך קובץ Word, Excel או PowerPoint ורץ כשפותחים אותו. זו הייתה במקור תכונת אוטומציה למשרדים, והיא הפכה לוקטור ההדבקה השכיח ביותר בהודעות דואר אלקטרוני: קובץ שנראה כמו חשבונית, קורות חיים או אישור משלוח, ומכיל קוד שמוריד ומריץ נוזקה ברגע הפתיחה.

Windows ו-Office שומרים את המדיניות הזאת כמספר יחיד. הבדיקה קוראת אותו עבור Word, Excel, PowerPoint, Outlook ו-Access, בכל גרסאות Office המותקנות, ולוקחת את החמור מביניהם:

• 1 — כל המאקרו מופעלים. זה המצב המסוכן: מסמך נגוע יריץ קוד מיד עם הפתיחה, בלי לשאול. הדוח מסמן אותו כממצא שדורש טיפול.
• 2 — חסום עם התראה. ברירת המחדל של Office. המסמך לא רץ מעצמו, אבל מופיע פס צהוב שמאפשר למשתמש לאשר בלחיצה — וזו בדיוק הלחיצה שהתוקף מבקש בגוף ההודעה.
• 3 — רק מאקרו חתומים ו-4 — חסום לחלוטין ובשקט. אלה המצבים הבטוחים.

הפרט הטכני שמשנה כאן תוצאה: המדיניות שמורה לכל משתמש בנפרד. הסוכן רץ כשירות מערכת, ולכן היה מדווח שהכל תקין בכל מחשב אם היה קורא את הפרופיל של עצמו. הוא קורא את הפרופיל של המשתמש המחובר בפועל — רק את מספר המדיניות, אף פעם לא את המסמך.

לצד המדיניות נבדקים גם חוקי החסימה המתקדמים של Windows (ASR). זו שכבה נפרדת שחוסמת דפוסים מסוכנים ברמת המערכת, למשל מסמך Office שמנסה להפעיל תוכנית אחרת. הדוח מציין כמה חוקים פעילים במצב חסימה מלאה — כי חוק במצב ניטור בלבד מדווח ולא עוצר.

SMBv1 — הפרוטוקול שדרכו כופרה עברה ממחשב למחשב

SMB הוא הפרוטוקול שבו מחשבי Windows משתפים קבצים ומדפסות ברשת המקומית. גרסה 1 שלו היא מ-1983, ואין בה שום הגנה שמתאימה לרשת של היום. הבעיה אינה תיאורטית: מתקפות הכופר הגדולות שהשביתו בתי חולים ורשתות משרדיות התפשטו בדיוק כך — מחשב אחד נדבק מהודעת דואר, ומשם הנוזקה זחלה לכל שאר המחשבים ברשת דרך SMBv1, בלי שאף אחד לחץ על שום דבר נוסף.

זה ההבדל בין אירוע לאסון. מחשב אחד נגוע זה יום עבודה. משרד שלם מוצפן בבת אחת זה עסק שעומד.

הבדיקה בודקת את שני הצדדים: את הגדרת השרת (האם המחשב מוכן לקבל חיבורי SMBv1) ואת מנהל ההתקן בצד הלקוח (האם הוא מושבת לגמרי). מחשב שהותקן מחדש עם Windows 11 בדרך כלל נקי; מחשב שעבר שדרוג מגרסאות ישנות, או שמישהו הפעיל בו SMBv1 פעם כדי להתחבר לנס או למדפסת ישנה, נשאר חשוף שנים בלי שאיש שם לב. זו אחת הבדיקות שהכי משתלם להריץ על כל המחשבים במשרד ולא רק על אחד.

דיסק-און-קי שמריץ תוכנה לבד

ההפעלה האוטומטית של Windows נועדה להיות נוחות: מכניסים תקליטור, והתוכנה מתחילה. עם התקן USB זו הופכת ליכולת של כל אדם שמחזיק דיסק-און-קי להריץ קוד על המחשב שלכם, בלי סיסמה ובלי לחיצה. הדיסק-און-קי שקיבלתם בכנס, זה שהעברתם בו קובץ אצל שכן, זה שהיה בשולחן — כל אחד מהם מספיק.

Windows שומר את ההגדרה כערך רישום יחיד, וההשבתה המלאה — לכל סוגי הכוננים — היא ערך אחד ספציפי. הבדיקה מחפשת בדיוק אותו. אם הערך לא קיים כלל, הבדיקה מדווחת שההפעלה האוטומטית אינה מושבתת, כי היעדר מדיניות פירושו התנהגות ברירת המחדל, לא הגנה.

זו כנראה ההמלצה עם היחס הכי טוב בין מאמץ לתועלת בכל העמוד: שינוי אחד, בלי השפעה על עבודה יומיומית, שסוגר וקטור תקיפה פיזי שלם.

כשהנוזקה מכבה את האנטי-וירוס לפני שהיא פועלת

נוזקה מודרנית לא מנסה להתחמק מהאנטי-וירוס. היא מכבה אותו. הפעולה הראשונה של הרבה מאוד משפחות כופר היא לנטרל את ההגנה בזמן אמת, ורק אחר כך להתחיל להצפין — כי אנטי-וירוס כבוי לא מזהה כלום, וממשק ההגנה של Windows ממשיך להיראות תקין עוד זמן מה.

ההגנה מפני כיבוי האנטי-וירוס (Tamper Protection) חוסמת בדיוק את זה. כשהיא פעילה, לא ניתן לכבות את ההגנה בזמן אמת דרך פקודות, רישום או סקריפט — רק ידנית, מתוך ממשק Windows Security. היא קיימת בכל Windows 10 ו-11 עדכני, ובמחשבים רבים היא כבויה כי מישהו כיבה אותה פעם כדי להתקין תוכנה ש-Windows חסם, ולא החזיר.

באותה משפחה יושבות שלוש בדיקות נוספות שמטרתן זהה — למנוע מקוד זדוני להשיג את מה שהוא צריך כדי להמשיך:

• הגנה על סיסמאות שמורות (Credential Guard) — מונעת חילוץ סיסמאות מהזיכרון. בלעדיה, נוזקה שרצה על מחשב אחד יכולה לקצור פרטי התחברות ולהשתמש בהם על מחשבים אחרים ברשת.
• הגנה על מנגנון ההזדהות (LSA Protection) — מגנה על התהליך שמחזיק את פרטי ההתחברות עצמו.
• הגנה על שלמות הזיכרון (HVCI) — מונעת טעינה של מנהלי התקנים זדוניים לליבת המערכת. בצמוד אליה נבדק גם כמה מנהלי התקנים לא חתומים מותקנים במחשב, כי דרייבר לא מאומת הוא הדרך המקובלת להשיג הרשאות ליבה.

ולבסוף, בדיקה שנועדה בעיקר עבורנו: תיעוד פעילות חשודה ב-PowerShell. אם התיעוד כבוי, מחשב נגוע ומחשב נקי נראים זהים בדיוק — אין ממה לזהות. הבדיקה מדווחת על ההגדרה עצמה, כדי שלא נטעה לחשוב ששקט פירושו נקי.

23 הבדיקות המלאות

הטבלה מפרטת את כל 23 הבדיקות: מה כל אחת מונעת, ומה המצב הטיפוסי במחשב שאף אחד לא הקשיח.

עמודת המצב הטיפוסי מתארת את התנהגות ברירת המחדל של Windows כשאף אחד לא הגדיר מדיניות — לא סקר של מחשבים. המצב האמיתי של המחשב שלכם מופיע בדוח, ורק שם.

לצד 23 הבדיקות האלה הדוח סופר גם ניסיונות התחברות כושלים ב-24 השעות האחרונות. חמישה ומעלה נחשבים חשודים ומסומנים — זה הסימן המוקדם לניסיון ניחוש סיסמה, בין אם ידני ובין אם אוטומטי.

מה הבדיקה לא עושה

זה החלק שהכי חשוב לומר במפורש, כי בדיקת אבטחה נשמעת כמו סריקה של הקבצים — והיא לא.

הסוכן קורא מצב תצורה בלבד: ערכי רישום, מדיניות מערכת ומצב שירותים. הוא לא פותח מסמכים, לא קורא תמונות, לא נכנס לתיבת הדואר ולא אוסף היסטוריית גלישה. מבדיקת המאקרו נקרא מספר המדיניות ולא שום מסמך. מבדיקת תיקיית ההפעלה נקראים שמות הקיצורים בלבד, לא התוכן. מבדיקת ההרצה האוטומטית ברקע נשמרים שמות הרישומים, לא מה שהם מריצים.

המשמעות המעשית: אף אחד ב-XIT לא יכול לפתוח קובץ שלכם דרך המערכת הזאת, כי המערכת מעולם לא קיבלה אותו. פירוט מלא של כל שדה שנאסף נמצא בעמוד מה הדוח כולל ומה הוא לא.

מה קורה אחרי הבדיקה?

הבדיקה עצמה היא רק ההתחלה — הערך נמצא במה שקורה איתה. השרת מריץ את 23 הבדיקות על כל דיווח, כלומר כל 15 דקות, ושומר 60 יום של היסטוריה. לכן אפשר לראות לא רק מה כבוי היום, אלא גם מתי משהו השתנה: חומת אש שכובתה בשבוע שעבר, אנטי-וירוס שהפסיק להתעדכן, RDP שנפתח.

הממצאים מגיעים אליכם בדוח בעברית, מחולקים לשני סוגים שלא מתערבבים: תקלות, שדורשות טיפול, והמלצות הקשחה, שהן שיפור ולא כשל. אחרי זה זה תהליך אנושי — טכנאי עובר על הרשימה, מסביר מה כדאי להדליק, ומה המחיר בנוחות אם יש כזה. חלק מהשינויים דורשים הפעלה מחדש, ואת התזמון אתם קובעים.

אם ההגנה על המחשב חשובה לכם, כדאי לקרוא גם על עדכוני אבטחה ממתינים — וקטור הכניסה הנפוץ ביותר לכופרה הוא פרצה ידועה שהתיקון שלה כבר קיים ופשוט לא הותקן. וכדי להבין מה עוד נמדד באותו דיווח עצמו, יש את בדיקת החומרה ואת הניטור השוטף. המחיר הוא ₪55 לחודש למחשב, וזה כולל את הכל.

שאלות נפוצות

לקריאה נוספת

• עדכוני אבטחה ותחזוקה — הפרצה שכבר יש לה תיקון היא וקטור הכניסה הנפוץ ביותר
• מה הדוח כולל ומה הוא לא — כל שדה שנאסף, ומה בכוונה לא נאסף
• בדיקת חומרה — SMART, סוללה, טמפרטורות ומה שנשבר לפני שהוא נשבר
• ניטור שוטף — מה קורה בין הדיווחים, ומתי מישהו באמת מסתכל