בשבועות האחרונים יותר ויותר עסקים מגלים משהו שמפחיד פשוט כי הוא קל מדי לביצוע: כל מי שמצליח לגשת לכבל רשת פיזי יכול לשתול באמצע TAP. ברגע שזה קורה הוא רואה תעבורה, שיתופים, פרוטוקולים, ניסיונות התחברות והרבה מידע שלא הייתם רוצים שיעבור לידיים הלא נכונות.

וזה לא משנה אם העסק קטן, בינוני או גדול. אם יש כבל רשת חשוף, ארון תקשורת פתוח או נקודת גישה נגישה – TAP יכול לשבת שם בלי שאף אחד ישים לב.

האם זה חוקי? כמובן שלא. האם זה קל? קל מדי.

האם אפשר להגן? כן, וזה אפילו פשוט.

מה TAP עושה בפועל

TAP הוא התקן שמחברים בין הכבל שמגיע מהסוויץ לבין הכבל שמוביל לעמדה. הוא יושב שקוף באמצע ומעתיק את כל התעבורה לצד שלישי. אין רעש, אין נורה אדומה, אין התראה.

הוא לא משבש כלום. ולכן הוא מסוכן.

מה אפשר לראות דרך TAP:

  • שמות מחשבים

  • תעבורת SMB

  • שיתופי רשת

  • פתיחות של פורטים

  • DNS

  • נסיונות התחברות

  • סיסמאות בפרוטוקולים לא מוצפנים

  • מידע פנימי רגיש

וזה קורה ללא עקבות.

אז איך מגנים על רשת מפני TAP

התשובה: לא נותנים לכבל לעבוד בלי זיהוי.

1. שרת רדיוס

רדיוס הוא מנגנון אימות שמחייב כל מחשב, כל משתמש וכל פורט להתחבר רק אחרי שהסוויץ בדק מי אתם.

אם המחשב לא מוכר, הפורט לא יעלה.

אם מישהו מחבר TAP, הוא לא מקבל רוחב פס.

אם תוקף משכפל MAC, הוא נופל ברגע.

2. מערכת NAC

NAC הוא השומר של השער.

הוא בודק:

  • מי המחשב

  • למי הוא שייך

  • האם הוא נקי מווירוסים

  • האם הוא עם אנטיוירוס פעיל

  • האם הוא עומד במדיניות אבטחה

ורק אז נותן גישה לרשת.

TAP במקרה כזה הופך לחסר ערך.

למה חייבים לעשות את זה עכשיו

  • כל עובד, ספק או טכנאי שמגיע לרשת יכול להכניס TAP בתוך שניות

  • בעידן של מתקפות פנימיות, הגנה פרימטרית לא מספיקה

  • רשת ללא רדיוס או NAC היא יעד קל

  • טעות של דקה יכולה לעלות לעסק מאות אלפי שקלים

וזה לא עניין של “אם” – זה עניין של “מתי”.

כל רשת שאין בה בקרה על פורטים חשופה לחלוטין.

מה עסקים עושים היום

חברות מובילות כבר עוברות למודל שבו כל פורט ברשת מאומת.

רדיוס לסוויצים.

NAC לחדרי ישיבות.

הפרדה לרשתות עובדים ואורחים.

תיעוד מי התחבר מתי.

וחסימת כל התקן שלא היה קיים אתמול.

זה סטנדרט שנכנס לכולם.

אתם משקיעים באנטיוירוס, FIREWALL, גיבויים וענן.

לא ייתכן שהכבל הפשוט ביותר ברשת יהיה החוליה החלשה.

אם אתם רוצים להגן על העסק מפני TAP ולמנוע גישה פיזית לא מורשית לרשת, רדיוס או NAC הם חובה. לא המלצה.