כותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים

1. מבוא

זיהוי פעילויות זדוניות בתשתיות דיגיטליות עכשוויות התפתח מפרדיגמה המתמקדת בחתימות סטטיות אל מציאות המאופיינת ביריבים אדפטיביים, שרשראות תקיפה רב־שלביות וניצול שיטתי של פגיעויות zero-day. אירועים מתועדים היטב, כגון הניצול של הפגיעות CVE-2021-44228 (Log4Shell) ומסעות תקיפה בשרשרת האספקה כמו SolarWinds, הדגימו את היכולת היריבה לבצע תנועה רוחבית (MITRE ATT&CK T1021), ביצוע מרחוק (T1059) והסוואת ארטיפקטים (T1027) באופן מתואם (MITRE, 2024).

דוחות עדכניים מצביעים על כך שזמן השהות הממוצע (“dwell time”) עדיין נותר משמעותי במגוון מגזרים קריטיים, ובכך מגדיל את ההשפעה הכלכלית והתפעולית של הפרות (VERIZON, 2023; MANDIANT, 2024). בארכיטקטורות מודרניות, הכוללות workloads בענן, מיקרו־שירותים, זהויות מאוחדות ו-APIs, הראיות להתקפה מתפצלות בין שכבות מרובות — רשת, endpoint, זהות, יישום ושכבת הבקרה בענן — ובכך מפחיתות את היעילות של מנגנונים מבודדים.

באופן פורמלי, אנו מנסחים את הבעיה כהסקה על תהליך חבוי $A_t \in {0,1}$ המצביע על היעדר או נוכחות של פעילות זדונית ברגע $t$, בהינתן היסטוריה נצפית $\mathcal{E}_{1:t}$. מערכות המבוססות אך ורק על חתימות, כגון Snort (ROESCH, 1999), מציגות דיוק גבוה עבור תבניות מוכרות, אך הן מטבען תגובתיות. מאידך גיסא, שיטות המבוססות אך ורק על למידת מכונה סובלות לעיתים קרובות מ-concept drift ומעלות תפעולית גבוהה הנובעת מאזעקות שווא (SOMMER; PAXSON, 2010).

לפיכך, אנו מנסחים את שאלות המחקר הבאות:

• RQ1: כיצד ניתן לשלב מקורות מרובים של טלמטריה הטרוגנית במודל הסתברותי מאוחד המסוגל להסיק פעילות זדונית רב־שלבית?
• RQ2: באיזו מידה גרפים זמניים דינמיים יכולים ללכוד תבניות התנהגותיות מורכבות הקשורות לטכניקות של MITRE ATT&CK?
• RQ3: מהו ההשפעה הכמותית של מיזוג בייסיאני על צמצום אזעקות שווא ועל זמן הזיהוי הממוצע?

התרומות העיקריות שלנו הן:

• C1: פורמליזציה של מודל בייסיאני רקורסיבי לצבירה זמנית של ראיות הטרוגניות.
• C2: הצעה של גלאי המבוסס על אנומליות מבניות בגרפים זמניים.
• C3: הערכה אמפירית בקנה מידה גדול עם ניתוח סטטיסטי קפדני.

2. רקע ועבודות קשורות

ניתן לנסח את זיהוי החדירות כמזעור הסיכון הצפוי:

$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$

כאשר $f: \mathcal{X} \rightarrow {0,1}$ ו-$\mathcal{D}$ מייצג את התפלגות הנתונים (DENNING, 1987). גישות מבוססות חתימות מבצעות התאמה דטרמיניסטית של תבניות (ROESCH, 1999), בעוד ששיטות מבוססות אנומליה משתמשות במידול סטטיסטי או בלמידה מונחית ובלתי מונחית (PATCHA; PARK, 2007).

Lee ו-Stolfo (1998) הציגו טכניקות של כריית נתונים עבור IDS, בעוד Sommer ו-Paxson (2010) דנו במגבלות מבניות של למידת מכונה באבטחה יריבתית. מודלים רציפים כגון LSTM לוכדים תלות זמנית (GOODFELLOW; BENGIO; COURVILLE, 2016), אולם חסרה להם מידול מפורש של יחסים מבניים בין ישויות.

גרפים דינמיים מיוצגים כ-$G_t = (V_t, E_t)$, כאשר הקודקודים מייצגים ישויות (תהליכים, מארחים, משתמשים, זהויות שירות) והקשתות מייצגות אינטראקציות שנצפו. עבודות כגון Bilge et al. (2012) ו-Holz et al. (2008) מדגימות את היעילות של ניתוח מבני לזיהוי C2.

מנקודת מבט הסתברותית, אנו מאמצים הסקה בייסיאנית (PEARL, 1988), המאפשרת עדכון רקורסיבי של אמונות לנוכח ראיות עוקבות.

3. מודל האיום ופורמליזציית הבעיה

אנו מאמצים מודל יריבי עם יכולות ריאליסטיות לשנת 2025: ניצול פגיעויות מוכרות, שימוש לרעה באישורים, תנועה רוחבית, טכניקות התחמקות, ופוטנציאל להרעלת נתונים בצינורות טלמטריה. אנו מניחים שלמות של ליבת העיבוד ומנגנוני אימות שלמות של יומנים.

יהי $\mathcal{E}_t = {e_1, …, e_n}$ קבוצת האירועים ברגע $t$, עם $x_i \in \mathbb{R}^d$. נגדיר:

$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$

כהסתברות הפוסטריורית לפעילות זדונית.

תחת הנחת מרקוב מסדר ראשון:

$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$

קריטריוני ביצוע:

קריטריון	הגדרה פורמלית	מטרה
נכונות	למקסם $P(\hat{A}_t=1 \mid A_t=1)$	$> 0{,}98$
עמידות	$\sup_{|\epsilon|\leq \delta}	R(f_\epsilon)-R(f)
יעילות	זמן השהיה ל-95% מההתראות הקריטיות	< 5 min

4. מתודולוגיה מוצעת

הארכיטקטורה כוללת ארבע שכבות: קליטה, חילוץ תכונות, בניית גרף זמני והסקה בייסיאנית.

העדכון הרקורסיבי הוא:

$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$

עם מימוש בלוג:

$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$

הגלאי המבני משתמש ב:

$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$

המורכבות היא $O(|E_t|)$ עבור בנייה אינקרמנטלית, $O(1)$ עבור עדכון בייסיאני ו-$O(|V_t|+|E_t|)$ עבור מדדים מבניים.

5. מימוש

מימשנו את הארכיטקטורה עם Apache Kafka לקליטה, Apache Flink לעיבוד בזרימה ו-Elasticsearch לאינדוקס. ייצוג הגרפים בזיכרון משתמש ב-Apache Ignite.

דוגמה מפושטת של תצורת קליטה:

kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3

בדיקות הראו סקלביליות ליניארית עד 12 צמתים, עם תפוקה של 9.8 מיליון אירועים/דקה והשהיה ממוצעת של 2.1 שניות לכל חלון.

6. הערכה ניסויית

מערכי הנתונים שבהם נעשה שימוש: CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018), UNSW-NB15 (MOUSTAFA; SLAY, 2015) ומערך נתונים ארגוני (2.3 מיליארד אירועים).

מודל	F1	FPR
Random Forest	$0{,}81 \pm 0{,}02$	7.2%
XGBoost	$0{,}83 \pm 0{,}02$	6.9%
LSTM	$0{,}84 \pm 0{,}01$	6.5%
ההצעה	$0{,}99 \pm 0{,}005$	3.8%

זמן הזיהוי הממוצע של תנועה רוחבית ירד מ-14.2 ל-3.6 דקות. מבחן t מזווג עם $\alpha=0{,}01$ אישר מובהקות סטטיסטית.

7. דיון

המיזוג הבייסיאני משלב ראיות חלשות באופן קוהרנטי, ובכך מפחית התראות שווא. המידול באמצעות גרפים לוכד תבניות מבניות הקשורות לפיקוד ושליטה מבוזרים (HOLZ et al., 2008). בסביבות Zero Trust (NIST, 2020) ובפלטפורמות CNAPP, הגישה מציעה אינטגרציה טבעית עם מקורות טלמטריה מרובים.

המגבלות כוללות תלות באיכות היומנים וסיכון להרעלת נתונים. אסטרטגיות עתידיות כוללות טכניקות חסינות ולמידה פדרטיבית מאובטחת.

8. מסקנה ועבודה עתידית

הראינו כי שילוב הסתברותי רב־שכבתי, בשילוב עם ניתוח מבני של גרפים זמניים, מספק שיפורים משמעותיים בדיוק ובהשהיה. עבודות עתידיות יכללו מנגנונים פורמליים לחסינות יריבתית ואינטגרציה עם בקרות אדפטיביות המבוססות על סיכון.

References

BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. In: USENIX SECURITY SYMPOSIUM, 21., 2012. Available at: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge

DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org

HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. In: USENIX SECURITY SYMPOSIUM, 2008. Available at: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf

LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Available at: https://ieeexplore.ieee.org/document/674832

MANDIANT. M-Trends 2024 Report. 2024. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. In: MILCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset

NIST. Zero Trust Architecture – SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.013

PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.

ROESCH, M. Snort: Lightweight Intrusion Detection. In: USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system

SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, R.; PAXSON, V. Outside the Closed World. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/