כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לזיהוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית ולמידה סטטיסטית חזקה

1. מבוא

משטח התקיפה של מערכות ארגוניות מודרניות התרחב באופן משמעותי עם אימוץ ארכיטקטורות היברידיות, מיקרו-שירותים ותשתית כקוד. לפי דוח Verizon Data Breach Investigations Report (DBIR) 2023, יותר מ-83% מהפרות האבטחה כללו גורמים חיצוניים, כאשר 49% מהן היו קשורות לאישורים שנפגעו. אירועים שזכו לסיקור רחב, כגון הניצול של CVE-2021-44228 (Log4Shell) ושל CVE-2023-23397 (Microsoft Outlook), מדגישים את המהירות שבה ניתן להפוך פגיעויות קריטיות לכלי פעולה בקמפיינים אוטומטיים.

בהקשר של מסגרת MITRE ATT&CK, נצפית דומיננטיות של טכניקות כגון T1078 (Valid Accounts), T1021 (Remote Services) ו-T1059 (Command and Scripting Interpreter) בשרשראות תקיפה מרובות שלבים. קמפיינים כאלה מנצלים לעיתים קרובות פערי זמן בין אירועים בודדים, ובכך מקשים על הגילוי באמצעות מנגנונים המבוססים על קורלציה פשוטה או על ספים סטטיים.

הבעיה המרכזית של עבודה זו היא לזהות, בזמן כמעט-ממשי, רצפי אירועים מבוזרים המאפיינים התנהגות זדונית מתהווה, גם כאשר כל אירוע בודד נראה לגיטימי. באופן פורמלי, אנו מבקשים לזהות תתי-קבוצות $S \subseteq V_t$ בגרף דינמי של אירועים, אשר ממקסמות את ההסתברות האחורית להתאים לשרשרת תקיפה.

אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן לדגמן באופן פורמלי תלויות זמניות וסיבתיות בין אירועי אבטחה הטרוגניים בקנה מידה גדול?

RQ2: האם ניתן להפחית באופן משמעותי תוצאות חיוביות שגויות מבלי לפגוע בהשהיית הגילוי?

RQ3: כיצד ניתן להבטיח חוסן מפני טכניקות התחמקות ומניפולציה אדברסריאלית של לוגים?

התרומות העיקריות שלנו הן:

C1: הצעה של מודל מתמטי המבוסס על גרפים דינמיים עם אילוצים סיבתיים והסקה בייסיאנית היררכית.

C2: פיתוח אלגוריתמים מדרגיים לקורלציה זמנית רב-שכבתית בעלת מורכבות תת-ריבועית.

C3: הערכה אמפירית מקיפה המדגימה שיפורים כמותיים מהותיים ביחס לגישות ייחוס.

שאר המאמר מאורגן כדלקמן: סעיף 2 מציג יסודות ועבודות קשורות; סעיף 3 מגדיר את מודל האיום; סעיף 4 מפרט את המתודולוגיה; סעיפים 5 ו-6 מתארים מימוש והערכה ניסויית; סעיפים 7 ו-8 דנים בהשלכות ובמסקנות.

2. רקע ועבודות קשורות

נניח זרם אירועים $E = {e_1, e_2, …, e_n}$, שבו כל אירוע מיוצג על ידי וקטור מאפיינים $e_i = (t_i, s_i, d_i, a_i)$, המתאימים לחותמת זמן, מקור, יעד ופעולה. נגדיר גרף זמני $G_t = (V_t, E_t)$, שבו הקודקודים מייצגים ישויות (משתמשים, תהליכים, מארחים) והקשתות מייצגות אינטראקציות שנצפו.

גישות מסורתיות כוללות:

(i) מערכות מבוססות חתימות (למשל, Snort), המוגבלות על ידי ידע מוקדם.

(ii) SIEMs עם קורלציה מבוססת חוקים (Splunk, IBM QRadar), התלויות בהיוריסטיקות סטטיות.

(iii) שיטות של למידה עמוקה, כגון LSTM ו-Transformers שיושמו על רצפי לוגים.

מחקרים כגון Du et al. (2017) הדגימו שימוש ב-LSTM למידול סדרתי, בעוד עבודות עדכניות יותר בוחנות Graph Neural Networks לגילוי APTs. עם זאת, גישות אלו לעיתים קרובות מזניחות פורמליזציה הסתברותית מפורשת וסובלות מבעיות מדרגיות.

מגבלות שכיחות כוללות: (a) התפוצצות קומבינטורית בקורלציית אירועים; (b) שיעור גבוה של תוצאות חיוביות שגויות בסביבות רועשות; © פגיעות להרעלת נתונים.

הצעתנו נבדלת בכך שהיא משלבת מידול פורמלי עם אילוצים מבניים בהשראת שרשראות תקיפה ידועות, תוך שמירה על גמישות סטטיסטית.

3. מודל איום והגדרה פורמלית של הבעיה

אנו מניחים יריב בעל יכולות התואמות למודל APT: גישת כניסה ראשונית באמצעות פישינג (T1566), התמדה (T1547) ותנועה רוחבית (T1021). היריב יכול לתפעל חלקית לוגים (T1070), אך אינו שולט במלואו במערכת הניטור.

אנו מגדירים את הבעיה כך:

בהינתן זרם $E$ וקבוצת תבניות מבניות $\mathcal{P}$ הנגזרות מ-MITRE ATT&CK, יש למצוא את הרצף $S^$ כך ש:

$$ S^ = \arg\max_{S \subseteq E} P(S | E, \mathcal{P}) $$

בכפוף לאילוצי סיבתיות:

$$ t_{i} < t_{j} \Rightarrow e_i \prec e_j $$

ולקוהרנטיות סמנטית בין ישויות.

התכונות הרצויות כוללות:

• שלמות הסתברותית: כיסוי של שרשראות תקפות.
• שיעור שגיאה מסוג I נמוך ($\alpha < 0,05$).
• השהיה מרבית $< 5$ שניות.

4. המתודולוגיה המוצעת

הארכיטקטורה מורכבת משלוש שכבות:

(1) נרמול והעשרה של אירועים (NIST SP 800-92).

(2) בנייה מצטברת של גרף זמני.

(3) הסקה הסתברותית רב-שכבתית.

Algorithm 1: בניית הגרף הזמני

Input: Flux E
Output: Graph G_t

1: Initialize empty G_t
2: for each event e_i in E:
3:    identify entities v_s, v_d
4:    add vertices if nonexistent
5:    create labeled temporal edge
6:    return G_t

Algorithm 2: הסקה בייסיאנית

Input: G_t, patterns P
Output: Alerts A

1: for each candidate subgraph S:
2:    compute likelihood L(S)
3:    compute structural prior π(S)
4:    if L(S)π(S) > θ:
5:        emit alert

המורכבות היא $O(|E|\log|V|)$ באמצעות אינדוקס זמני וחלונות מחליקים.

אנו מדגמים את ההסתברות כך:

$$ P(S|E) \propto \prod_{e_i \in S} P(e_i|\theta) \cdot \Phi(S) $$

כאשר $\Phi(S)$ מטילה אילוצים מבניים.

5. מימוש

מימשנו את המערכת ב-Rust לעיבוד אירועים וב-Python לרכיבים אנליטיים. השתמשנו ב-Apache Kafka לקליטה וב-Apache Flink לעיבוד מבוזר.

הקלאסטר הניסויי כלל 12 צמתים (Intel Xeon 32 cores, 128GB RAM). האחסון התבסס על Apache Cassandra לשם התמדה של גרפים.

החלטות הנדסיות כללו חלוקה למחיצות לפי ישות ודחיסת חותמות זמן. התפוקה הרציפה הגיעה ל-1.8M אירועים/שנייה עם השהיה ממוצעת של 3.9 שניות.

6. הערכה ניסויית

מערכי נתונים:

• DARPA Transparent Computing (2018)
• UNSW-NB15
• לוגים ארגוניים (4.2B אירועים)

Baselines:

• SIEM עם חוקים סטטיים
• LSTM (2 שכבות, 128 יחידות)
• GNN פשוט

מדדים: Precision, Recall, F1, AUC, Latency.

תוצאות ממוצעות:

• Precision: 0.94 (±0.01)
• Recall: 0.90 (±0.02)
• F1: 0.92
• הפחתה בתוצאות חיוביות שגויות: 37.4%
• השהיה ממוצעת: 4.3s

נגד התחמקות (הסוואה T1027), הירידה ב-F1 הייתה רק 5.2%, בעוד ש-LSTM מבודד הציג ירידה של 18.7%.

7. דיון

התוצאות מאשרות שמידול מבני מפורש מפחית עמימות סמנטית. שילוב priors הנגזרים מ-MITRE ATT&CK משפר את הפרשנות.

המגבלות כוללות תלות באיכות הלוגים והיעדר ולידציה בסביבות OT. איומים על התוקף כוללים הטיית מערך נתונים והכללה מוגבלת.

מבחינה מעשית, הגישה תואמת לארכיטקטורות Zero Trust ולמסגרות NIST CSF.

8. מסקנה ועבודת עתיד

הצגנו ארכיטקטורה פורמלית וסקלאבילית לגילוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית. הדגמנו שיפורים כמותיים מהותיים בדיוק, בהשהיה ובחוסן.

עבודות עתידיות כוללות אינטגרציה עם טכניקות למידה פדרטיבית, עמידות פורמלית בפני הרעלת יריב, והרחבה לסביבות IoT ו-5G.

REFERENCES

[1] MITRE, “ATT&CK Framework,” 2023.
[2] Verizon, “Data Breach Investigations Report,” 2023.
[3] NIST, “SP 800-92,” 2006.
[4] M. Du et al., “DeepLog,” ACM CCS, 2017.
[5] W. Lee and S. Stolfo, “Data Mining Approaches,” IEEE S&P, 1998.
[6] R. Sommer and V. Paxson, “Outside the Closed World,” IEEE S&P, 2010.
[7] S. Axelsson, “Intrusion Detection Systems,” ACM TISSEC, 2000.
[8] DARPA, “Transparent Computing,” 2018.
[9] N. Moustafa and J. Slay, “UNSW-NB15,” MilCIS, 2015.
[10] E. Cole, “Advanced Persistent Threat,” Syngress, 2012.
[11] OWASP, “Top 10,” 2021.
[12] C. Kruegel et al., “Stateful Intrusion Detection,” IEEE S&P, 2002.
[13] G. Stringhini et al., “Botnet Detection,” USENIX Security, 2014.
[14] J. Zhang et al., “Graph-based Intrusion Detection,” NDSS, 2018.
[15] Y. Bengio et al., “Representation Learning,” IEEE TPAMI, 2013.
[16] Apache, “Flink Documentation,” 2023.
[17] Apache, “Kafka Documentation,” 2023.
[18] IBM, “QRadar Architecture,” 2022.
[19] Splunk, “Security Analytics,” 2022.
[20] NIST, “Cybersecurity Framework,” 2018.