שיח פתוח עם מירי לנדאו - אבטחה בענן

היום נארח את חברת הקהילה, מירי פאר לנדאו , מנהלת מוצר בכירה בחברת מיקרוסופט ישראל מחקר ופיתוח, ונלמד על המסע שלה בעולמות הסקיוריטי ועל האתגרים באבטחת הענן.

 הי מירי תוודה שהסכמת להתראיין ולשתף את הקהילה בניסיון שלך. אז בואי נתחיל, ספרי קצת על עצמך ועל העשייה שלך בתחום אבטחת הענן  

שלום ורד ושלום לכל חברי הקהילה , ותודה על ההזמנה לראיון. את המסע שלי בניהול מוצר התחלתי לפני כ-12 שנים כשהגעתי למיקרוסופט. במהלך השנים עבדתי בניהול מוצרי סקיוריטי שונים וחוויתי את ההתפתחות של הענף והמוצרים המובילים בו בעולם ובמיקרוסופט בפרט.

את החשיבות של אבטחת שירותים מבוססי ענן אפשר להרגיש בימים אלו אף יותר מתמיד כשהתלות של כל אחד ואחת מאיתנו בשירותים דיגיטליים הולכת וגוברת, כך גם הביקוש והצורך בענן מאובטח. חברות גדולות מותקפות על ידי ארגונים גדולים וממומנים וכתוצאה מכך, מידע של אנשים פרטיים זולג לידיים זרות, והצורך שארגונים גדולים יהיו מוגנים מפני מתקפות סייבר נוגע בכל אחד ואחת מאיתנו, גם כאלה שלא עוסקים בתחום.

לכן אני רואה את העיסוק המתמשך שלי בתחום כבעל חשיבות ובעל תרומה רבה לחברה.

אני נשואה ואם לשלושה בנים ,בוגרת תואר ראשון במדעי המחשב ומתמטיקה ותואר שני במנהל עסקים, שניהם מאוניברסיטת בר אילן.

וואו!!! 12 שנים במייקרוסופט בתחום הסקיוריטי. זכית לראות את גלגוליו של התחום. על אילו מוצרים עבדת?

תחום הסקיוריטי עבר התפתחויות מאוד מעניינות בעשור האחרון – במהלך השנים שלי במיקרוסופט תחום העשייה שלי הקיף מגוון מוצרי סקיוריטי, במקביל גם מרכז הפיתוח של מיקרוסופט ישראל הפך למעצמה מבחינת מוצרי הסקיוריטי השונים המפותחים בו.

זו הייתה חוויה מרתקת ומאתגרת עבורי לעבוד על מוצרי אבטחה שונים היוותה עבורי חוויה מרתקת ומאתגרת. להגדיר בכל פעם מוצר חדש ,ממש כמו סטארטאפ, שבא לענות על אתגרים חדשים בתחום האבטחה. ככל שהשנים התקדמו המתקפות נהיו יותר מתוחכמות וכך גם מוצרי הסקיוריטי –

בתחילת הדרך עבדתי על הקשחה של שרתים (on-prem) וניהול קונפיגורציות , שהיה הבסיס לעיצוב והתווית האבטחה של שרתים בענן, התחום בו אני עוסקת כיום.

בהמשך, עבדתי על מוצר האנטי וירוס של מיקרוסופט שהוטמע כחלק ממערכת ההפעלה של Windows10. הייתי אחראית לפיתוח ה next generation AV , מוצר שהיווה קפיצת מדרגה וחדשנות בהיותו מגן לא רק מפני וירוסים שהיו כבר ידועים מראש אלא גם מפני מתקפות חכמות שבעזרת אנליזות בענן מזהות את הוירוס ועוצרות אותו. זו היתה עבודה מעניינת מאוד שמשלבת שתוף פעולה עם קבוצות חוקרים שונות בארץ ובחו"ל עבור פיתוח האלגוריתמים המתאימים.

עם השנים מוצר האנטי וירוס המבוסס על חתימות או על הסתכלות על מכונות בדידות כבר לא הספיק מפני שהמתקפות בעולם הפכו להיות הרבה יותר מתוחכמות ,משלבות מספר מחשבים ואפליקציות ושרשרת תקיפה הרבה יותר עניפה, כך עברתי לעבוד במוצר הבא של מיקרוספט בתחום ה EDR (Endpoint Detection& Response) הנקרא Windows Cyber Defense

המוצר הזה נותן אפשרות לארגונים לקבל התראות על התקפות סייבר ,לחקור אותן ולעצור אותן.

זו הייתה עבודה מרתקת, אני הייתי אחראית לתחום ה response במוצר שמאפשר ללקוחות לעלות קבצים לסביבת sandbox ולהריץ אותם כדי לחקור האם הם נגועים, ובנוסף המוצר מאפשר לעצור מתקפות כגון ניתוק מחשבים , שינוי הרשאות וכיוב'.

אז איך הגעת לענן? 

לקחתי פסק זמן קצר ונסעתי לטיול משפחתי למספר חודשים ,לאחר מכן חפשתי את האתגר הבא , התלבטתי האם להמשיך בתחום הסקיוריטי או לעבור לעולמות תוכן חדשים אבל המשרה הנוכחית שמצד אחד הייתה חדשה עבורי משום שהיא עסקה באבטחה בענן אבל מצד שנים בעולם תוכן שמוכר לי נשמעה כמו הרפתקה מרתקת. בנוסף לכך טכנולוגיית הענן הוא תחום מאוד מתפתח וחדש ומשך אותי ללמוד ולהכיר את העולם הזה.

צודקת  לגמרי. עשית מהלך חכם. אז ספרי לנו קצת על האתגרים באבטחת הענן  

בסביבת הענן הכל מאוד דינאמי, הרבה מאוד סוגים שונים של resources שכל אחד בארגון יכול להקים בלחיצת עכבר, הדינאמיות הזו היא כח אדיר, אבל מנגד נוצר כאוס גדול בתחום אבטחת המידע, במיוחד לאור העובדה שרוב המשתמשים בענן אינם מומחי אבטחה. כך, נוצר מצב שארגון שלא אוכף ושאין לו בהירות כלפי מצב הקונפיגורציה של המשאבים השונים שלו בענן , חשוף מאוד למתקפות.

ישנם מחקרים המראים ש כ 93% מהתקפות היו יכולות להמנע אם הארגון היה דואג לקונפיגורציה מאובטחת של משאבי הענן. כלומר, בעזרת קונפיגורציה מאובטחת ארגון יכול לצמצם בצורה משמעותית ואף למנוע מתקפה שעלולה לגרום לו נזקים כלכליים עצומים.

כאן בדיוק המוצר עליו אני עובדת- Azure Security Center בא לעזור ללקוחות.

במוצר יש שני אזורים עיקריים –

א. מתן אוסף של המלצות כיצד להקשיח כל אחד מהמשאבים בענן

ב. מתן התראות וכלי חקירה במקרה שהייתה פריצה / או התגלתה תנהגות חשודה במשאבי הארגון

אני מובילה את החלק הראשון , פלטפורמה לניתור ומתן המלצות אוטומטיות להקשחת המשאבים בענן.

מדהים. טכנולוגיות הענן הביאו איתן אתגרים ארגוניים לא פשוטים. ספקיות הענן לא פוטרות את הלקוח או הצרכן מאחריות בתחום האבטחה, אלא דוחפות לכיוון  Shared Responsibility Model

אין ספק! אחריות לענן מאובטח תלויה בשניים – בספק שירותי הענן,כגון Microsoft Azure ובלקוח שמשתמש בשירות הענן. מייקרוסופט אחראית לכך שהפלטפורמה תהיה מאובטחת והיא משקיעה בכך משאבים רבים, אבל זה לא מספק משום שעל המשתמש בשירותי ענן לדאוג שהוא מאבטח את המשאבים והשירותים בענן, וכדי לדעת האם הוא מאובטח ומה עליו לעשות , הוא מקבל המלצות מדוייקות והדרכה ברורה.

לגמרי. אז אילו המלצות ותובנות חשובות יכולה חברה לקבל מ Azure Security Center?

ההמלצות במוצר מבוססות על הסביבה של הלקוח. המשאבים השונים (כגון VMs, SQL DBs, AKS etc) בענן נסרקים והקונפיגורציות נבדקות , כך שלקוח יכול להבין היטב איזה קונפיגורציות אבטחה עליו לתקן והוא יכול להשתמש באוטומציה על מנת להבטיח שמשאבים חדשים שנוצרים יבנו בצורה מאובטחת.

ההמלצות שלנו מחולקות לאזורים לפי ההתקפה שהם באים למנוע ולפי החשיבות שלהם, מבין האזורים החשובים לאבטח –

– ניהול גישה והרשאות

– הצפנה של מידע

– אבטחת רשת

– אבטחה של מכונות קצה וניהול עדכונים

בכל אחד מהאזורים הללו יש אוסף של קונפיגורציות שמאפשרות ללקוח להבין מהם האזורים בהם עליו להתרכז ולאבטחה

 

כמנהלת מוצר, מהם האתגרים המוצריים בהם נתקלתם בעולם הזה? 

בסופו של יום מאחורי הטכנולוגיה עומדים אנשים וחברות. על מנת להניע ארגון שלם להקשיח את המשאבים השונים בענן ולאכוף את זה, נדרשת לא רק טכנולגיה מתקדמת, אלא גם הרבה מאוד תהליכים ארגוניים , הקצאת משאבים ורצון של הארגון לקדם ולשמור על האבטחה בארגון ובהרבה ארגונים זה בהחלט אתגר. 

לצורך כך אנו עובדים בכמה מישורים  האחד הוא לתת אפשרות קלה לארגונים להבין מה מצב האבטחה שלהם בארגון בעזרת מספר שנקרא  "Azure Secure Score" .

המספר הזה מפשט מאוד את האפשרות לדעת היכן הארגון נמצא מבחינת רמת האבטחה ולהציב יעדים לשיפור –  כלל שהמספר גבוה יותר, כך הארגון מאובטח יותר.בעזרתו אפשר להשוות בין יחידות שונות בארגון ,לעשות קמפיינים להעלאת הציון וכיוב. 

המישור השני הוא מתן כלי עבודה והדרכה ללקוחות על מנת לעזור להם לבנות את התהליכים הארגוניים ומצד שני לתת להם כלים ואוטמציות שיעזרו להם להטמיע את האבטחה בענן בצורה אוטומטית ולנתר הכל גם כן בצורה אוטומטית.

לאן את רואה את תחום האבטחה בענן מתפתח? 

ככל שמטמיעים פתרונות אבטחה בשלב מוקדם יותר (shift left security) בתהליך הפיתוח כך צריך להשקיע מאמצים קטנים יותר בשלב מאוחר יותר, ולכן כבר בשלב הפיתוח של אפליקציות בענן וניהול משאבים יש לאפשר תצורה מאובטחת.

בנוסף אני צופה התפתחות לכיוון מתן המלצות חכמות הבנויות על מספר גורמים כגון סוג המשאב , רגישות המידע עליו, תעבורת הרשת , הרשאות וגישות משתמשים למשאב וכיוב' שיכולות למקד את הלקוח בדברים הדחופים ביותר ואף לאבטח בצורה אוטומטית.

 אז מירי כמה מילות סיכום ממך, ספרי לנו מה את אוהבת בתחום ובמה שאת עושה?

אני אוהבת את הגיוון והאתגר. בניהול מוצר יש כל כך הרבה רבדים וזה מה שהופך את המקצוע לכל כך מעניין עבורי , העבודה משלבת טכנולוגיה, חשיבה יצירתית ועסקית, פתרון בעיות, תקשורת עם לקוחות וקבוצות שונות בארגון ולצד כל אלה הענן שהוא תחום מרתק בפני עצמו. היכולת לשחרר תוך פרקי זמן קצרים פתרונות משמעותיים ללקוחות ולקבל פידבקים חיוביים מאוד מספקת.

ומנקודת מבט נשית – בתחילת הדרך המודל שלי היתה קולגה שהייתה אמא לארבעה ילדים , מנהלת צוות, הערצתי אותה על היכולת שלה לתפקד בשני המישורים,עברו השנים וגם אני היום אמא לשלושה בנים .לאורך השנים ראיתי איך מעגל הנשים סביבי מתרחב ולשמחתי אני עובדת היום עם הרבה נשים מקבוצות גיל שונות. כנשים בהייטק אנחנו מתמודדות עם אתגרים משותפים, הקהילות השונות שנוצרו לנשים תורמות לדעתי רבות להעצמה הנשית. העובדה שתפקידיי המנכ"לות במיקרוסופט ישראל (מנכ"ל מיקרוסופט ישראל ומו"פ) מאיישות נשים גורמת לי לגאווה והשראה, כך גם כל העשייה של מיקרוסופט בקרב פיתוח נשים בחברה הישראלית והערבית.

אני מאמינה שתחום ההיי טק הוא תחום שנשים רבות יכולות למצוא בו עניין ואני מקווה שיותר ויותר נשים יצטרפו לתחום ההייטק ולתחום הענן בפרט וכך גם יגדל הייצוג הנשי בדרגים ניהוליים.

תודה רבה לך מירי יקרה על השיתוף במסע האישי שלך. בטוחה שנתת השראה רבה נשים בתחילת הדרך בתחום ובכלל.