סייבר הגנתי מול סייבר התקפי: שתי תעשיות שנקראות באותו שם
התעשייה שנקראת סייבר מורכבת משני עסקים שונים לגמרי, שלפעמים יושבים באותו בניין ולעיתים מעסיקים את אותם אנשים בשלבים שונים בקריירה. האחד מוכר הגנה, השני מוכר יכולת לפרוץ. שניהם חוקיים, שניהם מגלגלים כסף גדול, והגבול ביניהם דק בהרבה ממה שנדמה.
ההבחנה הזו חשובה כי היא מסבירה הרבה מהמתחים בענף: למה חוקר שמוצא פרצה יכול למכור אותה בשלוש דרכים שונות ובשלושה מחירים שונים, למה מדינות מגבילות ייצוא של תוכנה, ולמה חברות ישראליות מסוימות מוצאות את עצמן ברשימות שחורות בוושינגטון.
מה זה סייבר התקפי בעצם
סייבר התקפי אינו רק פריצה. הוא אוסף של יכולות: מציאת חולשות בתוכנה, כתיבת קוד שמנצל אותן, בניית תשתית שמסתירה את מקור המתקפה, ואיסוף המידע בצד השני בלי שיתגלה. כל אחת מהיכולות האלה היא מקצוע בפני עצמו, ומעטים בעולם שולטים בכולן.
הלקוחות של התחום הם בעיקר מדינות: שירותי מודיעין, גופי אכיפה ויחידות צבאיות. הם קונים יכולת חדירה לטלפונים, למחשבים או למערכות תעשייתיות, לצורך מעקב אחר חשודים או לצורך פעולה אקטיבית. הדוגמה המפורסמת ביותר היא תולעת מחשב שפגעה בצנטריפוגות במתקן גרעיני באיראן לפני כחמש עשרה שנה, ושינתה את מהירות הסיבוב שלהן תוך שהיא מציגה למפעילים נתונים תקינים. אף מדינה לא לקחה אחריות, וההערכה הרווחת מייחסת אותה לשיתוף פעולה אמריקאי ישראלי.
מה שהפך את האירוע ההוא לנקודת ציון הוא לא הנזק אלא ההוכחה: קוד יכול להרוס ציוד פיזי. מאותו רגע כל מדינה בעולם הבינה שהיא צריכה גם יכולת התקפית וגם הגנה על התשתיות שלה, והתקציבים בשני הצדדים זינקו.
פרצת אפס-ימים והשוק שנבנה סביבה
המונח המרכזי בתחום הוא פרצת אפס-ימים. זו חולשה בתוכנה שהיצרן עצמו לא יודע עליה, ולכן היו לו אפס ימים לתקן אותה. כל עוד היא סודית, מי שמחזיק בה יכול להיכנס למכשירים מוגנים לחלוטין, בלי שהקורבן יעשה דבר.
לחוקר שמוצא פרצה כזו יש שלוש אפשרויות, וההבדל ביניהן הוא הבדל של סדרי גודל בכסף. הוא יכול לדווח ליצרן ולקבל פרס במסגרת תוכנית שנקראת ציד באגים, סכומים שנעים בין אלפי דולרים לכמה מאות אלפים במקרים חריגים. הוא יכול למכור לברוקר שמתווך למדינות, ושם המחירים מגיעים למיליוני דולרים עבור שרשרת שלמה שפורצת טלפון מודרני. או שהוא יכול למכור לפושעים, וזו כבר עבירה.
הפער הזה הוא הבעיה המבנית של התחום. היצרן שמנסה להגן על המשתמשים שלו מציע פחות ממה שמציעה מדינה, ולכן חלק מהפרצות החמורות ביותר לעולם לא מגיעות לתיקון. לצד זה נבנתה תרבות של תחרויות פריצה פומביות, שבהן חוקרים מדגימים פרצות על במה, מקבלים פרס, והיצרן מקבל את הפרטים ומתקן. זו הדרך שבה התעשייה מנסה להחזיר לעצמה חלק מהכישרון.
הצוותים שמשחקים אחד נגד השני
בתוך ארגונים גדולים ההבחנה בין התקפה להגנה קיבלה צורה מסודרת, והיא מתוארת בצבעים. הצוות האדום מדמה תוקף אמיתי ומנסה לפרוץ לארגון שהוא עצמו עובד בו, בלי שאיש יידע שמדובר בתרגיל. הצוות הכחול הוא מי שמגן, ותפקידו לזהות ולעצור. הצוות הסגול הוא השילוב: מפגש שבו התוקפים מסבירים למגנים בדיוק מה הם עשו ואיפה לא נתפסו.
התרגילים האלה הם הדרך היחידה לדעת אם ההגנה עובדת. ארגון יכול להחזיק את כל המוצרים הנכונים ועדיין ליפול, פשוט מפני שאיש לא הגדיר אותם כראוי או מפני שהתראה קריטית נבלעה בתוך אלפי התראות אחרות. צוות אדום טוב מוצא את זה בשבוע, תוקף אמיתי מוצא את זה גם כן.
מכאן גם נובע מסלול הקריירה המוכר בענף: אנשים שגדלו ביחידות התקפיות עוברים לחברות הגנה, מפני שמי שיודע איך פורצים יודע גם מה לחפש. חלק ניכר מהחברות הישראליות המובילות נבנו בדיוק על ההיגיון הזה.
ארבעת המוצרים של הצד ההתקפי
מי שמסתכל מקרוב על התעשייה ההתקפית מגלה שהיא מחולקת לארבעה מוצרים נפרדים. הראשון הוא חדירה לקצה: תוכנה שנכנסת לטלפון או למחשב של יעד מסוים ומעבירה משם מידע. זה המוצר היקר, המסובך והשנוי במחלוקת ביותר.
השני הוא יירוט תקשורת, שעובד ברמת הרשת ולא ברמת המכשיר. השלישי הוא זיהוי פלילי דיגיטלי: כלים שמחלצים מידע ממכשיר שכבר נתפס פיזית, תחום שבו פועלת חברה ישראלית ציבורית שמוכרת למשטרות ברחבי העולם ועוסקת בשוק לגיטימי הרבה יותר. הרביעי הוא מודיעין ממקורות גלויים, כלומר איסוף וניתוח של מידע שכבר קיים ברשת בלי לפרוץ לשום מקום.
ההבחנה הזו שימושית במיוחד כשקוראים כותרות. שלושת המוצרים האחרונים נמכרים בשוק פתוח יחסית, לגופי אכיפה וגם למגזר הפרטי, ועומדים בפני עצמם כעסקים סבירים. הראשון הוא זה שמייצר את הסערות, ורוב הדיון הציבורי על "חברות ריגול ישראליות" נוגע אליו בלבד.
איפה עובר הקו
אותה תוכנה בדיוק יכולה לשמש שירות ביטחוני שמאתר רשת טרור, או משטר שעוקב אחרי עיתונאית. הכלי לא יודע מי מפעיל אותו, וזו הסיבה שהתחום נמצא תחת פיקוח ייצוא בדומה לנשק. בישראל נדרש אישור ממשלתי למכירת מערכות כאלה, והרשימה של המדינות המאושרות מצטמצמת עם השנים.
הפיקוח לא מנע משברים. חברות ישראליות בתחום נכנסו לרשימה שחורה אמריקאית, מה שחסם בפניהן רכישת רכיבים ושיתופי פעולה, ושחקניות נוספות נסגרו או צומצמו. עבור התעשייה המקומית זו הייתה תזכורת שהעסק הזה תלוי בהחלטות מדיניות ולא רק בטכנולוגיה.
מבחינת מי שמסתכל על השוק, ההבדל הזה מהותי. חברת הגנה מוכרת לעשרות אלפי ארגונים בעולם, עם הכנסות חוזרות ופיזור לקוחות רחב. חברת סייבר התקפי מוכרת למספר קטן של לקוחות ממשלתיים, ברישיון, בעסקאות גדולות וחד פעמיות, ובסיכון רגולטורי שיכול למחוק את השוק שלה בהודעה אחת. שתיהן נקראות סייבר, ומבחינה עסקית אין ביניהן שום דמיון.
למה ההגנה תמיד יקרה יותר
יש כאן אי סימטריה מובנית שלא ניתן לתקן. התוקף צריך למצוא חור אחד, המגן צריך לסתום את כולם. התוקף בוחר מתי לפעול, המגן צריך להיות ער כל הזמן. התוקף יכול לנסות אלף פעמים ולהיכשל בלי מחיר, המגן צריך להצליח בכל פעם.
מכאן נובע שינוי תפיסתי שהשתרש בעשור האחרון: במקום להבטיח שלא ייכנסו, מניחים שכבר נכנסו. הגישה הזו מעבירה את מרכז הכובד מהמניעה לזיהוי המהיר ולצמצום הנזק, והיא הסיבה לצמיחה של תחומי הניטור, התגובה לאירועים והשחזור. ארגון בוגר היום נמדד פחות בשאלה האם נפרץ ויותר בשאלה כמה זמן לקח לו להבין ומה הצליח למנוע.
ולכן גם התקציבים מתנהגים כפי שהם מתנהגים. הוצאות ההגנה גדלות בהתמדה בכל שנה, גם כשאין אירוע, מפני שהן מנסות לכסות שטח שהולך וגדל. ההוצאה ההתקפית מרוכזת אצל מעט לקוחות ותלויה בהחלטה מדינית. זה ההסבר לכך שהכסף הגדול בשוק ההון נמצא בצד ההגנה, גם אם הכותרות הדרמטיות מגיעות מהצד השני.
