Network Security

Low-Level: C, Assembly ו-RE · 5–6 שעות

⌨ כתיבת קוד (2)תרגילים ומשימות קוד לשיעור 24

// סקירה

Network Security — TCP/IP, Firewalls ו-IDS

שיעור זה נותן את הבסיס המלא להבנת אבטחת רשתות: איך פרוטוקולים עובדים, איך מגנים עליהם, ואיך תוקפים מנסים לנצל אותם. זה הנושא שמופיע בכל מיון סייבר.

✓נושאי השיעור

OSI Model — 7 השכבות ותפקידן
TCP/IP — Handshake, Ports, Packets
Firewall — Stateless לעומת Stateful, Rules, DMZ
IDS/IPS — זיהוי ומניעת חדירה, Signature לעומת Anomaly
מתקפות רשת — Port Scan, DoS/DDoS, ARP Spoofing, MITM
VPN — Tunneling, Protocols
Wireshark — ניתוח תעבורת רשת
DNS Security — Hijacking, Poisoning, DNSSEC

// פרק 1

OSI Model — 7 השכבות

OSI (Open Systems Interconnection) הוא מודל תיאורטי שמחלק תקשורת רשת ל-7 שכבות. כל שכבה מספקת שירות לשכבה שמעליה. בסייבר — חשוב לדעת איזו שכבה כל פרוטוקול ומתקפה שייכים אליה.

שכבה	שם	פרוטוקולים	מה קורה
7	Application	HTTP, HTTPS, DNS, SMTP, FTP	אפליקציה — מה המשתמש רואה
6	Presentation	TLS/SSL, JPEG, ASCII	הצגה, הצפנה, דחיסה
5	Session	NetBIOS, RPC	ניהול חיבורים/Sessions
4	Transport	TCP, UDP	Ports, Segmentation, Reliability
3	Network	IP, ICMP, ARP	Routing, כתובות IP
2	Data Link	Ethernet, WiFi, MAC	MAC Addresses, Frames
1	Physical	כבלים, אות	ביטים על גבי מדיה פיזית

🔑 טריק זכירה — All People Seem To Need Data Processing

Application, Presentation, Session, Transport, Network, Data Link, Physical (מלמעלה למטה 7→1).
מלמטה למעלה: Please Do Not Throw Sausage Pizza Away.
בשאלות מיון: HTTP בשכבה 7, IP בשכבה 3, TCP/UDP בשכבה 4.

✏תרגול — OSI Model2 שאלות

שאלה 1.1

בשכבה מספר כמה פועל פרוטוקול SSH?

✓ תשובה: ג) שכבה 7 — Application. SSH הוא פרוטוקול אפליקציה (כמו HTTP, DNS, FTP). הוא פועל מעל TCP (שכבה 4) אבל הוא עצמו נמצא בשכבה 7.

שאלה 1.2

מתקפת ARP Spoofing מתרחשת באיזו שכבה?

✓ תשובה: ב) שכבה 2. ARP עובד עם MAC Addresses ברמת ה-Data Link Layer. המתקפה מזייפת MAC Addresses כדי להפנות תעבורה.

// פרק 2

TCP/IP — בסיס כל תקשורת רשת

הבנת TCP Handshake קריטית להבנת מתקפות כמו SYN Flood. ידיעת ה-Ports חיונית לכל שאלה בנושא Firewall ו-Network Security.

TCP Three-Way Handshake

// TCP Three-Way Handshake
// שלב 1: Client → Server: SYN
//         "אני רוצה להתחבר, Seq=100"
// שלב 2: Server → Client: SYN-ACK
//         "הסכמתי, Seq=300, ACK=101"
// שלב 3: Client → Server: ACK
//         "מאשר, ACK=301"
// → חיבור מבוסס!

// סגירת חיבור TCP: Four-Way Teardown
// FIN → FIN-ACK → ACK

// UDP: לא מבצע Handshake — שולח ומקווה לטוב
// DNS, DHCP, Video Streaming — UDP
// HTTP, SSH, FTP — TCP

Well-Known Ports

Port	פרוטוקול	שימוש	TCP/UDP
20/21	FTP	העברת קבצים (לא מוצפן!)	TCP
22	SSH	Remote Shell מוצפן	TCP
23	Telnet	Remote Shell לא מוצפן — אסור	TCP
53	DNS	Name Resolution	UDP/TCP
80	HTTP	Web לא מוצפן	TCP
443	HTTPS	Web מוצפן (TLS)	TCP
3306	MySQL	מסד נתונים	TCP
3389	RDP	Remote Desktop Windows	TCP

הרחבה IP Addressing ו-Subnetting בסיס ›

// IPv4: 32 ביט, נכתב כ-4 אוקטטים (0-255)
// CIDR Notation: כתובת/prefix
// 192.168.1.0/24 → 256 כתובות (254 שמישות)
// /24 = 24 ביט רשת, 8 ביט Host
// Subnet Mask: /24 = 255.255.255.0

// Network:  192.168.1.0   (ביטים של host = 0)
// Broadcast: 192.168.1.255 (ביטים של host = 1)
// Range:    192.168.1.1 - 192.168.1.254

// Private Ranges (RFC 1918) — לא ניתנות לניתוב ב-Internet:
// 10.0.0.0/8      → 10.x.x.x
// 172.16.0.0/12   → 172.16.x.x - 172.31.x.x
// 192.168.0.0/16  → 192.168.x.x
// לעבור מ-Private ל-Public Internet: NAT

✏תרגול — TCP/IP ו-Ports3 שאלות

שאלה 2.1

מהי מתקפת SYN Flood ואיך היא עובדת?

✓ תשובה: ג. תוקף שולח אלפי SYN עם IP מזויף. השרת שולח SYN-ACK ומחכה ל-ACK שלא מגיע. TCP Connection Queue מתמלאת → שרת לא יכול לקבל חיבורים לגיטימיים. הגנה: SYN Cookies.

שאלה 2.2

איזה Port מספר 443 משמש?

✓ תשובה: ב. Port 443 = HTTPS. חשוב: HTTP=80, SSH=22, DNS=53 (UDP/TCP), FTP=21, MySQL=3306.

שאלה 2.3

מה ההבדל העיקרי בין TCP ל-UDP?

✓ תשובה: ג. TCP = Three-Way Handshake + Reliability. UDP = מהיר, לא מאמת. DNS/DHCP/Streaming → UDP. HTTP/SSH/FTP → TCP.

// פרק 3

Firewall — שומר השער

Firewall מסנן תעבורת רשת לפי חוקים (Rules). הכלל הזהב: Default Deny — מה שלא מפורש מותר — אסור.

סוג	עובד בשכבה	מה בודק	יתרון/חיסרון
Packet Filter (Stateless)	3-4 (IP, TCP)	IP, Port, Protocol	מהיר \| לא מבין Context
Stateful Inspection	4 (TCP)	מצב החיבור (SYN/EST)	מבין Flow \| כבד יותר
Application Layer (L7)	7 (HTTP)	תוכן HTTP, DNS, SQL	הכי חכם \| איטי יותר
Next-Gen Firewall (NGFW)	כל השכבות	IPS + App Control + TLS	הכי מקיף \| יקר

Firewall Rules — iptables דוגמה

# Firewall Rules — נבדקות מלמעלה למטה, ראשון שמתאים — ניצח!
# iptables (Linux Firewall):

# אפשר חיבורים קיימים
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# אפשר SSH מכתובת IP ספציפית בלבד
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.5 -j ACCEPT

# אפשר HTTPS לכולם
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# חסום HTTP (כופה HTTPS)
iptables -A INPUT -p tcp --dport 80 -j DROP

# Default Deny — חסום כל השאר
iptables -P INPUT DROP

💡 DMZ — Demilitarized Zone

DMZ היא רשת ביניים בין ה-Internet לרשת הפנימית. Web Servers ו-Mail Servers יושבים ב-DMZ — נגישים מהאינטרנט, אבל מבודדים מה-LAN. אם Web Server נפרץ — התוקף ב-DMZ, לא ברשת הפנימית עם ה-DB.

✏תרגול — Firewall2 שאלות

שאלה 3.1

מה ההבדל בין Stateless ל-Stateful Firewall?

✓ תשובה: א. Stateless = בודק IP+Port+Protocol בלבד. Stateful = מבין שה-Packet הוא חלק מחיבור TCP קיים (ESTABLISHED/RELATED), ולכן חכם יותר.

שאלה 3.2

מה מטרת ה-DMZ ברשת ארגונית?

✓ תשובה: א. DMZ = אזור ביניים. שרתים ציבוריים (Web, Mail) חיים שם. פריצה לשרת → התוקף תקוע ב-DMZ, לא מגיע ל-LAN הפנימי עם DB ו-ERP.

// פרק 4

IDS/IPS — זיהוי ומניעת חדירה

IDS מזהה ומתריע. IPS מזהה וחוסם. ההבדל קריטי — False Positive ב-IPS עלול לשבות שירות לגיטימי.

	IDS (Intrusion Detection)	IPS (Intrusion Prevention)
תפקיד	מזהה ומתריע	מזהה וחוסם באופן אקטיבי
מיקום	Out-of-band (עותק תעבורה)	Inline (כל התעבורה עוברת דרכו)
False Positive	רק התראה מוטעית	חסימה מוטעית — עלולה לשבות שירות

שיטות זיהוי

שיטה	איך עובד	יתרון	חיסרון
Signature-based	מחפש דפוסים ידועים (Snort Rules)	מדויק, מהיר	לא מזהה 0-day
Anomaly-based	בונה Baseline, מזהה חריגות	מזהה 0-day	הרבה False Positives
Heuristic	ניתוח התנהגות חשודה	איזון בין השניים	מורכב לכיוון

הרחבה Snort Rules — דוגמאות ›

# Snort Rule — Signature-based IDS
# זיהוי ניסיון SQL Injection:
alert tcp any any -> $HTTP_SERVERS $HTTP_PORTS (
  msg:"SQL Injection Attempt";
  content:"' OR '1'='1";
  nocase;
  sid:1000001;
)

# זיהוי Port Scan (Nmap -sS):
alert tcp any any -> $HOME_NET any (
  msg:"Possible Port Scan";
  flags:S;
  threshold: type both, track by_src, count 20, seconds 3;
  sid:1000002;
)
# הסבר: מי שמנסה 20 חיבורי SYN ב-3 שניות — חשוד ב-Port Scan

✏תרגול — IDS/IPS2 שאלות

שאלה 4.1

מה הסכנה ב-False Positive ב-IPS?

✓ תשובה: א. ב-IDS = False Positive רק מייצר התראה. ב-IPS = False Positive חוסם תעבורה לגיטימית. דוגמה: IPS חוסם בקשות HTTP לגיטימיות כי דומות ל-SQL Injection → אתר לא נגיש.

שאלה 4.2

מה חיסרון השיטה Signature-based לזיהוי?

✓ תשובה: א. Signature = מחפש דפוסים ידועים. מתקפה חדשה שאין לה חתימה (0-day) תעבור בלי שתזוהה. Anomaly-based מזהה 0-day אבל יוצר יותר False Positives.

// פרק 5

מתקפות רשת נפוצות

Port Scan, DoS/DDoS, ARP Spoofing ו-MITM — אלו המתקפות שמופיעות בכל בחינת סייבר. חשוב להבין את המנגנון ולא רק את השם.

Port Scanning — Nmap

# Nmap — Network Mapper
# סריקה בסיסית (TCP SYN Scan — לא מסיים Handshake)
nmap -sS 192.168.1.1

# זיהוי OS וגרסאות שירות
nmap -O -sV 192.168.1.1

# סריקת רשת שלמה
nmap -sn 192.168.1.0/24  # Host Discovery בלבד

# פלט לדוגמה:
# PORT    STATE  SERVICE  VERSION
# 22/tcp  open   ssh      OpenSSH 8.4
# 80/tcp  open   http     nginx 1.20
# 3306/tcp open  mysql    MySQL 8.0  ← ⚠️ DB חשוף!

⚠️ Port Scan — גבול החוקי

Port Scan על רשת שלא בבעלותך הוא לרוב עבירה פלילית. לצרכי לימוד: Nmap על 127.0.0.1 (עצמך) או Lab מבודד בלבד. Penetration Testing דורש הסכם חתום מהארגון.

DoS ו-DDoS

סוג מתקפה	מנגנון	הגנה
SYN Flood	מציף SYN ללא ACK — TCP Queue מתמלאת	SYN Cookies, Rate Limiting
HTTP Flood	GET/POST לגיטימיים בנפח עצום	WAF, CAPTCHA, Rate Limiting
Amplification	בקשה קטנה → תגובה ענקית לקורבן	BCP38, Ingress Filtering
Slowloris	שולח Headers לאט מאוד — תופס Connections	Connection Timeout קצר

ARP Spoofing ו-MITM

// ARP Spoofing Flow:
// 1. LAN רגיל:
//    Victim (192.168.1.10) → Router/GW (192.168.1.1) → Internet

// 2. התוקף שולח ARP Reply מזויף:
//    "מי שיש לו 192.168.1.1 — ה-MAC שלי"
//    הקורבן מאמין ומעדכן ARP Table

// 3. אחרי Spoofing:
//    Victim → Attacker → Router → Internet
//    התוקף רואה הכל — MITM!

// כלים: arpspoof, ettercap, bettercap

// הגנות:
// - Dynamic ARP Inspection (DAI) — ב-Managed Switches
// - Static ARP Entries לGateway
// - HTTPS/TLS מגן גם אם יש MITM (Certificate Pinning)

✏תרגול — מתקפות רשת3 שאלות

שאלה 5.1

חבר גולש ב-HTTP (לא HTTPS) בבית קפה. מה הסיכון הקונקרטי?

✓ תשובה: ב. ברשת WiFi ציבורית: תוקף → ARP Spoofing → MITM → רואה כל תעבורת HTTP: Cookies, Session Tokens, סיסמאות. פתרון: HTTPS תמיד + VPN ברשתות לא מהימנות.

שאלה 5.2

מה ההבדל בין DoS ל-DDoS?

✓ תשובה: ד. DoS = Denial of Service ממכונה אחת. DDoS = Distributed — אלפי מכונות נגועות (Botnet) מתקפות יחד. קשה לחסום כי כל IP לגיטימי בנפרד.

שאלה 5.3

איזו הגנה עוצרת SYN Flood?

✓ תשובה: ב. SYN Cookies: במקום לשמור State (TCP Half-Open Connection) בזיכרון, השרת מקודד את המידע ב-Sequence Number. רק כשמגיע ACK מחשב שוב — ולכן ה-Queue לא מתמלאת.

// פרק 6

VPN ו-Wireshark

VPN יוצר Tunnel מוצפן בין שתי נקודות. Wireshark הוא כלי Packet Capture — חובה לכל מאבטח.

פרוטוקולי VPN

פרוטוקול	שכבה	הצפנה	יתרון
OpenVPN	4 (UDP/TCP)	AES-256 + TLS	הכי גמיש, Open Source
WireGuard	3 (UDP)	ChaCha20	המהיר ביותר, מודרני
IPSec/IKEv2	3 (IP)	AES-256	נפוץ ב-Enterprise
SSL/TLS VPN	7 (HTTP)	TLS	עובד דרך Firewall (port 443)

⚠️ VPN לא = אנונימיות מלאה

VPN מסתיר IP מהאתרים — אבל ספק ה-VPN רואה הכל. VPN לא מגן מ-Malware, Phishing, XSS. לאנונימיות מלאה — Tor.

Wireshark — Filters מרכזיים

# Wireshark Display Filters:
http          # כל תעבורת HTTP
dns           # שאילתות DNS
tcp.port == 443   # HTTPS
tcp.port == 22    # SSH

# סנן לפי IP
ip.addr == 192.168.1.5

# SYN Packets בלבד (זיהוי Port Scan)
tcp.flags.syn == 1 and tcp.flags.ack == 0

# חיפוש Credentials ב-HTTP (Plain Text!)
http.request.method == 'POST' and http contains 'password'

# DNS ספציפי
dns.qry.name contains 'google'

✏תרגול — VPN ו-Wireshark2 שאלות

שאלה 6.1

איזה Wireshark Filter מראה רק SYN Packets (לזיהוי Port Scan)?

✓ תשובה: א. SYN בלי ACK = בקשת חיבור חדשה. Port Scan = הרבה SYN ל-Ports שונים. הפילטר מסנן בדיוק את זה.

שאלה 6.2

מה ניתן לראות ב-Wireshark כאשר גולשים ב-HTTP (לא HTTPS)?

✓ תשובה: ב. HTTP = לא מוצפן. כל הנתונים גלויים: Headers (כולל Cookie), Body (כולל שדות סיסמה), URL. HTTPS = רק TLS Handshake + נתונים מוצפנים.

// פרק 7

DNS Security — Hijacking ו-Poisoning

DNS הוא "פנקס הכתובות" של האינטרנט — ולכן מטרה אטרקטיבית לתוקפים. DNS Poisoning ו-Hijacking מאפשרים להפנות משתמשים לאתרים זדוניים.

// DNS Query Flow רגיל:
// Browser → Resolver → Root → TLD (.com) → Authoritative → IP

// DNS Poisoning:
// תוקף מזריק Record מזויף ל-Resolver Cache
// browser.com → 1.2.3.4 (IP של תוקף) במקום 5.6.7.8 (IP אמיתי)

// DNS Hijacking:
// תוקף משנה הגדרות ב-Router/ISP/Client
// כל DNS Queries → שרת DNS של התוקף → מפנה לכל מקום

// הגנות:
// DNSSEC: חתימה קריפטוגרפית על DNS Records
//         Resolver מאמת שה-Record לא זויף
// DoH (DNS over HTTPS): שאילתות DNS מוצפנות ב-HTTPS
// 1.1.1.1 (Cloudflare), 8.8.8.8 (Google) תומכים ב-DoH

# בדיקת DNS Record:
dig myapp.com A          # IPv4 Record
dig myapp.com +dnssec    # בדיקת DNSSEC

✏תרגול — DNS Security2 שאלות

שאלה 7.1

מה DNSSEC עושה?

✓ תשובה: ד. DNSSEC מוסיף חתימות דיגיטליות ל-DNS Records. Resolver מאמת את החתימה — אם Record זויף, האימות נכשל ו-DNSSEC חוסם אותו. DoH שונה — מצפין את ה-Query עצמו.

שאלה 7.2

מה ההבדל בין DNS Poisoning ל-DNS Hijacking?

✓ תשובה: ב. Poisoning = תוקף שולח תגובת DNS מהירה עם IP מזויף לפני התגובה האמיתית → Resolver שומר ב-Cache. Hijacking = שינוי הגדרות DNS ב-Router/ISP/Client → כל השאילתות עוברות לשרת של התוקף.

// תרגול נוסף

תרגול נוסף — מצביעים: Dereferencing ו-Dangling

שאלות העשרה נוספות לחיזוק החומר של השיעור — באותו פורמט בחירה של הקורס.

✏תרגול נוסף3 שאלות

שאלה 8.1 [בינוני]

מה יהיה x אחרי הרצת הקוד?

int x=5, y=10;
int *p=&x, *q=&y;
*p = *q + 3;
*q = *p - 1;

✓ תשובה נכונה: ד — *p=*q+3: x=10+3=13. *q=*p-1: y=13-1=12. הכתיבה דרך המצביע משנה את המשתנה המקורי. תוצאה: x=13, y=12.

שאלה 8.2 [קשה]

מה הבאג?

int* make_array(int n) {
  int arr[n];        // VLA
  for (int i=0;i<n;i++) arr[i]=i;
  return arr;        // ←
}

✓ תשובה נכונה: ג — int arr[n] הוא זיכרון Stack מקומי — משוחרר ב-return. המצביע המוחזר 'תלוי' (Dangling). הפתרון: malloc (Heap) והשחרור באחריות הקורא.

שאלה 8.3 [קשה]

Use-After-Free — מדוע זו חולשת אבטחה?

✓ תשובה נכונה: ג — אחרי free הזיכרון חוזר ל-Allocator ועלול להתמלא ב-Object חדש. שימוש במצביע הישן = קריאה/כתיבה ל-Object זר. ניצול נפוץ לביצוע קוד.

// אתגר מעשי

אתגר מעשי — אבטחת רשת — Firewall ו-IDS

שיא השיעור: לרדת לרמת-המכונה — C, אסמבלי, היפוך. ההגשה נבדקת אוטומטית.

T2 · בסיסי200 נק'~15 דק'algorithmic

מנוע חוקי Firewall (First-Match)

ממש firewall(rules, packet). rules היא רשימת חוקים (action, proto, port) כאשר action הוא 'ALLOW'/'DENY' ו-'*' הוא תו-כללי. packet הוא (proto, port). החזר את פעולת החוק *הראשון* שמתאים; אם אף חוק לא מתאים — 'DENY' (ברירת-מחדל בטוחה).

דוגמאות

firewall([('ALLOW','tcp',80),('DENY','*','*')], ('tcp',80)) → 'ALLOW'

...('tcp',22) → 'DENY'

הפתרון שלךהפתרון נשמר מקומית ומשותף עם עמוד „כתיבת קוד”.

פתרון-ייחוס מנוע חוקי Firewall (First-Match) ›

def firewall(rules: list, packet: tuple) -> str:
    proto, port = packet
    for act, pr, po in rules:                      # first match wins
        if (pr == '*' or pr == proto) and (po == '*' or po == port):
            return act
    return 'DENY'                                  # default deny

T3 · בינוני350 נק'~25 דק'algorithmic

זיהוי Port Scan (IDS)

ממש detect_portscan(logs, threshold, window). logs הם (time, src, dst_port). כתובת מקור 'חשודה' אם פנתה ל-≥ threshold פורטים *ייחודיים* בתוך חלון זמן של ≤ window שניות. החזר רשימה ממוינת של כתובות המקור החשודות.

דוגמאות

A פונה ל-80,81,82,83 בתוך 3ש', threshold=3, window=5 → ['A']

הפתרון שלךהפתרון נשמר מקומית ומשותף עם עמוד „כתיבת קוד”.

פתרון-ייחוס זיהוי Port Scan (IDS) ›

from collections import defaultdict
def detect_portscan(logs, threshold, window):
    bysrc = defaultdict(list)
    for t, src, port in logs: bysrc[src].append((t, port))
    flagged = []
    for src, ev in bysrc.items():
        ev.sort(); l = 0; cnt = {}
        for r in range(len(ev)):
            cnt[ev[r][1]] = cnt.get(ev[r][1], 0) + 1
            while ev[r][0] - ev[l][0] > window:            # חלון זמן נע
                p = ev[l][1]; cnt[p] -= 1
                if cnt[p] == 0: del cnt[p]
                l += 1
            if len(cnt) >= threshold:                      # מספיק פורטים שונים בחלון
                flagged.append(src); break
    return sorted(flagged)

// סיכום

סיכום — שיעור 24

✓מה למדנו בשיעור 24

OSI 7 שכבות: Physical→Data Link→Network→Transport→Session→Presentation→Application
TCP Three-Way Handshake: SYN→SYN-ACK→ACK. UDP: לא Handshake
Well-Known Ports: SSH:22, HTTP:80, HTTPS:443, DNS:53, MySQL:3306
Firewall: Stateless→Stateful→L7→NGFW. Default Deny = כלל הזהב
DMZ: Web/Mail Servers חשופים אבל מבודדים מה-LAN הפנימי
IDS = מזהה ומתריע | IPS = מזהה וחוסם. Signature vs Anomaly Detection
SYN Flood: TCP Queue מלאה → DoS. הגנה: SYN Cookies
ARP Spoofing → MITM: תוקף מתחזה ל-Gateway, רואה כל התעבורה
VPN: Tunnel מוצפן בין נקודות. WireGuard המהיר, OpenVPN הגמיש
Wireshark: tcp.flags.syn, http contains 'password', Follow TCP Stream
DNS Poisoning: Record מזויף ב-Cache. הגנה: DNSSEC + DoH

לפני שיעור 25 (Cryptography):

1. הורד Wireshark, תפוס תעבורה ב-HTTP ו-HTTPS — ראה ההבדל
2. הריץ nmap -sV 127.0.0.1 — ראה אילו Ports פתוחים
3. שיעור 25: Cryptography — Symmetric, Asymmetric, Hash Functions, PKI

שאלות תרגול ותשובות (10)

שאלה 1 · באיזו שכבת OSI פועל פרוטוקול SSH?

א. שכבה 3 — Network
ב. שכבה 4 — Transport
ג. שכבה 7 — Application
ד. שכבה 2 — Data Link

תשובה: ג

SSH הוא פרוטוקול אפליקטיבי (שכבה 7) שרוכב על TCP בפורט 22. ARP לעומתו יושב בשכבה 2, ולכן מתקפת ARP Spoofing עובדת רק בתוך אותה רשת מקומית.

שאלה 2 · מה ההבדל העיקרי בין TCP ל-UDP?

א. TCP יוצר חיבור ומוודא הגעת מידע, UDP שולח בלי אימות אבל מהר
ב. UDP מאובטח יותר כי הוא מוצפן
ג. TCP עובד רק ברשת מקומית
ד. אין הבדל מעשי, רק שמות שונים

תשובה: א

TCP מבצע Three-Way Handshake ומוודא הגעה וסדר; UDP הוא "שגר ושכח" — מהיר, מתאים לווידאו ו-DNS, אבל בלי הבטחת הגעה.

שאלה 3 · מה עושה חוק ה-iptables הבא?

sudo iptables -A INPUT -p tcp --dport 22 -j DROP

א. חוסם תעבורת SSH נכנסת
ב. מאפשר SSH נכנס מכל כתובת
ג. חוסם תעבורה יוצאת בפורט 22
ד. מפנה את פורט 22 לפורט 2222

תשובה: א

‎-A INPUT מוסיף חוק לתעבורה נכנסת, ‎--dport 22 מתייחס ל-SSH ו-‎-j DROP זורק את החבילה בשקט. חשוב: החוקים נבדקים מלמעלה למטה, והראשון שמתאים מנצח.

שאלה 4 · מה ההבדל בין Stateless ל-Stateful Firewall?

א. Stateful מוצפן ו-Stateless לא
ב. Stateless בודק כל חבילה בנפרד; Stateful זוכר את מצב החיבור ומזהה תשובות לגיטימיות
ג. Stateless עובד רק בשכבה 7
ד. Stateful חוסם הכול כברירת מחדל

תשובה: ב

חומת אש Stateful מנהלת טבלת חיבורים, ולכן יודעת להבדיל בין חבילת תשובה לחיבור קיים לבין ניסיון חדש ולא מוזמן.

שאלה 5 · מה החיסרון המרכזי בזיהוי מבוסס חתימות (Signature-based) ב-IDS?

א. הוא מייצר יותר מדי התראות שווא
ב. הוא לא מזהה מתקפות חדשות שאין להן חתימה מוכרת
ג. הוא עובד רק על תעבורה מוצפנת
ד. הוא דורש חיבור לאינטרנט

תשובה: ב

חתימות מזהות רק את מה שכבר מוכר. מתקפת Zero-Day תעבור מתחת לרדאר — ולכן משלימים עם זיהוי מבוסס התנהגות (Anomaly-based).

שאלה 6 · מה עושה הסריקה הבאה?

nmap -sS -p 1-1000 192.168.1.10

א. סורקת 1000 פורטים ראשונים בסריקת SYN חצי-פתוחה
ב. מריצה מתקפת DoS על היעד
ג. מנסה לפרוץ סיסמאות בפורטים אלה
ד. מאזינה לתעבורה שעוברת ברשת

תשובה: א

‎-sS שולחת SYN ולא משלימה את החיבור (Half-open) — מהיר ופחות מתועד בלוגים של השרת. זו סריקת מיפוי, לא מתקפה.

שאלה 7 · איזה פילטר ב-Wireshark יציג רק חבילות SYN (לזיהוי Port Scan)?

tcp.flags.syn == 1 && tcp.flags.ack == 0

א. הפילטר מציג רק בקשות פתיחת חיבור — סימן מובהק לסריקת פורטים
ב. הפילטר מציג את כל תעבורת ה-TCP
ג. הפילטר מסנן רק חבילות מוצפנות
ד. הפילטר חוסם את הסורק

תשובה: א

SYN ללא ACK = ניסיון פתיחת חיבור. מאות כאלה בשנייה לפורטים שונים = סריקה. 🎯 דגש למבחן: כדי לנתח ביעילות אל תעברו חבילה-חבילה — לחצו ימני על חבילה ובחרו Follow TCP/UDP Stream. Wireshark יחבר את כל החבילות לשיחה אחת קריאה (למשל כל בקשת ה-HTTP והתשובה).

שאלה 8 · מה ההבדל בין SYN Flood ל-HTTP Flood?

א. שתיהן זהות, רק בשמות שונים
ב. SYN Flood מציפה את זיכרון הליבה בחיבורים חצי-פתוחים (שכבה 4); HTTP Flood שורפת משאבי עיבוד עם בקשות תקינות (שכבה 7)
ג. SYN Flood פועלת רק על UDP
ד. HTTP Flood מנצלת חולשה בהצפנת TLS

תשובה: ב

🎯 דגש למבחן: SYN Flood היא מתקפת שכבה 4 — כל SYN שלא הושלם תופס רשומה בטבלת החיבורים בזיכרון הליבה עד שהיא מתמלאת (ההגנה: SYN Cookies). HTTP Flood היא שכבה 7 — הבקשות לגיטימיות לחלוטין, אבל כל אחת מפעילה שאילתות DB ועיבוד בשרת עד שהמעבד נחנק.

שאלה 9 · חבר גולש ב-HTTP (לא HTTPS) ברשת ציבורית בבית קפה. מה הסיכון הקונקרטי?

א. הדפים ייטענו לאט יותר
ב. כל אחד ברשת יכול לצותת ולראות סיסמאות ו-Cookies בטקסט גלוי
ג. הדפדפן יחסום את האתר אוטומטית
ד. הנתונים יישמרו בזיכרון המטמון של הראוטר

תשובה: ב

ב-HTTP הכול עובר בטקסט גלוי. מי שמאזין לרשת (או מבצע ARP Spoofing) רואה ב-Wireshark את שם המשתמש, הסיסמה וה-Session Cookie — ויכול להתחזות.

שאלה 10 · מה DNSSEC נועד למנוע?

א. הוא מצפין את תוכן הגלישה
ב. הוא חותם דיגיטלית על תשובות DNS ומונע זיוף שלהן (DNS Poisoning)
ג. הוא מאיץ את זמן פענוח השמות
ד. הוא חוסם אתרים זדוניים ברשימה שחורה

תשובה: ב

DNSSEC מוסיף חתימה דיגיטלית לתשובות ה-DNS כדי לוודא שהן הגיעו מהשרת האמיתי ולא זויפו. הוא מאמת מקור — הוא לא מצפין את התוכן.

← שיעור קודם שיעור הבא →