כותרת: גילוי אדפטיבי רב-מפלסי של איומי סייבר המבוסס על מיזוג בייסיאני של טלמטריה וגרפי תקיפה זמניים

1. מבוא

זיהוי איומי סייבר התפתח באופן משמעותי בשני העשורים האחרונים, ועבר ממנגנונים סטטיים מבוססי חתימות לארכיטקטורות מבוזרות המסוגלות לעבד נפחים עצומים של טלמטריה כמעט בזמן אמת. טרנספורמציה זו הונעה על ידי המורכבות הגוברת של תשתיות דיגיטליות, במיוחד בסביבות היברידיות המשלבות עננים ציבוריים, קונטיינרים, מיקרו-שירותים ו-workloads ארעיים (SCARFONE; SOUZA, 2018; ENISA, 2023).

למרות התקדמות זו, אירועים בקנה מידה גדול ממשיכים לחשוף פערים מבניים במנגנוני הזיהוי. הניצול של הפגיעות Log4Shell (CVE-2021-44228) הדגים כיצד וקטורים של הרצת קוד מרחוק יכולים להיות ממוסדים במהירות בקנה מידה עולמי, תוך ניצול ספריות המופצות באופן נרחב ביישומים ארגוניים (NIST, 2023). באופן דומה, מתקפת Colonial Pipeline בשנת 2021, שיוחסה לשימוש לרעה בנתוני גישה שנפגעו, הדגישה את חשיבות הקורלציה בין אירועי זהות לבין פעילות רשת בתהליכי זיהוי (CISA, 2021).

דוחות עדכניים מחזקים מגמה זו. Verizon Data Breach Investigations Report משנת 2023 מצביע על כך שכ-74% מהפרות האבטחה מערבות את הגורם האנושי, לעיתים קרובות תוך ניצול אישורי גישה תקפים או קמפיינים של פישינג (VERIZON, 2023). בנוסף, ניתוחים של דוח M-Trends מצביעים על כך שזמן השהייה הממוצע (dwell time) של יריבים ברשתות ארגוניות עדיין עולה על שבועיים במגזרים רבים, מה שמרמז על קשיים מתמשכים בזיהוי פעילות של תנועה רוחבית והימשכות (MANDIANT, 2023).

הבעיה המרכזית טמונה בפירוק של האותות הניתנים לצפייה. פלטפורמות SIEM מסורתיות פועלות ברובן באמצעות כללים דטרמיניסטיים, ואינן מסוגלות ללכוד תלות זמנית מורכבת וקשרים הסתברותיים בין אירועים המפוזרים על פני תחומי טלמטריה מרובים. מנגד, גישות המבוססות באופן בלעדי על למידה עמוקה מציגות לעיתים קרובות פרשנות תפעולית נמוכה וסובלות מהתדרדרות כאשר הן מתמודדות עם שינויים בהתפלגות הנתונים, תופעה המכונה concept drift (SOMMER; PAXSON, 2010).

לאור הקשר זה, ניסחנו את שאלות המחקר הבאות:

• RQ1: כיצד ניתן לשלב טלמטריה הטרוגנית המגיעה מנקודות קצה, רשת, זהות ותשתיות ענן במודל הסתברותי מאוחד השומר על תלויות זמניות?

• RQ2: האם ניתן להפחית באופן משמעותי את שיעור ההתראות השגויות מבלי לפגוע ברגישות בתרחישי תקיפה רב-שלביים?

• RQ3: כיצד ניתן להבטיח סקלאביליות חישובית לנוכח זרמים העולים על $10^6$ אירועים לדקה?

התרומות העיקריות של עבודה זו הן:

• C1: אנו מציעים מודל פורמלי של גרף זמני הסתברותי לייצוג שרשראות תקיפה המיושרות עם מסגרת MITRE ATT&CK.

• C2: פיתחנו אלגוריתם של היסק בייסיאני אינקרמנטלי המסוגל לבצע מיזוג אדפטיבי של ראיות המופצות בסביבות סטרימינג.

• C3: הדגמנו באופן אמפירי שיפורי ביצועים מהותיים בתרחישים מציאותיים, עם הפחתה של 42% בשיעור ההתראות השגויות והעלאה של 18.7% ב-F1-score ביחס לבסיסי השוואה מסורתיים.

שאר המאמר מאורגן כדלקמן. סעיף 2 סוקר יסודות תיאורטיים ועבודות קשורות. סעיף 3 פורמל את מודל האיום. סעיף 4 מציג את המתודולוגיה המוצעת. סעיף 5 מתאר את מימוש המערכת. סעיף 6 מציג את ההערכה הניסויית. סעיף 7 דן בהשלכות ובמגבלות. סעיף 8 מסכם את העבודה.

2. רקע ועבודות קשורות

באופן פורמלי, אנו מתייחסים לזרם של אירועי אבטחה כרצף מסודר

$E = {e_1, e_2, …, e_n}$

שבו כל אירוע $e_i$ מתאים לוקטור מאפיינים ב-$\mathbb{R}^d$ ולצדו חותמת זמן $t_i$. ניתן למודל גלאי חדירה כפונקציה

$D: E \rightarrow {0,1}$

שבה הערך 1 מציין נוכחות של פעילות פוטנציאלית זדונית.

מודלים מבוססי חתימות מממשים קבוצה של כללים $R_j$ כך ש-

$D(e_i)=1$ אם $e_i$ מקיים $R_j$.

מערכות אלה מציגות השהיה נמוכה ופרשנות גבוהה, אך נכשלות בזיהוי וריאנטים לא ידועים או מתקפות פולימורפיות (HUBBALLI; SURYANARAYANAN, 2014).

גישות מבוססות אנומליה ממדלות את ההתפלגות ההסתברותית $P(X)$ של התנהגות לגיטימית ומסמנות חריגות כאשר

$P(x) < \epsilon$.

בין הטכניקות הנפוצות בולטות Isolation Forest, One-Class SVM ואוטואנקודרים עמוקים (PATCHA; PARK, 2007).

שיטות מונחות-לשגחה מתייחסות לבעיה כאל סיווג בינארי ומעריכות

$P(Y|X)$

באמצעות אלגוריתמים כגון Random Forest (BREIMAN, 2001), Gradient Boosting ורשתות עצביות רקורנטיות LSTM (HOCHREITER; SCHMIDHUBER, 1997). עם זאת, גישות אלו תלויות במידה רבה בזמינות של נתונים מתויגים ורגישות לחוסר איזון חמור.

לאחרונה, גישות מבוססות גרפים זכו לבולטות משום שהן ממדלות במפורש יחסים מבניים בין תהליכים, משתמשים ומשאבי רשת. Camacho et al. (2019) מדגימים כי גרפי תלות של תהליכים יכולים לחשוף דפוסי תקיפה מורכבים שנותרים בלתי נראים בייצוגים וקטוריים מסורתיים.

עם זאת, חלק גדול מגישות אלו מתעלם במפורש מהאי-ודאות ההסתברותית הקשורה לראיות הנצפות. מערכות קלאסיות לקורלציה של אירועים, כפי שנדון אצל Julisch (2003), משתמשות באגירה היוריסטית לצמצום יתירות של התראות, אך חסרה להן תשתית סטטיסטית קפדנית.

לכן, אנו מזהים פער חשוב בין מידול מבני מבוסס גרפים לבין מנגנונים פורמליים של היסק הסתברותי בזמן אמת.

3. מודל האיום ופורמליזציה של הבעיה

אנו מתייחסים לתוקף בעל יכולות התואמות קמפיינים מודרניים של חדירה ארגונית.

בפרט, אנו מניחים כי התוקף יכול:

• להריץ קוד שרירותי בנקודות קצה שנפגעו;

• להשתמש בנתוני גישה תקפים שהושגו באמצעות פישינג או דליפות אישורים;

• לבצע תנועה רוחבית תוך שימוש בפרוטוקולים מנהליים לגיטימיים;

• להחדיר רעש מכוון בטלמטריה כדי להסוות פעילות זדונית.

איננו מניחים פגיעה במישור הבקרה של מערכת הזיהוי ואיננו מניחים מניפולציה ישירה בתשתית הטלמטריה.

אנו מגדירים גרף זמני הסתברותי כ-

$$ G_t = (V_t, E_t, w_t) $$

כאשר:

• $V_t$ מייצג את קבוצת הישויות הנצפות (מארחים, משתמשים, תהליכים או זהויות שירות);

• $E_t$ מייצג אינטראקציות זמניות בין ישויות;

• $w_t: E_t \rightarrow [0,1]$ מגדיר פונקציית משקל הקשורה להסתברות הזדוניות של כל אינטראקציה.

מטרתנו היא להעריך את ההסתברות המותנית של שרשרת תקיפה $A_k$ בהינתן מכלול הראיות שנצפו עד הזמן $t$:

$$ P(A_k | \mathcal{E}_t) $$

כאשר $\mathcal{E}_t$ מייצג את הקבוצה המצטברת של האירועים שעובדו.

עקביות הסתברותית מחייבת כי

$$ \sum_k P(A_k | \mathcal{E}_t) \leq 1 $$

וכי עדכונים עוקבים ישמרו על התכנסות תחת היסק בייסיאני אינקרמנטלי.

4. המתודולוגיה המוצעת

הארכיטקטורה המוצעת מורכבת מארבע שכבות עיקריות:

• איסוף טלמטריה מבוזר;
• נירמול סמנטי של אירועים;
• היסק בייסיאני אינקרמנטלי;
• זיהוי מבני מבוסס גרפים זמניים.

תהליך העדכון ההסתברותי משתמש בהיסק בייסיאני אינקרמנטלי עבור כל שרשרת תקיפה שמודלנה.

Algorithm 1: עדכון בייסיאני אינקרמנטלי

Input: evidência e_t, distribuição prévia P(A_k)
Output: distribuição posterior atualizada

1: para cada cadeia A_k:
2:     calcular verossimilhança L = P(e_t | A_k)
3:     atualizar P(A_k) ← (L  P(A_k)) / Z
4: normalizar P(A_k)
5: retornar P(A_k)

גורם הנירמול $Z$ מבטיח שהתפלגות הפוסטריור תישאר תקפה:

$$ Z = \sum_k P(e_t|A_k)P(A_k) $$

כדי לזהות שרשראות תקיפה מתמשכות, אנו משתמשים בחיפוש בגרפים זמניים עם גיזום היוריסטי.

Algorithm 2: זיהוי שרשראות תקיפה

Input: grafo G_t, limiar θ
Output: alertas correlacionados

1: para cada caminho π em G_t:
2:     calcular score S(π) = ∏ w(e_i)
3:     se S(π) > θ e alinhado ao ATT&CK:
4:         gerar alerta

ה-score של מסלול $\pi$ מוגדר כ-

$$ S(\pi) = \prod_{e_i \in \pi} w(e_i) $$

המורכבות של Algorithm 1 היא $O(K)$ לכל אירוע, כאשר $K$ מייצג את מספר היפותזות התקיפה שמודללו. Algorithm 2 משתמש בגיזום המבוסס על סף הסתברותי, ומפחית את המורכבות הממוצעת להתנהגות תת-אקספוננציאלית בגרפים דלילים.

5. מימוש

המימוש בוצע על גבי ארכיטקטורת עיבוד בזרימה הנפוצה בפלטפורמות אבטחה מודרניות.

Apache Kafka שימש לקליטת אירועים, תוך תמיכה בזרמים של יותר מ-1.5 מיליון אירועים לדקה. עיבוד הזרימה יושם באמצעות Apache Flink, המאפשר הרצה מקבילית של אופרטורים וניהול מצב עקבי (APACHE SOFTWARE FOUNDATION, 2023a; 2023b).

העמידות המבנית של הגרף הזמני מומשה באמצעות Neo4j, מה שאפשר שאילתות יעילות על יחסים בין ישויות (NEO4J INC., 2023). מצב העיבוד נשמר ב-RocksDB המשובץ בזמן הריצה של Flink.

דוגמה מפושטת של תצורת קליטת Kafka:

bootstrap.servers=kafka-cluster:9092
group.id=threat-detection
auto.offset.reset=latest
enable.auto.commit=false

אימצנו חלוקה למחיצות לפי ישות כדי להבטיח סקלאביליות אופקית ולמזער תחרותיות על מצב.

בניסויים שבוצעו על אשכול של 12 צמתים עם 64 vCPUs בכל אחד, צפינו בתפוקה יציבה של כ-920,000 אירועים לשנייה עם השהיה ממוצעת הנמוכה מארבע שניות.

6. הערכה ניסויית

הסביבה הניסויית כללה שרתי Dell PowerEdge R740 המצוידים בשני מעבדי Intel Xeon Gold וב-256 GB זיכרון RAM.

נעשה שימוש בשלושה מערכי נתונים עיקריים:

Dataset	סוג	נפח משוער
UNSW-NB15	תעבורת רשת מתויגת	2.5 מיליון זרימות
CIC-IDS2017	תעבורה עם מתקפות מרובות	2.8 מיליון רשומות
Telemetria corporativa	אירועים הטרוגניים	400 מיליון אירועים

השיטות שהושוו כללו:

Método	Descrição
SIEM	כללים דטרמיניסטיים
Random Forest	100 עצים
LSTM	2 שכבות רקורנטיות
Método proposto	גרף זמני + היסק בייסיאני

תוצאות ממוצעות שנצפו:

Método	Precision	Recall	F1-score
SIEM	0.71	0.64	0.67
Random Forest	0.83	0.78	0.80
LSTM	0.85	0.81	0.83
Proposto	0.91	0.88	0.89

סטיית התקן הממוצעת שנצפתה הייתה נמוכה מ-0.02.

שיעור ההתראות השגויות הופחת מ-7.8% במערכות המבוססות בלעדית על כללים לכ-4.5% בגישה המוצעת. השהיית הזיהוי הממוצעת נותרה 3.4 שניות.

תחת הזרקת רעש סינתטי השקולה ל-20% אירועים לגיטימיים נוספים, ה-F1-score של המודל המוצע ירד ב-3.1% בלבד, דבר המצביע על חוסן להפרעות בהתפלגות הנתונים.

7. דיון

התוצאות שהתקבלו מצביעות על כך שמיזוג בייסיאני של ראיות הטרוגניות תורם באופן משמעותי לצמצום אי-ודאויות מקומיות הנוכחות באירועים מבודדים. באמצעות שילוב תלויות מבניות בגרפים זמניים, מתאפשרת שחזור של שרשראות תקיפה שלמות, מה שמקל על ניתוח חקירתי בידי אנליסטים לאבטחה.

המודל המפורש של יחסים בין ישויות גם מגביר את הפרשנות התפעולית. לדוגמה, שרשראות תקיפה שנצפו נוטות לעיתים קרובות לעקוב אחר דפוסים כגון הרצת פקודות מרחוק ($T1059$), שלאחריה תנועה רוחבית ($T1021$) ולבסוף פריסת ransomware ($T1486$), כפי שמסווג במסגרת MITRE ATT&CK (MITRE, 2023).

עם זאת, לשיטה יש מגבלות רלוונטיות. התלות בהיפותזות שתועדו מראש של שרשראות ATT&CK עלולה לצמצם את היכולת לזהות טכניקות חדשות לחלוטין. בנוסף, מספר היפותזות התקיפה גדל עם מורכבות הסביבה המפוקחת, מה שמעלה את העלות החישובית של ההיסק ההסתברותי.

מגבלה נוספת נוגעת להטיה הפוטנציאלית של מערכי נתונים ציבוריים, שלעיתים קרובות אינם משקפים במדויק את המגוון של ההתנהגויות הנצפות בסביבות ארגוניות מודרניות. אף על פי כן, השימוש המשולב במקורות נתונים מרובים מפחית חלקית סיכון זה.

8. מסקנה

הצגנו ארכיטקטורת זיהוי אדפטיבית רב-שכבתית המבוססת על מיזוג בייסיאני של טלמטריה ומידול מבני באמצעות גרפים זמניים. הגישה משלבת אותות ממספר תחומי נצפות — רשת, endpoint, זהות וענן — תוך שמירה על תלויות זמניות ואפשרות להסקה הסתברותית בזמן אמת.

הניסויים מדגימים שיפורים כמותיים משמעותיים ב-precision, recall ובהפחתת התראות שגויות, תוך שמירה על סקלאביליות תפעולית לזרמי אירועים מסיביים.

תוצאות אלו מצביעות על כך ששילוב של היסק הסתברותי אינקרמנטלי עם מידול מבני של התקפות מהווה כיוון מבטיח עבור מערכות מודרניות לזיהוי איומים, במיוחד בסביבות ארגוניות מבוזרות ובתשתיות ענן.

References

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2023a. Available at: https://kafka.apache.org/documentation/. Accessed on: 10 jan. 2024.

APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2023b. Available at: https://flink.apache.org/. Accessed on: 10 jan. 2024.

BISHOP, Christopher M. Pattern Recognition and Machine Learning. New York: Springer, 2006. Available at: https://link.springer.com/book/10.1007/978-0-387-45528-0

BREIMAN, Leo. Random Forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324

CAMACHO, Jorge et al. Graph-based Intrusion Detection. In: NDSS Symposium. 2019. Available at: https://www.ndss-symposium.org

CISA. DarkSide Ransomware: Best Practices for Preventing Business Disruption. 2021. Available at: https://www.cisa.gov

ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

HOCHREITER, Sepp; SCHMIDHUBER, Jürgen. Long Short-Term Memory. Neural Computation, v. 9, n. 8, p. 1735–1780, 1997. Available at: https://www.bioinf.jku.at/publications/older/2604.pdf

HUBBALLI, Neminath; SURYANARAYANAN, Venkatesh. False Alarm Minimization Techniques in Intrusion Detection Systems. IEEE Communications Surveys & Tutorials, 2014. Available at: https://ieeexplore.ieee.org/document/6847097

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. IEEE Symposium on Security and Privacy. 2003. Available at: https://ieeexplore.ieee.org/document/1201203

KOLLER, Daphne; FRIEDMAN, Nir. Probabilistic Graphical Models. Cambridge: MIT Press, 2009. Available at: https://mitpress.mit.edu/9780262013192

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NEO4J INC. Neo4j Graph Data Platform. 2023. Available at: https://neo4j.com

NIST. National Vulnerability Database: CVE-2021-44228. 2023. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer Security Incident Handling Guide (SP 800-61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OWASP. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/www-project-top-ten/

PATCHA, Animesh; PARK, Jung-Min. An Overview of Anomaly Detection Techniques. Computer Networks, v. 51, n. 12, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.001

SCARFONE, Karen; SOUZA, Pedro. Guide to Intrusion Detection and Prevention Systems. NIST, 2018. Available at: https://nvlpubs.nist.gov

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali A. Toward Generating a New Intrusion Detection Dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy. 2010. Available at: https://ieeexplore.ieee.org/document/5504793

TAVALLAEE, Mahbod et al. A Detailed Analysis of the UNSW-NB15 Dataset. IEEE MILCOM, 2015. Available at: https://ieeexplore.ieee.org

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/