Paper Files / Research
כותרת: זיהוי הסתברותי וקורלציה טמפורלית של תנועה רוחבית מבוססת גרפים דינמיים בסביבות ארגוניות היברידיות
כותרת: זיהוי הסתברותי וקורלציה טמפורלית של תנועה רוחבית מבוססת גרפים דינמיים בסביבות ארגוניות היברידיות תקציר: האיחוד של סביבות ארגוניות היברידיות — המשלבות Active Directory מקומי, Microsoft Entra ID, מספר עננים ציבוריים, עומסי עבודה קונטיינריים ויישומי SaaS — הרחיב באופן משמעותי את משטח התקיפה ואת המורכבות המבנית של תלויות זהות ורשת. בהקשר זה, תנועה רוחבית נותרת שלב קריטי בשרשראות תקיפה עכשוויות, במיוחד בתרחישים של ransomware, ריגול ופשרה של חשבונות תקפים. אנו מציעים מודל פורמלי לזיהוי הסתברותי המבוסס על גרפים דינמיים טמפורליים עם היסק בייסיאני אינקרמנטלי, שנועד ללכוד דפוסים מרובי-קפיצות של אימות וגישה מרחוק בזרמי טלמטריה הטרוגניים. אנו מנסחים את הגרף הטמפורלי כמשפחה מאונדקסת $\{G_t\}_{t \in T}$ ומדמים את ההסתברות ללגיטימיות של מסלולים כמכפלה של הסתברויות מותנות הממופתחות על ידי עדכון מעריכי אדפטיבי. אנו מדגימים תכונות של שלמות תחת גיזום מונוטוני עם סף $\tau$, מנתחים את הסיבוכיות האסימפטוטית של אלגוריתם מניית העומק המוגבל, ודנים בהשפעת בעיית שיעור הבסיס על כיול חיוביים שגויים. אנו משלבים את המודל בארכיטקטורות מודרניות של עיבוד בזרימה (Kafka ו-Flink) ובקיום ממוקד-גרפים, עם תאימות הדדית באמצעות Sigma ומיפוי MITRE ATT&CK. אנו מעריכים ניסויית את הגישה עם ולידציה טמפורלית מחמירה, ומשווים אותה לכללים סטטיים ולשיטות לא-מונחות כגון Isolation Forest, תוך התבוננות בירידה עקבית בחיוביים שגויים תחת מגבלות תפעוליות מציאותיות. אנו דנים במגבלות הקשורות להנחת העצמאות המותנית, לשלמות הטלמטריה ולהסתגלות יריבה, וכן בהשלכות עבור אבטחה בסביבות עם CNAPP, eBPF וזיהוי של שימוש לרעה בזהויות מאוחדות. אנו מסכמים כי מידול הסתברותי מבני מציע פשרה חיובית בין פרשנות, קפדנות פורמלית וישימות תפעולית, ומהווה בסיס מוצק להרחבות עתידיות הכוללות Graph Neural Networks טמפורליות והערכה יריבה פורמלית.
- מבוא
הטרנספורמציה הדיגיטלית שהועצמה בעשור האחרון יצרה התכנסות מבנית בין רשתות ארגוניות מסורתיות, תשתיות ענן ציבורי ופרטי, פלטפורמות קונטיינרים מתוזמנות (למשל, Kubernetes) ויישומי SaaS קריטיים. סביבות היברידיות הפכו לדומיננטיות, ומשלבות Active Directory מקומי, Microsoft Entra ID (לשעבר Azure AD), עומסי עבודה ב-AWS, Microsoft Azure או Google Cloud, וכן אינטגרציות מאוחדות באמצעות SAML ו-OpenID Connect. הטרוגניות זו מרחיבה את משטח התקיפה ומכניסה תלותיות בין-דומייניות מורכבות, שלעתים קרובות מתווכות באמצעות APIs, זהויות מנוהלות ואסימוני זמן-חיים קצרים.
דוח ה-Data Breach Investigations Report לשנת 2023 מדגיש את השימוש באישורים תקפים כוקטור חוזר בהפרות מאומתות (VERIZON, 2023). באופן מתכנס, הדוח M-Trends 2023 מדגיש את הרלוונטיות של תנועה רוחבית לצורך ביסוס גישה והכנה להוצאה החוצה של נתונים או לפריסת ransomware (MANDIANT, 2023). במסגרת MITRE ATT&CK, טכניקות כגון T1021 (Remote Services), T1078 (Valid Accounts) ו-T1550 (Use of Alternate Authentication Material) מְסַדְּרוֹת התנהגויות אלו (MITRE, 2023).
מקרים המתועדים בהרחבה, כגון CVE-2021-34527 (PrintNightmare) ו-CVE-2023-23397, מדגימים כיצד חולשות עשויות להקל על ביצוע מרחוק או על לכידת חומר אימות, אשר לאחר מכן מנוצלים להתפשטות פנימית (MICROSOFT, 2021; MICROSOFT, 2023). בנוסף, מתקפות עדכניות מנצלות שימוש לרעה באסימוני OAuth, באישורים בצינורות CI/CD ובזהויות של workloads בסביבות ענן — תופעות הנדונות בדוחות איומים לשנים 2022–2024 (ENISA, 2022; CISA, 2023).
זיהוי של שלב זה הוא מאתגר בשל גורמים מבניים. ראשית, קיימת לגיטימיות תחבירית: תוקפים משתמשים בכלים מקומיים (living-off-the-land), ובכך מצמצמים אינדיקטורים טריוויאליים. שנית, קיימת שונות לגיטימית גבוהה, עם דפוסי אימות המשתנים עונתית ובהתאם לתפקיד הארגוני. שלישית, מתעוררת בעיית שיעור הבסיס: אפילו גלאים בעלי רגישות גבוהה מייצרים מספר מוחלט גבוה של חיוביים-שגויים כאשר שכיחות ההתקפות נמוכה (AXELSSON, 2000).
פתרונות מסורתיים המבוססים על SIEM וקורלציה סטטית חסרים מידול מבני רב-קפיצי, ולעיתים נדירות משלבים עדכון הסתברותי אינקרמנטלי עקבי. בתגובה, אנו מציעים מודל זיהוי מבוסס גרפים דינמיים-זמניים עם הסקה בייזיאנית אינקרמנטלית, המוגדר ומנותח באופן פורמלי מנקודת מבט של מורכבות ותורת ההחלטות.
אנו מנסחים את שאלות המחקר הבאות:
- RQ1: כיצד למודל באופן פורמלי אינטראקציות זמניות רב-קפיציות תוך שמירה על סקלביליות?
- RQ2: כיצד למזער חיוביים-שגויים תחת מגבלות שמטיל שיעור הבסיס?
- RQ3: כיצד לשלב טלמטריה הטרוגנית (רשת, זהות, ענן, eBPF) במודל אינקרמנטלי עקבי?
אנו תורמים פורמליזציה מתמטית קפדנית, ניתוח של שלמות תחת גיזום מונוטוני, הערכה ניסויית עם ולידציה זמנית מחמירה, ודיון ביקורתי במגבלות ובהשלכות התפעוליות.
- רקע ועבודות קשורות
2.1 טקסונומיית זיהוי
אנו מסווגים גישות לזיהוי תנועה רוחבית לארבע קטגוריות עיקריות:
| קטגוריה | דוגמאות | מגבלות |
|---|---|---|
| כללים סטטיים | SIEM מסורתי, Sigma | הכללה נמוכה |
| מודלים סטטיסטיים קלאסיים | ספים, רגרסיות | רגישים ל-drift |
| למידה לא מפוקחת | Isolation Forest | פרשנות מוגבלת |
| מודלים מבוססי גרפים | GNNs, זיהוי מבני | עלות חישובית |
Isolation Forest (LIU; TING; ZHOU, 2008) ו-Random Forests (BREIMAN, 2001) משמשים בהרחבה, אך הם מטפלים באירועים בעיקר באופן בלתי תלוי. Eberle ו-Holder (2009) חוקרים אנומליות מבניות בגרפים, בעוד Graph Convolutional Networks (KIPF; WELLING, 2017) מציגות למידה על מבנה יחסי. גישות זמניות עדכניות משלבות גרפים דינמיים ולמידה עמוקה, אך לעיתים קרובות מקריבות פרשנות והבטחות פורמליות.
Sommer ו-Paxson (2010) מזהירים מפני מגבלות של מודלים סטטיסטיים טהורים מחוץ להנחת העולם הסגור (closed-world assumption), הנוגעת במיוחד לסביבות ארגוניות דינמיות.
2.2 גרפים דינמיים
הגדרה 1 (גרף זמני). גרף זמני הוא משפחה סדורה ${G_t}_{t \in T}$, שבה $G_t = (V_t, E_t)$ וכל קשת $e \in E_t$ היא קוודרופל $(u, v, \pi, t)$, עם $u, v \in V_t$, תווית $\pi$ וחותמת זמן $t$.
מודלים זמניים נדונים ברשתות מורכבות ובהפצה דינמית (HOLME; SARAMÄKI, 2012). בהקשר אבטחה, קודקודים מייצגים זהויות, מארחים, workloads או שירותים; קשתות מייצגות אימותים, חיבורים מרוחקים או האצלות של הרשאות.
2.3 הסקה בייזיאנית אינקרמנטלית
העדכון הבייזיאני עבור פרמטר $\theta$ בהינתן זרם נתונים $D_{1:t}$ הוא:
$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$
לצורך יעילות תפעולית, אנו מאמצים רגולריזציה אקספוננציאלית:
$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$
מנגנון זה מקרב מסנן אקספוננציאלי אדפטיבי בעל עלות $O(1)$ לכל עדכון, ומאפשר התאמה מבוקרת ל-concept drift.
- מודל האיום והפורמליזציה
3.1 מודל היריב
אנו מתחשבים ביריב הסתברותי המוגבל פולינומית $\mathcal{A}$ בעל היכולות הבאות:
- A1: פגיעה ראשונית ב-endpoint או ב-workload.
- A2: חילוץ או שימוש לרעה בחומר אימות (hashes, אסימוני OAuth, מפתחות SSH).
- A3: הסלמה או האצלת הרשאות שלא כדין.
- A4: תנועה רוחבית באמצעות שירותים מרוחקים (SMB, RDP, SSH, APIs של ענן).
אנו מניחים כי $\mathcal{A}$ יכול לעמעם פקודות, אך אינו יכול להשחית באופן מלא את צינור הטלמטריה.
3.2 משחק אבטחה
אנו מגדירים את המשחק $\mathcal{G}$ בין $\mathcal{A}$ לבין הגלאי $\mathcal{D}$. היכולת ההתקפית היא:
$$ Adv_{\mathcal{A}} = P[\neg \text{alerta} \mid \text{ataque}] - P[\neg \text{alerta} \mid \text{legítimo}]. $$
אנו שואפים למזער את $Adv_{\mathcal{A}}$ בכפוף להגבלה תפעולית $FPR \leq \epsilon$, כאשר $FPR$ הוא שיעור החיוביים-השגויים המותר.
3.3 הסתברות של מסלולים
הגדרה 2 (הסתברות הלגיטימיות של מסלול). עבור מסלול זמני $p = (e_1, \dots, e_k)$:
$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$
תחת הנחת אי-תלות מותנית, מתקבל:
$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}), $$
מה שמבטיח יציבות נומרית ומאפשר גיזום יעיל המבוסס על סף לוגריתמי.
- המתודולוגיה המוצעת
4.1 בנייה אינקרמנטלית
כל אירוע המתקבל מה-pipeline (Kafka) יוצר הוספה אינקרמנטלית לגרף עם אינדוקס לפי קודקוד וזמן. אנו משתמשים במבנים מאוזנים, המביאים לעלות אמורטית $O(\log |V|)$ לכל הוספה. השטח הכולל הוא $O(|V| + |E|)$.
4.2 חיפוש עם גיזום מונוטוני
מכיוון ש-$P(L \mid \cdot) \in (0,1]$, המכפלה היא מונוטונית שאינה גדלה עם הארכת המסלול.
משפט 1 (שלמות עד עומק $d$). אלגוריתם החיפוש עם גיזום לפי סף $\tau$ מונה את כל המסלולים $p$ בעומק $\leq d$ כך ש-$P_L(p) < \tau$.
הוכחה. יהי $p’$ קידומת של $p$. מאחר ש-$P_L(p) \leq P_L(p’)$, אם $P_L(p’) < \tau$, כל הארכה גם תקיים $P_L(p) < \tau$. לכן, גיזום קידומות בעלות הסתברות מעל הסף אינו מסלק מסלולים תקפים שמתחת לסף. $\square$
המורכבות במקרה הגרוע היא $O(b^d)$, כאשר $b$ הוא פקטור ההסתעפות הממוצע. בפועל, עם $d$ קטן (3–5) וגיזום יעיל, אנו צופים גידול בקירוב ליניארי ב-$|E_t|$.
- מימוש
ארכיטקטורה מבוזרת המורכבת מ:
- Apache Kafka (קליטה).
- Apache Flink (עיבוד זרמים עם חלונות זמניים).
- מסד נתונים מוכוון-גרפים (Neo4j או מקביל תואם ל-Cypher).
- אינטגרציה עם CNAPP לצורך קליטת אירועי ענן.
- טלמטריית eBPF לאירועי מערכת Linux בזמן אמת.
דוגמת שאילתה Cypher מפושטת:
MATCH p=(u:User)-[:AUTH1..4]->(h:Host)
WHERE p.probabilidade < 0.01
RETURN p
אנו מייצאים התרעות בפורמט JSON תואם Sigma (SIGMAHQ, 2023) וממפים טכניקות MITRE ATT&CK (MITRE, 2023). תהליכי התגובה עוקבים אחר NIST SP 800-61 Rev.2 (NIST, 2012), NIST SP 800-61r3 (NIST, 2025) והנחיות CISA (CISA, 2023).
- הערכה ניסויית
אימצנו ולידציה צולבת זמנית (time-series split) כדי להימנע מדליפת מידע עתידי. המדדים כוללים AUC-ROC, דיוק, שיעור היזכרות ו-FPR תחת סף תפעולי קבוע.
| שיטה | AUC | FPR (@95% TPR) | פרשנות |
|---|---|---|---|
| כללים סטטיים | 0,71 | גבוה | גבוהה |
| Isolation Forest | 0,83 | בינוני | בינונית |
| המודל המוצע | 0,89 | נמוך | גבוהה |
הבחַנּוֹ ירידה עקבית בחיוביים-שגויים, התואמת את ניתוח בעיית שיעור הבסיס (AXELSSON, 2000). ניתוח רגישות עבור $\alpha \in [0.7,0.95]$ חשף פשרה בין יציבות לבין אדפטיביות.
- מקרי בוחן
7.1 המגזר הפיננסי
דימינו פישינג ולאחריו שימוש ב-T1021 (MITRE, 2023). הקורלציה הרב-קפיצית זיהתה רצף חריג שכלל אימותים עוקבים בין מקטעים שונים. התגובה כללה ביטול אסימונים והחלת MFA אדפטיבי בהתאם להמלצות CISA (2023).
7.2 המגזר הרפואי
בסביבה היברידית עם התקני Linux המנוטרים באמצעות eBPF, זיהינו רצף SSH–SMB בלתי סביר סטטיסטית. ההפחתה כללה סגמנטציה של הרשת, חיזוק מדיניות IAM ובחינה בהתאם ל-OWASP Top 10 (OWASP, 2021).
- דיון
הנחת אי-ההתלות המותנית ניתנת להרפיה בהרחבות עתידיות באמצעות מודלים גרפיים אקספרסיביים יותר. התלות בשלמות היומנים היא מגבלה מעשית, במיוחד בתרחישים עם התחמקות מתקדמת. בהשוואה ל-GNNs (KIPF; WELLING, 2017), הגישה שלנו מציגה פרשנות גבוהה יותר ודרישות חישוביות נמוכות יותר, אף על פי שהאקספרסיביות הייצוגית שלה נמוכה יותר.
- מסקנה
הצגנו מודל פורמלי לזיהוי הסתברותי המבוסס על גרפים דינמיים עם הסקה בייזיאנית אינקרמנטלית. הראינו תכונות של שלמות תחת גיזום מונוטוני, ניתחנו את המורכבות ודיַנּו בהשפעת שיעור הבסיס. הגישה מאזנת בין קפדנות מתמטית, פרשנות וישימות תפעולית בסביבות ארגוניות היברידיות של 2025.
References
AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849
BREIMAN, Leo. Random forests. Machine Learning, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324
CISA. Joint Cybersecurity Advisory. 2023. Available at: https://www.cisa.gov
EBERLE, William; HOLDER, Lawrence. Anomaly detection in graphs. IEEE Transactions on Dependable and Secure Computing, 2009. Available at: https://ieeexplore.ieee.org/document/4787648
ENISA. Threat Landscape 2022. 2022. Available at: https://www.enisa.europa.eu
HOLME, Petter; SARAMÄKI, Jari. Temporal networks. Physics Reports, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0370157312000841
KIPF, Thomas; WELLING, Max. Semi-Supervised Classification with Graph Convolutional Networks. 2017. Available at: https://arxiv.org/abs/1609.02907
LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. 2008. Available at: https://ieeexplore.ieee.org/document/4781136
MANDIANT. M-Trends 2023. 2023. Available at: https://www.mandiant.com/resources/reports/m-trends-2023
MICROSOFT. CVE-2021-34527. 2021. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
MICROSOFT. CVE-2023-23397. 2023. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397
MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org
NIST. SP 800-61 Rev.2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final
NIST. SP 800-61r3 (Draft). 2025. Available at: https://csrc.nist.gov
OWASP. OWASP Top 10. 2021. Available at: https://owasp.org/www-project-top-ten/
SIGMAHQ. Sigma Rules Specification. 2023. Available at: https://sigmahq.io
SOMMER, Robin; PAXSON, Vern. Outside the Closed World. 2010. Available at: https://ieeexplore.ieee.org/document/5504793
VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/