חשיפת המהפכה המתקרבת בעולם הסייבר: סייבר אנליטי

חשיפת המהפכה המתקרבת בעולם הסייבר: סייבר אנליטי
מאת: אבי וייס, 12.8.14, 17:30
 
עולם פתרונות הסייבר עומד לעבור טלטלה רבתי והמהפכה הקרובה תתרחש עם היציאה לשוק של פתרונות סייבר אנליטיים חדשים מבית SAS, המבוססים על כלים סטטיסטיים - אנליטיים ויכולות BigData לטיפול סופר מהיר בכמויות ענקיות של מידע.
 
"אנו מציגים עולם חדש של סייבר, וממש יוצרים מהפכה בעולם זה", מתאר מוטי סדובסקי, מנהל מכירות – תחום ביטחון מיה מחשבים - SAS. "אנו בונים פתרון חדש לסייבר אנליטי המגיע מעולם המוצרים שאנו כבר נמצאים בו, עולם האנליטיקה – Analytics. באמצעות כלים אנליטיים, שחלקם פועלים ב- Near Real Time, אנו מבצעים למעשה  'חיפוש של מחט בערמת שחת'. ומספקים פתרון שאין ייחודי בעולם הסייבר".
 
קיימתי ראיון בלעדי עם מוטי סדובסקי (בתמונה), כדי לשמוע על המהפכה הבאה של עולם הסייבר: סייבר אנליטי. המהפכה הזו כבר מוצגת בימים אלו לגופי הביטחון השונים ולארגונים להם מערכות חיוניות וקריטיות ברמת המדינה.
היות ואין אפשרות לבנות פתרון סייבר אחד המתאים לכולם, אנו חוברים בישראל עם גוף משמעותי ביותר שלו יחידת סייבר, וביחד ניצור פתרונות שלמים וכוללים המותאמים לכל ארגון וארגון. 

שאלה: מהיכן צמח הרעיון של סייבר ב-SAS?
מוטי סדובסקי: "אנו מאמינים, שצריך לעבוד בחוכמה. כמו בסייבר כך גם בכל המוצרים והפתרונות שלנו אנו יוצרים ערך עיסקי (כספי או שירותי) לארגונים ולעסקים המפעילים את מוצרי SAS. לדוגמא: בתחומים של חסכון ואופטימיזצית משאבים, ניהול מלאים ורכש, חיזוי, הערכת סיכונים, ניהול קמפיינים ועוד ועוד. כך גם בתחום הסייבר האנליטי במבוסס על מוצרי החברה ויכולותיה לטיפול בכמויות מידע ענקיות ובמהירות. 

אנו מצויים בעידן ה-Big Data. חברת  SASעושה שימוש ביכולות BigData באמצעות בסיסי נתונים כגון Hadoop, TeraData, GreenPlum (ניתן לעשות שימוש בכל בסיס נתונים SQL או NoSQL). כשיש כמויות גדולות של מידע וסוגי מידע מגוונים, שימוש בכלי הנכון יכול להפיק תובנות רבות ולהביא תועלת מיידית לכל ארגון.

תחום ה-Big Data התרומם ומצליח, והיום המחיר של אחסון המידע נהיה זול ממחיר קבלת החלטה איזה מידע כדאי לזרוק.
 
אנו נמצאים היום בנקודת זמן שבה מגיעות 4 טכנולוגיות לכלל בשלות ומימוש:

• Internet of Things – צריך להתקשר עם כל Device באינטרנט שיש לו IP.
• BigData – יכולת ניהול וטיפול בכמויות מידע ענקיות ומידע מסוגים שונים.
• Hadoop – כלי Open לניהולDB   ענקי באמינות ומהירות מירביים.
• Analytical Products – כלים מבוססי סטטיסטיקה ומתימטיקה ליצירת תובנות וחיזוי ממידע רב ביותר.

כאשר 4 הכוחות הטכנולוגיים הללו מתמזגים, ניתן לנצל את זה לעולם הסייבר רווי המידע.  "הסייבר הוא, בסופו של דבר, תהליך ניתוח של מידע ויצירת תובנות ומהר".
 
שאלה: איך אתם רואים ומגדירים את עולם הסייבר?
תשובה: "המונח סייבר אינו ממש מוגדר. כיום, כל חברה וארגון רואים פתרון סייבר אחר המתאים לצרכיהם. אנו מכירים בהבדלים בין סייבר הגנתי וסייבר התקפי, אבל בעצם כל ארגון צריך פתרון ייחודי משלו. ארגונים מחפשים איך להגן מפני התקפות סייבר על כל מכשיר קצה שבאחריותם. מה שהחל כהגנה על מערכי מיחשוב כיום עובר להגנה על Devices פיזיים ברשת (Internet of Things). לדוגמא: מכשירים רפואיים בבתי חולים, מערכות טלפוניה, מערכות לייצור חשמל, מכוניות, מכישי כספומט, מערכות ייצור מפעליות, תקשורת סלולרית, רמזורים,  ובעצם  כל מחשב או מכשיר שיש לו כתובת IP  ברשת.  פגיעה סייברית במערכות חיוניות יכולה לגרום לאפקטים מאוד רחבים וקשים.
 
הרעיון של SAS לסייבר הגיע מהמחשבה, שניתן להקים 'חדר מלחמה סייברי', שיאפשר לבעלי תפקידים לקבל החלטות נכונות ומושכלות במצבי חירום שונים ובאופן מיידי.
 
אנו נמצאים בעידן בו ההתקפות מאוד משתכללות ויש צורך לקבל החלטות נכונות תוך התמודדות עם הררי נתונים שצריך לנתח.

כל ארגון צריך לזהות את 'מפת האיומים' היחודית שלו, ולהחליט על מדיניות ונהלים המתאימים לצרכיו. כל ארגון צריך לבחון את אלטרנטיבות ההשקעה שלו במערכת סייברית למניעת האיום.
 
שאלה: מה החידוש ש-SAS מביאה לשוק הסייבר?
תשובה: "כיום, כמעט כל מערכות האבטחה בנויות על חוקים פנימיים. אבל, אם מישהו מקבל קובץ PDF לדוגמא שיש בו נוזקה כלשהי, קשה מאוד יהיה לזהות שנכנס איום למערכת. לעיתים זה מתגלה מאוחר מדי. האתגר הסייברי האמיתי הוא לחפש את הבלתי נודע בעולם הלא נודע, כאשר יש לנו יחידות מידע (בדר"כ לוגים של Devices) שאינן מובנות, ואין אפשרות לקבוע חוקי 'עשה ואל תעשה' כפי שנהוג לדוגמא במערכות SIEM ארגוניות.
 
אתגר נוסף הינו בדרך שבה מציגים את ההתראות בפני מקבלי ההחלטות, ומאפשרים להם לקבל את ההחלטה האיכותית ביותר והאלטרנטיבה הראויה, וכל זאת בתנאים של לחץ וריבוי מידע.

הפתרון של SAS, שמפותח בשנה האחרונה בהשקעה מאוד גדולה, מבוסס על כך שכל מידע צריך להיות בר ניתוח והצגה בכלי ה-DSS - Decision Support System. חברת SAS פיתחה את ה- SAS Visual Analytics שהינו כלי מאוד אינטואיטיבי וקל לתפעול למשתמשים שאינם סטטיסטיקאים 

הפתרון שלנו מבוסס על ארכיטקטורה אנליטית רב שכבתית בשם MLA (ר"ת: Multi Layer Analytics) – ראה כאן בתרשים.  מדובר בסט של כלים בהיקף רחב מאוד ובכלל זה: מנוע חוקים, זיהוי אנומליות, מודלים של חיזויים, ניתוח רשתות חברתיות ועוד.

 
באמצעות כל הכלים הללו המשולבים יחדיו, ניתן לנתח ולהסביר התרחשויות בכל קצוות הרשת הארגונית ועל כל רכיב קצה או שרת, ואף לתת חיזוי הסתברותי. הכלים כוללים יכולת לביצוע מעקב אחרי האקרים, קשרים ביניהם, דיבורים ברשתות שונות ועוד.
 
אחד הרכיבים המרכזיים החזקים ביותר בפתרון של SAS הינו היכולת לנתח ולזהות התנהגות נורמלית ועפ"יה להגדיר ולזהות התנהגות יוצאת דופן, או חריגה או 'לא נורמלית'. מדובר באתגר אמיתי למצוא את החריג בים אדיר של מידע ובזמן קצר ביותר שיאפשר לבצע תגובה בטרם יהיה נזק בתפקוד הארגון.
 
פתרון הסייבר מאפשר שימוש במודלים של התנהגויות. ברשת הארגונית מופקות מיליארדי רשומות מידע בכל שעה !!!, והמערכת צריכה לנתח את אותן מיליארדי רשומות במהירות עצומה, להצביע על החריגים, ולהמליץ על הטיפול בהם.
 
כל המידע האדיר שנוצר מה- Devices השונים ברשת מגיע למעין 'משפך כניסה' הנקרא ESP (ר"ת: Event Streaming Process). מדובר במוצר תוכנה בסיסי של SAS המסוגל "לעכל" TeraBytes של מידע לשעה ויכול לקלוט ולנתח את המידע הרב. המידע המעובד כולל הצגת התראות ראשוניות בזמן אמת אם מאותרת חריגה כבר בשלב הקלט.

לאחר הקלט המידע ניבנה לתוך בסיס נתונים במבנה DWH. אנו עובדים בעיקר על Data Base מסוג Hadoop עם יכולות לאחסן עשרות פטה-בתים של מידע. המערכת סקלבילית ובעלת יכולות לנהל כל סדר גודל של מידע נדרש. פתרונות מבוססי Hadoop הינם אמינים מאוד, סקלבילים ומאוד מהירים.
 
עיבוד המידע והניתוח בפועל מבוצע בשיטת In-Memory כאשר המידע מועבר בשרתים לזיכרון גדול, כלי התוכנה כוללים מנוע תוכנה חדש בשם LASR. היכול לשרשר את כל הזכרון של השרתים שב- GRID למרחב כתובות אחד ענקי. באמצעות מנוע זה כל המידע מועלה לזיכרון הענקי המשותף שבשרתים ושם מבוצע ניתוח המידע במהירויות של עד פי 100 מזה המושג בעבודה עם בסיס נתונים רגיל.

כלים דוגמת Visual Analytics. או ה- Enterprise Miner של SAS מעבדים ומנתחים את המידע שבזכרון ומציגים תוצאות כמעט במיידי למקבלי ההחלטות. 

מבחינת משתמש הקצה, הוא רואה בסוף גרפים והתראות, כמו שהוא מכיר בכל כלי BI, או לכך מתווספות גם תחזיות, מודלים כגון 'עצי החלטה, ניתוח Clusters, 'סדרות עתיות' (Time) ועוד.
 
המערכת, שאנו מפתחים, מוצאת כל חריגה מהנורמה. רואה כל התנהגות של כל רכיב מנתחת מה השתנה ויודעת להפיק מזה את התובנה המתאימה.
 
כדי להדגים את המערכת, ביצענו ניסוי עם כ-  800 מיליון רשומות. המערכת מצאה בהן 3 חריגים בניתוח שלקח 28 דקות. זה טוב יותר ממה שיש בכל מערכת ניתוח אחרת הקיימת בשוק. המערכת החדשה כמובן עדיין בפיתוח ואנו צופים עוד שיפור בביצועים.
הכח של המערכת הוא לזהות התנהגות חריגה בים של מידע, במינימום טעויות ובמהירות עצומה. 

שאלה: מה אתם למעשה מתכוונים למכור?
תשובה: "אנו נמכור מוצרי תוכנה שמהווים ביחד את 'כלי ה- Cyber Analytics'. הכלים יכילו את ה- Cyber Best Practices של SAS,  את המבנה המיוחד של בסיס הנתונים, וכן תהליכי עבודה וניתוחי סייבר שונים.

הלקוח, או החברה שתמכור את הפתרון, אמורה להכניס 'החוכמה הסייברית' המותאמת לצרכי הלקוח והכוללת מודלים אנליטיים וחיזוי, תהליכי קלט, מערכת חוקים, וכו'.

המערכת תאפשר לכל ארגון וארגון להחליט מהו המידע שיוכנס למערכת הסייבר, ובשלב הקלט אלו תהליכי ETL נידרשים, מהו תהליך טיוב המידע הנידרש וכו', כך שהמידע של המערכת יהיה איכותי ושלם (קריטי לקבלת תוצאות אנליטיות איכותיות). הארגון גם יוכל לקבוע את מערכת תצוגת המידע – DSS המתאימה לו ולעשות שימוש בכלי תצוגה שונים לפי הצורך.

הפתרון הסייברי של SAS יהיה מוכן למכירה ויוצג בתחילת 2015. בישראל אנו בתהליך סגירת שותפות אסטרטגית עם שותף סייבר מוביל.

מערכת הסייבר השלמה כוללת הרבה יותר מאשר המרכיבים האנליטים שהם 'לב הפתרון'. השותף אמור לנהל את הפרויקט, לנתח את הצרכים של כל לקוח ולקוח, לבצע אינטגרציה של הרכיבים השונים (חומרה, תוכנה, פיתוח, תקשורת, תפעול, וכו'), לפתח את תהליכי עבודה, מתודולוגיה, הדרכה, בדיקות, יישום,  וכו'.

בהיבט של המרכיבים האנליטיים השותף, באמצעות צוות של מומחים שכבר גויס והוקם, יפתח בארץ חלקים רבים מהפתרון.
יחד עם שותף סייבר גדול ואיכותי אנו נערכים לתת דגש לעולם הסייבר הביטחוני ולארגונים גדולים מאוד.
 
אנו נעבוד ביחד עם הלקוחות, כי כפי שציינתי, לכל לקוח יש את 'מפת האיומים' שלו וצורך להתאמת הכלים לצרכים שלו.
אנו בשלבי הוכחת יכולת ראשונית וגופים רבים כבר מתעניינים במה שאנו מציגים".  
 
שאלה: מה יהיה מודל המכירה של המערכת?
תשובה: "הנושא עדיין בתיכנון ויסגר רק בתחילת 2015 עם הכרזת החבילה הסייברית של SAS.
אני מניח שלכל ארגון יותאם הפתרון לפי מידותיו וצרכיו, ולפי 'מפת האיומים' שלו.
אנו נמצאים בשלבי בניית מעבדה עם השותפים שלנו כדי לתת אפשרות לארגונים לבחון ולראות את יכולות הפתרון הנבנה. מדובר ביכולות שלא היו קודם לכן בעולם הסייבר.
 
השלב הראשון בתהליך המכירה הוא שלב אפיון הצרכים, וגם כאן אנו צוברים ידע וניסיון.
 
שאלה: איך אתה מציג את הפתרון ללקוחות הפוטנציאליים שאתה הולך אליהם?
תשובה: "אני מציג את העובדות: אנו לוקחים כלים חזקים של חקר ביצועים וזיהוי תבניות של התנהגות ומוצאים בהם אנומליה, זעירה כלל שתהיה, וזאת 'בים של נתונים'.  

יחד עם שותפנו אנו מדברים בשפה סייברית, ומוכרים יכולות אנליטיות קיימות לצד, יכולת טיפול בכמויות מידע ענקיות ובמהירות ובאינטגרציה למערכת שלימה הכוללת Cyber Best Practices.

בסופו של יום המערכת נועדה לדבר אחד: למנוע נזק אצל הלקוח ובמקרים רבים נזק שעלול להשפיע על כולנו ולעיתים על חיינו.
 
שאלה: מה החלום המקצועי שלך?
מוטי סדובסקי: "אני מאמין, שיש לנו כלי מאוד חזק ביד ואני מאמין, בהצלחתנו.

ל-SAS יש כבר 3 לקוחות ענקיים מהממשל בארה"ב, שעובדים בפתרון הסייברי המבוסס מוצרי החברה, אלה הארגונים הרציניים והחשובים ביותר הקיימים בממשל האמריקאי.
 
החלום והאתגר שלנו הוא, שנמכור יחד עם השותף שלנו פתרון חדשני ומהפכני של סייבר אנליטי לארגונים גדולים.
אנו מגיעים לשוק ומציגים פתרון מוכח ועם עומק ויכולות שלא היו קיימות עד היום. זה פתרון שלם ומלא לעולם הסייבר.
אני מאמין, שבשנה הבא נפרוץ לשוק ונהפוך לשחקן מוביל בתחום הסייבר וכולם יכירו אותנו כשחקן חשוב בעולם הסייבר".