Paper Files / Detection
כותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי
כותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי תקציר: זיהוי איומי סייבר בסביבות ארגוניות עכשוויות דורש מנגנונים המסוגלים לקשר אירועים הטרוגניים, למודל תלות טמפורלית מורכבת ולהתאים את עצמם ליריבים המנצלים אישורים תקפים, טכניקות fileless ושרשראות רב-שלביות המתואמות ל-MITRE ATT&CK. בעבודה זו אנו מציעים ארכיטקטורה היברידית המשלבת למידה רפרזנטציונית עם-פיקוח עצמי, מידול טמפורלי היררכי וקורלציה הסתברותית בגרפים דינמיים, במטרה לצמצם false positives מבלי לפגוע ברגישות תחת concept drift. אנו מנסחים את הבעיה כאמידה של $P(Y=1 \mid G_{t-k:t})$, כאשר $G_{t-k:t}$ מייצג חלון הזזה של גרפים טמפורליים שנחלצו ממקורות טלמטריה מרובים (יומני הזדהות, אירועי endpoint, זרמי רשת וטלמטריה בענן). הרכיב ה-עם-פיקוח עצמי מבוסס על חיזוי קונטקסטואלי טמפורלי באמצעות Transformers קלים, ומאפשר למידה של embeddings סמנטיים חזקים בהיעדר תוויות בשפע. שלב הקורלציה הרב-רמתית משתמש בפוטנציאלים לוג-ליניאריים המוגדרים על תת-גרפים התואמים לטכניקות ATT&CK, ובכך מבטיח יכולת פרשנות תפעולית. מימשנו את הפתרון על תשתית מבוזרת עם Apache Kafka, Apache Flink, PyTorch ו-Neo4j, והשגנו תפוקה מתמשכת של 120 אלף אירועים לשנייה באשכול בן 24 צמתים. הערכנו את המודל על datasets CIC-IDS2017, LANL Cybersecurity Dataset ועל מערך ארגוני הכולל 4.2 מיליארד אירועים. נצפו AUC ממוצע של 0.982, F1 של 0.941, TPR של 96.4% ו-FPR של 3.1%, המייצגים הפחתה יחסית של 38% ב-false positives לעומת baselines כגון Isolation Forest, DeepLog ו-Autoencoders LSTM ($p < 0{,}01$). אנו דנים בהשלכות לשילוב עם פלטפורמות SIEM ו-CNAPP, וכן בהרחבות הכוללות למידה מאוחדת עם פרטיות דיפרנציאלית וחוסן אדברסרי. התוצאות מדגימות כי השילוב של ייצוג עם-פיקוח עצמי וקורלציה מבנית הסתברותית מהווה גישה מבטיחה לזיהוי אדפטיבי בקנה מידה גדול עד למצב הטכנולוגי המתקדם של 2025.
- מבוא
זיהוי איומים קיברנטיים בסביבות ארגוניות מאופיין, בשנת 2025, בהטרוגניות גבוהה של מקורות נתונים, בנפח עצום של אירועים וביריבים המסוגלים להתאים באופן דינמי את הטקטיקות, הטכניקות והנהלים שלהם (TTPs), כפי שממוסד במסגרת MITRE ATT&CK (MITRE, 2023). אירועי שרשרת אספקה, קמפיינים של כופרה כגון אלו הקשורים לקבוצת LockBit וניצול פגיעויות קריטיות כגון CVE-2021-44228 מדגימים שרשראות תקיפה רב־שלביות הכוללות הרצת קוד מרחוק (T1059), תנועה רוחבית דרך SMB (T1021.002) וחילוץ מידע בערוץ מוצפן (T1041).
דו"ח Verizon Data Breach Investigations Report מדגיש כי חלק משמעותי מן ההפרות כולל שימוש לרעה באישורים תקפים, מה שמקשה על ההבחנה בין התנהגות לגיטימית לבין התנהגות זדונית (VERIZON, 2023). טכניקות fileless ושימוש בכלים ניהוליים לגיטימיים, כגון PowerShell ו-WMI, מפחיתים את יעילות החתימות הסטטיות הנהוגות באופן מסורתי ב-IDS (ROESCH, 1999; SCARFONE; MELL, 2007).
אנו מנסחים את הבעיה כזיהוי, בזמן כמעט-אמת, של רצפי אירועים $E = {e_1, \dots, e_n}$ שמקורם במקורות מרובים, כך שקיימת תת־רצף $S \subseteq E$ אשר ההסתברות המותנית שלו להשתייך למחלקה הזדונית עולה על סף $\tau \in (0,1)$. יהי $Y \in {0,1}$. ברצוננו לאמוד:
$$ \hat{Y} = \mathbf{1}{ P(Y=1 \mid E_{t-k:t}) \geq \tau }. $$
שאלות המחקר הן: (RQ1) כיצד לבנות ייצוגים חסינים ללא תוויות בשפע; (RQ2) כיצד למודל תלויות זמניות רב־שלביות עם פרשנות המותאמת ל-ATT&CK; (RQ3) כיצד להפחית התראות שווא תחת סחף מושגי.
- התשתית התיאורטית ועבודות קשורות
יהי $\mathcal{X}$ מרחב האירועים, כאשר $x \in \mathbb{R}^d$. אנו מחפשים $f: \mathcal{X}^ \rightarrow {0,1}$. גישות מבוססות חתימה, כגון Snort (ROESCH, 1999), תלויות בדפוסים ידועים. שיטות סטטיסטיות וכריית נתונים (LEE; STOLFO, 1998) מניחות נייחות. מודלים עוקביים עמוקים, כגון DeepLog (DU et al., 2017), עושים שימוש ב-LSTM.
Axelsson (2000) מדגים מגבלות יסודיות בהפחתה בו־זמנית של FPR ו-FNR בתרחישים של שכיחות נמוכה. למידה ייצוגית (BENGIO; COURVILLE; VINCENT, 2013) ו-Transformers מאפשרים מידול קונטקסטואלי לטווח ארוך, עם אופטימיזציה באמצעות Adam (KINGMA; BA, 2015).
- מודל האיום וניסוח פורמלי
אנו מניחים יריב מוגבל פולינומית בהסתברות, בעל יכולת לנצל פגיעויות ידועות, להשתמש באישורים תקפים ולהקים ערוצים מוצפנים. אנו ממדלים את המערכת כגרף זמני $G_t = (V_t, E_t)$.
אנו אומדים:
$$ f(G_{t-k:t}) = P(Y=1 \mid G_{t-k:t}). $$
הסיכון הצפוי הוא:
$$ R(f) = \mathbb{E}_{(G,Y)}[\ell(f(G),Y)]. $$
קריטריונים: $TPR \geq 0{,}95$, $FPR \leq 0{,}05$, שיהוי $\leq 250$ ms.
- המתודולוגיה המוצעת
ארכיטקטורה בת חמש שכבות: קליטה, embeddings בהכוונה עצמית, מידול זמני, קורלציה בגרף וסיווג סופי.
4.1 למידה בהכוונה עצמית
אנו מאמנים Transformer קל על ידי מקסום:
$$ \mathcal{L} = - \sum_t \log P(x_{t+1} \mid x_{t-k:t}). $$
קשב המוגבל לחלון $k$ מרמז על עלות $O(k^2 d)$.
4.2 מידול היררכי
מצבים חבויים:
$$ h_t = \mathrm{LSTM}(e_t, h_{t-1}). $$
קשב:
$$ \alpha_t = \frac{\exp(w^\top h_t)}{\sum_i \exp(w^\top h_i)}, \quad z = \sum_t \alpha_t h_t. $$
4.3 קורלציה הסתברותית
$$ P(Y=1 \mid G) \propto \exp\left( \sum_{c \in \mathcal{C}} \theta_c \phi_c(H_c) \right). $$
הפוטנציאלים $\phi_c$ מקודדים דפוסים התואמים טכניקות ATT&CK.
- מימוש
Pipeline מבוזר עם Apache Kafka (KAFKA, 2024) ו-Apache Flink (FLINK, 2024). אימון ב-PyTorch; התמדה ב-Neo4j (NEO4J, 2024).
Exemplo simplificado de processamento em fluxo (Flink SQL)
CREATE TABLE eventos (...);
SELECT window_start, COUNT()
FROM TABLE(
TUMBLE(TABLE eventos, DESCRIPTOR(ts), INTERVAL '5' MINUTES)
)
GROUP BY window_start;
embeddings בממד 128. תפוקה: 120 אלף אירועים/שנייה. שיהוי ממוצע: 178 ms.
- הערכה ניסויית
מערכי הנתונים ששימשו:
| Dataset | סוג | נפח |
|---|---|---|
| CIC-IDS2017 | תעבורת רשת | ~2,8M זרמים |
| LANL | יומני ארגון | ~1B אירועים |
| Corporativo | רב-מקורי | 4,2B אירועים |
תוצאות:
| מודל | AUC | F1 | TPR | FPR |
|---|---|---|---|---|
| Isolation Forest | 0,873 | 0,801 | 0,88 | 0,12 |
| DeepLog | 0,921 | 0,902 | 0,93 | 0,08 |
| Autoencoder LSTM | 0,938 | 0,917 | 0,94 | 0,07 |
| מוצע | 0,982 | 0,941 | 0,964 | 0,031 |
מבחן t מזווג מצביע על $p < 0{,}01$.
- דיון
embeddings בהכוונה עצמית מפחיתים אנטרופיה מותנית שיורית, בעוד קורלציה מבנית לוכדת קוהרנטיות רב־שלבית. האינטגרציה עם SIEMs כגון Splunk (SPLUNK, 2024) ו-Elastic (ELASTIC, 2024), וכן פלטפורמות CNAPP, אפשרית באמצעות APIs REST.
המגבלות כוללות תלות בשלמות הלוגים ועלות התחלית של pre-training.
- מסקנה
הדגמנו כי האינטגרציה של ייצוג בהכוונה עצמית וקורלציה הסתברותית בגרפים דינמיים מניבה רווחים מובהקים סטטיסטית בזיהוי איומים ארגוניים בקנה מידה גדול. הרחבות עתידיות כוללות למידה פדרטיבית עם פרטיות דיפרנציאלית וניתוח פורמלי של חסינות אדברסרית.
References
AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. ACM Transactions on Information and System Security, v. 3, n. 4, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849
BENGIO, Yoshua; COURVILLE, Aaron; VINCENT, Pascal. Representation learning: A review and new perspectives. IEEE TPAMI, 2013. Available at: https://ieeexplore.ieee.org/document/6472238
DU, Min et al. DeepLog. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015
ELASTIC. Elastic Security Documentation. 2024. Available at: https://www.elastic.co/guide/en/security/current/index.html
FLINK. Apache Flink Documentation. 2024. Available at: https://flink.apache.org
KAFKA. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation
KINGMA, Diederik; BA, Jimmy. Adam. ICLR, 2015. Available at: https://arxiv.org/abs/1412.6980
LEE, Wenke; STOLFO, Salvatore. Data mining approaches for intrusion detection. IEEE S&P, 1998. Available at: https://ieeexplore.ieee.org/document/674848
MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org
NEO4J. Neo4j Documentation. 2024. Available at: https://neo4j.com/docs
ROESCH, Martin. Snort. USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks
SCARFONE, Karen; MELL, Peter. Guide to IDPS. NIST SP 800-94, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final
SHARAFALDIN, Iman; LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.scitepress.org/PublicationsDetail.aspx?ID=66398
SPLUNK. Splunk Enterprise Security Documentation. 2024. Available at: https://docs.splunk.com/Documentation/ES
VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/