סייבריזן (Cybereason)

למה מתקפה נמשכת חודשים בלי שמישהו שם לב

כשמדמיינים פריצת סייבר, מדמיינים רגע: מישהו נכנס, גונב, יוצא. במציאות זה נראה אחרת לגמרי. תוקף שנכנס לארגון מתחיל תהליך ארוך — הודעת דיוג שנפתחה במחשב אחד, סיסמה שנגנבה, התחברות למחשב שני, העלאת הרשאות, סריקה איטית של הרשת הפנימית, ורק בסוף הוצאת מידע החוצה.

הבעיה היא שכל צעד בנפרד נראה שגרתי לחלוטין. עובד שמתחבר למחשב אחר הוא דבר שקורה מאות פעמים ביום. קובץ שנפתח, הרשאה שניתנה, שאילתה על תיקייה ברשת — כל אחד מהם לגיטימי לגמרי במאה מקרים מתוך מאה ואחד.

לכן מערכת שמייצרת התראה לכל אירוע חשוד מייצרת אלפי התראות ביום ותמונה כללית של כלום. אנליסט שמקבל אותן לא יכול לדעת אילו שלוש מתוך אלפיים שייכות לאותו סיפור. זו הסיבה האמיתית לכך שמתקפות נמשכות חודשים בלי שיזוהו — לא חוסר בהתראות, אלא עודף שלהן.

Malop: לחבר את הצעדים לסיפור אחד

הרעיון שהבדיל את המוצר לא היה לזהות טוב יותר כל אירוע בנפרד, אלא לחבר בין אירועים. המערכת אוספת נתונים ממחשבים רבים בארגון בו-זמנית ומחפשת קשרים ביניהם: אותו קובץ, אותו חשבון, אותו רצף פעולות שנע ממכונה למכונה.

התוצר נקרא Malop — קיצור של Malicious Operation, כלומר ״פעולה זדונית״. במקום רשימת התראות מפוזרות, האנליסט מקבל תצוגה אחת של המתקפה כולה: מאיפה היא התחילה, לאילו מחשבים היא התפשטה, מה נעשה בכל אחד מהם, ובאיזה סדר.

ההבדל המעשי הוא בזמן. חקירה שמתחילה מהתראה בודדת דורשת מהאנליסט לשחזר את השרשרת בעצמו, שעות או ימים של עבודה, ובינתיים התוקף ממשיך. חקירה שמתחילה מהשרשרת כבר מוכנה מתחילה מהשאלה מה לעשות. הקטגוריה שאליה שייך המוצר נקראת זיהוי ותגובה בנקודת-הקצה, ובשנים האחרונות התרחבה לתפיסה רחבה יותר בשם XDR.

מחתימות להתנהגות: מה השתנה בזיהוי

הדור הוותיק של תוכנות האנטי-וירוס עבד בשיטת חתימות: לכל קובץ זדוני ידוע יש טביעת-אצבע, והתוכנה משווה כל קובץ במחשב מול קטלוג הטביעות. השיטה מהירה, זולה ומדויקת מאוד — כל עוד מדובר במשהו שכבר נראה בעבר.

החולשה שלה מבנית ולא ניתנת לתיקון: תוכנה זדונית חדשה אינה נמצאת בקטלוג עד שמישהו יגלה אותה ויוסיף אותה, ובינתיים היא חופשית. גרוע מכך, חלק ניכר מהמתקפות המודרניות אינן משתמשות בקובץ זדוני כלל אלא בכלים לגיטימיים שכבר קיימים במערכת — ומולן אין מה להשוות.

זיהוי התנהגותי שואל שאלה אחרת: האם רצף הפעולות הזה סביר עבור המשתמש הזה והמחשב הזה. זה מאפשר לזהות משהו שלא נראה מעולם, אבל המחיר ברור — התראות-שווא, וצורך בכוונון מתמיד. ההבדל בין שתי הגישות אינו בטכנולוגיה בלבד אלא גם במה שהארגון מוכן לספוג מבחינה תפעולית — ולכן בפועל רוב הארגונים מפעילים את שתיהן זו לצד זו.

סופטבנק, שווי של שלושה מיליארד ופיטורים

סופטבנק היפנית השקיעה בחברה לראשונה ב-2015, והפכה עם השנים לגורם המרכזי סביבה. בסך-הכול גייסה סייבריזן יותר מ-850 מיליון דולר. בגיוס של 2021, שבו קיבלה 275 מיליון דולר, היא הוערכה בכשלושה מיליארד דולר.

הקשר עם סופטבנק פתח גם שוק: החברה הרחיבה פעילות ביפן, שם הפכה לאחת הספקיות הגדולות בתחומה — נכס שהוזכר במפורש גם בהודעת הרכישה שנים לאחר מכן.

ב-2022 התהפכה המגמה. ביוני פוטרו כמאה עובדים, ובאוקטובר עוד 200, שהיוו 17% מכוח-האדם; לפני הגל הזה העסיקה החברה כ-1,500 עובדים ופעלה ביותר מ-50 מדינות. באפריל 2023 השקיעה סופטבנק 100 מיליון דולר נוספים, הפכה לבעלת-המניות הגדולה, ובמקביל הוחלף המנכ״ל: ליאור דיב, ממייסדי החברה, פינה את מקומו לאריק גאן, בכיר בסופטבנק שליווה את ההשקעה מראשיתה, ועבר בעצמו לתפקיד יועץ.

2024–2025: מיזוג שבוטל, מנכ״ל שהתחלף, מכירה

בנובמבר 2024 הוכרז מיזוג עם חברת Trustwave האמריקאית, שאמור היה להיסגר בתחילת 2025. הוא בוטל במרץ 2025 על רקע סכסוך פומבי בין המנכ״ל אריק גאן לבין המשקיעות הגדולות בנוגע למתווה גיוס נוסף, וגאן התפטר.

ב-10 במרץ 2025 הודיעה החברה על גיוס של 120 מיליון דולר בהובלת סופטבנק, קרן החזון השנייה שלה וקרן Liberty Strategic Capital, ועל מינויו של מניש נארולה למנכ״ל.

הפרק האחרון נסגר ב-25 בנובמבר 2025, כשחברת האבטחה האמריקאית LevelBlue השלימה את רכישת סייבריזן. במסגרת העסקה הפכו סופטבנק, קרן החזון השנייה ו-Liberty Strategic Capital למשקיעות ב-LevelBlue, וסטיבן מנוצ׳ין, שר האוצר האמריקאי לשעבר, הצטרף לדירקטוריון הרוכשת. בתיאור הרוכשת מודגשים שלושה נכסים: פלטפורמת ה-XDR, יכולות מודיעין-איומים, ומערך תגובה לאירועים וחקירה פורנזית.

מה נשאר מהחברה בשוק של 2026

התחום שבו פעלה סייבריזן הפך תחרותי מאוד. כמה מהחברות הישראליות והאמריקאיות הגדולות מציעות היום יכולת דומה במהותה, וההבדל ביניהן נמדד פחות באלגוריתם ויותר בהיקף הנתונים שנאספים ובאיכות התפעול השוטף.

וזה בדיוק מה שהוביל לגל המיזוגים והרכישות בשוק. ארגון שקונה כלי זיהוי מגלה מהר שהוא צריך גם צוות שיפעיל אותו מסביב לשעון, ולכן הביקוש נע מ״מוצר״ ל״שירות מנוהל״. LevelBlue מציבה את עצמה בדיוק שם, והטכנולוגיה של סייבריזן היא רכיב בתוך ההצעה הזו.

לצד זאת, שווה לזכור את מה שהחברה הוכיחה בדרך: שקבוצה של יוצאי יחידות טכנולוגיות בצה״ל יכולה לבנות מוצר-אבטחה בקנה-מידה עולמי ולגייס מאות מיליוני דולרים ממשקיעים בין-לאומיים. העובדה שגיוס בהיקף כזה אינו מבטיח כשלעצמו את התוצאה הסופית היא לקח נפרד לגמרי, ולא פחות חשוב מהראשון.