שאלת ראיון ל־SecOps: תארו 5 מתקפות סייבר שאתם מכירים

זה קורה כמעט בכל ראיון לתפקיד SecOps, אנליסט SOC או Cyber Security Analyst. אחרי ״ספר לנו קצת על עצמך״, המראיין נשען אחורה וזורק את השאלה שנשמעת הכי פשוטה בעולם: ״תאר לי חמש מתקפות סייבר שאתה מכיר.״

וזו בדיוק המלכודת. השאלה לא בודקת אם שמעתם פעם על כופרה בחדשות — היא בודקת אם אתם מבינים איך תוקפים באמת עובדים, מה כל מתקפה מנצלת, ואיך מתגוננים מולה. מי שעונה ברשימה יבשה נשמע כמו מי שקרא כתבה. מי שעונה עם ההיגיון שמאחורי כל מתקפה — נשמע כמו מי שיושב כבר ב־SOC.

למה דווקא החמישה האלה?

כי הם מכסים את כל הדרכים שתוקף יכול להיכנס אליכם לארגון: דרך ספק שאתם סומכים עליו, דרך המשתמשים שלכם, דרך האפליקציות שלכם, דרך התשתית עצמה — ודרך המוטיבציה הכי ישנה שיש: כסף. אם אתם יודעים להסביר את החמישה האלה בעל פה, יש לכם תשתית לכל שאלת המשך שתגיע.

לחצו להגדלה

1. מתקפת שרשרת אספקה (Supply Chain Attack)

התוקפים לא פורצים אליכם ישירות — הם פורצים למישהו שאתם סומכים עליו. ספק תוכנה, עדכון לגיטימי, שירות ענן שמחובר אליכם. ברגע שהקוד הזדוני נכנס דרך עדכון שהארגון עצמו התקין, הוא מדלג מעל כל מערכות ההגנה ההיקפיות, כי מבחינת המערכת — הוא מקור מורשה לחלוטין.

הדוגמה שכל מראיין מצפה שתכירו: פריצת SolarWinds. תוקפים חדרו לתהליך הפיתוח של תוכנת הניהול Orion, שתלו קוד זדוני בעדכון רשמי, והעדכון הופץ לכ־18,000 ארגונים — כולל ממשלות ותאגידי ענק. שום פיירוול לא עצר את זה, כי הארגונים התקינו את הנוזקה בעצמם, בשמחה.

במילים של SOC: כאן לא מספיק להסתכל על תעבורה חשודה — צריך ניטור התנהגותי של תהליכים לגיטימיים, בקרת ספקים, ובדיקת עדכונים לפני הפצה. זו בדיוק הסיבה שמתקפות שרשרת אספקה נחשבות למתוחכמות ביותר.

2. תוכנת כופר וסחיטה כפולה (Ransomware & Double Extortion)

הקלאסיקה שכולם מכירים: נוזקה חודרת לרשת, מצפינה קבצים ושרתים, ודורשת תשלום תמורת מפתח השחזור. אבל אם תעצרו כאן — פספסתם את הנקודה שהמראיין מחכה לה.

היום התקן הוא סחיטה כפולה: לפני ההצפנה, התוקפים גונבים את הנתונים הרגישים החוצה. אחר כך הם מאיימים לפרסם אותם בפומבי — ופתאום הגיבוי המעולה שהכנתם לא פותר כלום. שחזרתם את המערכות? יופי. אבל מאגר הלקוחות שלכם כבר בדרך לרשת. זו הסיבה שארגונים משלמים גם כשיש להם גיבויים מלאים.

במילים של SOC: הזיהוי המוקדם הוא הכול — תעבורת העברת נתונים חריגה (Exfiltration) לפני ההצפנה, תהליכי הצפנה חריגים בתחנות קצה, וגישה חריגה לשיתופי קבצים. כאן בדיוק מערכות EDR ו־XDR מוכיחות את הערך שלהן.

3. דיוג ממוקד (Spear Phishing)

כולם מכירים פישינג — מייל גנרי שנשלח למיליונים. Spear Phishing הוא ההפך הגמור: מתקפה מותאמת אישית לעובד ספציפי, לרוב מישהו עם הרשאות גבוהות או גישה לכספים — מנהלת כספים, סמנכ״ל, איש סיסטם.

התוקף עושה שיעורי בית: אוסף מודיעין מלינקדאין, מהאתר של החברה, מרשתות חברתיות. הוא יודע מי המנהל שלכם, על איזה פרויקט אתם עובדים ואיך המיילים הפנימיים שלכם נראים. ואז מגיעה הודעה שנראית אמיתית לחלוטין — בקשה דחופה מהמנכ״ל, חשבונית מספק מוכר — והקורבן מוסר הרשאות או מפעיל קוד זדוני מרצונו.

במילים של SOC: זו נקודת הכניסה מספר אחת לרוב המתקפות הגדולות. ההגנה היא שכבתית — סינון דוא״ל, אימות דו־שלבי, מודעות עובדים, וניטור התחברויות חריגות גם אחרי שההרשאות נגנבו.

4. הזרקת SQL (SQL Injection — SQLi)

כאן עוברים לצד של האפליקציות. כל טופס באתר — התחברות, חיפוש, הרשמה — הוא שדה קלט. אם המפתחים לא סיננו את הקלט כמו שצריך, תוקף יכול להזין לתוכו שאילתת SQL שתרוץ ישירות מול מסד הנתונים.

מה אפשר לעשות עם זה? כמעט הכול: לעקוף מסך התחברות, לשלוף את כל טבלת הלקוחות, לשנות מחירים, ואפילו למחוק טבלאות שלמות. זו אחת החולשות הוותיקות ביותר באינטרנט — והיא עדיין מופיעה ברשימת ה־OWASP Top 10, כי אפליקציות חדשות ממשיכות ליפול בה שוב ושוב.

במילים של SOC: חתימות התקפה בלוגים של שרתי הווב, WAF שחוסם דפוסי הזרקה, ובצד הפיתוח — שאילתות פרמטריות (Prepared Statements) שהורסות את המתקפה מהשורש.

5. מניעת שירות מבוזרת (DDoS)

המתקפה הכי ״רועשת״ ברשימה: להפיל אתר, שירות או תשתית על ידי הצפה בתעבורה שחורגת מיכולת העיבוד שלהם. המשתמשים הלגיטימיים פשוט לא מצליחים להיכנס — האתר קורס תחת העומס.

מה שהופך את זה למסובך הוא ה־D הראשון: Distributed. המתקפה לא מגיעה ממקור אחד שאפשר לחסום, אלא ממאות אלפי מחשבים נגועים ברחבי העולם — Botnet — שמפציצים בו זמנית. אי אפשר פשוט לחסום כתובת IP אחת וללכת הביתה.

במילים של SOC: ההגנה מתבססת על שירותי סינון תעבורה (Scrubbing), רשתות CDN שסופגות עומס, וזיהוי אנומליות בנפחי תעבורה. ויש גם ניואנס חשוב: לפעמים DDoS הוא רק מסך עשן שמסתיר מתקפה אחרת שקטה שקורית במקביל.

איך עונים על זה בראיון — בביטחון

״אתחיל משרשרת האספקה — כי היא מנצלת את האמון שלנו בספקים, כמו בפריצת SolarWinds. אחר כך כופרה עם סחיטה כפולה, שהיום גונבת את המידע לפני ההצפנה, אז גיבוי לבדו לא פותר. דיוג ממוקד — נקודת הכניסה הנפוצה ביותר, דרך האדם ולא דרך המערכת. SQL Injection — ניצול קלט לא מסונן באפליקציות ווב. ו־DDoS — הצפה מבוזרת שמפילה שירותים, ולפעמים גם משמשת מסך עשן למתקפה אחרת. במשותף לכולן: הן מנצלות נקודה אחרת — אמון, אדם, קוד או תשתית — ובדיוק לכן ההגנה חייבת להיות שכבתית.״

שימו לב למבנה: הגדרה קצרה, דוגמה אמיתית, ומשפט סיכום שמראה הבנה מערכתית. ככה נשמע מועמד שיושב ב־SOC — לא כזה שקרא על SOC.