- רשת ה-Wi-Fi היא דלת לכל מה שיש במשרד: מחשבים, שרת, מדפסות ומצלמות. סיסמה אחת שכולם מכירים כבר שנים היא לא אבטחה.
- ההגדרות החשובות: הצפנה עדכנית (WPA3 או לפחות WPA2), רשת אורחים מבודדת, הפרדה של מצלמות והתקנים חכמים, וכיבוי WPS.
- CISA, סוכנות הסייבר האמריקאית, ממליצה לכבות את WPS, כי מנגנון ה-PIN שלו פגיע לניחוש.
- ציוד ישן שלא מקבל עדכונים הוא סיכון בפני עצמו. בודקים גם את הנתב ואת נקודות הגישה, לא רק את המחשבים.
כמעט כל משרד מתחיל את ה-Wi-Fi באותה דרך: טכנאי של ספק האינטרנט מתקין נתב, מדביק עליו מדבקה עם הסיסמה, וזהו. אחרי כמה שנים, הסיסמה ידועה לכל עובד שעבד אי פעם במשרד, לשליחים, ללקוחות ולשכנים. המדפסת, המצלמות, הטלוויזיה בחדר הישיבות והמחשבים של העובדים נמצאים כולם על אותה רשת.
המדריך הזה מתמקד באבטחה של הרשת האלחוטית. הוא לא עוסק ביציבות ובתשתית. על ציוד, חומת אש, כבילה, תיעוד וגיבוי לאינטרנט כתבנו ב6 בדיקות לרשת המשרד.
למה ה-Wi-Fi של המשרד מעניין תוקפים
רשת משרדית שטוחה, שבה כל ההתקנים רואים זה את זה, מאפשרת למי שנכנס אליה לנוע בקלות. מי שהתחבר לרשת יכול לחפש מחשבים לא מעודכנים, תיקיות משותפות פתוחות או מצלמה עם סיסמת ברירת מחדל. ואם יש כופרה על מחשב אחד, רשת שטוחה עוזרת לה להתפשט.
הסיכון לא תמיד מגיע מהאקר שיושב ברכב מחוץ לבניין. לרוב הוא מגיע מהתקן לא מעודכן שמחובר לרשת, מטלפון של אורח, או מעובד לשעבר שעדיין זוכר את הסיסמה.
10 ההגדרות
1. הצפנה עדכנית: WPA3, או לפחות WPA2
WPA3 הוא תקן האבטחה העדכני של Wi-Fi. בגרסה למשרדים קטנים (WPA3-Personal) הוא משתמש במנגנון שמקשה מאוד על ניחוש הסיסמה מחוץ לרשת, גם כשהסיסמה לא מושלמת. אם הציוד או חלק מהמחשבים לא תומכים ב-WPA3, משתמשים ב-WPA2 עם AES. הצפנות ישנות כמו WEP ו-WPA הראשון לא מתאימות לשימוש עסקי.
שימו לב: מצב מעבר (WPA2/WPA3 משולב) נוח, אבל חלש יותר מ-WPA3 בלבד. ברשתות רגישות כדאי לבדוק עם מי שמנהל את הרשת אם אפשר להפריד.
2. סיסמה חזקה, ושמתחלפת
סיסמה ארוכה, לא שם העסק ולא מספר הטלפון. מחליפים אותה כשעובד עם גישה עוזב, ובכל מקרה מדי פעם. בארגונים שהציוד שלהם מאפשר, אפשר לעבור לחיבור עם משתמש אישי לכל עובד (WPA2/WPA3-Enterprise), ואז אין סיסמה משותפת בכלל.
3. רשת אורחים מבודדת
אורחים, לקוחות ושליחים מתחברים לרשת נפרדת, עם סיסמה נפרדת, שמאפשרת גישה לאינטרנט בלבד. מכשירים ברשת האורחים לא רואים את מחשבי המשרד ולא אחד את השני.
4. הפרדה של מצלמות והתקנים חכמים
מצלמות, מערכות אזעקה, טלוויזיות, מזגנים חכמים ולפעמים גם מדפסות הם התקנים שמתעדכנים לעיתים רחוקות. מעבירים אותם לרשת נפרדת (VLAN) שמאפשרת רק את מה שהם צריכים.
5. כיבוי WPS
WPS הוא מנגנון שנועד לחבר מכשירים בלחיצת כפתור או עם PIN. CISA פרסמה כבר ב-2012 שמנגנון ה-PIN שלו פגיע לניחוש, וממליצה לכבות אותו. בחלק מהנתבים כדאי לוודא שהוא באמת כבוי ולא רק מוסתר בממשק.
6. סיסמת ניהול ייחודית לציוד
לנתב ולנקודות הגישה יש ממשק ניהול. משנים את סיסמת ברירת המחדל, מגבילים את הגישה לממשק מתוך הרשת הפנימית בלבד, ומכבים ניהול מרחוק מהאינטרנט אם אין בו צורך.
7. עדכוני קושחה
נתבים ונקודות גישה מקבלים עדכוני אבטחה כמו מחשבים. בודקים שהציוד עדיין נתמך על ידי היצרן ושמתקינים עדכונים. ציוד שהיצרן הפסיק לעדכן מחליפים.
8. נקודות גישה מנוהלות במקום מגדילי טווח
כשה-Wi-Fi לא מגיע לחדר האחורי, הפתרון המהיר הוא מגדיל טווח זול. הפתרון הנכון למשרד הוא נקודות גישה מנוהלות, שמוגדרות במקום אחד, עם אותה מדיניות אבטחה בכל המשרד.
9. רשימת התקנים מחוברים
פעם בתקופה בודקים מה מחובר לרשת. התקן שאף אחד לא מזהה הוא סיבה לבדיקה.
10. עבודה מחוץ למשרד
גם הרשת המאובטחת ביותר במשרד לא עוזרת כשעובד מתחבר מבית קפה. לעבודה מרחוק יש כללים משלה. ראו: עבודה מהבית בצורה מאובטחת.
איך בודקים את המצב אצלכם בעשר דקות
- נכנסים להגדרות הרשת במחשב ובודקים איזה סוג אבטחה מוצג (WPA2, WPA3 או משהו ישן יותר).
- שואלים: מתי הוחלפה סיסמת ה-Wi-Fi בפעם האחרונה? ומי יודע אותה?
- בודקים אם יש רשת אורחים, ואם מחשב שמחובר אליה רואה את המדפסת או את התיקיות המשותפות.
- מוודאים שהמצלמות לא על אותה רשת עם המחשבים.
- בודקים את גיל הנתב ואם הוא עדיין מקבל עדכונים.
אם התשובה לאחת השאלות היא "לא יודעים", זה המקום להתחיל.
ארבעה תרחישים מהשטח, ומה היה עוצר אותם
- עובד שעזב ועדיין מתחבר: עובד לשעבר עובר ליד המשרד, והטלפון שלו מתחבר אוטומטית לרשת. החלפת סיסמה בכל עזיבה, או חיבור עם משתמש אישי, פותרים את זה. כדאי להוסיף את זה לנוהל עזיבת עובד.
- מצלמה עם סיסמת ברירת מחדל: מצלמת אבטחה שהותקנה לפני שנים, עם סיסמת היצרן, על אותה רשת עם המחשבים. רשת נפרדת להתקנים וסיסמה ייחודית מצמצמות את הסיכון.
- לקוח שמחבר מחשב נייד נגוע: לקוח מקבל את סיסמת ה-Wi-Fi הראשית ומחבר מחשב עם נוזקה. רשת אורחים מבודדת משאירה אותו מחוץ לרשת של המשרד.
- נתב שלא עודכן שנים: חולשה ידועה בנתב ישן מאפשרת גישה לממשק הניהול. עדכוני קושחה והחלפת ציוד שלא נתמך מונעים את זה.
מדיניות Wi-Fi קצרה לעובדים
שלושה כללים שכל עובד צריך להכיר: לא מוסרים את סיסמת הרשת הראשית לאורחים, יש להם רשת משלהם. לא מחברים לרשת המשרד התקנים פרטיים, כמו רמקולים או מצלמות, בלי לשאול. ומדווחים על כל דבר חשוד, כמו רשת עם שם דומה לשל המשרד.
שאלות נפוצות
מה ההבדל בין WPA2 ל-WPA3?
WPA3 הוא התקן החדש, והוא מקשה מאוד על ניחוש הסיסמה מחוץ לרשת. WPA2 עם AES עדיין מקובל כשאין תמיכה ב-WPA3. הצפנות ישנות יותר לא מתאימות לעסק.
רשת אורחים באמת נחוצה במשרד קטן?
כן. היא זולה להגדרה ומונעת ממכשירים שאתם לא שולטים בהם להיות על אותה רשת עם המחשבים, השרת והמדפסות.
כמה פעמים צריך להחליף את סיסמת ה-Wi-Fi?
בכל פעם שמישהו עם גישה עוזב, ובכל מקרה מדי פעם. ברשת אורחים, אפשר להחליף לעיתים קרובות יותר.
המצלמות שלנו מחוברות לאותה רשת של המחשבים. זה בעיה?
זה סיכון. מצלמות ומכשירים חכמים מתעדכנים לעיתים רחוקות, ולכן כדאי להעביר אותם לרשת נפרדת.
הנתב של ספק האינטרנט מספיק?
לבית, לרוב כן. במשרד, כשיש הרבה התקנים, צורך ברשת אורחים, בהפרדה ובניהול, כדאי לשקול חומת אש ונקודות גישה מנוהלות.
צריך להסתיר את שם הרשת?
הסתרת שם הרשת לא מוסיפה אבטחה ממשית, ולפעמים יוצרת בעיות חיבור. עדיף להשקיע בהצפנה, בסיסמה ובהפרדה.
איך ש.מ מחשבים יכולה לעזור
אנחנו מתכננים ומגדירים רשתות למשרדים: חומות אש, נקודות גישה מנוהלות, רשת אורחים, הפרדה להתקנים חכמים ועדכונים שוטפים. פרטים בעמוד שרתים, רשתות וציוד ובעמוד אבטחת מידע לעסקים. עוברים משרד? יש לנו גם צ'קליסט IT לפתיחת משרד חדש.