איך לכתוב סילבוס לקורס סייבר

האם אתם מכירים את התחושה של לראות סילבוס לקורס סייבר ולשאול את עצמכם, על מה הם חשבו? למה יש כל כך הרבה נושאים שלא קשורים למטרה האמיתית של הקורס? זה נפוץ להפליא. לעתים קרובות תמצאו קורס SOC Analyst עמוס בתכנות פייתון או כתיבת חוקי IDS - מיומנויות מעניינות, אבל לעיתים רחוקות מה שאנליסט זוטר צפוי להתמודד איתו ביום הראשון שלו ב-SOC.

זה קורה כשהסילבוס נבנה על ידי איסוף כל מה ש"נשמע טוב" או "מרגיש" כאילו הוא שייך לסייבר, ללא מיקוד אמיתי במטרות הסטודנטים או בדרישות התפקיד. התוצאה היא קורס מפוזר שמשאיר את הסטודנטים עם שפע של ידע מנותק אך מעט ביטחון ביכולתם לבצע את התפקיד שאליו התאמנו.

אז איך נמנעים מזה? התשובה מתחילה בשלוש שאלות מהותיות: מה המטרה, מי הם הסטודנטים, וכמה זמן באמת יש לנו?

הבהרת המטרה

ברוב המקרים, מטרת קורס סייבר צריכה להתמפות ישירות לתפקיד או להרחבת ה"פיצ'רים" של תפקיד קיים. זה עשוי לומר להכשיר מישהו להיות אנליסט SOC, להכין סטודנט להיכנס לתפקיד מגיב לאירועים, או לאפשר לצוות IT להרחיב את מיומנויותיהם כך שיוכלו לנהל את מערכות האבטחה של הארגון - מה שנקרא לעתים קרובות SecOps.

הבעיה מתחילה לעתים קרובות כשהמטרה מוגדרת באמצעות מסגרות מוכרות כמו NICE Cybersecurity Workforce Framework או תיאורי תפקיד של ENISA. מודלים אלו הם מקורות התייחסות שימושיים, אך הם יכולים גם ליצור ציפיות לא מציאותיות. תסתכלו על תחומי הידע הרשומים עבור אנליסט אבטחה ב-NICE - האם אתם באמת חושבים שאפשר לכסות את כל זה בקורס אחד? האם פגשתם פעם אנליסט שבאמת יודע כל נושא במסגרות אלו? אני לא.

ושם נולדים סילבוסים מטושטשים. מדריכים מנסים לסמן כל תיבה, "מבוסס על ENISA" או "מיושר ל-NICE", ומסיימים בדחיסת הקורס בנושאים הקשורים באופן רופף. במקום לעזור, זה פוגע בסטודנטים. הם עוזבים עם ראייה שטחית של יותר מדי תחומים, ללא עומק במיומנויות שהם באמת צריכים כדי לבצע את העבודה.

סילבוס מעוצב היטב מתמקד במטרה הסופית, לא בסימון כל דרישת מסגרת.

הבנת הקהל

השאלה השנייה היא לגבי הסטודנטים עצמם. מי הם? האם הם מגיעים ללא רקע בכלל, מעט רקע, או ניסיון טכני משמעותי? אפילו משהו פשוט כמו גיאוגרפיה יכול לתת רמזים. למשל, אימנתי סטודנטים באזורים שבהם רשתות נלמדות מוקדם בתיכון - הם מגיעים בטוחים עם כתובות IP. במקומות אחרים, סטודנטים מעולם לא נגעו בשורת פקודה.

כל פיסת מידע על הקהל היא בעלת ערך. אם לסטודנטים אין רקע, הקורס חייב להתחיל ביצירת "שפה משותפת" לפני שצוללים לנושאים המקצועיים. אחרת, הם יאבדו מההתחלה.

תחשבו על זה: אם סטודנט לא מבין את ההבדל בין זיכרון לאחסון, איך הוא יוכל לתפוס הרשאות לינוקס או גיבוב קריפטוגרפי? הוא לא יכול. סילבוס חזק מבטיח שכל הסטודנטים חולקים את אותו בסיס לפני שמעלים את הרמה.

עבודה במסגרת הזמן

הגורם השלישי - וזה שתמיד מתקשר חזרה לסטודנטים - הוא זמן. זמן מגביל את מה שניתן להשיג באופן ריאלי.

פעם לקוח ביקש ממני קורס האקינג אתי של שישים שעות המיועד לסטודנטים עם אפס רקע. התשובה שלי הייתה פשוטה: מצטער, זה בלתי אפשרי. אני יכול ללמד אותם משהו, כן, אבל התוצאות יהיו דלות. ללא יסודות קודמים, אותן שישים שעות יבוזבזו רק בניסיון ליישר קו עם הסטודנטים לנקודה שבה מושגי האקינג יהיו הגיוניים. המעבדות יהיו או פשוטות מדי או ממהרות, ולא ישאירו אף אחד מרוצה.

זמן מכתיב עומק. קורס של עשר שעות עשוי לאפשר לסטודנטים להריץ רק כמה מעבדות קטנות, בעוד שקורס של ארבעים שעות נותן מספיק מקום ליסודות, כלים ותרגול חקירה. להעמיד פנים אחרת רק יוצר אכזבה.

בניית הסילבוס לאחור

אז ברגע שאתם יודעים את המטרה, הקהל ומסגרת הזמן, איך אתם באמת בונים את הסילבוס? העצה שלי פשוטה: לכו אחורה.

התחילו עם המטרה הסופית. דמיינו את התרגיל הסופי - משהו שנראה קרוב ככל האפשר למשימת עבודה אמיתית. לקורס אנליסט SOC, זה עשוי להיות ניתוח סט נתונים של חומת אש, נקודת קצה ולוגים של דוא"ל כדי לזהות אירוע ולכתוב דוח. לקורס מגיב לאירועים, זה עשוי להיות חקירת תמונת דיסק כדי לשחזר ציר זמן של תקיפה.

מהתרגיל הסופי הזה, פרקו אילו משימות הסטודנטים יצטרכו להשלים. לכל משימה, זהו את הידע והמיומנויות הנדרשים. ואז חפרו עמוק יותר: על איזה ידע רקע מסתמכת כל דרישה עצמה? כשתסיימו את התהליך הזה, תהיה לכם רשימה של כל מה שהקורס צריך ללמד.

עכשיו התאימו את הרשימה הזו לזמן הפנוי, תוך התאמה לידע הקודם של הסטודנטים. אם הם כבר יודעים לינוקס, אתם יכולים לדלג על היסודות. אם לא, אתם חייבים לבנות את הבסיס הזה קודם. על ידי עבודה לאחור, אתם מבטיחים שלכל מודול יש מטרה והוא תורם ישירות לתוצאה הסופית.

דוגמה: קורס האקינג אתי לצוות IT

בואו ניישם שיטה זו עם קורס המיועד לצוות IT שצריך להכיר את אבטחת הסייבר, לא להפוך לבודקי חדירות מקצועיים.

הגדרת התרגיל הסופי

התרגיל הסופי יהיה רשת מעבדה קטנה עם שלוש מכונות פגיעות:

1. מכונה אחת דורשת אקספלויט כדי להשיג גישה.
2. אחרת דורשת התקפת כוח גס (Brute-force).
3. האחרונה בעלת הגדרה שגויה ב-SMB שניתן לנצל.

בסוף הקורס, סטודנטים צריכים להיות מסוגלים לגלות מארחים אלו, לזהות את החולשות שלהם ולהתפשר עליהם עם הטכניקה הנכונה.

ניתוח הדרישות

עבודה לאחור:

• ניצול דורש או Metasploit או אקספלויט מתוסרט. שניהם דורשים ידע בלינוקס ורשתות.
• כוח גס דורש את Hydra, ששוב דורש נוחות בלינוקס והבנה של איך עובד אימות.
• הגדרה שגויה של SMB דורשת כלים כמו enum4linux או smbclient, שמסתמכים הן על מיומנויות לינוקס והן על יסודות רשת.
• מציאת המכונות דורשת ספירה (Enumeration) עם Nmap לגילוי מארחים, פורטים ושירותים.

מניתוח זה, רשימת הנושאים המינימלית הופכת ל:

• יסודות רשת (במיוחד TCP/IP, פורטים ושירותים).
• יסודות לינוקס (פקודות, מערכת קבצים, הרשאות).
• ספירה עם Nmap.
• ספירת SMB עם enum4linux / smbclient.
• כוח גס עם Hydra.
• ניצול עם Metasploit (או סקריפטים ידניים).

התחשבות בקהל

עבור צוות IT, רשתות היא לעתים קרובות מוכרת אך חלודה. לינוקס, לעומת זאת, עשויה לא להיות משהו שהם משתמשים בו מדי יום. הקורס צריך לכן לכלול רענון רשתות וחלק מוצק של יסודות לינוקס לפני שמציגים את כלי ההאקינג. ללא זה, התרגיל הסופי לא יהיה ניתן להשגה.

התחשבות בזמן

אם הזמן מוגבל, הקורס יכול להיצמד לעיקרים למעלה. אם יש יותר זמן, אנו יכולים להרחיב עם מודולים משלימים, כגון:

• יסודות אבטחת סייבר (משולש CIA, דפוס חשיבה של תוקף).
• אמצעי הגנה לכל התקפה (סיסמאות חזקות, טלאים, הקשחת SMB).
• נקודת מבט של תוקף (איך תוקפים ניגשים לרשתות צעד אחר צעד).
• מעבדות נוספות (למשל, ניתוח לוגים של כל התקפה או סימולציית תגובה לאירוע).

למה זה עובד

גישה זו שומרת על הקורס מציאותי. במקום לנפח את הסילבוס בנושאים לא קשורים כמו פריצת Wi-Fi או ניתוח נוזקות, הוא נשאר ממוקד במטרה הספציפית: לעזור לצוות IT להבין טכניקות התקפיות בסיסיות כדי שיוכלו להעריך אבטחה מנקודת המבט של התוקף. על ידי קשירת הכל למעבדה הסופית, הקורס נשאר עקבי ומעשי.

מחשבות לסיום

כתיבת סילבוס לקורס אבטחת סייבר לא אומרת לזרוק כל נושא "סייבר" אפשרי לתערובת. זה אומר להתמקד בתוצאה: הכנת סטודנטים לתפקיד או הרחבת המיומנויות שלהם בדרך ממוקדת ורלוונטית לעבודה.

על ידי הגדרת המטרה בבירור, הבנת הסטודנטים, כיבוד הזמן הפנוי ועיצוב לאחור מהתרגיל הסופי, אתם יכולים ליצור סילבוס מובנה, מציאותי ובעל השפעה.

לסטודנטים מגיעים קורסים שנותנים להם ביטחון לעבודה שלפניהם, לא קורסים שמציפים אותם בתיאוריה מפוזרת. הסילבוס הוא המקום שבו ההבדל הזה מתחיל.