זיהוי ואבטחה של חשבונות שנפרצו

שלב 1. השעיה זמנית של חשבון המשתמש שנפרץ

1. משעים את המשתמש כדי למנוע גישה לא מורשית.

   הערה: השעיה של משתמש גורמת לאיפוס של קובצי Cookie של פרטי הכניסה לחשבון ואסימוני OAuth.

2. לבדוק את הפעילות הלא מורשית הפוטנציאלית ולשחזר את החשבון. אפשר גם להירשם לאימות דו-שלבי (2SV) בדומיין.
3. מבקשים מהמשתמש שמושפע מהבעיה לבדוק את כתובת השחזור שלו ולהשלים את רשימת המשימות לבדיקת אבטחה ב-Gmail.

שלב 2. בדיקה של החשבון כדי לזהות פעילות לא מורשית

1. אם המשתמש שהחשבון שלו נפרץ הוא אדמין, כדאי לבדוק את יומני הביקורת של האדמין כדי לראות אם המשתמש ביצע שינויים בהגדרות לאחרונה. אפשר לדלג על השלב הזה אם הוא לא רלוונטי.
2. בודקים את המכשירים הניידים שמשויכים לחשבון המושפע ומאפסים את כל המכשירים החשודים.
3. בודקים את הפעילות שעשויה להיות לא מורשית:
   1. אפשר להשתמש באירועים ביומן של משתמשים במסוף Admin כדי לראות רשימה מלאה של כניסות לדומיין דרך האינטרנט שהצליחו או נכשלו, עד 6 חודשים אחורה. כניסות חשודות לחשבון מסומנות בסמל אזהרה. אפשר גם לאחזר את הכניסות לחשבונות בדומיין באמצעות Reports API.
   2. להשתמש בחיפוש ביומן האימייל (ELS) כדי לבדוק את יומני המסירה של הדומיינים ולהעריך את מעבר ההודעות אל החשבונות שנפרצו ואת ההודעות שיוצאות מהם. אם החשבון מנוהל על ידי Vault, אפשר להשתמש בחיפוש ביומן האימייל כדי לבדוק את פעילות האימייל.
      הערה: אם המשתמשים שלכם ישדרגו למהדורה שכוללת את Vault, הם יוכלו לשחזר אימיילים או מסמכים שנמחקו באופן סופי.
   3. להשתמש בדוח האבטחה כדי להעריך את החשיפה של הדומיין לסיכוני אבטחת מידע. מומלץ לעיין בדוחות הבאים:
      • אירועים ביומן של OAuth
      • אירועים ביומן של קבוצות Google
      • אירועים ביומן של Drive

        התכונה הזו נתמכת במהדורות הבאות: Frontline Starter,‏ Frontline Standard ו-Frontline Plus,‏ Business Starter,‏ Business Standard ו-Business Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Fundamentals,‏ Education Standard ו-Education Plus,‏ Essentials Starter,‏ Essentials,‏ Enterprise Essentials ו-Enterprise Essentials Plus,‏ G Suite Business. השוואה בין המהדורות

      • אירועים ביומן של יומן Google
   4. לבדוק אם נוצרו הגדרות זדוניות. אפשר לאחזר את הגדרות חשבון המשתמש (כמו הגדרות העברה) באמצעות Gmail API. אם יש לכם חשד שנעשה שימוש בחשבון פרטי עם הסיומת ‎@gmail.com כחלק מהפריצה הזו, אתם יכולים לדווח על כך.

שלב 3. ביטול הגישה לחשבון שהושפע מהחשיפה

1. פועלים לפי השלבים במאמר בנושא איך מאפסים סיסמה של משתמש.
2. ביטול טוקנים מסוג OAuth 2.0 עבור המשתמש.
3. חלק מהאפליקציות שמשתמשות בשיטת האימות OAuth 2.0 יפסיקו לגשת לנתונים אחרי איפוס הסיסמה של המשתמש. המשתמש צריך להיכנס באמצעות שם החשבון והסיסמה החדשה כדי לקבל טוקן חדש של OAuth 2.0.
4. מסירים סיסמאות לאפליקציות שהמשתמש יצר.

שלב 4. החזרת הגישה למשתמש

1. ביטול ההשעיה של החשבון.
2. מודיעים למשתמשים מה הסיסמאות הזמניות החדשות שלהם ומבקשים מהם להגדיר סיסמאות חדשות וייחודיות (סיסמאות שלא נמצאות בשימוש באתרים או באפליקציות אחרים).
3. מפעילים אימות דו-שלבי לדומיין, ורושמים משתמשים עם מפתחות אבטחה (מומלץ יותר מקודי אימות דו-שלבי).
4. עובדים עם המשתמשים כדי להשלים את רשימת המשימות לבדיקת אבטחה ב-Gmail למשתמשי קצה. לדוגמה, חשוב לוודא שכל המסננים ואפשרויות ההעברה של משתמשי הקצה מוגדרים בצורה מתאימה.
   1. עדכן את אפשרויות שחזור החשבון.
   2. בודקים אם יש פעילות חריגה בחשבון.
   3. בודקים אם יש הודעות חסרות או חשודות.
   4. בודקים אם יש שגיאות באנשי הקשר.
   5. בודקים את ההגדרות ב-Gmail.

שלב 1. הרשמה לאימות דו-שלבי באמצעות מפתחות אבטחה

הפעלת אימות דו-שלבי מוסיפה שכבת אבטחה נוספת לחשבונות של המשתמשים. המשתמשים נדרשים להזין קוד אימות בנוסף לשם המשתמש והסיסמה שלהם כשהם נכנסים לחשבונות. פרטים נוספים מופיעים במאמר הוספת אימות דו-שלבי. מומלץ להשתמש במפתחות אבטחה במקום בקודי אבטחה לאימות דו-שלבי, כדי לקבל הגנה טובה יותר מפני פישינג.

שלב 2. הוספה, אבטחה או עדכון של אפשרויות שחזור

הוראות להוספת כתובות אימייל משניות ומספרי טלפון מופיעות במאמר הוספת אפשרויות שחזור לחשבון האדמין. מומלץ לאבטח את כתובות האימייל המשניות על ידי שינוי הסיסמאות או עדכון כתובת האימייל המשנית לכתובת חדשה.

שלב 3. הפעלת התראות על פעילות בחשבון

אדמינים יכולים לבחור לקבל התראות על פעילות בחשבון כשמתרחשים אירועים חשובים, כמו כניסות שעלולות להיות חשודות או שינויים בהגדרות השירות שבוצעו על ידי אדמינים אחרים.

אפשר לעיין במרכז הבטיחות של Google כדי לקבל המלצות כלליות לשמירה על אבטחת החשבון.