השבועות האחרונים היו עמוסים מהרגיל, אני מראיין מועמדים לצוות שלי. ראיון עבודה דומה לפגישה עם לקוח, בשני המקרים אנחנו רוצים למכור משהו. בשני המקרים אנחנו רוצים ראשית למכור את עצמנו.

יותר מדי אנשים מגיעים לא מוכנים לראיון עבודה ואני ממש מתבאס עבורם. ברור שחלקם מוכשרים, על חלקם קיבלתי המלצות ואת חלקם הקטן אפילו הכרתי באופן אישי לפני הראיון הראשון. אנשים מוכשרים עם הרבה נסיון בעבודה עם לקוחות ובתפקידים דומים, לא מתכוננים לראיון העבודה ואני תמיד שואל את עצמי אם לפגישה עם לקוח הם היו מתכוננים טוב יותר או שגם בפגישות כאלו הם מאלתרים ומקווים לטוב. צריך לזכור את הדמיון בין שני האירועים. פגישה עיסקית שהתכוננת אליה תהיה טובה יותר וכך בדיוק גם ראיון עבודה. בשני המקרים יש משימה שצריך להתכונן אליה, להחליט מראש מה רוצים להציג, מה הדרך הנכונה להציג, אילו שאלות עלולות להיות מוקש ומה תהיה תשובה טובה שתאפשר לפרק את המוקש, מה התחושה שאני רוצה ליצור אצל המראיין או הלקוח והאם מסרים שליליים, FUD, יקדמו את השגת המטרה או יפגעו.

הכנה של מסמך מלווה, מצגת ללקוח כמו גם מסמך קורות חיים, היא טכניקה שמטרתה לשרת אותנו, לקדם את המסר אותו אנחנו רוצים להעביר. טעות נפוצה אצל רבים היא העמסה של המסמכים שלהם בהרבה מאד מידע שנראה להם מרשים. בין אם מדובר במצגת ובין אם מדובר בקורות חיים, המסמך אמור לעזור למציג ולא לכבול אותו. יש לברור את עיקרי הדברים וככל שמעמיסים יותר מידע יש יותר סיכוי להכניס מידע טפל שיכבול אותנו ויסרבל את הדיון.

לפעמים אין ברירה, המצגת הוכנה על ידי מישהו אחר בארגון או התקבלה מגורם חיצוני ואז חובה לעבור עליה ולבדוק מראש כל מילה או ראשי תיבות שאנחנו לא מכירים. הסיבה לכך פשוטה מאד, אם אני לא מכיר, חובה להניח שגם הלקוח לא מכיר. והוא ישאל. ואני אגמגם. והוא יתבאס. ואני אתבאס. אם בקורות החיים שהגשת כתוב MPLS  ואתה לא יודע שזה multi-protocol label switching, הורדת לעצמך את הסיכוי להגיע לשלב הבא בו ניתנת לך הזדמנות להסביר מה זה MPLS ומה עושים עם זה. אם אתה לא יודע את ראשי התיבות BGP או OSPF, הורדת לעצמך את הסיכוי להגיע לשלב הבא בו ניתנת לך ההזדמנות להסביר מתי תבחר ב border gateway protocol ומתי עדיף להשתמש ב open shortest path first ולהוכיח שאתה מסוגל לנהל שיחה אינטליגנטית בנושא זה עם לקוח פוטנציאלי.

לא מזמן ראיינתי מועמד לאחר שקיבלתי עליו המלצות טובות. הראיון הראשון היה מוצלח. בשלב השני המראיין היה מישהו אחר בארגון, בכיר ממני, ששאל את המועמד במה הוא מתמחה. למועמד לא היתה תשובה. לאחר דקה של שתיקה הוא ענה שהוא לא מומחה באף תחום. דיברנו אחר כך, שיחה פחות נעימה שכן אמרתי לו שהוא לא עבר את השלב השני ולא נתקדם. הוא אמר שהוא לא רצה להישמע יהיר ושתמיד יש עוד מה ללמוד גם בתחום שאתה טוב בו מאד. האמירה הזו נכונה אבל כבר לא רלוונטית, מה שהוא היה אמור לעשות זה להגיד אותה בראיון, משהו בסגנון "תמיד יש עוד מה ללמוד ואני לא רוצה להישמע סתם יהיר ולהגיד שאני מומחה בתחום אחד ספציפי אבל אני שולט ברמה טובה מאד בכל הנושאים עליהם דיברנו עד עכשיו ויש לי גם יכולת ליצור פתרון מלא ומקיף\ יכולת בין אישית טובה\ יכולת ליצירת קשר אישי מעולה עם הלקוח".

ראיונות עבודה אמורים להיות קשים, הרבה פעמים נשאל עוד שאלה ועוד שאלה עד שנגיע לנקודה בה המועמד יוצא משיווי משקל. המטרה היא לא להיות רשעים ולהכשיל מועמדים, המטרה היא לראות איך המועמד יתנהג כשדבר כזה יקרה לו עם לקוח. תמיד נמצא לקוח שבקיא בתחום מסוים יותר מאיתנו, איך נתנהג? האם נמציא תשובה? נשתוק? תשובה כמו "אני לא יודע אבל אני רושם לעצמי לברר ואחזיר לך תשובה עוד היום" היא תשובה מקובלת ומקצועית ועדיפה על פני שקר או שתיקה. לפעמים האמת לא נוחה לנו, לפעמים הלקוח שאל שאלה שאנחנו יודעים את התשובה עליה אבל אנחנו גם יודעים שהתשובה הפשוטה לא תקדם את המטרה לשלמה באנו, איך נגיב? איך נגיב בראיון עבודה כשיבקשו מאיתנו לשמוע על תכונה שלילית? ברור שזו שאלה שחוקה, עייפה ושכולנו פרפקציוניסטים ולפעמים זו גם תכונה שלילית כי היא גורמת לנו לרדת מאד לפרטים ודקויות (בחייאת אל תגידו פרפקציוניזם) אבל השאלה הזו נותנת למי שהתכונן אליה בדיוק את ההזדמנות להוכיח שהוא התכונן, שהוא יודע לדבר גם על משהו לא נוח אבל באופן מחמיא, משהו בסגנון "בעבר העירו לי שאני לפעמים X  אבל מאז שאני מודע לעובדה שככה אני נתפס, אני עובד באופן אקטיבי לשנות את זה ולראיה אמרו לי לאחרונה שאני הרבה פחות X  מבעבר".

FUD  fear, uncertainty, doubt – ראשי תיבות אלו מקובלים כציון אמירה של מתחרה מסוים כנגד המוצר או הפתרון של מתחרה אחר, לפעמים זו אמירה שגויה או שגויה בחלקה ולפעמים זו אמירה נכונה לחלוטין אבל מתייחסת לנקודה מאד שולית ומציגה אותה באור מאד עוצמתי כאילו על נקודה זו תלוי הפתרון כולו. המקבילה ל FUD ביידיש היא "אוט אר גזוקט" – "אז הוא אמר", צריך תמיד לזכור שיש סיבה שמתחרה אמר מה שאמר, ברור שהוא רצה לזרוע פחד וספק בלב הלקוח ו"על הדרך" לצבור לעצמו ניקוד חיובי, גם אם מדובר על ניקוד חיובי בנושא שולי, תחום לא רלוונטי או סתם מוצא מהקשרו. רבים בתחום הפריסייל מסביב לעולם מאמצים באופן יזום ומוצהר גישה של #NoFUD, גישה לפיה תמיד עדיף להגיד משהו חיובי על עצמך מאשר משהו שלילי על מתחרה. מודה שלאחרונה צייצתי משהו שלילי על מתחרה ואני לא גאה בזה אבל כן, לפעמים אדם עושה משהו רק בשביל הסיפוק הרגעי. בסיטואציה עיסקית, התנהגות כזו היא התנהגות פסולה, לקוחות רבים מציינים זאת בפה מלא כהתנהגות לאחריה מתחרה הנוקט בגישה שלילית, לעומתית, שכזו, לא מוזמן יותר לשולחן הדיונים.

גישת #NoFUD שכזו היא גם הגישה הנכונה לראיונות עבודה. מרואיין שמדבר על מקום העבודה הנוכחי שלו בגוף שלישי "הם" לא מוכיח לויאליות רבה או הרבה כבוד עצמי על העבודה שעשה עד הנקודה בה אנחנו נמצאים, מועמד שמדבר בלשון בוטה ואגרסיבית על מעביד לשעבר מוריד לעצמו ניקוד כי המראיין חושב לעצמו שככה ידבר עליו המועמד אחרי כמה זמן. גם לנושא זה ניתן וצריך להתכונן מראש. הגעתי לראיון העבודה בחברה הנוכחית עם בטן מלאה על המעביד הקודם שלי אבל בפגישה עיסקית כמו בראיון עבודה, אין יותר מדי מקום ל"לכלוך" על המתחרה ולכן מה שצריך לעשות זה להכין בלב רשימה של כל הדברים שמפריעים במקום העבודה הנוכחי ולציין אותם כנקודת חוזקה פוטנציאלית במקום העבודה החדש. דוגמאות? בשמחה! אם למשל במקום העבודה הנוכחי מעסיקים אתכם רק בעבודה מול לקוחות קטנים ומשעמים, כדאי להגיד משהו כמו "אני מאד מעוניין להתקדם לארגון שיתן לי חשיפה גדולה יותר ללקוחות בתחום האנטרפרייז". אם במקום העבודה הנוכחי יש לכם בעית תקשורת עם המנהל הישיר אפשר להגיד משהו כמו "שמעתי מלקוח משותף שאתם מאד תומכים בעובדים שלכם ושמקבלים מהם תמיד תחושה חיובית". ברור לכולם שמשפטים אלו הם לפעמים חרטא אחת גדולה ולפעמים מגיעים לראיון עבודה פשוט כי מחפשים לברוח ממקום עבודה קשה ולא מתגמל אבל מראיינים לא רוצים לשמוע את זה, אף לקוח לא רוצה לשמוע שאתם מוכרים לו מערכת בינונית ושהוא בעצם לקוח כל כך קטן שאתם לא מאמינים שאתם מתעסקים איתו!

לסיכום, כשאנחנו מתכוננים לפגישה עסקית, כמו גם לראיון עבודה, כדאי להקפיד על כמה צעדי הכנה שישפרו את הסיכוי לתוצאה חיובית מבחינתנו, ברשותכם אפנה לז'רגון צבאי אליו אני בורח כשאני רוצה להישמע חשוב:

1. "דבקות במשימה לאור המטרה" – פגישה, כמו גם ראיון עבודה, היא משימה כמו כל משימה, צריך להתכונן ולקבוע מטרה לאורה מתכווננים ומתכוננים, אין טעם להכין מצגת על אחסון לפגישה בנושא תקשורת. אפשר וכדאי להתאים את מסמך קורות החיים שלכם למשרה הספציפית עליה אתם מתמודדים ובחו"ל רווח הנוהג להכין cover letter, מסמך מלווה לקורות החיים שנתפר למידותיו של מעסיק פוטנציאלי
2. "קשה באימונים קל בקרב"- חובה להכין שיעורי בית, אם הפגישה היא בנושא VDI חייבים למשל לדעת מה ההבדל בין persistent ובין non-persistent, שליטה במושגי יסוד וז'רגון היא חובה ולא רשות והרבה יותר קשה "לעקוף" אותם בשיחה בלי להישמע חסרי הבנה בתחום
3. "סיור מקדים" – חובה לסמן מראש נט"בים (נקודות טורפה בטיחותיות) ולהכין להם מענה- למה אתה עוזב את מקום העבודה הנוכחי? למה אתה לא מועסק כרגע? למה עברת הרבה מקומות עבודה בשנים האחרונות? אלו שאלות שיעלו בראיון, אל תאלתרו עבורן תשובות במקום, הן לא אמורות להפתיע אתכם אם קורות החיים ששלחתם אכן קרו לכם באמת
4. "מה שעשינו ב48" – נכון, לא בדיוק ז'רגון צבאי אבל תופס כאן בכל אופן, צריך להכין סיפורי הצלחה, לקוחות ומראיינים אוהבים שמספרים להם איך ואיפה הצלחתם בעבר, איפה ביצעתם כבר פרויקט גדול ומרשים בהצלחה? איפה כבר נתקלתם באתגר כמו זה הצפוי ללקוח שלכם? איפה כבר ביצעתם משימה דומה למשימות שצפויות לכם בתפקיד עליו אתם מתמודדים? זה לא חייב להיות 100% מקרה זהה אבל זה צריך להיות משהו מספיק קרוב בשביל להעביר את המסר שאתם יודעים לחשוב תוך כדי תנועה ולהתאים עצמכם לאתגרים חדשים
5. "עלי קרב" – רוח לחימה או לפחות חיוך קטן וגישה חיובית תמיד עוזרים, גם שיחה קשה יכולה להיות חיובית ואם אתם עוסקים במכירות ככל שהיא יותר קשה ככה יותר צריך להשתדל להשאיר אותה חיובית ועם הפנים קדימה לקראת פתרון

בהצלחה לכולנו בעסקים ובהתמודדות על משרות חדשות!

שלכם,

ניר מליק

מייסד NetApp, דייב היץ, כתב ספר נהדר בשם "איך לסרס פר". אני באמצע הקריאה ונהנה מכל רגע. בתחילת דרכה של NetApp התמקדה החברה במערכות NAS זולות. התכנית העיסקית בשלבי הייסוד, עוד לפני גיוס ההון העיקרי, היתה לבנות מוצר אמין זול ופשוט על מנת להתחרות בקטגוריה חדשה בה לא היתה ליצרנים הגדולים והותיקים יותר כל נוכחות. כתוצר לוואי של הפשטות המערכת החדשה של NetApp, היא היתה גם מהירה, מאד מהירה. כל המוצרים המתחרים בשוק היו מוצרים ענקיים, שידעו לטפל במאות ואלפי משתמשים וכללו הרבה מאד פיצ'רים ויכולות אבל לא תוכננו לספק תגובה מהירה לפעולה בודדת. היץ מדמה את נושא הביצועים לאוטובוסים מול מכוניות פרארי. אם אתה צריך להסיע 50 תלמידים לבית הספר אוטובוס הוא פתרון מעולה אבל אם אתה צריך להסיע רק ילד אחר לבית הספר והוא מאד ממהר, אוטובוס יקח אותו לשם באותה המהירות כאילו יש עליו 50 תלמידים לעומת פרארי שתיקח ילד אחד מאד מהר לבית הספר אבל 50 מכוניות פרארי עבור 50 תלמידים זה לא רעיון פרקטי מבחינה כלכלית.

דימוי האוטובוס והפרארי משמש את היץ להסביר את ההבדל בין רוחב הפס, Throughput, ובין זמן התגובה, Latency. אני עובד בחברת ווי-אנקור ואנחנו מוכרים מערכות אחסון של 3 יצרנים עם התמקדות מאד ברורה ומובהקת במוצרי NetApp. לחברת NetApp לבדה 3 קווי מוצר עיקריים של מערכות אחסון וסה"כ 5* מוצרי אחסון שונים, FAS, All Flash FAS, E-Series, All Flash E-Series, SolidFire. מדובר במוצרים שפותחו על ידי שלוש חברות שונות, במקומות שונים בעולם, בשלבים שונים באבולוציה של עולם האחסון ובפניה לקהל יעד שונה לחלוטין. לכולן יש "מגבלה" משותפת, עבור כולן אין מספר זהב, אין תשובה חד ערכית לשאלה "כמה IOps המכונה נותנת". אין קסמים בעולם הזה, אופי הפעולה מול מערכת האחסון משפיע על כמות הפעולות שהמערכת תדע לספק בפועל, קריאה וכתיבה אינן פעולות זהות, פעולה קטנה אינה זהה לפעולה גדולה.

כדוגמא לעבודה ש"מגבלה" זו אינה "מגבלה" של מערכות האחסון של יצרן ספציפי אפשר לחשוב פשוט על רשתות תקשורת. קישור יחיד של 10Gb יכול, באופן די ברור, להעביר מקסימום 10Gb. אם משתמשים ב jumbo frames אז כמות הפעולות שנדרשות להעביר 10Gb קטנה יותר ולכן כל הרכיבים "מתאמצים" פחות אבל רוחב הפס לא עולה. כתוצר לוואי, מה שכן יכול לעלות זו נצילות רוחב הפס הידועה בכינוי Goodput, להבדיל מרוחב הפס, Throughput. רוחב הפס מגדיר את כמות המידע המקסימלית שעוברת בקו בכל רגע נתון, הנצילות מגדירה את כמות המידע האפקטיבי העוברת בקו אחרי שהורדנו Error, discard, re-transmit  וכו'.

דוגמא נוספת היא בעבודה של מעבד בודד, CPU. המדד הנפוץ לעוצמת המעבד הוא מהירות השעון הנמדד ב GHz וכמות הליבות כלומר מעבד של 12 ליבות 3Ghz נחשב חזק יותר מאשר מעבד בעל 8 ליבות במהירות 2.5GHz. לפעמים משמיטים את העובדה שגם כאן, לא כל הפעולות זהות, לא כל פעולות החישוב זהות במורכבותן ויש משימות שלוקחות יותר זמן מאחרות ולכן המדד של מהירות השעון מגדיר כמה המעבד חזק אבל כנתון יחד זה נתון לא מספק לגלות כמה פעולת חישוב נקבל.

כל המידע הזה רלוונטי כשאנחנו מבצעים אפיון למערכת אחסון, מערכת תקשורת שרתים וכו'. מערכות מבוססות Flash הינן מערכות עתירות ביצועים וכל יצרן שולח את מיטב המהנדסים שלו להריץ את מיטב החומרה שלו במבחני השוואה כדוגמת SPC על מנת לשבור את תקרת ה IOps וה Throughput אבל החכמה מאחורי המבחנים האלו הוא פרסום של סטנדרט הבחינה, המספר מפורסם לצד תיאור של מה בוצע בפועל כדי להגיע למספר הזה וזו כל החכמה כולה. יצרנים שמפרסמים מספרים ללא "מקרא" לא מספרים את כל האמת. אם נחזור לדוגמא של פרארי ואוטובוס ולא נדבר על הדרך לבית הספר אלא על צומת עירונית צפופה. נגיד ששני כלי הרכב חוצים את הצומת באותה המהירות בדיוק, הרי שהפרארי תסיים את חציית הצומת לפני האוטובוס, אורכה שליש מאורכו. המשמעות היא שלא ניתן בפועל לספק את אותו זמן התגובה לשני גדלי בלוק שונים. ניתן לספק זמני תגובה מהירים עד כדי כך שההבדל יהיה זניח או חסר משמעות מבחינה פרקטית אבל הוא לא יהיה זהה.

הדבר נכון גם לכלים בתוך מערכות האחסון, גם לכלי תוכנה יש את אותה "מגבלה", מה שעושים איתם גוזר את התפוקה שלהם בפועל. יחס של ביטול כפילויות למשל, De-duplication, או של דחיסה, Compression, הינו פועל יוצא של סוג המידע המאוחסן. מידע דחוס מראש לא יהיה ניתן לדחיסה ביחס של 1:4 גם בשימוש באלגוריתם דחיסה מאד אגרסיבי, מידע שרובו מכיל תמונות לא יכיל בלוקים כפולים ביחס של 1:6 גם בשימוש באלגוריתם מאד אגרסיבי עם גודל בלוק קבוע או משנה.

אין לי פואנטה מאד מתוחכמת לפוסט הזה, המטרה היעקרית שלי היא לשחרר קיטור אחרי תחרות מאד קשה מול יצרן אחסון חדש יחסית, שמציע טכנולוגיה מאד מעניינת אבל יש לו רק דגם אחד של מערכת אחסון וזו אחת הסיבות שהנציגים שלו מספרים ללקוחות שהמערכת עושה קסמים וכשפים. אולי היא מאד מרשימה אבל קסמים וכשפים היא לא עושה, גם לה יש "מגבלות". אלא אם היצרן המציע מחדש גם את פרוטוקולי התקשורת (הוא לא), גם את אופן הפעולה הבסיסית של מעבדים (הוא לא) וגם את אופן הפעולה הבסיסי של דיסקי SSD (הוא לא), אז לא משנה כמה טובה מערכת ההפעלה שלו, גם לה יש "מגבלות" וגם היא יכולה להוציא מהחומרה רק מה שהחומרה מסוגלת לספק.

אחת הקלישאות היא שהפעולה הכי מהירה היא פעולה שלא מבצעים, זה נכון בהחלט אבל גם לזה יש תקורה מסויימת, מישהו צריך לקבל את ההחלטה שלא לבצע את הפעולה וההחלטה היא גם פעולה, גם אם היא פעולה קלה ונעשית in-line, היא עדיין פעולה.

שלכם,

ניר מליק

*ל NetApp יש עוד מוצרי אחסון אבל אלו החמישה שאפשר לקנות כקופסא פיזית מוטמעת מראש

disclaimer

אני לא מומחה אבטחת מידע, זה לא תחום העיסוק העיקרי שלי, אבל אני חושב שיש כמה דברים פשוטים ובסיסיים ששווה להזכר בהם, לחזור עליהם, כי הם לא נוגעים למערכות יקרות ומורכבות להטמעה אלא לכמה דברים פשוטים שישפרו משמעותית את אבטחת המידע האישית שלנו ושל הארגונים בהם אנו עובדים, ששווה ליישם אותם בעצמנו ולספר עליהם לסובבים אותנו, גם לשכנים הפחות טכניים מאיתנו, כדי שידעו ממה להשמר ואיך להשמר גם בלי להיות בעצמם מומחים גדולים לאבטחת מידע, בלי "להסניף פאקטות" או לכתוב שורות קוד אל תוך הלילה.

אני חוזר ומבהיר שאין לי כאן יומרה בפוסט הזה לכסות את כל הנדרש לאבטחת מידע ברמה של ממשלות או ארגוני ביון אלא כמה עיצות כלליות למשתמש הפשוט, דברים שכל אחד מאיתנו יכול ליישם בעצמו כדי לשמור על עצמו ועל המידע שנגיש לו.

הזדהות חכמה

ראשית, אני ממליץ לכל מי שעוד לא ביצע זאת, לעצור את הקריאה ולהפעיל את יכולת הזיהוי הכפול, 2 factor authentication, בכל שירות שתומך בכך, המהדרין יטענו שזה הזמן גם לשקול לשלילה המשך שימוש בשירות שאינו תומך בכך.

יכולת ההזדהות הכפולה מחייבת אותנו לבצע הזדהות באמצעות שני אמצעים שונים. האמצעים הנפוצים ביותר כיום הוא הססמא שלנו ("something you know") ומספר חד פעמי הנשלח אל הטלפון הנייד שלנו ("something you have"). הרעיון הוא להקשות על פורץ לפרוץ אל החשבונות שלנו. אם הפעלנו יכולת הזדהות כפולה, לא מספיק עכשיו לנחש מה הססמא שלנו אלא גם לגנוב את הטלפון הנייד שלנו כדי להשתמש במספר החד פעמי שנשלח אליו בעת התחברות ולאחר הקלדת ססמא נכונה.

דוגמאות:

עבור כלל שירותי גוגל ניתן להכנס לקישור הבא ולהפעיל את האפשרות – https://www.google.com/landing/2step/

עבור שירות לינקדאין יש להעמיד את סמן העכבר מעל תמונת הפרופיל על מנת לחשוף את האפשרות Privacy & Settings

עבור אמאזון יש אל פרטי החשבון, ללחוץ על change account settings, לבחור ב edit ואז ב advanced security settings

ודוגמא אחרונה, עבור הבלוגרים, כאן ב wordpress, יש להכנס לפרטי החשבון, לבחור ב security ולעבור לטאב של Two-Step Authentication

חשוב לזכור, בדיוק כמו ססמא מאובטחת, גם הפעלת הזדהות כפולה אינה חסינה לחלוטין בפני נסיונות חדירה, ראו למשל במקרה כאן בו תוקפים מתחזים לחברת גוגל על מנת לבקש מהמשתמשים את קוד האימות שקיבלו:

http://news.softpedia.com/news/hackers-find-clever-way-to-bypass-google-s-two-factor-authentication-505138.shtml

התחזות ודיוג – קצת תשומת לב

הדבר הבא עליו אני רוצה לדבר הפעם הוא דיוג, Phishing. דיוג הוא נסיון לגניבת מידע על ידי התחזות. בדוגמא מטה מדובר על התחזות לאתר אינטרנט. המטרה היא לגרום לגולש תמים לנדב את פרטי הכניסה שלו לאתר מאובטח. במקרים רבים, שניה נוספת של תשומת לב מספיקה כדי לעלות על נסיון ההתחזות ולמנוע פגיעה, מספיקה שניה אחת של תשומת לב כדי לראות מי מבין אתרי האינטרנט המוצגים מטה הוא אתר של חברת התשלומים paypal ומי הוא אתר מתחזה.

ניתן לראות בקלות את ההבדל בין שמות האתרים וכי הדפדפן מסמן בירוק בולט כי האתר הינו אתר מהימן. המשמעות היא שלפעמים מאד קל להבדיל ורק צריך לשים לב שבעוד הם נשמעים דומה, microsoft.com אינו מוביל לאותו מקום כ micosoft.com

תשומת לב לפרטים היא לדעתי אחת העיצות הכי טובות בתחום אבטחת המידע האישית. צריך להפעיל הגיון פשוט בכל אינטראקציה ברשת. אם מקבלים למשל הודעת דוא"ל מהבנק והפניה היא אל "לקוח יקר שלנו" במקום פניה אישית אלינו או לחלופין אם הבנק מבקש שנשלח לו בחזרה את הססמא שלנו, צריך לזכור שלבנק שלנו יש הרבה מאד מידע ספציפי שלנו שכל יעודו לאמת שאנחנו מי שאנחנו אומרים שאנחנו ולכן לא הגיוני לא שיפנה אלינו בבתואר כל כך כללי ולא שיבקש מאיתנו לשלוח אליו ססמא שהוא עצמו מנפק לנו.

במיילים מסוג זה בהם אנו מתבקשים לבצע הזדהות כלשהיא, מומלץ שלא ללחוץ על הקישור המצורף בתוך הודעת הדוא"ל אלא לפתוח בעצמנו דפדפן, להקליד את הכתובת הנכונה ולהכנס בעצמנו אל האיזור המאובטח של החשבון שלנו.

בשנתיים האחרונות חלה עליה מאסיבית במקרים בהם נפגע אדם או ארגון מתוכנת כופרה, ransomware, המצפינה את המידע הנגיש כך שהאדם או הארגון מחוייבים לשלוח תשלום יקר על מנת לקבל את מפתח ההצפנה. לעיתים תוכנה זדונית זו מוחדרת אל המחשב ללא מעורבות ישירה של המשתמש בעת גלישה לאתר נגוע למשל, אך לעיתים המשתמש הוא המפעיל הישיר של הקובץ הנגוע, למשל בפתיחת קובץ מצורף בדוא"ל. גם כאן יעזור להפעיל הגיון פשוט. בדוגמא שנתקלתי בה בעצמי לאחרונה, נשלחה הודעה אל רשימת תפוצה כללית של עובדי חברה. ההודעה נשלחה לכאורה מבנק אמריקאי גדול וכללה קובץ מצורף. הנושא היה "זיכוי של $500,000". במקרה זה, הדבר הראשון שצריך לחשוב עליו הוא שבנק אמריקאי גדול המזכה את החברה שלי לא ישלח את הודעת הזיכוי לכלל רשימת אנשי המכירות אלא לאיש או אשת ההכספים המתנהלים מולו ישירות. ברור שהמטרה של השולח היתה לדוג את העובד שיהיה סקרן מספקי לבדוק על מה מזכים אותנו על כזה סכום.

הערת שוליים – ה FBI ממליץ שלא לשלם כופר בשום מצב:

http://www.welivesecurity.com/2016/05/09/fbi-ransomware-extortionists/

ויש כמובן כלים שמנסים להתמודד עם מתקפות כופרה כמו הכלי החינמי הבא –

http://www.pcworld.com/article/3049179/security/free-bitdefender-tool-prevents-locky-other-ransomware-infections-for-now.html

החשיבות של תשומת לב והכירות של כל אחד מאיתנו עם האיומים הבסיסיים הקיימים היא עצומה, מתקפות רבות הינן מתקפות לא מתוחכמות מבחינה טכנולוגית, התחכום מאחוריהן הוא תחכום אנושי, פסיכולוגי, המכוון לתקוף חולשות אנושיות ולא חולשות של מערכות. לאחרונה ראינו עליה במספר מתקפות ממוקדות בהן עובדים בחברה מקבלים הודעות פנימיות, שנראות כמו בקשות מהנהלת החברה, אך למעשה מהוות התקפה שמטרתה לקבל פרטים חסויים על עובדים בחברה. במקרים רבים נעשה שימוש ברשתות חברתיות על מנת לגלות אם מנהל בכיר בחברה נמצא בחופשה והיכן הוא נופש על מנת להוסיף נופך אישי ואמין להודעות התקיפה "אני בהונדורס וקשה לי להתחבר למשרד, תשלח לי בבקשה באופן בהול רשימה של כלל העובדים ופרטי חשבונות הבנק שלהם". דוגמא זו אינה יחודית לעולם העסקים ובשנים האחרונות רואים גם עליה למתקפות על אנשים פרטיים.

כפי שאפשר לראות בדוגמאות מטה, לא מורכב במיוחד להתחזות ברשתות החברתיות ולשלוח סימני מצוקה. כדאי לזכור שחבר שנמצא בכלא בטורקיה לא ישלח הודעה בפייסבוק ושאי אפשר לאתר אף אחד עם צילום של גב כרטיס האשראי שלנו. חובה להפעיל שיקול דעת והכי פשוט זה להרים טלפון. אם המנכ"ל בכנס בפולין סביר להניח שאין לו צורך בהול ברשימת חשבונות הבנק של כלל עובדי החברה, וצריך להפעיל שיקול דעת האם הבקשה הזו הגיונית גם אם הוא יושב לידכם על אחת כמה וכמה אם הוא בכנס בחו"ל.

https://www.theguardian.com/money/2013/nov/13/stranded-traveller-phishing-scam

http://www.motke.co.il/index.php?idr=400&p=2010505

קלאסיקה מודרנית

מי שטרם ביטל את יכולות המקרו בחבילת ה Office שלו מוזמן לעשות את זה מייד, שימוש במתקפות מקרו היה מאד פופולרי בעשור הקודם והיות וכולנו חשבנו שמה שהיה פעם כבר טופל וחוסל תוקפים רבים משתמשים שוב ביכולת בסיסית זו על מנת לתקוף

https://support.office.com/en-us/article/Enable-or-disable-macros-in-Office-documents-7b4fdd2e-174f-47e2-9611-9efe4f860b12

היגיינה אישית

לסיום, אני ממליץ בחום על שימוש בתוכנות אנטיוירוס גם עבור המחשב וגם עבור הטלפון הנייד. התקנת אנטיוירוס על הטלפון הנייד קלה ופשוטה כמו כל התקנת אפליקציה מחנות האפליקציות. יש גם תוכנות חינמיות אך כמובן שזה תחום עיקרי בו לא רצוי להתקמצן וכדאי לקנות רישוי מספק מוכר כמו סימנטק, מקאפי וכו'.

עבור המחשב, כל מערכת הפעלה windows בגרסאות האחרונות כוללת יכולות defender מובנות, לכל הפחות אנא מכם הפעילו יכולת זו. שוב, בהתאם למטרת פוסט זה, כנראה שאם אתם מומחי אבטחת מידע של NSA זה לא הכלי בשבילכם אבל זה באמת מינימום הכרחי עבור מי שלא מתמצא בנושא ולא יודע להתקין תוכנות על המחשב שלו. כדאי מאד להפעיל את הכלי ולדאוג לעדכונים אוטומטיים.

שלכם,

ניר מליק

*עיצה כללית שתמיד טובה כדרך חיים ורלוונטית גם בהקשר זה – גבו את המידע שלכם!

בתחילת השנה השלימה NetApp רכישה של חברה צעירה בשם SolidFire.

פרשנים רבים, שלא ירדו לפרטים הטכניים המעניינים באמת, התרכזו רק בעובדה שמערכת האחסון כוללת דיסקים מסוג SSD בלבד ולעגו ל NetApp על רכישה זו ופירשו אותה כבלבול וחוסר מיקוד.

הו, איזו טעות.

החלק הכי פחות מעניין במערכות האחסון של SolidFire הוא המדיה.

בשבוע שעבר הוכרזה הגרסא העדכנית של מערכת ההפעלה של SolidFire, Element (יסוד או יסודות). כיאה לשמה לכל גרסא שם קוד על שם יסוד לפי הסדר בטבלה המחזורית ושם הקוד של הגרסא הנוכחית הינו Fluorine (פלואור), היסוד התשיעי בטבלה המחזורית בהתאמה לגרסא 9 של מערכת ההפעלה.

מערכות אחסון מבית SolidFire הינן מערכות מבוססות חומרה בתצורת 1U הניתנות להטמעה ב Cluster המונה 4 עד 100 יחידות (Node). כל יחידה כוללת יכולת עיבוד ונפח אחסון כך שהגידול ליניארי לחלוטים בבסיסו. ניתן לשלב בין יחידות הכוללת נפח גדול יותר ויחידות הכוללות נפח קטן יותר על מנת להתאים לדרישות הנפח וכן לשלב יחידות חזקות וחלשות יותר על מנת להתאים לדרישות הביצועים. כאן מתחיל החלק המעניין באמת. כל יחידה (Node) מקושרת אל ה Cluster בשני כבלי 10Gb בלבד, מערכת ההפעלה תזהה את היחידה החדשה ובאופן אוטומטי תכניס אותה ל Cluster, תכיל עליה את כלל ההגדרות הנדרשות, תעביר אליה חלק מעומס העבודה ובכך מסתיים הליך הרחבת ה Cluster.

ה Cluster פועל בתצורת Shared Nothing ומסוגל להתמודד עם נפילה של דיסק, מעבד או Node שלם באופן מיידי ואוטומטי.

המערכת כוללת באופן מובנה יכולות חסכון בנפח, De-duplication, Compression, Zero Detection, Thin Provisioning הפועלות כולן In-Line וכולן במוד של Global Efficiency כלומר חלות על כלל נפח המידע במערכת.

מנגנון ה QoS המובנה במערכת יחודי בעובדה שהוא מספק לא רק יכולת Limit, אכיפה מפני "התפרעות" של צרכן, אלא גם Guaranty, יכולת הבטחת רמת שירות לצרכן. מערכת הניהול והבקרה תדווח באופן מיידי על חריגה מהיכולת של כלל ה Cluster לעמוד ב SLA שהוגדר והובטח לצרכנים השונים. מנגנון זה הוא הבסיס ליכולת Multi-Tenancy בהיבט של אבטחת רמת השירות.

אחד המרכיבים העיקריים במבנה מערכת האחסון הוא ההתממשקות לכלי ניהול חיצוניים. כלל יכולות המערכת ניתנות לניהול באמצעות Rest API ולקוחות רבים כלל אינם משתמשים בממשק הניהול הטבעי של המערכת אלא מבצעים את כלל משימות האחסון דרך Open Stack, Powershell וכו'.

אחד החידושים הכי משמעותיים בגרסא העדכנית הוא שינוי מודל הרכש של המערכת. בעבר, ניתן היה לרכוש את המערכת בשני אופנים עיקריים. האופן הראשון מוכר ונפוץ מאד בעולם האחסון. הלקוח יכול היה לרכוש רכיבים פיזיים, Nodes, וכל רכיב פיזי היה כולל את הרישוי כך שחידוש השירות היה כולל חומרה ותוכנה, הוצאה משירות של רכיב פיזי חייבה גם הוצאה משירות של הרישוי של הרכיב וכו'. במודל זה כמובן שעמדה לזכות הלקוח חובתו של היצרן להתחייב לאיכות רכיבי החומרה, תקינות שלהם, התאמה מיטבית בין החומרה לתוכנה וכו'.

המודל השני היה מודל של תוכנה בלבד. מודל זה הידוע בשם Element X, אפשר ללקוחות גדולים לעשות שימוש בחומרה שלהם, כל אחד משיקוליו הוא, היו כאלו שרצו ליצור חומרה יחודית להם והיו כאלו שפשוט רצו לנצל את חוזי הרכש הטובים שלהם עם היצרנים השונים ובכך לחסוך בעלויות רכש. במודל זה כמובן שחלק מהאחריות לתקינות מערכת האחסון עבר מהיצרן אל הלקוח המספק ומתחזק את החומרה.

המודל החדש מאפשר למעשה להפריד את הרכש לחומרה ולתוכנה אך עדיין לרכוש את שניהם מ SolidFire. המשמעות היא שהלקוח יכול לרכוש רק את מה שנדרש לו, מתי שנדרש לו, ועדיין להנות מאחריות מלאה של היצרן לכלל רכיבי המערכת.

אחת הדוגמאות היא ללקוח שצריך יחסית מעט נפח אך כמות גדולה מאד של ביצועים. לקוח כזה יכול לרכוש רישוי על פי נפח ולפרוס את הרישוי שלו על כמה רכיבים פיזיים, Nodes, שידרש על מנת לספק את כלל הביצועים.

חידוש נוסף בגרסא זו הוא שיפור משמעותי של ההתממשקות אל יכולת VMware VVOL הכוללת אינטגרציה מלאה בין מנגנון ה QoS של מערכת האחסון אל מנגנון ה VVOL ובכך להבטיח רמת שירות עבור שרת וירטואלי בודד במערכת.

יכולת אחרונה עליה אעדכן הפעם היא יכולת מובנית לגיבוי המידע אל Object Storage. בהתאם לתפיסת ה Data fabric עליה כתבתי בעבר, מערכת האחסון מאפשרת כמובן לבצע רפליקציה בין מערכות אחסון זהות כמקובל, וניתנות לגיבוי באמצעות כלי גיבוי כגון CommVault, אך מאפשרות באופן מובנה גם לבצע גיבוי ל S3, Swift או NetApp StorageGRID ולבצע שחזורים אל מערכות SolidFire אחרות במידת הצורך במקרי DR למשל.

מי קהל היעד העיקרי? ספקי שירות. בין אם ספקי שירות חיצוניים כספקי ענן ציבורי ובין אם ספקי שירות פנימיים כגופי פיתוח גדולים. גופים אלו זקוקים למערכת המאפשרת אוטומציה מלאה של תהליכים, רכש במודל גרנולרי בהתאם לצריכה בפועל, זמינות מאד גבוה והבטחת שירות למספר גדול מאד של צרכנים שונים.

שלכם,

ניר מליק

בפוסט הקודם התחלתי לסקור את החידושים ב ONTAP 9. אני חייב להמשיך ולהציג את שאר השינויים כדי לפנות מקום גם להכרזות האחרונות של SolidFire אז נצא לדרך.

כמו בפוסט הקודם גם כאן אין קשר בין סדר ההופעה לדרגת החשיבות, צוללים קדימה!

ביצועים – ONTAP 9 תספק שיפור של 60% בכמות ה IOps עבור אותה חומרה לעומת ONTAP 8.3.1 !

ניהול מפתחות הצפנה –  אין יותר חובה להשתמש בפתרונות ניהול מפתחות חיצוניים, ניתן לייצר ולאחסן את מפתחות ההצפנה על גבי מערכת האחסון עצמה. טהרנים ישאלו אם יש הרבה הגיון לניהל את מפתח ההצפנה על יעד ההצפנה עצמו ולהם אענה מראש שמרבית הלקוחות לא הצפינו מידע עד היום בכלל בדיוק בגלל החובה להשתמש בכלים חיצוניים יקרים. מי שעדיין צריך באמת רמה גבוה יותר של הצפנה עדיין יכול להשתמש בכלים חיצוניים אבל לדעתי מדובר כאן בפתרון מאד ייחודי ללקוחות שרוצים לשמור על רמה סבירה של אבטחת מידע ועד היום היו מנועים מכך לחלוטין

ועכשיו לאחד החידושים היותר מעניינים בהשקה זו המקושרים ישירות לתפיסת ה Data Fabric עליה כתבתי בעבר ולפיה NetApp מאפשרת לנו ליישם את הפתרונות שלה בדרך שלנו. NetApp FAS היא מערכת מוגדרת מראש בה היצרן מספק לנו את התוכנה ביחד עם החומרה ובכל ניתן להתחייב על רמות זמינות וביצועים ולא רק על יכולות. עבור לקוחות המעדיפים להשתמש בחומרה אחרת, זולה יותר פשוטה יותר או פשוט נגישה יותר עבורם הושק אתמול מוצר חדש בשם ONTAP Select.

ONTAP Select הינו פתרון תוכנה בלבד המקנה את כלל יכולות ONTAP על גבי כולל שירותי קבצים NFS או CIFS ושירותי בלוק iSCSI. כלל יכולות חסכון הנפח כלולות כולל DeDuplication, Compression ו Compaction החדשה וכן כלי הרפליקציה Snap Mirror וכלי הגיבוי Snap Vault.

ניתן להטמיע את ONTAP Select על גבי VMware ESXI או על גבי KVM בתצורות SIngle Node או 4-Node Cluster על מנת לספק זמינות ושרידות.

כמובן שקיימת תמיכה מלאה בעלי הניהול OnCommand ובכלי ה Snap manager על מנת כאמור לא להתפשר על יכולות ועדיין לאפשר גמישות במבנה הרכישה וההטמעה.

היות ומערכת ההפעלה זהה לחלוטין ניתן לרפלק ולגבות את המידע בין מערכות ONTAP Select, מערכות ONTAP על גבי FAS או AFF ולמערכות ONTAP Cloud הרצות בסביבות ענן ציבוריות.

שיפורים נוספים ביכולת ADP מגדילים עוד יותר את יחס הנטו\ברוטו בפתרונות AFF, יחס שהופך קריטי ככל שהדיסקים הנתמכים גדלים. זוכרים שכתבתי על דיסיקם בגודל 16TB? בשנה הבאה מתוכננים דיסקים בנפח 32TB ויחס של עשרים ואחת לאחת (21:1) בין דיסקי מידע ודיסקי Parity יהיה סופר רלוונטי וחשוב ובטח נראה עוד שיפורים בעניין הזה בהכרזות הבאות.

נראה לי שזהו להפעם, אני צריך להתחבר לשידור מ solidfire.com כדי להכין את הפוסטים הבאים

שלכם,

ניר מליק