הסייבר ההתקפי אינו תחום חדש. מטרתו היא לאתר חדירות אינטרנט ורשת באתר הלקוח, ומתמקד בעיקר בדרכים בהן ניתן לפרוץ אליו ולתקוף אותו, בדרכים שונות. היום קיימות חברות ייעוץ המתמחות בסייבר, המציעות את השירות הזה. הן לומדות את הלקוח והארכיטקטורה שלו, ואז מתנהגות כהאקר כשכל האמצעים כשרים. בסופו של התהליך, הן מפיקות עבור הלקוחות השונים דו"ח המפרט את החורים באבטחה, נקודות חולשה שעשויות להיות מטרה למתקפות או כאלה שניתן לעקוף אותן בקלות, וחלקן אף ממליצות על מוצרי אבטחה שונים לתיקון הכשלים.
בסטארטאפ פרימטר איקס PerimeterX המתמחה בהגנה על אתרי מסחר אימצו את השיטה, אך מתמקדים בסייבר הגנתי. המשמעות היא שהחברה מפתחת מוצרים המאפשרים ללקוחותיה להתמודד עם שלל איומים בעולמות הווב. למשל, עם העלייה ברכישות אונליין עקב הקורונה, גדלה כמות מתקפות הבוטים על אתרים ברחבי העולם, ועל כן גדל האיום שמייצרות אותן מתקפות. בתוך המציאות הזו, תפקידו של Red Team Lead או ה Offensive research, כפי שהוא נקרא לעיתים, להשתמש בכל כלי שנראה לו מתאים - מכלים המוכרים בשוק, ועד לכתיבת מתקפות עצמאיות, על מנת לתקוף אתרים של לקוחות, מתוך מטרה מודעת לאתגר ולעקוף את מוצר האבטחה שהחברה מפתחת, מבלי שיש להם היכרות מוקדמת עם הקוד עליו מתבסס המוצר. הצוות רוכש כלי בוטים זדוניים ברשת, משתמש בסקריפטים ידועים של מתקפות ומוצא דרכים לקחת את המתקפות המוכרות, צעד אחד קדימה, על מנת לשפר את המוצר עוד יותר. הצוות למעשה ניכנס לנעליהם של תוקפים אפשריים המתכננים מתקפה זדונית, ומחפש כל העת דרכים להתקדם ולאתר חורים במוצר, שטרם נתגלו.
עבור הלקוחות, המשמעות היא שלעיתים הצוות מצליח לאתר כשלים או חולשות במוצר, כלומר אפשרות למתקפה, וזאת לעיתים עוד לפני שהתוקפים זיהו אותם. למעשה, חברי הצוות הם במהותם האקרים כובע לבן - כלומר, תוקפים במטרה לעשות טוב ולא להזיק, אך נדרשת מהם החשיבה הקרימינלית המניעה את התוקפים הזדוניים. תפקידם לאתר את הפרצות עוד לפני שהייתה חדירה לאתר, ולהתריע עליהן.
אלו המאיישים את התפקיד נדרשים לרמה גבוהה של יצירתיות, עצמאות ובעיקר אמינות. מרכיב לא פחות חשוב באישיות שלהם, שעשוי להפתיע רבים, הוא דווקא אינטליגנציה רגשית גבוהה. אותם Red team researchers יושבים כחלק מאותה קבוצה של חוקרים ההגנתיים, ומוצאים חולשות ובעיות בעבודה של אותם חוקרים.
לדוגמא, לאחרונה החליטו להעמיד את אחד המוצרים החדשים בחברה למבחן. הצוות, שהתנהג כתוקף, הצליח למצוא בעיה אמיתית במבנה של המוצר, שהייתה מתגלה רק לאחר שלקוחות היו מותקפים. במקרה הזה הלקוחות לא נחשפו למתקפה, אפילו לזמן קצר, והמבנה תוקן במהרה. דוגמא כזו מתרחשת באופן קבוע כחלק מהעבודה של החוקרים ההתקפיים, וחשוב לזכור שלעיתים קרובות מדובר בפרויקט של שנים, שעליו עמלו מפתחים וחוקרים הגנתיים, שהשקיעו מזמנם ומרצם כדי לכתוב את אותו מוצר הגנה, שהחוקר ההתקפי מצא בו חולשות.
חשוב שחברי הצוות, שאמנם מבלים את רוב זמנם מבודדים בחדרם מול המחשב, כשראשם מלא במחשבות על מתקפה, יהיו גם בעלי ידע נרחב ויכולות מחקר עצמאי וגם בעלי יכולת לקיים יחסי אנוש טובים ואינטליגנציה ריגשית גבוהה, יידעו לתקשר שכולם עובדים עבור מטרה שהיא משותפת, מבלי לפגוע או להעליב את שאר העובדים בחברה.
ליאל שטראוך היא מנהלת מחלקת המחקר של הסטארטאפ PerimeterX