מה זה בעצם סייבר: המדריך הגדול לתעשייה שמגנה על העולם הדיגיטלי

המילה סייבר הפכה למטבע שחוק. היא מתארת גם וירוס במחשב הביתי, גם גניבת מיליארדים מבנק, גם מדינה שמשביתה תחנת כוח של מדינה אחרת, וגם תעשייה שמגלגלת מאות מיליארדי דולרים בשנה. כשמילה אחת מכסה כל כך הרבה, היא מפסיקה להסביר משהו.

המדריך הזה מנסה לפרק אותה חזרה לחלקים: מה בעצם מגנים עליו, מי תוקף ולמה, איך מתקפה נראית מבפנים, אילו כלים עומדים מול זה, ולמה דווקא בשנים האחרונות המשימה נעשתה קשה יותר ולא קלה יותר.

מאיפה הגיעה המילה

השורש הוא יווני. קיברנטס פירושו הגאי, מי שמנווט את הספינה. בשנות הארבעים אימץ המתמטיקאי נורברט וינר את המילה כדי לתאר תורה של בקרה ומשוב במערכות, ובשנות השמונים לקח אותה הסופר ויליאם גיבסון וטבע את המונח מרחב הסייבר בספר מדע בדיוני. משם היא זלגה לעיתונות, לצבא ולתעשייה, ואיבדה בדרך את המשמעות המקורית.

מה שנשאר הוא רעיון פשוט: יש עולם שלם שקיים רק כמידע, והוא זקוק להגנה בדיוק כמו מחסן או בנק. ההבדל הוא שבעולם הפיזי הגנב צריך להיות במקום, ובעולם הדיגיטלי הוא יכול לשבת בקצה השני של כדור הארץ ולתקוף מיליון יעדים בו זמנית באותה עלות.

שלוש השאלות שכל אבטחה מנסה לענות עליהן

מאחורי כל מוצר אבטחה, מהפשוט ועד המורכב, עומדות שלוש דרישות. הראשונה היא סודיות: שרק מי שאמור לראות את המידע יראה אותו. השנייה היא שלמות: שהמידע לא ישונה בלי שנדע. השלישית היא זמינות: שהמערכת תמשיך לעבוד כשצריך אותה.

ההפרדה הזו נשמעת תיאורטית, אבל היא מסבירה למה מתקפות שונות דורשות הגנות שונות. גניבת מאגר לקוחות פוגעת בסודיות. שינוי של סכום בהעברה בנקאית פוגע בשלמות. מתקפת מניעת שירות, שמציפה אתר בפניות עד שהוא קורס, לא גונבת שום דבר ולא משנה שום דבר, אבל משביתה את העסק. שלושתן נקראות סייבר, ואין ביניהן כמעט שום דמיון טכני.

יש גם דרישה רביעית שהתווספה עם השנים ונקראת אי-התכחשות: היכולת להוכיח מי עשה מה. בעולם שבו חוזים נחתמים דיגיטלית והוראות תשלום עוברות ברשת, השאלה מי בדיוק לחץ על הכפתור הפכה לשאלה משפטית וכספית ולא רק טכנית.

מי תוקף, ולמה

הטעות הנפוצה היא לדמיין נער בחדר חשוך. רוב התקיפות היום מגיעות מארבע קבוצות שונות מאוד זו מזו, וההבדל ביניהן קובע גם מה הן מחפשות וגם כמה קשה לעצור אותן.

מדינות. יחידות ממשלתיות שמחפשות מודיעין, יכולת השבתה של תשתיות, או דריסת רגל שקטה למקרה של עימות עתידי. הן סבלניות, ממומנות היטב, ומוכנות להשקיע חודשים בתוך רשת בלי לעשות כלום. תוקף כזה כמעט תמיד יצליח להיכנס אם הוא ממש רוצה, והשאלה היא רק כמה מהר יזהו אותו.

• ההיסטוריה של הסייבר: מהתולעת הראשונה ועד היום
• סייבר הגנתי מול התקפי: שתי תעשיות באותו שם

פשע מאורגן. הקבוצה שאחראית לרוב הנזק הכספי. היא פועלת כעסק לכל דבר, עם שירות לקוחות, תמחור ואפילו תוכניות שותפים. מודל ההכנסה המרכזי הוא כופר: הצפנת המערכות של הארגון ודרישת תשלום עבור המפתח, ולאחרונה גם איום בפרסום המידע הגנוב אם לא ישלמו.

האקטיביסטים. קבוצות אידאולוגיות שמחפשות בעיקר הד תקשורתי. הנזק הטכני שלהן מוגבל בדרך כלל, אבל הנזק התדמיתי יכול להיות גדול.

הפנימיים. עובדים או ספקים עם גישה לגיטימית. חלקם זדוניים, רובם פשוט התרשלו. זו הקטגוריה שהכי קשה להתגונן מפניה, כי כל מערכות ההגנה בנויות להבחין בין מי שבפנים למי שבחוץ, והאיש הזה כבר בפנים.

איך מתקפה נראית מבפנים

בסרטים זה נראה כמו פריצה אחת דרמטית. במציאות זו שרשרת של שלבים, וכל שלב הוא הזדמנות לעצור אותה.

הכול מתחיל באיסוף מידע: מי עובד בארגון, אילו מערכות הוא מפעיל, אילו כתובות דוא"ל דלפו בעבר. אחר כך מגיעה הכניסה הראשונית, ולרוב היא לא מתוחכמת בכלל. הדרך הנפוצה ביותר היא הודעת דיוג, מייל שנראה לגיטימי ומוביל לדף שגונב סיסמה. דרכים אחרות הן ניצול פרצה בתוכנה שלא עודכנה, או פשוט שימוש בסיסמה שנגנבה במקום אחר וחזרה על עצמה.

• אקו רוכשת את הטכנולוגיה והלקוחות של מינימוס
• האקרים השתמשו ב־Cursor כדי לפרוץ לשבע חברות - כך עקפו את מנגנוני ההגנה

מכאן מתחיל החלק שמפריד בין תקרית קטנה לאסון. התוקף נע לרוחב הרשת, מחפש הרשאות חזקות יותר, ומנסה להגיע לחשבון מנהל. בשלב הזה הוא כבר נראה למערכות ההגנה כמו משתמש רגיל שעושה את עבודתו. אחר כך הוא מוציא את המידע החוצה, לאט ובכמויות קטנות כדי לא לעורר חשד, ורק בסוף, לפעמים חודשים אחרי הכניסה, הוא מפעיל את ההצפנה ושולח את דרישת הכופר.

המספר שמעיד על איכות ההגנה בארגון נקרא זמן שהייה: כמה זמן עבר בין הכניסה של התוקף לבין הרגע שבו זיהו אותו. לפני עשור מדובר היה בחודשים. היום הארגונים הטובים מגיעים לימים ולעיתים לשעות, וזה בדיוק ההבדל בין דלף מידע לבין אירוע שנעצר בזמן.

הכלים שעומדים מולם

תעשיית ההגנה בנויה בשכבות, וכל שכבה נולדה כתשובה לאיום שהיה חדש בזמנו. הפיירוול היה הראשון: שוער שבודק תעבורה בכניסה לרשת ומחליט מה נכנס. האנטי וירוס הגן על התחנה עצמה, וב-הדור הנוכחי הוא נקרא EDR ועוסק פחות בזיהוי קבצים מוכרים ויותר בזיהוי התנהגות חריגה.

ניהול זהויות הפך לשכבה החשובה ביותר בעשור האחרון, מהסיבה הפשוטה שרוב התקיפות מתחילות בסיסמה גנובה ולא בפרצה טכנית. כאן יושבים אימות דו שלבי, ניהול הרשאות מיוחדות, ומודל שנקרא אפס אמון, שההנחה שלו היא שאין "בפנים" ו"בחוץ" ושכל בקשה נבדקת מחדש בכל פעם.

אבטחת ענן היא השכבה הצעירה והצומחת ביותר, ועוסקת בכך שהתשתית של הארגון כבר לא יושבת אצלו אלא אצל אמזון, מיקרוסופט או גוגל. ומעל הכול יושבת שכבת הניטור, מערכות שאוספות מיליארדי אירועים ביום ומנסות לשלוף מתוכם את החריגים.

המבנה השכבתי הזה הוא גם החולשה של התעשייה. ארגון גדול מפעיל בממוצע עשרות מוצרי אבטחה מיצרנים שונים, שלא תמיד מדברים זה עם זה, ודורשים צוות שיודע לתפעל את כולם. זו הסיבה שהמגמה הבולטת בשוק היום היא איחוד: לקוחות מעדיפים ספק אחד שנותן פלטפורמה רחבה על פני חמישה מוצרים מצוינים שלא משתלבים.

למה זה נעשה קשה יותר דווקא עכשיו

אפשר היה לצפות שאחרי שלושים שנה של השקעה הבעיה תצטמצם. קרה ההפך, ומשלוש סיבות מבניות.

הראשונה היא שהחומה נעלמה. פעם היה לארגון מרכז מחשבים אחד וגבול ברור. היום העובדים מתחברים מהבית, המידע יושב בעשרות שירותי ענן, והמכשירים אינם בבעלות החברה. אין יותר קו שאפשר לשמור עליו.

השנייה היא שרשרת האספקה. ארגון יכול להיות מוגן היטב ועדיין להיפרץ דרך ספק תוכנה קטן שהוא סומך עליו. מספיק שהתוקף ישתול קוד זדוני בעדכון של מוצר לגיטימי, וכל הלקוחות של אותו מוצר יתקינו אותו בעצמם. זה כבר קרה בקנה מידה שהדהים את התעשייה, וזה הסיוט שמדיר שינה מאנשי אבטחה.

השלישית היא הבינה המלאכותית, והיא עובדת לשני הכיוונים. מצד התוקף היא הופכת דיוג לזול ומשכנע: מכתב בעברית תקינה, מותאם אישית, בכמויות בלתי מוגבלות, וגם שכפול קול לשיחות טלפון. מצד המגן היא מסייעת לסנן רעש ולזהות חריגות מהר יותר. הכף עדיין לא הוכרעה, אבל בטווח הקצר הצד התוקף מרוויח יותר, פשוט מפני שהוא צריך להצליח פעם אחת והמגן צריך להצליח תמיד.

הזווית הישראלית

קשה לדבר על סייבר בלי לדבר על ישראל. שתיים מהחברות שעיצבו את התעשייה נוסדו כאן או על ידי ישראלים: צ'ק פוינט, שהפכה את הפיירוול למוצר מדף בשנות התשעים, ופאלו אלטו נטוורקס, שנוסדה על ידי מי שהיה מהנדס בצ'ק פוינט. לצדן פועלות סייברארק, סנטינל וואן, ורשימה ארוכה של חברות צעירות.

המנוע מאחורי זה מוכר: יחידות טכנולוגיות בצבא שמכשירות אלפי צעירים בשנה בתחום שאין בו לימודים אקדמיים מסודרים, ומעגל שבו כל אקזיט מייצר משקיעים ומייסדים לסבב הבא. התוצאה היא שישראל מייצרת חלק לא פרופורציונלי מחברות הסייבר בעולם, ושחלק גדול מרכישות הענק בתחום נוגעות בחברות מקומיות.

מה זה אומר למי שמסתכל על השוק

סייבר הוא אחד הסקטורים הבודדים בטכנולוגיה שבהם ההוצאה נחשבת הכרחית ולא שיקול דעת. ארגון שחותך תקציב שיווק סופג פגיעה מסחרית, ארגון שחותך תקציב אבטחה מהמר על קיומו. זו הסיבה שהתחום ממשיך לצמוח גם בשנים חלשות, וזה גם ההסבר לכפולות הגבוהות שבהן נסחרות החברות המובילות.

מנגד, יש כאן שני סיכונים אמיתיים. הראשון הוא שהתחום מתאחד: הענקיות רוכשות את החברות הצעירות ומרחיבות את הפלטפורמה, וחברה בינונית שנתקעת באמצע מתקשה להתחרות מול חבילה משולבת. השני הוא שמיקרוסופט הפכה לשחקנית סייבר ענקית בזכות עצמה, והיא מוכרת אבטחה כתוספת לחבילה שהלקוח ממילא קונה. מתחרה שמחלק כמעט בחינם הוא בעיה קשה לכל מי שמוכר מוצר עצמאי.

ולבסוף, שאלת האירועים. מתקפה גדולה מזיזה את מניות הסקטור למעלה, כי היא מזכירה לכולם למה משלמים. אבל אם המתקפה הצליחה דווקא דרך מוצר של אחת החברות, המניה שלה יכולה לרדת חדות באותו יום עצמו. זה שוק שבו החדשות הרעות טובות לכולם חוץ ממי שהיה בדיוק במרכז שלהן.

שאר המדריכים בסדרה נכנסים לעומק לכל אחד מהפרקים האלה: מי היו החברות שפרצו את הדרך, איך נראה הסייבר ההתקפי מהצד השני, ומה קורה בכל אחד מתחומי המשנה של התעשייה.