חלק גדול מהמתקפות על ארגונים מתחיל ברגע אחד פשוט: משתמש מוריד קובץ לתחנה ומריץ אותו. זה יכול להיות קובץ התקנה מאתר מזויף, "עדכון" שהגיע מפרסומת, או כלי חינמי שנראה תמים.
רוב הארגונים סומכים על ה-EDR שיתפוס את הקובץ אחרי שהוא כבר ירד לתחנה. זו גישה שמגיבה מאוחר מדי. הרבה יותר הגיוני לא לתת לקובץ לא מאושר להגיע לתחנה מלכתחילה.
בדיוק את זה עושה Web Access Management של Admin By Request: שליטה במה שמשתמשים מורידים ובאתרים שהם גולשים אליהם, לפני שהבעיה מגיעה לתחנה.
מה זה Web Access Management
Web Access Management הוא המוצר השלישי בפלטפורמת Zero Trust של Admin By Request, לצד Endpoint Privilege Management (ניהול הרשאות אדמין מקומיות) ו-Secure Remote Access. הוא הושק באוגוסט 2026.
המוצר רץ בתוך הסוכן של Admin By Request שכבר מותקן על התחנה. אין צורך בפרוקסי, בסינון DNS, בשינויים בחומת האש או בתוסף לדפדפן. המדיניות נאכפת על התחנה עצמה, ולכן ההגנה עובדת גם כשהעובד מחוץ לרשת הארגונית.
לארגונים שכבר משתמשים ב-Admin By Request לניהול הרשאות, ההפעלה היא בלחיצה בפורטל, בלי להתקין סוכן חדש. מי שרוצה לנסות יכול להשתמש בתוכנית החינמית, שכוללת 25 תחנות בלי הגבלת זמן.
מודול ההורדות: שום קובץ הרצה לא מגיע לתחנה בלי בדיקה
כל קובץ הרצה שמשתמש מוריד עובר דרך מדיניות הארגון לפני שהוא נפתח. הקובץ מוחזק באזור מוגן על התחנה, שהמשתמש לא יכול לגשת אליו, עד שהוא נבדק ומאושר.
תוכנות מאושרות מראש. הארגון מגדיר רשימה לבנה של תוכנות מהימנות. אפשר לזהות תוכנה לפי חמישה קריטריונים: אתר, כתובת הורדה, Hash של הקובץ, תעודה דיגיטלית של היצרן, או שילוב של יצרן ושם אפליקציה. תוכנה מאושרת יורדת בלי לחכות לאישור, אבל עדיין נסרקת.
סריקה בעשרות מנועים. כל קובץ נסרק עם OPSWAT MetaDefender, ביותר מ-37 מנועי אנטי-וירוס. קובץ זדוני עובר להסגר אוטומטית, וקובץ לא מוכר אפשר לשלוח לניתוח מעמיק בענן.
בקשת אישור לכל השאר. תוכנה שלא ברשימה הלבנה דורשת בקשה מהמשתמש ואישור של צוות ה-IT. אפשר לדרוש מהמשתמש לנמק את הבקשה, או לאמת את זהותו עם MFA של Entra ID לפני שההורדה משתחררת.
בתצורה של רשימה לבנה, כשכל השאר דורש אישור, מקבלים הגנה הרמטית על ההורדות. ומכיוון שהאכיפה נעשית בסוכן ולא בתוסף לדפדפן, אי אפשר לעקוף אותה בהורדה ישירה עם curl בשורת הפקודה או עם Invoke-WebRequest ב-PowerShell.
מודול סינון האתרים
הארגון מגדיר לאילו אתרים מותר לגלוש, לפי קבוצות משתמשים. אפשר לחסום דומיין שלם או רק נתיב מסוים בתוכו, ולהציג למשתמש הודעה מותאמת שמסבירה למה האתר חסום. משתמש שצריך גישה לאתר חסום יכול להגיש בקשה לשחרור.
אפשרות שימושית במיוחד: לאפשר גלישה באתר, אבל לחסום הורדות ממנו. כך העובדים ממשיכים לעבוד כרגיל, והאתר לא הופך לדלת כניסה לתוכנות.
מה צפוי להיכנס עד סוף השנה:
- סינון אתרים לפי קטגוריות.
- שליטה בתוספים לדפדפן: רשימת תוספים מאושרים ברמת הארגון, ובקשת אישור להתקנה של כל תוסף אחר.
- אינטגרציה עם Threat Intelligence של גוגל לזיהוי אתרים זדוניים.
יכולות נוספות
- שליטה בדפדפנים ובגרסאות. הארגון קובע אילו דפדפנים מותרים, כמו Chrome, Edge או Firefox, ומה הגרסה המינימלית של כל אחד. דפדפן ישן או לא מאושר נחסם, וכך גם דפדפנים מוטמעים בתוך אפליקציות.
- זיהוי VPN בדפדפן. המערכת מזהה תוספי VPN בדפדפן ומסירה אותם, כדי שמשתמשים לא יעקפו את מדיניות הגלישה.
- הורדות רק לבעל התחנה. בתחנות משותפות אפשר להגביל הורדת תוכנות למשתמש הראשי של התחנה בלבד. שאר המשתמשים יכולים להמשיך לגלוש.
- בדיקת תאימות של Intune. תחנה שלא עומדת במדיניות התאימות של Intune לא יכולה להוריד קבצי הרצה.
- תיעוד מלא. כל גלישה, הורדה, אישור וחסימה נרשמים, כך שיש תיעוד מלא לחקירה ולביקורת.
שלושה תרחישים שהמוצר פותר
1. כלי AI לא מאושרים. עובדים מורידים כלי AI לתחנה, או גולשים לאתרי AI ומעלים אליהם מסמכים רגישים. עם Web Access Management הארגון מחליט אילו כלי AI מותרים. כלי AI שלא אושר לא יורד לתחנה, ואתר AI שלא אושר חסום לגלישה, כך שאי אפשר להעלות אליו מידע.
2. Shadow IT. כשכל תוכנה שנכנסת לתחנה עוברת דרך רשימה לבנה או בקשת אישור, צוות ה-IT יודע בדיוק מה מותקן ורץ בכל תחנה. בשילוב עם Endpoint Privilege Management, שמונע התקנות בלי הרשאות אדמין, מקבלים שליטה מלאה גם במה שנכנס לתחנה וגם במה שרץ עליה.
3. איומים שמגיעים דרך הורדה. הרבה מתקפות מתחילות בקובץ זדוני שהמשתמש מוריד ומריץ בעצמו. במקום לחכות שה-EDR יזהה את הקובץ אחרי שכבר רץ, Web Access Management עוצר אותו לפני שהוא מגיע לתחנה: הקובץ מוחזק בהסגר, נסרק בעשרות מנועים ומשתחרר רק אם הוא נקי ומאושר.
לסיכום
Web Access Management מעביר את ההגנה מהשלב שבו הקובץ כבר רץ לשלב שבו הוא עוד לא הגיע לתחנה. סוכן אחד, בלי תשתית נוספת, שולט בהורדות, בגלישה ובדפדפנים, ונותן מענה לכלי AI לא מאושרים, ל-Shadow IT ולאיומים שמגיעים דרך הורדה.
ב-OnCloud אנחנו משווקים ומטמיעים את הפלטפורמה של Admin By Request: בניית הרשימה הלבנה, הגדרת מדיניות הגלישה לפי קבוצות, וחיבור ל-Entra ID ול-Intune. רוצים לראות את זה עובד בארגון שלכם?
תיאום פגישה לדמו טכני