לורם איפסום דולור סיט אמט, קונסקטורר אדיפיסינג אלית לפרומי בלוף קינץ תתיח לרעח. לת צשחמי צש בליא, מנסוטו צמלח לביקו ננבי, צמוקו בלוקריה.
רבים שואלים אותי כיצד ניתן להיכנס לעולם הסייבר ובפרט לתחום ה-Penetration testing אך לפני שאענה על השאלה הזו ואפרט לכם את הדרך שעברתי ואספר לכם קצת על עצמי ועל הניסיון האישי שלי.
שמי שי אלפסי, עובד בתעשיית הסייבר מזה כבר כ 7 שנים התחלתי את דרכי בחברת אבנת בתור פנטסטר תשתיתי ואפליקטיבי ובמהלך ה-3 שנים שלי באבנת התעסקתי בפיתוח תרחישי תקיפה לאחד ממוצרי החברה אימנתי גופים שונים בארץ ובעולם ביניהם – רפאל,תעשייה אווירית, יחידות מודיעין בצבא וכמעט כל קבוצת מחקר והגנה של כל הבנקים בישראל.
בשוק הבינלאומי עבדתי עם צבא גרמניה, יחידות הביטחון הלאומי של סינגפור, כתבתי את תוכנית המחקר וההגנה של משטרת יפן לקראת אולימפיאדת טוקיו 2020 כמו כן אני שותף בכתיבת תוכנית הסייבר הלאומית של מדינת אורוגוואי ועוד.
לאחר שסיימתי את דרכי בחברת אבנת עברתי לכיוון הסייבר ההתקפי עבדתי בחברה שאת שמה לא ניתן לומר כמובן שלא אוכל לפרט אודות התפקיד שלי שם. הדבר היחיד שכן אוכל לומר שזוהי חברה שמתעסקת בטכנולוגיות מאוד מסווגות שמעטים זוכים להיחשף אליהן וכמו כן גם הידע שצברתי שם תרם לי רבות בהיבטים שונים.
כיום אני חוקר בכיר ב- ReasonLabs ששם עיקר ההתעסקות שלי הוא מחקר של וירוסים, נוזקות וחולשות שונות מאחר והחברה עוסקת בבניית אנטי וירוס.
בתור מרצה בעל הרבה שנות ניסיון אני תמיד שומע תלמידים שחוזרים ואומרים את המשפט “אני רוצה לעבוד בסייבר” חשוב לציין סייבר הוא לא תחום הוא ענף, אותו ענף מכיל עשרות מקצועות מאנליסטים,בודקי חוסן,חוקרים הגנתיים,חוקרים התקפיים,חוקרי מודיעין ומקצועות ניהול שונים.
עולם הסייבר כפי שאתם שמים לב בנוי מהרבה מאוד שכבות ומקצועות במאמר זה אני אתייחס לתפקיד אחד המהווה את הבסיס החזק ביותר שממנו ניתן לצמוח לכל תפקיד מתקדם אחר בתוך הענף הגדול ומאסיבי הזה.
אי שם בשנת 2014 השעה הייתה כמעט 11 בלילה ושמעתי זמזום של הודעה נכנסת בפייסבוק אותה הודעה הייתה תחילת המסע שלי בעולם ה Penetration testing.
ההודעה נשלחה על ידי בחור בשם אביעד שאז היה ראש צוות בחברת אבנת הוא פנה אלי ואמר שראה אותי כותב באיזה פורום ואהב את מה שכתבתי ושיש תקן ג’וניור פתוח ואם ארצה לנסות להגיע להתראיין ואכן שלחתי קורות חיים עברתי ראיון עם אביעד ועם סמנכ”ל הטכנולוגיות רוני והתחלתי את דרכי בחברה.
בשנת 2014 תפקידים מהסוג הזה היו פחות מוכרים והיה קושי מאוד גדול מצד חברות סייבר שמתעסקות בייעוץ סייבר לגייס מועמדים, אישית אעיד על עצמי שהתחלתי את דרכי בעיקר עם ידע בהאקינג תשתיתי וזה בהחלט היה מספיק אז על מנת להיכנס.
עם השנים הדברים החלו להשתנות מאחר והתחום האפליקטיבי החל לתפוס תאוצה בצורה לא נורמלית ונוצר ביקוש מאוד גדול לבודקי חוסן אפליקטיבים אבל זה לא נעצר שם בסופו של יום מי שמכתיב את הדרישות לאנשים אלו לא חברות הסייבר עצמן אלה הלקוחות ואופי הפרויקטים אשר נדרש מאותן חברות סייבר לבצע.
כתוצאה מכך חברות סייבר כיום החלו לחפש מועמדים בעלי יכולות ורסטיליות מאחר שחברות ייעוץ סייבר פועלות כחברות שירות הן חייבות לשמור על גמישות ביכולות שלהם על מנת לגשת לפרויקטים ולהישאר רלוונטיות בתחרות שהיא קשה מאוד ביניהן.
כפי שכתבתי למעלה כיום חברות סייבר מחפשות כוח אדם ורסטילי אשר יהיה אפשר להשתמש בו למגוון רחב של פרויקטים, בחלק זה אני אתייחס ל 4 יכולות שצריכות להיות לכם כדי לענות על הדרישה של 90% מחברות הסייבר.
פייתון כיום נחשבת אחת מהשפות הכי נדרשות בשוק ההייטק ובשוק הסייבר בפרט מאחר וזו שפה שניתן להשמיש איתה יכולות בצורה קלה וזריזה, אתן דוגמא פשוטה מהקריירה שלי באבנת כאשר הייתי צריך לכתוב אוטומציה לתקיפות סייבר מורכבות שצריכות לפעול בלחיצת כפתור.
מה שהיינו צריכים לעשות כחלק מהמחקר והפיתוח הוא לחקור תקיפות להבין כיצד הן עובדות ולכתוב אוטומציה מלאה בפייתון כדי לייצר סימולציה של ההתקפה על גבי רשת ולבחון את יכולות ההגנה של הצוותים הכחולים (צוותי מחקר הגנתיים).
פייתון במקור היא שפת סקריפטינג אך עם הזמן היא מתחזקת ותופסת יותר משקל וככל שהמשקל שלה גדל כך הביקוש של אנשים בעלי ידע ושליטה בשפה עולה, לכן פייתון היום הוא כלי המהווה יתרון גדול למועמד.
מגוון הלקוחות הגדול של חברות ייעוץ סייבר הינו בחלקו הגדול לקוחות בעלי מבנה תשתיות גדול אשר מצריך מהן בדיקות של הרשת הארגונית על מנת לדמות תקיפות פנימיות וחיצוניות, ידע בהאקינג תשתיתי הינו ידע חשוב מאוד מאחר והוא בא לדמות חדירה בלתי מורשית לתוך רשת ארגונית, השתלטות מלאה על כלל הארגון ובדיקה של חולשות ופגיעויות קיימות אשר יכולות לסכן את ההמשכיות העסקית של ארגון.
מטרת ההאקינג התשתיתי היא להצביע על אותן פגיעויות ברמת רשת המחשוב הארגונית אשר יכולות לסכן את הנכסים הדיגיטליים של הארגון.
במקרים מסוימים ישנה רגולציה אשר מחייבת ארגונים שונים (ביטחוניים,פיננסים,ממשלתיים) לבצע בדיקות מסוג זה על בסיס שנתי\חצי שנתי על מנת לאמוד את רמת האבטחה.
חשיבות ההאקינג ובדיקות החוסן התשתיתי גבוהה מאחר והיא מסוגלת להתחבר ליכולת Web שמיד נתייחס אליה.
כפי שכולנו יודעים ורואים היום, כל שירות שקיים נתמך על ידי אפליקציות Web החל מאתר האינטרנט של הבנק ועד קניות באינטרנט ועוד המון שירותים כאלו ואחרים שנועדו לעזור לנו לקצר זמני המתנה או הגעה פיזית למוקדי שירות.
כחלק מהנגשת כל שירות אפשרי דרך אפליקציית Web בשנים החולפות ולאחרונה בעקבות השינויים הטכנולוגיים הגלובליים למעבר מואץ לטכנולוגיות Web המתרחשים כתוצאה מהקורונה, הביקוש לבודקי חוסן אפליקטיבים עלה באופן קריטי מאחר וכל חברה או ארגון שחשוף החוצה רוצה לוודא שהוא חושף אך ורק את מה שהוא צריך ואין סיכון כזה או אחר למידע אשר נמצא באפליקציה.
דוגמאות לכוחו האדיר של הידע בבדיקות חוסן אפליקטיביות אפשר למצוא די בקלות מאחר ופריצות לבנקים וחברות ענק ברוב המקרים כיום מתחילות במציאות חולשה כזו או אחרת שמובילה להשתלטות של כל הארגון (פה יכולת ההאקינג התשתיתי מתחברת גם כן).
ניתן גם להוסיף על כך שחברות ענק(Google,Facebook,instagram,Apple) משתמשות בתוכניות Bug Bounty (צייד של פגיעויות וחולשות) ופותחות לציבור הרחב את האפשרות לחפש אצלן חולשות כדי לעזור לייצר אבטחה חזקה יותר ובתמורה משלמות סכומים נדיבים על כל חולשה זה יכול להתחיל מ $100 לממצא ועד ל $1,000,000 תלוי בחומרת הפגיעות.
כחלק ממהפכת המובייל אשר אנחנו חווים בעשור האחרון ניתן לשים לב שהיום כל דבר נהיה נגיש דרך הסמארטפון שלנו, אם אנחנו רעבים נפתח את Wolt אם נרצה לשלם חנייה אז נוכל לעשות את זה דרך Pango אם נרצה להחזיר כסף לחבר נוכל להעביר לו ב Bit ואם נרצה להגיע מקצה העיר לקצה השני נוכל להשתמש ב GetTaxi כדי להזמין מונית.
השינוי החד הזה בעשור האחרון פתח דרישה ענקית לבודקי חוסן בתחום המובייל אשר יוכלו לחפש חולשות ופגיעויות באפליקציות לפני שהן מגיעות ללקוח.
בדיקות החוסן לאפליקציות מובייל הפכו להיות הלחם והחמאה של חברות ייעוץ הסייבר מאחר ואף חברה לא רוצה להסתכן בפגיעה בתדמית או באובדן מידע.
ITSAFE הקימה תוכניות לימודים מקיפות הנותנות מענה לכל המעטפת הורסטילית אשר נדרשת מצד חברות הסייבר, החיבור של המרצים ב ITSAFE לתוך התעשייה מהווה צינור הזנה ראשי שמתעדכן באופן קבוע לשינויים ומחובר וקשוב לדרישות השוק.
מאחר והמרצים ב ITSAFE נמצאים במשרות בכירות בשוק ולהם קולגות רבות, התוכניות של ITSAFE מורכבות באופן כזה שתואם את הצרכים באופן המדויק ביותר והעדכני ביותר על מנת למקסם את סיכויי ההצלחה בכניסה לתחום ה Penetration testing.
לורם איפסום דולור סיט אמט, קונסקטורר אדיפיסינג אלית לפרומי בלוף קינץ תתיח לרעח. לת צשחמי צש בליא, מנסוטו צמלח לביקו ננבי, צמוקו בלוקריה.
הצטרפו לניוזלטר שלנו כדי להשאר מעודכנים בכל מה שחשוב בעולם הסייבר והאבטחה