Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →185 papers
DevSecOps בציר ההגנה המודרני: מסגרת מחקרית-תפעולית לשילוב אבטחה, אמינות ואוטומציה בשרשראות פיתוח ופריסה ב-2026
DevSecOps הפך עד 2026 ממושג תרבותי-ארגוני לפרקטיקה הנדסית מחייבת במערכות תוכנה מודרניות, במיוחד בסביבות ענן-היברידי, Kubernetes, שרשראות אספקת תוכנה, ומודלי פיתוח מבוססי GitOps. מאמר זה מציג מסגרת מחקרית ותפעולית מלאה ל-DevSecOps בהקשר של איומים בני 2026, תוך התמקדות באיחוד בין אבטחת קוד, אבטחת שרשרת האספקה, תצפיתיות בזמן ריצה, ומדיניות אכיפה אוטומטית. המאמר מגדיר מודל איום הכולל פגיעה במאגרים, תלות צד-שלישי, קונטיינרים, CI/CD, תשתיות IaC, וסיכוני AI/ML המשולבים בתהליכי פיתוח, כולל דליפת סודות, הזרקת פרומפטים בסביבות פיתוח, והרעלת ארטיפקטים. על בסיס זה מוצעת מתודולוגיה רב-שכבתית המשלבת בדיקות סטטיות ודינמיות, SBOM, חתימות ארטיפקטים, SLSA, OPA, eBPF, סריקת תלויות, אימות ספקים, ו-Policy as Code. המסגרת המוצעת אינה מסתפקת ב"הזזת אבטחה שמאלה", אלא מנסחת שיטת עבודה כמותית: לכל שלב בשרשרת הייצור מוגדרים מדדי סיכון, חלונות אמון, ואכיפה הסתברותית של בקרות. בנוסף, מוצגת ארכיטקטורת יישום מעשית המבוססת על GitHub Actions, GitLab CI, Trivy, Semgrep, Syft, Cosign, Grype, Gitleaks, kube-bench, kube-score, Falco, ו-OpenTelemetry, לצד תהליכי חתימה ואימות בפעימות build/release/deploy. חלק הניסוי כולל השוואה בין pipeline קלאסי ל-pipeline מאובטח, עם טבלאות מדידות של זמני בנייה, שיעור גילוי פגיעויות, וירידת חשיפה לסיכוני supply chain. לבסוף, המאמר מנתח תקרית מדגימה של פריצה דרך סוד דלוף ותלות פגיעה, ומציג דיון מעשי באתגרים של חיכוך מול מפתחים, false positives, עומס תפעולי, ופערי בשלות ארגונית. המסקנה העיקרית היא כי DevSecOps ב-2026 הוא משטר הנדסי-אופרטיבי שלם, ולא רק סט כלים; הצלחתו תלויה במדיניות מדידה, אוטומציה אמינה, וחיבור הדוק בין אבטחה, פיתוח ותפעול.
Read paper →DevSecOpsDevSecOps 2026: ארכיטקטורה, אוטומציה והפחתת סיכונים בשרשרת הפיתוח והפריסה בענן-היברידי
DevSecOps הפך עד 2026 ממסגרת תרבותית כללית למערך הנדסי-מבצעי המוטמע לכל אורך מחזור החיים של תוכנה, החל מכתיבת הקוד ועד לפריסה, ניטור ותגובה לאירועים. במאמר זה מוצגת גישה מחקרית-יישומית מלאה ל-DevSecOps בסביבה מודרנית המאופיינת בשרשראות אספקת תוכנה מורכבות, קונטיינרים, Kubernetes, תשתיות כקוד, סביבות ענן היברידיות, וכניסת כלים מבוססי בינה מלאכותית לפיתוח ולתפעול. אנו מגדירים מודל איום מפורש לשרשרת הפיתוח, כולל סיכונים של תלות צד שלישי, הרעלת תהליכי CI/CD, דליפת סודות, פגיעויות בקונטיינרים, כשלי אספקת ארטיפקטים, והתקפות על pipeline באמצעות הרשאות מופרזות או עיוותי מדיניות. על בסיס זה מוצעת מתודולוגיה רב-שכבתית הכוללת אימות קוד סטטי ודינמי, בדיקות תלות ו-SBOM, אכיפת מדיניות בחתימת ארטיפקטים, טלמטריה מבוססת eBPF, בקרות Zero Trust, ומנגנוני governance ל-AI בפיתוח. המאמר מציג מימוש ארכיטקטוני שניתן לשחזור באמצעות כלים נפוצים ומבוססים דוגמת GitHub Actions, GitLab CI, Tekton, Trivy, Syft, Grype, Cosign, OPA/Gatekeeper, Kyverno, Falco ו-Prometheus. לצורך הערכה אמפירית נבנה מתווה ניסויי המודד שיעורי גילוי, זמן תיקון, עומס תפעולי, ושיפור ברמת ה-security posture, תוך השוואה בין pipeline מסורתי לבין pipeline DevSecOps משופר. התוצאות המדגימות מראות ירידה משמעותית ב-secrets exposure, בפגיעויות ב-images ובכשלים במדיניות, לצד שיפור בכיסוי SBOM ובשלמות שרשרת האספקה. בנוסף מובא case study של ארגון SaaS היברידי שהטמיע חתימת ארטיפקטים, בדיקות policy-as-code ותגובה אוטומטית לאירועי runtime, והפחית באופן ניכר incidents של drift ו-exposure. המסקנה המרכזית היא ש-DevSecOps ב-2026 אינו אוסף של “best practices” בלבד, אלא מערכת בקרה הנדסית שניתנת למדידה, לאכיפה ולשיפור מתמשך, ושיעילותה תלויה באינטגרציה בין פיתוח, אבטחה ותפעול באמצעות אוטומציה, ממשל, ויכולת תצפית מעמיקה.
Read paper →IRIR בעולמות הסייבר ב-2026: ארכיטקטורה אופרטיבית לזיהוי, הכלה ושחזור בארגוני ענן-היברידיים בעידן מתקפות מבוססות AI
מחקר זה בוחן את תחום ה-IR, כלומר Incident Response, בהקשר של אבטחת סייבר בשנת 2026, כאשר סביבת האיומים מאופיינת בארגוני ענן-היברידיים, שרשראות אספקה דיגיטליות מורכבות, שימוש רחב ב-Identity, והאצה של מתקפות המשלבות אוטומציה, AI גנרטיבי והתחמקות מתקדמת. המאמר מציג מסגרת עבודה אופרטיבית לניהול אירועי אבטחה מקצה לקצה, החל מזיהוי וטריאז', דרך הכלה, שחזור, ועד למידה ארגונית והטמעת בקרות מונעות. בניגוד לגישות קלאסיות שהתמקדו בעיקר ב-endpoint וב-perimeter, המחקר מציע מודל IR מבוסס-גרפים המשלב טלמטריה מ-EDR/XDR, IAM, SaaS, Kubernetes, cloud control plane, eBPF, SIEM, ונתוני threat intelligence, ומתרגם אותם למפת אירוע אחודה. המחקר מנסח פורמליזציה של הבעיה תחת אילוצי זמן, אי-ודאות והקצאת משאבים מוגבלת, ומציג מדד ייחודי למדידת אפקטיביות תגובה: $EIR = \frac{R_{detect}+R_{contain}+R_{recover}}{T_{MTTD}+T_{MTTC}+T_{MTTR}}$, כאשר כל רכיב מייצג שכבת ביצוע וכשירות. בנוסף, מוצג תהליך דיפרנציאלי להחלטות IR בעידן AI: כיצד להבחין בין התראת שווא, התנהגות אדפטיבית של תוקף, ומניפולציה מכוונת של טלמטריה. המאמר כולל ארכיטקטורת יישום מעשית, קטעי פקודות לכלים נפוצים כמו Sigma, YARA, Velociraptor, jq, ו-kubectl, וכן דוגמת מקרה בוחן של אירוע זהות וענן הממחיש אסקלציה אופרטיבית מלאה. הערכה ניסויית מבוססת על סביבות בדיקה מדומות ונתוני תקיפה היסטוריים עד 2026, ומראה כי שילוב של אוטומציה מבוקרת, playbooks עם תנאים הסתגלותיים, ו-enrichment רב-מקורי משפר משמעותית MTTD ו-MTTR, תוך הפחתת false positives. תרומת העבודה היא מסגרת IR פרקטית, ברת-יישום, ומותאמת לאיומים של 2026, עם דגש על מוכנות ארגונית, שרידות תפעולית ויכולת שחזור תחת מתקפות רב-ממדיות.
Read paper →Detectionזיהוי רב-שכבתי בסייבר ב-2026: ארכיטקטורה לאיחוד טלמטריה, אנומליה, קורלציה והסקה מבצעית להגנת ענן, קצה ו־AI
מאמר זה מציג מסגרת מחקרית ומעשית לזיהוי איומים בסייבר בשנת 2026, בתקופה שבה משטח ההתקפה התרחב באופן מהותי עקב ענן היברידי, קונטיינרים, שרשראות אספקה תוכנתיות, שימוש נרחב ב־SaaS, ואינטגרציה של מערכות בינה מלאכותית גנרטיבית בתהליכים ארגוניים. למרות הבשלתן של גישות Zero Trust, CNAPP, EDR/XDR, ופתרונות מבוססי eBPF, ארגונים עדיין מתמודדים עם פער מתמשך בין איסוף טלמטריה לבין זיהוי אפקטיבי בזמן אמת. פער זה נובע משילוב של רעש גבוה, הנדסת חתימות איטית, עומס קורלציה, והיכולת ההולכת ומשתפרת של תוקפים להסתתר בתוך תבניות התנהגות לגיטימיות. התרומה המרכזית של המאמר היא מודל זיהוי רב-שכבתי המאחד ארבעה צירי חישה: טלמטריית קצה ותהליכים, אירועי זהות וגישה, תעבורת רשת, וסיגנלים לוגיים/סמנטיים ממערכות ענן ו־AI. המודל משלב חוקים דטרמיניסטיים, זיהוי אנומליות סטטיסטי, גרפים של ישויות-אירועים, והסקה מבוססת הקשר להפחתת false positives ולחיזוק explainability. בנוסף, מוצגת מיפוי מבצעי ל־MITRE ATT&CK, פרספקטיבת Threat Model פורמלית, וניתוח של מדדי איכות כגון precision, recall, MTTD, ו-$F_1$ תחת עומסי טלמטריה שונים. לצורך המחשה, נכלל יישום מבוסס OpenTelemetry, Sigma, Elastic/Zeek, ו־Falco/eBPF, וכן ניתוח מקרה של זיהוי שרשרת תקיפה בענן שכללה abuse של identity, יצירת persistence, ותנועה צדית סמויה. המסקנה העיקרית היא שזיהוי מודרני אינו יכול להישען עוד על מקור טלמטריה בודד או על חוקים סטטיים בלבד. רק ארכיטקטורה רב-שכבתית, הנשענת על נירמול סמנטי, קורלציה בזמן, וסקירה אנליטית מתמשכת של איכות החישה, מסוגלת לספק רמת ביטחון תפעולית נאותה בסביבת 2026. מאמר זה מספק תשתית ישימה הן למחקר והן לפריסה ארגונית.
Read paper →IAMIAM במודל האיום המודרני של 2026: ארכיטקטורה, תקיפה והגנה זהותית בסביבות ענן, SaaS ו־Zero Trust
ניהול זהויות והרשאות (IAM) הפך עד 2026 לשכבת הבקרה המרכזית של מערכות ארגוניות, משום שהגבול האמיתי בין משתמש, שירות, עומס עבודה ויישום היטשטש כמעט לחלוטין. מאמר זה בוחן את IAM לא כמנגנון אדמיניסטרטיבי בלבד, אלא כתחום תקיפה והגנה קריטי שבו תוקפים ממנפים גניבת זהות, הונאת טוקנים, abuse של OAuth, הרשאות יתר, חולשות ב־SSO, ושרשראות תקיפה בענן כדי להשיג persistence, lateral movement ו־privilege escalation. במקביל, הארגון המודרני נדרש לשלב Zero Trust, PIM/PAM, חיזוק MFA, מדיניות least privilege, נראות מתמשכת, וטלמטריה מבוססת eBPF ו־CNAPP כדי להפחית סיכון תפעולי. המאמר מציג מסגרת פורמלית ל־IAM המתייחסת לזהות כאל אובייקט הסתברותי דינמי: $\text{Risk} = f(\text{identity strength}, \text{session context}, \text{privilege surface}, \text{token lifetime}, \text{behavioral deviation})$. על בסיס זה, מוצעת מתודולוגיה להגנת IAM המשלבת סיווג נכסים זהותיים, מיפוי מסלולי תקיפה, קביעת בקרות מניעתיות וגילוי, ותיעדוף מבוסס סיכון. המתודולוגיה משולבת ביישום מעשי הכולל תצורות אמיתיות עבור Entra ID, Okta, AWS IAM ו־Google Cloud IAM, לצד דוגמאות שימוש בכלים כגון osquery, Falco, CloudTrail, Azure AD Sign-in logs, gcloud, ו־aws iam access-analyzer. המאמר כולל הערכה ניסויית על פני סט תרחישים המדמה גניבת session cookies, הרשאות יתר של service principals, abuse של consent grants, ו־pass-the-token בסביבות היברידיות. התוצאות מראות כי שילוב MFA עמיד ל־phishing, Conditional Access, least privilege אוטומטי ו־identity threat detection מפחית משמעותית את חלון החשיפה ואת טווח התנועה של תוקף. לבסוף מוצג case study ארגוני המדגים כיצד כשל יחיד ב־IAM יכול להפוך לאירוע רחב היקף, ומהן המסקנות התפעוליות עבור צוותי blue team, red team, SOC ו־cloud security ב־2026.
Read paper →Researchמחקר-נגד כתחום ליבה בסייבר: מתודולוגיה אמפירית, פורמליזציה של איום, והערכה מבצעית של מחזור מחקר תקיפה-הגנה בסביבת 2026
מאמר זה בוחן את “מחקר” כתחום ליבה בתוך קהילת הסייבר, לא רק כפעילות אקדמית אלא כפרקטיקה מבצעית שמעצבת זיהוי חולשות, פיתוח ניצולים, הנדסת חתימות, והקמת בקרה הגנתית. בשנת 2026, מחקר סייבר מתקיים בסביבה היברידית שבה מערכות ענן, קונטיינרים, זהויות דיגיטליות, שרשראות אספקה תוכנתיות, מודלים גנרטיביים, וטלמטריה מבוססת eBPF נפגשים תחת משטח תקיפה דינמי. המחקר המוצע במאמר זה מגדיר מחזור עבודה פורמלי למחקר תקיפה-הגנה, המשלב גילוי, אימות, תיעדוף, מיכון, והטמעה, תוך התאמתו לדרישות של צוותי אדום, ציד איומים, ו-SOC מודרני. המאמר מציג מודל איום, מנסח את בעיית המחקר כבעיה של אופטימיזציה תחת אילוצי סיכון, ומציע מתודולוגיה משולבת המבוססת על איסוף נתונים, רה-פרודוקציה מעבדתית, ניתוח סטטי ודינמי, מדידת כיסוי, והערכת אפקטיביות של בקרה. בנוסף, מוצגת מיפוי בין ממצאי מחקר לבין מסגרות תעשייתיות כגון MITRE ATT&CK, D3FEND, CVSS, EPSS, ו-CISA KEV, יחד עם שיקולי ממשל AI, שימוש במודלים שפתיים בסוציאל-אינג'ינירינג, והגנות נגד הרעלה והזרקה בהקשר של LLMs. תוצאות ניסוי מדגימות כי מחקר מובנה, המבוסס על נתונים ניתנים לשחזור וטלמטריה עקבית, מפחית זמן-ל-זיהוי ומעלה שיעור גילוי של טכניקות ליבה, גם כאשר התוקף עושה שימוש בכלי dual-use מתקדמים. תרומת המאמר היא הצעת מסגרת מחקר מעשית, מדידה, וברת-העברה, המתאימה למציאות 2026 ומאפשרת לחוקרים ולמגינים לתרגם תובנות מחקריות ליתרון מבצעי.
Read paper →IRIR: ניהול תגובה לאירועי סייבר בעידן ענן, בינה מלאכותית ו- Zero Trust — מסגרת מבצעית, מדידה וניסויים אמפיריים
תגובה לאירועי סייבר (Incident Response, IR) הפכה עד 2026 לדיסציפלינה מבצעית מורכבת, הנשענת על טלמטריה היברידית, אוטומציה, ניתוח מבוסס גרפים, ויכולת תמרון בין תשתיות מקומיות, ענן, SaaS, קונטיינרים וסביבות מבוססות זהויות. מאמר זה מציג מסגרת מחקרית ומעשית ל-IR המותאמת לשנת 2026, תוך שילוב עקרונות של Zero Trust, CNAPP, EDR/XDR, eBPF, וניטור מבוסס AI לצד בקרה אנושית קפדנית. המאמר מנסח מודל איום ופורמליזציה של בעיית התגובה, מגדיר מדדי ביצוע מרכזיים כגון MTTD, MTTC, MTTR, דיוק ייחוס, ואיכות החלטות containment, ומציע מתודולוגיה אופרטיבית הכוללת triage, scoping, containment, eradication, recovery ו-lessons learned. בנוסף, מוצגת ארכיטקטורת יישום הכוללת pipeline לאיסוף טלמטריה, קורלציה בין מקורות, enrichment, playbooks אוטומטיים מבוקרי סיכון, ושכבת human-in-the-loop למניעת פעולות שגויות. ההערכה הניסויית מבוססת על מערך תרחישים ריאלי: פריצה מבוססת גניבת זהויות, ransomware בסביבת Windows ו-AD, ותנועת רוחב בענן Kubernetes ו- SaaS. התוצאות מראות כי שילוב אנליטיקת גרפים, חוקים דטרמיניסטיים ו-LLM מבודד לשימוש אנליטי בלבד, משפר את זמן הטריאז' ומצמצם עומס שווא, אך מחייב הגנה חזקה מפני הזיות, הזרקות פרומפט, ודליפת מידע רגיש. לבסוף, מוצג מקרה בוחן של תקרית ארגונית רב-עננית, המדגים כיצד בחירה שגויה ב-scope וב-containment עלולה להחריף פגיעה תפעולית, וכיצד IR מבוסס-מדידה משפר חוסן, שקיפות ושחזור. המאמר מסכם בהמלצות למחקר עתידי בתחומי אוטומציה בטוחה, מודלים הסתברותיים להחלטות containment, ו-IR עבור איומים מונעי AI.
Read paper →Detectionגילוי רב-שכבתי במרחב הסייבר: ארכיטקטורה מבצעית לזיהוי איומים מבוסס-טלמטריה, גרפי ישויות, eBPF וניתוח התנהגותי בעידן ה-LLM וה-CNAPP
מאמר זה מציג מסגרת מחקרית ומבצעית לזיהוי איומים בסביבות סייבר מודרניות בשנת 2026, תוך מיקוד בשילוב טלמטריה הטרוגנית, גרפי ישויות, ניתוח התנהגותי, חוקים חתימתיים, זיהוי אנומליות, ולוגיקת קורלציה מבוססת הקשר. ההצעה נועדה להתמודד עם אופי האיומים של 2026: תקיפות מבוססות זהות, שימוש לרעה ב-LLM לצורך הנדסה חברתית, פגיעה בשרשראות אספקה, תקיפות על ענני קונטיינרים, ושימוש הולך וגובר ב-LOLBins ובטכניקות Living-off-the-Land. המסגרת המוצעת מיישמת צנרת זיהוי המשלבת איסוף ב-eBPF, טלמטריה מ-SIEM/SOAR, לוגים זהותיים, נתוני רשת, ו-IoC/IoA, וממפה אותם למודל הסתברותי המשקלל סיכון, נדירות, וקוהרנטיות אופרטיבית. תרומת המאמר היא כפולה: ראשית, הגדרה פורמלית של בעיית הזיהוי כבעיה של מקסום $P(\text{איום} \mid \text{טלמטריה})$ תחת אילוצי זמן, שגיאות מדידה, וחוסר שלמות נתונים; שנית, ארכיטקטורת יישום מעשית המבוססת על OpenTelemetry, Sigma, YARA, Suricata, Zeek, Sysmon, Falco, ו-PEM/ATT&CK mapping, עם שכבת סינון וטיוב המפחיתה רעש ומגבירה דיוק. הניסויים המדווחים במאמר מדמים סביבה ארגונית היברידית ומראים כי שילוב רב-מקור מאפשר שיפור מהותי ב-$F_1$ וב-$AUC$, תוך צמצום זמן-הזיהוי החציוני ל-MTTD נמוך משמעותית בהשוואה לגלאי מקור בודד. בנוסף, מוצג מקרה בוחן של זיהוי מסלול תקיפה רב-שלבי הכולל פישינג, גניבת אסימונים, תנועה רוחבית, והכנה ל-exfiltration, אשר מודגש כי לא זוהה על ידי כל מנגנון יחיד. המסקנה העיקרית היא שזיהוי ב-2026 חייב להיות ארכיטקטורה, לא מוצר: יכולת דינמית, רב-שכבתית, ומונעת-הקשר, המשלבת אנליטיקה, הנדסה, ותגובה תפעולית.
Read paper →Cloudאבטחת ענן רב-שכבתית בשנת 2026: מודל איומים, מתודולוגיה אופרטיבית לזיהוי ותגובה, והערכת ביצועים בסביבות היברידיות מרובות-עננים
מאמר זה מציג ניתוח מחקרי ואופרטיבי מקיף של אבטחת ענן בשנת 2026, תוך התמקדות במשטח ההתקפה המודרני של סביבות רב-ענן, קונטיינרים, Kubernetes, פונקציות serverless, ומנגנוני זהות והרשאה מבוססי API. בשנים האחרונות הפכה סביבת הענן למרכז הכובד של תשתיות ארגוניות, אך גם לנקודת כשל קריטית בשל שילוב בין קצב פריסה מהיר, מורכבות תפעולית, וחשיפה מתמשכת של משאבים לציבור. המאמר מגדיר מודל איומים פורמלי לסביבות cloud-native, ומציע מתודולוגיה הגנתית המבוססת על איסוף טלמטריה רבת-שכבות, הצלבה בין זהות, תצורה, תעבורה, ו־runtime, והסקת חריגות באמצעות חוקים דטרמיניסטיים וניתוח סטטיסטי משלים. המתודולוגיה משלבת עקרונות של Zero Trust, CNAPP, eBPF-based telemetry, ניהול סודות, ו־policy-as-code, תוך התאמה למציאות של 2026 שבה תוקפים עושים שימוש נרחב ב־AI לצורך פישינג מותאם אישית, הנדסה חברתית, וניתוח אוטומטי של תצורות ענן. המאמר כולל ארכיטקטורת יישום, מדדי ביצוע, תרחיש Case Study של פגיעה בשרשרת זהות והרשאה בסביבה היברידית, והשוואה כמותית בין גישות זיהוי שונות. התוצאות מראות כי גישה רב-שכבתית מפחיתה משמעותית את זמן הגילוי ואת היקף הפגיעה, בעיקר כאשר היא מחברת בין זיהוי anomalies ב־IAM, חריגות ב־Kubernetes audit, ותעבורת east-west חשודה. בנוסף, נדונות מגבלות הפרקטיקה הנוכחית, לרבות רעש טלמטרי, סיכון ל־overfitting, אתגרי ממשל ב־multi-cloud, והצורך ההולך וגובר בהטמעת עקרונות של secure-by-default, least privilege, ו־continuous verification. המאמר מסיים בהמלצות מחקריות לשנים הקרובות, בדגש על אבטחת עומסי עבודה מבוססי AI, הגנת supply chain, ויישום post-quantum readiness בסביבות ענן ארגוניות.
Read paper →PhishingPhishing 2026: ניתוח רב־שכבתי של שרשרת ההטעיה, מדידה מבצעית, והגנות אדפטיביות בעידן זהויות ענן ו-LLM
התחזות באמצעות דוא״ל, הודעות מסריות, דפי כניסה מזויפים והטעיה קולית נשארה ב-2026 אחד ממסלולי החדירה היעילים ביותר בארגונים, בעיקר משום שהיא מנצלת נקודת כשל אנושית-קוגניטיבית לצד פערי ארכיטקטורה בזהויות, אימות וגישה. מאמר זה מציג מסגרת מחקרית-מבצעית מלאה לניתוח Phishing כשרשרת תקיפה רב-שלבית, החל מאיסוף מיקוד ובניית אמינות, דרך הפצת המטען, גניבת זהות ועקיפת בקרות MFA, ועד מימוש תנועה רוחבית ופגיעה בתהליכי עסק. המאמר מגדיר מודל איום פורמלי, ממפה טכניקות לפי MITRE ATT&CK, ומשלב מדידה אמפירית של יעילות מנגנוני הגנה מודרניים כגון DMARC, FIDO2/WebAuthn, Conditional Access, sandboxing לשערי דוא״ל, ו-UEBA מבוסס eBPF וטלמטריית זהויות בענן. התרומה העיקרית היא מתודולוגיה אדפטיבית להגנה, המבוססת על צבירת ציון סיכון בזמן אמת: $R = \alpha E + \beta I + \gamma C + \delta A$, כאשר $E$ מייצג חשיפה, $I$ אינדיקטורים טכניים, $C$ הקשר זהותי ו-$A$ חריגות התנהגותיות. בנוסף מוצג צינור יישום הגנתי המשלב בקרות מונעות, זיהוי, תגובה, והקשחה תהליכית. המאמר מסתמך על ממצאים ומקורות עדכניים עד 2026, כולל מגמות של phishing-as-a-service, שימוש ב-QR codes, תוקפי adversarial AI ליצירת תוכן משכנע, ועקיפת MFA באמצעות session token theft והנדסה חברתית בזמן אמת. הערכת הניסוי מדגימה כי שילוב DMARC עם enforcement מלא, FIDO2 עמיד ל-phishing, וניתוח התנהגותי בזמן אמת מפחית משמעותית את שיעורי ההצלחה של ניסיונות התחזות, אך אינו מספק לבדו הגנה מלאה ללא משילות זהויות, הכשרת משתמשים והקשחת תהליכי חריגים. לבסוף, מוצג מחקר מקרה של קמפיין targetted נגד ארגון היברידי, ומנותחים הלקחים התפעוליים עבור SOC, צוותי זהויות, ומנהלי סיכונים.
Read paper →DevSecOpsDevSecOps ב-2026: ארכיטקטורה מבוססת-ראיות לשילוב אבטחה רציף בשרשראות פיתוח ענן-נייטיב, AI ו-Supply Chain
DevSecOps הפך עד 2026 ממסגרת תהליכית לשילוב אבטחה בפיתוח תוכנה למערך הנדסי-תפעולי מלא, הנשען על אוטומציה, מדידה, ניתוח סיכונים בזמן אמת ואכיפה מדורגת לאורך כל שרשרת האספקה התוכנתית. מאמר זה מציג מחקר מקיף על DevSecOps בהקשר של נוף האיומים של 2026, שבו מתקפות על תוכנת קוד פתוח, ארטיפקטים חתומים, תלויות, קונטיינרים, תשתיות כקוד וזרימות עבודה של CI/CD נעשו לאחד הווקטורים המשמעותיים ביותר לפגיעה בארגונים. המאמר מגדיר מודל איום פורמלי לשרשרת DevSecOps, מנתח עבודות קודמות ותקנים רלוונטיים, ומציע מתודולוגיה מעשית המשלבת בדיקות קוד סטטיות ודינמיות, ניתוח תלותים, SBOM, חתימות ארטיפקטים, provenance, policy-as-code, בקרות על סודות, ובקרות זמן-ריצה מבוססות eBPF ו-OpenTelemetry. המחקר מדגים כיצד לאזן בין מהירות משלוח לבין עמידות, באמצעות פונקציית סיכון $R = \sum_i p_i \cdot I_i$ המשוקללת לפי חומרת חולשה, קריטיות נכס, קצב שינוי ומידת אמון בשרשרת הבנייה. בנוסף, מוצגת ארכיטקטורת reference עבור ארגונים המאמצים Kubernetes, GitHub Actions, GitLab CI, Jenkins, Argo CD ו-Tekton, תוך התייחסות ל-CNAPP, SLSA, Sigstore, NIST SSDF, NIST 800-218, ISO/IEC 27001:2022, NIST 800-204D ותקני OpenSSF. המאמר כולל תכנית מימוש מלאה, סט ניסויים השוואתי עם נתוני ביצועים ריאליסטיים, וניתוח מקרה של פגיעות supply chain בסגנון התקפות שהתפתחו בין 2020 ל-2026. המסקנה המרכזית היא ש-DevSecOps ב-2026 איננו אוסף כלים אלא מערכת סוציו-טכנית של בקרות, מדדים ו-gates, כאשר הערך המרכזי נוצר כאשר אבטחה הופכת ברירת-מחדל הניתנת לאכיפה, לתיעוד ולמדידה לאורך זמן.
Read paper →IRIR ארגוני ב-2026: ארכיטקטורת תגובה לאירועי סייבר מונעת טלמטריה, אוטומציה ו-AI בסביבת ענן-היברידית
מאמר זה מציג מסגרת מחקרית ויישומית ל-IR, כלומר Incident Response, בהקשר של מערכות סייבר ארגוניות בשנת 2026. נקודת המוצא היא כי תגובה לאירועים כבר אינה תהליך בדיד של "ניקוי והחזרה לפעולה", אלא מערכת סוציו-טכנית רב-שכבתית המשלבת טלמטריה רציפה, הנדסת זיהוי, אוטומציה מבוקרת, תיאום בין-תחומי וניהול סיכונים דינמי. המאמר בוחן את האבולוציה של IR מסביבות מבוססות SIEM/EDR מסורתיות אל ארכיטקטורות מודרניות הכוללות XDR, CNAPP, ניטור מבוסס eBPF, תשתיות זהות בענן, ויכולות AI/ML להגברת מהירות הסיווג, הטריאז', והכרעה מבצעית. בנוסף, נבחנת ההשפעה של איומי 2026, לרבות מתקפות שרשרת אספקה, שימוש עוין במודלי שפה גדולים, גניבת זהויות, ומניפולציה של תהליכי תגובה באמצעות ערוצי תקשורת והנדסה חברתית. המאמר מציע מודל פורמלי ל-IR המייצג את חלוקת המרחב לאובייקטים, תצפיות, החלטות ופעולות, ומנסח פונקציית עלות המאזנת בין זמן בלימה, רמת פגיעה עסקית, וסיכון ל-regression תפעולי. על בסיס המודל מוצעת מתודולוגיה פרקטית הכוללת איסוף טלמטריה אחוד, צירוף הוכחות, שיוך תשתית לפי זהות והקשר, ותזמור פעולות תגובה באמצעות כללי SOAR ו-playbooks מותאמים. המאמר גם מציג יישום רפרנס בארגון ענן-היברידי ומעריך את השיטה באמצעות סימולציות, השוואות מדידות, וניתוח מקרה של פריצה מבוססת גניבת טוקנים והעברת תנועה רוחבית. הממצאים מצביעים על כך ש-IR יעיל ב-2026 דורש שילוב הדוק בין תכנון מראש, טלמטריה אמינה, סטנדרטיזציה של נתונים, ואוטומציה שנשלטת על ידי אדם.
Read paper →DetectionDetection in Cybersecurity in 2026: A Layered, Telemetry-Centric Methodology for High-Fidelity Threat Discovery Across Endpoints, Networks, Cloud, and Identity
Detection remains the decisive control plane of cybersecurity in 2026 because prevention is no longer assumed to be complete, and modern adversaries routinely blend living-off-the-land tradecraft, identity abuse, cloud-native persistence, and AI-assisted social engineering into campaigns that evade perimeter-centric defenses. This paper presents a publication-ready research treatment of detection as an engineering discipline rather than a single product capability. We formalize detection as a probabilistic inference problem over heterogeneous telemetry, where the objective is to maximize true-positive yield under operational constraints on false positives, latency, and analyst workload. The paper synthesizes the state of the art through 2026, covering endpoint detection and response, network detection and response, identity threat detection, cloud-native detection, SIEM/XDR pipelines, eBPF-based sensors, and AI-assisted detection workflows. We then propose a layered methodology that combines deterministic indicators, behavioral analytics, ATT&CK-aligned graph features, and supervised/semi-supervised anomaly models, with explicit calibration against adversarial adaptation. The methodology is designed for environments that must operate under zero-trust assumptions, post-quantum migration pressure, and the increasing use of generative AI for phishing, deepfake-enabled fraud, and malware development. An implementation blueprint is provided using widely deployed tools and data formats such as Sigma, Zeek, Suricata, Sysmon, OpenTelemetry, and Elastic/Splunk-style pipelines. Experimental evaluation is framed around realistic enterprise datasets and red-team scenarios, with metrics including precision, recall, F1, mean time to detect, and alert density per host-day. A case study illustrates how the proposed stack detects an identity-led intrusion that pivots from phishing to token theft, cloud API abuse, and lateral movement. The paper concludes that effective detection in 2026 is not a search for universal signatures, but a continuously tuned socio-technical system that merges telemetry quality, adversary modeling, detection engineering, and feedback-driven automation.
Read paper →IAMIAM 2026 בסייבר ארגוני: מודל פורמלי, סיכוני זהות, וארכיטקטורת הגנה רב-שכבתית לניהול זהויות, גישה והרשאות בענן וב-On-Prem
ניהול זהויות וגישה (IAM) הפך עד 2026 לאחד מצירי הכשל הקריטיים ביותר באבטחת סייבר ארגונית, משום שהוא מציב את נקודת המפגש הישירה בין זהות אנושית, זהות מכונה, שירותים, ממשקי API, עומסי עבודה בענן, וקבלת החלטות אוטומטית על הרשאות. התרחבות ארגונים ל- SaaS, ל- IaaS, ל- Kubernetes, ל- hybrid identity, ולסביבות AI/ML יצרה משטח תקיפה שבו פגיעה ב-IAM מתורגמת במהירות ל- lateral movement, ל- privilege escalation, ל- data exfiltration, ולשרשרת כשל תפעולית. מאמר זה מציג מסגרת מחקרית ויישומית מקיפה ל-IAM בשנת 2026, עם הגדרה פורמלית של הסיכונים, מודל איומים מעודכן, ומתודולוגיה להגנה רב-שכבתית המבוססת על least privilege, continuous authentication, policy-as-code, identity threat detection, conditional access, passwordless, federation hardened, ו-governance מונחה סיכונים. המאמר משלב בין תובנות מהאופן שבו תוקפים מנצלים misconfiguration, token theft, consent phishing, OAuth abuse, session hijacking, credential stuffing, MFA fatigue, device trust bypass, ו-permission sprawl, לבין אמצעי נגד פרקטיים הניתנים ליישום בסביבות ארגוניות גדולות. בנוסף, מוצגת הערכה ניסויית המבוססת על מדדי סיכון כמותיים כגון $EAL$ ו-$RPL$, ועל השוואה בין ארכיטקטורות שונות של IAM, כולל legacy directory, modern CIAM, and zero trust identity fabric. תוצאות הניתוח מצביעות על כך שמודל המבוסס על token-centric governance, binding חזק בין זהות, מכשיר ו-workload, ובקרת זכויות רציפה מקטין משמעותית את חלון הניצול ואת שטח ההרשאות. תרומת המאמר היא בגיבוש מתודולוגיה מעשית, תשתית מושגית, והנחיות יישומיות שיכולות לשמש צוותי Red Team, Blue Team, architects, ו-CISO-ים בבניית IAM עמיד יותר מול איומים מודרניים ב-2026.
Read paper →PhishingPhishing ב-2026: מסגרת מחקרית, תפעולית והגנתית לזיהוי, ייחוס והקטנת סיכון במתקפות הנדסה חברתית רב-ערוציות
Phishing נותר ב-2026 אחד ממנגנוני החדירה האפקטיביים והעמידים ביותר בארסנל של יריבים פליליים, מדינתיים וכלאיים, בעיקר משום שהוא מנצל חולשות אנושיות, תהליכיות וטכנולוגיות בו-זמנית. בעידן שבו ארגונים מאמצים Zero Trust, SASE, CNAPP, אימות רב-גורמי, ומערכי הגנה מבוססי בינה מלאכותית, מתקפות פישינג אינן נעלמות אלא מתעדכנות: הן הופכות ממסעות דוא״ל המוניים לקמפיינים רב-שלביים הכוללים QR phishing, OAuth consent abuse, adversary-in-the-middle, smishing, vishing, פלטפורמות phishing-as-a-service, ושילוב של תוכן גנרטיבי מותאם אישית. מאמר זה מציג מסגרת מחקרית ותפעולית מקיפה להבנת הפישינג ב-2026, תוך הגדרה פורמלית של המרחב ההגנתי, מודל איום עשיר, ושיטה היברידית לזיהוי ולצמצום סיכון המשלבת ניתוח תוכן, ניתוח התנהגותי, גרפים של קשרים, מודיעין איומים, ותכלול תגובה אוטומטי. המאמר מתאר ארכיטקטורת יישום פרקטית המבוססת על רכיבי אבטחה עכשוויים כגון Secure Email Gateway, SPF/DKIM/DMARC, sandboxing, eBPF telemetry, SIEM/SOAR, ותהליכי hardening של זהויות וגישה. בנוסף מוצגת הערכה ניסויית המדמה מערך ארגוני בינוני-גדול, ומושווה ביצועי הגנות שונות במדדים של precision, recall, false positive rate, MTTD ו-MTTR. לבסוף נבחן מקרה בוחן הממחיש כיצד תוקף מודרני מנצל שילוב של מותג מוכר, דומיין דומה, ודף התחברות מזויף המשרת harvesting של טוקנים וסיבוב MFA. המאמר מסיים בדיון מעשי על מגבלות הזיהוי, על תפקיד ה-AI גם בהגנה וגם בתקיפה, ועל כיווני מחקר עתידיים הכוללים אימות מבוסס קריפטוגרפיה, הגנת זהויות רציפה, ותקינה משופרת למיילים ולזהויות דיגיטליות.
Read paper →Detectionזיהוי מתקדם בסייבר בעידן 2026: ארכיטקטורה היברידית לשילוב טלמטריה, גרפי זהויות, eBPF ו-AI להגנה מול תקיפות רב-שלביות
זיהוי מתקדם בסייבר עבר בעשור האחרון מהסתמכות על חתימות סטטיות ותנאי סף פשוטים אל מודל רב-שכבתי המבוסס על קורלציה, התנהגות, הקשר עסקי ולמידת מכונה. בשנת 2026, האתגר המרכזי אינו עוד גילוי קובץ זדוני מבודד, אלא זיהוי רצף פעולות מבוזר המשתרע על פני תחנות קצה, ענן, זהויות, API, שרשראות אספקה וסביבות AI. מאמר זה מציג מסגרת מחקרית ויישומית לזיהוי מתקדם המשלבת טלמטריית eBPF, EDR/XDR, לוגים בענן, גרפי זהויות, ומודלי סיווג ואנומליה הנעזרים בייצוגים הקשריים ובכללי ציד איומים. המאמר מנסח את בעיית הזיהוי כבעיה של הערכת הסתברות לאירוע עוין תחת אילוצי זמן, חוסר שלמות נתונים והטרוגניות מקורות, ומגדיר מדדי ביצוע הכוללים $TPR$, $FPR$, $MTTD$, וכן עלות תפעולית משוקללת. התרומה המרכזית היא הצגת ארכיטקטורה היברידית המאזנת בין הסבריות, חסינות להטעיה, ויכולת פעולה בזמן אמת. הארכיטקטורה כוללת שכבת קליטה מאוחדת, מנוע נירמול וסכימת זהויות, מנוע חוקים מבוסס דומיין, מודל אנומליה רב-ממדי, וגרף קורלציה שמקשר בין אירועים לפי ישות, זמן, טופולוגיה וזכות גישה. בנוסף, מוצג מסלול מימוש המבוסס על כלים עדכניים ובשלים ל-2026, לרבות Sigma, YARA, Zeek, Suricata, Osquery, Falco ופתרונות observability מודרניים. המאמר כולל הערכה ניסויית על מערכי נתונים היברידיים המדמים תעבורה, אירועי EDR, פעילות ענן ותסמיני תקיפה, ומדגים שיפור עקבי בזיהוי רצפים מורכבים לעומת גישות מבוססות חתימה בלבד. המאמר מסיים בדיון מעשי על כשלי זיהוי, רעש, תוקפים אדפטיביים, ותפקיד ה-AI בהגנה ובהתקפה גם יחד. המסקנה היא כי בשנת 2026, זיהוי אפקטיבי מחייב מעבר ממודל "אירוע בודד" למודל "נרטיב עוין" המבוסס על קורלציה, היסק והקשר, כאשר היכולת לפעול במהירות ובאמינות חשובה לא פחות מהדיוק הסטטיסטי.
Read paper →DevSecOpsDevSecOps 2026: ארכיטקטורה, אוטומציה, מדידה והקשחת שרשרת האספקה בתהליכי פיתוח, בנייה ופריסה בענן-ילידי
DevSecOps הפך עד 2026 ממושג תרבותי למערכת הנדסית מלאה, שבה אבטחה, פיתוח ותפעול פועלים על גבי צינורות CI/CD, תשתיות ענן-ילידי, and אספקת תוכנה חתומה ומאומתת מקצה לקצה. מאמר זה מציג מסגרת מחקר ויישום מקיפה ל-DevSecOps בסביבת האיומים של 2026, הכוללת מודל איום לשרשרת האספקה, פורמליזציה של יעדי אבטחה, מתודולוגיית הקשחה מרובת שכבות, ותכנון מדיד של בקרות מניעה, גילוי ותגובה. המאמר מתמקד בשילוב בין SBOM, SLSA, Sigstore, OPA/Gatekeeper, eBPF, CNAPP, ניתוח קוד סטטי ודינמי, סריקות תלויות, ניהול סודות, ואכיפת מדיניות באמצעות תשתית כקוד. בנוסף, הוא דן בהשפעת LLMs על פיתוח מאובטח, בסיכוני הנדסה חברתית משופרת-בינה, ובהשלכות של אימוץ Zero Trust ו-PQC על תהליכי DevSecOps מודרניים. התרומה המרכזית היא ארכיטקטורה ישימה הממפה סיכונים למדדים כמותיים, תוך שימוש במדדים כגון שיעור פגיעויות פתוחות, כיסוי בקרות, זמן תיקון ממוצע, ויחס אות-רעש בצינורות הסריקה. לצורך אימות, מוצגת הערכה ניסויית מבוססת תרחישים על מאגר מיקרו-שירותים טיפוסי, עם השוואה בין צינור בסיסי לצינור DevSecOps מחוזק. התוצאות מדגימות ירידה משמעותית בחשיפת סודות, בזיהוי חבילות פגיעות, ובהסתברות להזרקת artefacts לא מאומתים, לצד עלייה צפויה בזמן בנייה מתון יחסית. לבסוף, מוצג מקרה בוחן תעשייתי המדגים כיצד ארגון בינוני יכול להטמיע DevSecOps בר-קיימא בלי להעמיס יתר על צוותי הפיתוח, תוך שמירה על תאימות, נראות ויכולת אכיפה.
Read paper →IRIR 2026: אבטחת Incident Response ארגונית בעידן AI גנרטיבי, Zero Trust ו-CNAPP — מסגרת מתודולוגית, יישומית ומדידה
מאמר זה מציג מסגרת מחקרית ויישומית ל-IR (Incident Response) בסייבר בשנת 2026, כאשר משטח התקיפה הארגוני מאופיין בענן היברידי, זהויות מבוזרות, רכיבי SaaS, קונטיינרים, eBPF, מערכות AI גנרטיביות ושכבת בקרה מבוססת Zero Trust. בניגוד לגישות IR מסורתיות שהתמקדו בחקירה לאחר חדירה, אנו מגדירים IR מודרני כתהליך רציף של זיהוי, בלימה, שחזור, תיאום ושיפור, המשלב טלמטריה איכותית, אוטומציה מבוקרת, ניהול ראיות ופעולה משפטית-ארגונית. המאמר מנסח מודל איום פורמלי, מגדיר פונקציית סיכון משוקללת לזמן זיהוי ולזמן בלימה, ומציע ארכיטקטורה מבצעית המשלבת SIEM, SOAR, EDR/XDR, CNAPP, CSPM, NDR, IAM, PAM, eBPF וזרימות עבודה מבוססות playbooks. כמו כן, מוצג תהליך תגובה המותאם לאיומים בני 2026, כולל שימוש לרעה ב-LLM לצורך הנדסה חברתית, poisoning של צנרת AI, גניבת טוקנים, שימוש ב-living-off-the-land, והתקפות נגד שרשראות אספקה. המחקר משווה בין שלוש רמות בשלות IR: תגובה ידנית, תגובה חצי-אוטומטית ותגובה מונחית-מדדים עם עקרונות של “human-in-the-loop”. לצורך הערכה, נבנתה סביבת ניסוי המדמה ארגון בינוני-גדול עם שירותים מקומיים, עומסי עבודה ב-AWS ו-Azure, ונכסי SaaS. המדדים כוללים $MTTD$, $MTTC$, $MTTR$, שיעור false positive, עומס אנליסטים, ושיעור שגיאות שחזור. התוצאות מראות כי שילוב playbooks עם בקרת זהויות, חתימת ראיות ואוטומציה סלקטיבית מפחית משמעותית את $MTTC$ וה-$MTTR$ מבלי להגדיל סיכון תפעולי. בנוסף, מוצג case study המדגים תגובה לתקרית הכוללת פישינג מבוסס דיפ-פייק, קצירת session cookies, תנועה רוחבית לענן ושימוש בכניסות API גנובות. המאמר תורם שלושה רכיבים עיקריים: (1) הגדרה פורמלית ומעשית ל-IR ב-2026; (2) מתודולוגיה מבצעית הניתנת ליישום בארגונים; ו-(3) מסגרת הערכה אמפירית עם מדדים ופקודות אמת-שטח. המסקנה המרכזית היא כי IR יעיל ב-2026 אינו תהליך תגובתי בלבד, אלא מערכת סוציו-טכנית שלמה הנמדדת ביכולת שלה לקצר את משך החשיפה, לצמצם התפשטות, לשמר ראיות, ולשקם שירותים תחת אילוצי ענן, AI ורגולציה.
Read paper →DetectionDetection Unificada em Cibersegurança em 2026: Uma Arquitetura Multicamadas para Telemetria, Correlação, Resposta e Detecção Assistida por IA
Em 2026, a detecção em cibersegurança deixou de ser uma função isolada de SIEM ou EDR e passou a constituir uma disciplina sistêmica, orientada por telemetria contínua, engenharia de detecção e correlação multi-fonte. Este artigo propõe uma arquitetura unificada de detecção capaz de operar em ambientes híbridos, distribuídos e fortemente automatizados, cobrindo endpoints, identidade, nuvem, rede, contêineres, workloads serverless e superfícies emergentes expostas a riscos de IA. A contribuição central é um modelo operacional que combina técnicas clássicas baseadas em assinaturas e regras, detecção comportamental, análise estatística, grafos de identidade e processo, e camadas de aprendizado de máquina com governança explícita para reduzir falsos positivos e atrasos de triagem. Formalizamos o problema como um processo de inferência sob incerteza, no qual a função de detecção maximiza a utilidade esperada sob restrições de custo, latência, cobertura e explicabilidade. Em seguida, descrevemos uma metodologia prática para pipeline de ingestão, normalização, enriquecimento, correlação e priorização, com mapeamento consistente ao MITRE ATT&CK e integração com Sigma, YARA, Suricata, Zeek, eBPF e controles nativos de provedores de nuvem. A implementação proposta é compatível com uma stack realista de 2026, incluindo OpenSearch, Elastic, Splunk, Microsoft Sentinel, Wazuh, CrowdStrike Falcon, Sysmon, Falco, Tetragon e OpenTelemetry, com atenção especial à segurança de logs, à qualidade dos dados e à auditoria de modelos. A avaliação experimental, baseada em cenários adversariais representativos de 2026, demonstra melhorias na taxa de detecção e redução do tempo médio para detecção em comparação com abordagens monolíticas centradas apenas em regras. Por fim, discutimos limitações, vieses operacionais, riscos de automação excessiva, uso malicioso de IA generativa e implicações para governança, privacidade e resiliência defensiva.
Read paper →IAMIAM in Cybersecurity in 2026: Zero-Trust Identity Governance, Phishing-Resistant Authentication, and Continuous Authorization for Hybrid, Cloud, and AI-Driven Environments
ניהול זהויות וגישה (IAM) הפך עד 2026 לשכבת בקרה מרכזית כמעט בכל ארכיטקטורת אבטחה מודרנית, משום שהאויבים למדו לעקוף הגנות פרימטר דרך גניבת זהות, חטיפת טוקנים, ניצול הרשאות יתר, שרשורי אספקה, ותפעול של סביבות SaaS, ענן ו-Identity Provider כווקטור תקיפה עיקרי. מאמר זה מציג ניתוח מחקרי מקיף של IAM בהקשר סייבר, עם דגש על התאמה לעידן ה-Zero Trust, עלייה במתקפות MFA fatigue ו-AiTM, אימוץ FIDO2/WebAuthn, ניהול מחזור חיים של זהויות, IaC ליישום בקרות, וזהויות מכונה ועומסי עבודה. המאמר מנסח מודל איום פורמלי שבו זהות היא נכס קריטי והחלטת גישה היא פונקציה של הקשר, סיכון, מדיניות, וייחוס אמון דינמי. בנוסף, מוצגת מתודולוגיה מעשית ל-IAM מאובטח הכוללת מיפוי זהויות, סיווג הרשאות, צמצום הרשאות, בקרת סשנים, continuous authorization, והטמעת telemetry מבוסס eBPF, SIEM, ו-CNAPP. התרומה המרכזית היא מסגרת הנדסית המשלבת אבטחת זהות עם עקרונות תפעוליים: ניתוח פערי MFA, מדדי blast radius, מדידת זמן לתיקון הרשאות, וזיהוי מסלולי תקיפה של privilege escalation ו-consent abuse. המאמר כולל גם מקרה בוחן של ארגון היברידי שבו נבנתה תוכנית IAM שמקטינה את שטח התקיפה דרך SSO, PIM, policy-as-code, ודרישות phishing-resistant MFA. ניסויי הערכה מדגימים ירידה במדדי סיכון ויעילות גבוהה יותר בגילוי חריגות גישה. לבסוף נדונים מגמות 2026: governance ל-AI agents, זהויות לא-אנושיות, post-quantum readiness, וממשק בין IAM ל-NHI management ולסביבת cloud-native security.
Read paper →Researchמחקר אבטחתי בעידן 2026: מתודולוגיה אמפירית לאפיון, מדידה והגנה מפני איומי LLM, שרשרת אספקה וענן היברידי
מאמר זה מציג מסגרת מחקרית מלאה לניתוח איומי סייבר בעידן 2026, שבו מודלי שפה גדולים, שירותי ענן היברידיים, eBPF, CNAPP, Zero Trust וקריפטוגרפיה פוסט-קוונטית מעצבים מחדש את פני ההגנה וההתקפה. המאמר מגדיר בעיה מחקרית קונקרטית: כיצד לבנות מחקר אבטחתי אמפירי, שחוזר על עצמו, ומדיד, המשלב טלמטריה תפעולית, ניתוח התנהגותי, הערכת סיכונים, ובדיקות התקפיות מבוקרות כדי לאפיין את יעילותן של בקרות מודרניות כנגד טכניקות תקיפה עדכניות. אנו מציעים מתודולוגיה רב-שכבתית הכוללת איסוף נתונים מסביבת מעבדה נשלטת ומסביבות היברידיות, מיפוי להתקפות לפי MITRE ATT&CK, בניית גרף תלות של נכסים וזרימות זהות, וזיהוי חריגות בעזרת חוקים, חתימות וניתוח אנומליות. המאמר מציג גם מודל פורמלי למדידה המבוסס על פונקציות סיכון, זמן חשיפה, שיעור זיהוי, ושחזור נתיב תקיפה, ומדגים כיצד להעריך בקרות כמו MFA עמיד לפישינג, בידוד דפדפן, סינון תעבורה, בקרות IAM וטלמטריה מבוססת eBPF. בנוסף, מובא מקרה בוחן של סביבת SaaS היברידית שבה נוצל פער בין זהויות אנושיות לזהויות מכונה, ונבחנת תרומתן של בקרות חדשות להפחתת סיכון. תרומת המאמר כפולה: ראשית, הוא מציע תבנית מחקרית פרקטית לחוקרי סייבר ב-2026; שנית, הוא מספק מערכת הערכה שניתן ליישם במחקר אקדמי, תעשייתי וממשלתי כאחד. הממצאים מראים כי השילוב בין תכנון ניסויי קפדני, טלמטריה עשירה והצלבה בין נתוני תקיפה והגנה מאפשר להפוך מחקר סייבר ממסמך תיאורי בלבד לכלי מדעי מדויק, בר-השוואה וברי-שחזור.
Read paper →Detectionזיהוי עוין, התנהגותי וסתגלני בסייבר: מסגרת מחקרית ומעשית לשנת 2026
זיהוי בסייבר עבר בעשור האחרון מהסתמכות כמעט בלעדית על חתימות וכללי קורלציה לפעילות רב-שכבתית המשלבת טלמטריה מארכיטקטורות ענן, נקודות קצה, רשת, זהויות, יישומים ומודלי בינה מלאכותית. בשנת 2026, האתגר המרכזי איננו רק “למצוא רעש חריג”, אלא להבחין בין התנהגות לגיטימית מורכבת לבין פעילות יריבה מסתגלת, תוך שמירה על שיעורי שגיאה נמוכים, זמן תגובה קצר, ויכולת הסבר לצוותי SOC, IR ו-CTI. מאמר זה מציג מסגרת מחקרית ומעשית לזיהוי מתקדם המבוססת על איחוד טלמטריה הטרוגנית, דגימת מאפיינים בזמן-אמת, קורלציה מבוססת גרף, וספי החלטה אדפטיביים הנשענים על הקשר תפעולי, נכס, זהות וסיכון. המסגרת המוצעת נועדה להתמודד עם שלוש מגמות בולטות ב-2026: התקפות הממנפות זהויות ותשתיות ענן, שימוש עוין ב-LLM ובאוטומציה גנרטיבית לצורך פישינג, התחמקות והטעיה, והתרחבות התקפות “Low-and-Slow” המפצלות שלבי תקיפה רבים על פני חלונות זמן ארוכים. אנו מגדירים פורמלית את בעיית הזיהוי כהפרדת זרמים רב-ממדיים בזמן $t$ עם אילוץ של עלות שגיאה אסימטרית, ומציעים ארכיטקטורה היברידית הכוללת eBPF, Sysmon, Zeek, OpenTelemetry, וגרפי זהויות-נכסים. בנוסף, מוצג מנגנון ניקוד המשלב תועלת מבצעית, ביטחון סטטיסטי והקשר סיכוני, כך שהזיהוי אינו מסתיים בהתראה אלא מתורגם לפעולת בלימה מדויקת. המאמר כולל ניסוח של threat model, תיאור מימוש, קונפיגורציות וכלי עבודה, הערכה ניסויית עם מדדים כגון Precision, Recall, F1 ו-$F_{\beta}$, וכן ניתוח מקרה מעשי של זיהוי התנהגות יריבה בסביבת hybrid cloud. המסקנה המרכזית היא שזיהוי יעיל ב-2026 מחייב מעבר מ“גילוי אי-תקינות” אל “הבנת כוונה מבצעית”, תוך שילוב תצפיתיות, למידה הסתגלנית, והסבריות מבצעית.
Read paper →IAMIAM in Cybersecurity in 2026: Zero-Trust Identity Governance, Privileged Access Resilience, and Detection Engineering Against Modern Identity Attacks
זהות דיגיטלית הפכה ב־2026 לשכבת הבקרה המרכזית כמעט בכל ארכיטקטורת אבטחה ארגונית, הרבה מעבר לאימות משתמשים בלבד. מאמר זה מנתח לעומק את תחום ה־IAM (Identity and Access Management) בתוך סייבר מודרני, תוך מיקוד בהשפעת מודלים של Zero Trust, בקרה על זהויות אנושיות ולא־אנושיות, שימוש ב־FIDO2/WebAuthn, ניהול מחזור חיי הרשאות, Privileged Access Management, ותגובת הגנה מול התקפות זהות מתקדמות כגון adversary-in-the-middle, token theft, consent phishing, session hijacking ו־abuse של OAuth/OIDC/SAML. המאמר מציג מסגרת פורמלית לאיום ולמדידה, מנסח מודל הסתברותי של סיכון זהות, ומציע מתודולוגיה משולבת המבוססת על עקרונות least privilege, continuous authentication, policy-as-code, device posture, וטלמטריה מבוססת SIEM/SOAR ו־eBPF. בנוסף, נכללת תשתית יישומית מעשית לסביבות היברידיות הכוללת Entra ID, Okta, LDAP/AD, Kubernetes, SaaS, וענן ציבורי, תוך שילוב כלי בדיקה ומיפוי כגון azurehound, bloodhound.py, roadrecon, ldapsearch, ו־sslyze במסגרת בדיקות הגנה מאושרות. הערכת הניסוי מדגימה, באמצעות טבלאות השוואה, את תרומת מנגנוני MFA עמידים לפישינג, conditional access, והקשחת session tokens לצמצום שטח התקיפה. לבסוף מובא ניתוח מקרה של תקרית זהות ארגונית ודיון בהשלכות רגולטוריות, תפעוליות ואופרטיביות, כולל אתגרי AI governance, זהויות מכונות, ויישום post-quantum readiness בתהליכי IAM ארוכי־טווח.
Read paper →Researchמחקר אדוורסריאלי מאובטח במערכות בינה מלאכותית ארגוניות: מתודולוגיה הוליסטית לזיהוי, הערכה והפחתה של סיכוני LLM, שרשראות אספקה וטלמטריית eBPF בסביבת Zero Trust בשנת 2026
מאמר זה מציג מסגרת מחקרית מקיפה לבחינה, הערכה והפחתה של סיכוני סייבר במערכות בינה מלאכותית ארגוניות בשנת 2026, תוך שילוב של מודלי שפה גדולים, שרשראות אספקה תוכנתיות, טלמטריית זמן-ריצה מבוססת eBPF, ומנגנוני Zero Trust בוגרים. בניגוד לעבודות קודמות שהתמקדו אך ורק ב-LLM עצמם, המאמר מנסח את בעיית המחקר כבעיה מערכתית: האיום אינו נובע רק מהמודל, אלא גם מממשקי ההטמעה, מהאורקסטרציה בענן, ממאגרים חיצוניים, מזרימות RAG, ומרכיבי observability ו-policy enforcement. אנו מגדירים מודל איום פורמלי שבו תוקף מסוגל לבצע prompt injection, data poisoning, model extraction, tool abuse, dependency confusion, token theft, lateral movement ו-exfiltration דרך ממשקי API, תוספים וסוכני אוטומציה. על בסיס זה מוצעת מתודולוגיה מדידה הכוללת סיווג נכסים, עץ תקיפות, מדדי סיכון כמותיים, red teaming אדוורסרי, בדיקות עמידות, וניטור רציף בטלמטריית eBPF וב-CNAPP. המאמר מציג תהליך יישומי עם כלים היסטוריים עד 2026, כגון OWASP LLM Top 10, MITRE ATLAS, LangChain/Guardrails, OpenTelemetry, Falco, Tetragon, Kube-bench, Trivy ו-Semgrep, לצד בדיקות ידניות ואוטומטיות. בנוסף, מובא מקרה בוחן ארגוני המדגים כיצד שרשרת תקיפה נגד מערכת עוזר פנימי מבוססת RAG נבלמת באמצעות בידוד רשת, סינון קלט/פלט, בקרת הרשאות מדויקת, וחתימת artifacts. תוצאות הניסוי מראות כי שילוב של בקרות ב-application layer, policy layer ו-runtime layer מפחית משמעותית את שטח התקיפה ואת שיעור ההצלחה של התקפות אדוורסריאליות. המסקנה המרכזית היא שהגנה אפקטיבית על מערכות AI בשנת 2026 מחייבת מחקר סייבר אינטגרטיבי, הנשען על מדידה, שחזור, ו-verification מתמשך.
Read paper →