Cyber & Code

יCryptography Deep Dive (חלק 3): התקפת Rainbow Tables בפוסטים הקודמים בנינו הגנות. היום, אנחנו מתחילים לפרק אותן, חתיכה אחר חתיכה. דמיינו תרחיש: תוקף הצליח לפרוץ לשרת וגנב את טבלת המשתמשים. הוא פותח אותה ורואה עמודה של user_id ועמודה של password_hash. אין סיסמאות, רק מחרוזות ארוכות של ג'יבריש קריפטוגרפי. הוא לא יכול "להפוך" את ה-Hash, אבל הוא חייב למצוא את הסיסמאות המקוריות. איך הוא עושה את זה נגד מיליוני משתמשים בלי לבזבז מאות שנים על חישובים? התשובה היא מתקפה מבריקה המבוססת על פשרה בין זמן לזיכרון: Rainbow Tables. שלב 1: האבולוציה של פיצוח האשים כדי להבין את הגאונות של Rainbow Tables, בואו נראה את הגישות שקדמו לה. רמה 1: Brute Force (כוח גס) brute force השיטה הפשוטה ביותר. התוקף מנסה כל צירוף אפשרי של תווים, מגבב (hash) אותו, ומשווה ל-Hash הגנוב. יתרון: תמיד יצליח בסוף (בהנחה שהסיסמה במילון התווים). חיסרון: איטי באופן קיצוני. פיצוח סיסמה בת 8 תווים המכילה אותיות, מספרים וסמלים יכול לקחת שנים על מחשב בודד. רמה 2: Dictionary Attack (התקפת מילון) שיפור קל. במקום לנסות הכול, התוקף משתמש ברשימה של מיליוני סיסמאות נפוצות, מילים ממילונים, וסיסמאות שדלפו בעבר. יתרון: יעיל מאוד נגד משתמשים שבוחרים סיסמאות חלשות וצפויות. חיסרון: חסר תועלת לחלוטין נגד סיסמאות חזקות ואקראיות. רמה 3: Lookup Table (טבלת חיפוש) זו הקפיצה המשמעותית הראשונה. "למה לעבוד קשה כל פעם מחדש?" שואל התוקף. "בוא נחשב מראש את ההאשים של מיליארדי סיסמאות ונשמור אותם בטבלה!". כשיש Hash גנוב, פשוט נחפש אותו ונקבל את הסיסמה. יתרון: החיפוש עצמו מהיר כברק. החיסרון הקטלני: דרישות אחסון אסטרונומיות. בגדלים בילתי אפשרים. שלב 2: פריצת הדרך - Time-Memory Tradeoff כאן נכנסות לתמונה Rainbow Tables. הן מבוססות על עיקרון מדהים שנקרא "פשרת זמן-זיכרון" (Time-Memory Tradeoff). הרעיון הוא לוותר על מעט מהירות חישוב בזמן אמת כדי להפחית את דרישות האחסון באופן דרמטי. במקום לשמור כל זוג של (סיסמה -> Hash), אנחנו בונים "שרשראות" חישוב ארוכות. לשם כך, אנו זקוקים למרכיב נוסף: פונקציית צמצום (Reduction Function - R): זוהי פונקציה חכמה שלוקחת פלט של Hash וממפה אותו בחזרה למחרוזת בפורמט של סיסמה (למשל, 8 תווים). חשוב להדגיש: היא לא הופכת את ה-Hash! היא פשוט דרך דטרמיניסטית לייצר את ה"חוליה" הבאה בשרשרת. שרשרת אחת נראית כך: Password_1 --(Hash)--> Hash_1 --(Reduce)--> Password_2 --(Hash)--> Hash_2 ... ומה אנחנו שומרים בטבלה שלנו? רק את הסיסמה הראשונה (נקודת ההתחלה) ואת ה-Hash האחרון (נקודת הסיום) של כל שרשרת! במקום לאחסן מיליוני חוליות, אנו מאחסנים רק שתיים. החיסכון במקום הוא עצום. שלב 3: התקיפה חלק א': ההכנה (Pre-computation) התוקף מבצע את החלק הזה פעם אחת, מראש. זה יכול לקחת ימים או שבועות. הוא בונה מיליוני שרשראות כאלו ושומר את נקודות ההתחלה והסיום שלהן בטבלה מסודרת. חלק ב': הפיצוח (The Crack) לתוקף יש את ה-Hash הגנוב, H_target. הוא מפעיל על H_target את פונקציית הצמצום (R) ואז את פונקציית הגיבוב (H) שוב ושוב. בכל שלב, הוא בודק אם ה-Hash שקיבל מופיע בעמודת נקודות הסיום של הטבלה שלו. נמצאה התאמה! נניח שאחרי 1000 איטרציות, הוא הגיע ל-Hash שמופיע כנקודת סיום בטבלה. התוקף יודע כעת ש-H_target נמצא איפשהו באותה שרשרת. הוא שולף מהטבלה את נקודת ההתחלה של אותה שרשרת, ופשוט בונה אותה מחדש מההתחלה, חוליה אחר חוליה: P_start -> H_1 -> P_2 -> H_2 ... במהלך הבנייה מחדש, הוא משווה כל Hash שהוא מייצר ל-H_target. כשהוא מוצא התאמה, הסיסמה שיצרה את ה-Hash הזה היא הסיסמה המקורית! שלב 4: למה Salting הורס את המתקפה ההגנה נגד Rainbow Tables היא פשוטה, אלגנטית ומוחצת. Salting. מהו Salt? מחרוזת תווים אקראית וייחודית שנוצרת עבור כל משתמש ונשמרת בבסיס הנתונים לצד ה-Hash שלו. איך משתמשים בו? במקום לחשב Hash(password), המערכת מחשבת Hash(password + salt). למה זה כל כך יעיל? ה-Salt משנה לחלוטין את כללי המשחק. Rainbow Table בנויה עבור פונקציית Hash ספציפית, למשל MD5. אבל עם Salting, פונקציית הגיבוב הופכת להיות ייחודית לכל משתמש. המשמעות היא שתוקף יצטרך לבנות Rainbow Table נפרדת עבור כל Salt ו-Salt. אם במערכת יש מיליון משתמשים, יש מיליון סוגי Salt שונים, ולכן התוקף יצטרך מיליון טבלאות שונות. זה הופך את המתקפה לבלתי אפשרית מבחינה חישובית ומבחינת אחסון. ומאלצת את התוקף לחזור לשיטת ה-Brute Force הישנה והאיטית, ולתקוף כל סיסמה בנפרד.

לסיכום: חתימות דיגיטליות מאמתות זהות ושלמות, ותעודות דיגיטליות קושרות את הזהות הזו למפתח ציבורי. כל המבנה הזה, המנוהל על ידי רשויות אישורים (CAs), יוצר את תשתית המפתח הציבורי (PKI) שמאפשרת לנו לגלוש, לקנות ולתקשר בבטחה באינטרנט. בפוסט הבא, אחרי שהבנו איך בונים את ההגנות, נתחיל לדבר על איך שוברים אותן! ננתח התקפות נפוצות כמו Rainbow Tables ו-Birthday Attack. שאלות? משהו היה מורכב מדי? שתפו אותי! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

📜 יCryptography Deep Dive (חלק 2): חתימות דיגיטליות, תעודות ו-PKI 📜 בפוסט הקודם בנינו את היסודות: Hashing, הצפנה סימטרית וא-סימטרית. היום, ניקח את הידע הזה ונבנה איתו את מערכת האמון של האינטרנט כולו. אי פעם תהיתם מה באמת אומר סמל המנעול 🔒 בדפדפן? איך הדפדפן שלכם יודע שהוא מדבר עם הבנק האמיתי שלכם ולא עם מתחזה? התשובה היא PKI (Public Key Infrastructure), והלב הפועם שלה הוא החתימה הדיגיטלית. בואו נצלול. ✍️ חתימה דיגיטלית - איך מוכיחים מי אתם ושהמידע לא שונה? ✍️ חתימה דיגיטלית היא לא תמונה של החתימה שלכם. זו קונסטרוקציה קריפטוגרפית מבריקה שמשלבת Hashing והצפנה א-סימטרית (שעליה למדנו בפוסט הקודם) כדי לספק שלוש הבטחות קריטיות: אותנטיות (Authentication): הוכחה חד-משמעית מי חתם על המידע. שלמות (Integrity): הוכחה שהמידע לא שונה מאז שנחתם. אי-התכחשות (Non-Repudiation): החותם לא יכול להכחיש שהוא חתם על המידע. ⚙️ אז איך זה עובד? בואו נעקוב אחר התהליך: נניח שאליס רוצה לשלוח לבוב מסמך חתום דיגיטלית: יצירת "טביעת אצבע" (Hashing): אליס לוקחת את המסמך המקורי ומעבירה אותו פונקציית גיבוב (למשל, SHA-256). התוצאה היא Hash ייחודי למסמך הזה. "נעילה" עם המפתח הפרטי (Signing): אליס לוקחת את ה-Hash שיצרה, ומצפינה אותו באמצעות המפתח הפרטי שלה. ה-Hash המוצפן הזה הוא החתימה הדיגיטלית. שליחת החבילה: אליס שולחת לבוב שני דברים: את המסמך המקורי (בטקסט רגיל) ואת החתימה הדיגיטלית שיצרה. ✅ איך בוב מוודא את החתימה? חישוב Hash עצמאי: בוב מקבל את המסמך והחתימה. הוא לוקח את המסמך המקורי ומחשב את ה-Hash שלו בעצמו, באמצעות אותה פונקציית גיבוב (SHA-256). "פתיחה" עם המפתח הציבורי (Verification): בוב לוקח את החתימה הדיגיטלית שאליס שלחה, ומשתמש במפתח הציבורי של אליס כדי לפענח אותה. אם הפענוח מצליח, התוצאה היא ה-Hash המקורי שאליס חישבה. השוואה: בוב משווה בין שני ערכי ה-Hash: זה שהוא חישב בעצמו (שלב 1) וזה שהוא קיבל מהפענוח (שלב 2). אם שני ערכי ה-Hash זהים, בוב יודע בוודאות: המסמך אותנטי: רק המפתח הפרטי של אליס יכול היה להצפין את ה-Hash המקורי, ולכן המסמך הגיע ממנה. המסמך שלם: אם מישהו היה משנה אפילו פסיק אחד במסמך בזמן המעבר, ה-Hash שבוב חישב היה שונה לחלוטין, וההשוואה הייתה נכשלת. 🔗 הבעיה: על מי סומכים? ותעודות דיגיטליות (Certificates) 🔗 הבנו איך חתימה עובדת. אבל יש בעיה גדולה: כשבוב קיבל את המפתח הציבורי של אליס, איך הוא יכול להיות בטוח שזה באמת המפתח שלה, ולא של מתחזה שהתחזה לאליס ושלח לבוב מפתח ציבורי מזויף? כאן נכנסת לתמונה ה-PKI והרעיון של רשות אישורים (Certificate Authority - CA). רשות אישורים (CA) היא גוף צד שלישי מהימן (כמו משרד הפנים הדיגיטלי) שתפקידו לאמת זהויות בעולם הדיגיטלי. דוגמאות ל-CAs: Let's Encrypt, DigiCert, GlobalSign. תעודה דיגיטלית (Digital Certificate / SSL/TLS Certificate) היא מסמך דיגיטלי, כמו תעודת זהות, שעושה דבר אחד פשוט וחשוב: היא קושרת באופן מאובטח בין זהות (כמו שם דומיין של אתר) לבין מפתח ציבורי. תעודה כזו מכילה: שם בעל התעודה (למשל, www.google.com). המפתח הציבורי של בעל התעודה. תאריכי תוקף (מתי הונפקה ומתי תפוג). שם ה-CA שהנפיק אותה. והחלק הכי חשוב: התעודה כולה חתומה דיגיטלית על ידי המפתח הפרטי של ה-CA! 🛡️ שרשרת האמון (Chain of Trust) - איך הכל מתחבר 🛡️ עכשיו נחבר הכל ונבין מה קורה מאחורי הקלעים כשאתם גולשים לאתר מאובטח (HTTPS): בקשה: הדפדפן שלכם פונה לשרת של bank.com. הצגת "תעודת זהות": השרת של הבנק שולח לדפדפן את התעודה הדיגיטלית שלו. בדיקת החתימה: הדפדפן בודק מי ה-CA שחתום על התעודה (למשל, "DigiCert"). בדיקת אמינות ה-CA: לדפדפן ולמערכת ההפעלה שלכם יש רשימה מובנית של CAs שורשיים (Root CAs) שהם סומכים עליהם מראש. הדפדפן בודק אם "DigiCert" נמצא ברשימה הזו. אימות התעודה: אם ה-CA אכן מהימן, הדפדפן משתמש במפתח הציבורי של אותו CA (שכבר יש לו) כדי לוודא את החתימה הדיגיטלית על התעודה של הבנק. הקמת אמון: אם החתימה מאומתת, הדפדפן יודע כעת בוודאות שהמפתח הציבורי שקיבל בתעודה שייך באמת ל-bank.com. הוא סומך על התעודה כי הוא סומך על מי שחתם עליה (ה-CA). התחלת תקשורת מוצפנת: עכשיו, כשהדפדפן בטוח בזהות השרת, הוא משתמש במפתח הציבורי המאומת של הבנק כדי להחליף איתו מפתח סימטרי חד-פעמי, וכל שאר התקשורת מוצפנת במהירות וביעילות עם הצפנה סימטרית (כמו שלמדנו בפוסט 1). מנקודת מבט של תוקף: תוקף שרוצה לבצע התקפת Man-in-the-Middle לא יכול לזייף את התעודה של bank.com, כי אין לו דרך לגרום ל-CA מהימן לחתום עליה. אם הוא יציג תעודה בחתימה עצמית (Self-Signed), הדפדפן שלכם יתריע מיד עם שגיאה אדומה ומפחידה. 💥

השלכות אבטחת מידע ושימושים: הצפנה א-סימטרית היא איטית משמעותית מהצפנה סימטרית, ולכן לא משתמשים בה להצפנת כמויות גדולות של מידע. תפקידה הוא לפתור בעיות מפתח: החלפת מפתחות מאובטחת (Secure Key Exchange): זהו השימוש המרכזי. בתחילת שיחת TLS (HTTPS), הדפדפן שלך משתמש במפתח הציבורי של השרת כדי להצפין מפתח סימטרי חד-פעמי שיצר, ושולח אותו לשרת. רק השרת, עם המפתח הפרטי שלו, יכול לפענח את ההודעה ולגלות את המפתח הסימטרי. מרגע זה, שני הצדדים חולקים מפתח סימטרי סודי, וכל שאר התקשורת מוצפנת איתו במהירות. חתימות דיגיטליות (Digital Signatures): כאן התהליך הפוך. אתה "מצפין" (חותם) Hash של מסמך עם המפתח הפרטי שלך. כל אחד בעולם יכול להשתמש במפתח הציבורי שלך כדי "לפענח" (לוודא) את החתימה. אם זה עובד, זה מוכיח שני דברים: אותנטיות (רק אתה יכולת ליצור את החתימה) ושלמות (המסמך לא שונה מאז שנחתם). נרחיב על זה בפוסט הבא על PKI! פרקטיקה מהצד ההתקפי: התקפות על הצפנה א-סימטרית מתמקדות בדרך כלל בגניבת המפתח הפרטי או בניסיון לשבור את הבעיה המתמטית שעליה האלגוריתם מבוסס (כמו פירוק מספרים גדולים לגורמים ראשוניים במקרה של RSA). מחשוב קוונטי מהווה איום עתידי משמעותי על אלגוריתמים אלו. 📝 סיכום מהיר להשוואה 🌪️י Hashing (גיבוב): מטרה: וידוא שלמות ואימות. מפתחות: אין. כיווניות: חד-כיווני (בלתי הפיך). מהירות: מהיר מאוד. שימוש: אימות סיסמאות, בדיקת שלמות קבצים. 🔑 הצפנה סימטרית: מטרה: שמירה על סודיות המידע. מפתחות: מפתח יחיד, סודי, משותף להצפנה ולפענוח. כיווניות: דו-כיווני (הפיך). מהירות: מהירה. שימוש: הצפנת כמויות גדולות של מידע (דיסקים, תעבורה). 👥 הצפנה א-סימטרית: מטרה: החלפת מפתחות מאובטחת וחתימות דיגיטליות. מפתחות: זוג מפתחות (ציבורי ופרטי). כיווניות: דו-כיווני (הפיך). מהירות: איטית מאוד. שימוש: הקמת ערוץ תקשורת מאובטח (TLS), אימות זהות. וזהו להפעם! הבנו את ההבדלים המהותיים בין הכלים הבסיסיים ביותר בארגז הכלים הקריפטוגרפי. כל אחד מהם ממלא תפקיד שונה, ולרוב הם עובדים יחד במערכות מאובטחות. בפוסט הבא בסדרה, נצלול לעולם ה-PKI, נבין לעומק איך חתימות דיגיטליות ותעודות (Certificates) עובדות, ואיך כל זה בונה את האמון באינטרנט. 🚀 שאלות? הערות? משהו לא היה ברור? כתבו לי בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🔐 יCryptography Deep Dive (חלק 1): Hashing, הצפנה סימטרית וא-סימטרית 🔐 ברוכים הבאים לפוסט הראשון בסדרה שלנו על קריפטוגרפיה מעשית! היום אנחנו צוללים לעומק כדי להבין את ההבדלים בין שלושת עמודי התווך של העולם הקריפטוגרפי: גיבוב (Hashing), הצפנה סימטרית (Symmetric Encryption) והצפנה א-סימטרית (Asymmetric Encryption). הבנת ההבדלים ביניהם היא קריטית לכל מי שעוסק באבטחת מידע, פיתוח, או סתם רוצה להבין איך העולם הדיגיטלי שלנו מאובטח. בואו נפרק את זה. 🧐 🌪️ גיבוב (Hashing) - טביעת האצבע הדיגיטלית 🌪️ רקע תיאורטי: גיבוב הוא תהליך חד-כיווני שלוקח קלט בכל גודל (קובץ, סיסמה, הודעה) ומפיק פלט באורך קבוע, המכונה "ערך גיבוב" או "Hash". חשבו על זה כמו בלנדר: אפשר להכניס פירות וירקות ולקבל שייק, אבל אי אפשר להפוך את השייק בחזרה לפירות המקוריים. 🍹 חד-כיווניות (One-Way): התכונה החשובה ביותר. קל מאוד לחשב Hash מקלט נתון, אך בלתי אפשרי (מבחינה חישובית) לשחזר את הקלט המקורי מתוך ה-Hash. פלט באורך קבוע (Fixed-Size Output): לא משנה אם תכניסו את כל התנ"ך או מילה אחת לפונקציית SHA-256, הפלט תמיד יהיה באורך 256 סיביות. דטרמיניזם (Deterministic): אותו קלט תמיד יפיק את אותו פלט. עמידות להתנגשויות (Collision Resistance): הסיכוי ששני קלטים שונים ייצרו את אותו ה-Hash הוא אפסי (אם כי קיים תיאורטית, וזו נקודת תורפה באלגוריתמים ישנים כמו MD5). השלכות אבטחת מידע ושימושים: השימוש העיקרי ב-Hashing הוא לא להסתיר מידע, אלא לוודא את שלמותו (Integrity) ולאמת זהות. אחסון סיסמאות: לעולם לא שומרים סיסמאות בבסיס נתונים כטקסט רגיל. במקום זאת, שומרים את ה-Hash של הסיסמה. כשמשתמש מנסה להתחבר, המערכת מגבבת את הסיסמה שהוזנה ומשווה את התוצאה ל-Hash השמור. גם אם תוקף גונב את בסיס הנתונים, הוא מקבל רק ערכי Hash ולא את הסיסמאות. (בפועל, משתמשים ב-Salt ו-Pepper כדי למנוע התקפות Rainbow Tables, נרחיב על זה בפוסט הבא!). בדיקת שלמות קבצים: כשאתם מורידים קובץ ISO של לינוקס, למשל, האתר יספק לכם גם את ה-Hash של הקובץ (לדוגמה, SHA256 sum). לאחר ההורדה, תוכלו לחשב את ה-Hash של הקובץ אצלכם ולהשוות. אם הם זהים - הקובץ לא שובש או נפגם בהורדה. פרקטיקה מהצד ההתקפי: תוקפים לא מנסים "להפוך" את ה-Hash. במקום זאת, הם משתמשים בטכניקות כמו: יBrute-Force: ניסיון של כל סיסמה אפשרית, גיבוב שלה, והשוואה ל-Hash הגנוב. יDictionary Attack: כמו Brute-Force, אבל עם רשימת סיסמאות נפוצות. יRainbow Tables: טבלאות ענק הממפות מראש מיליוני ערכי Hash לסיסמאות שיצרו אותם. זו הסיבה ש-Salting (הוספת מחרוזת אקראית ייחודית לכל סיסמה לפני הגיבוב) הוא קריטי. 🔑 הצפנה סימטרית - המנעול עם המפתח היחיד 🔑 רקע תיאורטי: בשיטה זו, מפתח סודי יחיד משמש גם להצפנה (Encryption) וגם לפענוח (Decryption). חשבו על כספת עם מפתח אחד: מי שיש לו את המפתח יכול לנעול אותה, ורק מי שיש לו את אותו מפתח בדיוק יכול לפתוח אותה. אלגוריתמים סימטריים מתחלקים לשני סוגים עיקריים: צפני בלוקים (Block Ciphers): מצפינים נתונים בגושים ("בלוקים") בגודל קבוע. AES (Advanced Encryption Standard) הוא המלך הבלתי מעורער כאן. צפני זרם (Stream Ciphers): מצפינים נתונים סיבית אחר סיבית או בית אחר בית. השלכות אבטחת מידע ושימושים: הצפנה סימטרית היא מהירה ויעילה מאוד מבחינה חישובית. לכן היא אידיאלית להצפנת כמויות גדולות של מידע. הצפנת נתונים במנוחה (Data at Rest): הצפנת דיסקים קשיחים (BitLocker, FileVault), קבצים, והודעות דוא"ל בארכיון. הצפנת נתונים בתעבורה (Data in Transit): חלק גדול מהתקשורת המאובטחת ב-TLS/SSL משתמש בהצפנה סימטרית כדי להצפין את המידע הזורם בין הדפדפן לשרת, לאחר שהמפתחות הוחלפו בצורה מאובטחת. האתגר הגדול: הפצת המפתח (Key Distribution). איך שני צדדים שלא נפגשו מעולם יכולים להסכים על מפתח סודי משותף מבלי שמישהו בדרך יצותת ויגנוב אותו? כאן נכנסת לתמונה ההצפנה הא-סימטרית. 👥 הצפנה א-סימטרית - זוג המפתחות 👥 רקע תיאורטי: שיטה זו, המכונה גם Public Key Cryptography, משתמשת בזוג מפתחות הקשורים זה לזה מתמטית: מפתח ציבורי (Public Key): ניתן לשיתוף עם כל העולם. משמש להצפנת מידע. מפתח פרטי (Private Key): נשמר בסוד מוחלט אצל הבעלים. משמש לפענוח המידע שהוצפן עם המפתח הציבורי התואם. האנלוגיה הקלאסית היא תיבת דואר עם שני חריצים: חריץ עליון פתוח לכולם (המפתח הציבורי), שדרכו כל אחד יכול להכניס מכתב. אבל רק בעל תיבת הדואר, עם המפתח הפרטי שלו, יכול לפתוח את התיבה ולקרוא את המכתבים.

🎉🔥 500 חברים!🔥🎉 קהילה יקרה שלנו, רציתי לעצור לרגע ולהגיד תודה ענקית לכל אחד ואחת מכם! 🚀 כשהתחלתי את הערוץ הזה, המטרה הייתה לשתף ידע וליצור מקום לחובבי סייבר. לא תיארתי לעצמי שנגדל כזה מהר ל 500 איש! אבל האמת היא, רציתי ללמד, אבל גיליתי שבשביל להסביר לכם נושאים לעומק הייתי צריך לחקור, ללמוד ולהבין אותם בעצמי ברמה שלא הכרתי. כל מדריך שכתבתי, כל כלי שסקרתי, וכל שאלה שלכם גרמה לי להתפתח. אז בעצם, בזמן שחשבתי שאני מלמד אתכם, גיליתי שאתם הייתם המורים הכי טובים שלי. אז תודה לכם! 🙏 תודה שאתם כאן, שואלים, מגיבים, ודוחפים קדימה. המסע הזה הוא של כולנו, ויש לנו עוד המון ללמוד ביחד. ממשיכים בכל הכוח! 💪 הצטרפו לערוץ. @CYBERSECURITYCODING

🏁🌍 התמונה הגדולה: חסרונות, העתיד (XDR) וסיכום הסדרה (חלק 5 מתוך 5) 🌍🏁 הגענו לסוף המסע שלנו בעולם ה-EDR. בחמשת הפוסטים האחרונים, יצאנו למסע שלם: התחלנו ב"למה" (חולשות האנטי-וירוס). צללנו ל"איך" (מנגנוני איסוף המידע). ראינו את הכוח בידי המגנים (ציד ותגובה). לבשנו את כובע התוקפים (טכניקות עקיפה). עכשיו, הגיע הזמן לקחת צעד אחורה, לראות את התמונה הגדולה, ולשאול את השאלות החשובות: האם EDR הוא הפתרון המושלם? מה השלב הבא? והאם כל אחד צריך את זה? 💡 אז EDR הוא הפתרון המושלם? לא בדיוק. למרות כל העוצמה שלו, ל-EDR יש חסרונות מובנים שחשוב להכיר: 1️⃣ הוא "עיוור" מחוץ לנקודת הקצה: כשמו כן הוא, Endpoint Detection and Response. הוא אלוף העולם במה שקורה על תחנות קצה ושרתים, אבל אין לו מושג מה קורה ביניהם. הוא לא יראה תעבורת רשת חשודה בין שני שרתים שאין עליהם סוכן, הוא לא יזהה שינוי הגדרות מסוכן בענן, והוא לא יראה את מייל הפישינג לפני שהמשתמש לחץ על הלינק. התקפה מודרנית היא חוצת-סביבות, ו-EDR רואה רק חלק אחד מהפאזל. 2️⃣ תלות קריטית בצוות מיומן (SOC): ‏EDR הוא לא פתרון "שגר ושכח". הוא מייצר כמות אדירה של מידע והתראות. ללא צוות של אנליסטים מיומנים שיודעים לתחקר את ההתראות, לבצע ציד איומים, ולהבין את ההקשר הכלי מאבד את רוב האפקטיביות שלו והופך למקור לרעש. לתת EDR לצוות לא מיומן זה כמו לתת לנהג חדש מפתחות למכונית פורמולה 1. 🏎️ 3️⃣ עלות ומשאבים: פתרונות EDR הם כלים יקרים, המיועדים בעיקר לארגונים. הם דורשים תחזוקה, ניהול, וגם צורכים משאבי עיבוד (CPU/RAM) מנקודות הקצה שעליהן הם מותקנים. 🚀 האבולוציה: שלום XDR, להתראות שטחים מתים החסרונות של EDR, ובעיקר ה"עיוורון" שלו מחוץ לנקודת הקצה, הובילו באופן טבעי לדור הבא של ההגנה: XDR - Extended Detection and Response. מה זה XDR? אם EDR אוסף מידע עשיר מנקודת הקצה, XDR לוקח את המידע הזה ומאחד אותו עם טלמטריה ממקורות אבטחה נוספים ברחבי הארגון. ה-"X" מסמל "מורחב" – הוא מרחיב את הראייה מעבר לנקודת הקצה. איך זה עובד? פלטפורמת XDR עושה קורלציה 🔗 בין אירועים ממקורות שונים כדי לבנות סיפור תקיפה אחוד. היא שואבת מידע מ: יEndpoints (הטלמטריה העשירה של ה-EDR) רשת (NDR - Network Detection and Response) ענן (לוגים מ-AWS, Azure, GCP) אימייל (התראות ממערכות הגנה על דואר) זהויות (לוגים מבקרי דומיין, Okta, Azure AD) התוצאה: יכולת לראות את כל סיפור התקיפה מקצה לקצה. למשל, XDR יכול לחבר את הנקודות בין מייל פישינג חשוד (התראת אימייל), ללחיצת משתמש והרצת קובץ (התראת EDR), לניסיון התפשטות ברשת (התראת NDR), ועד לניסיון גישה לשרת בענן עם פרטי משתמש גנובים (התראת זהות וענן) והכל במסך אחד. 📝 סיכום הסדרה: מה לקחת מכל זה? יEDR שינה את כללי המשחק בהגנה על נקודות קצה. הוא הפך את ההגנה מפסיבית ("מחכים לווירוס") לאקטיבית ("צדים התנהגות חשודה"). הוא מספק נראות ותגובה שבעבר היו בגדר חלום עבור צוותי הגנה. הוא אינו מושלם. יש לו שטחים מתים, והוא דורש מומחיות גבוהה להפעלה. תוקפים מיומנים תמיד יחפשו דרכים לעקוף אותו. העתיד טמון באינטגרציה רחבה יותר ובשבירת הממגורות בין כלי האבטחה השונים, כפי שמבטיח עולם ה-XDR. שורה תחתונה: בין אם אתם בצוות ההגנה או בצוות התקיפה, הבנה עמוקה של עקרונות הפעולה, החוזקות והחולשות של EDR היא ידע חובה לכל איש סייבר כיום. תודה רבה לכל מי שעקב, קרא, הגיב ושיתף לאורך הסדרה הזו! אני מקווה שהיא סיפקה לכם ערך מוסף והעמיקה את ההבנה שלכם. מה דעתכם על הסדרה? וחשוב יותר - איזה נושא בעולם הסייבר תרצו שנצלול אליו לעומק בסדרה הבאה? כתבו לנו בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🎩👻 לחשוב כמו תוקף: טכניקות מתקדמות לעקיפת EDR (חלק 4 מתוך 5) 👻🎩 בפוסטים הקודמים, בנינו את EDR כמערכת הגנה כמעט כל-יודעת. ראינו איך היא אוספת מידע מהרמות הנמוכות ביותר של מערכת ההפעלה, ואיך היא מעניקה למגינים יכולות ציד ותגובה חסרות תקדים. אבל בעולם הסייבר, על כל הגנה מתוחכמת קמה טכניקת עקיפה מתוחכמת לא פחות. EDR הוא לא קופסת קסם, והתוקפים המיומנים ביותר יודעים בדיוק איפה לחפש את הסדקים בשריון שלו. אז בואו נשים בצד את הכובע הכחול, נחבוש את כובע התוקף, ונצלול לכמה מהטכניקות הפופולריות והיעילות ביותר ל-EDR Evasion. טכניקה 1: Direct System Calls ו-Unhooking זוכרים שבחלק 2 דיברנו על User-Mode Hooking, הדרך שבה EDR "מתלבש" על פונקציות מערכת כדי לרגל אחריהן? ובכן, אם התוקף יודע שה-EDR מאזין בדלת הראשית, הוא פשוט יחפש דרך להיכנס מהחלון. יUnhooking: נוזקה מתוחכמת יכולה לזהות את ה-"Hooks" שה-EDR שתל בספריות המערכת (כמו ntdll.dll). לאחר הזיהוי, היא יכולה לטעון לזיכרון עותק נקי של הספרייה ישירות מהדיסק, ובכך למחוק ולנטרל את כל יכולות הניטור של ה-EDR באותו תהליך. 🎭 יDirect System Calls: טכניקה מתקדמת אף יותר. במקום לקרוא לפונקציה ב-ntdll.dll (שנמצאת במעקב), הקוד הזדוני פונה ישירות לליבת מערכת ההפעלה באמצעות פקודת Assembly נמוכה בשם syscall. הוא בעצם מדלג מעל כל שכבת הניטור של ה-EDR ומבקש מהקרנל לבצע את הפעולה עבורו ישירות. זה כמו לדבר עם מנהל הבניין דרך מכשיר קשר, במקום לעבור דרך המזכירה שרושמת כל שיחה. טכניקה 2: "הבא את הדרייבר הפגיע שלך" (BYOVD) זוהי אחת הטכניקות החזקות והמסוכנות ביותר. תוקפים צריכים הרשאות גבוהות (ברמת הליבה) כדי לנטרל EDR, אבל מערכות הפעלה מודרניות לא מאפשרות לטעון דרייברים לא חתומים דיגיטלית. הפתרון של התוקף? הוא לא מביא דרייבר זדוני משלו. במקום זאת, הוא מוצא דרייבר לגיטימי, חתום דיגיטלית על ידי חברה מוכרת, שידוע שיש בו חולשת אבטחה (למשל, דרייבר ישן של כרטיס גרפי או אנטי-וירוס אחר). הוא טוען את הדרייבר הפגיע הזה למערכת (מערכת ההפעלה מאשרת כי הוא חתום ולגיטימי ✅), ואז מנצל את החולשה בו כדי להריץ קוד משלו עם הרשאות ליבה (Ring 0). מרגע שיש לו קוד שרץ ברמת הליבה, המשחק כמעט נגמר. הוא יכול לכבות את התהליכים של סוכן ה-EDR, למחוק את הדרייברים שלו, או פשוט "לסנוור" אותו כך שלא ידווח יותר לקונסולה. 💣 טכניקה 3: ניצול "שטחים מתים" והגדרות שגויות לפעמים הדרך הפשוטה ביותר היא היעילה ביותר. תוקפים יודעים ש-EDR, חזק ככל שיהיה, מנוהל על ידי בני אדם. הצפה בהתראות (Event Fatigue): תוקף יכול לייצר כמות אדירה של "רעש" ופעילות שפירה אך רועשת. המטרה היא להציף את צוות ה-SOC (Security Operations Center) בכל כך הרבה התראות לא רלוונטיות, שההתראה האמיתית והחשובה על הפעילות הזדונית שלו תטבע בים הרעש ותיעלם מעיני האנליסט העייף. ניצול החרגות (Exclusions): כדי למנוע בעיות ביצועים, מנהלי מערכת לעיתים קרובות מגדירים "החרגות" ל-EDR – תיקיות או תהליכים שה-EDR מתבקש לא לסרוק (למשל, תיקיות של תוכנות גיבוי, שרתי בסיסי נתונים וכו'). תוקפים סורקים באופן אקטיבי אחר החרגות אלו, ואם הם מוצאים אחת, הם יודעים שזוהי "עיר מקלט" מושלמת להחביא בה את הנוזקה שלהם. 🎯 טכניקה 4: התחמקות מבוססת זמן ("Low and Slow") יEDR מצטיין בזיהוי פעולות מהירות ואגרסיביות. לכן, תוקף מתוחכם יפעל לאט ובחשאי. במקום לגנוב 10GB של מידע בשעה (פעולה שתפעיל כל התראה אפשרית), התוקף יכול למשוך מספר קילובייטים בודדים כל דקה, לאורך שבועות או חודשים. התעבורה הזו תיראה כמו רעש רקע תקין ותתמזג עם הפעילות הלגיטימית ברשת, מה שהופך את הזיהוי לקשה ביותר. כפי שראינו, EDR אינו מושלם והקרב בין המגנים לתוקפים נמשך כל הזמן. הבנת טכניקות העקיפה האלו חיונית לא רק לצוותים האדומים, אלא גם לצוותים הכחולים שצריכים לדעת כיצד לחזק את ההגנות שלהם. בפוסט האחרון והמסכם של הסדרה, נחבר את כל הנקודות: נדבר על החסרונות המובנים של EDR, מהו הדור הבא (XDR), והאם כל ארגון בכלל צריך את זה? שאלות ,הערות, כתבו לנו בתגובות👇 הצטרפו לערוץ @CYBERSECURITYCODING

⚔️🎯 מזהוי לתגובה אקטיבית: הכוח של ה-R ב-EDR (חלק 3 מתוך 5) 🎯⚔️ בשני הפוסטים הקודמים, הנחנו את היסודות. הבנו למה אנטי-וירוס לבדו הוא כבר לא מספיק (חלק 1), וירדנו לעומק הטכני של האופן שבו EDR מצליח "לראות" הכל ברמת נקודת הקצה (חלק 2). אז יש לנו את כל המידע. הסוכן מזרים טלמטריה עשירה, ואנחנו יכולים לראות כל תהליך, כל חיבור רשת וכל שינוי במערכת. השאלה עכשיו היא – מה אנחנו עושים עם כל הכוח הזה? כאן נכנס לתמונה ה-"R" שב-EDR – ה-Response (תגובה). זהו המרכיב שהופך את צוותי האבטחה מצופים פסיביים שמחכים לאזעקה, לציידים ולוחמים אקטיביים שיכולים להגיב לאיום בזמן אמת. בואו נפרק את שלוש התועלות המעשיות המרכזיות: יתרון 1: נראות חסרת תקדים (Unprecedented Visibility) 👁️ זה אולי נשמע בסיסי, אבל זה העיקרון החשוב ביותר: אי אפשר להגן על מה שלא רואים. בעוד שכלים ישנים הראו לנו רק את "קצה הקרחון" (התראות על וירוסים מוכרים), EDR נותן לנו תמונה מלאה של כל מה שקורה מתחת לפני המים. הנראות הזו היא הבסיס לכל יכולות ההגנה המתקדמות. היא מאפשרת לנו להבין את ההקשר המלא של כל פעולה ולזהות את הסיפור המלא של התקיפה, כפי שראינו עם "עץ התהליכים" בפוסט הקודם. יתרון 2: ציד איומים יזום (Proactive Threat Hunting) 🏹 זוהי אחת ממהפכות התפיסה הגדולות ביותר ש-EDR הביא לעולם הסייבר. במקום לחכות שהמערכת תייצר התראה אוטומטית, אנליסטים יכולים כעת לחפש באופן יזום אחר סימנים לפעילות זדונית שאולי חמקה מהזיהוי האוטומטי. איך זה עובד? פלטפורמות EDR מספקות שפת שאילתות מתקדמת המאפשרת לאנליסטים "לתשאל" את כל המידע שנאסף מכל התחנות בארגון. דוגמה לשאילתה טכנית שאנליסט יכול להריץ: process_name:powershell.exe AND has_network_connection:true AND NOT parent_process:explorer.exe בואו נפרק את זה: יprocess_name:powershell.exe - "תראה לי את כל המקרים שבהם רץ תהליך של PowerShell." יAND has_network_connection:true - "...ובנוסף, התהליך הזה יצר תקשורת לרשת." יAND NOT parent_process:explorer.exe - "...אבל התהליך הזה לא הופעל ישירות על ידי המשתמש (למשל, לחיצה על אייקון), אלא על ידי תהליך אחר (כמו סקריפט או תוכנה אחרת)." למה השאילתה הזו כל כך חזקה? היא מחפשת התנהגות שהיא מאוד לא שגרתית למשתמש רגיל, אבל מאוד אופיינית לנוזקה "חסרת קבצים" שמנסה לתקשר עם שרת השליטה והבקרה (C2) שלה. זה ציד במיטבו. יתרון 3: יכולות תגובה מרחוק (The "Response") ⚡ מצאנו איום. מה עכשיו? בעבר, היינו צריכים לשלוח טכנאי לתחנה, לנתק אותה פיזית מהרשת ולהתחיל תהליך פורנזי ארוך. EDR מאפשר לנו להגיב באופן מיידי, מכל מקום בעולם, ישירות מקונסולת הניהול. אלו יכולות התגובה המרכזיות: בידוד תחנה (Host Isolation / Quarantine): בלחיצת כפתור אחת, הסוכן על התחנה הנגועה מפעיל את חומת האש המקומית וחוסם את כל התקשורת הנכנסת והיוצאת, למעט תקשורת חזרה לקונסולת ה-EDR. פעולה זו מונעת מהאיום להתפשט הצידה ברשת (Lateral Movement) ועוצרת מתקפות כופר במסלולן. 🧱 פעולות על התחנה: ניתן לבצע פעולות כירורגיות מרחוק: להרוג תהליך זדוני, למחוק קובץ או ערך רג'יסטרי שהנוזקה יצרה, ולהעביר קבצים חשודים להסגר (Quarantine). יLive Response / Remote Shell: הכלי החזק ביותר בארסנל של האנליסט. EDR מאפשר פתיחת טרמינל (שורת פקודה) מאובטח ישירות לתחנה המותקפת. דרך הטרמינל הזה, האנליסט יכול להריץ פקודות, לנווט במערכת הקבצים, להוריד קבצים לבדיקה מעמיקה (כמו Memory Dump לניתוח פורנזי), ולהבין לעומק מה בדיוק קרה – כל זאת בזמן אמת. 🕵️‍♂️ ראינו את הכוח האדיר ש-EDR נותן לצוותי הגנה, והופך אותם מכוח תגובה פסיבי לכוח ציד ותגובה אקטיבי. אבל שום מערכת הגנה אינה מושלמת. בפוסט הבא נחבוש את כובע התוקף 🎩 ונשאל: איך עוקפים את 'האח הגדול'? נדבר על טכניקות מתקדמות של EDR Evasion. מה דעתכם על יכולות התגובה האלו? שתפו בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🔧🔬 מתחת למכסה המנוע: איך EDR באמת "רואה" הכל? (חלק 2 מתוך 5) 🔬🔧 בפוסט הקודם, דיברנו על ה"למה" וה"מה" של EDR. השתמשנו באנלוגיה של רשת מצלמות אבטחה חכמה שמנטרת התנהגות, בניגוד לשומר בכניסה שבודק רק "תעודות זהות". היום נשאל את השאלה המתבקשת: איך ה"מצלמות" האלה מותקנות? איך סוכן (Agent) ה-EDR, תוכנה קטנה שרצה על המחשב שלנו, מצליח להשיג כזו רמת פיקוח ושקיפות על כל מה שקורה במערכת ההפעלה? התשובה טמונה בשיטות איסוף מידע מתוחכמות שפועלות ברבדים העמוקים ביותר של המערכת. בואו נפרק את שלוש הדרכים המרכזיות: 🧠 מנגנוני איסוף המידע: שלוש הדרכים המרכזיות 🧠 1️⃣ ניטור ברמת הליבה (Kernel-Level Monitoring) זוהי הגישה החזקה והיעילה ביותר, ה"God Mode" של הניטור. מה זה אומר? הליבה (Kernel) היא הלב הפועם של מערכת ההפעלה. היא מנהלת את כל המשאבים: זיכרון, תהליכים, גישה לחומרה וכו'. סוכן ה-EDR רושם את עצמו ישירות מול הליבה באמצעות דרייברים ייעודיים (Filter Drivers ב-Windows) או מנגנונים מודרניים כמו eBPF בלינוקס. איך זה עובד? הסוכן בעצם מבקש מהליבה: "היי, תודיעי לי בבקשה לפני שאתה מאשר יצירת תהליך חדש, או פתיחת קובץ, או יצירת חיבור רשת". הליבה, שמתווכת את כל הפעולות האלה, שולחת לו "הודעה" (Callback) על כל אירוע כזה. היתרון העצום: מכיוון שה-EDR מקבל הודעה לפני שהפעולה מתבצעת, הוא לא רק יכול לתעד אותה, אלא גם לחסום 🚦 אותה בזמן אמת אם היא מזוהה כזדונית. 2️⃣ יירוט פונקציות במרחב המשתמש (User-Mode Hooking) זוהי טכניקה ותיקה יותר, שבה הסוכן "מתלבש" על תהליכים אחרים כדי לרגל אחריהם. מה זה אומר? רוב הפעולות המעניינות שתהליך מבצע (כמו כתיבת קובץ או תקשורת ברשת) עוברות דרך ספריות מערכת מרכזיות (כמו ntdll.dll או kernel32.dll). איך זה עובד? סוכן ה-EDR מזריק קוד משלו (DLL Injection) לתוך תהליכים אחרים, ומשנה את ההתחלה של פונקציות קריטיות כך שיפנו אל הקוד שלו. כשהתהליך קורא לפונקציה, הקוד של ה-EDR רץ ראשון, רושם את האירוע, ואז מעביר את הבקשה הלאה לפונקציה המקורית. זה כמו ליירט מכתב, לקרוא אותו, ואז לשים אותו בחזרה בתיבת הדואר. 🎣 החיסרון: טכניקה זו חשופה יותר למניפולציות. נוזקות מתוחכמות יודעות לזהות "Hooks" כאלה ולהסיר אותם (תהליך שנקרא Unhooking) כדי לפעול מתחת לרדאר. 3️⃣ שימוש במקורות מובנים: ETW (Event Tracing for Windows) זוהי הגישה המודרנית והאלגנטית ביותר בסביבת Windows. מה זה אומר? מיקרוסופט הטמיעה בתוך Windows מנגנון רישום לוגים (Logging) מובנה, מהיר ועשיר להפליא בשם ETW. המנגנון הזה פולט זרם אדיר של מידע על כמעט כל מה שקורה במערכת, החל מאירועי רשת ועד לפעולות בתוך הליבה. איך זה עובד? במקום להתקין דרייברים מורכבים או להזריק קוד, סוכן ה-EDR פשוט "נרשם כמנוי" (Subscribes) לערוצי המידע הרלוונטיים של ETW 📰. הוא מקבל את כל המידע שהוא צריך ישירות ממערכת ההפעלה, בצורה נקייה, יעילה ופחות פולשנית. חשוב לציין: רוב פתרונות ה-EDR המובילים כיום משלבים מספר טכניקות במקביל כדי להשיג כיסוי מקסימלי. ⛓️ יותר מסתם לוגים: בניית סיפור התקיפה ⛓️ הקסם האמיתי של EDR הוא לא רק באיסוף האירועים, אלא ביכולת לקשר ביניהם. הוא לא מציג רשימה אינסופית של פעולות, אלא בונה "עץ תהליכים" (Process Tree) או גרף סיבתיות. תחשבו על השרשרת הבאה: יOutlook.exe (משתמש פתח אימייל) ⬅️ פותח קובץ Word.exe (הקובץ המצורף) ⬅️ שמריץ מאקרו שפותח powershell.exe ⬅️ שמוריד קובץ זדוני מהאינטרנט. במקום ארבע התראות נפרדות, ה-EDR מציג לכם את כל השרשרת הזו כסיפור אחד, קוהרנטי וויזואלי 🗺️. זה מאפשר לאנליסט להבין את כל תהליך התקיפה בשניות. ראינו את המנגנונים הטכניים שמאפשרים ל-EDR את יכולות הראייה העל-אנושיות שלו. אוקיי, ה-EDR רואה הכל. מה אנחנו, המגנים, יכולים לעשות עם כל הכוח הזה? בפוסט הבא נדבר סוף סוף על ה-'R' שב-EDR: יכולות התגובה (Response) וציד האיומים (Threat Hunting) שהופכים אותו לכלי משנה משחק. ⚔️ נשמח לשמוע מה חשבתם בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🛡️💻 EDR: מהפכת השקיפות בנקודת הקצה (חלק 1 מתוך 5) 💻🛡️ ברוכים הבאים לסדרת הפוסטים החדשה שלנו, בה נצלול לעומק של אחד הכלים החזקים והחשובים ביותר בארסנל של כל צוות הגנה כיום: Endpoint Detection and Response, או בקיצור EDR. אבל לפני שנצלול לקוד ולקרנל, בואו נתחיל עם אנלוגיה פשוטה. תחשבו על האנטי-וירוס (AV) המסורתי שלכם כמו שומר 👮‍♂️ בכניסה לבניין . תפקידו פשוט: לבדוק "תעודות זהות" (חתימות קבצים) ולהשוות אותן לרשימה שחורה של פושעים מוכרים. אם מישהו מנסה להיכנס והפנים שלו מופיעות ברשימה - הוא נחסם. יעיל, נכון? אבל מה קורה אם נכנס לבניין אדם עם תעודה אמיתית ולגיטימית לחלוטין, אך ברגע שהוא בפנים, הוא מתחיל למפות את מיקום מצלמות האבטחה, לבדוק את כל המנעולים ולנסות לפרוץ למשרדים? 🧐 השומר בכניסה לא יראה שום דבר חשוד, כי מבחינתו, "האיש אושר בכניסה". כאן בדיוק נכנס לתמונה ה-EDR. הוא לא השומר בכניסה, הוא רשת מצלמות אבטחה חכמה 📹 הפרוסה בכל קומה, בכל מסדרון ובכל חדר בבניין, ומנתחת התנהגות באופן רציף, 24/7. 🤔 למה אנטי-וירוס קלאסי כבר לא מספיק? במשך שנים, אנטי-וירוס היה קו ההגנה המרכזי. אבל תוקפים התפתחו, והשיטות הישנות כבר לא עומדות בקצב. הנה שתי הסיבות הטכניות המרכזיות: 1️⃣ תלות בחתימות (Signatures): אנטי-וירוס מסורתי מסתמך על השוואת "טביעת אצבע" (Hash) של קובץ למאגר ענק של טביעות אצבע של נוזקות מוכרות. זה נכשל באופן מוחלט מול: מתקפות Zero-Day: נוזקה חדשה שמעולם לא נראתה קודם, ולכן אין לה חתימה במאגר. ונוזקות שמשנות את הקוד שלהן בכל פעם מחדש, מה שיוצר "טביעת אצבע" שונה בכל פעם. 🎭 2️⃣ התעלמות ממתקפות "חסרות קבצים" (Fileless Malware): האיום הגדול באמת. תוקפים מודרניים הבינו שהם לא צריכים להכניס קובץ זדוני למערכת. במקום זאת, הם משתמשים בכלים לגיטימיים שכבר קיימים במערכת ההפעלה כדי לבצע את זממם. התופעה הזו נקראת LOLbins (Living Off The Land). דוגמה קלאסית: תוקף יכול להשתמש ב-PowerShell (כלי ניהול מובנה וחזק ב-Windows) כדי להוריד ולהריץ קוד זדוני ישירות בזיכרון המחשב. האנטי-וירוס יראה את PowerShell.exe - תהליך לגיטימי וחתום על ידי מיקרוסופט - ולא יחשוד בדבר. 👻 ⚙️ אז איך EDR משנה את המשחק? עקרון הפעולה המרכזי הגאונות של EDR היא בשינוי התפיסה. במקום לשאול "האם הקובץ הזה רע?", הוא שואל "מה קורה במערכת כרגע?". הוא עושה זאת על ידי שני עקרונות מפתח: 1️⃣ איסוף טלמטריה (Telemetry) מקיף: הסוכן של ה-EDR שמותקן על המחשב הוא "מרגל" (במובן הטוב של המילה). הוא לא מחפש משהו ספציפי, הוא מתעד הכל. כל אירוע שקורה נרשם ונשלח לניתוח. זה כולל: יצירת תהליכים (איזה תהליך הריץ איזה תהליך אחר?). טעינת ספריות קוד (DLLs). תקשורת רשת (לאן המחשב פונה באינטרנט ובאיזה פורט?). שינויים ברג'יסטרי של Windows. קריאות API קריטיות למערכת ההפעלה. פעולות על קבצים (יצירה, מחיקה, שינוי). 2️⃣ ניתוח התנהגותי (Behavioral Analysis): כל המידע העצום הזה (הטלמטריה) נשלח לענן, שם מנועי Machine Learning ו-AI 🤖 בונים "קו בסיס" (Baseline) של התנהגות נורמלית עבור כל מחשב וכל משתמש בארגון. המערכת לומדת מהי שגרת העבודה הרגילה, ואז מתחילה לחפש חריגות ואנומליות – שרשרת פעולות שאולי כל אחת מהן לגיטימית בפני עצמה, אבל השילוב ביניהן חשוד. לדוגמה: תוכנת Word שפותחת את PowerShell, שיוצר חיבור לאינטרנט לכתובת IP לא מוכרת ברוסיה? 🚩 זה לא וירוס, זו התנהגות חשודה ש-EDR יתריע עליה מיד. בפוסט הזה הבנו את ה"למה" ואת ה"מה". ראינו למה AV לבדו כבר לא מספיק, ומהו עקרון הפעולה המהפכני של EDR. בפוסט הבא נצלול עמוק יותר למכסה המנוע 🔧: איך סוכן ה-EDR מצליח 'לראות' כל פעולה במערכת ההפעלה? נדבר על Kernel-Level Hooks, ETW ואיך כל זה לא גורם למחשב שלכם לזחול. שאלות? תובנות? שתפו בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

😢 כדור בראש לכל מחבל!!!!

אני סימתי לפתח עכשיו את הכלי שלי. ואני יכול לומר, שלמדתי מזה המון על docker, ואיך הוא אמור לרוץ בצורה מאובטחת. מחכה לכלים שלכם. https://t.me/CyberSecurityCodingBuild/3/62

🚀 אתגר הפיתוח צוללים לעומק אבטחת Docker! 🐳 קהילה יקרה, באופן רשמי, אנחנו חיים בעולם של קונטיינרים. Docker נמצא בכל מקום - משרתי פיתוח קטנים ועד למערכות Production מורכבות בענן. הוא מאפשר לנו לארוז ולהריץ אפליקציות בצורה יעילה ואמינה, אבל עם הכוח הגדול הזה, מגיעה גם אחריות גדולה לאבטחה. 🤔 למה דווקא אבטחת Docker? האמת הפשוטה היא שרוב המפתחים והמהנדסים אינם מומחי אבטחה. קל מאוד להעתיק קובץ Dockerfile מהאינטרנט או להריץ קונטיינר בלי להבין את פרצות האבטחה החמורות שיכולות להיווצר מתצורה שגויה. הרצה כ-root, חשיפת סודות, שימוש ב-Images פגיעים - אלו טעויות נפוצות שפותחות דלת אחורית לתוקפים. האתגר הזה נועד להפוך אתכם לאנשים שיודעים לזהות ולמנוע את הבעיות האלה. זהו צעד משמעותי מאוד בלמידה שלכם. 🛠️ המשימה שלכם: "מאבחן אבטחת Docker" המטרה היא לבנות כלי שיודע לסרוק קבצי Dockerfile או קונטיינרים רצים, ולזהות באופן אוטומטי הגדרות שגויות ופרקטיקות לא בטוחות. הכלי שלכם יהיה העוזר האוטומטי שכל מפתח צריך לידו. 💡 רעיונות להתפרע איתם (אתם בוחרים את הרמה): רמה 1 (הבסיס): מנתח Dockerfile סטטי הכלי מקבל נתיב לקובץ Dockerfile. סורק את הקובץ שורה-שורה ומחפש בעיות נפוצות: האם השורה האחרונה מגדירה משתמש שאינו root (USER non-root-user)? האם משתמשים בתג ספציפי ל-Base Image (כמו ubuntu:22.04) ולא ב-latest? האם יש פקודות ADD שמורידות קבצים מ-URL לא מאובטח? האם יש סודות (סיסמאות, מפתחות) שכתובים בטקסט רגיל בפקודות ENV או ARG? רמה 2 (המתקדמים): מנתח קונטיינרים רצים הכלי משתמש בספרייה של Docker (למשל, docker-py לפייתון) כדי להתחבר ל-Docker Engine המקומי. מציג רשימה של הקונטיינרים הרצים. לכל קונטיינר, הוא בודק: האם הוא רץ כ-root? האם הוא חושף פורטים רגישים (כמו 22, 3306) לרשת החיצונית? האם הוא משתף Volumes רגישים מהמחשב המארח (כמו docker.sock)? רמה 3 (המקצוענים): דוח מקיף והמלצות משלב את שתי הרמות הקודמות. מפיק דוח סופי, אולי בקובץ HTML או PDF. נותן "ציון אבטחה" מספרי לכל קונטיינר/Dockerfile. לכל בעיה שנמצאה, מציע פקודה או שורת קוד לתיקון. 📚 מאיפה מתחילים ללמוד? (מקורות מומלצים) כדי לבנות כלי כזה, צריך קודם להבין מה לחפש. הנה רשימת מקורות מעולה שתכניס אתכם לעניינים: מסמכי חובה (Cheat Sheets): OWASP Docker Security Cheat Sheet - נקודת הפתיחה הטובה ביותר. רשימה תמציתית של כל מה שחשוב. . מאמרים ושיטות עבודה מומלצות: https://www.aquasec.com/cloud-native-academy/docker-container/docker-security-best-practices/ - מדריך מקיף ומעמיק. התיעוד הרשמי של Docker בנושא אבטחה - תמיד טוב לחזור למקור. ספריות קוד שימושיות: docker-py (Python) - ספרייה שמאפשרת לסקריפטים שלכם "לדבר" עם Docker ולנהל קונטיינרים. 🏆 סקירה: הכלי המרשים והשימושי ביותר יזכה בסקירת וידאו מלאה בערוץ הראשי, עם קרדיט מלא ליוצר! הגשה: פרסמו את הכלי שלכם (קישור ל Github) בנושא "Your tools 🛠️". זה אתגר מאתגר, אבל התוצאה הסופית היא כלי שימושי בטירוף וידע ששווה זהב . קדימה, מחכים לראות את הכלים שלכם!

שלום לכולם, בהמשך לסקר שנערך, אנו שמחים להודיע על פתיחת קבוצת "המעבדה של הקהילה". הקבוצה תשמש כמרחב משותף לפיתוח ושיתוף של כלי סייבר, סקריפטים ופרויקטים. המטרה היא לאפשר לחברי הקהילה ללמוד, להתייעץ ולשתף פעולה. אתם מוזמנים להצטרף דרך הקישור הבא: https://t.me/CyberSecurityCodingBuild

שלום לכולם, בהמשך לסקר שנערך, אנו שמחים להודיע על פתיחת קבוצת "המעבדה של הקהילה". הקבוצה תשמש כמרחב משותף לפיתוח ושיתוף של כלי סייבר, סקריפטים ופרויקטים. המטרה היא לאפשר לחברי הקהילה ללמוד, להתייעץ ולשתף פעולה. אתם מוזמנים להצטרף דרך הקישור הבא: https://t.me/CyberSecurityCodingBuild

הי חברים, עלה לי רעיון קטן. בעולם שאנחנו נמצאים עכשיו עם כל העוזרים קוד מבוססי AI, נהיה יותר ויותר פשוט לכתוב כלים סקריפטים מועילים וכו'. מה דעתכם, שנפתח קבוצה ייעודית ששם אתם חברי הערוץ תשתפו כלים שאתם בונים. והכלים הטובים, נעשה עליהם סקירה בערוץ, וניתן קרדיטים.