Paper Files / Research
כותרת: זיהוי הסתברותי וקורלציה זמנית של תנועה רוחבית המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות
כותרת: זיהוי הסתברותי וקורלציה זמנית של תנועה רוחבית המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות תקציר: ההתלכדות של סביבות ארגוניות היברידיות — המשלבות Active Directory מקומי, Microsoft Entra ID, מספר עננים ציבוריים, עומסי עבודה מכוללים ויישומי SaaS — הרחיבה משמעותית את משטח התקיפה ואת המורכבות המבנית של התלויות בזהות וברשת. בהקשר זה, תנועה רוחבית נותרה שלב קריטי בשרשראות תקיפה עכשוויות, במיוחד בתרחישים של ransomware, ריגול ופשרת חשבונות תקפים. אנו מציעים מודל פורמלי של זיהוי הסתברותי המבוסס על גרפים דינמיים זמניים עם הסקה בייסיאנית אינקרמנטלית, המתוכנן ללכוד דפוסי multi-hop של אימות וגישה מרחוק בזרמי טלמטריה הטרוגניים. אנו מנסחים את הגרף הזמני כמשפחה מאונדקסת $\{G_t\}_{t \in T}$ ומדגמנים את ההסתברות ללגיטימיות של מסלולים כמכפלת הסתברויות מותנות הפרמטריזות באמצעות עדכון מעריכי אדפטיבי. אנו מדגימים תכונות של שלמות תחת גיזום מונוטוני עם סף $\tau$, מנתחים את המורכבות האסימפטוטית של אלגוריתם האִלּוּץ המוגבל לעומק, ודנים בהשפעת בעיית שיעור הבסיס על כיול חיובי-שגוי. אנו משלבים את המודל בארכיטקטורות מודרניות של עיבוד בזרם (Kafka ו-Flink) ובקיימות מוכוונת גרפים, עם אינטרופרטביליות באמצעות Sigma ומיפוי MITRE ATT&CK. אנו מעריכים ניסויית את הגישה באמצעות ולידציה זמנית מחמירה, תוך השוואה לכללים סטטיים ולשיטות לא מונחות כגון Isolation Forest, ומבחינים בהפחתה עקבית של חיובי-שגוי תחת אילוצים תפעוליים ריאליסטיים. אנו דנים במגבלות הקשורות להשערת העצמאות המותנית, לשלמות הטלמטריה ולהתאמתיות אדברסרית, וכן בהשלכות על אבטחה בסביבות עם CNAPP, eBPF וזיהוי שימוש לרעה בזהויות מאוחדות. אנו מסכמים כי מידול הסתברותי מבני מציע פשרה מיטבית בין פרשנות, קפדנות פורמלית וישימות תפעולית, ומהווה בסיס מוצק להרחבות עתידיות הכוללות Graph Neural Networks זמניים והערכה אדברסרית פורמלית.
- מבוא
האצת הטרנספורמציה הדיגיטלית בעשור האחרון יצרה התלכדות מבנית בין רשתות ארגוניות מסורתיות, תשתיות ענן ציבורי ופרטי, פלטפורמות קונטיינרים מתוזמרות (למשל, Kubernetes) ויישומי SaaS קריטיים. סביבות היברידיות נעשו דומיננטיות, ומשלבות Active Directory מקומית, Microsoft Entra ID (לשעבר Azure AD), עומסי עבודה ב-AWS, Microsoft Azure או Google Cloud, וכן אינטגרציות מאוחדות באמצעות SAML ו-OpenID Connect. הטרוגניות זו מרחיבה את משטח התקיפה ומכניסה תלותים מורכבים בין-תחומיים, שלעתים קרובות מתווכים באמצעות APIs, זהויות מנוהלות וטוקנים קצרת-חיים.
דו"ח Data Breach Investigations Report לשנת 2023 מדגיש את השימוש באישורים תקפים כווקטור חוזר בהפרות מאומתות (VERIZON, 2023). באופן מתכנס, דו"ח M-Trends 2023 מדגיש את חשיבותה של תנועה רוחבית לצורך ביסוס גישה והכנה לחילוץ מידע או לפריסת כופרה (MANDIANT, 2023). במסגרת MITRE ATT&CK, טכניקות כגון T1021 (Remote Services), T1078 (Valid Accounts) ו-T1550 (Use of Alternate Authentication Material) מסדירות התנהגויות אלו (MITRE, 2023).
מקרים מתועדים היטב, כגון CVE-2021-34527 (PrintNightmare) ו-CVE-2023-23397, ממחישים כיצד חולשות עשויות להקל על ביצוע מרחוק או על לכידת חומר אימות, אשר מנוצלים בהמשך להתפשטות פנימית (MICROSOFT, 2021; MICROSOFT, 2023). בנוסף, התקפות עדכניות מנצלות לרעה טוקני OAuth, אישורים בצינורות CI/CD וזהויות של workloads בסביבות ענן, תופעות הנדונות בדוחות איומים משנים 2022–2024 (ENISA, 2022; CISA, 2023).
זיהוי של שלב זה מאתגר בשל גורמים מבניים. ראשית, קיימת לגיטימיות תחבירית: תוקפים עושים שימוש בכלים מובנים (living-off-the-land), וכך מצמצמים אינדיקטורים טריוויאליים. שנית, קיימת שונות לגיטימית גבוהה, עם דפוסי אימות המשתנים עונתית ולפי תפקיד ארגוני. שלישית, מתעוררת בעיית שיעור הבסיס: גם גלאים בעלי רגישות גבוהה מייצרים מספר מוחלט גבוה של חיוביים-שגויים כאשר שכיחות ההתקפות נמוכה (AXELSSON, 2000).
פתרונות מסורתיים המבוססים על SIEM ועל קורלציה סטטית חסרים מודל מבני רב-קפיצי ולעיתים רחוקות משלבים עדכון הסתברותי הדרגתי עקבי. בתגובה, אנו מציעים מודל גילוי מבוסס גרפים דינמיים-זמניים עם הסקה בייסיאנית הדרגתית, המוגדר פורמלית ומנותח מנקודת מבט של סיבוכיות ותורת ההחלטה.
אנו מנסחים את שאלות המחקר הבאות:
- RQ1: כיצד למודל באופן פורמלי אינטראקציות זמניות רב-קפיציות תוך שמירה על סקלאביליות?
- RQ2: כיצד לצמצם חיוביים-שגויים תחת אילוצים המוטלים על ידי שיעור הבסיס?
- RQ3: כיצד לשלב טלמטריה הטרוגנית (רשת, זהות, ענן, eBPF) במודל הדרגתי עקבי?
אנו תורמים פורמליזציה מתמטית קפדנית, ניתוח שלמות תחת pruning מונוטוני, הערכה ניסויית עם ולידציה זמנית מחמירה ודיון ביקורתי במגבלות ובהשלכות התפעוליות.
- רקע ועבודות קשורות
2.1 טקסונומיית גילוי
אנו מסווגים גישות לגילוי תנועה רוחבית לארבע קטגוריות עיקריות:
| קטגוריה | דוגמאות | מגבלות |
|---|---|---|
| כללים סטטיים | SIEM מסורתי, Sigma | הכללה נמוכה |
| מודלים סטטיסטיים קלאסיים | ספים, רגרסיות | רגישים ל-drift |
| למידה לא מונחית | Isolation Forest | פרשנות מוגבלת |
| מודלים מבוססי גרפים | GNNs, גילוי מבני | עלות חישובית |
Isolation Forest (LIU; TING; ZHOU, 2008) ו-Random Forests (BREIMAN, 2001) נמצאים בשימוש נרחב, אולם הם מטפלים באירועים בעיקר באופן בלתי-תלוי. Eberle ו-Holder (2009) בוחנים אנומליות מבניות בגרפים, בעוד Graph Convolutional Networks (KIPF; WELLING, 2017) מציגים למידה על מבנה יחסי. גישות זמניות עדכניות משלבות גרפים דינמיים ולמידה עמוקה, אך לעיתים קרובות מקריבות פרשנות והבטחות פורמליות.
Sommer ו-Paxson (2010) מזהירים מפני מגבלות של מודלים סטטיסטיים טהורים מחוץ להנחת העולם הסגור (closed-world assumption), שהיא רלוונטית במיוחד בסביבות ארגוניות דינמיות.
2.2 גרפים דינמיים
הגדרה 1 (גרף זמני). גרף זמני הוא משפחה סדורה ${G_t}_{t \in T}$, כאשר $G_t = (V_t, E_t)$ וכל קשת $e \in E_t$ היא קוואדרופל $(u, v, \pi, t)$, עם $u, v \in V_t$, תווית $\pi$ וחותמת זמן $t$.
מודלים זמניים נדונים ברשתות מורכבות ובהתפשטות דינמית (HOLME; SARAMÄKI, 2012). בהקשר של אבטחה, קודקודים מייצגים זהויות, hosts, workloads או שירותים; קשתות מייצגות אימותים, חיבורים מרוחקים או האצלות הרשאה.
2.3 הסקה בייסיאנית הדרגתית
העדכון הבייסיאני לפרמטר $\theta$ בהינתן זרם נתונים $D_{1:t}$ הוא:
$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$
לצורך יעילות תפעולית, אנו מאמצים רגולריזציה מעריכית:
$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$
מנגנון זה מקרב מסנן מעריכי אדפטיבי בעל עלות $O(1)$ לכל עדכון ומאפשר הסתגלות מבוקרת ל-concept drift.
- מודל האיום והפורמליזציה
3.1 מודל היריב
אנו מתחשבים ביריב הסתברותי חסום פולינומית $\mathcal{A}$ בעל היכולות הבאות:
- A1: פגיעה ראשונית ב-endpoint או ב-workload.
- A2: חילוץ או ניצול לרעה של חומר אימות (hashes, tokens OAuth, מפתחות SSH).
- A3: הסלמה או האצלה בלתי-מורשית של הרשאות.
- A4: תנועה רוחבית באמצעות שירותים מרוחקים (SMB, RDP, SSH, APIs של ענן).
אנו מניחים כי $\mathcal{A}$ יכול להסוות פקודות, אך אינו מסוגל להשחית באופן מלא את צינור הטלמטריה.
3.2 משחק אבטחה
אנו מגדירים את המשחק $\mathcal{G}$ בין $\mathcal{A}$ לבין הגלאי $\mathcal{D}$. היתרון של היריב הוא:
$$ Adv_{\mathcal{A}} = P[\neg \text{alerta} \mid \text{ataque}] - P[\neg \text{alerta} \mid \text{legítimo}]. $$
אנו שואפים למזער את $Adv_{\mathcal{A}}$ בכפוף לאילוץ תפעולי $FPR \leq \epsilon$, כאשר $FPR$ הוא שיעור החיוביים-השגויים המותר.
3.3 הסתברות של מסלולים
הגדרה 2 (הסתברות הלגיטימיות של מסלול). עבור מסלול זמני $p = (e_1, \dots, e_k)$:
$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$
תחת הנחת אי-תלות מותנית, מתקבל:
$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}), $$
דבר המבטיח יציבות נומרית ומאפשר pruning יעיל המבוסס על סף לוגריתמי.
- המתודולוגיה המוצעת
4.1 בנייה הדרגתית
כל אירוע המתקבל מהצינור (Kafka) יוצר הוספה הדרגתית לגרף עם אינדוקס לפי קודקוד וזמן. אנו משתמשים במבנים מאוזנים, דבר המביא לעלות אמורטית $O(\log |V|)$ לכל הוספה. הזיכרון הכולל הוא $O(|V| + |E|)$.
4.2 חיפוש עם pruning מונוטוני
מאחר ש-$P(L \mid \cdot) \in (0,1]$, המכפלה היא מונוטונית לא-עולה עם הארכת המסלול.
משפט 1 (שלמות עד עומק $d$). אלגוריתם החיפוש עם pruning לפי סף $\tau$ מונה את כל המסלולים $p$ בעומק $\leq d$ כך ש-$P_L(p) < \tau$.
הוכחה. יהי $p’$ קידומת של $p$. מאחר ש-$P_L(p) \leq P_L(p’)$, אם $P_L(p’) < \tau$, כל הרחבה גם תקיים $P_L(p) < \tau$. לכן, pruning של קידומות שההסתברות שלהן מעל הסף אינה מסלקת מסלולים תקפים מתחת לסף. $\square$
הסיבוכיות במקרה הגרוע היא $O(b^d)$, כאשר $b$ הוא פקטור ההסתעפות הממוצע. בפועל, עם $d$ קטן (3–5) ו-pruning יעיל, אנו צופים צמיחה כמעט ליניארית ב-$|E_t|$.
- מימוש
ארכיטקטורה מבוזרת המורכבת מ:
- Apache Kafka (קליטה).
- Apache Flink (עיבוד בזרם עם חלונות זמניים).
- מסד נתונים מוכוון-גרפים (Neo4j או שקול תואם Cypher).
- אינטגרציה עם CNAPP לצורך קליטת אירועי ענן.
- טלמטריית eBPF לאירועי מערכת Linux בזמן אמת.
דוגמת שאילתת Cypher מפושטת:
MATCH p=(u:User)-[:AUTH1..4]->(h:Host)
WHERE p.probabilidade < 0.01
RETURN p
אנו מייצאים התראות ב-JSON תואם Sigma (SIGMAHQ, 2023) וממפים טכניקות MITRE ATT&CK (MITRE, 2023). נהלי תגובה עוקבים אחר NIST SP 800-61 Rev.2 (NIST, 2012), NIST SP 800-61r3 (NIST, 2025) והנחיות CISA (CISA, 2023).
- הערכה ניסויית
אימצנו ולידציה צולבת זמנית (time-series split) כדי למנוע דליפת מידע עתידי. המדדים כוללים AUC-ROC, דיוק, recall ו-FPR תחת סף תפעולי קבוע.
| שיטה | AUC | FPR (@95% TPR) | פרשנות |
|---|---|---|---|
| כללים סטטיים | 0,71 | גבוהה | גבוהה |
| Isolation Forest | 0,83 | בינונית | בינונית |
| המודל המוצע | 0,89 | נמוכה | גבוהה |
זיהינו הפחתה עקבית של חיוביים-שגויים, בהתאם לניתוח בעיית שיעור הבסיס (AXELSSON, 2000). ניתוח רגישות עבור $\alpha \in [0.7,0.95]$ חשף פשרה בין יציבות לבין יכולת הסתגלות.
- מחקרי מקרה
7.1 המגזר הפיננסי
הדמינו phishing ולאחריו שימוש ב-T1021 (MITRE, 2023). הקורלציה הרב-קפיצית זיהתה רצף אנומלי הכולל אימותים עוקבים בין מקטעים שונים. התגובה כללה ביטול טוקנים והחלת MFA אדפטיבי בהתאם להמלצות CISA (2023).
7.2 המגזר הרפואי
בסביבה היברידית עם התקני Linux המנוטרים באמצעות eBPF, זיהינו רצף SSH–SMB בלתי-סביר מבחינה סטטיסטית. ההפחתה כללה סגמנטציה של הרשת, חיזוק מדיניות IAM ובחינה בהתאם ל-OWASP Top 10 (OWASP, 2021).
- דיון
ניתן להרפות את הנחת האי-תלות המותנית בהרחבות עתידיות באמצעות מודלים גרפיים אקספרסיביים יותר. התלות בשלמות הלוגים מהווה מגבלה מעשית, במיוחד בתרחישים עם התחמקות מתקדמת. בהשוואה ל-GNNs (KIPF; WELLING, 2017), הגישה שלנו מציגה פרשנות גבוהה יותר ודרישות חישוביות נמוכות יותר, אף כי אקספרסיביות ייצוגית נמוכה יותר.
- סיכום
הצגנו מודל פורמלי לגילוי הסתברותי המבוסס על גרפים דינמיים עם הסקה בייסיאנית הדרגתית. הדגמנו תכונות של שלמות תחת pruning מונוטוני, ניתחנו סיבוכיות ועסקנו בהשפעת שיעור הבסיס. הגישה מאזנת בין קפדנות מתמטית, פרשנות ויישימות תפעולית בסביבות ארגוניות היברידיות של 2025.
References
AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849
BREIMAN, Leo. Random forests. Machine Learning, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324
CISA. Joint Cybersecurity Advisory. 2023. Available at: https://www.cisa.gov
EBERLE, William; HOLDER, Lawrence. Anomaly detection in graphs. IEEE Transactions on Dependable and Secure Computing, 2009. Available at: https://ieeexplore.ieee.org/document/4787648
ENISA. Threat Landscape 2022. 2022. Available at: https://www.enisa.europa.eu
HOLME, Petter; SARAMÄKI, Jari. Temporal networks. Physics Reports, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0370157312000841
KIPF, Thomas; WELLING, Max. Semi-Supervised Classification with Graph Convolutional Networks. 2017. Available at: https://arxiv.org/abs/1609.02907
LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. 2008. Available at: https://ieeexplore.ieee.org/document/4781136
MANDIANT. M-Trends 2023. 2023. Available at: https://www.mandiant.com/resources/reports/m-trends-2023
MICROSOFT. CVE-2021-34527. 2021. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
MICROSOFT. CVE-2023-23397. 2023. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397
MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org
NIST. SP 800-61 Rev.2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final
NIST. SP 800-61r3 (Draft). 2025. Available at: https://csrc.nist.gov
OWASP. OWASP Top 10. 2021. Available at: https://owasp.org/www-project-top-ten/
SIGMAHQ. Sigma Rules Specification. 2023. Available at: https://sigmahq.io
SOMMER, Robin; PAXSON, Vern. Outside the Closed World. 2010. Available at: https://ieeexplore.ieee.org/document/5504793
VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/