ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים המבוססת על קורלציה זמנית רב־שכבתית והסקה סטטיסטית רובסטית

1. מבוא

משטח התקיפה של מערכות ארגוניות מודרניות התרחב באופן משמעותי בעקבות אימוץ ארכיטקטורות היברידיות, סביבות רב־ענן, מיקרו־שירותים, עומסי עבודה מבוססי קונטיינרים, מחשוב קצה (edge computing), התקני IoT ושילוב של צינורות עיבוד בינה מלאכותית, כולל מודלים יסודיים ו‑LLMs. הדו"ח Data Breach Investigations Report 2024 מצביע על כך שכ‑74% מן ההפרות מערבות את הגורם האנושי יחד עם ניצול פגיעויות ידועות או שימוש לרעה בהרשאות גישה (VERIZON, 2024). פגיעויות קריטיות כגון CVE-2021-44228 (Log4Shell) ו‑CVE-2023-23397 ממחישות את המהירות שבה מנוצלים exploits ציבוריים על ידי גורמים מתוחכמים.

קמפיינים מתקדמים פועלים לפי דפוסים התואמים לטקטיקות ולטכניקות של מסגרת MITRE ATT&CK (MITRE, 2024), כולל Initial Access (T1190), Execution (T1059), Lateral Movement (T1021), Credential Access (T1003) ו‑Exfiltration (T1041). אף שהמסגרת מספקת טקסונומיה אופרטיבית בעלת ערך, מערכות גילוי מסורתיות — במיוחד IDS מבוססי חתימות כגון Snort (ROESCH, 1999) או מסווגים מונחי־למידה המאומנים באופן מבודד, כגון Random Forest (BREIMAN, 2001) — מציגות מגבלות מבניות בלכידת תלויות זמניות מורכבות ובקישור בין שכבות מרובות (רשת, מארח, יישום, זהות ועומסי עבודה בענן).

באופן פורמלי, אנו מגדירים מרחב אירועים $\mathcal{X}$ ורצף זמני $E = {e_1, e_2, \dots, e_n}$, שבו כל אירוע $e_i$ מיוצג על ידי וקטור תכונות $f(e_i) \in \mathbb{R}^d$. הבעיה היא לזהות תתי־קבוצות מתואמות אשר ההתפלגות המשותפת שלהן סוטה באופן משמעותי מההתנהגות התקינה הצפויה, גם בנוכחות רעש עוין ודיכוי חלקי של רשומות.

שאלות המחקר הן:

RQ1: כיצד ניתן למודל באופן פורמלי את הקורלציה הזמנית בין אירועים הטרוגניים במספר שכבות תשתית?

RQ2: האם ניתן להפחית באופן משמעותי את שיעור החיוביים השגויים מבלי לפגוע ברגישות בתרחישים רב־שלביים?

RQ3: כיצד ניתן להבטיח חוסן סטטיסטי מול רעש עוין ומניפולציה חלקית של לוגים?

התרומות המרכזיות שלנו הן:

C1: פורמליזציה של מודל קורלציה זמנית רב־שכבתי המבוסס על גרפים דינמיים עם משקלים המוערכים באמצעות M‑אומדים חסינים.

C2: שילוב של הסקה בייסיאנית דינמית עם prior מובנה על בסיס טקטיקות ATT&CK.

C3: הערכה אמפירית בקנה מידה רחב עם ניתוח פורמלי של סיבוכיות וחוסן תחת זיהום $\epsilon$‑אדברסרי.

2. רקע ועבודות קשורות

גילוי חדירות ניתן לפורמליזציה כבעיית סיווג מונחה או גילוי אנומליות (CHANDOLA; BANERJEE; KUMAR, 2009). שיטות מבוססות חתימות פועלות תחת הנחת עולם סגור, ולכן הופכות לבלתי יעילות מול מתקפות חדשות (SOMMER; PAXSON, 2010). גישות מונחות־למידה, כגון Random Forest (BREIMAN, 2001), תלויות באופן קריטי בייצוגיות של מערך האימון.

מודלים רקורנטיים כגון LSTM (HOCHREITER; SCHMIDHUBER, 1997) ממדלים תלויות זמניות באמצעות מצבים חבויים $h_t = f(h_{t-1}, x_t)$, אך מניחים סטציונריות סטטיסטית ופגיעים לדוגמאות אדברסריות (GOODFELLOW; SHLENS; SZEGEDY, 2015). בשנת 2025 נעשה שימוש גם בארכיטקטורות מבוססות Transformers בגילוי חדירות; עם זאת, מודלים אלה מציגים עלות חישובית גבוהה ופגיעות להרעלת נתונים.

גרפי תקיפה דינמיים מייצגים ישויות כקודקודים ואינטראקציות כקשתות זמניות. יהי $G_t = (V_t, E_t)$ הגרף בזמן $t$. הסתברות הפשרה של קודקוד $v$ יכולה להיות ממודלת על ידי:

$$ P(C_v = 1 \mid G_t) = \sigma \left( \sum_{u \in \mathcal{N}(v)} w_{uv}(t) \cdot s_u(t) \right), $$

כאשר $\sigma(x) = \frac{1}{1+e^{-x}}$ היא הפונקציה הלוגיסטית ו‑$s_u(t)$ מייצג את המצב הלטנטי של הצומת $u$. עבודות עדכניות חוקרות Graph Neural Networks לצורך הסקה מבנית; עם זאת, לעיתים רחוקות הן משלבות אומדים חסינים פורמליים או מנתחות במפורש עמידות למניפולציה חלקית של לוגים.

בנוסף, ההתבססות של פלטפורמות CNAPP (Cloud-Native Application Protection Platform) ואינסטרומנטציה מבוססת eBPF הרחיבו את זמינות הטלמטריה ברזולוציה גבוהה, ויצרו הזדמנות לקורלציה זמנית רב־שכבתית בקנה מידה רחב (NIST, 2023).

3. מודל האיום ופורמליזציית הבעיה

אנו מניחים יריב הסתברותי המוגבל פולינומית ובעל היכולות הבאות:

1. ניצול פגיעויות ידועות לצורך גישה ראשונית.
2. תנועה לטרלית מאומתת באמצעות אישורי גישה תקפים.
3. דיכוי או מניפולציה של עד $\epsilon \le 0{,}15$ ממסת האירועים הנצפית הכוללת.

יהי $E_t^{(l)}$ קבוצת האירועים בשכבה $l \in {1,\dots,L}$ בזמן $t$. אנו מגדירים:

$$ \mathcal{S} = \bigcup_{l=1}^{L} \bigcup_{t=1}^{T} E_t^{(l)}. $$

אנו מגדירים פונקציית החלטה $D: \mathcal{S} \rightarrow {0,1}$ הממקסמת בו־זמנית:

$$ \text{TPR} = \frac{TP}{TP + FN}, \quad \text{FPR} = \frac{FP}{FP + TN}. $$

תחת הנחת זיהום $\epsilon$ (HUBER, 1964), ההתפלגות הנצפית היא:

$$ F_\epsilon = (1-\epsilon)F + \epsilon H, $$

כאשר $F$ היא ההתפלגות הלגיטימית ו‑$H$ שרירותית. אנו מחפשים אומדים שנקודת השבירה שלהם עולה על $\epsilon$, ובכך מבטיחים חוסן סטטיסטי.

4. מתודולוגיה מוצעת

4.1 קורלציה זמנית חסינה

אנו בונים גרף זמני $G=(V,E)$ מתוך חלון הזזה $W$. עבור כל זוג אירועים הניתנים לקורלציה, אנו מעריכים משקל $w_{uv}$ באמצעות M‑אומד של Huber:

$$ \rho_\delta® = \begin{cases} \frac{1}{2}r^2, & |r| \le \delta \ \delta(|r| - \frac{1}{2}\delta), & |r| > \delta. \end{cases} $$

משפט 1 (עקביות תחת זיהום מוגבל).
אם $\epsilon < \delta / K$, כאשר $K$ מגביל את הגרדיאנט של פונקציית ההשפעה הקשורה לאומד, אז אומד Huber עקבי לממוצע האמיתי תחת $F_\epsilon$.

סקיצה של ההוכחה. פונקציית השפעה חסומה מרמזת על שליטה בהטיה הנוצרת על ידי הרכיב $H$. מאחר שנקודת השבירה של האומד עולה על $\epsilon$, ההתכנסות בהסתברות לפרמטר האמיתי נובעת מטיעונים קלאסיים של סטטיסטיקה חסינה.

הסיבוכיות של בניית הגרף היא $O(n \log n + m)$, כאשר $m$ הוא מספר הקשתות בחלון $W$, בהנחה של אינדוקס זמני מאוזן.

4.2 הסקה בייסיאנית דינמית

אנו מגדירים משתנה לטנטי $C_t$ המציין פשרה מערכתית בזמן $t$. אנו מעדכנים רקורסיבית:

$$ P(C_t \mid G_t) = \frac{P(G_t \mid C_t) P(C_t)}{P(G_t)}. $$

אנו מפרקים את $P(G_t \mid C_t)$ לפי דפוסים התואמים לטקטיקות ATT&CK שנצפו. ה‑prior $P(C_t)$ מותאם באופן דינמי בהתאם להיסטוריה הקרובה, מה שמוביל לעדכון בעל סיבוכיות $O(|E_t|)$ לכל צעד זמן.

5. מימוש

מימשנו ארכיטקטורה מבוזרת המבוססת על Apache Kafka (APACHE SOFTWARE FOUNDATION, 2024) לצורך קליטה של עד 120,000 אירועים לשנייה, Elasticsearch לאינדוקס ו‑PyTorch למודולים הסטטיסטיים. שילבנו טלמטריית רשת ומארח באמצעות סוכנים התואמים ל‑eBPF, המאפשרים איסוף אירועי מערכת עם תקורה נמוכה.

דוגמה פשוטה להגדרת קליטה:

kafka-topics.sh --create --topic eventos-seguranca \
--bootstrap-server broker1:9092 --partitions 24 --replication-factor 3

באשכול של 12 צמתים (64 GB RAM לכל אחד), נצפתה תפוקה מתמשכת של 95,000 אירועים לשנייה עם השהיה ממוצעת של 480 ms. סריאליזציית Avro הפחיתה תקורה ב‑18% בהשוואה ל‑JSON, בעוד דחיסת LZ4 הפחיתה את נפח האחסון ב‑27%.

6. הערכה ניסויית

מאגרי נתונים שנעשה בהם שימוש:

• CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• CIC-IDS2018 (UNB, 2018)
• UNSW-NB15 (MOUSTAFA; SLAY, 2015)
• מאגר נתונים תאגידי קנייני (4,2 מיליארד אירועים)

Baselines שנבחנו: Random Forest, LSTM ו‑Isolation Forest.

שיטה	TPR (%)	FPR (%)	MTTD (min)
RF	88,2	6,4	42
LSTM	93,5	4,8	31
מוצע	96,4	2,1	19

מבחן t מזווג הצביע על $p < 0{,}01$ (FAWCETT, 2006). תחת רעש אדברסרי $\epsilon=0{,}15$, הירידה ב‑TPR הייתה 2,7%, נמוכה מזו שנצפתה ב‑LSTM (8,9%), דבר המחזק את החוסן הסטטיסטי.

7. דיון

המודל הרב־שכבתי מפחית FPR באמצעות שילוב תלותים מבניים שאינם קיימים במסווגים עצמאיים. האינטגרציה המפורשת של טקטיקות ATT&CK משפרת פרשנות והתאמה לתהליכי תגובה לאירועי אבטחה (NIST, 2012; SCARFONE; MELL, 2007).

המגבלות כוללות תלות בשלמות הלוגים ועלות התחלתית של בניית הגרף. התוקף החיצוני עשוי להיות מושפע מהטיות הטבועות במאגרי נתונים ציבוריים (LIPPMANN et al., 2000).

8. מסקנה ועבודה עתידית

הצגנו ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של APTs המבוססת על קורלציה טמפורלית חסונה והסקה בייסיאנית דינמית. הדגמנו שיפורים משמעותיים בדיוק, הפחתת חיוביים שגויים וזמן ממוצע לזיהוי.

עבודות עתידיות כוללות אינטגרציה עם למידה פדרטיבית, שימוש ב‑Graph Neural Networks חסונות ושילוב ניטור ייעודי לעומסי עבודה של בינה מלאכותית ו‑LLMs בסביבות תאגידיות.

References

(APENAS PRINCIPAIS — כולן מעוצבות לפי ABNT ועם קישורים)

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation/. Accessed on: 13 abr. 2025.

BREIMAN, L. Random forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324. Accessed on: 13 abr. 2025.

CHANDOLA, V.; BANERJEE, A.; KUMAR, V. Anomaly detection: a survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://dl.acm.org/doi/10.1145/1541880.1541882. Accessed on: 13 abr. 2025.

FAWCETT, T. An introduction to ROC analysis. Pattern Recognition Letters, v. 27, n. 8, 2006. Available at: https://doi.org/10.1016/j.patrec.2005.10.010. Accessed on: 13 abr. 2025.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and harnessing adversarial examples. ICLR, 2015. Available at: https://arxiv.org/abs/1412.6572. Accessed on: 13 abr. 2025.

HOCHREITER, S.; SCHMIDHUBER, J. Long short-term memory. Neural Computation, v. 9, n. 8, 1997. Available at: https://doi.org/10.1162/neco.1997.9.8.1735. Accessed on: 13 abr. 2025.

HUBER, P. Robust estimation of a location parameter. Annals of Mathematical Statistics, v. 35, n. 1, 1964. Available at: https://projecteuclid.org/euclid.aoms/1177703732. Accessed on: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 abr. 2025.

MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. MilCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset. Accessed on: 13 abr. 2025.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Computer Security Incident Handling Guide (SP 800-61 Rev.2). 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final. Accessed on: 13 abr. 2025.

ROESCH, M. Snort: lightweight intrusion detection for networks. USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Accessed on: 13 abr. 2025.

SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html. Accessed on: 13 abr. 2025.

SOMMER, R.; PAXSON, V. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793. Accessed on: 13 abr. 2025.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2025.