למה כל כך קשה למצוא אנשי סייבר טובים?

בהגדרה, אי אפשר לייצר אבטחה מושלמת, אבל בהחלט אפשר לייצר אבטחה טובה, אפילו טובה מאוד במאמץ סביר. מדוע, אם כן, מצב האבטחה של תשתיות ושירותים ארגוניים כל כך ירוד? ההסבר שלי לבעיה מצוי בראשיתו של התהליך; מסלולי ההכשרה המקצועיים בתחום אינם מייצרים אנשים המסוגלים להתמודד עם נוף האתגרים הנוכחי, שלא לדבר על מה שיוליד השבוע או החודש הבא. האנשים לומדים להפעיל כלים (במקרה הטוב), הם לומדים לתפור טלאים לפתרונות קיימים ולומדים לחסום איומים ידועים. אין להם את היכולת לשאול לשאלות קשות ולהתמודד עם איומים חדשים או להניע פתרונות יצירתיים חדשים.

בהדמיות שהפעלתי בקורסים הוכחתי כבר כמה פעמים שאיש אבטחה טוב יכול להשיג תוצאה מעולה בעזרת כלים פשוטים, חינמיים ואילו איש אבטחה בינוני ישיג תוצאה גרועה גם אם ישתמש בכלים המתקדמים והיקרים ביותר שבנמצא. חליפת האבטחה הארגונית היא תוצר של האנשים שאחראים עליה ולא של המוצרים שבאמצעותם היא מיושמת. אם אתה מחפש דריסת רגל ראשונה בתחום אבטחת מרחב הסייבר, או אם אתה מבקש לשפר את כישוריך והבנתך את התחום, להלן 10 עצות שיעזרו לך לבחור את מסלול הכשרה טוב:

• לימודי סייבר הם שלב ב' בקריירה

אי אפשר ללמוד סייבר לפני שעברת כברת דרך מסויימת; כדאי לך להכיר היטב (ורצוי מתוך נסיון מעשי) תשתיות תקשורת, שרתים ושירותים ארגוניים, טכנולוגיות אינטרנט ומובייל ורצוי שיהיה לך רקע כלשהו בכתיבת קוד. הנסיון מלמד שלא יהיו כאן קיצורי דרך; לא תוכל לספק אבטחה אמיתית למה שאתה לא מכיר היטב מבפנים. במצב כזה, אם תדרש לגשר על בעיות אבטחה בסביבות שאינך מכיר, תהיה תלוי לנצח בפתרון של גורם חיצוני שאת טיב עבודתו תתקשה למדוד.

• אל תלמד להפעיל כלים, תלמד לעשות לבד, מלמטה

קורסים ומסלולי הכשרה רבים בתחום מלמדים להפעיל כלים של יצרן כזה או אחר. הדבר הזה מרחיק אותך מלהבין את העניין עצמו. התלות בכלים היא רעה גדולה מאוד במקצוע שלנו; כלים מאחרים להתמודד עם איומים חדשים, כלים מנוונים את בעלי המקצוע (מתרגלים להפעיל תפריטים במקום לחקור את התקשורת) וגרוע מכל – הם מייצרים אשליה של אבטחה כי בעלי המקצוע לא יודעים כיצד לבחון אותם. בעולם שנשלט ע"י קוד פתוח וקהילות של מפתחים בהתנדבות, כמעט תמיד הכלי המוצלח ביותר יהיה פיסת קוד קטנה ששוחררה לאחרונה ע"י מישהו מפינה אחרת בעולם. זכור שהקושי הטכני שכרוך בלהפעיל כלי תוכנה כזה או אחר מתגמד לעומת הבנת הטכנולוגיה ויהכולת לבצע על גביה פעולות באופן שאינו תלוי בדבר.

הקלק כאן לפרטים אודות קורס סייבר >>

• הסמכות זה למי שלא יכול להתהדר בידע אמיתי (כן, הנה, אמרתי את זה)

במהלך העשור-וחצי האחרונים פגשתי הרבה מאוד בעלי מקצוע גרועים עם רשימת הסמכות ארוכה. תעשיית מבחני ההסמכה התחילה במחשבה טובה – 'בוא נבחן את הידע של האדם ובמידה והוא ראוי נספק לו הסמכה'. כיום, ניתן לעבור מבחני הסמכה רבים בלי לדעת דבר. אפשר להוריד מאגרי שאלות ותשובות ברשת, לשנן אותם והופ! – יש לך הסמכה. ואם כבר לעשות הסמכה – חפש כזו שתהיה מעשית; הסמכה שתבוק את הידע המעשי שלך (במעבדה, בתנאי אמת) ולא באמצעות מבחן אמריקאי. כמי שיושב בצד של המעסיק בראיונות עבודה, אני יכול לגלות לך שאתה תדרש להפגין ידע אמיתי. מעשי. ההסמכה שלך לא מרשימה אף אחד.

• נשום לינוקס

לינוקס נחשבת למערכת הפעלה של גיקים כבדים, אנשים שיושבים יומם וליל מול המחשב, מוקפים במסכים רבים ניזונים מפיצות וקולה ויודעים לקרוא קוד מכונה. האמת, שזה כבר מזמן לא נכון. אתה יכול להתקין לעצמך ubuntu בעניין של דקות. הרשת עמוסה במדריכים, סרטונים ודוגמאות. אם תשקיע בזה זמן סביר אני מהמר שלא תרצה לחזור למערכת ההפעלה הישנה שלך יותר. ולמה לינוקס? אתה שואל. כי לינוקס היא מערכת ההפעלה הכי מודולרית, הכי מתירנית והכי זריזה להתעדכן שיש. כמות הקוד שכתובה ללינוקס בהקשר של תקיפות והגנות אינה דומה לאף מערכת אחרת. זו גם הסיבה שכל סביבות התקיפה, כמו גם מוצרי ההגנה פועלים על תשתית של לינוקס.

• אתה חייב ללמוד קוד

אנשי IT מפחדים מקוד כמו מאש. בכל פעם שפתחתי קוד מול כיתה של מנהלי רשתות ראיתי את האימה בעיניים שלהם. האמת היא שאנשי IT לא יכולים להרשות לעצמם לא לדעת קוד. אפילו בשביל לנהל רשתות צריך לדעת קוד. מי שאינו שולט ב- powershell בסביבת מיקרוסופט מגביל את היכולות של עצמו מאוד. בעולם אבטחת המידע העניין רק מחריף; אתה תדרש לכתוב סקריפטים, אתה תדרש "למחזר" קוד שכתבו אחרים ותדרש לקרוא קודים של תקיפות ו-exploits. ואם כבר ללמוד קוד – אז לך על python, כי זו ללא ספק השפה הקלה והנפוצה ביותר בעולם התוכן שלנו.

• When you have to shoot… shoot! Don't talk

מסלול ההכשרה שאתה רוצה לבחור הוא התחליף הכי קרוב שיש לדבר האמיתי – עבודה מעשית. בקורסים רבים בעולם שלנו מרצים נשארים בטריטוריה נוחה של "לדבר על" במקום "לעשות את"; במקום לשמוע סיפור על פריצה לבנק עדיף לבצע תקיפה דומה בכיתה. קורסים של Certified Ethical Hacker מציגים מאות כלי פריצה בפורמט של צילומי מסך ע"ג מצגת. ככה לא לומדים כלום. אני מאמין שבמקום לדבר על מאות כלים עדיף ללמד אחד או שניים, אבל לעומק.

• קשה באימונים, קל בקרב

חלק מאוד משמעותי ביכולת שלך להתפתח תלוי בסביבת התרגול שתבנה לעצמך. היות ותקיפה או הגנה על שירות מסויים מחייבת היכרות אינטימית עמו, אתה תדרש להתקין אותו בסביבת התרגול; במהלך ההכשרה שלך אתה תרצה להתקין שרתים ושירותים שונים – בפלטפורומת וסביבות מגוונות, מסדי נתונים רבים, שרתי אינטרנט, שרתי proxy, שרתי dns, שרתי vpn, מערכות סינון תוכן וכו'. במסלול הכשרה טוב, ינתן דגש מיוחד לסביבת התרגול של התלמידים. סביבה זו מצריכה חומרה חזקה (בעיקר זיכרון) ואחסון מקומי מאוד מהיר שיאפשר עבודה במקביל על מספר גדול של מכונות וירטואליות.

• אין קיצורי דרך

חפש קורס ארוך. אין הרבה טעם ללמוד תקיפה ללא הגנה, או ללמוד הגנה ללא תקיפה. שני עולמות התוכן האלו משלימים. אם הקורס יהיה טוב, זה לא משנה מה אורכו – הוא תמיד ירגיש קצר מדי. אף אחד לא הפך להיות hacker גדול או גורו ב-security בסיום קורס. אל תאמין למי שמוכר לך אשליה כזו. תתכונן לדרך ארוכה ורצופת אתגרים. ההישג הכי גדול של מסלול הכשרה יהיה לפתוח לך הרבה מאוד דלתות לעולמות תוכן שלא הכרת (כדי שתמשיך ותעמיק בהם אחר כך), לתת לך תיאבון לדעת עוד וללמד אותך ללמוד לבד.

• בחר את המרצה שלך בקפידה

בסופו של דבר, גם אם תוכנית הלימודים נראית מדהימה, הציוד בכיתה הוא המילה האחרונה, והמחיר נראה סביר – חווית הלמידה שלך תלויה מאוד באדם שניצב מול הכיתה, במרצה. אני מופתע כל פעם מחדש כשתלמידים נרשמים לקורס בלי לשאול ולבדוק מי המרצה. זה מתכון בטוח להפתעות. "לבדוק" זה לא לשמוע מאנשי המכירות שהוא תותח, "לבדוק" זה להיכנס לשיעור נסיון, אולי שניים ולהרגיש שאתה רוצה לשמוע עוד, אוהב את הגישה שלו ומתחבר לטכניקת הלימוד שלו.

• תגיד לי מי יושב לידך ואגיד לך אם היו מבחני כניסה

לאיכות התלמידים שחולקים עמך את ה"מסע" השפעה גדולה על חווית הלמידה שלך. תלמידים שוכחים מה הערך המוסף של כיתה "חזקה". מנסיוני, ההשפעה של איכות האנשים שחולקים עמך את הקורס על חווית הלמידה היא מכרעת. "אידיוט" אחד בכיתה (סליחה על גסות הרוח, אבל זה מה שהוא לפעמים) יכול לקלקל לכל היתר את כל הקורס. אני מאמין שכיתות צריכות להיות הומוגניות ברמה (על מנת שיהיה להם קצב קליטה דומה) והטרוגניות ברקע ובנסיון (על מנת שיוכלו להעשיר זה את זה מניסיונם).

הכותב הוא חוקר Security וייזם סדרתי. כיום, מנהל תחום הסייבר בג'ון ברייס מכללת הי-טק, יועץ אבטחת מידע ומנכ"ל הסטארט-אפ ineze.