קומנדו סייבר: ציידי הבאגים של ענקיות הטכנולוגיה
בנוף הדיגיטלי המשתנה במהירות, צומחת מתוך הצללים של פיתוח התוכנה יחידת עילית מתמחה: חוקרי האבטחה; הם פועלים כ"יחידות לוחמה דיגיטלית" הבוחנות שירותים דרך השאלה איך אפשר לנצל אותם לרעה, לפרוץ אליהם ולחשוף פרצות; הדוחות והחשיפות שלהם מסייעים לחברה לצבור יוקרה, להעלות את ערך המותג ולבנות לה תדמית סמכותית בשוק צפוף; "זו עבודה כבדה מאוד מבחינה מנטלית, הביטחון העצמי שלך יכול לצנוח"
"ההסתכלות שלנו באמת שונה מזו של מפתח", אומר רועי ניסימי, חוקר אבטחה ראשי בפלטפורמת הגנת האפליקציות מבוססת הענן אורקה סקיוריטי (Orca Security). "מפתח מסתכל על השירותים ושואל את עצמו: 'איך אני יכול להשתמש בזה לטובתי, לתכנות שלי, למוצר?'. אנחנו שואלים: 'איך אפשר לנצל לרעה את השירותים האלה כדי לפרוץ למחשבים של אנשים ולגנוב את המידע הרגיש שלהם?'".
בנוף הדיגיטלי המשתנה במהירות, צומחת מתוך הצללים של פיתוח התוכנה יחידת עילית מתמחה: חוקרי האבטחה. בניגוד למפתחים המתמקדים בבניית מוצרים, חוקרים אלו פועלים כ"יחידות לוחמה דיגיטלית", הבוחנות שירותים דרך השאלה איך אפשר לנצל אותם לרעה, לפרוץ אליהם ולחשוף פרצות - עוד לפני שמישהו אחר יגלה אותן.
כמה תקריות מהימים האחרונים - כמו המקרה שבו מודלים של OpenAI ואנתרופיק "ברחו" בטעות לאינטרנט הפתוח, דווקא תוך כדי בדיקות של חברת אבטחה ישראלית - הזכירו לכולם שיש שם, מאחורי הקלעים, יחידות שלמות שעובדות בלי הרבה רעש. בדרך כלל מדובר בצוותים קטנים, של חמישה עד שבעה אנשים בערך, שכל תפקידם הוא לחשוב כמו האקרים - ולפעמים ממש להתחזות להם - כדי לתפוס את הפרצות לפני שמישהו פחות ידידותי יגיע אליהן ראשון.
"בחברת סייבר שיש לה מוצר סייבר, 90%-95% מעובדי המו"פ הם אנשי תוכנה,", ממשיך ניסימי. "רק כ-5% הם אנשים שבאמת מכירים סייבר לעומק, כאלה שיכולים לחקות את ההאקר ולמצוא את מה שההאקר היה מוצא. הם יודעים איך לעקוב אחר עקבותיו, כי הם יודעים איך באמת לפרוץ למערכות ולמצוא פגיעויות ווקטורי תקיפה".
"מחקר הוא כלי להעמקה", מסביר אופיר חמם, ראש תחום אבטחה התקפית בפלטפורמת האבטחה ההתקפית מבוססת ה-AI האייג'נטי, Terra Security. "זהו כלי שמיועד לשימוש כשרוצים לטפל במשהו מהשורש" - ולשם כך נדרשת השקעה משמעותית, כדי להגיע "עמוק ככל שניתן".
חזית יחסי הציבור
מאפיין נוסף של קבוצות חוקרי האבטחה הוא שהן לרוב ניצבות בחזית יחסי הציבור של החברה: הדוחות והחשיפות שהן מפרסמות מסייעים לחברה לצבור יוקרה, להעלות את ערך המותג ולבנות לה תדמית סמכותית בשוק צפוף.
כך למשל פרסמה לאחרונה ענקית הסייבר הבינלאומית Palo Alto Networks ממצאים מחטיבת המחקר שלה, Unit 42, שחשפו כי תוקפים משתמשים כיום ב-AI מתקדם כדי לזהות פגיעויות אבטחה ולנצל אותן בתוך דקות ספורות. חברת הסייבר הישראלית Zenity Labs חשפה לאחרונה סוג חדש של פגיעויות המשפיעות על דפדפנים מובילים מבוססי AI, ובתחילת השבוע פרסמה חברת ה-DevOps הישראלית JFrog Security כי צוות האבטחה שלה זיהה התקפת שרשרת אספקה שכיוונה לספריית זיכרון המטמון הפופולרית npm.
"ישנם תחומי מחקר רבים ושונים בסייבר, פשוט כי קיימות רמות שונות של הגנה שאולי תרצה להתגונן מפניהן", מסביר יונתן אלקבץ, חוקר אבטחה ב-Semperis, שצוותו עורך מחקר ממוקד על ספקי זהות באקו-סיסטם של מיקרוסופט. "אנחנו יודעים שיש משחק שלם של צוות אדום מול צוות כחול", הוא מציין, בהתייחסו לסימולציות תקיפה שנועדו לשפר את ההגנות.
מעבר לכך, חוקרי האבטחה מתפרשים על פני מגוון רחב של התמחויות: מחקר פגיעויות ופיתוח exploits, הנדסה לאחור, אבטחת ענן וקונטיינרים, אבטחת AI ולמידת מכונה, קריפטוגרפיה ועוד. וכפי שמסכם אלקבץ, "באזורים האלה יש נישות רבות".
הצוות: יחידה קרבית
המציאות המואצת שמטלטלת את עולם הסייבר דורשת יותר ויותר מצוותי מחקר האבטחה, הממלאים תפקיד בלתי נפרד בביצור קווי ההגנה. "צוות המחקר - אנחנו יחידת קרב", אומר ניסימי, שעובד בצוות של שישה עד שבעה אנשים.
כשחקן כדורגל לשעבר, ניסימי מדמה את הדינמיקה של צוות מחקר אבטחה מובחר לזו של פריז סן ז'רמן, זוכת ליגת האלופות: "אין להם סופרסטארים. הקבוצה כל כך חזקה יחד כי כולם אוהבים אחד את השני, מכבדים אחד את השני ורוצים בצמיחה אחד של השני - וזה מה שבונה הצלחה. הצוותים הטובים ביותר הם לא אלה עם השחקנים הטובים ביותר, אלא אלה שבהם כולם עובדים יחד כקבוצה".
אלקבץ, המנהל צוות של חמישה אנשים, מציין כי "לכל אחד מהם יש התמחות בתחום שונה". כשנכנסת משימה חדשה, הוא מסביר, הפעולה הראשונה היא "לחשוב מי הם חברי הצוות שיעשו זאת בצורה הטובה ביותר".
חמם מתאר זרימת עבודה דומה בצוותו ב-Terra Security, המורכב אף הוא מחמישה חברים. "המשימה הראשונה שלנו כשאנחנו ניצבים בפני שאלה היא בעצם לנסות להסביר אותה לעצמנו קודם," הוא אומר. "מה המקסימום שאנחנו יכולים לעשות כאן, ואיפה בזרימה הזו סוכנים (agents) צריכים להשתתף?". האופי ה"בוטיקי" של צוותים רזים כאלו, הוא טוען, נושא בחובו יתרונות וחסרונות: "היתרון הוא שאנחנו עושים הכול מבחינת מחקר בתוך הארגון, וצומחים כאינדיבידואלים בצורה משמעותית".
תחרות בתוך המגזר
כדי לשמור על שיתוף הפעולה בסביבה טעונה כזאת, מספר ניסימי, הצוות משקיע הרבה בטיפוח תחושת קהילה. "יש לנו ימים ייעודיים שבהם אנחנו כקבוצה פשוט מתמקדים ומנסים לפרוץ לאותה טכנולוגיה ולמצוא פגיעויות", הוא אומר. "עשינו את זה בחודש שעבר והשגנו כמה אלפי דולרים ב-bug bounty" - שאותם, לדבריו, הצוות יתרום.
אלא שרצון טוב זה לא בהכרח משתרע על כלל המגזר. למעשה, האויב הגדול ביותר של חוקר אבטחה יכול להיות חוקר אחר. "זה באמת עניין של כסף ואגו", מסכים אלקבץ, בהתייחסו לדחף של חוקרים מסוימים לפרסם את הפריצות והאקספלויטים שלהם. "אנשים רוצים להוכיח את עצמם ולהראות שהם פרודוקטיביים. הם רוצים לפרסם את הפוסט ההוא בלינקדאין שאומר 'תראו, הצלחתי'".
בנקודה הזאת אין הסכמה גורפת. חמם טוען שיהירות כזו נדירה יחסית: "אני לא מרגיש את זה, אבל זה רק אני. כשאני רואה את האנשים שמתרברבים, הם בדרך כלל פחות טכניים מאלו שמגיעים צנועים מאוד. מה שאני אוהב בקהילת המחקר הוא שהיא קהילה גלובלית, שכולם מגיעים אליה כל כך צנועים. יש קהילה פתוחה מאוד של למידה אחד מהשני".
היתרון הישראלי
בענף ההייטק הישראלי, ובמיוחד בסייבר, כולם בעצם מכירים את כולם. למרות שהתעשייה ענקית, הגודל של המדינה והרקע הצבאי המשותף שרוב אנשי המקצוע עברו הופכים את הזירה לעולם קטן - ובדיוק בגלל זה, גם למקום שבו מתפתחת תחרות ידידותית באופן טבעי.
אלקבץ מציין כי הצוות שלו מורכב מאנשים ש"יש להם פחות או יותר את אותו רקע", שהגיעו היישר מצה"ל כ"מגיני סייבר או תוקפי סייבר".
הרקע הצבאי המשותף מספק לצוותי מחקר האבטחה בישראל קרקע אימונים ייחודית ובעלת יתרון. "אני חושב שהדבר האחד שצה"ל מלמד אותך הוא להציב את הרף גבוה מאוד," ממשיך אלקבץ, שמתאר גם תחושת מסוגלות: "היכולת לומר, 'אני יכול להשיג את זה', 'אנחנו יכולים לעשות את זה'". גם כשמתפרסמת פגיעות חדשה, הוא מספר, התגובה בצוות היא: "בסדר חבר'ה, יש לנו כמה ימים לכסות את זה מקצה לקצה, בואו נעשה את זה".
ניסימי מציין כי 90% מהצוות שלו מגיעים מרקע צבאי, בעיקר מיחידה 8200. "אני חושב שמה שהוטמע במנטליות שלי הוא: אתה יכול לעשות הכל, ואתה יכול לעשות הכול מהר, עם מינימום משאבים. אנחנו לא מתלוננים, אנחנו עושים דברים מהר. אנחנו נשארים חיוביים וסקרנים". בסופו של דבר, הוא מוסיף, "אנחנו לוחמים דיגיטליים - זה מה שאנחנו עושים".
עם זאת, המעבר למגזר הפרטי אינו חף מתקלות. "אתה לוקח מישהו שמגיע עם הרבה ידע טכני וניסיון, אבל אתה גם חייב לעשות לו התאמה לעולם העסקי, כי הצבא והעסקים לא עובדים אותו דבר," מסביר חמם.
עידן ה-AI
כמו בכל העולם העסקי, גם התחום הזה השתנה עד לבלי היכר בשנים האחרונות עם הופעת ה-AI, שהאיצה משמעותית את קצב המחקר (וגם התקיפה), ובסופו של דבר שינתה מהיסוד את השגרה היומיומית של חוקרי האבטחה. "אנחנו עובדים מהר יותר בגלל AI," אומר ניסימי. "צריך סיבה ממש טובה כדי לגדול בכוח אדם".
"בעבר, רוב הזמן שלנו הושקע ממש בכתיבת קוד," מציין אלקבץ. "לא כתבתי שורת קוד בשנה וחצי-שנתיים האחרונות, לדעתי. אין צורך - AI יכולה לכתוב קוד הרבה יותר טוב ממני".
השינויים האלה מעלים בהכרח שאלות גם לגבי הגודל העתידי של צוותי מחקר האבטחה. לפי אלקבץ, "AI לעולם לא יוכל להחליף אינטראקציה אנושית" - הוא מתאר כיצד פריצות דרך אורגניות רבות מגיעות מ"ישיבה בחדר עם אדם אחר ופשוט להגיד, 'היי, נראה לי שמצאתי משהו'". חמם מוסיף זווית דומה: "מודלים של AI מאומנים על נתונים אנושיים. כדי שהמודל יהיה טוב יותר, עלינו לאמן אותו מחדש על מאמרי מחקר נוספים שבני אדם כותבים".
המחיר הנפשי
מלבד האתגרים הטכניים והקיומיים שמציב ה-AI, חייו של חוקר אבטחה מביאים איתם גם שיקולים ארגוניים ופסיכולוגיים. דוגמה חוזרת היא הקושי להעביר להנהלת החברה את הערך שבמחקר: להסביר למה צוות צריך להשקיע "שבועיים, חודש של מחקר בתחום ספציפי" יכול להיות קשה למכירה.
"בחברות הקודמות שעבדתי בהן היה הרבה מיקרו-ניהול מהדרג הפיננסי", נזכר חמם. "היית צריך לנצל כל שעה בצורה שמכניסה כסף לחברה, וכשאתה עושה את זה - אין לך זמן להעמיק".
באופן כללי, "זו עבודה כבדה מאוד מבחינה מנטלית, כי השיאים גבוהים ונקודות השפל נמוכות", מודה ניסימי. כאשר חוקר חווה תקופה של "בצורת" בממצאים, הוא מוסיף, "הביטחון העצמי שלך יכול לצנוח".
