למה חשבון שירות שנשכח הוא סיכון
- הרשאות גבוהות: הרבה חשבונות שירות קיבלו בזמנו הרשאות רחבות, ולפעמים חברות בקבוצות כמו Domain Admins.
- אף אחד לא שם לב: חשבון שלא שייך לאדם מסוים לא מתלונן כשמשהו חריג קורה בו.
- סיסמאות ישנות: חשבונות שירות רבים לא מחליפים סיסמה במשך שנים.
לפי Microsoft, חשבון כזה שנפרץ נותן לתוקף דרך כניסה שקטה למערכות קריטיות, ואפשרות לנוע ברשת בלי שיזהו אותו.
הבדיקות הרלוונטיות ב-Defender for Identity
| הבדיקה | מה היא מציגה |
|---|---|
| Remove stale service accounts (preview) | חשבונות שירות ב-AD בלי שום התחברות ב-90 הימים האחרונים |
| Dormant entities in sensitive groups | חשבונות רגישים, משתמשים וחשבונות שירות, שלא היו בשימוש 180 יום |
| Identify service accounts in privileged groups | חשבונות שירות שחברים בקבוצות מוגנות כמו Domain Admins, באופן ישיר או דרך קבוצה אחרת |
| Service accounts with Domain Name Admin or Global Admin roles | חשבונות שירות עם תפקידי הניהול הבכירים ב-Entra ID |
| Remove stale Active Directory accounts (preview) | חשבונות משתמשים רגילים בלי התחברות 90 יום (נוספה בינואר 2026) |
הבדיקות מופיעות ב-Microsoft Defender, תחת Secure Score, Recommended actions. הרשימה של החשבונות מתעדכנת תוך דקות, והציון והסטטוס מתעדכנים פעם ביום.
איך מנקים בלי לשבור שירות
- נטרלו קודם, אל תמחקו. Microsoft ממליצה לבטל את החשבון (Disable) ולא למחוק אותו מיד.
- עקבו כמה שבועות. חפשו תקלות בשירותים, שגיאות התחברות או אפליקציה שהפסיקה לעבוד.
- מחקו רק אחרי שהתברר שאין תלות. אם לא הופיעה בעיה, מוחקים את החשבון ומסירים את הגישה שלו.
- לחשבון שעדיין צריך: הוציאו אותו מקבוצות מוגנות, תנו לו רק את ההרשאות שהוא צריך, והגבילו מאיפה הוא יכול להתחבר.
- החליפו חשבונות ישנים ב-gMSA. Group Managed Service Accounts מחליפים סיסמה אוטומטית, ומצמצמים את הסיכון של סיסמה שלא שונתה שנים.
מה צריך כדי לקבל את הבדיקות האלה
Defender for Identity עובד עם סנסורים שמותקנים על ה-Domain Controllers, ובסביבות מסוימות גם על שרתי AD FS ו-Entra Connect. הסנסורים מנתחים את התעבורה והאירועים של ה-AD ושולחים אותם לענן, ושם נבנות הבדיקות וההתראות. בלי סנסורים, הבדיקות האלה לא מופיעות.
ב-OnCloud אנחנו מטמיעים את Defender for Identity ועוזרים לנקות את ה-Active Directory: למפות חשבונות שירות, להוריד הרשאות מיותרות ולעבור ל-gMSA בלי לעצור שירותים. רוצים לבדוק את המצב אצלכם?
צרו איתנו קשר