Idan Tzabar

בואו נסדר כאן את הבלאגן. יש פה כמה אלמנטים שאנשים מפספסים. קטליסטים כמו קלוד מיתוס או מודל הסייבר החדש של אופן איי איי הם לא הייפ. יש להם יכולות אמיתיות למצוא חולשות וגם לנצל אותן בידיים הלא נכונות. מישהו נתן לי אנלוגיה יפה כאן שעזרה לי להבין את המצב. תחשבו על מודלים כמו מיתוס כמעבר של האקרים מרובה צלפים (מומחיות במציאת חולשות נישתיות) למכונת יריה (כוח אש גבוה). האקר עכשיו לא צריך להיות מומחה עולמי. הוא פשוט לוקח מודל עם כוח אש גבוה ותוקף בכוח מהרבה כיוונים. אז באנלוגיה הזו, איך מגיבים למכונת יריה? בונים טנק, ו(חלק מ)חברות הסייבר הן הטנק הזה. ראיתי בתגובות לפוסט הקודם שאנשים חושבים שאם מצאת חולשה בקוד אז ״פשוט תתקן אותה״ וכבר לא צריך שירותי סייבר. לדעתי זו טעות יסודית. דבר ראשון, חברות סייבר הן לא מקשה אחת. יש באמת חברות שכל המודל העסקי שלהן מבוסס רק על סריקה ומציאת חולשות, והן באמת נמצאות בצרות צרורות. מצד שני, קחו חברה כמו רובריק שמספקת מערכת גיבוי זירו טראסט חסינה לשינויים. קלוד יכול להגיד לכם שאתם צריכים מערכת כזו, והוא יצדק, אבל לבנות אותה בעצמכם זה פרויקט עצום שאתם לא רוצים (או יכולים) לעשות. פתרונות כאלה דורשים שינויי עומק של חודשים, הטמעה פיזית ברשת, חומרה, והבנה של הביזנס עצמו כדי לא לשתק את החברה. זו לא פינה שאפשר לסגור עם בוט בחצי שעה. כאן המצב הוא דווקא הפוך. מכיוון שקל יותר לתקוף אותכם כעת, אתם תשתמשו ברובריק כי גם אם תוקף מצא חולשה ושרף לכם את כל הדאטה סנטר, הארכיטקטורה שלהם מבטיחה שתחזרו לאוויר כי הגיבוי שלכם נעול ומופרד הרמטית. אותה האנלוגיה נכונה לחברות כמו קראודסטרייק שמזהה אנומליות התנהגותיות, ולחברות תשתית זהויות כמו אוקטה וסייבר ארק. הקלות במציאת הבעיה לא נותנת פתרון, היא רק מעצימה את החולשה כי כל האקר יכול למצוא אותה עכשיו יותר בקלות (וזו הנקודה שאנשים פספסו לדעתי בפוסט הקודם), בזמן שפיתרון אמיתי דורש ארכיקטורה שלמה. ככל שקלוד וחבריו יציפו את השוק ביותר יכולות סייבר, ככה הביקוש לשירותים של החברות שנותנות את הפתרון הארכיטקטוני והפיזי הולך לעלות. יש פה עוד משהו. הקשיחות הכללית של קוד דווקא יורדת עכשיו, בין השאר בגלל שהרבה קוד נכתב עכשיו על ידי בינה מלאכותית, והסיכון שמשהו מטופש יגיע לפרודקשן קופץ. מתכנתים בקהל מוזמנים להגיד בכנות אם הם באמת מכירים כל שורה בקוד שהם מעלים. וגם אם אתם מעולים ומכירים הכל, יהיו מספיק אנשים שידחפו קוד שבור בלי לבדוק. כאן דווקא מודלים כמו מיתוס יכולים לעזור. נותנים למיתוס לעבור על הקוד לפני שדוחפים אותו קדימה לתפוס בעיות מראש. הדינמיקה האחרונה שמשפיעה על תמחור חברות הסייבר היא כלכלית. מכיוון שעלות כתיבת קוד יורדת באופן רוחבי, חסמי הכניסה התחרותיים יורדים (והתחרות המוגברת תגרום ללחץ מחירים). זה נכון לחברת תוכנה, וזה נכון גם לסייבר. מה זה אומר? שאם בעבר כדי להתחרות עם קראודסטרייק הייתי צריך לגייס שני מיליארד דולר, היום אפשר לבנות משהו מספיק טוב ב25 מיליון (ולתפוס חתך שוק עם פיתרון נישה). זה אמנם לא פאצ׳ של חצי שעה בקלוד, אבל זה גם לא האוורסט שזה פעם היה (וזו הסיבה האמיתית שסקטור התוכנה חוטף חסמי הכניסה ועלויות הפיתוח של מתחרים יורדים). לסיכום: הביקוש למוצרי סייבר שסורקים קוד ומוצאים בעיות כנראה ירד, והביקוש למוצרים שנותנים פתרונות ארכיטקטוניים כנראה יעלה (לדעתי משמעותית). למרות הדינמיקה החיובית למוצרים ארכיטקטוניים, הירידה הכללית בחסמי הכניסה עדיין יורדת, ותמשיך ליצור לחץ תחרותי. אבל כאן יש עוד זמן. איכות וקשיחות הקוד כנראה בסופו של יום תעלה, כי כלים כמו מיתוס יעזרו לתפוס חולשות מראש.