היום הכריזה חברת סנקטום הישראלית על גיוס נוסף, ויש להודות כי הגיוס הזה יוצא
דופן מכמה בחינות. ראשית, היקף הגיוס - 30 מיליון דולר - הוא עדיין עוף מוזר
במקומותינו, מוכי הפיטורים והקיצוצים. שנית, ובוודאי חשוב יותר, מדובר, ככל
הידוע, בגיוס הגדול ביותר של חברת סטרט-אפ ישראלית העוסקת בתחום האבטחה בשנתיים
האחרונות.
סנקטום עוסקת בהגנה על אתרים תוך התמקדות בנקודת המפגש שבין הגולש לבין עמוד
ה-HTML, שאותו הוא רואה על המסך. "אנחנו לא מטפלים בפרוטוקולים שמקשרים בין
משתמשים באינטרנט, כמו דואר אלקטרוני, העברת קבצים, מדיה זורמת וכדומה", אומר
גילי רענן, מנכ"ל ומייסד משותף בחברה.
"אנחנו גם לא נכנסים לתחומים שקשורים יותר לניסיונות של גורמים לא רצויים לפגוע
באתרים באמצעות התקפות על השרת, כדוגמת Denial Of Service ("הפצצת" האתר בכמות
עצומה של פניות בו זמנית, במטרה לגרום לעומס שיפיל אותו - ג.נ), הדבקה בווירוסים
או שיטות אחרות לפגיעה באתרים שנגדן יש פתרונות מסוג Firewall ודומיו".
אז מה כן עושים בסנקטום? כדי להבין את הטכנולוגיה שמאחורי מוצרי החברה, יש
לבחון את פעילותו של אתר מסחר אלקטרוני ממוצע. מי שבנה אתר מסחר אלקטרוני כבר
מכיר את תסריט האימים: בתחילת השבוע הלקוח מטלפן בזעם וטוען כי האתר אינו מאובטח.
לראיה, הוא מציג את צבר ההזמנות של סוף השבוע האחרון, שבו הוזמנה סחורה שמחירה,
על-פי האתר, עשרות אלפי דולרים. בפועל, חויבו המזמינים, אם בכלל, בסכום נמוך
בהרבה. איך זה קורה? כמעט מדי שבוע מתגלה תקלת אבטחה באחד מיישומי השרתים של
החברות הגדולות, וגורמים בתעשייה מרבים להציג דוגמאות הנוגעות בעיקר ליישומי
מייקרוסופט, אבל לא רק. תקלות אלה גורמות לשינוי, למשל, במחירו של הפריט המוצע,
גם אם הגולש לא קיבל הרשאה לחדור נבכי המערכת העומדת מאחורי האתר.
רענן מספר על מקרה כזה, שלדבריו אף גבל ברשלנות פושעת. אחד ממתכנתי היישומים
באתר של בנק גדול אפשר, בזחיחות הדעת, לשנות את תוכן האתר באמצעות כניסה למצב
"עריכה". הכניסה למצב זה התבצעה, בסך הכול, באמצעות הוספת המילה Debug לפני
כתובת ה-URL של אחד העמודים הפנימיים באתר. "האקר מיומן, ואפילו פחות מכך,
מכיר את קיצורי הדרך ואת הפרצות המקובלות, שאותם מתכנתים משאירים, בכוונה או
בטעות, ומסוגל לנצל אותם כדי להפחית את מחירו של המוצר או אפילו לגרום למחיר
שלילי, שיגרום לזיכוי חשבונו", טוען רענן.
במקרים רבים מופיע מחיר המוצר כמידע שלכאורה אינו ניתן לשינוי באמצעות הדפדפן,
למשל במקרים שלחיצה על תמונתו של הפריט שולחת "תג חבוי", שגולש ממוצע אינו
יכול לשנות. אולם מי שבקי בעניין, יכול לשמור את אותו תג במעבד תמלילים פשוט,
לשנות את תמחור המוצר, להשיג רווח נאה ולגרום נזק גדול לחברה.
לשם פיתרון הבעיה פיתחו בסנקטום מוצר הגנתי ומוצר התקפי. הראשון, AppShield,
מגן במקרה שגורם כלשהו מנסה לשנות פריטים בעמוד ה-HTML, שאותם הוא אינו אמור
לשנות. האבחנה בין אסור למותר מתבצעת לאחר שהתוכנה סורקת את הדף ומאתרת את
הקריטריונים לקלט שיתקבל מהגולש.
בדוגמה הנתונה קלט המכיל מספר שלילי יאופיין כתשובה "לא נכונה" וימנע מאותו
גולש (או מהאקר זדוני) להרוויח מהמצב ולזכות במחירי סוף-סוף העונה. מנהל הרשת
אף מקבל התרעה על ניסיון השינוי ויכול לאתר את הגורם שניסה לשטות במערכת.
המוצר השני, AppScan, בודק את היישום לפני העלאתו לאוויר, כדי למנוע חורי אבטחה.
המוצרים אינם נמכרים במשותף בהכרח, ומספר גופים העוסקים בייעוץ אבטחה עושים
שימוש ב-AppScan בלבד.
יוזמת ה"דוט.נט" של מייקרוסופט, אומר רענן, יחד עם הנטייה להעביר יותר ויותר
מערכות לממשק HTML, רק מגדילות את השוק שבו יכולה סנקטום לפעול. גם המתחרים
אינם מפחידים אותו במיוחד. להיפך.
"כשהקמנו את החברה, ב-97', לא היו לנו בכלל מתחרים", הוא משחזר, "אילו זה היה
נמשך לאורך זמן, היינו יכולים לחשוב שאולי מדובר במוצר שאף אחד לא צריך. כיום,
כשהתחום הזה התעורר, אנחנו צריכים להציג מוצר שפותר יותר בעיות מהמוצרים האחרים".
כשרענן מדבר על מתחרים, הוא מזכיר את גיליאן הישראלית ואת אנטרספט, ישראלית
לשעבר, שנרכשה על-ידי קליקנט (Clicknet). "גיליאן יכולים למנוע רק השחתת אתרים,
כיוון שהם מטפלים בבעיה בהסתכלות על המידע שמגיע מהגולש לאתר, ולא באופן דו-כיווני",
טוען רענן, "קליקנט מסוגלים לכתוב רשימה של כללים שעליהם הגולש אינו מסוגל
להתגבר. אבל ברגע שמדובר ברשימה סגורה, לא נמנעת פעולה שלא מופיעה באותה רשימה".
הנשק של סנקטום עלול לשמש נגדה, שכן האקר שיניח ידו על תוכנת הסריקה של החברה
עלול לסרוק את האתרים עצמם, וזו תאתר עבורו את הפרצות. "נכון", מודה רענן,
"זה כלי חזק בידיים בלתי מורשות, ולכן אנחנו משפרים כל הזמן את יכולת השליטה
בתהליך המכירה ללקוחות, ולכל מוצר מוצמד רישיון ממוספר שמזהה את המשתמש. בעת
הסריקה, המידע נשלח לאתר הנסרק, כך שהסורק מאותר מיידית. עד היום לא ידוע לנו
על שימוש לא ראוי בתוכנה".
את סנקטום, לשעבר פרפקטו, הקימו גילי רענן וערן רשף, וכיום היא מעסיקה כ-90
עובדים. כמחציתם יושבים בסניף הפיתוח בהרצליה, והשאר בסניף החברה בסנטה-קלרה
ובעוד מקומות בארה"ב.
מחזור המכירות של החברה בשנת 2000 מוערך בכמה מיליוני דולרים, והשנה, בעקבות
עסקאות עם טקמטריקס (זרוע האינטגרציה של קונצרן נישימן, אחד מארגוני הסחר הגדולים
ביפאן) והיטאצ'י אינפורמיישן נטוורקס, צופים משקיעי החברה הכנסות של לפחות
10 מיליון דולר.
"גלובס": בשביל מה אתם זקוקים לגיוס 30 מיליון דולר?
רענן: "זה שוק תחרותי, ואנחנו צריכים לשמור על המיקום שלנו בו. כדי לשמור על
מעמד כזה, צריך להשקיע הרבה כסף במכירות ובשיווק. יש לנו פעילות אמריקנית שעולה
הרבה כסף, ועם התכנון שלנו להתרחב גם לשוק האירופי, נזדקק לכספי המימון הנוכחי".
בעידן ההישרדות של חברות הסטרט-אפ סכום כזה גם עשוי לגאול חברה מתחרה מיסוריה
ולהעניק לסנקטום מוצר משלים, על ידי רכישת המתחרה. רענן אינו פוסל את התסריט
של רכישת חברה אחרת, אולם טוען כי עדיין מוקדם לדבר על רכישה מסוימת - או אפילו
על ניסיון לגשש בכיוון זה בשוק.
לתשומת לבכם: מערכת גלובס חותרת לשיח מגוון, ענייני ומכבד בהתאם ל
קוד האתי
המופיע
בדו"ח האמון
לפיו אנו פועלים. ביטויי אלימות, גזענות, הסתה או כל שיח בלתי הולם אחר מסוננים בצורה
אוטומטית ולא יפורסמו באתר.
כתבות
ני"ע
