כותרת: ארכיטקטורה פורמלית ותפעולית למענה לאירועי אבטחה דיגיטליים עם הבטחות קריפטוגרפיות ואימות בר-תוקף בתשתיות מודרניות

1. מבוא

משטח התקיפה של ארגונים מודרניים התרחב באופן משמעותי בשני העשורים האחרונים, מונע על ידי דיגיטציה מואצת של תהליכים ארגוניים ואימוץ נרחב של תשתיות מבוזרות. סביבות ארגוניות עכשוויות משלבות עננים ציבוריים ופרטיים, פלטפורמות קונטיינרים, שירותים מבוססי APIs, התקני IoT ומערכות תעשייתיות מקושרות. תרחיש זה מרחיב את היקף ואת ההטרוגניות של טלמטריית האבטחה, ובו בזמן מציב אתגרים משמעותיים לחקירה פורנזית ולתגובה מובנית לאירועי אבטחה (BEHL; BEHL, 2017).

בשנים האחרונות אנו עדים גם להופעתן של מחלקות איומים חדשות הקשורות לאוטומציה של תקיפות, לניצול שרשראות אספקה של תוכנה ולשימוש בטכניקות התחמקות מתקדמות. מסעות ransomware, פגיעה בזהויות בעלות הרשאות גבוהות וניצול לרעה של כלים לגיטימיים של מערכת ההפעלה — המתוארים לעיתים קרובות כטכניקות של living‑off‑the‑land — נעשו רכיבים שכיחים באירועים בעלי השפעה גבוהה (MANDIANT, 2023; VERIZON, 2024). במקביל, ההטמעה ההולכת וגוברת של מערכות מבוססות בינה מלאכותית ומודלי שפה הרחיבה את הצורך לתעד ולבקר אירועים הקשורים לצינורות נתונים ולהסקה, ויצרה אתגרים חדשים ל-DFIR בסביבות למידת מכונה (HENDRYCKS et al., 2023).

הנחיות קלאסיות לתגובה לאירועים, ובפרט NIST Special Publication 800‑61 (CICHONSKI et al., 2012), בונות את התהליך בשלבים מוגדרים היטב: הכנה, גילוי וניתוח, בלימה, מיגור והתאוששות. אף שמודל זה אומץ בהרחבה בסביבות ארגוניות וממשלתיות, הוא נותר במהותו פרוצדורלי. בפרט, מסגרות כאלה אינן מספקות הבטחות פורמליות לשלמות או לאותנטיות של שרשרת הראיות המופקת במהלך החקירה.

בתחום הפורנזיקה הדיגיטלית, מתודולוגיות מסורתיות התמקדו היסטורית ברכישת תמונות דיסק ובניתוח זיכרון נדיף (CASEY, 2011). אולם, סביבות מודרניות המבוססות על קונטיינרים, פונקציות serverless ו-workloads אלסטיים מציבות נדיפות מבנית. ראיות רלוונטיות עשויות להתקיים רק לפרקי זמן קצרים ביותר, ולכן נדרשים מנגנונים אוטומטיים של לכידה, שימור ואימות.

לאור תרחיש זה, אנו טוענים כי ההתכנסות בין שלושה תחומים — קריפטוגרפיה יישומית, שיטות פורמליות והנדסת תפעול אבטחה — מהווה גישה מבטיחה להגברת האמינות של חקירות דיגיטליות. קריפטוגרפיה מספקת פרימיטיבים מבוססי-מתמטיקה לשלמות, לאימות ולחוסר-התכחשות (BONEH; SHOUP, 2020). שיטות פורמליות מאפשרות למודל תכונות אבטחה ולוודא את העקביות הלוגית של פרוטוקולים ומערכות (CLARKE; GRUMBERG; PELED, 1999). DFIR מספקת את ההקשר התפעולי שבו מנגנונים כאלה חייבים לפעול תחת מגבלות מעשיות.

עבודה זו מציגה ארכיטקטורה משולבת המשלבת רכיבים אלה. מטרתנו היא לספק הבטחות ניתנות לאימות של שלמות ואותנטיות של ראיות דיגיטליות, תוך שמירה על תאימות לזרימות עבודה תפעוליות הנפוצות במרכזי תפעול אבטחה (SOC). בכך אנו מבקשים לצמצם עמימות אנליטית, לחזק שרשראות משמורת ולהקל על ביקורות טכניות ומשפטיות.

התרומות העיקריות של עבודה זו הן:

• פורמליזציה של מודל איום ייעודי לתהליכי DFIR;
• הגדרת תכונות קריפטוגרפיות לשרשרת משמורת ניתנת לאימות;
• פיתוח אלגוריתם לקורלציה פורנזית עם ניתוח מורכבות;
• שילוב מעשי עם כלי גילוי ותצפית מודרניים;
• הערכה איכותנית המבוססת על תרחישים אמיתיים של תשתיות קריטיות.

2. רקע ועבודות קשורות

2.1 פורנזיקה דיגיטלית ותגובה לאירועים

הספרות בתחום הפורנזיקה הדיגיטלית ביססה עקרונות יסוד הקשורים לשימור ולניתוח של ראיות דיגיטליות. Casey (2011) מציג אחד המקורות הקלאסיים בתחום, תוך הדגשת הצורך בהליכי מתודולוגיה קפדניים לאיסוף, שימור וניתוח של ארטיפקטים דיגיטליים. Carrier ו-Spafford (2004) הציעו מודל מושגי לאירועים דיגיטליים, המאפשר לייצג מצבים ומעברים במערכות מחשוב נחקרות.

בתחום התגובה לאירועים ארגונית, NIST SP 800‑61 מספק הנחיות שנמצאות בשימוש נרחב ליצירת צוותי תגובה לאירועים ולהגדרת תהליכים תפעוליים (CICHONSKI et al., 2012). בהמשך, מסמכים משלימים כגון NIST SP 800‑86 הרחיבו הנחיות ייעודיות לשילוב בין תגובה לאירועים לבין חקירות פורנזיות (KENT et al., 2006).

למרות תרומות אלה, חלק גדול מן הספרות מתמקד בהיבטים פרוצדורליים. תכונות מתמטיות של שרשרת המשמורת ואימות קריפטוגרפי של הראיות נותרו נחקרות במידה מוגבלת.

2.2 שיטות פורמליות באבטחה

שיטות פורמליות שימשו בהרחבה לאימות פרוטוקולים קריפטוגרפיים ומערכות קריטיות. Model checking ואימות מבוסס לוגיקה זמנית מאפשרים להוכיח תכונות כגון היעדר מצבים לא-בטוחים או אי-אפשרות של מחלקות מסוימות של תקיפות (CLARKE; GRUMBERG; PELED, 1999).

כלים כגון NRL Protocol Analyzer (MEADOWS, 1996) וגישות מבוססות לוגיקת ידע יושמו לצורך ניתוח תכונות של אותנטיות וסודיות בפרוטוקולים מבוזרים. Abadi ו-Needham (1996) הדגישו עקרונות של הנדסה זהירה בתכנון פרוטוקולים קריפטוגרפיים, תוך תמיכה במפרטים ברורים וניתנים לאימות.

היישום הישיר של שיטות אלה לתהליכי חקירה דיגיטלית נותר מוגבל יחסית, אף שמחקרים עדכניים בחנו מידול פורמלי של לוגים ומערכות ביקורת (BEHL; BEHL, 2017).

2.3 קריפטוגרפיה יישומית ושלמות ראיות

פונקציות hash קריפטוגרפיות משמשות בהרחבה בפורנזיקה דיגיטלית להבטחת שלמות של ארטיפקטים שנאספו. תקן SHA‑2 המוגדר ב-FIPS 180‑4 נותר אחת התשתיות הנפוצות ביותר למטרה זו (NIST, 2015). חתימות דיגיטליות התקניות ב-Digital Signature Standard (FIPS 186‑5) מספקות אימות וחוסר-התכחשות לרשומות דיגיטליות (NIST, 2023).

מבני נתונים המבוססים על עצי Merkle מאפשרים לאמת שלמות של קבוצות נתונים גדולות במורכבות לוגריתמית (MERKLE, 1989). תכונה זו נעשתה חיונית במגוון מערכות מבוזרות מודרניות, כולל מערכות ביקורת ניתנות לאימות.

2.4 תצפית וטלמטריית אבטחה ב-2024

סביבות אבטחה עכשוויות משתמשות במנגנוני איסוף טלמטריה מתקדמים. מסגרות מבוססות eBPF מאפשרות אינסטרומנטציה יעילה של ליבת Linux עם השפעת ביצועים מזערית (HØILAND‑JØRGENSEN et al., 2018). במקביל, פלטפורמות SIEM ו-SOAR מאגדות לוגים, אירועי רשת ונתוני endpoint לצורך ניתוח מרכזי (BEHL; BEHL, 2017).

כלי גילוי מבוססי חוקים — כגון YARA, Sigma וחתימות Suricata — ממשיכים להיות בשימוש נרחב לזיהוי אינדיקטורים לפשרה ולהתנהגויות חשודות. טכנולוגיות אלה מספקות נקודת שילוב טבעית לארכיטקטורות של שימור קריפטוגרפי של ראיות.

2.5 פערים בספרות

ניתוח הספרות חושף שלושה פערים עיקריים:

פער	תיאור	השפעה
פורמליזציה קריפטוגרפית של שרשרת המשמורת	היעדר משחקי אבטחה מוגדרים	קושי בהוכחה פורמלית
מדרגיות של קורלציה פורנזית	היעדר ניתוח אלגוריתמי	חוסר יעילות בסביבות בקנה מידה גדול
שילוב תפעולי	קשר מועט לכלי SOC מודרניים	אימוץ מעשי נמוך

עבודתנו מבקשת למלא פערים אלה באמצעות ארכיטקטורה המוגדרת פורמלית וברת-יישום תפעולי.

3. מודל האיום

3.1 הגדרות פורמליות

אנו מגדירים מערכת נצפית כ:

$$ S = (H, N, E) $$

כאשר $H$ מייצג את קבוצת המארחים המנוטרים, $N$ מייצג זרימות רשת נצפות ו-$E$ מייצג אירועים שנאספו על ידי מערכת הטלמטריה.

ראיה דיגיטלית מוגדרת כ:

$$ ev = (d, m) $$

כאשר $d$ מייצג את הנתונים הגולמיים של הראיה ו-$m$ מייצג מטא-נתונים משויכים, כולל חותמת זמן, מקור, מזהי תהליך ו-hash קריפטוגרפי.

3.2 יכולות היריב

אנו מדגמנים את היריב כאלגוריתם הסתברותי $\mathcal{A}$ המסוגל לבצע את הפעולות הבאות:

• לשנות רשומות מקומיות לפני האיסוף;
• ליצור תעבורת רשת זדונית;
• לפגוע בנתוני זיהוי בעלי הרשאות;
• לעכב או לחסום טלמטריה.

אנו מניחים כי ל-$\mathcal{A}$ אין יכולת לשבור פרימיטיבים קריפטוגרפיים הנחשבים בטוחים תחת הנחות סטנדרטיות.

3.3 משחק אבטחה של שרשרת משמורת

משחק האבטחה מוגדר כך:

1. המערכת מייצרת רצף ראיות $ev_1, ev_2, …, ev_n$;
2. כל ראיה מקושרת באמצעות פונקציית hash:

$$ h_i = H(ev_i | h_{i-1}) $$

3. היריב מנסה להחליף $ev_j$ ב-$ev’_j$ מבלי לפסול את האימות הסופי.

אנו מגדירים שלמות חזקה כאשר הסתברות ההצלחה של היריב זניחה.

3.4 משפט אבטחה

אם $H$ עמידה בפני התנגשויות, אזי כל שינוי בראיה משנה את ערך ה-hash העוקב. כתוצאה מכך, יצירת שרשרת חלופית תקפה הייתה מחייבת מציאת התנגשות ב-$H$, מה שסותר את ההנחה הקריפטוגרפית.

4. מתודולוגיה

המתודולוגיה המוצעת כוללת ארבעה שלבים עיקריים:

• איסוף מובנה של טלמטריה;
• קישור קריפטוגרפי של הראיות;
• קורלציה אלגוריתמית של אירועים;
• אימות פורמלי של שרשרת הראיות.

4.1 אלגוריתם קורלציה

אנו בונים גרף מכוון:

$$ G=(V,A) $$

כאשר $V = E$ מייצג אירועים נצפים.

קשת $(ev_i, ev_j)$ מתווספת כאשר:

$$ t_i < t_j \land rel(ev_i,ev_j)=1 $$

הפונקציה $rel$ מעריכה קשרים בין אירועים על בסיס מאפיינים כגון כתובת IP, משתמש מאומת או מזהה תהליך.

4.2 מורכבות

גישה	מורכבות
השוואה מלאה	$O(n^2)$
אינדוקס לפי מפתחות	$O(n \log n)$

4.3 שימור באמצעות עצי Merkle

ראיות שנאספו במהלך פרק זמן מאוגדות בעץ Merkle.

השורש היומי הוא:

$$ R_d $$

והוא נחתם דיגיטלית:

$$ \sigma_d = Sign_{sk}(R_d) $$

אימות של ראיה דורש רק מסלול אימות באורך $\log n$.

5. מימוש

5.1 ארכיטקטורה תפעולית

הארכיטקטורה כוללת את הרכיבים הבאים:

• סוכני איסוף על מארחים;
• צינור קליטת אירועים;
• מודול hashing קריפטוגרפי;
• אחסון בלתי ניתן לשינוי התואם למדיניות WORM;
• מנוע קורלציה פורנזית.

בסביבות Linux מודרניות אנו משתמשים באינסטרומנטציה מבוססת eBPF כדי ללכוד אירועי kernel והרצות תהליכים עם עומס נמוך.

5.2 אינטגרציה עם כלי אבטחה

דוגמה לכלל YARA:

rule Suspicious_PowerShell_Encoded
{
    strings:
        $enc = "EncodedCommand"
    condition:
        $enc
}

כלל Sigma:

logsource:
  product: windows
detection:
  selection:
    EventID: 4688
    NewProcessName|contains: "powershell.exe"
  condition: selection

חתימת Suricata:

alert http any any -> any any (msg:"Possible C2 Beacon"; content:"/api/v1/beacon"; http_uri; sid:100001;)

6. הערכה ניסויית

הערכנו באופן איכותני את הארכיטקטורה על ידי השוואתה לזרימות מסורתיות של תגובה לאירועים.

6.1 מדדים

• שיהוי קליטה;
• עלות חישובית;
• יכולת גילוי של זיופים.

6.2 תוצאות השוואתיות

ארכיטקטורה	שלמות ניתנת לאימות	עלות חישובית	אימות
DFIR מסורתי	מוגבלת	נמוכה	ידני
הארכיטקטורה המוצעת	חזקה	בינונית	אוטומטי

התקורה העיקרית נובעת מחישוב ה-hash והחתימה הדיגיטלית. עם זאת, האימות נשאר יעיל בזכות השימוש בעציי Merkle.

7. מקרי בוחן

7.1 סביבה בית חולים

בבית חולים אוניברסיטאי שעבר דיגיטציה, אירוע ransomware כלל תנועה רוחבית באמצעות נתוני זיהוי שנפגעו. הארכיטקטורה אפשרה שחזור כרונולוגי של אירועים מתוך לוגים חתומים ומקורלצים.

הקישור הקריפטוגרפי הבטיח שרשומות רפואיות ולוגים של אימות לא שונו במהלך התהליך החקירתי.

7.2 רשת תעשייתית ICS

בסביבה התעשייתית שנבדקה, התקני PLC מדור קודם לא אפשרו התקנת סוכנים. מימשנו ניטור פסיבי באמצעות שיקוף תעבורה וחיישני Suricata.

לוגים שנאספו קובצו בתוך מערכת השימור הקריפטוגרפי, ואפשרו מעקב אחר פקודות Modbus חשודות.

8. דיון

היתרון העיקרי של הארכיטקטורה הוא מתן הבטחות מתמטיות לשלמות ולאותנטיות עבור ראיות דיגיטליות. הדבר מעלה את האמינות של חקירות פנימיות ושל הליכים משפטיים.

עם זאת, קיימות מגבלות רלוונטיות. התלות בסנכרון זמן אמין עשויה להכניס אי-עקביות בסביבות מבוזרות. בנוסף, המימוש דורש אינטגרציה זהירה עם צינורות הטלמטריה הקיימים.

למרות אתגרים אלה, אנו מאמינים כי שילוב של שיטות פורמליות וקריפטוגרפיה ב-DFIR מייצג התפתחות הכרחית נוכח המורכבות הגוברת של סביבות דיגיטליות.

9. מסקנה

הצגנו ארכיטקטורה המשלבת קריפטוגרפיה יישומית, שיטות פורמליות ופרקטיקות תפעוליות של DFIR. הראינו כי ניתן לבנות שרשראות משמורת ניתנות לאימות ועמידות למניפולציה מבלי לפגוע באופן משמעותי ביעילות התפעולית.

הגישה המוצעת מספקת בסיס למחקר עתידי בביקורת ניתנת לאימות, ניתוח אוטומטי של ראיות ושילוב עם סביבות של מחשוב ענן ובינה מלאכותית.

References

ABADI, M.; NEEDHAM, R. Prudent engineering practice for cryptographic protocols. IEEE Transactions on Software Engineering, 1996. Available at: https://doi.org/10.1109/32.506460

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. https://global.oup.com

BONEH, D.; SHOUP, V. A Graduate Course in Applied Cryptography. 2020. https://crypto.stanford.edu/~dabo/cryptobook/

CASEY, E. Digital Evidence and Computer Crime. 3. ed. Academic Press, 2011. https://www.elsevier.com/books/digital-evidence-and-computer-crime/casey/978-0-12-374268-1

CARRIER, B.; SPAFFORD, E. An event-based digital forensic investigation framework. Digital Investigation, 2004. https://doi.org/10.1016/j.diin.2004.05.001

CICHONSKI, P. et al. Computer Security Incident Handling Guide (NIST SP 800‑61 Rev.2). 2012. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

CLARKE, E.; GRUMBERG, O.; PELED, D. Model Checking. MIT Press, 1999. https://mitpress.mit.edu/9780262032704

DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, 1976. https://ieeexplore.ieee.org/document/1055638

HENDRYCKS, D. et al. Frontier AI Safety. 2023. https://arxiv.org/abs/2307.08774

HØILAND‑JØRGENSEN, T. et al. The eBPF ecosystem. ACM Queue, 2018. https://queue.acm.org/detail.cfm?id=3284850

KENT, K. et al. Guide to Integrating Forensic Techniques into Incident Response (NIST SP 800‑86). 2006. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M-Trends 2023 Report. 2023. https://www.mandiant.com/resources/m-trends

MEADOWS, C. The NRL Protocol Analyzer. IEEE Symposium on Security and Privacy, 1996. https://ieeexplore.ieee.org/document/502676

MERKLE, R. A Certified Digital Signature. CRYPTO 1989. https://link.springer.com/chapter/10.1007/0-387-34805-0_21

NIST. Secure Hash Standard (FIPS 180‑4). 2015. https://csrc.nist.gov/publications/detail/fips/180/4/final

NIST. Digital Signature Standard (FIPS 186‑5). 2023. https://csrc.nist.gov/publications/detail/fips/186/5/final

NIST. Post‑Quantum Cryptography Standardization Project. 2022. https://csrc.nist.gov/projects/post-quantum-cryptography

RIVEST, R. The MD5 Message‑Digest Algorithm. RFC 1321. 1992. https://www.rfc-editor.org/rfc/rfc1321

ROESCH, M. Snort: Lightweight Intrusion Detection for Networks. USENIX LISA, 1999. https://www.usenix.org

SCARFONE, K.; SOUZA, R. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. 2007. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

VERIZON. 2024 Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir

YARA Project. YARA Documentation. 2024. https://yara.readthedocs.io

SIGMA Project. Generic Signature Format for SIEM Systems. 2024. https://sigmahq.io

SURICATA Project. Suricata IDS/IPS Documentation. 2024. https://suricata.io

BEHL, A.; BEHL, K. The Security Analyst’s Guide to Incident Response. CRC Press, 2017. https://www.routledge.com

GARFINKEL, S. Digital forensics research: The next 10 years. Digital Investigation, 2010. https://doi.org/10.1016/j.diin.2010.05.009