[{"data":1,"prerenderedAt":171},["ShallowReactive",2],{"publication:he:P073":3},{"meta":4,"copy":16,"relatedArticles":131,"terms":163,"term":164,"resourceParent":165,"glossaryParent":168},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P073","\u002Fblog\u002Fwebsite-incident-postmortem","article","איך מנתחים אירוע פריצה לאתר","איך מנתחים אירוע פריצה לאתר והופכים לקחים לתיקונים","תחקיר אירוע באתר: ציר זמן, ראיות, סיבה אפשרית מול מוכחת, השפעה ופעולות תיקון. כולל תבנית דוח וכללי סגירה בלי להמציא ודאות.",[12,13],"\u002Fservices\u002Fwebsite-recovery","\u002Fservices\u002Fmalware-ransomware-recovery","2026-09-28","2026-10-29",{"intro":17,"sections":18,"checklist":87,"faq":93,"sources":103,"links":109,"cta":126},"ניתוח אירוע פריצה לאתר מתחיל בציר זמן שמקשר תצפיות למקורות, ממשיך בבירור דרך הכניסה וההשפעה ומסתיים במשימות תיקון שנבדקות בפועל. תחקיר טוב מפריד בין עובדות, הסברים אפשריים ומידע חסר. החזרת האתר לאוויר אינה מוכיחה שנמצאה הסיבה או שכל ההשלכות הובנו; לא חייבים להמציא תשובה אחת כדי להפיק לקחים שימושיים.",[19,28,60,69,74,79],{"title":20,"paragraphs":21,"sources":24},"הגדירו מה התחקיר אמור לענות ומתי אפשר להתחיל",[22,23],"רכזו את השאלות: מה נצפה, מתי זוהה, אילו נכסים וחשבונות הושפעו ומה נעשה בטיפול. אירוע פעיל עדיין דורש ניהול וצמצום פגיעה. אין להמתין למסמך תחקיר כדי לבצע החלטה דחופה, לבדוק חובת דיווח או לשמור ראיה שעתידה להיעלם. אפשר ללמוד ולעדכן גם במהלך הטיפול.","NIST SP 800-61r3 מתייחס ללמידה ושיפור לאורך הפעילות, ולא רק לפגישה לאחר סיום ההתאוששות. במדריך זה התוצר המוצע הוא דוח עבודה לעסק ולספקיו. הוא אינו קביעה משפטית, ייחוס לתוקף או הבטחה לשחזור מלא של כל פעולה היסטורית.",[25],{"label":26,"url":27},"NIST SP 800-61r3: הכנה, תגובה ולמידה מאירועים","https:\u002F\u002Fnvlpubs.nist.gov\u002Fnistpubs\u002Fspecialpublications\u002Fnist.sp.800-61r3.pdf",{"title":29,"paragraphs":30,"table":33},"בנו ציר זמן שמראה גם את גבולות הידיעה",[31,32],"לכל שורה צרפו זמן ואזור זמן, מקור, תצפית ומשמעות אפשרית. זמן גילוי אינו בהכרח זמן תחילת הפגיעה, וקובץ ששונה אינו בהכרח נקודת הכניסה. מסמנים טווח כשאין חותמת מדויקת, ושומרים הפניה לעותק הראיה המנוהל במקום להפיץ מידע רגיש בדוח לכל גורם.","הטבלה היא תבנית מקורית. היא מאפשרת להשוות תצפיות בלי להפוך כל סמיכות בזמן לקשר סיבתי. אם יש פער בשמירת לוגים או בסנכרון שעון, מציינים אותו לפני שמציגים רצף שנראה מדויק יותר ממה שאפשר להוכיח.",{"caption":34,"headers":35,"rows":39},"תבנית לציר זמן מבוסס מקור",[36,37,38],"זמן או טווח","מקור ותצפית","מה נשאר לבדוק",[40,44,48,52,56],[41,42,43],"מועד דיווח לקוח","תיאור שינוי בתצוגה","מתי השינוי החל בפועל",[45,46,47],"מועד שינוי רכיב","רישום פריסה או גרסה","האם השינוי מאושר וקשור לאירוע",[49,50,51],"מועד התראת חשבון","יומן זהות זמין","מה התבצע לאחר ההתחברות",[53,54,55],"מועד פעולת טיפול","רישום שינוי שביצע הצוות","איזו השפעה הייתה לפעולה",[57,58,59],"מועד חזרה לשירות","בדיקת תפקוד מתועדת","אילו בדיקות חשיפה טרם הושלמו",{"title":61,"paragraphs":62,"sources":65},"בדקו הסברים מתחרים לפני שמכריזים על סיבה",[63,64],"גישה שנגנבה, רכיב פגיע, חיבור ספק ושינוי תפעולי יכולים להוביל לסימפטומים דומים. לכל הסבר רשמו מה תומך בו ומה חסר. עצם קיום CVE ברכיב אינו הוכחה שהוא נוצל, וכתובת IP חריגה אינה מוכיחה זהות של תוקף. צריך לחבר ראיות לזרימה הספציפית.","בקשה ראשונה שנמצאה בלוג אינה בהכרח הפעולה הראשונה שאירעה. הנחיות הלוגים של ASD ACSC ושותפיו מדגישות איכות מידע, עקביות ושמירה המתאימה לחקירה. כשמקור חלקי, המסקנה נשארת מוגבלת. אם הסיבה לא הוכחה, אפשר לומר זאת ולתקן בנפרד פערים שאכן אומתו.",[66],{"label":67,"url":68},"ASD ACSC ושותפים: איכות לוגים, זמנים ושמירה","https:\u002F\u002Fwww.cyber.gov.au\u002Fpublication\u002Fbest-practices-for-event-logging-and-threat-detection",{"title":70,"paragraphs":71},"מפו השפעה עסקית וחשיפת מידע כשתי שאלות",[72,73],"בדקו זמינות אתר, טפסים, הזמנות, חשבונות ותוכן לפי מה שרלוונטי לאירוע. במקביל בחנו מה ניתן לדעת על גישה למידע, שינויו או הוצאתו. תהליך עסקי שחזר לפעול אינו ראיה שאין פגיעה בסודיות, וקובץ חסר אינו בהכרח הוכחה להעתקת מסד שלם.","הפרידו בדוח בין השפעה שנצפתה, היקף שנשלל בבדיקה מתאימה והיקף שאינו ידוע. בעלי ההחלטה צריכים לקבל את המגבלה, לא רק ניסוח מרגיע. בדיקת חובות דיווח מתבצעת בזמן הנדרש לפי המקרה, בלי להמתין למסקנה סופית של התחקיר. דוח טכני אינו מחליף את בחינת הגורם המוסמך.",{"title":75,"paragraphs":76},"דוגמה: הפניה זדונית נעלמה, אך דרך הכניסה אינה ידועה",[77,78],"התרחיש להמחשה בלבד. קוד הפניה הוסר והאתר נראה תקין. נמצא חשבון ספק שאינו מתוחזק, אך אין מספיק מידע כדי לקבוע אם דרכו בוצעה הפגיעה. אין לכתוב שהוא היה הסיבה רק מפני שהוא חשוד. מתעדים את מגבלת הראיות ומגדירים בדיקות חשבונות, רכיבים וחיבורים לפי ההיקף.","אפשר להסיר גישה שכבר אינה נדרשת באישור מתאים, לעדכן רכיב פגיע ולשפר שמירת מידע, גם כאשר אין מסקנה ודאית על המסלול המקורי. לכל פעולה מציינים איזה פער היא מטפלת בו. כך מסירת העבודה אינה מערבבת ניקוי סימפטום, מניעת חזרה ובירור היסטורי של האירוע.",{"title":80,"paragraphs":81,"example":84},"לכל לקח צריך בעלים, מועד וראיית סיום",[82,83],"החליפו משפט כמו צריך לשפר אבטחה במשימה ממוקדת: לבדוק הרשאות של חיבור מסוים, לתקן רכיב נתון או לאמת מסלול גיבוי. לכל משימה קבעו אחראי, תלות, מועד ודרך קבלה. אם מתקבלת החלטה להשאיר חריגה זמנית, רשמו נימוק ומתי בוחנים אותה מחדש.","סגירת התחקיר אינה מחייבת שכל שאלה היסטורית נפתרה. היא כן מחייבת שהעובדות, המגבלות והמשימות ברורות, ושאין הסתרה של חשד פעיל. מעקב אחרי התיקונים הוא חלק מהתוצר. אפשר להכין גרסת הנהלה מצומצמת ונספח טכני מוגבל גישה, בלי להכניס לדוח מפתחות או נתוני לקוחות מיותרים.",{"title":85,"text":86},"מבנה קצר לדוח תחקיר","מה נצפה: __. היקף ומקורות: __. ציר זמן: __. סיבה מוכחת או הסברים פתוחים: __. השפעה ומידע: __. פעולות שכבר בוצעו: __. מגבלות: __. משימות, בעלים ובדיקת סיום: __.",[88,89,90,91,92],"נשמר ההבדל בין טיפול פעיל ללמידה.","ציר הזמן כולל מקורות ופערי מידע.","סיבה אפשרית אינה מוצגת כמוכחת.","תפקוד וחשיפת מידע נבחנו בנפרד.","כל לקח הפך למשימה עם בדיקת סיום.",[94,97,100],{"question":95,"answer":96},"אפשר לסיים תחקיר בלי לדעת בוודאות איך נכנסו?","אפשר למסור ממצאים ומגבלות ולנהל משימות המשך. אין להציג סיבה שלא הוכחה, וסגירת מסמך אינה מבטלת צורך בבירור חשד פעיל.",{"question":98,"answer":99},"הסרת קובץ זדוני היא תחקיר?","לא, זו יכולה להיות פעולת טיפול. תחקיר בוחן רצף, היקף, הסברים ולקחים על סמך מידע זמין.",{"question":101,"answer":102},"צריך לפרסם את כל הדוח באתר?","לא, הדוח עשוי לכלול מידע רגיש על מערכות וחשבונות. מחליטים על קהל יעד, צמצום נתונים והרשאות, ומפרסמים מידע רק בתיאום מתאים.",[104,105,106],{"label":26,"url":27},{"label":67,"url":68},{"label":107,"url":108},"הרשות להגנת הפרטיות: דיווח על אירוע אבטחה חמור","https:\u002F\u002Fwww.gov.il\u002Fhe\u002Fservice\u002Freport-of-data-breach",[110,113,116,119,122,124],{"path":111,"label":112},"\u002Fblog\u002Fwebsite-log-review","קישור התראה למקורות לוגים",{"path":114,"label":115},"\u002Fblog\u002Fincident-response-small-business","הכנה וסמכויות לתגובה",{"path":117,"label":118},"\u002Fglossary\u002Fdata-breach","ההבדל בין חשיפה לדליפה מוכחת",{"path":120,"label":121},"\u002Fblog\u002Fvulnerability-prioritization","תעדוף משימות חולשה",{"path":12,"label":123},"טיפול בהחזרת אתר לתפקוד",{"path":13,"label":125},"טיפול בנוזקות ובהתאוששות בהיקף מוגדר",{"title":127,"description":128,"button":129,"type":130},"האתר חזר, אבל אין מסירה שמסבירה מה קרה?","נגדיר סקירת מקורות, שאלות פתוחות ותוכנית תיקון לפי המידע הזמין והיקף השירות המתאים.","לתיאום בדיקה וטיפול","check",[132,140,148,156],{"id":133,"path":114,"title":134,"description":135,"category":136,"artwork":137,"order":138,"publishedOn":139},"P095","תוכנית תגובה לאירוע סייבר לעסק קטן: מי מחליט ומה מכינים","תוכנית תגובה מעשית לעסק קטן: סמכויות, קשר חלופי, מצבי הפעלה, שמירת ראיות, דיווח ובדיקת חזרה. כולל תרגיל שולחני ותבנית הכנה.","operations","audit",67,"2026-10-08",{"id":141,"path":142,"title":143,"description":144,"category":136,"artwork":145,"order":146,"publishedOn":147},"P113","\u002Fblog\u002Fwebsite-security-for-agencies","איך סוכנות אתרים מנהלת אבטחה ללקוחות בלי לאבד שליטה","שיטת עבודה לאבטחת אתרי לקוחות בסוכנות: מלאי נכסים, הפרדת גישות, רישיונות, שינויים, אירועים ויציאה. טבלת אחריות ותיק מסירה לכל אתר.","integrations",52,"2026-09-18",{"id":149,"path":150,"title":151,"description":152,"category":136,"artwork":153,"order":154,"publishedOn":155},"P055","\u002Fblog\u002Fwebsite-security-cost","כמה עולה אבטחת אתר ומה צריך להופיע בהצעת המחיר","מה קובע את עלות אבטחת האתר: נכסים, מצב קיים, הקשחה, רישיונות, בדיקות ותחזוקה. טבלת השוואת הצעות ודף היקף לבקשת מחיר שמתאים לאתר.","plan-care",47,"2026-09-08",{"id":157,"path":111,"title":158,"description":159,"category":136,"artwork":160,"order":161,"publishedOn":162},"P122","מה לבדוק ביומני האתר אחרי התראה ואיך שומרים ראיות","בדיקת לוגים אחרי התראה: מקור, זמן, מזהי בקשה, הרשאות וקבצים. איך לקשר תצפיות, לשמור עותק ולהפריד ניסיון תקיפה מראיה לפגיעה.","servers",75,"2026-10-16",[],null,{"path":166,"label":167},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":169,"label":170},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134062774]