חוקר חולשות: איך מגייסים מי שמוצא את מה שאחרים פספסו

בקצרהחוקר חולשות מוצא פגמים לא ידועים בתוכנה, בקושחה או בחומרה, ומוכיח שאפשר לנצל אותם. כדי לגייס אחד בודקים מחקר שפורסם או נמסר ליצרנים, השתתפות בתחרויות, יכולת לכתוב כלים משלו ובעיקר את דרך החשיבה מול מערכת שלא הכיר. רוב המועמדים הטובים אינם מחפשים עבודה, ולכן הגיוס נעשה בפנייה אישית ודיסקרטית.

מי הוא חוקר חולשות ומה הוא עושה בפועל

חוקר חולשות הוא מי שמקבל מערכת שאיש לא תיאר לו את חולשותיה, ויוצא ממנה עם פגם שאף אחד עוד לא ראה. היעד יכול להיות מערכת הפעלה, דפדפן, קושחה של נתב, רכיב בתוך רכב או ספרייה שכל המוצרים בחברה נשענים עליה. העבודה כוללת קריאת קוד, הנדסה לאחור של קבצים בינאריים, הרצת כלי פאזינג ובסוף בניית הוכחה שהחולשה אכן ניתנת לניצול.

בעולם הדוברים אנגלית התפקיד מופיע לרוב כ-Vulnerability Researcher, ובמודעות בישראל הוא מופיע בשמות שונים: חוקר אבטחה, חוקר סייבר או מפתח אקספלויטים. לפני שמתחילים לחפש כדאי להחליט מה בדיוק הצוות צריך, כי חוקר שמתמחה בליבת לינוקס וחוקרת שמתמחה במעבדי מובייל אינם תחליף זה לזו.

חשוב גם להבין מה יקרה לממצאים. בחברת מוצר החוקר מחפש פגמים במוצר של הבית לפני שהוא יוצא ללקוחות. בחברת אבטחה הוא חוקר מוצרים של אחרים כדי לבנות זיהוי או הגנה. ובגוף שמפתח יכולות הוא עובד על יעדים חיצוניים בסודיות מלאה. כל מסלול כזה מושך אנשים אחרים.

מחקר חולשות דורש מזג אחר מזה של בודק חוסן

הטעות הנפוצה היא לגייס בודק חוסן מוצלח ולצפות שיהפוך לחוקר. בודק חוסן מצטיין כשיש לו היקף ברור, רשימת יעדים ודוח למסור בסוף השבוע. מחקר חולשות דומה יותר לעבודה של מדען: שבועות של חקירה שקטה, השערות שמתבררות כשגויות, ורגע אחד של פריצה שמצדיק את כל הדרך.

לכן מחפשים סבלנות, יכולת לשאת תסכול ממושך ויכולת להתמקד לעומק ברכיב אחד. מועמד שצריך תוצאה מהירה כדי להרגיש שהוא מתקדם עלול להישחק בתפקיד, גם אם הוא חריף מאוד. כדאי לשאול בשיחה על פעם שבה עבד זמן רב בלי לראות תוצאה, ומה החזיק אותו בתוך הבעיה.

פרסומים ותחרויות: מה הם מלמדים ומה לא

חולשות שהמועמד מצא ודיווח עליהן ליצרנים, מאמרים בבלוג טכני והרצאות בכנסים הם הראיה הטובה ביותר ליכולת. הם מראים שהוא יודע לבחור יעד, להגיע לממצא אמיתי ולהסביר אותו לאחרים. גם הישגים בתחרויות לכידת דגל ובתוכניות תגמול על באגים מעידים על חדות, על מהירות ועל היכרות רחבה עם טכניקות תקיפה.

עם זאת, היעדר פרסומים אינו סימן אזהרה. חלק גדול מהחוקרים הטובים בישראל צמחו ביחידות טכנולוגיות או בחברות שבהן כל ממצא נשאר בתוך הבית. מולם בודקים באמצעות שיחה טכנית מעמיקה ושיחות עם ממליצים, ולא באמצעות רשימת קישורים.

כדאי לשים לב גם לאיכות הכתיבה של מי שכן פרסם. מחקר שמוסבר בבהירות, עם ההנחות, הניסיונות שנכשלו והדרך לממצא, מעיד על מי שיוכל לתעד עבודה גם בתוך הצוות שלכם ולהעביר ידע לחוקרים צעירים.

כלים מול חשיבה: מה באמת מבדיל מועמד חזק

כמעט כל מועמד בתחום יודע להפעיל את כלי הדיסאסמבלי, את מנפי השגיאות ואת סביבות הפאזינג המוכרות. מה שמבדיל את המצטיינים הוא מה שקורה כשהכלי נגמר. הם כותבים סקריפט שמפענח פורמט לא מתועד, בונים סביבת הרצה לרכיב שאין לו אמולטור, או משנים כלי קיים כך שיתאים ליעד חדש.

בראיון כדאי לתת למועמד בעיה פתוחה, בלי תשובה אחת נכונה, ולבקש ממנו לחשוב בקול. מקשיבים לסדר שבו הוא שואל שאלות, להנחות שהוא בודק קודם ולרגע שבו הוא מוותר על כיוון שלא עובד. ראיון כזה מלמד יותר ממבחן בית של כמה ימים, שרוב החוקרים המבוקשים פשוט לא יסכימו לעשות.

איך מגייסים חוקר חולשות בשקט ובדיוק

ראשית, מגדירים את תחום המחקר ואת סוג היעדים: מערכות משובצות, ווב, מובייל, ליבה או מודלים. שנית, מחליטים אם הצוות צריך מי שימצא חולשות, מי שיבנה ניצול מלא, או את שניהם. ההגדרה הזו קובעת מאיפה מחפשים ואילו שאלות שואלים בראיון הטכני.

שלישית, יוצאים לחיפוש אקטיבי. רוב החוקרים הטובים אינם שולחים קורות חיים ואינם מגיבים למודעות, ולכן פונים אליהם אישית, בדיסקרטיות, עם תיאור אמיתי של בעיית המחקר שמחכה להם. מה שמושך אותם הוא אתגר מעניין, חופש לחקור וצוות שמבין את הקצב של עבודה כזו.

רביעית, מנהלים תהליך קצר ומכבד: שיחת היכרות בווידאו, שיחה טכנית אחת מעמיקה עם חוקר מהצוות, ובדיקת רקע בשיחות עם ממליצים שעבדו לצידו. כדאי לחשוב מראש גם על מי שמגן על אותם מוצרים, ולבדוק אם הצוות שלכם במערך ההגנה והתגובה לאירועים יוכל לעבוד עם הממצאים של החוקר החדש.

למה לגייס חוקרי חולשות עם AI האנטרס

AI האנטרס מתמחה בגיוס לעולמות הסייבר והבינה המלאכותית, ובמיוחד לתפקידים שבהם המועמדים הנכונים אינם נמצאים בלוחות המשרות. אנחנו מכירים את ההבדל בין חוקר ליבה לחוקרת קושחה, יודעים לנהל שיחה טכנית אמינה ופונים למועמדים בדיסקרטיות שהם מצפים לה.

כל העבודה מתנהלת מרחוק: ההיכרות איתכם ועם הצוות בשיחת וידאו, והבדיקה של כל מועמד בשיחות עם ממליצים. אם אתם בונים צוות מחקר או מרחיבים קבוצה קיימת, אפשר להתחיל בהיכרות עם תחום הסייבר ההתקפי והמחקר שלנו ולשלוח לנו את המשרה.