אנטי-וירוס מת: מה החליף אותו ב-2026

האנטי-וירוס שאתם זוכרים סרק קבצים מול רשימת חתימות ידועות לרעה. זה עבד כשתוכנה זדונית הגיעה כקובץ ונשארה זהה מספיק זמן כדי להיכנס לרשימה.

כך רוב האירועים כבר לא מתחילים. התוקף מתחבר עם סיסמה תקינה, משתמש בכלים שכבר קיימים על המכשיר, ולא משאיר קובץ ששווה לסרוק. התאמת החתימות עדיין נמצאת במוצר - היא פשוט כבר לא החלק שעושה את העבודה.

מה באמת השתנה

שלוש תזוזות, אף אחת מהן לא עדינה.

פרטי התחברות החליפו תוכנה זדונית כנקודת הכניסה. ניצול לרעה של פרטי התחברות הוא הטכניקה הנפוצה ביותר בשרשראות פריצה, וסיסמה גנובה נראית זהה לאמיתית ברמת הקובץ^[1]. אין מה למצוא לסורק.

ההפצה עברה לדואר ולתוכנה לא מעודכנת. Sophos מציבה דואר זדוני, פישינג וניצול פגיעויות בראש הגורמים לכופרה^[2]. בשניים מתוך שלושה אין קובץ הרצה שנוחת על הדיסק.

תוקפים משתמשים במה שכבר מותקן. PowerShell, מנועי סקריפט, כלי ניהול מרחוק. MITRE ATT&CK ממפה אותם כטכניקות ולא כקבצים בדיוק כי אין חתימה לכתוב^[3].

כך שהזיהוי נאלץ לעבור מ"האם הקובץ הזה ברשימה" ל"האם ההתנהגות הזו נורמלית למכשיר הזה".

מה החליף אותו

זיהוי התנהגותי עוקב אחר רצפים: מסמך שמפעיל מפרש סקריפטים, תהליך שקורא אחסון פרטי התחברות, חיבור יוצא חריג מיד אחרי התחברות ממיקום חדש. הוא אינו זקוק להיכרות מוקדמת עם התוכנה הזדונית, והוא יכול לפעול לבד - לבודד מכשיר או להחזיר שינוי לאחור בלי להמתין לאדם^[4].

שני רכיבים שווים אזכור, כי הם אלה שנשארים כבויים לרוב:

• כללי צמצום משטח תקיפה חוסמים משפחות שלמות של התנהגות - יישומי Office שמפעילים תהליכי בן, גניבת פרטי התחברות מ-LSASS, קבצי הרצה שרצים מתוך תוכנת דואר. הם מגיעים עם הרישיון וכמה מהם כבויים כברירת מחדל^[5].
• EDR במצב חסימה מאפשר לזיהוי הקצה לנקות רכיבים זדוניים גם כשאנטי-וירוס צד שלישי פועל והמנוע רץ במצב פסיבי בלבד^[6]. אם השארתם מוצר AV ישן לצד Defender, זו ההגדרה שקובעת אם השכבה השנייה עושה משהו.

האם מבחן האנטי-וירוס הישן עדיין שימושי

כן, בהסתייגות. מעבדות עצמאיות עדיין בוחנות מוצרי קצה עסקיים מול דגימות אמיתיות, והתוצאות האלה הן ההשוואה היחידה ששווה לצטט כי ספק לא כתב אותן^[7]. מה שהן מודדות הוא שכבה אחת במערך שכולל היום גם זהות, דואר ותצורה. ציון הגנה מושלם לא עוצר התחברות תקינה.

מה כנראה כבר בבעלותכם

אם אתם על Microsoft 365 Business Premium, Defender for Business כלול: זיהוי התנהגותי בנקודות קצה, צמצום משטח תקיפה, חקירה ותיקון אוטומטיים על Windows, macOS, iOS ו-Android^[4]. Business Premium מתומחר ב-22 דולר למשתמש לחודש בהתחייבות שנתית^[8].

הכשל הנפוץ אינו מוצר חסר. הוא מוצר מורשה במצב ברירת מחדל: מכשירים שלא נרשמו, כללי ASR שלא הופעלו, והתראות שמגיעות לקונסולה שאיש לא נכנס אליה מאז ההטמעה.

בדיקת חמש הדקות

1. 1רישום. כל מחשב וטלפון של החברה מופיע כמנוהל ותואם, לא רק "רשום".
2. 2הגנה בזמן אמת והגנת ענן פעילות. גם הגנה מפני שינוי, כדי שמשתמש או סקריפט לא יוכלו לכבות אותן.
3. 3כללי צמצום משטח תקיפה במצב חסימה, לא במצב ביקורת. ביקורת מתעדת מה היה קורה ולא עוצרת דבר^[5].
4. 4אין אנטי-וירוס שני שפועל אקטיבית. שני מוצרים שנאבקים זה בזה גרועים ממוצר אחד שעובד. אם AV ישן חייב להישאר, העבירו את Defender למצב חסימת EDR^[6].
5. 5אדם מוגדר שקורא התראות. מדריך NIST לעסקים קטנים ויעדי הביצוע של CISA מתייחסים לזיהוי ולתגובה כחובה אחת, ושניהם מצפים לבעלים מוגדר ולא לסוכן מותקן^[9][10].

מה זה לא מכסה

הגנת קצה היא שכבה אחת. היא לא עוצרת מייל הונאת חשבונית בלי צרופה, לא עוצרת התחברות תקינה עם סיסמה גנובה, ולא משחזרת נתונים אחרי הצפנה מוצלחת. MFA, גישה מותנית, אימות דואר וגיבויים שנבדקו הם בקרות נפרדות, וכל אחת מהן נכשלת בנפרד.

הערות לפי מדינה

ישראל. רישיון Business Premium ו-Defender for Business נמכרים באותו אופן בארץ, ולכן השאלה המעשית היא אם המשלב רשם את המכשירים ב-Intune או רק מסר רישיונות.

אירופה. סעיף 21 ב-NIS2 מבקש אמצעי ניהול סיכונים וטיפול באירועים ולא מוצר אנטי-וירוס; קשה להציג רישיון במצב ברירת מחדל כאחד מהם^[11].

ספרד. משפחות הבקרה של ENS מפרידות בין הגנת קצה לניטור אירועים - אותה הבחנה בין להחזיק כלי לבין לצפות במה שהוא אומר.

מה לעשות עם זה

1. 1פתחו את קונסולת הקצה והשוו את מספרי הרישום והתאימות למספר העובדים בפועל.
2. 2העבירו את כללי צמצום משטח התקיפה הסטנדרטיים מביקורת לחסימה, קודם בקבוצת פיילוט קטנה.
3. 3הסירו או הגדירו כפסיבי כל אנטי-וירוס ישן, והפעילו מצב חסימת EDR אם הוא נשאר.
4. 4החליטו מי קורא את ההתראות, ותעדו זאת. זו הבקרה, לא התוכנה.