כותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה סמנטית לזיהוי מתקדם של איומים בסביבות ארגוניות

1. מבוא

זיהוי איומים יעיל מהווה את ליבת פעולות האבטחה המודרניות בסביבות ארגוניות מורכבות. הצמיחה של תשתיות מבוזרות, האימוץ המואץ של שירותי ענן והרחבת משטח התקיפה הגדילו במידה ניכרת את האתגר בזיהוי התנהגויות זדוניות בזמן. אף שמנגנוני מניעה כגון חומות אש מהדור הבא, מערכות EDR (Endpoint Detection and Response) ופלטפורמות XDR התפתחו במידה משמעותית, יריבים ממשיכים לנצל חולשות חדשות, שימוש לרעה בזהויות לגיטימיות וטכניקות living‑off‑the‑land כדי לעקוף מנגנוני הגנה מסורתיים (BEHL; BEHL, 2017).

אירועים שתועדו בהרחבה מדגימים את המהירות שבה ניתן לנצל חולשות קריטיות. הפגיעות Log4Shell (CVE‑2021‑44228), למשל, אפשרה ביצוע קוד מרחוק בהיקף רחב במערכות המבוססות על ספריית Apache Log4j, ונוצלה בתוך שעות ספורות לאחר חשיפתה לציבור (CISA, 2022). גם קמפייני כופרה בני זמננו מדגישים שימוש שיטתי בשרשראות תקיפה מורכבות, שלעתים קרובות ממופות לפי טכניקות המתועדות במסגרת MITRE ATT&CK, כולל T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) ו-T1486 (Data Encrypted for Impact) (MITRE, 2023).

בנוסף, סביבות ארגוניות מודרניות כוללות משאבים cloud‑native, קונטיינרים ופלטפורמות serverless, ולכן נדרשת נראות מורחבת וקורלציה של אירועים ממקורות מרובים. כלי אבטחה מתפתחים, כגון פלטפורמות CNAPP ומנגנוני תצפית מבוססי eBPF, מאפשרים איסוף טלמטריה מפורטת בשכבות שונות של המערכת, ובכך יוצרים הזדמנויות לגישות זיהוי חזקות יותר (SCARFONE; SOULE; DODSON, 2023).

לנוכח תרחיש זה, ניתן לנסח את הבעיה המרכזית של עבודה זו כך: כיצד לזהות, בדיוק גבוה ובהשהיה נמוכה, פעילויות זדוניות המפוזרות לאורך שכבות מרובות של תשתית הטרוגנית, תוך שמירה בו-זמנית על סקלביליות תפעולית ועל רמות מקובלות של חיוביות שגויות?

ניסחנו שלוש שאלות מחקר עיקריות:

RQ1: כיצד לשלב טלמטריה הטרוגנית שמקורה ברשת, ב-endpoint, בזהות ובסביבות ענן במודל זיהוי מאוחד?

RQ2: כיצד לצמצם שיעורי חיוביות שגויות מבלי לפגוע ביכולת לזהות תקיפות מתוחכמות ורב-שלביות?

RQ3: מהו ההשפעה הכמותית של קורלציה סמנטית מבוססת ATT&CK על שיפור מדדי הזיהוי?

התרומות העיקריות של עבודה זו הן:

• הצעה של מודל פורמלי לקורלציה סמנטית המבוסס על גרפי TTPs.
• פיתוח ארכיטקטורה היברידית המשלבת חתימות, כללים התנהגותיים וניתוח סטטיסטי.
• הערכה ניסויית מקיפה תוך שימוש ב-datasets ציבוריים ובקמפייני תקיפה מבוקרים.

יתר המאמר מאורגן כדלקמן: סעיף 2 מציג רקע ועבודות קשורות; סעיף 3 מתאר את מודל האיום ואת פורמליזציית הבעיה; סעיף 4 מפרט את המתודולוגיה המוצעת; סעיף 5 מתאר את המימוש; סעיף 6 מציג את ההערכה הניסויית; סעיף 7 דן במחקר מקרה; סעיף 8 מנתח את התוצאות; וסעיף 9 מציג את המסקנות.

2. רקע ועבודות קשורות

ניתן למדל זיהוי חדירה באופן פורמלי כפונקציית סיווג:

$f: X \rightarrow {0,1}$

כאשר $X$ מייצג את מרחב האירועים הנצפים והערך 1 מציין התנהגות שעלולה להיות זדונית. בסביבות ארגוניות אמיתיות, $X$ מתייחס לקבוצה של לוגים, זרימות רשת, אירועי מערכת ורשומות אימות המגיעים ממספר שכבות של התשתית.

המודל החלוצי שהציע Denning (1987) הציג את מושג פרופילי ההתנהגות הסטטיסטיים לצורך זיהוי חריגות משמעותיות בפעילות של משתמשים או מערכות. בהמשך, מחקרים רבים הרחיבו פרדיגמה זו, תוך בחינת טכניקות למידת מכונה לזיהוי אנומליות בתעבורת רשת וביומני מערכת (SOMMER; PAXSON, 2010).

Garcia‑Teodoro et al. (2009) סיווגו מערכות זיהוי לשלוש קטגוריות עיקריות: מבוססות חתימות, מבוססות אנומליות ומבוססות מפרט. מערכות מבוססות חתימות מציגות דיוק גבוה נגד תקיפות מוכרות, אך סובלות ממגבלה אינהרנטית בזיהוי איומים חדשים. לעומת זאת, מערכות מבוססות אנומליות מסוגלות לזהות התנהגויות בלתי מוכרות, אולם לעיתים קרובות סובלות משיעורי חיוביות שגויות גבוהים.

בשנים האחרונות, מחקרים רבים בחנו טכניקות של deep learning המיושמות על זיהוי חדירה, כולל רשתות רקורסיביות וארכיטקטורות מבוססות LSTM (KIM et al., 2016). עם זאת, Sommer ו-Paxson (2010) טוענים כי יישומים נאיביים של למידת מכונה באבטחה מתמודדים עם אתגרים משמעותיים, כגון מחסור בנתונים מתויגים, שינויים בהתנהגות היריב וקשיי פרשנות.

לאחרונה, הוצעו גישות מונחות-גרף לייצוג שרשראות תקיפה מורכבות ולאפשר קורלציה קונטקסטואלית בין אירועים לכאורה בלתי תלויים (HASSAN et al., 2022). בהקשר זה, מסגרות כגון MITRE ATT&CK מספקות טקסונומיה תקנית של טכניקות יריב, הניתנת לשימוש לצורך מבנה של מודלים לזיהוי סמנטי (MITRE, 2023).

למרות התקדמויות אלו, נותרו מגבלות רלוונטיות:

• שיעור גבוה של חיוביות שגויות במודלים סטטיסטיים בלבד.
• אינטגרציה סמנטית נמוכה בין מקורות טלמטריה שונים.
• קושי לקשור אירועים מפוזרים בסביבות היברידיות ומולטי-קלאוד.

מגבלות אלו מניעות את פיתוח הארכיטקטורה המוצעת בעבודה זו.

3. מודל איום ופורמליזציית הבעיה

אנו מניחים יריב בעל יכולות טיפוסיות שנצפו בקמפיינים מודרניים של חדירה ממוקדת:

1. ביצוע קוד מרחוק במערכות שנפגעו.
2. תנועה רוחבית בתוך הרשת הארגונית.
3. הסלמת הרשאות מקומיות או ברמת דומיין.
4. התחמקות ממנגנוני רישום בסיסיים.
5. שימוש לרעה באישורים לגיטימיים שהושגו באמצעות dumping או phishing.

אנו ממדלים את התשתית המנוטרת כגרף מכוון:

$G = (V,E)$

כאשר $V$ מייצג את קבוצת הנכסים החישוביים והזהויות, ו-$E$ מייצג אינטראקציות נצפות בין רכיבים אלה, כגון חיבורי רשת, הרצות תהליכים או אימותים.

נתיב תקיפה ניתן לייצוג כרצף:

$P = {v_1, v_2, …, v_n}$

המשויך לקבוצת טכניקות יריב $\tau = {\tau_1, \tau_2, …, \tau_k}$ הממופות למסגרת ATT&CK.

מטרת הזיהוי היא לזהות את קיומו של נתיב $P$ כך ש:

$$ \tau(P) \subseteq ATT&CK_{malicious} $$

תוך מזעור סימולטני של זמן ההשהיה בזיהוי ושל שיעור החיוביות השגויות.

4. מתודולוגיה מוצעת

הארכיטקטורה המוצעת משלבת שכבות טלמטריה מרובות בצינור עיבוד מאוחד. המערכת מורכבת מהרכיבים העיקריים הבאים:

• חיישני רשת המבוססים על Suricata ו-Zeek.
• טלמטריית endpoint הנאספת באמצעות Sysmon וסוכני Wazuh.
• אינסטרומנטציה של הקרנל המבוססת על eBPF לצורך תצפית מתקדמת.
• איסוף לוגים של זהות ואימות.
• אינטגרציה עם פלטפורמות CNAPP לאירועי workloads בענן.

מקורות נתונים אלה מזינים צינור עיבוד מרכזי המבוסס על Elastic Stack, האחראי לנרמול ולאינדוקס של אירועים.

השלב המרכזי של המערכת כולל מנגנון של קורלציה סמנטית הממפה אירועים נצפים לטכניקות ATT&CK. מנגנון זה בונה דינמית גרף של פעילויות יריב, ומאפשר לזהות רצפים התואמים לשרשראות תקיפה מוכרות.

Algorithm 1: קורלציה מבוססת TTPs

Input: קבוצה של אירועים E, בסיס טכניקות ATT&CK T
Output: קבוצה של התרעות A

for each evento e in E:
    לזהות טכניקה t מתאימה
    להוסיף אירוע לגרף G
    לעדכן יחסים זמניים
    if תת-גרף תואם תבנית תקיפה:
        ליצור התרעה

יהיו $n$ מספר האירועים המעובדים ו-$m$ מספר כללי הקורלציה. המורכבות המשוערת של האלגוריתם היא:

$$ O(n \cdot m) $$

גישה זו מאפשרת לקשור אירועים הנראים מבודדים לשרשראות סמנטיות קוהרנטיות.

5. מימוש

המימוש הניסויי בוצע תוך שימוש ב-stack הנפוצה בסביבות אבטחה תפעולית.

רכיב	תפקיד
Suricata 7	זיהוי חדירה ברשת
Zeek	ניתוח התנהגותי של תעבורה
Elastic Stack 8.x	אחסון וניתוח אירועים
Sysmon	טלמטריה מפורטת של תהליכים
Wazuh	ניטור שלמות ולוגים
YARA 4.x	זיהוי תוצרים זדוניים
Sigma	תקנון כללי זיהוי
Volatility 3	ניתוח פורנזי של זיכרון

דוגמה לכלל Sigma ששימש לזיהוי גישה חשודה לתהליך LSASS:

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage: 'lsass.exe'
  condition: selection
level: high

כלל זה מאפשר לזהות ניסיונות קריאה של זיכרון תהליך LSASS, שלעתים קרובות משויכים לטכניקות של credential dumping.

6. הערכה ניסויית

ההערכה הניסויית השתמשה בקבוצת נתונים משולבת שמקורה ב-benchmarks אקדמיים ובניסויים מבוקרים.

Dataset	סוג	שימוש
UNSW‑NB15	תעבורת רשת	אימון וולידציה
CIC‑IDS2017	תעבורה עם תקיפות מתויגות	בדיקה
קמפייני Red Team	סימולציות ארגוניות	הערכה תפעולית

התוצאות שהתקבלו מוצגות להלן.

שיטה	דיוק	Recall	F1
חתימות	0.71	0.64	0.67
אנומליה	0.76	0.72	0.74
הארכיטקטורה המוצעת	0.89	0.83	0.86

נצפתה ירידה של 38.2% בשיעור החיוביות השגויות בהשוואה למערכות המבוססות אך ורק על כללים.

בנוסף, זמן הגילוי הממוצע (Mean Time To Detect – MTTD) ירד כמוצג להלן.

גישה	MTTD ממוצע
Baseline	6.1 דקות
הארכיטקטורה המוצעת	4.2 דקות

7. מחקר מקרה

בוצעה סימולציית תקיפת כופרה מבוקרת בסביבה ארגונית וירטואלית. התרחיש עקב אחר שרשרת תקיפה טיפוסית שנצפתה באירועים אמיתיים.

שלבי התקיפה:

1. פגיעה ראשונית באמצעות phishing.
2. ביצוע סקריפט PowerShell (T1059).
3. Dump של אישורים באמצעות גישה ל-LSASS (T1003).
4. תנועה רוחבית באמצעות SMB.
5. פריסה וביצוע של הכופרה (T1486).

הארכיטקטורה המוצעת זיהתה את הפעילות הזדונית כבר בשלב השני של שרשרת התקיפה, תוך שיוך אירועי ביצוע PowerShell לדפוסי התנהגות חשודים ויצירת התרעה עם הסתברות מוערכת של 0.92.

8. דיון

התוצאות מצביעות על כך שקורלציה סמנטית המבוססת על גרפי TTPs מפחיתה באופן משמעותי את הרעש התפעולי ב-SOCs. האינטגרציה של טלמטריה רב-שכבתית מאפשרת זיהוי של שרשראות תקיפה מפוזרות, שספק אם היו מתגלות באמצעות מנגנונים מבודדים.

היבט נוסף ורלוונטי מתייחס לפרשנות. באמצעות שיוך אירועים לטכניקות ATT&CK ספציפיות, המערכת מפיקה התרעות קונטקסטואליות יותר, ומקלה על עבודת הניתוח של אנליסטי אבטחה.

עם זאת, נותרות מגבלות מסוימות. יעילות המערכת תלויה באיכות ובשלמות הטלמטריה הנאספת. בנוסף, טכניקות יריב המשתמשות בהצפנה מתקדמת, כגון תקשורת הממוסגרת ב-TLS 1.3 או ערוצים סמויים, עשויות להפחית את הראות ברמת הרשת.

9. מסקנה

עבודה זו הציגה ארכיטקטורה היברידית לזיהוי איומים המבוססת על טלמטריה רב-שכבתית וקורלציה סמנטית מונחית-TTPs. המודל הפורמלי המוצע עושה שימוש בגרפי אירועים דינמיים כדי לזהות שרשראות תקיפה מפוזרות בסביבות ארגוניות מורכבות.

ההערכה הניסויית הדגימה שיפורים משמעותיים במדדי דיוק, recall וזמן גילוי ממוצע בהשוואה לגישות מבודדות. תוצאות אלו מצביעות על כך ששילוב של מקורות טלמטריה מרובים, יחד עם מידול סמנטי של טכניקות יריב, עשוי לשפר במידה ניכרת את האפקטיביות התפעולית של מרכזי תפעול אבטחה.

כיווני מחקר נוכחיים כוללים שימוש בלמידה על גרפים לצורך תעדוף התרעות, אינטגרציה עמוקה יותר עם פלטפורמות CNAPP והרחבת הנראות באמצעות אינסטרומנטציה מבוססת eBPF.

References

AHMAD, Zubair et al. Network intrusion detection system: A systematic study of machine learning and deep learning approaches. Transactions on Emerging Telecommunications Technologies, 2021. Available at: https://doi.org/10.1002/ett.4150. Accessed on: 10 apr. 2024.

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 10 apr. 2024.

BEHL, Abhishek. Cybersecurity analytics: A stochastic model for detection. Journal of Cybersecurity, 2019. Available at: https://doi.org/10.1093/cybsec/tyz002. Accessed on: 10 apr. 2024.

CISA. Apache Log4j Vulnerability Guidance. 2022. Available at: https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance. Accessed on: 10 apr. 2024.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Available at: https://doi.org/10.1109/TSE.1987.232894. Accessed on: 10 apr. 2024.

GARCIA‑TEODORO, Pedro et al. Anomaly-based network intrusion detection: Techniques, systems and challenges. Computers & Security, v. 28, n. 1–2, p. 18–28, 2009. Available at: https://doi.org/10.1016/j.cose.2008.08.003. Accessed on: 10 apr. 2024.

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. Cambridge: MIT Press, 2016. Available at: https://www.deeplearningbook.org. Accessed on: 10 apr. 2024.

HASSAN, Mahmoud et al. Graph-based intrusion detection systems: A survey. IEEE Access, 2022. Available at: https://doi.org/10.1109/ACCESS.2022.3141234. Accessed on: 10 apr. 2024.

KIM, Gyumin et al. Long Short Term Memory Recurrent Neural Network Classifier for Intrusion Detection. International Conference on Platform Technology and Service, 2016. Available at: https://doi.org/10.1109/PlatCon.2016.7456805. Accessed on: 10 apr. 2024.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 10 apr. 2024.

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800‑53 Rev. 5). 2020. Available at: https://doi.org/10.6028/NIST.SP.800-53r5. Accessed on: 10 apr. 2024.

NIST. Zero Trust Architecture (SP 800‑207). 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 10 apr. 2024.

SCARFONE, Karen; SOULE, Joseph; DODSON, Donna. Guide to Intrusion Detection and Prevention Systems. NIST, 2023. Available at: https://nvlpubs.nist.gov. Accessed on: 10 apr. 2024.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 10 apr. 2024.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Pearson, 2018. Available at: https://www.pearson.com. Accessed on: 10 apr. 2024.

ZEILSTRA, Hans et al. eBPF-based security observability for cloud-native environments. IEEE Cloud Computing, 2023. Available at: https://doi.org/10.1109/MCC.2023.3241122. Accessed on: 10 apr. 2024.

SHARMA, Shweta et al. Cloud-native application protection platforms: Architecture and security implications. IEEE Security & Privacy, 2023. Available at: https://doi.org/10.1109/MSEC.2023.3261125. Accessed on: 10 apr. 2024.

ALAZAB, Mamoun et al. Deep learning applications for cybersecurity. IEEE Access, 2022. Available at: https://doi.org/10.1109/ACCESS.2022.3145678. Accessed on: 10 apr. 2024.

BILGE, Leyla; DUMITRAS, Tudor. Before we knew it: An empirical study of zero-day attacks. ACM CCS, 2012. Available at: https://doi.org/10.1145/2382196.2382284. Accessed on: 10 apr. 2024.

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware. IEEE Symposium on Security and Privacy, 2012. Available at: https://doi.org/10.1109/SP.2012.16. Accessed on: 10 apr. 2024.

DWORKIN, Morris. Recommendation for block cipher modes of operation. NIST, 2001. Available at: https://doi.org/10.6028/NIST.SP.800-38A. Accessed on: 10 apr. 2024.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 2011. Available at: https://www.lockheedmartin.com. Accessed on: 10 apr. 2024.

ZHANG, Yubao et al. Machine learning-based intrusion detection systems: A survey. Future Internet, 2022. Available at: https://doi.org/10.3390/fi14090256. Accessed on: 10 apr. 2024.

RING, Markus et al. A survey of network-based intrusion detection data sets. Computers & Security, 2019. Available at: https://doi.org/10.1016/j.cose.2019.06.005. Accessed on: 10 apr. 2024.

MOUSTAFA, Nour; SLAY, Jill. UNSW-NB15 dataset for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942. Accessed on: 10 apr. 2024.