סייבר ואבטחת מידע · cloud-security

חקירת אירוע אבטחה ב-Azure: Sentinel, Entra ו-Defender

מאת תאיר מלכא 6 דק׳ קריאהפורסם: 5 באוגוסט 2026

המחשה חזותית מקצועית בנושא חקירת אירוע אבטחה ב-Azure בתחום Cloud Security ו-IR

תשובה מהירה

חקירת אירוע אבטחה ב-Azure מחייב חיבור בין Identity, Audit Logs, API actions, משאבים, Regions ו-Sessions. מתחילים בשימור הראיות ובניית Timeline ורק אחר כך מבצעים Containment מתועד.

חקירת ענן מחייבת לחבר זהויות, Control Plane, משאבים, מפתחות, Sessions ושירותי אבטחה. מאחר שהפעילות מפוזרת בין שירותים ואזורים, Timeline והבנת הרשאות הם קריטיים. המאמר הנוכחי מתמקד ב-חקירת אירוע אבטחה ב-Azure ומיועד ל-אנליסטי SOC ו-Cloud. המטרה היא לתת שיטת עבודה שאפשר ליישם בתרגול, בראיון מקצועי ובסביבת עבודה, בלי להסתפק בהגדרה מילונית.

האתגר המרכזי הוא שהנתונים כמעט תמיד חלקיים. Microsoft Sentinel, Entra sign-ins, Activity Log יכולים להצביע על כיוון, אך המשמעות שלהם תלויה בזמן, בנכס, במשתמש ובפעילות הצפויה. לכן נבנה את הבדיקה סביב שאלת חקירה, ראיות נדרשות וקריטריון ברור לסיום.

התרחיש המעשי במאמר הוא: תרחיש שינוי הרשאות ומשאב חריג.. כל הדוגמאות הן נתוני מעבדה או תיאור תהליכי. כאשר מדובר ב-Penetration Testing, Web או Cloud, יש לעבוד רק עם אישור מפורש, Scope מוגדר ויכולת לעצור את הבדיקה.

הגדרת Tenant/Subscription scope

התהליך של חקירת אירוע אבטחה ב-Azure נבנה משלבים עם נקודות עצירה. מגדירים מטרה, Scope, מקורות, פעולות מותרות, ראיות נדרשות, בעלי תפקידים וקריטריון סיום. בסביבות התקפיות מוסיפים Stop conditions וערוץ חירום.

בכל שלב צריך להיות Output ברור: מפת נכסים, Timeline, Finding, Rule, Playbook או דוח. המעבר לשלב הבא מתבצע רק כאשר ה-Output מספיק ואמין; כך נמנעת עבודה אקראית או הרחבת Scope ללא אישור.

Entra ו-Identity

הנושא 'Entra ו-Identity' הוא חלק מרכזי בעבודה על חקירת אירוע אבטחה ב-Azure. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Microsoft Sentinel, Entra sign-ins, Activity Log, Defender for Cloud, resource changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Activity logs ו-Resources

הנושא 'Activity logs ו-Resources' הוא חלק מרכזי בעבודה על חקירת אירוע אבטחה ב-Azure. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

Defender ו-Sentinel

הנושא 'Defender ו-Sentinel' הוא חלק מרכזי בעבודה על חקירת אירוע אבטחה ב-Azure. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

Containment, Recovery ו-Review

התגובה ל-חקירת אירוע אבטחה ב-Azure צריכה לצמצם סיכון בלי למחוק את הראיות שעדיין נדרשות. מתחילים בפעולה הפיכה וממוקדת, מאשרים בעלות וסמכות, ומתעדים זמן, מבצע ותוצאה.

תיקון ארוך טווח מטפל בשורש: הרשאות, תצורה, Validation, Telemetry, תהליך או הדרכה. לאחר היישום מבצעים Retest ומנטרים סימנים לחזרה, במקום להסתפק בסגירת Ticket.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: Microsoft Sentinel, Entra sign-ins, Activity Log, Defender for Cloud, resource changes, managed identity. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

Microsoft Sentinel: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
Entra sign-ins: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
Activity Log: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
Defender for Cloud: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
resource changes: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
managed identity: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

הגדירו Scope ושאלת עבודה אחת בנושא חקירת אירוע אבטחה ב-Azure.
רשמו את מקורות הנתונים והראיות הדרושים: Microsoft Sentinel, Entra sign-ins, Activity Log, Defender for Cloud.
צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא תרחיש שינוי הרשאות ומשאב חריג. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

שלב	מה מבצעים	תוצר
הכנה	הגדירו Scope, זמן ויעד. רשמו אילו שדות או ראיות מתוך Microsoft Sentinel, Entra sign-ins, Activity Log צפויים להופיע.	תוכנית בדיקה קצרה
יצירת נתון	בצעו פעולה בטוחה ומדומה הקשורה ל-חקירת אירוע אבטחה ב-Azure, ללא מידע אמיתי או השפעה על מערכת ייצור.	אירוע/Request/Flow מבוקר
איסוף	אספו את הראיה הגולמית ואת ההקשר ממקור נוסף. ודאו Time zone, מזהים ושלמות.	שתי ראיות מקושרות
ניתוח	כתבו מה כל ראיה מוכיחה, מה אינה מוכיחה ומהו ההסבר הלגיטימי האפשרי.	מסקנת ביניים
סיום	בחרו סגירה, הסלמה, Finding או Tuning; הוסיפו המלצה ו-Retest.	תוצר מתועד

Checklist מעשי

בדקו ותעדו: Principal ו-session.
בדקו ותעדו: API action.
בדקו ותעדו: Resource ו-region.
בדקו ותעדו: Source IP ו-user agent.
בדקו ותעדו: Audit event ID.
בדקו ותעדו: GuardDuty/Defender/SCC finding.
ציינו Time zone, גרסת כלי ושעת איסוף.
שמרו את הנתון הגולמי לפני סינון או שינוי.
כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

להתמקד באזור אחד בלבד.
לסובב מפתח לפני שימור Timeline.
לא לבדוק AssumeRole או Token.
להתעלם מ-Control Plane.
לא למפות הרשאות אפקטיביות.
להסיק שמיקום גאוגרפי מוכיח תקיפה.

סיכום ו-CTA

חקירת אירוע אבטחה ב-Azure: Sentinel, Entra ו-Defender הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

האם חקירת אירוע אבטחה ב-Azure לבדו מוכיח תקיפה או חולשה?

לא. הוא מספק אות או ממצא שצריך הקשר, אימות ומקור נוסף. מסקנה מקצועית נשענת על רצף ראיות ועל התאמה להתנהגות הצפויה.

מה עושים כאשר חלק מהנתונים חסרים?

מתעדים את החסר, בודקים מקור חלופי ומצמצמים את רמת הביטחון. אין להשלים שדות בהשערה או להציג Unknown כתקין.

כמה זמן צריך לשמור את הראיות?

הזמן תלוי במדיניות, רגולציה, עלות וסוג האירוע. חשוב להגדיר מראש Retention, Legal hold ויכולת לייצא ראיה בפורמט שניתן לאמת.

איך מתרגלים בלי לסכן מערכת אמיתית?

משתמשים במכונות וירטואליות, נתונים מדומים, CTF או מעבדה ייעודית. בבדיקות מורשות מגדירים Scope, Stop conditions וגיבוי לפני תחילת העבודה.

מקורות

רוצים לבדוק אם המסלול מתאים לכם?

השאירו פרטים ונציג של HPI יחזור אליכם לשיחת התאמה קצרה וללא התחייבות.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI

רוצים לשמוע פרטים על התוכנית? השאירו פרטים ונחזור אליכם.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI יצירת קשר

על הכותב

תאיר מלכא

מייסד ומנכ״ל HPI ומרצה לסייבר

תאיר מלכא הוא מייסד ומנכ״ל HPI – המכללה למקצועות ההייטק, ומרצה לסייבר במסלולי ההכשרה של המכללה. במסגרת תפקידיו הוא אחראי על בניית תוכניות הלימוד המקצועיות של HPI בתחומי סייבר, IT ורשתות, ומוביל את הליווי המקצועי של הסטודנטים לאורך המסלול.

לפרופיל הכותב ↗

הקודם באשכול

חקירת AWS Credentials חשודים עם CloudTrail ו-GuardDuty

הבא באשכול

חקירת אירוע ב-Google Cloud עם Audit Logs ו-Security Command Center