ניטור פעילות משתמשיםהקלטת סשנים, חקירה ותגובה
Syteca מקליטה את מה שעובדים, ספקים ומנהלי מערכת עושים בתחנות, בשרתים, בשרתי קפיצה וב-VDI: וידאו או צילומי מסך, יחד עם היישום, החלון, הכתובת, ההקשות והפקודות של כל רגע. צופים בסשן חי או מוקלט, מחפשים בתוכן שלו, ומקבלים התראה ותגובה אוטומטית כשמשהו חורג מהמדיניות.
מה נרשם
סוכן קל אחד בכל נקודת קצה: תחנות עבודה, שרתים, מכונות וירטואליות ושרתי קפיצה. בשרת קפיצה, סוכן Terminal Server אחד מקליט את כל הסשנים שעוברים דרכו. כל מה שנאסף נשמר כסשן אחד, מהכניסה ועד היציאה.
בוחרים מצב לכל מחשב או קבוצה. Full-Motion Capture הוא וידאו רציף, 4 פריימים בשנייה כברירת מחדל. Interval Capture מצלם לפי אירועים שבוחרים, כמו מעבר חלון, שינוי כותרת, הקשה או לחיצה, ואפשר להוסיף צילום מחזורי. כל המסכים המחוברים מוקלטים.
כל רשומה בסשן נושאת את זמן הפעולה, שם היישום וכותרת החלון. ב-Windows וב-macOS נרשמת גם כתובת ה-URL, מלאה או רק הדומיין. זמני סרק נרשמים כאירוע נפרד.
ב-Windows וב-macOS נרשמות ההקשות, כולל בעברית, ומקושרות לרגע בהקלטה. פרמטר נפרד רושם טקסט שהועתק, נגזר או הודבק. ההקשות מוצפנות, מוסתרות מהתצוגה כברירת מחדל וזמינות לחיפוש ולהתראות.
בסשני SSH ובטרמינל נרשמות פקודות עם הפרמטרים שלהן, פקודות שרצו בתוך סקריפטים, קריאות מערכת ופלט הפקודות. הנגן משחזר את הטרמינל כפי שהמשתמש ראה אותו. בסשני GUI נרשמים צילומי מסך.
ב-Windows וב-macOS נרשמת כל העלאת קובץ: היישום שהעלה, הנתיב, שם הקובץ והסיומת, ובהעלאה מדפדפן גם כתובת היעד. כל רשומה פותחת את הנגן ברגע ההעלאה.
ב-Windows כל התקן אחסון שמחובר נרשם אוטומטית. חוקי USB מוסיפים התראה, חסימה או חסימה עד אישור מנהל לפי סוג ההתקן, עם רשימת חריגים לפי Hardware ID. ב-macOS החוקים מתריעים ולא חוסמים.
לפי מערכת הפעלה
כל סוכן אוסף את מה שמערכת ההפעלה שלו מאפשרת. ב-VDI מתקינים את סוכן Windows או Linux בתמונת המאסטר: Citrix, VMware Horizon, Microsoft Hyper-V, Azure Virtual Desktop, Windows 365 ו-Amazon WorkSpaces, עם רישוי צף לפי מספר המכונות הפעילות במקביל.
| Windows | macOS | Linux ו-Unix | |
|---|---|---|---|
| תיעוד המסך | וידאו רציף או צילומי מסך, מכל המסכים | וידאו רציף או צילומי מסך, מכל המסכים | צילומי מסך בסשני GUI. בסשני SSH וטרמינל: שחזור גרפי של הטרמינל |
| יישומים וכותרות חלונות | כן | כן | בסשני GUI. בטרמינל: פקודות, פרמטרים, קריאות מערכת ופלט |
| כתובות URL | כן בדפדפנים הנתמכים כמו Chrome, Edge, Firefox ו-Opera | כן ב-Chrome וב-Safari | לא זמין |
| הקשות | כן גם בסשני RDP | כן | כל הקלט בטרמינל וב-SSH, דרך User Input Monitoring (כבוי כברירת מחדל) |
| לוח העתקה | העתקה, גזירה והדבקה | העתקה וגזירה | לא זמין |
| העלאות קבצים | כן | כן בחלון העלאה שנפתח מדפדפן | לא זמין |
| USB | רישום אוטומטי של התקני אחסון, התראה, חסימה ואישור גישה | התראה על התקני אחסון ועל התקנים ייעודיים לספק, בלי חסימה | לא דרך מודול ה-USB. יש התראה מוכנה על פקודות mount |
| זמן סרק | כן | כן | בסשני GUI בלבד |
| תגובה אוטומטית | אזהרה למשתמש, סגירת יישום וחסימת משתמש | אזהרה למשתמש וסגירת יישום | התראות, בלי חסימה אוטומטית |
| זיהוי המשתמש בחשבון משותף | כן בהזדהות משנית | לא זמין | כן בהזדהות משנית |
| הגנה מפני שיבוש (Protected Mode) | כן ב-Windows 10, 11 וב-Server 2016 עד 2022 | לא זמין | לא זמין |
| גרסאות נתמכות | Windows 7 עד 11 ו-Windows Server 2012 עד 2025 | macOS 12 עד 26 | Ubuntu, Debian, RHEL, CentOS, Oracle Linux, Amazon Linux, AlmaLinux ו-openSUSE, וגם Solaris ו-AIX |
צפייה וחקירה
אף אחד לא צופה בכל ההקלטות. כך מגיעים לסשן הנכון ולרגע הנכון בתוכו.
התראות ותגובה
כל פעולה שהסוכן רושם נבדקת מול חוקי ההתראה. כשתנאי מתקיים, ההתראה מסומנת בסשן בצבע רמת הסיכון, נשלחת לצוות, ואפשר להגיב עליה אוטומטית. אותם נתונים מזינים את הדוחות, את לוחות המחוונים ואת ה-SIEM.
פרטיות ומידתיות
הניטור צריך לענות על שאלות אבטחה, לא לאסוף כל מה שאפשר. אלה הבקרות שקובעות מה נרשם, מה מוצג ומי צופה.
ב-Windows וב-macOS מדלגים על יישומים, כותרות חלונות או כתובות URL, מסך והקשות יחד. ב-Windows וב-Linux מחריגים משתמשים. ב-Windows מגבילים את ההקלטה לימים ולשעות, ומחריגים חיבורים מכתובות IP מסוימות.
במקום כל המסך, מצלמים רק את החלון שהמשתמש עובד בו. כך התראות של יישומים אחרים ותוכן פרטי שפתוח בצד לא נכנסים להקלטה, והנפח קטן.
ב-Windows מגדירים ביטויים רגולריים למספרי כרטיס אשראי, מספרי חשבון או כל תבנית אחרת. ערך תואם מטושטש בצילום המסך ומוצג ככוכביות בהקשות ובלוח ההעתקה, עוד בסוכן.
ההקשות נשמרות מוצפנות ואינן מוצגות בנגן ובדוחות כברירת מחדל, אבל אפשר לחפש בהן ולהתריע עליהן. סיסמאות מזוהות לפי ביטוי רגולרי ומוחלפות בכוכביות לפני השליחה לשרת.
מצב פסאודונימיזציה מחליף שמות משתמשים ומחשבים בכינויים ומטשטש צילומי מסך. הוא כבוי כברירת מחדל ומופעל רק דרך התמיכה של Syteca. חשיפת זהות: חוקר מבקש, גורם מאשר נפרד מחליט, והחשיפה זמנית ולמשתמש אחד.
רק מי שקיבל הרשאת צפייה למחשב מסוים רואה את הסשנים שלו, וכל צפייה נרשמת ביומן הביקורת. למשתמשים אפשר להציג הודעה לפני הכניסה ולדרוש אישור (Windows ו-Linux), ואייקון הקלטה בזמן העבודה (Windows).
פריסה, ביצועים ואחסון
אותו סוכן ואותו ממשק ניהול בכל מודל פריסה. ערכי הביצועים הם נתוני הייחוס של Syteca לסשן אחד ברזולוציית Full HD בהגדרות ברירת המחדל. בפועל הם תלויים בפעילות, ברזולוציה ובהגדרות.
שרת היישום, מסד הנתונים וממשק הניהול ברשת הארגון, או בחשבון ה-AWS או ה-Azure שלכם. כל ההגדרות בידיים שלכם.
מופע ייעודי ונפרד לכל לקוח, בחוות השרתים של בזק, עם גיבוי ו-DR. מתקינים סוכנים בלבד, ו-UEBA זמין.
מופע ייעודי לכל לקוח על AWS, באזור שנבחר לפי מיקום הלקוח. Syteca מטפלת בשרתים, בעדכונים ובגיבוי מסד הנתונים, ואתם מתקינים סוכנים בלבד.
ב-Windows: MSI, GPO או Intune. ב-macOS: Jamf Pro או Workspace ONE. ב-VDI: בתמונת המאסטר, ורישיון חוזר למאגר כשהמכונה נכבית.
בממוצע 0.5% מעבד לסשן, עד 5% בשיא, וכ-35MB זיכרון לכל סשן פעיל.
128Kbit/s לסשן, וכ-300MB ליום עבודה של 8 שעות בממוצע. סשני SSH ב-Linux מייצרים לרוב יותר.
גווני אפור כברירת מחדל, דחיסה בסוכן, הקטנת צילומים, הגבלת קצב צילום, צילום החלון הפעיל בלבד, או הקלטה רק סביב התראה. ב-Linux: הגבלת פלט לכל פקודה ודילוג על פקודות.
כל מקטע של נתוני הניטור מוצפן ב-AES-256 כבר בסוכן. לסוכן יש רק מפתח ציבורי, ורק שרת היישום יכול לפענח. ההקשות מוצפנות גם במסד הנתונים.
הסוכן ממשיך להקליט, שומר את הנתונים מוצפנים במטמון מקומי (500MB כברירת מחדל) ושולח אותם כשהחיבור חוזר.
ב-Windows, במצב Protected Mode, דרייבר ברמת הליבה מונע גם ממנהל מקומי לשנות את קבצי הסוכן, את הלוגים, את הצילומים שבמטמון ואת ההגדרות שלו. אם הסוכן נעצר, תהליך ניטור מפעיל אותו מחדש.
אפשר לחשב hash או לחתום בתעודה על כל צילום ורשומה מסוכני Windows. אם משהו נמחק או שונה, הנגן מציג שהנתונים אינם תקינים.
ניקוי חד פעמי או מתוזמן לכל מחשב או קבוצה, לפי גיל הסשנים. בהתקנה מקומית אפשר להעביר סשנים ישנים לארכיון ולצפות בהם בנגן גם אחר כך. מסד הנתונים: MS SQL Server או PostgreSQL, וצילומי המסך יכולים להישמר באחסון קבצים, NAS או אחסון תואם S3.
חשוב לדעת
שאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
שניהם, לפי בחירה לכל מחשב או קבוצה. וידאו רציף (Full-Motion Capture) נותן ניגון חלק ומתאים לתפקידים רגישים. צילומי מסך (Interval Capture) חוסכים נפח, ובמצב הזה זמינים צפייה חיה, מיסוך מידע רגיש וייצוא פורנזי מלא. בשני המצבים נרשמים יישומים, חלונות, כתובות והקשות.
לפי נתוני הייחוס של Syteca, סשן ברזולוציית Full HD בהגדרות ברירת המחדל צורך בממוצע 0.5% מעבד, עד 5% בשיא, ו-128Kbit/s רוחב פס. הנפח הממוצע הוא כ-300MB ליום עבודה. אפשר להקטין אותו: גווני אפור, דחיסה, צילום החלון הפעיל בלבד או הקלטה רק סביב התראה.
ההקשות נרשמות ב-Windows וב-macOS, כולל בעברית, ונשמרות מוצפנות. אפשר לחפש בהן ולהגדיר עליהן התראות, אבל כברירת מחדל הטקסט לא מוצג בנגן ובדוחות, והצגה דורשת פנייה לתמיכה. סיסמאות מוחלפות בכוכביות עוד לפני השליחה לשרת. הפירוט בדף ניטור הקשות המקלדת.
הסוכן ממשיך להקליט, שומר את הנתונים מוצפנים במטמון מקומי (500MB כברירת מחדל) ושולח אותם אוטומטית כשהחיבור לשרת חוזר. ב-Windows, מצב Protected Mode מונע גם ממנהל מקומי לשנות את הסוכן, את ההגדרות שלו ואת הנתונים שנשמרו בתחנה.
בהתקנה מקומית אתם קובעים: ניקוי מתוזמן לכל מחשב או קבוצה לפי גיל הסשנים, ואפשר להעביר סשנים ישנים לארכיון ולצפות בהם בנגן גם אחר כך. ב-SaaS של Syteca תקופת השמירה נקבעת בהסכם, וברירת המחדל היא 30 יום. ארכיון אינו זמין ב-SaaS.
מומלץ שהארגון יגדיר מדיניות ניטור ויודיע לעובדים, יחד עם היועץ המשפטי שלו. בצד הטכני, Syteca יכולה להציג הודעה לפני הכניסה למחשב ולדרוש אישור (Windows ו-Linux), ולהציג אייקון הקלטה בזמן העבודה (Windows).
ארכיטקט פתרונות של קונסיסט יעבור איתכם על התרחישים שלכם, בעברית.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד. היכולות והזמינות לפי האתר והתיעוד של Syteca, אוקטובר 2026.
