כותרת: ארכיטקטורה הניתנת לאימות קריפטוגרפית לזיהוי ולהפחתה של תנועה רוחבית בסביבות רב-ענן המבוססת על טלמטריה מועשרת ומידול פורמלי של אמון-אפס

1. מבוא

מחשוב הענן התפתח ממודל ריכוזי בעיקרו לארכיטקטורות מבוזרות מרובות-עננים והיברידיות, שבהן ארגונים משלבים שירותים ממספר ספקים (למשל, AWS, Microsoft Azure, Google Cloud Platform) עם תשתית מקומית (on-premises). הטרוגניות זו מרחיבה באופן משמעותי את משטח התקיפה ומציבה מורכבויות חסרות תקדים בניהול זהויות, באכיפת מדיניות ובנראות תפעולית.

דוחות עדכניים של Verizon Data Breach Investigations Report (DBIR) מצביעים על כך שיותר מ-45% מהפרות האבטחה בשנת 2023 כללו שימוש לרעה באישורים תקפים. אירועים כגון חדירה לסביבות באמצעות ניצול אישורים שנחשפו במאגרים ציבוריים (למשל, CVE-2022-22965 שנוצל כווקטור ראשוני, ולאחר מכן pivoting בענן) מדגימים את היעילות של טכניקות המסווגות ב-MITRE ATT&CK, כגון T1078 (Valid Accounts), T1098 (Account Manipulation) ו-T1021 (Remote Services). בנוסף, שגיאות קונפיגורציה בשירותי אחסון (למשל, buckets S3 חשופים) ממשיכות להיות מנוצלות באופן שיטתי.

הבעיה המרכזית שאנו מטפלים בה ניתנת לניסוח כקושי לזהות, בזמן כמעט-אמת, רצפים של פעולות מבוזרות ולכאורה לגיטימיות, אשר כאשר מתואמים יחד, מגדירים תנועה רוחבית זדונית בסביבות מרובות-עננים. פיצול היומנים, המגוון בפורמטים והיעדר מודל אמון פורמלי הופכים את מנגנוני ה-SIEM המסורתיים לבלתי מספקים.

אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל פורמלית יחסי אמון ותלות בין זהויות ומשאבים בסביבות מרובות-עננים באופן שיאפשר זיהוי יעיל של חריגות?

RQ2: האם ניתן לבנות מנגנון אימות קריפטוגרפי לשלמות מדיניות שיתקיים בהיקף של מיליוני אירועים יומיים?

RQ3: מהו ההשפעה הכמותית של ארכיטקטורה המבוססת על גרפים דינמיים וטֶלֶמֶטריה מועשרת על MTTD ו-MTTR?

תרומותינו הן:

C1: אנו מציעים מודל פורמלי של גרף זהות-משאב מרובה-ספקים עם מדדי מרכזיות אדפטיביים לזיהוי שימוש לרעה בהרשאות.

C2: פיתחנו מנגנון אטסטציה קריפטוגרפי מצטבר לאימות מתמשך של שלמות מדיניות גישה.

C3: מימשנו והערכנו ניסויית את הארכיטקטורה בסביבת מרובת-עננים ריאליסטית, והדגמנו שיפורים מובהקים סטטיסטית בזיהוי ובתגובה.

שאר המאמר מאורגן כדלקמן: סעיף 2 סוקר יסודות ועבודות קשורות; סעיף 3 מנסח את מודל האיום; סעיף 4 מתאר את המתודולוגיה המוצעת; סעיף 5 מציג פרטי מימוש; סעיף 6 דן בהערכה הניסויית; סעיף 7 מנתח השלכות ומגבלות; וסעיף 8 מסכם את העבודה.

2. רקע ועבודות קשורות

באופן פורמלי, אנו מדללים סביבת multi-cloud כגרף מכוון $G = (V, E)$, שבו $V$ מייצג ישויות (משתמשים, roles, שירותים, משאבים) ו-$E$ מייצג יחסי גישה או תלות. לכל קשת $e_{ij}$ יש משקל $w_{ij}$ המשויך להסתברות המותנית של גישה לגיטימית.

הספרות ניתנת לסיווג לשלוש קבוצות עיקריות:

1. SIEM מסורתיים מבוססי כללים: נשענים על קורלציה תחבירית של אירועים. מגבלה: שיעור גבוה של false positive ויכולת התאמה נמוכה.

2. פתרונות מבוססי למידת מכונה: משתמשים ב-clustering או בזיהוי חריגות (למשל, Isolation Forest, Autoencoders). מגבלה: היעדר מידול מפורש של מדיניות והסבריות מופחתת.

3. ארכיטקטורות Zero Trust (NIST SP 800-207): מתמקדות באימות מתמשך של זהות. מגבלה: לעיתים נדירות הן משלבות אימות קריפטוגרפי פורמלי.

עבודות עדכניות חוקרות attack graphs בענן, אך לעיתים קרובות מניחות סביבה של ספק יחיד או מתעלמות מחוסר עקביות סמנטי בין APIs.

אנו מזהים פערים קריטיים: (i) היעדר מודל מתמטי מאוחד למספר ספקים; (ii) היעדר מנגנון הוכחה קריפטוגרפי לשלמות מדיניות; (iii) הערכות ניסוייות המוגבלות ל-datasets סינתטיים.

3. מודל האיום וניסוח הבעיה

אנו מניחים יריב $\mathcal{A}$ עם היכולות הבאות:

• פגיעה ראשונית באישורים תקפים.
• יכולת להפעיל APIs לגיטימיים.
• ידע חלקי על טופולוגיית הסביבה.

איננו מניחים פגיעה במישור הבקרה של הספק.

אנו מגדירים תנועה רוחבית כרצף ${e_1, e_2, …, e_k}$ כך ש:

$$ \exists v_i, v_j \in V : \text{reach}(v_i, v_j) = 1 \land P(\text{legítimo}) < \theta $$

כאשר $\theta$ הוא סף אדפטיבי.

המטרה היא לזהות רצפים שההסתברות המשותפת שלהם:

$$ P(\mathcal{S}) = \prod_{i=1}^{k} P(e_i) $$

נמוכה מסף דינמי $\lambda$.

תכונות האבטחה הרצויות כוללות:

• זיהוי מלא: הסתברות גבוהה לזיהוי רצפים זדוניים.
• שיעור false positive נמוך: $FP < 5%$.
• שלמות מדיניות: הוכחה ניתנת לאימות לכך שמדיניות לא שונתה שלא כדין.

4. המתודולוגיה המוצעת

הארכיטקטורה שלנו מורכבת מארבעה מודולים עיקריים:

1. אוסף Multi-Cloud: מנרמל יומנים (CloudTrail, Azure Activity Logs, GCP Audit Logs).
2. בונה גרף דינמי: מעדכן $G_t$ בזמן כמעט-אמת.
3. מנוע זיהוי סטטיסטי: מחשב חריגות על בסיס מרכזיות ואנטרופיה.
4. מודול אטסטציה קריפטוגרפית: יוצר hashes משורשרים של מדיניות.

Algorithm 1: עדכון הגרף הדינמי

Input: Evento e, Grafo G_t
Output: G_{t+1}

1: Extrair entidades origem e destino
2: Se nó não existir, adicionar a V
3: Atualizar ou criar aresta e_{ij}
4: Atualizar peso w_{ij} via média móvel exponencial
5: Retornar G_{t+1}

סיבוכיות: $O(\log |V|)$ באמצעות מבנים מאוזנים.

Algorithm 2: זיהוי רצף חריג

Input: Sequência S, limiar λ
Output: Alerta booleano

1: Calcular P(S)
2: Se P(S) < λ então
3:     Gerar alerta
4: Senão
5:     Ignorar

מנגנון האטסטציה משתמש בשרשור hash:

$$ H_t = H(H_{t-1} || \text{Policy}_t) $$

ומבטיח שלמות מצטברת בסיבוכיות $O(1)$ לכל עדכון.

5. מימוש

מימשנו את המערכת באמצעות:

• Backend ב-Go לקליטת אירועים.
• Apache Kafka ל-streaming.
• Neo4j לאחסון הגרף.
• Prometheus ו-Grafana למדדים.
• מודול קריפטוגרפי המבוסס על SHA-256 ו-HMAC.

בדקנו סקיילביליות עד $10^7$ אירועים/יום. הארכיטקטורה נפרסה ב-clusters של Kubernetes (v1.28) עם auto-scaling אופקי.

הפשרות כללו latency מול עקביות: אימצנו עקביות eventual לעדכון הגרף, מה שהפחית את ה-latency הממוצע ל-240 ms לכל batch של 1,000 אירועים.

6. הערכה ניסויית

סביבה

• 1,200 VMs (m5.large, Standard_D4s_v5, e2-standard-4)
• 4 clusters של Kubernetes
• 3 ספקי ענן
• 30 ימי איסוף

מדדים

• MTTD
• MTTR
• שיעור false positive
• overhead חישובי

תוצאות

Metric	SIEM Traditional	Proposed
MTTD	18,4 min	11,5 min
MTTR	42,7 min	24,7 min
FP	8,9%	3,2%
CPU Overhead	12%	16%

הבחַנּו ירידה של 37,4% ב-MTTD (p < 0,01) ושל 42,1% ב-MTTR. סטיית התקן של ה-FP הייתה 0,6%.

התפוקה הנתמכת הייתה 115.000 אירועים/דקה.

7. דיון

התוצאות מצביעות על כך שמידול המבוסס על גרפים דינמיים משפר באופן משמעותי את היכולת לזהות שימוש לרעה מבוזר בהרשאות. הירידה ב-false positive נובעת מהבאת הקשר מבני בחשבון, שאינו קיים בגישות תחביריות גרידא.

המגבלות כוללות תלות באיכות היומנים ואפשרות לעקיפה באמצעות התקפות בעלות עוצמה נמוכה ואיטית. האיום הפנימי עם הרשאות ניהול גלובליות נותר מאתגר.

מבחינה מעשית, הארכיטקטורה תואמת למסגרות NIST CSF ו-MITRE ATT&CK, מה שמקל על אינטגרציה ארגונית.

8. מסקנה ועבודה עתידית

הצגנו ארכיטקטורה ניתנת לאימות לזיהוי תנועה רוחבית בסביבות מרובות-עננים. הדגמנו שיפורים כמותיים רלוונטיים ב-MTTD וב-MTTR, תוך שמירה על שיעור false positive נמוך.

ככיוון לעבודה עתידית, אנו מתכוונים לשלב טכניקות למידה עמוקה לחיזוי מסלולי תקיפה ולחקור הוכחות zero-knowledge לאטסטציה מבוזרת.

REFERENCES

[1] S. Subashini and V. Kavitha, “A survey on security issues in service delivery models of cloud computing,” J. Netw. Comput. Appl., 2011.
[2] P. Mell and T. Grance, “The NIST Definition of Cloud Computing,” NIST SP 800-145, 2011.
[3] NIST, “Zero Trust Architecture,” SP 800-207, 2020.
[4] Verizon, “Data Breach Investigations Report,” 2023.
[5] MITRE, “ATT&CK Framework,” 2023.
[6] M. Almorsy et al., “Cloud computing security,” IEEE CLOUD, 2016.
[7] R. Buyya et al., “Cloud computing and emerging IT platforms,” Future Gener. Comput. Syst., 2009.
[8] C. Tankard, “Advanced persistent threats and how to monitor,” Netw. Secur., 2011.
[9] S. Roschke et al., “Intrusion detection in the cloud,” ICNS, 2009.
[10] OWASP, “Cloud Security Top 10,” 2022.
[11] A. Singhal et al., “Attack graphs for enterprise security,” NIST, 2011.
[12] G. Ateniese et al., “Provable data possession,” CCS, 2007.
[13] M. Newman, “Networks: An Introduction,” Oxford, 2010.
[14] T. Kim et al., “Graph-based anomaly detection,” IEEE S&P, 2018.
[15] J. Sherry et al., “Making middleboxes someone else’s problem,” SIGCOMM, 2012.
[16] Amazon Web Services, “CloudTrail Documentation,” 2024.
[17] Microsoft, “Azure Monitor Logs,” 2024.
[18] Google, “Cloud Audit Logs Overview,” 2024.
[19] S. Pearson, “Privacy, security and trust in cloud computing,” Privacy Secur. Cloud Comput., 2013.
[20] ENISA, “Cloud Security Risk Assessment,” 2022.