מרוב חוקים נוצרים כל החורים

ארגונים מחזיקים מערכות של פיירוול המתפקדות כמו שומר בקניון - הן מחליטות את מי להכניס ואת מי לא. אלא שבעוד שבקניון יש לשומרים כללים ברורים מאוד את מי להכניס (אותם אסור, כמובן, לגלות מטעמי פוליטיקלי קורקט), הרי שמערכת פיירוול בארגונים גדולים יכולה לכלול מאות רבות של כללים. "כל חברה מתקשרת עם כל מיני סוגים של גופים, סניפים, לקוחות, שותפים, כשבכל רגע נקבעים כללים חדשים שמתאימים למצב של החברה באותו זמן. כך נוצרים כללים על גבי כללים, וכשיש יותר מדי כללים לא מנוהלים, נוצרים חורים באבטחה", מסביר יובל בר-און, מנכ"ל חברת אלגוסק (AlgoSec). את החורים הללו מנצלים הקודים הזדוניים.

קיר מלא חורים

ממה יכולים להיווצר החורים? מהטעויות הטיפשיות ביותר. למשל, טעות הקלדה בהגדרת הכתובת שלה מותר להיכנס. או אם לדוגמה נותרה בעינה הרשאה לחברה ששותפה בפרויקט מסוים לגשת למידע בארגון למרות שהפרויקט כבר נגמר. בר-און: "בסופו של דבר הקיר המגן שלנו כל כך מלא חורים, שהוא כבר לא מגן בכלל. זה כאילו ניסינו להגן על עצמנו עם רשת".

" מי כותב את הכללים הללו ומדוע הוא אינו יכול לעקוב אחריהם?

"ישנם עובדים במחלקת האבטחה שכל תפקידם הוא לכתוב ולנהל את החוקים הללו, והם אכן עוברים על החוקים ומדללים את אלה שנראים חשודים, אבל בין החוקים שלא נראים חשודים, כמעט בלתי אפשרי לגלות בעין איזה משרת את הארגון ואיזה לא. על גבי מסך מחשב ניתן לראות רק 30 חוקים מתוך מאות, ואין דרך לדעת מה הקשר ביניהם.

לדברי בר-און, אלגוסק פיתחה פיתרון לבעיה: "המערכת שלנו מנתחת את החוקים ובוחנת איך עובדים מספר חוקים במשולב. היא לוקחת בחשבון את מבנה הרשת, טבלאות ניתוב, רואה מתי לגורמים ששייכים לרשת החיצונית יש גישה למערכות הנחשבות פנימיות ומזהה כתובות שהן לא חלק מכתובות ה-IP הרגילות של החברה. את זה מציפים ושואלים את אנשי האבטחה.

"מספר הקשרים בין חוקים שצריך לבדוק הוא בערך 10 בחזקת 30. אם מערכת מחשוב רגילה הייתה צריכה לבדוק את כולם, זה היה לוקח שנים. אנחנו הצלחנו ליצור סדרת אלגוריתמים שמאפשרת לקצר את זמן החישוב לדקות. ישנן תוכנות שנועדו לתקן חלק מהבעיות הללו באופן גורף ואוטומטי אבל התיקון הוא סוג של פלסטר על חור שהוא הרבה יותר גדול ממנו".

באשר למתחרים, ישנם עוד גופים שתפקידם לאתר חורים בפיירוול, אך לדברי בר-און כל אחד פועל בנישה מעט אחרת: "המוצר שלנו הוא נוח וקל לשימוש והטמעה. אפילו חברות הייעוץ לאבטחה כמו KPMG, שמוזמנות על ידי החברות לבדוק אם המערכות בטוחות, עושות שימוש בטכנולוגיה שלנו. מלבד KPMG נמצאים בין לקוחות החברה גם PWC, סיסקו, CA, אינטל ובסך הכל יש לה מעל 100 לקוחות, רובם מחו"ל".

רק אנשים נחמדים

אלגוסק נוסדה ומנוהלת על ידי בר-און, שהיה מראשוני קומברס ("כשהיו לה עשרות עובדים בלבד ואפס מכירות. ראיתי אותה צומחת כל הדרך לחברה בינלאומית, ועושה את הדברים הנכונים יותר ופחות") ואחר כך היה ממייסדי ומנכ"ל אקטליס, חברת תקשורת שגייסה 75 מיליון דולר. בר-און: "הבאתי את החברה מאפס לגיוס כזה ול-140 עובדים. ניהלתי אותה בקליפורניה אך המשפחה הייתה בארץ, אז החלטתי לחזור". המוצר של אלגוסק פותח על בסיס טכנולוגיה של דר' אבישי וול ממעבדות בל בניו-ג'רזי.

בר-און הוא גם המשקיע העיקרי באלגוסק, שכבר הגיעה כאמור למכירות. הוא מסרב למסור את היקף המכירות אך מעדכן שמדובר בצמיחה של פי 3 משנה לשנה, והחברה רווחית. לכן בר-און לא מזדרז כרגע לגייס הון פרטי נוסף, אך מזכיר אפשרות של הנפקה ציבורית בסוף 2009.

אחד הדברים שלמד מקומברס על דרך השלילה היא ההשקעה באיכות, אומר בר-און: "בתחילת הדרך היא יצאה עם מוצרים שהיו מפילים חברות. זה לא הפיל אותה, כי הייתה לה הנהלה טובה, יכולת פיננסית ועובדים מצוינים, אבל מזה הבנתי שאם לא משקיעים באיכות כבר בהתחלה - ובדרך כלל זה לא בראש סדר העדיפויות - אז משלמים על כך מחיר הרבה יותר גבוה בהמשך. ביצענו מראש בקרת איכות צמודה והכנסנו מנגנונים שמאפשרים לתקן מהר את הבעיות אם הן עולות, בלי בהכרח להטיס צוות מפתחים אל הלקוח.

"מקומברס גם למדתי כמה חשוב שלחברה יהיו תמיד משאבים פיננסיים. בתחילת חיי החברה היה שלב שבו כל חודשיים היו אוספים את כל העובדים ואומרים שנותרו משאבים להפעלת החברה לעוד כמה חודשים - וכולם מאוד שמחו לשמוע את זה". בצד החיובי בר-און לקח מקומברס את מתן ההזדמנות לצעירים, את יכולות שימור העובדים ואת יכולות השיווק.

אגב שימור עובדים, בדף הפרטים ששולחת אלגוסק על עצמה היא מבהירה כי "אנחנו מעסיקים רק אנשים נחמדים". פחות או יותר התיאור האחרון שתמצאו במודעות הדרושים של החברות האחרות. בר-און רומז שהקרנות מהן גייס בארה"ב חששו ש"נחמד" עלול להיתפס כלא תחרותי מספיק, טעות גדולה לדעתו: "ההצלחה של החברה מושתתת על איכות וגם עבודת צוות. אנשים נחמדים הם אלה שמשאירים את האגו בחוץ כשהם נכנסים לחדר ובוחנים רעיונות לגופם. זו הדרך גם לשימור העובדים הטובים, כי כשכולם נחמדים אז גם יותר כיף להם". ואיך מזהים את הנחמדים? שואלים אותם, ולפעמים גם משנים אותם תוך כדי תהליך. בר-און: "במקום להיות פוליטיים וערמומיים אנשים מתאימים את עצמם. במקום נחמד הם גם רוצים לשחק לפי הכללים".