כותרת: אבטחה בסביבות מחשוב ענן בשנת 2023: שילוב CNAPP, תצפיתיות עם eBPF וסיכונים מתהווים של בינה מלאכותית גנרטיבית

1. מבוא

מחשוב ענן התבסס כתשתית יסודית למערכות דיגיטליות עכשוויות. ארגונים במגזרים שונים העבירו עומסי עבודה קריטיים לפלטפורמות כגון Amazon Web Services (AWS), Microsoft Azure ו-Google Cloud Platform (GCP), מתוך מניעים של מדרגיות, אלסטיות ויעילות תפעולית. עם זאת, טרנספורמציה זו גם הציבה אתגרי אבטחה מהותיים, שכן סביבות מבוזרות ודינמיות מאוד מרחיבות באופן משמעותי את משטח התקיפה (ZHANG et al., 2018).

בשנת 2023, האבטחה בענן הושפעה במידה רבה משלושה גורמים מבניים. ראשית, אימוץ המוני של ארכיטקטורות cloud‑native המבוססות על קונטיינרים ואורקסטרציה באמצעות Kubernetes, שהציגו שכבות חדשות של הפשטה ופגיעויות תפעוליות אפשריות (BURNS; BEDA; HIGHTOWER, 2019). שנית, התבססותן של פלטפורמות אבטחה משולבות, ובפרט המודל Cloud‑Native Application Protection Platform (CNAPP), המאחד קטגוריות הגנה שונות שבעבר היו מפוצלות (GARTNER, 2021). שלישית, האינטגרציה המהירה של בינה מלאכותית גנרטיבית ביישומים ארגוניים, היוצרת משטחי סיכון חדשים הקשורים למניפולציית פרומפטים, דליפת נתונים וניצול מודלים.

בנוסף, טכניקות מודרניות לתצפיתיות (observability) של מערכת ההפעלה, ובפרט השימוש ב-extended Berkeley Packet Filter (eBPF), הפכו לכלים רלוונטיים לניטור ולזיהוי התנהגות זדונית בסביבות Linux מבוזרות (HØILAND‑JØRGENSEN et al., 2018). היכולת לארגן instrumentation של הקרנל בעלות תקורה נמוכה מאפשרת לצפות בפעילות רשת, מערכת קבצים וקריאות מערכת בזמן אמת.

בעבודה זו אנו בוחנים כיצד מגמות אלו מתלכדות כדי להגדיר מחדש אסטרטגיות הגנה בסביבות ענן. מטרתנו היא לשלב יסודות תיאורטיים, מנגנונים טכניים ופרקטיקות תפעוליות עכשוויות כדי להציע מודל קוהרנטי להגנה על תשתיות מבוזרות.

2. רקע

אבטחת ענן מבוססת על מודל האחריות המשותפת בין הספק ללקוח. הספק אחראי לאבטחת התשתית הפיזית והווירטואליזציה, בעוד שהלקוח שומר על שליטה על קונפיגורציות, יישומים וניהול זהויות (AMAZON WEB SERVICES, 2023).

מודל זה יוצר אתגרים ייחודיים, במיוחד כאשר הסביבות מורכבות ממספר שירותים מנוהלים ומשאבים ארעיים. המורכבות התפעולית גדלה באופן אקספוננציאלי עם אימוץ מיקרו־שירותים וצינורות DevOps אוטומטיים.

2.1 מודלי שירות בענן

מודל	אחריות הלקוח	אחריות הספק
IaaS	מערכת הפעלה, יישומים, רשת וירטואלית	חומרה, וירטואליזציה
PaaS	יישומים ונתונים	פלטפורמה, runtime, תשתית
SaaS	קונפיגורציה וזהות	יישום, תשתית ו-runtime

הבחנה בין מודלים אלה משפיעה ישירות על מנגנוני בקרת האבטחה החלים (MELL; GRANCE, 2011).

2.2 ארכיטקטורות Cloud‑Native

ארכיטקטורות מודרניות מתאפיינות בקונטיינרים, מיקרו־שירותים ואורקסטרציה אוטומטית. Kubernetes הפך לסטנדרט דה־פקטו לניהול אשכולות מבוזרים. אף שהוא מספק בידוד ומדרגיות, שגיאות קונפיגורציה, כגון הרשאות יתר ב-RBAC או חשיפה בלתי הולמת של APIs, מהוות וקטורי תקיפה שכיחים (BURNS; BEDA; HIGHTOWER, 2019).

3. איומים עכשוויים בסביבות ענן

מחקרים עדכניים מראים כי תקריות בענן נובעות לעיתים קרובות מכשלים בקונפיגורציה ובניהול זהויות (IBM, 2023). בין הווקטורים הרלוונטיים ביותר שנצפו עד 2023 נמנים:

• חשיפה של buckets אחסון
• פגיעה במפתחות API
• תקיפות על שרשרת האספקה של תוכנה
• ניצול לרעה של APIs לניהול
• הסלמת הרשאות בסביבות Kubernetes

3.1 סיכונים הקשורים לבינה מלאכותית גנרטיבית

הטמעת מודלי שפה גדולים ביישומים ארגוניים מציגה סיכוני אבטחה חדשים. בין העיקריים שבהם מצויים מתקפות prompt injection, שבהן הוראות זדוניות מניפולטיביות מתמרנות את התנהגות המודל כך שתתעלם ממדיניות אבטחה או תחשוף מידע רגיש (GOULD et al., 2023).

בנוסף, נתונים הנשלחים למודלים חיצוניים עלולים להביא לחילוץ מידע סודי, במיוחד כאשר יומנים או היסטוריות שיחה נשמרים אצל ספקים.

4. Cloud‑Native Application Protection Platform (CNAPP)

מושג ה-CNAPP נוצר כניסיון לאחד קטגוריות שונות של כלי אבטחת ענן. באופן מסורתי, ארגונים השתמשו בפתרונות נפרדים לניטור קונפיגורציה, הגנת עומסי עבודה וניתוח פגיעויות.

CNAPP משלבת רכיבים כגון:

רכיב	תפקיד
CSPM	הערכת קונפיגורציה של תשתית
CWPP	הגנה על workloads בזמן ריצה
CIEM	ניהול הרשאות וזהויות
Container Security	ניתוח תמונות ו-runtime

התכנסות זו מצמצמת פערי נראות ומאפשרת קורלציה של אירועי אבטחה בין שכבות שונות של התשתית (GARTNER, 2021).

5. תצפיתיות אבטחה באמצעות eBPF

eBPF היא טכנולוגיית kernel ב-Linux המאפשרת להריץ תוכניות מאומתות בתוך מרחב הקרנל באופן בטוח. יכולת זו מאפשרת instrumention עמוקה של המערכת ללא צורך בשינוי קוד הקרנל (HØILAND‑JØRGENSEN et al., 2018).

כלים מודרניים משתמשים ב-eBPF כדי לנטר קריאות מערכת, זרמי רשת ואירועי תהליך בקונטיינרים.

דוגמה פשוטה למעקב אחר הרצות תהליכים באמצעות eBPF:

bpftrace -e 'tracepoint:syscalls:sys_enter_execve
{
  printf("Processo executado: %s\n", str(args->filename));
}'

סוג זה של תצפיתיות מאפשר לזהות פעילויות חריגות בזמן אמת, כגון הרצה בלתי צפויה של shells בתוך קונטיינרים שנפגעו.

6. מודל פורמלי להערכת סיכון במולטי‑ענן

אנו מציעים מודל כמותי להערכת סיכון עבור סביבות מולטי‑ענן המבוסס על שלושה משתנים עיקריים: חשיפה ($E$), קריטיות הנכס ($C$) והסתברות לניצול ($P$).

הסיכון הכולל של נכס $i$ ניתן להגדרה כך:

$$ R_i = E_i \times C_i \times P_i $$

כאשר:

• $E_i$ מייצג את מידת החשיפה החיצונית של המשאב
• $C_i$ מייצג את ההשפעה הפוטנציאלית של הפגיעה
• $P_i$ מייצג את ההסתברות לניצול על בסיס פגיעויות ידועות

עבור סביבה עם $n$ נכסים, הסיכון המצטבר הוא:

$$ R_{total} = \sum_{i=1}^{n} R_i $$

מודל זה מאפשר לתעדף תיקוני אבטחה על בסיס השפעה כמותית.

6.1 אינטגרציה עם טלמטריית אבטחה

נתוני טלמטריה המגיעים מפלטפורמות CNAPP ומחיישני eBPF יכולים להזין באופן אוטומטי את פרמטרי המודל. לדוגמה:

מקור נתונים	מדד נגזר
יומני IAM	הסתברות לשימוש לרעה באישורים
סורק פגיעויות	הסתברות לניצול
טלמטריית eBPF	אינדיקטורים התנהגותיים

אינטגרציה זו מאפשרת הערכת סיכון רציפה בסביבות דינמיות.

7. ממשל AI בתשתיות ענן

עם האימוץ ההולך וגובר של מערכות מבוססות למידת מכונה, ממשל AI הפך לרכיב חיוני באבטחה הארגונית. מסגרות ממשל כוללות מדיניות שימור נתונים, ולידציה של פרומפטים וביקורת של אינטראקציות עם מודלים.

מסגרות ניהול סיכוני AI, כגון AI Risk Management Framework של NIST, מספקות הנחיות למיתון סיכונים הקשורים לשימוש ב-AI במערכות קריטיות (NIST, 2023).

8. דיון

ההתלכדות בין תצפיתיות עמוקה, אוטומציה של מדיניות ופלטפורמות משולבות מייצגת התפתחות משמעותית בהגנת סביבות ענן. עם זאת, אתגרים עדיין נותרו, במיוחד בקורלציה של אירועים מבוזרים ובניהול זהויות בסביבות דינמיות מאוד.

בנוסף, האינטגרציה של מערכות מבוססות AI מרחיבה את היקף האבטחה המסורתית. ארגונים חייבים להביא בחשבון לא רק פגיעויות טכניות, אלא גם מניפולציה סמנטית והתקפות מבוססות שפה.

9. מסקנה

אבטחת מחשוב ענן בשנת 2023 מחייבת גישה רב־ממדית המשלבת מנגנונים קריפטוגרפיים, ניטור בזמן אמת וממשל של בינה מלאכותית. פלטפורמות CNAPP מציעות אינטגרציה תפעולית בין שכבות הגנה שונות, בעוד שטכנולוגיות כגון eBPF מרחיבות באופן משמעותי את הנראות על התנהגויות המערכת.

המודל הפורמלי לסיכון שהוצע מדגים שמדדים כמותיים יכולים להנחות החלטות מיתון בסביבות מורכבות ומבוזרות. ככל שהתשתיות הדיגיטליות נעשות תלויות יותר ויותר באוטומציה וב-AI, אסטרטגיות אבטחה חייבות להתפתח כדי לכלול ניטור התנהגותי, אימות פורמלי ומדיניות אדפטיבית.

References

AMAZON WEB SERVICES. AWS Shared Responsibility Model. 2023. Available at: https://aws.amazon.com/compliance/shared-responsibility-model/. Accessed on: 10 mar. 2023.

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

BEHL, Abhishek; BEHL, Kriti. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780199918096

BHATIA, Saurabh et al. Cloud Security: Concepts, Methodologies, Tools, and Applications. Hershey: IGI Global, 2020. Available at: https://www.igi-global.com/book/cloud-security-concepts-methodologies-tools/242381

BROWN, Gavin et al. Detecting Kubernetes Security Misconfigurations. IEEE Security & Privacy, 2021. Available at: https://ieeexplore.ieee.org/document/9447197

ENISA. Cloud Security for SMEs. European Union Agency for Cybersecurity, 2022. Available at: https://www.enisa.europa.eu/publications/cloud-security-for-smes

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms. 2021. Available at: https://www.gartner.com/en/documents/4007016

GOULD, R.; HODGES, J.; RYAN, M. Prompt Injection Attacks Against Large Language Models. 2023. Available at: https://arxiv.org/abs/2302.12173

HØILAND‑JØRGENSEN, Toke et al. The eBPF Ecosystem. Proceedings of the Linux Plumbers Conference, 2018. Available at: https://ebpf.io

IBM. Cost of a Data Breach Report 2023. Armonk: IBM Security, 2023. Available at: https://www.ibm.com/reports/data-breach

KREBS, Brian. Spam Nation: The Inside Story of Organized Cybercrime. Naperville: Sourcebooks, 2014. Available at: https://krebsonsecurity.com/book

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST Special Publication 800‑145. 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf

NIST. AI Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework

OWASP. Top 10 Cloud Security Risks. 2022. Available at: https://owasp.org/www-project-cloud-top-10

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com/en-us/Threat+Modeling-p-9781118809990

SOMOROVSKY, Juraj. Systematic Fuzzing and Testing of TLS Libraries. IEEE Symposium on Security and Privacy, 2016. Available at: https://ieeexplore.ieee.org/document/7546510

STALLINGS, William. Network Security Essentials. 6. ed. Boston: Pearson, 2017. Available at: https://www.pearson.com

TALOS, Cisco. Kubernetes Threat Landscape. 2022. Available at: https://blog.talosintelligence.com

ZHANG, Qi; CHEN, Min; LI, Laurence. Cloud Computing: State-of-the-Art and Research Challenges. Journal of Internet Services and Applications, 2018. Available at: https://link.springer.com/article/10.1186/s13174-018-0087-1

ZHOU, Z.; LI, Y.; CHEN, X. Security and Privacy in Cloud Computing: A Survey. IEEE Access, 2020. Available at: https://ieeexplore.ieee.org/document/9099066

KIM, Gene et al. The DevOps Handbook. Portland: IT Revolution Press, 2016. Available at: https://itrevolution.com

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Security for Full Virtualization Technologies. NIST, 2011. Available at: https://nvlpubs.nist.gov

BEHRENDT, Michael et al. Cloud Native Security Patterns. 2022. Available at: https://www.cncf.io/reports

CNCF. Cloud Native Security Whitepaper. 2022. Available at: https://www.cncf.io/reports/cloud-native-security-whitepaper

MICROSOFT. Azure Security Benchmark v3.0. 2022. Available at: https://learn.microsoft.com/security/benchmark/azure

GOOGLE CLOUD. Security Foundations Guide. 2023. Available at: https://cloud.google.com/security-foundations

RUSSELL, Stuart; NORVIG, Peter. Artificial Intelligence: A Modern Approach. 4. ed. Hoboken: Pearson, 2021. Available at: https://aima.cs.berkeley.edu