מסלולי קריירה בסייבר: איזה תפקיד מתאים לך?

עבודת אבטחה היא לא עבודה אחת. יש מי שמעבירים את היום בקריאת התראות בקונסולת ניטור. אחרים בודקים אפליקציות web ברשות, כותבים את הקוד שעוצר את הבאגים האלה או משחזרים מחשב נייד פרוץ מתוך ראיות. למי שמתחילים או מחליפים קריירה, הדרך המהירה ביותר לבחור היא להשוות איך העבודה נראית ביום־יום, ואז לנסות תפקיד אחד או שניים בתרגול חינמי לפני שמשלמים על קורס.

המאמר הזה מכסה שמונה תפקידים נפוצים: אנליסט SOC, מגיב לאירועים, מהנדס אבטחת אפליקציות (AppSec), פנטסטר, אנליסט זיהוי פלילי דיגיטלי ותגובה לאירועים (DFIR), אנליסט ניהול חולשות, אנליסט ממשל, סיכונים וציות (GRC), ומהנדס אבטחה. לכל אחד מהם מופיעים העבודה היומיומית, כישורי הליבה, צעד תרגול ראשון שלא עולה כסף והמאמרים של מדריך השטח שמאמנים את הכישורים האלה. הסעיף האחרון הוא דף עבודה. בוחרים שני תפקידים, רושמים שלושה כישורים לכל אחד ובוחרים איזה מאמר לקרוא קודם.

שמות התפקידים משתנים ממעסיק למעסיק. התיאורים כאן הם תמונה של העבודה, ולא התחייבות למה שתפקיד מסוים כולל.

#איך התפקידים מאורגנים

#מהי NICE Framework

NIST מתאר את NICE Framework בתור "a common language that describes cybersecurity work". המסגרת מתועדת ב-NIST Special Publication 800-181 Revision 1, שהושלם בנובמבר 2020. היא מקבצת תפקידי עבודה לקטגוריות ולתחומי התמחות, וכל תפקיד מתואר לפי המשימות, הידע והכישורים שהוא דורש. מעסיקים, בתי ספר ותוכניות הכשרה משתמשים באוצר המילים הזה, כך שמודעת דרושים שנוקבת בתפקיד משתמשת לעיתים קרובות בשפה של NICE גם כשהיא מוסיפה ניסוח משלה.

CISA Cyber Career Pathways Tool, שמתפרסם דרך National Initiative for Cybersecurity Careers and Studies ‏(NICCS), מאפשר לבחור תפקיד עבודה, לקרוא את ההגדרות שלו ולהשוות שני תפקידים זה לצד זה. הכלי מציין שהוא משתמש ב-NICE Framework Components גרסה 2.2.0. כל תפקיד בהמשך נוקב בתפקיד העבודה הקרוב ביותר כפי שהוא מופיע בכלי. שמות התפקידים במסגרת רחבים (Defensive Cybersecurity, ‏Digital Forensics) ושונים משמות משרה, והרכיבים עודכנו מאז הפרסום של 2020, ולכן כדאי לבדוק כל אחד בכלי לפני שמצטטים אותו בקורות חיים.

#למה התפקיד חשוב יותר מהכלי

מתחילים פותחים לעיתים קרובות ברשימת כלים: Nmap, ‏Burp Suite, ‏Wireshark, ‏Splunk. כלי הוא מכשיר, והתפקיד קובע על איזו שאלה מנסים לענות. אנליסט SOC שואל אם התראה מתארת אירוע אמיתי ומה עוד המארח הזה עשה. פנטסטר שואל למה תוקף יכול להגיע בתוך סקופ מוסכם. אנליסט GRC שואל אם הבקרות תואמות לסיכון הכתוב. קודם בוחרים את השאלה. הכלים באים אחריה.

#שמונת התפקידים

#1. אנליסט SOC

תפקיד NICE הקרוב ביותר: Defensive Cybersecurity.

עבודה יומיומית. אנליסט במרכז תפעול אבטחה (SOC) עובד על תור התראות. כל התראה עוברת טריאז׳: האם זו התראת אמת, התראת שווא, או משהו שצריך בחינה נוספת? רוב היום מוקדש לקריאת אירועי לוג, למעקב מאירוע אחד לאירועים שסביבו, לבדיקה אם משתמש או מארח התנהגו כצפוי ולכתיבת הערות קצרות שאנליסט אחר יוכל לעקוב אחריהן. כל מה שנראה כמו אירוע אמיתי עולה למגיבים.

כישורי ליבה. קריאת לוגים, זיהוי אירועי Windows ו-Linux נפוצים, רשתות בסיסיות (DNS, ‏HTTP, פורטים), כתיבת שאילתות חיפוש, תיעוד ברור וידיעה מתי להסלים.

צעד תרגול ראשון בחינם. על מחשב Windows שלך, פותחים PowerShell כמנהל וקוראים את 20 אירועי ההתחברות הכושלים האחרונים מלוג Security. מזהה האירוע 4625 הוא אירוע התחברות כושלת. לא הרצתי את הפקודה הזאת עבור המאמר, כך שיופיע מה שהמחשב שלך רושם:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, Message

כותבים מה כל אירוע אומר ואם החשבון מוכר. אם הרשימה ריקה, גם זו תוצאה. לא קוראים לוגים ממחשבים שאינם בבעלותך.

לקרוא קודם: מה זה SIEM? לוגים, שאילתות והתראות, איך HTTP עובד, קבצים והרשאות ב-Linux.

#2. מגיב לאירועים

תפקיד NICE הקרוב ביותר: Incident Response.

עבודה יומיומית. המגיבים נכנסים לתמונה כשהתראה הופכת לאירוע. הם מתאמים הכלה (בידוד מארח, השבתת חשבון, חסימת כתובת), סילוק (הסרת נתיב הגישה שהתוקף ניצל) והתאוששות. הם מנהלים ציר זמן, מעדכנים את ה-IT, את המחלקה המשפטית ואת ההנהלה, ומחליטים מתי האירוע הסתיים. חלק גדול מהעבודה הוא תקשורת ברורה תחת לחץ זמן.

כישורי ליבה. טריאז׳, איזון שיקולים בהכלה, בניית ציר זמן, כתיבת עדכוני סטטוס, הבנה של הדרך שבה פישינג ופרטי התחברות גנובים נעים בדרך כלל ברשת, וטיפול בסיסי בראיות כדי שניתוח מאוחר יותר עדיין יהיה אפשרי.

צעד תרגול ראשון בחינם. כותבים ציר זמן של אירוע עבור מקרה מומצא, בקובץ טקסט פשוט. למשל: "10:02 משתמש פותח קובץ מצורף; 10:04 מופיעה משימה מתוזמנת חדשה; 10:10 חיבור יוצא לכתובת לא מוכרת." ליד כל שורה כותבים איזה לוג או ארטיפקט יאשרו אותה. לא צריך לזה כלים. המיומנות היא סידור עובדות והפרדה בין מה שידוע למה שחושדים בו.

לקרוא קודם: איך לכתוב את דוח האבטחה הראשון, מידול איומים עם STRIDE, מה זה SIEM?.

#3. מהנדס אבטחת אפליקציות (AppSec)

תפקיד NICE הקרוב ביותר: Software Security Assessment, לעיתים קרובות לצד Secure Software Development.

עבודה יומיומית. מהנדסי AppSec עוזרים לצוותי פיתוח להימנע מחולשות לפני שחרור. הם סוקרים תכנונים וקוד, מספקים דפוסים בטוחים וספריות משותפות, מקימים בדיקות אוטומטיות בצינורות build ועוברים על ממצאים עם המפתחים שאחראים על הקוד. יום טוב מסתיים לעיתים קרובות בבאג שתוקן ולא בדוח ארוך.

כישורי ליבה. יסודות web (‏HTTP, עוגיות, סשנים, כללי same-origin), לפחות שפת תכנות אחת, הקטגוריות של OWASP Top 10, אימות קלט וקידוד פלט, וקריאת קוד שלא כתבת.

צעד תרגול ראשון בחינם. מריצים על המחשב שלך את OWASP Juice Shop, אפליקציית web פגיעה בכוונה. קושרים אותה ל-localhost כך שרק המחשב שלך יוכל להגיע אליה. צריך ש-Docker יהיה מותקן. לא הרצתי את הפקודה הזאת עבור המאמר, כך שהפלט הוא מה שהסביבה שלך מדפיסה:

docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop

פותחים את http://localhost:3000 בדפדפן, בוחרים אתגר אחד למתחילים וכותבים את שורש הבעיה ואת התיקון שמפתח היה מיישם. עוצרים את הקונטיינר בסיום.

לקרוא קודם: OWASP Top 10 למפתחים, SQL injection בהסבר עם Juice Shop, מה זה CSRF ואיך עוגיות SameSite עוזרות.

#4. פנטסטר

תפקיד NICE הקרוב ביותר: אין בשם הזה. בכלי אין תפקיד של פנטסטר, ולכן המשימות הקרובות ביותר נמצאות ב-Vulnerability Analysis וב-Threat Analysis.

עבודה יומיומית. פנטסטרים בוחנים מערכות שהבעלים הסכימו לבדוק, בתוך סקופ כתוב וכללי מעורבות. הם ממפים את היעד, מחפשים פגמים, מאשרים השפעה בלי לגרום נזק וכותבים ממצאים שמפתח או מנהל מערכת יכולים לפעול לפיהם. חלק גדול מהערך המקצועי נמצא בדוח ובשיקול הדעת לגבי מה חשוב. פלט של סורק לבדו הוא לא ממצא.

כישורי ליבה. רשתות, יסודות web ו-directory, כתיבת סקריפטים, משמעת סקופ, דירוג סיכון עם CVSS, כתיבת דוחות והבנה ברורה של סקופ.

צעד תרגול ראשון בחינם. כותבים מסמך סקופ למעבדה שלך לפני שנוגעים במשהו. משתמשים בקונטיינר Juice Shop משלב ה-AppSec או במכונה וירטואלית בבעלותך. רושמים מה בסקופ (הקונטיינר הזה על localhost בפורט 3000), מה מחוץ לסקופ (כל השאר, כולל הראוטר שלך, הרשתות של השכנים וכל אתר שאינו בבעלותך), מי אישר את העבודה, ואת זמני ההתחלה והסיום. המסמך הוא התרגול. הבדיקה מתחילה רק אחרי שהוא קיים.

לקרוא קודם: מהי חולשה?, מה זה CVSS?, אתיקה ופרטיות ב-OSINT, איך ליצור רשת Docker מבודדת למעבדות.

#5. אנליסט DFIR

תפקיד NICE הקרוב ביותר: Digital Forensics.

עבודה יומיומית. אנליסט DFIR בוחן ראיות ממערכות שאולי נפרצו: תמונות דיסק, לכידות זיכרון, לוגי אירועים, ארטיפקטים של דפדפן וקבצים. המטרה היא לשחזר מה קרה, לתעד איך הושגה כל מסקנה ולשמור על הראיות ללא שינוי. מגיבים לאירועים מחליטים מה לעשות הלאה; אנליסטים של DFIR מסבירים מה קרה, עם הוכחות.

כישורי ליבה. מערכות קבצים, hashes של קבצים, ארטיפקטים של Windows ו-Linux, כלי ניתוח דיסק וזיכרון, שרשרת משמורת, רישום הערות מדוקדק, וידע מספיק בנוזקות כדי לתאר התנהגות בלי להריץ דוגמאות על מחשב רגיל.

צעד תרגול ראשון בחינם. מחשבים hash של SHA-256 לקובץ שהורד ממקור מהימן. hashes הם הכלי הבסיסי להראות שראיה לא השתנתה. ב-Git Bash, על קובץ לבחירתך:

sha256sum ~/Downloads/example.pdf

רושמים את הפלט ליד שם הקובץ והתאריך. אם המפרסם מציין hash להורדה, משווים בין שני הערכים. בדיקות hash קוראות את הקובץ ולעולם לא מריצות אותו. לא פותחים ולא מריצים קבצים לא מוכרים כדי לראות מה הם עושים.

לקרוא קודם: Hashes של קבצים והאתיקה של VirusTotal, קבצים והרשאות ב-Linux, מה זה Bash? יסודות shell לסטודנטים לאבטחה.

#6. אנליסט ניהול חולשות

תפקיד NICE הקרוב ביותר: Vulnerability Analysis.

עבודה יומיומית. מנהלי חולשות מחזיקים מלאי של נכסים ושל הפגמים הידועים שלהם, מחליטים אילו תיקונים קודם, עוקבים אחרי בעלים ומועדים ומדווחים על התקדמות. החלק הקשה הוא התעדוף. סורק יכול להפיק אלפי ממצאים, והעבודה היא להחליט אילו מהם חשובים לארגון הזה השבוע, לאור מה שחשוף לאינטרנט ומה שהעסק תלוי בו.

כישורי ליבה. מלאי נכסים, קריאת רשומות CVE ו-CVSS, הבנת מחזורי patch, תעדוף מבוסס סיכון, עבודה עם בעלי מערכות ותהליכי עבודה מבוססי כרטיסים.

צעד תרגול ראשון בחינם. פותחים CVE עדכני באתר הציבורי של NVD ‏(nvd.nist.gov). קוראים את התיאור ואת וקטור ה-CVSS. אחר כך כותבים שלושה משפטים: מה הפגם, אילו תנאים תוקף היה צריך, ומה בעלים אחראי היה עושה במערכת שבניהולו. חיפושים ציבוריים כאלה לא מזיקים. לא שולחים שאילתות ולא בודקים שום מערכת שאינה בבעלותך.

לקרוא קודם: מהי חולשה?, מה זה CVSS?.

#7. אנליסט GRC

תפקיד NICE הקרוב ביותר: Security Control Assessment, עם חפיפה ל-Cybersecurity Policy and Planning.

עבודה יומיומית. אנליסטים של GRC (ממשל, סיכונים וציות) הופכים דרישות אבטחה למדיניות, לבקרות ולראיות. הם מתחזקים מרשמי סיכונים, אוספים ראיות לביקורות, בודקים אם ספקים עומדים בתנאי החוזה ועוזרים למנהלים להחליט אילו סיכונים לקבל, להפחית או להעביר. מעט מהעבודה הזאת נוגע בטרמינל. חלק גדול ממנה הוא קריאה זהירה ובדיקה של טענות כתובות מול מה שהמערכות עושות בפועל.

כישורי ליבה. כתיבת מדיניות, הערכת סיכונים, מסגרות נפוצות כמו NIST Cybersecurity Framework ו-ISO/IEC 27001, איסוף ראיות, ראיונות עם בעלי עניין וכתיבה פשוטה.

צעד תרגול ראשון בחינם. כותבים מרשם סיכונים של עמוד אחד למחשב הנייד שלך. חמש שורות: מכשיר שאבד, סיסמה חלשה, מערכת הפעלה לא מעודכנת, פישינג וכשל גיבוי. בכל שורה כותבים במילים פשוטות את הסבירות וההשפעה, את הבקרה שמשתמשים בה היום וצעד אחד הבא. שומרים את זה בקובץ טקסט. אם אפשר להסביר במשפט אחד למה בקרה חשובה, זו כבר העבודה.

לקרוא קודם: מידול איומים עם STRIDE, מה זה HTTPS ו-TLS?, הצפנה מול קידוד מול hashing.

#8. מהנדס אבטחה

תפקיד NICE הקרוב ביותר: Cybersecurity Architecture ו-Secure Systems Development.

עבודה יומיומית. מהנדסי אבטחה מתכננים ובונים מערכות הגנה: הגדרת זהויות וגישה, single sign-on ואימות רב־שלבי, סגמנטציה של רשת, ניהול סודות, קווי בסיס לקונפיגורציה מאובטחת וצינורות זיהוי. הם עובדים בין הפיתוח לתפעול, ומודדים אם בקרה עובדת אחרי הפריסה, ולא רק אם היא הותקנה.

כישורי ליבה. ניהול מערכות הפעלה (Linux או Windows), קריפטוגרפיה ברמת השימוש (מפתחות, hashing, ‏TLS), זהויות והרשאה מינימלית, infrastructure as code, כתיבת סקריפטים ובקרת שינויים מדוקדקת.

צעד תרגול ראשון בחינם. יוצרים זוג מפתחות SSH על המחשב שלך ולומדים איזה קובץ הוא הציבורי. לא הרצתי את הפקודה הזאת עבור המאמר, כך שהפלט תלוי בהגדרות שלך. כשמתבקשים, בוחרים passphrase:

ssh-keygen -t ed25519 -f ~/.ssh/lab_ed25519 -C "lab key"

אחר כך מציגים את תוכן ~/.ssh. הקובץ שהסיומת שלו .pub הוא זה שאפשר לשתף. הקובץ בלי סיומת הוא המפתח הפרטי, והוא אף פעם לא נכנס לצ׳אט, ל-commit או לצילום מסך.

לקרוא קודם: מפתחות ציבוריים ופרטיים, מה זה SSH ואיך מפתחות SSH עובדים?, איך hashing של סיסמאות עובד עם Argon2id.

#בחירה בעזרת דף העבודה

במאמר הזה אין מעבדה שצריכה שרת. התרגיל הוא הערכה עצמית, והוא לוקח בערך 30 דקות.

1. בוחרים שני תפקידים מהרשימה שנראים מעניינים, גם אם לא בטוח שאפשר לעשות אותם.
2. לכל תפקיד כותבים שלושה כישורים שכבר יש לך ושלושה שצריך לבנות. בכנות. "קריאת לוגים" וגם "שימוש ב-Linux" נחשבים, אם זה כבר בידיים שלך היום.
3. בוחרים מאמר אחד של מדריך השטח לכל תפקיד להתחלה, מתוך רשימת "לקרוא קודם".
4. מבצעים את צעד התרגול הראשון בחינם לכל תפקיד. רושמים מה לקח יותר זמן מהצפוי.
5. מחפשים את שני התפקידים ב-CISA Cyber Career Pathways Tool ומשווים את הגדרות תפקידי העבודה זה לצד זה.

מעתיקים את התבנית הזאת לקובץ טקסט:

Role 1:
  Skills I have:
    1.
    2.
    3.
  Skills I need to build:
    1.
    2.
    3.
  Article to start with:
  First practice step done on (date):
  What surprised me:

Role 2:
  (same lines as above)

דף העבודה גמור כשאפשר לומר איזה תפקיד לנסות קודם ולמה, בשני משפטים.

#טעויות נפוצות

בחירה לפי שם המשרה בלבד. שמות משרה אומרים דברים שונים אצל מעסיקים שונים. קוראים את העבודה היומיומית ואת רשימת הכישורים לפני שמחליטים.

התחלה מכלים התקפיים. הידיעה איך להריץ סורק לא מלמדת מה הפלט שלו אומר. קודם לומדים איך רשתות, בקשות web והרשאות Linux עובדים.

דילוג על הסקופ. כל תרגול מול מערכת שאינה בבעלותך הוא בעיה משפטית ואתית, גם כשהיעד נראה תמים. הקונטיינר שלך, המחשב שלך וסקופ כתוב ומפורש הם נקודות ההתחלה היחידות במאמר הזה.

התייחסות לסיום קורס כהוכחה. תעודה מראה שלמדת. ציר זמן, מרשם סיכונים, מסמך סקופ או באג שתוקן מראים מה אפשר להפיק. שומרים את התוצרים מכל צעד תרגול.

הרצת קבצים לא מוכרים כדי לראות מה הם עושים. משתמשים ב-hashes, קוראים את הקובץ במציג טקסט או קוראים את התיעוד. הרצה שייכת למעבדה מבוקרת, ולא למחשב היומיומי שלך.

#איך ממשיכים

כשיש שני תפקידים בדף העבודה, קוראים את הגדרות תפקידי העבודה של NICE לכל אחד מהם בכלי של CISA. חלק מהתפקידים מקשרים גם למיקרו־אתגרים של TryCyber, שנותנים תרגילים מעשיים קטנים למשימות ליבה. אחר כך עוברים על מאמרי מדריך השטח לפי הסדר שמופיע בתפקיד הראשון. חוזרים לדף העבודה אחרי חודש ומעדכנים אותו במה שנעשה בפועל.

כששואלים עוזר AI להסביר שורת לוג או קטע קוד, בודקים את התשובה מול התיעוד הרשמי של אותו אירוע או שפה. הסבר הוא נקודת התחלה לקריאה עצמאית, ולא מקור.

NotHoly מפרסמת את מדריך השטח הזה. אף אחד מהצעדים שלמעלה לא דורש חשבון NotHoly או עוזר AI.

#מקורות

• NIST, NICE Framework Resource Center: https://www.nist.gov/itl/applied-cybersecurity/nice/nice-framework-resource-center
• NIST, SP 800-181 Revision 1, Workforce Framework for Cybersecurity (NICE Framework): https://csrc.nist.gov/pubs/sp/800/181/r1/final
• CISA, NICCS Cyber Career Pathways Tool: https://niccs.cisa.gov/workforce-development/cyber-career-pathways-tool