זיהוי ואבטחה של חשבונות שנפרצו

שלב 1. להשעות באופן זמני את חשבון המשתמש שחושדים שנפרץ

1. להשעות את המשתמש כדי למנוע גישה לא מורשית.

   הערה: השעיה של משתמש גורמת לאיפוס של קובצי ה-Cookie של פרטי הכניסה לחשבון ואסימוני ה-OAuth של המשתמש.

2. לבדוק את הפעילות שעלולה להיות לא מורשית ולשחזר את החשבון. כדאי גם לשקול לרשום את הדומיין לאימות דו-שלבי (2SV).
3. מבקשים מהמשתמש הרלוונטי לבדוק את כתובת האימייל לשחזור החשבון ולבצע את הפעולות ברשימת המשימות לאבטחת Gmail.

שלב 2. לבדוק אם יש פעילות לא מורשית בחשבון

1. אם המשתמש שנפרץ הוא אדמין, צריך לבדוק ביומני הביקורת של האדמין אם יש שינויים בהגדרות שהמשתמש ביצע לאחרונה. אם השלב הזה לא רלוונטי, אפשר לדלג עליו.
2. לבדוק את המכשירים הניידים שמשויכים לחשבון המושפע ולאפס את הנתונים במכשירים חשודים.
3. בודקים את הפעילות שעלולה להיות לא מורשית:
   1. אתם יכולים להשתמש באירועים ביומן המשתמש במסוף Admin כדי לראות רשימה מלאה של כניסות מוצלחות ולא מוצלחות לחשבון מבוסס-אינטרנט בדומיין שלכם, עד 6 חודשים אחורה. כניסות חשודות לחשבון מסומנות בסמל אזהרה. אתם יכולים גם לאחזר את הכניסות לחשבונות בדומיין באמצעות Reports API.
   2. להשתמש בחיפוש ביומן האימייל (ELS) כדי לבדוק את יומני המסירה של הדומיינים ולהעריך את מעבר ההודעות אל החשבונות שייתכן שנפרצו וממנו. אם החשבון מנוהל על ידי Vault, אתם יכולים להשתמש בחיפוש ביומן אימייל כדי לבדוק את הפעילות באימייל.
      הערה: אם המשתמשים שלכם משדרגים למהדורה שכוללת את Vault, הם יכולים לשחזר אימיילים או מסמכים שנמחקו באופן סופי.
   3. להשתמש בדוח האבטחה כדי להעריך את החשיפה של הדומיין לסיכוני אבטחת מידע. מומלץ לעיין בדוחות הבאים:
      • אירועי OAuth ביומן
      • אירועים ביומן של קבוצות Google
      • אירועים ביומן של Drive

        התכונה הזו נתמכת במהדורות הבאות: Frontline Starter, ‏Frontline Standard ו-Frontline Plus, ‏Business Starter, ‏Business Standard ו-Business Plus, ‏Enterprise Standard ו-Enterprise Plus, ‏Education Fundamentals, ‏Education Standard ו-Education Plus, ‏Essentials Starter, ‏Essentials, ‏Enterprise Essentials ו-Enterprise Essentials Plus, ‏G Suite Business. השוואה בין המהדורות

      • אירועים ביומן של יומן Google
   4. לבדוק אם נוצרו הגדרות זדוניות. אתם יכולים לאחזר את הגדרות חשבון המשתמש (כמו הגדרות העברה) באמצעות Gmail API. אם אתם חושדים שחשבון פרטי (‎@gmail.com) שימש כחלק מהפריצה, אתם יכולים לדווח על כך.

שלב 3. ביטול הגישה לחשבון שהושפע

1. פועלים לפי ההוראות לאיפוס סיסמה של משתמש.
2. לבטל את אסימוני OAuth 2.0 של המשתמש.
3. אפליקציות מסוימות שמשתמשות בשיטת האימות OAuth 2.0 יפסיקו לגשת לנתונים אחרי שתאפסו את הסיסמה של המשתמש. המשתמש צריך להיכנס באמצעות שם החשבון והסיסמה החדשה כדי לקבל אסימון OAuth 2.0 חדש.
4. להסיר סיסמאות לאפליקציות שהמשתמש יצר.

שלב 4. החזרת הגישה למשתמש

1. מבטלים את ההשעיה של החשבון.
2. מודיעים למשתמשים על הסיסמאות הזמניות החדשות שלהם ומבקשים מהם להגדיר סיסמאות חדשות וייחודיות (לא סיסמאות שמשמשות באתרים או באפליקציות אחרים).
3. להפעיל אימות דו-שלבי בדומיין, ולרשום משתמשים עם מפתחות אבטחה (מומלץ יותר מקודי אימות דו-שלבי).
4. לעבוד עם המשתמשים כדי להשלים את רשימת המשימות לאבטחת Gmail של משתמשי הקצה. לדוגמה, ודאו שכל המסננים ואפשרויות ההעברה של משתמשי הקצה מוגדרים כראוי.
   1. עדכן את אפשרויות שחזור החשבון.
   2. בודקים אם יש פעילות חריגה בחשבון.
   3. בודקים אם יש הודעות חסרות או חשודות.
   4. בודקים אם יש שגיאות באנשי הקשר.
   5. בודקים את ההגדרות ב-Gmail.

שלב 1. הרשמה לאימות דו-שלבי באמצעות מפתחות אבטחה

הרשמה לאימות דו-שלבי מוסיפה עוד שכבת אבטחה לחשבונות של המשתמשים. כדי להיכנס לחשבון, המשתמשים צריכים להזין קוד אימות בנוסף לשם המשתמש והסיסמה שלהם. פרטים נוספים זמינים במאמר הוספת אימות דו-שלבי. כדי להגן טוב יותר מפני פישינג, מומלץ להשתמש במפתחות אבטחה במקום בקודי אבטחה לאימות דו-שלבי.

שלב 2. הוספה, אבטחה או עדכון של אפשרויות השחזור

במאמר הוספת אפשרויות שחזור לחשבון האדמין מוסבר איך מוסיפים כתובות אימייל משניות ומספרי טלפון. אנחנו ממליצים לאבטח את כתובות האימייל המשניות על ידי שינוי הסיסמאות או לעדכן את כתובת האימייל המשנית לכתובת חדשה.

שלב 3. הפעלת התראות על פעילות בחשבון

כאדמין, אתה יכול לבחור לקבל התראות פעילות בחשבון כשמתרחשים אירועים חשובים, כמו כניסות לחשבון שעלולות להיות חשודות או שינויים בהגדרות של שירותים על ידי אדמינים אחרים.

במרכז הבטיחות של Google יש המלצות כלליות לשמירה על אבטחת החשבון.