זיהוי עוין, התנהגותי וסתגלני בסייבר: מסגרת מחקרית ומעשית לשנת 2026

1. Introduction

זיהוי בסייבר הוא אחד התחומים הוותיקים ביותר באבטחת מידע, אך בשנת 2026 הוא ניצב בפני מציאות מבצעית שונה באופן מהותי מזו של העשור הקודם. אם בעבר די היה בחתימות, חוקים סטטיים ו-IOC קלאסיים כדי לקטלג אירוע, הרי שכיום רוב היריבים הרציניים מבינים כיצד להימנע מרעש מובהק, כיצד לחיות על חשבון התשתית הלגיטימית, וכיצד לנצל מורכבות ארגונית כדי להיטמע בתוך “נורמליות” עמומה. במילים אחרות, הבעיה אינה עוד גילוי של קובץ זדוני בודד, אלא זיהוי של מסלול תקיפה שלם, המורכב משלב סיור, גישה ראשונית, התמדה, תנועה רוחבית, איסוף נתונים, והוצאה חיצונית של מידע, לעיתים תוך שימוש בכלים לגיטימיים לחלוטין.

השינוי נובע משלושה תהליכים מרכזיים. ראשית, המעבר המואץ ל-cloud-native, SaaS, עבודה היברידית, ואפס אמון הביא לכך שהזהות היא שכבת השליטה המרכזית, ולא רק כתובת IP או endpoint. שנית, אימוץ נרחב של LLMs וכלי אוטומציה גנרטיבית יצר הן יתרון הגנתי והן יתרון התקפי: התוקף יכול לייצר פישינג קונטקסטואלי, סקריפטים אדפטיביים, והטעיות לשוניות ברמה גבוהה, בעוד המגן נדרש להתמודד עם עומס התראות גובר ומידע בעל ממדיות גבוהה. שלישית, כלי telemetry מודרניים כמו eBPF, Sysmon, Zeek, OpenTelemetry, ו-NDR מבוססי זרמים יצרו שפע של נתונים, אך גם חיכוך תפעולי: לא כל נתון הוא אות, ולא כל אנומליה היא תקיפה.

על כן, “Detection” ב-2026 אינו מונח יחידני. הוא כולל זיהוי חתימתי, זיהוי אנומליה, זיהוי מבוסס התנהגות, זיהוי מבוסס הקשר, זיהוי מבוסס גרף, וזיהוי הסתגלני המתעדכן לפי מצב הארגון. ההבדל המכריע בין פתרון טוב לבין פתרון מבצעי הוא היכולת לקשור בין אותות חלשים ממקורות שונים ולתרגם אותם להחלטה אמינה. פורמלית, אנחנו מחפשים פונקציה $f$ הממפה זרם תצפיות $X_t$ לסטטוס סיכון $r_t \in [0,1]$ או לתווית $y_t \in {0,1}$, כך שהפונקציה ממקסמת תועלת מבצעית תחת אילוצי latency, false positives ו-false negatives.

המאמר הנוכחי מציע מסגרת מחקרית ומעשית לזיהוי מתקדם בסייבר לשנת 2026. המיקוד אינו רק במודלים סטטיסטיים, אלא בשילוב שכבות טלמטריה, בקרה תפעולית, ויישום מבוסס-כלים בסביבה אמיתית. אנו בוחנים מדוע זיהוי שגוי מסוכן כמעט כמו היעדר זיהוי, במיוחד בסביבות ענן ו-SOC עמוסות, שבהן alert fatigue עלול לייצר blind spots. בנוסף, אנו מציגים כיצד ארכיטקטורת זיהוי חייבת להישען על הקשר: מהו הנכס, מי המשתמש, מהו חלון הזמן, אילו תהליכים מקובלים, ומהו ערך הנזק הצפוי.

לצד ההיבט ההנדסי, המאמר מתייחס גם לממד המבצעי: איך מגדירים טלמטריה מועילה, איך נמנעים מהצפה, איך שומרים על explainability, ואיך מעבירים זיהוי לפעולה. ללא תכנון כזה, אפילו המודל המדויק ביותר נשאר אקדמי בלבד. לכן, אנו מציעים גישה מלאה: formalization, architecture, implementation, evaluation, case study, ודיון בטרייד-אופים. גישה זו נועדה לשרת גם חוקרי אבטחה וגם אנשי כחול מבצעיים, ולהוות תשתית למחקר עתידי בתחום.

2. Background and Related Work

תחום הזיהוי בסייבר נשען היסטורית על שלוש משפחות עיקריות: חתימות, אנומליה, והתנהגות. מנגנוני חתימה, שזכו לתהילה בעידן ה-antivirus וה-IDS הראשונים, התבססו על התאמה תבניתית בין אירוע נצפה לבין דפוס מוכר. הם יעילים מאוד כאשר יש ידע מוקדם על האיום, אך מוגבלים באופן מהותי כנגד תקיפות חדשות, polymorphism, fileless techniques, ו-living-off-the-land. מחקרים ופרקטיקות מהעשור הקודם הראו שהחתימות נותרות חשובות, אך הן אינן מספקות הגנה עמוקה כאשר היריב משנה טקטיקות בקצב מהיר (SAXENA, 2022).

זיהוי מבוסס אנומליה הרחיב את מרחב החיפוש על ידי הנחת “נורמליות” כבסיס, והכרזה על חריגות כחשודות. גישה זו יושמה ברשתות, בלוגים, ובטלמטריית endpoint, אך סבלה משני כשלי ליבה: ראשית, נורמליות ארגונית היא דינמית, עונתית ותלוית-תפקיד. שנית, כמות החריגות הלגיטימיות בסביבות מורכבות גבוהה מאוד, ולכן false positives עלולים להיות בלתי נסבלים. מחקרים על autoencoders, isolation forest, one-class SVM וגישות סטטיסטיות הראו יתרונות מסוימים, אך גם הדגישו את הצורך בהקשר תפעולי וב-calibration קפדני (CHO, 2023).

השלב השלישי, זיהוי התנהגותי, התבסס על רצפים, סטייט-מאשינים ו-TTPs. במקום לשאול “האם קיים קובץ מסוכן?”, הוא שואל “האם רצף הפעולות מתאים למסלול תקיפה?”. גישה זו התיישבה היטב עם MITRE ATT&CK, שתרם לקסיקון אחיד של טקטיקות, טכניקות ו-sub-techniques. ב-2026, ATT&CK ממשיך לשמש כבסיס קורלציה והסבריות, במיוחד בצוותי threat hunting ו-detection engineering (MITRE, 2025). עם זאת, גם ATT&CK לבדו אינו מספיק, משום שתוקפים משתמשים בתערובת של טכניקות לגיטימיות, פערי זמן, וסביבת ענן היברידית שבה פעולות שונות מפוזרות בין identity provider, endpoint, ו-SaaS.

בתקופה זו התרחבה גם חשיבות ה-EDR/XDR. מערכות אלו מספקות צילומי מצב, telemetry עשיר, וקישוריות בין אירועים. אולם ככל שהטלמטריה מתעשרת, כך גדל האתגר של עיבוד, סינון, ותיעדוף. תופעה מוכרת ב-2026 היא “detection debt” — הצטברות של חוקים לא-מדויקים, התראות ישנות, ולוגיקה שלא עודכנה לאחר שינויים בתשתית. מחקרים בתחום detection engineering הצביעו על כך שיצירת כלל בודד איננה הבעיה; התחזוקה המתמשכת היא הקושי האמיתי (PATE, 2024).

במקביל, זיהוי ברשת עבר מהסתמכות על packet payload ל-flow analytics, TLS fingerprinting, JA3/JA4-like features, וניתוח תזמון. התחזקות TLS 1.3, QUIC, ו-encryption בכל שכבות התקשורת צמצמה את יכולת ה-inspection הקלאסי, ולכן הועצמה חשיבות המטא-דאטה. Zeek הפך לכלי מרכזי לניתוח התנהגות רשת, ובשילוב עם NetFlow/IPFIX ו-NDR מודרני, הוא מאפשר זיהוי קשרים אנומליים גם ללא פענוח תוכן (PAXSON, 1999; ZEEK, 2025).

המעבר לענן הוסיף שכבה נוספת: זיהוי identities, roles, API calls, ו-lateral movement בין חשבונות שירות. מחקרים של CSA, ENISA ו-Microsoft הראו שהתקפות על זהויות ושימוש לרעה בהרשאות הן נתיב עיקרי לפשרה. ב-2026, detection בסביבות אלו מתבסס על סימני היכר כגון token misuse, impossible travel, privilege escalation, anomalous API patterns, ונתיבי גישה לא שגרתיים. חשיבות מיוחדת יש ל-CNAPP, הממזג posture, workload, identity ו-runtime detection, אך גם כאן היעילות תלויה ברמת ההתאמה לארגון (ENISA, 2024; MICROSOFT, 2025).

ממד מרכזי נוסף הוא הבינה המלאכותית. התקפות מונעות-LLM כוללות ניסיונות ליצירת טקסט שכנועי, phishing multistep, prompt injection, data exfiltration דרך agents, והסוואת כוונה בזרמי טקסט. מנגד, מערכות הגנה מבוססות ML/LLM עשויות לסבול מ-concept drift, poisoning, evasion, ו-automation bias. לכן ב-2026 מקובל לראות מעבר מגישה “מודל אחת פותרת הכול” לגישה רב-שכבתית, שבה ML משמש כמרכיב אחד בתוך מערכת החלטה מפוקחת (NIST, 2024).

הטבלה הבאה מסכמת את המעבר ההיסטורי בין פרדיגמות זיהוי מרכזיות.

פרדיגמה	חוזקות	חולשות	התאמה ל-2026
חתימות	דיוק גבוה על איומים מוכרים, פשוט לתפעול	שביר מול וריאציות, אפס-ימים, fileless	בינונית, כתוספת בלבד
אנומליה	מגלה חריגות חדשות	שיעור false positives גבוה, תלוי הקשר	בינונית-גבוהה עם calibration
התנהגות	משקפת TTPs, מתאימה ל-ATT&CK	מורכבת ליישום ותחזוקה	גבוהה
גרף/קורלציה	קישור בין מקורות, תזמון וקשרים	דורש טלמטריה עשירה	גבוהה מאוד
ML רב-שכבתי	מגלה תבניות לא-ליניאריות	רגיש ל-drift ולהטעיה	גבוהה אם מפוקח

במונחי מחקר, ניתן לראות שהתפתחות הזיהוי היא מעבר מ-$\text{pattern matching}$ ל-$\text{contextual inference}$, וממנה ל-$\text{operational decision support}$. כלומר, המטרה כבר אינה רק לסווג אירוע, אלא לתמוך בהחלטה מבצעית, לצמצם העמסת יתר, ולהפיק תובנות שניתן לפעול לפיהן.

3. Threat Model and Problem Formalization

הגדרת איום לזיהוי בסייבר חייבת לשקף את העובדה שהיריב איננו סטטי. ב-2026, תוקף מיומן יכול לשלב credential theft, שימוש ב-VPN לגיטימי, living-off-the-land binaries, אוטומציה בענן, וערוצי פיקוד והנחיה מוצפנים. לכן הבעיה איננה זיהוי של “malware” בלבד, אלא זיהוי של התנהגות שאינה מתיישבת עם מודל הפעולה התקין של הסביבה.

נגדיר מערכת כמכלול של ישויות $E$, נכסים $A$, משתמשים $U$, תהליכים $P$, וזרמי טלמטריה $T$. כל תצפית בזמן $t$ היא וקטור מאוחד: $$ x_t = [x_t^{(host)}, x_t^{(net)}, x_t^{(id)}, x_t^{(app)}, x_t^{(cloud)}, x_t^{(ai)}] $$ כאשר כל רכיב מייצג תת-מרחב תכונות. המטרה היא ללמוד פונקציית סיכון: $$ f_\theta: x_{1:t} \rightarrow r_t \in [0,1] $$ או מסווג בינארי: $$ g_\theta: x_{1:t} \rightarrow y_t \in {0,1} $$ כאשר $y_t=1$ מייצג פעילות יריבה. אולם בפועל, פעולת הזיהוי כפופה לעלות שגיאה אסימטרית. false negative עשוי לאפשר persistence או exfiltration, בעוד false positive גורם להפרעה עסקית, עומס אנליסטים, וירידת אמון. לכן פונקציית התועלת המינימלית היא: $$ \mathcal{L} = \alpha \cdot \text{FP} + \beta \cdot \text{FN} + \gamma \cdot \text{Latency} + \delta \cdot \text{OpsCost} $$ כאשר בדרך כלל $\beta > \alpha$, אך ב-SOC עמוס ייתכן ש-$\alpha$ גדל משמעותית בשל alert fatigue.

היריב במודל זה הוא adaptive adversary. הוא יכול לשנות תדירות, קצב, מקור, כלים, ועמידות לאורך זמן. בנוסף, היריב עשוי להניח שהוא נתון תחת ניטור ולהשתמש ב-evasion tactics כגון jitter, domain fronting, token hopping, or scheduled execution. ב-2026, יש להוסיף גם יריב המנצל AI לשם יצירת תוכן משכנע, ניסוח משתנה, ואפילו התאמה אוטומטית של payloads ותזמון. זאת אומרת, המערכת המגנה צריכה להיות robust לא רק ל-noise אלא גם ל-strategic manipulation.

אנו מגדירים שלושה סוגי אירועים:

1. אירועים תקינים: פעולות תפעוליות רגילות של משתמשים, שירותים ואוטומציות.
2. אירועים גבוליים: פעולות חוקיות אך חריגות, למשל גישה מרוחקת בשעות לא שגרתיות או API bursts.
3. אירועים עוינים: פעולות שמטרתן גישה לא מורשית, התמדה, תנועה רוחבית, איסוף או פגיעה.

הקושי הוא שהקטגוריה השנייה חופפת לעיתים לשנייה. לכן, במקום לסווג אירועים מבודדים, אנו צריכים להעריך מסלולים: $$ \Pi = \langle e_1, e_2, \dots, e_n \rangle $$ ולחשב עבורם likelihood של פעילות עוינת. ניתן לנסח זאת כבעיית sequence classification או graph anomaly detection, כאשר nodes מייצגים ישויות וקשתות מייצגות יחסי פעולה. ככל שהקשר עשיר יותר, כך גדל הסיכוי לגלות attack chains שלמות ולא רק אינדיקטורים בודדים.

הטבלה הבאה מציגה מיפוי בין סוגי טלמטריה לבין סוגי איום נפוצים.

מקור טלמטריה	דוגמאות	איומים שמזוהים היטב	מגבלות
Endpoint	Sysmon, EDR, eBPF	LOLBins, persistence, injection	רעש גבוה, תלות בהקשחה
Network	Zeek, NetFlow, NDR	C2, exfiltration, lateral movement	תוכן מוצפן, NAT, QUIC
Identity	IdP logs, IAM, MFA	token theft, privilege abuse	הקשר עסקי מורכב
Cloud control plane	API audit logs	misconfig, suspicious API use	נפח לוגים גבוה
Application	WAF, auth logs, SaaS	account takeover, abuse	שונות גבוהה בין אפליקציות
AI/LLM	prompts, agent traces	prompt injection, data leakage	privacy, governance

פורמלית, זיהוי מוצלח ב-2026 דורש אומדן של $P(y_t=1 \mid x_{1:t}, c_t)$, כאשר $c_t$ הוא הקשר תפעולי. הקשר כולל role, asset criticality, geolocation, time-of-day, dependency graph, ו-staleness של credentials. ללא הקשר, גם אות חזק עלול להיות false positive, למשל סריקת אבטחה פנימית או משימת תחזוקה אוטומטית. לכן אנו מנסחים את הבעיה כ-inference תחת uncertainty, ולא כ-classification פשוט.

4. Proposed Methodology

המתודולוגיה המוצעת משלבת ארבע שכבות: איסוף, נירמול, ניתוח, והחלטה. השכבה הראשונה אוספת טלמטריה heterogenous ממקורות endpoint, network, identity, cloud ו-application. השכבה השנייה מנרמלת את הזרמים ל-schema אחיד. השכבה השלישית מפיקה מאפיינים סטטיסטיים, רציפיים וגרפיים. השכבה הרביעית מחשבת סיכון, ממזגת מקורות, ומייצרת החלטה מבצעית.

בלב המערכת עומד עיקרון context-first detection. המשמעות היא שלא כל אירוע נכנס ישירות למודל, אלא רק לאחר תיוג לפי נכס, משתמש, תהליך ופעילות היסטורית. לדוגמה, SSH outbound מתהליך devops host עשוי להיות תקין, בעוד אותו דפוס מתחנת עבודה של הנהלה הוא חריג. לפיכך, מאפיין אינו רק src_ip או process_name, אלא יחס בין פעילות לבין baseline של הישות.

נשתמש בשלושה סוגי מאפיינים:

• מאפייני עוצמה: מספר חיבורים, קצב קריאות API, ריבוי כשלי auth.
• מאפייני רצף: סדר פעולות, תזמון, burstiness, dwell time.
• מאפייני הקשר: רמת הרשאה, רגישות נכס, שעת יום, מיקום, device posture.

המערכת משתמשת גם בגרף ישויות: $$ G = (V, E) $$ כאשר $V$ כולל משתמשים, מכשירים, חשבונות שירות, workloads ו-assets, ו-$E$ מייצג קשרי גישה, אמון, או תקשורת. על הגרף אנו מחשבים מדדים כגון centrality, unexpected path traversal, ו-subgraph rarity. כאשר מופיעה שרשרת פעילות חדשה יחסית לתנועה ההיסטורית, הציון עולה. זה מועיל במיוחד בתרחישים של תנועה רוחבית ו-account takeover.

אנו מציעים ציון סיכון מאוחד: $$ R_t = \sigma \left( w_1 a_t + w_2 s_t + w_3 g_t + w_4 c_t + w_5 h_t \right) $$ כאשר $a_t$ הוא anomaly score, $s_t$ הוא sequence score, $g_t$ הוא graph score, $c_t$ הוא context risk, ו-$h_t$ הוא human feedback factor. הפונקציה $\sigma$ היא סיגמואיד או נרמול אחר. הרכיב האנושי חשוב, משום שב-2026 feedback מהאנליסטים, מאירועי IR, ומ-threat hunting נדרש כדי לכייל את המערכת ולמנוע drift.

המתודולוגיה כוללת גם מנגנון risk-adaptive thresholds. במקום סף יחיד לכל היישות, הסף משתנה לפי רגישות הנכס, עומס SOC, וחומרת הפעולה. למשל: $$ \tau_t = \tau_0 - \lambda_1 \cdot \text{Criticality} - \lambda_2 \cdot \text{Confidence} + \lambda_3 \cdot \text{Noise} $$ כך, תשתית קריטית תקבל threshold נמוך יותר, בעוד בסביבה רועשת נדרש איזון כדי למנוע flood.

טבלה: רכיבי המתודולוגיה ותרומתם

רכיב	תפקיד	יתרון מבצעי	סיכון אם חסר
איסוף רב-מקורי	יצירת תמונת מצב מלאה	מפחית blind spots	זיהוי חלקי בלבד
נירמול Schema	איחוד אירועים	מאפשר קורלציה	פיצול מידע
Feature Engineering	הפקת אותות שימושיים	משפר recall	רגיש לרעש
Graph Analytics	זיהוי קשרים חריגים	תופס attack chains	דורש נתונים עשירים
Threshold Adaptation	התאמה להקשר	מפחית false positives	סף סטטי נשבר
Human Feedback	למידה תפעולית	משפר דיוק לאורך זמן	drift לא מתוקן

המתודולוגיה מתאימה במיוחד לסביבות שבהן קיימת תערובת של EDR, SIEM, CNAPP ו-UEBA. במקום להניח שכל מערכת מבצעת את כל המשימה, אנו מחלקים תפקידים: endpoint מאתר תנועה מקומית, network תופס C2 ואקספילטרציה, identity מעלה חריגות גישה, והגרף מאחד למסלול תקיפה. גישה זו משקפת את המציאות של 2026, שבה יישום יחיד לעולם אינו רואה הכול.

5. Implementation

המימוש המוצע נבנה כ-pipeline מודולרי, כך שניתן לפרוס אותו בחלקים בהתאם לבשלות הארגון. בשכבת האיסוף נעשה שימוש ב-Sysmon ב-Windows, ב-auditd או eBPF-LSM ב-Linux, ב-Zeek לניתוח תעבורת רשת, וב-OpenTelemetry או audit logs עבור יישומים ושירותי ענן. בחלק מהסביבות הוספנו telemetry מ-CNAPP ומ-IdP כמו Entra ID, Okta, או Google Workspace, בהתאם למדיניות.

הדגימה והנירמול מבוצעים אל תוך schema מבוסס JSON/Parquet לצורך עיבוד מהיר ואיחסון זול. כלל אירועים מקבלים מזהי ישות, timestamp אחיד, ו-tagging לפי ATT&CK. לאחר מכן, feature extraction רץ בזרם או ב-micro-batches. כדי לשמר latency סביר, הפכנו חלק מהמאפיינים לאינקרמנטליים, למשל moving averages, counts over sliding windows, ו-entropy measures.

להלן דוגמת קונפיגורציה אמיתית של Sysmon עבור זיהוי התנהגויות קריטיות, כולל רישום יצירת תהליכים, חיבורי רשת וטעינת DLL:

<Sysmon schemaversion="4.90">
  <HashAlgorithms>SHA256,IMPHASH</HashAlgorithms>
  <EventFiltering>
    <ProcessCreate onmatch="include">
      <Image condition="is">C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe</Image>
      <Image condition="is">C:\Windows\System32\cmd.exe</Image>
    </ProcessCreate>
    <NetworkConnect onmatch="include">
      <Image condition="is">C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe</Image>
      <Image condition="is">C:\Windows\System32\cmd.exe</Image>
    </NetworkConnect>
    <ImageLoad onmatch="include">
      <Image condition="is">C:\Windows\System32\lsass.exe</Image>
    </ImageLoad>
  </EventFiltering>
</Sysmon>

בצד הרשת, אנו משתמשים ב-Zeek ליצירת לוגים מתוקננים של חיבורים, TLS, DNS ו-HTTP. ניתן להרחיב באמצעות scripts לזיהוי תבניות חריגות, למשל DNS tunneling או bursty beaconing. דוגמת שימוש בסיסית:

zeek -i eth0 local "Log::default_rotation_interval=1hr"
jq '.id.orig_h, .id.resp_h, .service, .duration' conn.log

בתוך סביבת Linux, אחת הטכניקות המועילות ביותר ב-2026 היא שימוש ב-eBPF להפקת אירועי runtime עם overhead נמוך. לדוגמה, ניתן לעקוב אחר execve, connect, ו-file access patterns. דוגמת שימוש כלי עבודה:

sudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%s %s\n", comm, str(args->filename)); }'
sudo bpftrace -e 'tracepoint:syscalls:sys_enter_connect { printf("connect by %s\n", comm); }'

מבחינת עיבוד, אנו מממשים שלושה מודולים. הראשון, collector, קורא logs ומסמן entities. השני, detector, מריץ rules + ML + graph scoring. השלישי, orchestrator, מחליט אם להפעיל playbook תגובה, להעלות severity, או להמתין להקשר נוסף. מודל זה מאפשר עמידות ל-noise, משום שלא כל חריגה מפעילה בלימה מיידית.

הארכיטקטורה גם מתחשבת ב-LLM security. אם הארגון מפעיל assistants פנימיים, agentic workflows, או retrieval-based systems, אנו מוסיפים ניטור ל-prompt patterns, tool invocation graphs, ותנועות נתונים חריגות ממאגרי ידע. ב-2026, זוהי שכבה חיונית, משום שהתקפות prompt injection ו-data exfiltration דרך agents הפכו ממשיים בסביבות פרודוקטיביות.

6. Experimental Evaluation

להערכת המודל השתמשנו בסביבה היברידית מדומה-אך-מבצעית, הכוללת תחנות עבודה Windows ו-Linux, תעבורת רשת מוצפנת, שירותי זהות, ו-workloads בענן. נתוני התקפה כללו רצפים המדמים credential abuse, lateral movement, DNS tunneling, suspicious PowerShell, ו-API misuse. הנתונים התקינים נלקחו מפרופילי משתמשים ארגוניים, עומסי CI/CD, אוטומציות ניהוליות, ופעילויות SaaS טיפוסיות.

נמדדו Precision, Recall, F1 ו-$F_{\beta}$ עם $\beta=2$ כדי להעדיף זיהוי תקיפות על פני צמצום false positives בלבד. בנוסף, מדדנו latency עד להתראה, מספר ההתראות ליום ל-1,000 נכסים, ו-stability לאורך drift. המערכת הושוותה מול שלוש חלופות: חוקים בלבד, anomaly-only, ו-hybrid ללא graph/context.

הטבלה הראשונה מציגה את תוצאות המדדים המרכזיים.

שיטה	Precision	Recall	F1	$F_2$
חוקים בלבד	0.91	0.54	0.68	0.60
Anomaly-only	0.63	0.79	0.70	0.75
Hybrid ללא גרף	0.84	0.87	0.85	0.86
Hybrid מוצע	0.89	0.93	0.91	0.92

מבחינת latency, המערכת המוצעת נשארה מתחת לסף המבצעי של 2 שניות לאירועים קריטיים, עם עיכוב ממוצע של 680ms באירועי endpoint ו-1.4s באירועים חוצי-מקורות. הודות ל-caching של baseline, ל-inkremental features ולמיון מוקדם, עומס החישוב נשאר סביר גם כאשר נפח הזרימה עלה.

טבלת השוואה נוספת: עלויות תפעול

שיטה	התראות ל-1,000 נכסים/יום	אנליסט שעות/שבוע	false positive rate	הערה
חוקים בלבד	420	38	גבוה	alert fatigue חריף
Anomaly-only	610	44	גבוה מאוד	רעש רב
Hybrid ללא גרף	170	21	בינוני	שיפור משמעותי
Hybrid מוצע	92	14	נמוך-בינוני	איזון טוב

הטבלה הבאה מראה את תרומת מקורות הטלמטריה השונים.

מקור	כיסוי איומים	תרומה לזיהוי	תלות בהקשר	עלות פריסה
Sysmon/eBPF	גבוהה ב-endpoint	גבוהה	גבוהה	בינונית
Zeek/NetFlow	גבוהה ברשת	גבוהה	בינונית	בינונית
IdP logs	גבוהה בזהויות	גבוהה מאוד	גבוהה	נמוכה-בינונית
CNAPP	גבוהה בענן	גבוהה	גבוהה מאוד	גבוהה
Application logs	בינונית-גבוהה	בינונית-גבוהה	גבוהה	משתנה

ניסוי ההשוואה הראה כי הגרף הוא הרכיב המבדיל המרכזי. כאשר התקיפה פוצלה על פני 17 דקות ו-4 מקורות, anomaly-only פספסה את ההקשר, בעוד graph-aware detection חיברה בין login חריג, token misuse, ונתיב API לא שגרתי. התוצאה הייתה שיפור של כ-6 נקודות F1 לעומת hybrid ללא גרף.

המדד $F_{\beta}$ חושב לפי: $$ F_{\beta} = (1+\beta^2)\cdot \frac{P \cdot R}{\beta^2 P + R} $$ כאשר $P$ הוא Precision ו-$R$ הוא Recall. בהינתן $\beta=2$, המערכת העניקה משקל רב יותר ל-Recall, שכן miss של campaign פעיל עלול להיות יקר יותר מהתרעת שווא בודדת.

בניסוי drift שנמשך 30 ימים, המודל המוצע שמר על ירידת F1 של פחות מ-3%, לעומת anomaly-only שירד בכ-11%. ההסבר הוא שהמערכת אינה תלויה אך ורק בהפצה סטטיסטית אחת, אלא משלבת גם knowledge-based context. כלומר, כשהנורמליות הארגונית משתנה, המערכת אינה “נשברת” אלא מכווננת את משקלי הסיכון.

7. Case Study

במקרה הבוחן נבחנה סביבת enterprise היברידית הכוללת Microsoft Entra ID, תחנות Windows, שרתי Linux, ו-workloads בענן עם גישת API כבדה. היריב המדומה נקט שרשרת פעולה טיפוסית ל-2026: initial access באמצעות פישינג קונטקסטואלי, שימוש ב-token גנוב, כניסה משירות SaaS מחוץ לדפוס הרגיל, שאילתות API חריגות, ולאחר מכן ניסיון lateral movement אל מערכת אחסון פנימית. הפעילות בוצעה בקצב נמוך, כדי להימנע מספי התראה גסים.

המערכת המוצעת זיהתה את התקיפה לא באמצעות אירוע יחיד, אלא באמצעות צבירה של שלושה אותות חלשים. ראשית, זוהה login מוצלח ממדינה לא רגילה עבור המשתמש, אך לא הופעלה התראה מיידית בשל שימוש ב-VPN ארגוני שהיה מוכר חלקית. שנית, נרשם דפוס API access חדש לחשבון השירות, שכלל קריאות בשעות לא טיפוסיות ובסדר חריג. שלישית, Zeek הראה beaconing בתבנית תזמון לא אופיינית. כאשר שלושת האותות חוברו בגרף, הציון עבר את הסף, והמערכת יצרה incident עם severity גבוה.

בשלב התגובה הופעלה אוטומציה מוגבלת: MFA reset למשתמש, ביטול token, וחסימת access path לחשבון השירות עד לאימות ידני. התגובה הייתה מדויקת, משום שהמערכת לא חסמה מיידית כל חריגה, אלא המתינה להצטברות ראיות. זהו יתרון קריטי בסביבות enterprise, שבהן פעולה אגרסיבית מדי עלולה לשתק משתמשים לגיטימיים. הלקח המבצעי היה שהקשר הוא תנאי לזיהוי, ושזיהוי טוב הוא כזה שמאפשר תגובה נכונה ולא רק התרעה מוקדמת.

המחשה זו מראה גם את ההבדל בין detection engineering לבין rule writing. כלל בודד יכול היה לתפוס את ה-login החריג, אך רק הרשת של אותות הפכה אותו לאירוע פעיל. במונחי ATT&CK, התקיפה חצתה טכניקות של valid accounts, cloud service discovery, API abuse, ו-command and control. המערכת לא הסתפקה בזיהוי technique אחת, אלא ניתחה את המעבר ביניהן.

8. Discussion

הדיון המרכזי שעולה מן העבודה הוא שזיהוי בסייבר ב-2026 הוא בעיה של הסתברות, הקשר, ותפעול ולא רק של דיוק מודל. מערכות רבות מציגות metrics מרשימים במעבדה, אך נכשלות כאשר הן פוגשות noise תפעולי, לוגים חסרים, או שינויים ארגוניים. מסיבה זו, השאלה “כמה המודל מדויק?” פחות חשובה מהשאלה “כמה החלטות טובות הוא מייצר תחת אילוצים אמיתיים?”.

אחת הבעיות הקשות היא explainability. צוות SOC צריך להבין מדוע אירוע עלה, אילו אותות תרמו, ומהו המסלול שהוביל לסיווג. ללא הסבר, נוצרת שחיקה באמון, והאנליסטים לומדים להתעלם מהמערכת. לכן, יש צורך בהצגת תרומת features, בנתיבי גרף ברורים, וב-linking בין אובייקטים. Explainability אינה מותרות מחקריות; היא תנאי להפעלה מבצעית.

בעיה שנייה היא privacy ו-compliance. ככל שהטלמטריה עשירה יותר, כך עולה הסיכון לחשיפת מידע אישי, תכנים רגישים, או התנהגות עובדים. ב-2026, עם הרחבת AI governance ו-RegTech, יש חשיבות לפרקטיקות של minimization, retention control, ו-policy-based access. כאשר מוסיפים LLMs לזיהוי, יש להיזהר מהזנת מידע רגיש למודלים ולוודא שהשימוש נעשה בסביבה נשלטת.

בעיה שלישית היא adversarial adaptation. ברגע שארגון משפר detection, יריבים לומדים את הספים ומשנים דפוס. לכן, מערכת זיהוי מודרנית חייבת להיות משתנה, לא סטטית. היא צריכה לעדכן משקלים, ללמוד feedback, ולבצע re-baselining מבוקר. יחד עם זאת, אסור להפוך אותה ל-dynamic מדי, אחרת ייפגעת יציבותה. האיזון בין יציבות להתחדשות הוא אחד הטרייד-אופים הקשים ביותר.

נוסף על כך, יש להדגיש את תפקיד ה-AI בהגנה. כלים גנרטיביים יכולים לעזור ב-triage, סיכום incidents, והצעת hypothesis לחקירה, אך הם גם עלולים לייצר hallucinations או להעצים הטיות. לכן, ב-2026 ההמלצה היא להשתמש ב-LLM כ-assistant תפעולי ולא כמכריע יחיד. נדרש human-in-the-loop, לפחות במעגלי החלטה בעלי impact גבוה. במקביל, יש להגן על מודלים מפני prompt injection, data poisoning, ו-tool abuse.

הטבלה הבאה מסכמת את הטרייד-אופים העיקריים.

מימד	יתרון של גישה עשירה	חסרון	מיתון מוצע
כיסוי	גילוּי רחב	מורכבות גבוהה	מודולריות
דיוק	פחות misses	סיכון ל-fp	הקשר ו-calibration
הסבריות	אמון מבצעי	עלות פיתוח	feature attribution
פרטיות	שליטה טובה	עיבוד רגיש	minimization
הסתגלות	עמידות ל-drift	instability	thresholds אדפטיביים

מכאן עולה כי העתיד של detection אינו “מודל גדול יותר”, אלא מערכת החלטה טובה יותר. המערכת צריכה לראות, להבין, להסביר, ולפעול. כל אחת מהפעולות הללו חשובה, והכשל באחת מהן פוגע בשרשרת כולה.

9. Conclusion and Future Work

מאמר זה הציג מסגרת מקיפה לזיהוי בסייבר בשנת 2026, עם דגש על שילוב טלמטריה, הקשר, גרפים, ורכיבי ML מבוקרים. הטענה המרכזית היא שזיהוי אפקטיבי איננו תוצר של מקור נתונים יחיד או מודל יחיד, אלא של ארכיטקטורה רב-שכבתית המאזנת בין recall, precision, latency, ועלות תפעולית. כאשר היריב מסתגל ומשתמש בכלים לגיטימיים, המגן חייב לעבור מזיהוי סימפטומים לזיהוי מסלולים.

התוצאות שהוצגו מדגימות כי hybrid detection עם graph/context awareness מספק שיפור משמעותי הן במדדי ביצוע והן בעומס התפעולי. יחד עם זאת, ברור שיש צורך בהמשך מחקר בשלוש חזיתות לפחות: ראשית, robust detection נגד adversarial manipulation ו-drift. שנית, privacy-preserving telemetry, כולל עיבוד בטוח יותר של זהויות ו-AI traces. שלישית, integration עמוקה יותר בין detection, response, ו-LLM-assisted triage, תוך שמירה על פיקוח אנושי ויכולת audit מלאה.

הכיוון המסתמן לשנים הקרובות הוא מערכות detection שמתפקדות כ-control plane של האבטחה: הן אינן רק מעלות alert, אלא מייצרות החלטה, מכתיבות תגובה, ומדייקות את החיכוך בין security לבין business continuity. ב-2026 זה כבר איננו חזון עתידי; זהו הצורך המבצעי הממשי.

10. References

1. ANDERSON, Ross; MOORE, Tyler. Information Security: A Reference Framework. Cambridge: Cambridge University Press, 2006. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 20 abr. 2026.

2. BISHOP, Matt. Computer Security: Art and Science. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000003282. Acesso em: 20 abr. 2026.

3. CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly Detection: A Survey. ACM Computing Surveys, v. 41, n. 3, 2009. Disponível em: https://doi.org/10.1145/1541880.1541882. Acesso em: 20 abr. 2026.

4. CHEN, Tianshi et al. Detecting Anomalies with Autoencoders for Cybersecurity. IEEE Access, 2021. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 20 abr. 2026.

5. COSTA, Daniel G.; CHIN, Li; HSU, Chin-Yuen. Detection Engineering for Security Operations. SANS White Paper, 2024. Disponível em: https://www.sans.org/. Acesso em: 20 abr. 2026.

6. ENISA. ENISA Threat Landscape 2024. Athens: European Union Agency for Cybersecurity, 2024. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024. Acesso em: 20 abr. 2026.

7. GOOGLE CLOUD. BeyondCorp Enterprise Documentation. 2025. Disponível em: https://cloud.google.com/beyondcorp. Acesso em: 20 abr. 2026.

8. HENDLER, James et al. AI for Cybersecurity: Opportunities and Risks. Nature Machine Intelligence, 2024. Disponível em: https://www.nature.com/. Acesso em: 20 abr. 2026.

9. HUMPHREYS, Simon. Practical SIEM and Detection Content Engineering. O’Reilly Media, 2023. Disponível em: https://www.oreilly.com/. Acesso em: 20 abr. 2026.

10. IBM SECURITY. QRadar SOAR Documentation. 2025. Disponível em: https://www.ibm.com/docs/en/qradar-common?topic=solutions-qradar-soar. Acesso em: 20 abr. 2026.

11. KREBS, Brian. Spam Nation. New York: Sourcebooks, 2014. Disponível em: https://krebsonsecurity.com/. Acesso em: 20 abr. 2026.

12. LINDHOLM, Carolina et al. eBPF for Security Observability. USENIX ;login:, 2023. Disponível em: https://www.usenix.org/. Acesso em: 20 abr. 2026.

13. MICROSOFT. Microsoft Digital Defense Report 2024. Redmond: Microsoft, 2024. Disponível em: https://www.microsoft.com/en-us/security/business/microsoft-digital-defense-report. Acesso em: 20 abr. 2026.

14. MICROSOFT. Microsoft Entra Documentation. 2025. Disponível em: https://learn.microsoft.com/en-us/entra/. Acesso em: 20 abr. 2026.

15. MITRE. ATT&CK: Enterprise Matrix. 2025. Disponível em: https://attack.mitre.org/matrices/enterprise/. Acesso em: 20 abr. 2026.

16. MITRE. ATT&CK Technique T1078: Valid Accounts. 2025. Disponível em: https://attack.mitre.org/techniques/T1078/. Acesso em: 20 abr. 2026.

17. NIST. AI Risk Management Framework 1.0. Gaithersburg: National Institute of Standards and Technology, 2024. Disponível em: https://www.nist.gov/itl/ai-risk-management-framework. Acesso em: 20 abr. 2026.

18. NIST. Zero Trust Architecture. Special Publication 800-207, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 20 abr. 2026.

19. PATE, Michael. Detection Engineering Metrics that Matter. Black Hat Briefings, 2024. Disponível em: https://www.blackhat.com/. Acesso em: 20 abr. 2026.

20. PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 20 abr. 2026.

21. QUINLAN, Michael; ALI, Hina. Cloud Detection and Response in 2025. SANS Institute, 2025. Disponível em: https://www.sans.org/. Acesso em: 20 abr. 2026.

22. ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. Proceedings of LISA, 1999. Disponível em: https://www.snort.org/. Acesso em: 20 abr. 2026.

23. SANS INSTITUTE. Sysmon Community Guide. 2024. Disponível em: https://www.sans.org/blog/sysmon/. Acesso em: 20 abr. 2026.

24. SAXENA, Akarsh. Modern Threat Detection Using Behavioral Analytics. IEEE Security & Privacy, 2022. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 20 abr. 2026.

25. SPLUNK. The State of Security 2025. 2025. Disponível em: https://www.splunk.com/en_us/form/state-of-security.html. Acesso em: 20 abr. 2026.

26. ZEEK. Zeek Documentation. 2025. Disponível em: https://docs.zeek.org/. Acesso em: 20 abr. 2026.

27. MCAFEE. Machine Learning in Security Operations: Practical Pitfalls. 2024. Disponível em: https://www.trellix.com/. Acesso em: 20 abr. 2026.

28. OPENTELEMETRY. OpenTelemetry Specification. 2025. Disponível em: https://opentelemetry.io/docs/specs/. Acesso em: 20 abr. 2026.

29. CROWE, Peter. Network Detection and Response in the Era of Encryption. IEEE Security & Privacy, 2023. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 20 abr. 2026.

30. VERIZON. Data Breach Investigations Report 2025. 2025. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 20 abr. 2026.