תאיר מלכא

סייבר (Cybersecurity) הוא הדיסציפלינה המקצועית שעוסקת בהגנה על מערכות מחשוב, רשתות, נתונים ומשתמשים מפני ניצול, שיבוש או גישה בלתי מורשית. בבסיסו נמצא ניהול סיכונים לפי נכסים, איומים, חולשות ובקרות, ובמרכזו שלושת עקרונות ה־CIA: סודיות, שלמות וזמינות.

AI לא צפוי להחליף את אנשי הסייבר, אבל הוא כבר משנה את אופי העבודה שלהם. הוא מאיץ משימות כמו סיכום לוגים, triage ראשוני, שאילתות ותיעוד — אך משימות שדורשות הקשר, אחריות ושיקול דעת ממשיכות להישאר בידי אדם. אנשי סייבר שילמדו לעבוד עם AI בצורה בטוחה יהיו ביתרון.

עולם הסייבר כולל משפחות תפקידים ברורות: SOC/Cyber Defense, Security Engineering, DFIR, Penetration Testing, Cloud Security, AppSec, GRC ו־Threat Intelligence. הכניסה הנפוצה ביותר היא דרך SOC, ומשם אפשר להתפתח לכיוונים שונים לפי אופי אישי וניסיון מקצועי.

קורס סייבר טוב למתחילים מתחיל מיסודות של רשתות, מערכות הפעלה ולינוקס, כולל תרגול מעשי במעבדות, מכין להסמכות בינלאומיות מוכרות ומציע ליווי תעסוקתי אמיתי בלי להבטיח עבודה או מעבר בבחינות.

מחיר של קורס סייבר בישראל משתנה בין מכללות, גופי הכשרה ותוכניות פרטיות, ותלוי בגורמים כמו היקף שעות, שיעור חי לעומת מוקלט, מעבדות, ליווי קריירה ומה נכלל בהסמכות. במקום להשוות רק מספר, כדאי להשוות ערך: מה בדיוק מקבלים, מה לא כלול ומה עלות ההשלמה עד הכניסה לשוק.

למתחיל ללא רקע טכנולוגי, טווח תכנון ריאלי הוא בדרך כלל כ־6 עד 12 חודשים מתחילת הלימודים ועד מוכנות טובה למשרה ראשונה, ולעיתים יותר בהתאם לקצב הלימוד ולמשך חיפוש העבודה. בעלי רקע ב־IT, רשתות או תמיכה טכנית עשויים להתקדם מהר יותר. חשוב להפריד בין זמן הלימוד, הזמן הדרוש לתרגול מעשי והזמן שלוקח להתקבל לעבודה — אלה שלושה שלבים שונים, ואין מסלול שמבטיח משרה בתאריך קבוע.

אין פורמט אחד שמתאים לכולם. קורס סייבר אונליין חי יכול להיות בחירה מצוינת למי שמסוגל ללמוד באופן עצמאי, מחזיק סביבת עבודה שקטה ורוצה לחסוך נסיעות. קורס פרונטלי מתאים יותר למי שזקוק למסגרת פיזית, קשר ישיר עם הכיתה ופחות הסחות דעת בבית. איכות התוכנית, המרצה, המעבדות, המשוב וההתמדה חשובים יותר מעצם הבחירה בין מסך לכיתה.

אפשר להיכנס לסייבר גם בלי ניסיון קודם: לומדים יסודות מחשבים ורשתות, שולטים ב־Windows וב־Linux, מבינים עקרונות אבטחת מידע, מתרגלים במעבדות ובכלים כמו SIEM, ובונים תיק פרויקטים ו־LinkedIn לפני חיפוש תפקיד כניסה.

אפשר לבנות בסיס תעסוקתי משמעותי בסייבר בתוך חמישה חודשים, אך רק אם משלבים לימוד מסודר עם תרגול שבועי. בחודש הראשון בונים יסודות ברשתות ובמערכות הפעלה; בחודשים השני והשלישי לומדים אבטחה, לוגים ו־SOC; בחודש הרביעי עובדים על תרחישים וכלים; ובחודש החמישי בונים פרויקט, קורות חיים ומתכוננים לראיונות.

חמש הטעויות הנפוצות ביותר הן דילוג על רשתות ומערכות הפעלה, רדיפה אחרי הסמכות בלי תרגול, התמקדות בכלי תקיפה בלבד, המתנה עד שמרגישים מוכנים לחלוטין לפני הגשת מועמדות, וציפייה שהקורס לבדו יסדר עבודה. הדרך הנכונה היא לבנות בסיס, לתרגל, לתעד פרויקטים ולהתחיל לפעול בשוק מוקדם.

קורס סייבר מקיף למתחילים אמור ללמד רשתות, Windows, Linux, יסודות אבטחה, ענן, Firewall, ניטור ו־SOC, ניתוח לוגים, תגובה לאירועים, Python בסיסי ותרגול בסביבות מורשות. קורס טוב אינו מסתפק במצגות: הוא כולל מעבדות, פרויקטים, משוב והכנה למשרות התחלתיות ולהסמכות רלוונטיות.

לא חייבים לדעת תכנות כדי להתחיל ללמוד סייבר או להיכנס לחלק מהתפקידים ההתחלתיים, במיוחד SOC, תמיכה, NOC, ניהול הרשאות ואבטחת תשתיות. עם זאת, היכרות עם Python, Bash או PowerShell משפרת את היכולת לבצע אוטומציה, להבין כלים, לנתח נתונים ולהתקדם לתפקידים טכניים יותר.

אנליסט SOC מנטר התראות ממערכת SIEM, מבצע Triage ראשוני, חוקר משתמשים ותחנות, מזהה False Positive, מתעד כל אירוע, מסלים לפי הצורך לצוותים מתקדמים ופועל לפי Playbooks מוגדרים. התפקיד דורש הבנה של רשתות, מערכות הפעלה ותהליכי תגובה לאירוע.

ב־2026 טווחי השכר הנפוצים בישראל לתפקידי SOC/SIEM הם בערך 11–13 אלף ש״ח ברוטו בחודש לעובדים עם עד שנת ניסיון, 14–16 אלף ש״ח לאחר שנה עד שנתיים, ו־17–21 אלף ש״ח לבעלי שלוש עד חמש שנות ניסיון. בפועל השכר משתנה לפי משמרות, ניסיון קודם ב־IT, כלי SIEM ו־EDR, רמת האנגלית, סיווג ביטחוני, מיקום וסוג הארגון.

SOC Analyst מגן על הארגון בזמן אמת באמצעות ניטור, חקירת לוגים, תיעדוף התראות ותגובה לאירועים. Penetration Tester בודק מערכות באופן מתוכנן ומורשה כדי לאתר חולשות לפני שתוקף ינצל אותן. SOC מתאים למי שאוהב חקירה רציפה, תפעול ועבודה בצוות; Pentest מתאים למי שאוהב מחקר טכני, ניסוי, כתיבת דוחות והעמקה בפגיעויות.

אפשר להתקבל לתפקיד Penetration Tester לאחר קורס, אך הקורס לבדו בדרך כלל אינו מספיק. מועמד Junior צריך להראות בסיס ברשתות, Linux, Windows ו־Web, תרגול מעשי בסביבות מורשות, יכולת לכתוב דוח ותיק עבודות שמוכיח כיצד הוא חושב. לעיתים הדרך המהירה יותר עוברת דרך SOC, IT, תמיכה או תפקיד אבטחה טכני אחר.

בראיון SOC למתחילים בודקים בדרך כלל יסודות רשתות ומערכות, יכולת לקרוא לוגים, הבנת Phishing ו־Malware, תהליך חקירת התראה ויכולת להסביר החלטות. תשובה טובה אינה רק הגדרה: היא מציגה סדר בדיקה, נתונים שהייתם אוספים, פעולות זהירות ומתי הייתם מסלימים.

למתחילים אין הסמכה אחת שמתאימה לכולם. Linux Essentials מתאימה לבסיס Linux, Network+ לבסיס רשתות, CCST Cybersecurity לכניסה ידידותית לעקרונות הגנה, Security+ לבסיס רחב ומוכר יותר, ו־eJPT למי שרוצה תרגול התקפי. הבחירה צריכה להתאים לפער הידע ולתפקיד היעד.

eJPT היא הסמכת Penetration Testing התחלתית ומעשית של INE Security. היא מתאימה למי שכבר מבין רשתות, Linux, שירותים ו־Web ורוצה לתרגל מתודולוגיית בדיקה בסביבה חוקית. ההכנה צריכה לכלול מעבדות, תיעוד, עבודה מסודרת וניהול זמן — לא רק צפייה בשיעורים.

Security+ היא הסמכה רחבה ותיאורטית יותר שמתאימה ליסודות אבטחה, SOC ותפקידי הגנה כלליים. eJPT היא הסמכה מעשית וממוקדת יותר בבדיקות חדירה. למי שעדיין בונה בסיס או מכוון ל־SOC, Security+ לרוב מתאימה יותר; למי שכבר מבין רשתות, Linux ו־Web ומכוון ל־Pentest, eJPT עשויה להתאים יותר.

CCST Cybersecurity היא הסמכת כניסה נגישה יותר שמיועדת לבניית יסודות. Security+ רחבה ומעמיקה יותר ודורשת הבנה טובה יותר של רשתות, מערכות, ארכיטקטורה ותגובה לאירועים. למתחיל מוחלט כדאי לעיתים להתחיל ב־CCST, לתרגל, ולאחר מכן להתקדם ל־Security+.

הסמכת Network+ אינה חובה רשמית לרוב משרות הסייבר, אבל הידע שהיא מכסה כמעט הכרחי. אנליסט SOC, איש אבטחת ענן או Penetration Tester צריכים להבין כתובות IP, TCP ו־UDP, DNS, DHCP, ניתוב, Switching, VPN, Firewall ופתרון תקלות. אפשר ללמוד את הידע גם ללא בחינה.

Linux Essentials היא הסמכת בסיס של LPI שעוסקת במערכת Linux, שורת הפקודה, קבצים, משתמשים, הרשאות, תהליכים, תוכנה ורשת בסיסית. היא מתאימה למתחילים שרוצים מסגרת מסודרת. ההסמכה אינה חובה, אך הידע חשוב מאוד ל־SOC, ענן, DevSecOps ו־Penetration Testing.

כדי לבנות מעבדת סייבר ביתית צריך מחשב עם זיכרון ואחסון מתאימים, תוכנת וירטואליזציה, מכונת Linux ומכונת Windows או מערכת פגיעה ייעודית. יש להגדיר רשת פנימית מבודדת, ליצור Snapshots ולעבוד רק על מכונות שבבעלותכם או פלטפורמות שנתנו הרשאה מפורשת.

Salesforce היא פלטפורמת ענן לניהול קשרי לקוחות ותהליכים עסקיים. ארגונים משתמשים בה כדי לנהל לידים, מכירות, שירות לקוחות, אוטומציות, דוחות, הרשאות ואפליקציות פנימיות. אפשר לעבוד בה ללא תכנות בתפקידי Admin ויישום, או להתקדם לפיתוח, ארכיטקטורה וייעוץ.

CRM הוא קיצור של Customer Relationship Management — ניהול קשרי לקוחות. מערכת CRM מרכזת מידע על לידים, לקוחות, מכירות, שירות ומשימות, ומאפשרת לארגון לנהל תהליכים בצורה מסודרת, למדוד ביצועים ולהעניק חוויית לקוח עקבית.

AI צפוי לשנות את עבודת אנשי Salesforce יותר מאשר לבטל אותה. משימות חוזרות כמו ניסוח ראשוני, סיכום מידע, יצירת טיוטות ובדיקות בסיסיות יהפכו לאוטומטיות יותר. לעומת זאת, אפיון תהליכים, ממשל נתונים, אבטחה, אינטגרציות, ניהול שינוי וקבלת החלטות עסקיות יישארו תלויים באנשי מקצוע.

בעולם Salesforce קיימים מסלולים עסקיים, תפעוליים וטכנולוגיים. תפקידי הכניסה הנפוצים הם Administrator, מיישם ו־Business Analyst. בהמשך אפשר להתקדם ל־Consultant, Developer, Product Owner, Solution Architect או Technical Architect. המסלול הנכון תלוי בחוזקות: תהליך, אנשים, נתונים, קוד או ארכיטקטורה.

Salesforce הוא תחום שמשלב טכנולוגיה ועסקים. אנשי Admin ויישום צריכים להבין נתונים, הרשאות ואוטומציות, אך גם תהליכי מכירה, שירות וצרכים של משתמשים. הוא מתאים במיוחד לאנשים שנהנים לפתור בעיות, לשאול שאלות, לעבוד עם מערכות ולתרגם צורך עסקי לפתרון מסודר.

Salesforce Admin מנהל את הפעילות השוטפת של הפלטפורמה: משתמשים והרשאות, שדות ומבנה נתונים, אוטומציות, דוחות, איכות נתונים, תמיכה ושחרור שינויים. העבודה משלבת תחזוקה, פתרון תקלות, שיפור תהליכים ותקשורת עם משתמשים ובעלי עניין.

מיישם Salesforce מחבר בין הצרכים העסקיים לבין יכולות המערכת: מאפיין תהליכים, מגדיר Objects ושדות, בונה הרשאות ואוטומציות עם Flow, בונה דוחות ודשבורדים ומטמיע את הפתרון מול המשתמשים. אין צורך בידע קודם בתכנות כדי להתחיל.

Admin אחראי בעיקר על תפעול יומיומי של מערכת Salesforce קיימת: משתמשים, הרשאות, תקלות ושינויים קטנים. מיישם מוביל הקמה ואפיון של פתרונות חדשים. יש חפיפה גדולה בפועל, ובארגונים קטנים אותו אדם עושה את שני התפקידים.

מיישם Salesforce מאפיין תהליכים ומגדיר פתרונות בעיקר בכלי No-Code ו־Low-Code. מפתח Salesforce בונה יכולות מותאמות באמצעות Apex, Lightning Web Components, SOQL ו־API. המיישם ממוקד יותר בתהליך, משתמשים ויישום; המפתח ממוקד בקוד, ארכיטקטורת תוכנה ואינטגרציות.

בתפקידי Admin ומיישם התחלתיים כמעט אף פעם אין צורך בתכנות. Salesforce כוללת כלים רבים מסוג No-Code ו־Low-Code — כמו Flow — שמספיקים לרוב המשימות. קוד ב־Apex נכנס רק בעבודה של Salesforce Developer.

אפשר להיכנס ל־Salesforce ללא ניסיון קודם באמצעות בסיס CRM, תרגול בסביבה חינמית, פרויקט מקצה לקצה, היכרות עם Admin ו־Flow והכנה להסמכה רלוונטית. כדי להתבלט צריך להראות יכולת מעשית והבנת תהליך, ולא להסתפק ב־Trailhead או בתעודה בלבד.

כן, Salesforce עדיין יכולה להיות בחירה טובה ב־2026, במיוחד למי שמחפש תחום שמשלב טכנולוגיה, תהליכים עסקיים ועבודה עם אנשים. עם זאת, תעודה לבדה אינה מספיקה: צריך תרגול מעשי, פרויקט, הבנת CRM, Flow, Security ויכולת להסביר פתרון עסקי.

השכר בעולם Salesforce משתנה מאוד לפי תפקיד, ניסיון, סוג הארגון, היקף אחריות ויכולת בפרויקטים. תפקידי Junior מתחילים בדרך כלל בטווח נמוך יותר, בעוד שמפתחים, Consultants ו־Architects מנוסים יכולים להגיע לרמות שכר גבוהות משמעותית. יש להתייחס לכל טווח כשערוך בלבד ולבדוק מודעות ונתוני שוק עדכניים.

מחיר קורס Salesforce בישראל משתנה לפי היקף השעות, המרצים, תרגול, הכנה להסמכות וליווי קריירה. מסלולים מקצועיים יכולים לעלות מכמה אלפי שקלים ועד סכומים גבוהים יותר. משך נפוץ הוא מספר שבועות עד כמה חודשים. חשוב להשוות תוכן ותוצרים ולא רק מחיר.

Administrator מתאימה לרוב למי שרוצה לנהל משתמשים, הרשאות, נתונים, דוחות ואוטומציות. Platform App Builder מתמקדת יותר בתכנון ובנייה של אפליקציות Declarative, מודל נתונים, UI, לוגיקה ו־Deployment. למתחילים רבים נכון להתחיל ב־Administrator ולהוסיף App Builder לאחר תרגול.

הסמכת Salesforce Administrator בודקת ידע בניהול והגדרת הפלטפורמה: Setup, משתמשים והרשאות, Objects, יישומי מכירה ושירות, נתונים, דוחות ואוטומציה. ההכנה צריכה לשלב Trailhead, סביבת תרגול ושאלות תרחישיות. יש לבדוק באתר הרשמי את מבנה המבחן והמדיניות העדכניים.

Platform App Builder מיועדת לאנשים שיודעים לתכנן, לבנות ולפרוס אפליקציות מותאמות באמצעות הכלים ה־Declarative של Salesforce. היא כוללת Fundamentals, User Interface, Data Modeling, Business Logic, Automation ו־Deployment. היא מתאימה במיוחד למיישמים, Admins ו־Consultants עם תרגול מעשי.

הכנה נכונה למבחן Administrator משלבת תוכנית רשמית, Trailhead, תרגול בסביבה, שאלות תרחישיות וסימולציות. התחילו מ־Setup ו־Security, עברו ל־Objects, Sales, Service, Data, Reports ו־Flow, ורק לאחר מכן תרגלו מבחנים מלאים.

Salesforce Flow הוא כלי No-Code ו־Low-Code לבניית אוטומציות ותהליכים. אפשר לעדכן רשומות, ליצור משימות, לשלוח התראות, להציג מסכים, לקבל החלטות ולהפעיל פעולות מתוזמנות. Flow הוא כלי מרכזי בעבודת Admin ומיישם.

Salesforce נבדלת בגמישות, אקוסיסטם רחב, אוטומציה ואפשרות לבנות פתרונות מורכבים. מערכות CRM אחרות עשויות להיות פשוטות, זולות או מותאמות יותר לעסק קטן. הבחירה צריכה להתבסס על תהליך, משתמשים, אינטגרציות, אבטחה ועלות כוללת.

Sales Cloud מיועדת לניהול תהליך המכירה: Leads, Accounts, Contacts, Opportunities ותחזיות. Service Cloud מיועדת לניהול שירות: Cases, Queues, Routing, Knowledge ו־SLA. ארגונים רבים משתמשים בשתיהן כדי לנהל את הלקוח לפני ואחרי המכירה.

בראיון למיישם Salesforce בודקים לא רק ידע במערכת, אלא גם חשיבה תהליכית, Security, Data, Flow, בדיקות ותקשורת. תשובה טובה מציגה דרך עבודה: שאלות הבהרה, חלופות, סיכונים, בדיקות ומדד הצלחה.

הדרך המעשית להיכנס להייטק ב־2026 היא לבחור תפקיד יעד מוגדר, ללמוד את הכישורים הנדרשים בו, לתרגל בסביבה אמיתית, לבנות הוכחות יכולת ולהגיש מועמדות באופן ממוקד. אין מסלול אחד שמתאים לכולם: תואר מתאים למי שרוצה בסיס אקדמי רחב, ואילו הכשרה מקצועית יכולה להתאים למי שמכוון לתפקיד כניסה מוגדר ורוצה להתקדם במהירות.

חיילים משוחררים שאוהבים מחשבים יכולים לבחור בין תואר, לימודי הנדסאי, הכשרה מקצועית, לימוד עצמי או כניסה דרך תפקיד טכנולוגי התחלתי. הבחירה צריכה להתבסס על סוג העבודה שמושך אתכם, הזמן והתקציב העומדים לרשותכם, ולא רק על הבטחות לשכר. אפשר לבדוק זכאות לשימוש בפיקדון האישי ללימודים או להכשרה במוסד מוכר.

לא חייבים תואר כדי להשתלב בכל תפקיד בהייטק. בתפקידי סייבר התחלתיים, IT, תמיכה טכנית, Salesforce, QA ותפעול מערכות ניתן לעיתים להתקבל באמצעות ידע מעשי, פרויקטים והסמכות. לעומת זאת, תפקידים מסוימים בפיתוח, מחקר, אלגוריתמיקה, חומרה ומדעי הנתונים עשויים להעדיף או לדרוש תואר. ההחלטה צריכה להיגזר מתפקיד היעד ולא מהשאלה הכללית אם תואר הוא טוב או רע.

אפשר לעבוד בהייטק גם בלי להיות מפתח תוכנה. תפקידים כמו מיישם Salesforce, Salesforce Admin, אנליסט SOC, IT Support, NOC, QA ידני, Customer Success, ניהול פרויקטים ותפעול מערכות אינם מבוססים בעיקר על כתיבת קוד. עם זאת, הם עדיין דורשים אוריינות טכנולוגית, הבנת מערכות, נתונים, תהליכים וכלי עבודה מקצועיים.

כדי להשיג עבודה ראשונה בהייטק ללא ניסיון צריך ליצור ניסיון חלופי: פרויקט, מעבדה, התנדבות, עבודה עם מערכת או תפקיד סמוך. לאחר מכן מתאימים קורות חיים למשרה, מציגים את הפרויקט ב־LinkedIn, מתרגלים ראיון ומגישים מועמדות בעקביות גם לתפקידי Support, Operations ו־Junior הקרובים ליעד.

תואר מתאים למי שרוצה בסיס רחב, מסלולי פיתוח או מחקר ואפשרויות ארוכות טווח. קורס מקצועי מתאים למי שמכוון לתפקיד מוגדר כמו SOC, IT, Salesforce או QA ורוצה מסלול קצר ומעשי יותר. איכות המסלול תלויה בתרגול, פרויקט והקשר למשרות — לא רק בסוג התעודה.

סייבר מתאים יותר למי שנהנה מרשתות, מערכות, חקירה, ניטור ואירועים. Salesforce מתאים יותר למי שנהנה מתהליכים עסקיים, משתמשים, נתונים ואוטומציה. בשני המסלולים אפשר להתחיל ללא תכנות מתקדם, אך נדרשים תרגול, פרויקט ויכולת טכנית. הדרך הטובה לבחור היא להתנסות במשימה אמיתית מכל תחום.

כדי לבחור מקצוע בהייטק צריך להשוות בין סוג המשימות שאתם נהנים מהן, החוזקות שלכם, תנאי העבודה, זמן ההכשרה ותפקידי הכניסה הקיימים. אל תחליטו רק לפי שכר או טרנד. בחרו שניים עד שלושה מסלולים, בצעו משימת ניסיון בכל אחד וקראו מודעות עבודה לפני הרשמה ללימודים.

אפשר לבצע הסבה להייטק בגיל 30 ומעלה. היתרון הוא ניסיון בעבודה, אחריות והיכרות עם תחום עסקי; האתגר הוא זמן, שכר התחלתי וסיכון כלכלי. הדרך הנכונה היא לבחור תפקיד שמנצל את הרקע הקודם, ללמוד באופן ממוקד, לבנות פרויקט ולבצע מעבר הדרגתי במקום להתחיל מאפס ללא תוכנית.

חקירת התראת אבטחה ב-SOC היא תהליך סדור שבו מאמתים את מקור ההתראה, מזהים את המשתמש והנכס המעורבים, אוספים הקשר ממקורות נוספים, בונים ציר זמן, בודקים הסברים לגיטימיים ומחליטים אם מדובר באירוע אמיתי. חקירה טובה מסתיימת בהחלטה מנומקת, פעולת תגובה מתאימה ותיעוד שמאפשר לאדם אחר לשחזר את המסקנה.

Triage ב-SOC הוא סינון והערכה ראשוניים של התראה כדי לקבוע מה דחוף, מה דורש חקירה עמוקה ומה ניתן לסגור. ההחלטה אינה מבוססת רק על Severity שהמערכת הציגה, אלא על שילוב של קריטיות הנכס, רגישות המשתמש, אמינות האות, הטכניקה שזוהתה, היקף הפעילות וההשפעה האפשרית.

False Positive ב-SOC הוא מקרה שבו התראה נוצרה בגלל לוגיקה שגויה או נתונים לא מדויקים, אף שלא התקיימה ההתנהגות המסוכנת שהחוק התכוון לזהות. כדי לסגור נכון צריך להוכיח את הסיבה, להבדיל מפעילות חשודה אך מאושרת, לתעד את ה-Root Cause ולהעביר משוב שמצמצם התראות דומות בלי ליצור Blind Spot.

Playbook ל-SOC הוא תהליך מתועד שמגדיר כיצד לטפל בסוג התראה מסוים: מהו הקלט, אילו בדיקות מבצעים, אילו ראיות אוספים, מהן נקודות ההחלטה, מתי מסלימים ואילו פעולות מותר לבצע. Playbook טוב מייצר עקביות בלי לבטל חשיבה אנליטית, ונבדק ומתעדכן לפי תוצאות אמיתיות ושינויים בסביבה.

Timeline לחקירת אירוע הוא טבלה כרונולוגית שמאחדת אירועים ממקורות שונים לזמן אחיד, ומקשרת ביניהם באמצעות משתמשים, תחנות, כתובות IP, תהליכים וסשנים. בנייה נכונה כוללת שמירת הזמן המקורי, המרה ל-UTC, ציון מקור ואמינות, זיהוי פערים והפרדה בין עובדה, פרשנות והשערה.

אנליסט SOC צריך להסלים אירוע כאשר רמת הסיכון, אי-הוודאות או היקף הפעולות הנדרשות חורגים מהסמכות ומהיכולת של Tier 1. הסלמה טובה אינה “העברת בעיה”, אלא מסירת חבילת חקירה מסודרת הכוללת עובדות, ראיות, Timeline, השפעה משוערת, פעולות שכבר בוצעו ושאלה ברורה לצוות הבא. במקרה של פגיעה פעילה, נכס קריטי או חשש לדלף, מערבים Incident Response במהירות לפי הנהלים.

Ticket חקירה מקצועי ב-SOC צריך לאפשר לאנליסט אחר להבין מה קרה, אילו נתונים נבדקו, מה נמצא, מה עדיין לא ידוע ומה הפעולה הבאה — בלי שיחת השלמה. מבנה טוב כולל תקציר, Scope, Timeline, ראיות, ניתוח, החלטה, פעולות תגובה והמלצות. יש להפריד בבירור בין עובדה, פרשנות והשערה, ולצטט רק את שדות הלוג הרלוונטיים.

Severity מתארת את פוטנציאל ההשפעה והחומרה של האירוע; Priority קובעת את סדר ומהירות הטיפול בפועל. אירוע יכול להיות חמור אך לא דחוף אם הוא מבודד ונבלם, או בעל חומרה בינונית אך בעדיפות גבוהה אם הוא פעיל על נכס קריטי. דירוג מקצועי משלב אמינות, Scope, קריטיות נכס, זהות, חשיפה עסקית, מצב הבלימה וזמן.

Event הוא רשומה או פעילות שנצפתה; Alert הוא הודעה שנוצרה כאשר מנגנון זיהוי מצא התאמה או חריגה; Incident הוא אוסף ממצאים שנקבע כי מצריך חקירה ותגובה; Offense הוא אובייקט החקירה של IBM QRadar, שנוצר מקורלציה של Events ו-Flows לפי Rules. המונחים אינם זהים בין מוצרים, ולכן אנליסט צריך להבין גם את המשמעות הכללית וגם את מודל הנתונים של הכלי שבו הוא עובד.

מדדי SOC טובים מחברים בין מהירות, איכות, כיסוי והשפעה. מעבר לממוצעי MTTD ו-MTTR, כדאי למדוד זמן Triage ו-Closure לפי אחוזונים, שיעור False/Benign Positives, זמן ללא Owner, איכות הסלמות, זמינות מקורות לוג, כיסוי Use Cases, אירועים חוזרים ועומס לפי Analyst. כל KPI חייב להוביל להחלטה; מדד שאפשר “לשפר” בלי לשפר הגנה הוא מדד מסוכן.

SIEM — Security Information and Event Management — היא מערכת שמרכזת נתוני אבטחה ממקורות רבים, הופכת רשומות שונות למידע שניתן לחפש ולהשוות, מריצה לוגיקת זיהוי ומארגנת ממצאים כתראות או Incidents לחקירה. הערך אינו בעצם שמירת הלוגים, אלא ביכולת לחבר זמן, משתמש, נכס, כתובת IP והתנהגות לכדי סיפור שהאנליסט יכול לאמת ולפעול לפיו.

KQL — Kusto Query Language — היא שפת שאילתות לקריאת וניתוח נתונים במוצרים כגון Azure Monitor ו-Microsoft Sentinel. שאילתה מתחילה בדרך כלל בטבלה וממשיכה בצינור של פקודות: מסננים זמן ואירועים, בוחרים או יוצרים שדות, מסכמים לפי משתמש או נכס ומציגים את התוצאות הרלוונטיות לחקירה. המפתח ללמידה הוא להתחיל בשאלה אחת ולבנות את השאילתה שלב אחר שלב.

חקירת Incident ב-Microsoft Sentinel מתחילה בהבנת סיפור המקרה: אילו Alerts אוגדו, מי ה-Entities, מה Severity ומה מקור הזיהוי. לאחר מכן האנליסט מאמת משתמשים ונכסים, בודק Evidence ו-Timeline, מריץ KQL משלימה, מתעד החלטות ומבצע הסלמה או תגובה. Incident הוא תיק עבודה — לא הוכחה שהתקיפה הצליחה — ולכן הסיווג חייב להסתמך על ראיות והקשר.

Analytics Rule טובה ב-Microsoft Sentinel מתחילה בהתנהגות שרוצים לזהות ובמקורות שיכולים להוכיח אותה. לאחר מכן כותבים KQL שמחזירה יחידת חקירה ברורה, מגדירים תדירות ו-Lookback, ממפים Entities, קובעים Severity ו-MITRE, בוחרים Grouping ומבצעים Test ו-Tuning. מטרת החוק אינה לייצר הרבה Alerts, אלא ליצור Incidents שניתן להבין, לאמת ולפעול לפיהם.

SPL — Search Processing Language — היא שפת החיפוש של Splunk. חיפוש מתחיל בבחירת נתונים לפי זמן, index, sourcetype ומונחים, וממשיך בפקודות Pipe שמסננות, יוצרות שדות, מסכמות ומציגות תוצאות. לאנליסט SOC חשוב ללמוד קודם חיפוש מדויק, stats ו-eval, ורק אחר כך Queries מורכבות. כל תוצאה היא נקודת חקירה שיש לאמת מול האירועים הגולמיים.

חקירת אירוע ב-Splunk Enterprise Security מתחילה בהבנת ה-Detection והישות שעליה הוא מצביע, ממשיכה באימות האירועים התורמים, העשרת Asset ו-Identity, בניית Timeline וחיפוש פעילות קשורה, ומסתיימת ב-Disposition, תיעוד ומשוב ל-Detection. בגרסאות Splunk ES 8 המונחים Finding ו-Analyst Queue נפוצים יותר; בגרסאות קודמות תראו לעיתים Notable ו-Incident Review.

Offense ב-QRadar הוא מקרה מתועדף שנוצר כאשר ה-Custom Rules Engine מקשר Events או Flows לפי חוק. חקירה מקצועית אינה מתחילה ונגמרת ב-Magnitude: יש להבין את החוק שירה, לפתוח את האירועים וה-Flows התורמים, לבדוק Source, Destination, נכסים, זמן והקשר עסקי, ואז לתעד החלטה ו-Closing Reason.

ב-QRadar, Rule היא אוסף Tests שמפעיל Response כאשר התנאים מתקיימים. Building Block משתמש באותם Tests כדי לתאר קבוצה או לוגיקה חוזרת, אך אינו מפעיל Response בעצמו. תכנון טוב מתחיל ב-Use Case ובנתונים, מסדר Tests מהזול והמצמצם אל היקר, משתמש ב-State וב-Reference sets בזהירות, ונבדק לפני הפעלה בייצור.

Detection Rule טובה ב-Elastic Security מתחילה מהתנהגות שצריך לזהות ומהנתונים הזמינים, לא מבחירת שפה אקראית. בוחרים Rule type מתאים, מאמתים ECS ושדות, כותבים Query, מגדירים Schedule ו-Lookback, Risk ו-Severity, Suppression ו-Exceptions, ומצרפים Investigation Guide שמוביל את האנליסט דרך Triage, Analysis ו-Response.

EQL מתאימה כאשר סדר האירועים והקשר ביניהם הם לב השאלה: Process התחיל, אחר כך נוצרה תקשורת, או אירוע צפוי לא הופיע. ES|QL מתאימה כאשר צריך Pipeline של סינון, חישוב, שינוי שדות, Aggregation ו-Statistics. אם התאמה לשדה יחיד מספיקה, ייתכן ש-Custom query פשוטה יותר משתיהן.

חיבור מקור לוגים ל-SIEM הוא תהליך שבו מגדירים Use Case, מאמתים את מקור הנתונים, בודקים Parsing ונרמול, מריצים בדיקות איכות ומוודאים שהפלט מאפשר חקירה ולא רק הצגת Alert.

SIEM Tuning הוא תהליך שבו מגדירים Use Case, מאמתים את מקור הנתונים, בודקים Parsing ונרמול, מריצים בדיקות איכות ומוודאים שהפלט מאפשר חקירה ולא רק הצגת Alert.

Windows Event Logs לאנליסט SOC מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Event ID 4624 ו-4625 מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Event ID 4688 מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

PowerShell Logging מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Sysmon למתחילים מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Sysmon Event ID 1 מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Sysmon Event ID 3 ו-22 מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

Active Directory Logs מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

חקירת Password Spray מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

חקירת Brute Force מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

חקירת Privilege Escalation ב-Windows מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

חקירת Lateral Movement מחייב קריאה של האירוע המלא ולא רק של Event ID: זמן, מחשב, משתמש, Logon ID, Process, מקור רשת והקשר ארגוני. המסקנה נוצרת מקורלציה בין כמה מקורות.

ניתוח PCAP ב-Wireshark מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Wireshark Display Filters מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Follow TCP Stream מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

ניתוח DNS זדוני מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

ניתוח HTTP ב-Wireshark מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Zeek Logs מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Suricata EVE JSON מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

IDS מול IPS מול NDR מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

זיהוי Command and Control מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Network Timeline מתבצע באמצעות מיפוי Flow, זמנים, פרוטוקולים, DNS/TLS/HTTP והקשר לנכס. Packet או חיבור יחיד הם ראיה חלקית, ולכן בונים רצף ומאמתים מול מקורות נוספים.

Incident Response לפי NIST הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Incident Response Plan מול Playbook הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

איסוף ראיות דיגיטליות הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

סדר התנודתיות הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Memory Forensics למתחילים הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Disk Forensics למתחילים הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Malware Triage הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Static מול Dynamic Malware Analysis הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

כתיבת חוק YARA היא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

חקירת Phishing היא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

ניתוח Email Headers הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

חקירת BEC היא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

חקירת Ransomware היא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Post-Incident Review הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Chain of Custody בסייבר הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Threat Hunting למתחילים מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

IOC מול IOA מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

MITRE ATT&CK לאנליסט SOC מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

Detection Engineering מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

כתיבת חוקי Sigma מתחילה בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

Detection as Code מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

Threat Intelligence Lifecycle מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

STIX ו-TAXII מתחילים בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

Threat Hunting עם Sysmon מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

Purple Team מתחיל בשאלה או התנהגות שרוצים לזהות, ממשיך להגדרת Telemetry ולוגיקה, ומסתיים בבדיקות, Tuning, תיעוד ופריסה מבוקרת. איכות נמדדת בכיסוי וביכולת חקירה.

מתודולוגיית Penetration Testing חייבת להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Rules of Engagement בבדיקת חדירות חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Reconnaissance פסיבי מול אקטיבי חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Enumeration בבדיקת חדירות חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Vulnerability Assessment מול Penetration Test חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Network Penetration Testing חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Active Directory Penetration Testing חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Windows Privilege Escalation חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Linux Privilege Escalation חייב להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

כתיבת דוח Penetration Test חייבת להתבצע רק במסגרת Scope ו-Rules of Engagement מאושרים. התהליך כולל איסוף מידע, אימות מבוקר, Evidence, הערכת סיכון, תיקון ו-Retest.

Web Application Penetration Testing נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

OWASP Top 10 2025 נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

Burp Suite למתחילים נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת Broken Access Control נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

IDOR BOLA נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת Authentication Failures נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת Session Security נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת SQL Injection נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת XSS נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת SSRF נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת File Upload נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת Path Traversal נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

בדיקת Command Injection נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

API Penetration Testing נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

OWASP API Security Top 10 2023 נבדק רק במעבדה או במערכת מורשית. בודקים את Request/Response, התנהגות השרת, Roles, State והשפעה, תוך שימוש בבדיקות מינימליות שאינן פוגעות בנתונים.

חקירת חשבון Microsoft 365 מחייב חיבור בין Identity, Audit Logs, API actions, משאבים, Regions ו-Sessions. מתחילים בשימור הראיות ובניית Timeline ורק אחר כך מבצעים Containment מתועד.

חקירת AWS Credentials מחייב חיבור בין Identity, Audit Logs, API actions, משאבים, Regions ו-Sessions. מתחילים בשימור הראיות ובניית Timeline ורק אחר כך מבצעים Containment מתועד.

חקירת אירוע אבטחה ב-Azure מחייב חיבור בין Identity, Audit Logs, API actions, משאבים, Regions ו-Sessions. מתחילים בשימור הראיות ובניית Timeline ורק אחר כך מבצעים Containment מתועד.

חקירת אירוע ב-Google Cloud מחייב חיבור בין Identity, Audit Logs, API actions, משאבים, Regions ו-Sessions. מתחילים בשימור הראיות ובניית Timeline ורק אחר כך מבצעים Containment מתועד.

AI לאנליסט SOC יכול לשפר מהירות וסדר, אך אינו מחליף מומחיות או ראיה. יש לצמצם מידע, להסיר סודות, לאמת פלט מול מקור, לתעד Prompt ולהשאיר החלטה סופית בידי איש מקצוע.

AI ל-Penetration Tester יכול לשפר מהירות וסדר, אך אינו מחליף מומחיות או ראיה. יש לצמצם מידע, להסיר סודות, לאמת פלט מול מקור, לתעד Prompt ולהשאיר החלטה סופית בידי איש מקצוע.