מחקר-נגד כתחום ליבה בסייבר: מתודולוגיה אמפירית, פורמליזציה של איום, והערכה מבצעית של מחזור מחקר תקיפה-הגנה בסביבת 2026

1. Introduction

מחקר בסייבר איננו רק אקט של סקרנות אינטלקטואלית; הוא מנגנון ייצור של יתרון מבצעי. בשונה מדיסציפלינות שבהן מחקר מכוון בעיקר להבנה תיאורטית, כאן כל תוצאה מחקרית עשויה להפוך בתוך ימים לקוד ניצול, לכלל זיהוי, לחתימת IDS, או לטכניקת עקיפה חדשה. לכן, כאשר עוסקים ב“מחקר” בתוך סייבר, יש להבין אותו כשרשרת ערך הכוללת גילוי, אימות, רה-פרודוקציה, סיווג, הנדסת בקרה, והטמעה במערכות הפעלה ובענן. זהו תחום שבו הבדל קטן בין ממצא “מעניין” לבין ממצא “מבצעי” נמדד לעיתים בזמן-לניצול $t_{exploit}$, בזמן-לזיהוי $t_{detect}$, ובפער היתכנות $g = t_{detect} - t_{exploit}$, שהוא לעיתים קובע האם ארגון ייפגע או יבלום את התקיפה (ANDERSON, 2020).

בשנת 2026, הקשר זה נעשה חד יותר. פריסת SaaS, Kubernetes, שירותי זהות מאוחדת, גישת Zero Trust שהבשילה לתרגול ארגוני, והטמעת AI גנרטיבי בתהליכי עבודה יצרו משטח תקיפה המשלב קלאסיקות של מערכות הפעלה עם בעיות חדשות של פרומפטים, עקיפת מדיניות, הנדסת הטעיה, והזרקת הקשר למודלים. במקביל, ההגנה התבגרה: eBPF משמשת לטלמטריה עמוקה בזמן אמת, CNAPP מאחדת תצפיות ענן, ו-SOAR מבצע אוטומציה של תגובה. אך דווקא העומס הזה יוצר צורך במחקר שיטתי, שכן ללא מסגרת מחקרית מדידה, הצפת הנתונים הופכת לרעש, והחוקר או הצייד מאבד יתרון.

מטרת מאמר זה היא להגדיר מחדש את מחקר הסייבר כמתודולוגיה אמפירית-מבצעית. אנו שואלים: כיצד ניתן לבנות מחקר שמייצר ידע בר-שחזור, בר-מדידה, ובן-הטמעה בהגנה, מבלי לאבד את הדיוק הטכני והקשר המבצעי? כיצד מחברים בין תצפיות ממעבדת sandbox לבין מציאות של adversary emulation? כיצד ממפים ממצא מחקרי למסגרות תקיפה-הגנה מקובלות, כך שיהיה ניתן להעריך השפעה על SOC, EDR, SIEM, NDR, ו-cloud control plane? לבסוף, כיצד מוודאים כי מחקר על AI, שרשראות אספקה, ו-identity misuse אינו מתנתק מן התכלית המעשית של הפחתת סיכון?

הטענה המרכזית של המאמר היא שמחקר סייבר יעיל ב-2026 צריך להיות מחזורי, מדיד, וניתן לאיחוי. מחזורי, משום שהאויב משנה TTPs בקצב גבוה. מדיד, משום שאחרת אין אפשרות להעריך אם הבקרה החדשה באמת משפרת את רמת ההגנה. וניתן לאיחוי, משום שממצא מחקרי חייב להתחבר למערכות קיימות: ל-TAXII/STIX, ל-MITRE ATT&CK, ל-CVSS/EPSS, לרשימות KEV, ולבקרות D3FEND. בכך, המחקר הופך ממסמך חד-פעמי לנכס תפעולי.

המאמר בנוי כך: תחילה נציג רקע ועבודות קשורות, כולל האבולוציה של מתודולוגיות מחקר בסייבר, כלי מחקר, ומסגרות נפוצות. לאחר מכן נגדיר מודל איום וננסח את הבעיה באופן פורמלי. בהמשך נציג מתודולוגיה מוצעת למחקר תקיפה-הגנה, כולל תהליך איסוף נתונים, אימות ממצאים, תיעוד, ותרגום לבקרות. בחלק היישום נתאר רכיבי תשתית, כולל שימוש בכלים כגון mitmproxy, Ghidra, YARA, Zeek, Velociraptor, ו-eBPF בשילוב Falco או Cilium Tetragon. לאחר מכן נציג הערכה ניסויית עם מדדים, טבלאות, וניסוי השוואתי. המאמר יסתיים במקרי בוחן, דיון, ומסקנות.

2. Background and Related Work

היסטורית, מחקר בסייבר התפתח משלושה צירים עיקריים: מחקר פגיעויות, מחקר זיהוי, ומחקר ממשל/היגיינה. הציר הראשון עסק בגילוי חולשות ובניצולן; הציר השני התרכז בחתימות, אנומליות, וטלמטריה; והציר השלישי ניסה להפוך תובנות מחקריות למדיניות ולבקרה. בשנות ה-2000 וה-2010, גישה נפוצה הייתה מחקר המתמקד ב-POC, ניתוח קוד, ו-Reverse Engineering. בהמשך, עם התרחבות הענן והתשתיות הדינמיות, נכנסו לתמונה מחקרי supply chain, מחקרי זהות, ו-API abuse. ב-2026, התחום כבר כולל גם ניתוח מודלים גנרטיביים, שיטות הגנה על prompt pipelines, וזיהוי ניצול של agents אוטונומיים.

בצד הסטנדרטיזציה, MITRE ATT&CK הפכה לשפת הדיבור המשותפת בין חוקרים, ציידי איומים, ומנהלי SOC. ATT&CK מאפשרת מיפוי של טכניקות, תתי-טכניקות, ויחסי הקשר בין טקטיקה לטכניקה. D3FEND משלים את התמונה מן הצד ההגנתי, ומאפשר לקשור ממצא מחקרי לבקרות כגון process lineage analysis, memory protection, credential hardening, ו-network segmentation. CVSS נותר מדד חומרה בסיסי, אך ב-2026 ברור כי הוא אינו מספיק לבדו; EPSS ו-CISA KEV הפכו חשובים יותר לתיעדוף אמיתי, שכן חומרה תיאורטית אינה שווה בהכרח לניצול בפועל (FIRST, 2023; CISA, 2026).

במחקר ניתוח קוד וניצול, Ghidra, IDA Pro, Binary Ninja, x64dbg, Frida, Radare2, ו-Cutter משמשים ככלי יסוד. בעולמות הדינמיים, strace, ltrace, perf, bpftrace, tcpdump, Zeek, Suricata, ו-Wireshark משמשים להפקת טלמטריה. בסביבות ענן וקונטיינרים, kubectl, kube-bench, kube-hunter, Trivy, Grype, Falco, Tetragon, ו-OPA Gatekeeper נכנסו לשימוש רחב. המחקר המודרני מחייב שילוב בין סטטי לדינמי, בין קוד לרשת, ובין endpoint ל-cloud control plane.

גם שיטות מחקריות השתנו. בעבר, מאמרי סייבר רבים הסתפקו ב-POC חד-פעמי או בנתונים סינתטיים. ב-2026, יש ציפייה לשחזור, לתיעוד סביבה, ליצירת datasets פתוחים היכן שניתן, ולהפרדה ברורה בין ממצאים לבין פרשנות. קווים מנחים לשחזוריות מדגישים תיעוד גרסאות, commit hashes, hashes של בינארים, קבצי קונפיגורציה, ופרופיל סביבה. מגמה זו הושפעה גם ממדעי הנתונים, שבהם reproducibility ו-FAIR data עיצבו מחדש ציפיות מחקריות (BARBA, 2018).

הופעת ה-AI הגנרטיבי שינתה את המרחב המחקרי בשתי דרכים מנוגדות. מצד אחד, הוא מאפשר האצה של triage, תרגום יומנים, ותיעוד; מצד שני, הוא מוסיף שכבת תקיפה חדשה: prompt injection, data poisoning, jailbreaks, model extraction, והנדסת אמון כוזב. מחקרי LLM security הראו כי המודל עצמו עלול להפוך לנקודת כניסה לשרשרת התקיפה, במיוחד כאשר הוא מחובר לכלים, ל-plugins, או ל-external retrieval (OWASP, 2024). מכאן שמחקר סייבר ב-2026 אינו יכול להסתפק בניתוח תוכנה מסורתית; עליו לנתח גם עיבוד שפה, תזמור אוטונומי, וניהול הרשאות של agents.

טבלה 1: אבני דרך מרכזיות במחקר סייבר עד 2026

תקופה	מאפיין מחקרי	כלים/מסגרות בולטים	תרומה עיקרית
2000–2010	מחקר פגיעויות וניצולים	IDA Pro, OllyDbg, Metasploit	מיקוד ב-RE ו-POC
2011–2018	מחקר זיהוי ו-APT	Zeek, Suricata, ATT&CK	מיפוי TTPs וטלמטריה
2019–2022	ענן, קונטיינרים, supply chain	Trivy, Falco, SLSA	הרחבת משטח התקיפה
2023–2026	AI security, eBPF, CNAPP	Tetragon, EPSS, KEV, OWASP LLM Top 10	מחקר רב-שכבתי, אוטומטי, מדיד

הספרות מצביעה על כך שחוקרי סייבר מצליחים יותר כאשר הם בונים סביבת ניסוי מבודדת אך ריאליסטית, אוספים מדדים כמותיים, ומשלבים את ממצאיהם עם taxonomy מקובל. מחקר שאינו ממופה ל-ATT&CK או D3FEND נותר לעיתים קשה לתרגום מבצעי. מחקר שאינו מצמיד את החולשה לניצול בפועל ולתיעדוף תפעולי עלול להפיק “רעש אסתטי”. לכן, ההכרח הוא לפתח גשר בין אמפיריקה לבין תפעול.

טבלה 2: השוואת מסגרות תיעדוף פגיעויות

מסגרת	סוג מדד	יתרון	מגבלה
CVSS v3.1	חומרה טכנית	סטנדרט ותיק ונפוץ	לא משקף היטב הקשר ארגוני
EPSS	הסתברות לניצול	משפר תיעדוף מבצעי	תלוי בנתוני שדה ובהתנהגות יריב
CISA KEV	ניצול מוכח	ממוקד סיכון אמיתי	אינו מכסה כל פגיעות אפשרית
PASTA/STRIDE	מודל סיכון	עוזר לתכנון הגנתי	פחות חזק לתיעדוף יומיומי

3. Threat Model and Problem Formalization

במאמר זה אנו מגדירים threat model שבו היריב הוא בעל יכולת הסתגלות גבוהה, גישה ל-tooling dual-use, ויכולת לשנות TTPs באופן מהיר. היריב יכול לפעול בשכבות שונות: קצה, רשת, זהות, ענן, אפליקציה, ומודלים גנרטיביים. אנו מניחים כי היריב שואף להשיג אחד או יותר מן היעדים הבאים: גניבת אישורים, איסוף מידע, עקיפת בקרות, תנועה רוחבית, הוצאת נתונים, או שיבוש שירות. בנוסף, היריב עשוי להשתמש ב-AI כדי לשפר פישינג, להפיק טקסטים מותאמים, או לבצע אוטומציה של reconnaissance.

מנקודת מבט מחקרית, הבעיה אינה רק גילוי טכניקה חדשה אלא הערכת יכולת ההגנה אל מול טכניקה זו. לכן, נגדיר את המטרה כבעיה של אופטימיזציה תחת אילוצי משאבים. יהי $D$ אוסף התצפיות, $T$ קבוצת הטכניקות, $C$ קבוצת הבקרות, ו-$M$ פונקציית המדידה. נרצה למקסם את $M(C, T, D)$ תחת אילוצי זמן, תקציב, ורמת סיכון:

$$ \max_{C \in \mathcal{C}} M(C, T, D) \quad \text{s.t.} \quad R© \leq R_{max}, ; B© \leq B_{max}, ; \tau© \leq \tau_{max} $$

כאשר $R©$ הוא סיכון מבצעי של הבקרה, $B©$ התקציב, ו-$\tau©$ זמן ההטמעה. מודל זה חשוב משום שהוא מחייב את החוקר לחשוב לא רק על “האם ניתן לבצע את התקיפה” אלא “האם ניתן להגן ביעילות ובקנה מידה”. ההבחנה קריטית במיוחד בענן ובאוטומציה, שם תגובה ידנית מאוחרת עלולה לאבד את חלון ההזדמנות.

אנו מניחים גם כי כל ממצא מחקרי עובר שרשרת תרגום: ממצא → מסווג ATT&CK → מאומת מול טלמטריה → מותאם לבקרה → נמדד מחדש. אם אחד השלבים נכשל, ערך הממצא יורד. לכן, נגדיר פונקציית התאמה $f$ כך ש-$f: \mathcal{F} \rightarrow \mathcal{A} \times \mathcal{D} \times \mathcal{B}$, כאשר $\mathcal{F}$ קבוצת הממצאים, $\mathcal{A}$ טכניקות ATT&CK, $\mathcal{D}$ הוכחות דינמיות, ו-$\mathcal{B}$ בקרות D3FEND. מיפוי זה אינו אוטומטי תמיד, אך הוא מאפשר עקביות.

טבלה 3: אובייקטים מרכזיים במודל האיום

רכיב	הגדרה	דוגמה
יריב	גורם בעל יכולת הסתגלות	APT, גורם פלילי, insider
ממצא	תצפית ברת-אימות	עקיפת AMSI, misuse של OAuth
טכניקה	דפוס תקיפה	T1059, T1003, T1566
בקרה	אמצעי הגנה	EDR, MFA, segmentation
מדד	כימות יעילות	FPR, TTD, coverage

במונחי הסתברות, אם $P(E)$ היא ההסתברות שאירוע התקיפה יצליח ו-$P(D)$ ההסתברות שהוא יתגלה בזמן, אז רמת סיכון גולמית ניתן לנסח בקירוב כ-$\rho = P(E)\cdot (1 - P(D)) \cdot I$, כאשר $I$ הוא השפעה. ממצא מחקרי טוב הוא כזה שמוריד את $P(E)$ או מעלה את $P(D)$ באופן מדיד. מחקר שאינו משנה אף אחד מן הרכיבים הללו הוא חשוב מדעית אולי, אך חלש תפעולית.

4. Proposed Methodology

המתודולוגיה המוצעת בנויה מחמישה שלבים: איסוף, אימות, מיפוי, הערכה, והטמעה. מטרת השלב הראשון היא לאסוף תצפיות ממקורות מגוונים: sandbox, תעבורת רשת, endpoint telemetry, cloud logs, Git repositories, bug trackers, threat reports, ו-honeypots. שלב זה דורש ניהול איכות נתונים, de-duplication, וחיתוך רעש. בשלב השני, החוקרים מאמתים את התצפית באמצעות רה-פרודוקציה מבוקרת. אם ממצא לא ניתן לשחזור בסביבה ידועה, הוא מסווג כחשוד או חלקי. שלב המיפוי מתרגם את הממצא ל-TTP ולבקרות אפשריות. בשלב ההערכה בוחנים את אפקטיביות הבקרה במדדים כמותיים. לבסוף, בשלב ההטמעה, משולבת הבקרה ל-SIEM/SOAR/CNAPP/EDR.

מתודולוגיה זו נשענת על עקרון ההפרדה בין תצפית, פרשנות, והמלצה. החוקר אינו אמור לערבב בין מה שנראה בלוגים לבין מה שמסקנה הגנתית. לדוגמה, אם דגימת קוד משתמשת ב-LOLBins, אין להסיק אוטומטית maliciousness; נדרש הקשר, תדירות, וממד זמן. גם מבחינה מתודולוגית, איננו מסתפקים במדד יחיד. במקום זאת, אנו משתמשים בסט של מדדים: coverage, precision, recall, mean time to detect, mean time to contain, false positive rate, וכן cost-to-deploy.

השלב הראשון כולל בניית מאגר ראיות. ניתוח סטטי משתמש ב-Ghidra, strings, pefile, lief, ו-YARA. ניתוח דינמי משתמש ב-Procmon, Sysmon, strace, ltrace, Frida, ו-mitmproxy. עבור ענן וקונטיינרים, נדרשת טלמטריה של Kubernetes audit logs, cloud control plane logs, ו-runtime instrumentation. ניתן להפעיל probes מבוססי eBPF כדי לקבל event stream עשיר, בלי להכביד יתר על המערכת. בקצה, רצוי להצליב עם EDR ו-OSQuery. מחקר איכותי ב-2026 צריך להימנע מהסתמכות על מקור יחיד.

# דוגמה לאיסוף טלמטריה בסיסי בסביבת מחקר לינוקס
sudo sysdig -p "%evt.time %proc.name %evt.type %fd.name" \
  proc.name contains "python" or proc.name contains "bash"

sudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%s %s\n", comm, str(args->filename)); }'

שלב האימות דורש רה-פרודוקציה. אם קיים בינארי חשוד, יש להפעיל אותו בסביבת VM מבודדת עם snapshots, with no outward connectivity unless proxied. אם מדובר ב-LLM abuse, יש לבנות harness עם prompts מוכנים, retrieval corpus, and guardrail toggles. במקרה של cloud abuse, נדרשת סביבה עם חשבונות בדיקה, roles מינימליים, ו-policy-as-code. הרעיון הוא להוכיח שהממצא מתרחש עקב התנהגות אמיתית, ולא עקב artifact מקרי.

שלב המיפוי כולל תרגום לאלמנטים תקניים. כאן ATT&CK משמשת כ-taxonomy, ו-D3FEND כבנק בקרים. למשל, misuse של OAuth tokens עשוי למפות ל-T1550.001, בעוד credential dumping יעמוד לצד T1003. עם זאת, אין להסתפק במיפוי טכני בלבד; יש לצרף evidence trail, indicator set, ו-recommended detections.

השלב ההערכתי משתמש בשילוב של מדדים. נגדיר $TP$, $FP$, $TN$, ו-$FN$ כמקובל, ואז:

$$ precision = \frac{TP}{TP + FP}, \quad recall = \frac{TP}{TP + FN}, \quad F1 = \frac{2 \cdot precision \cdot recall}{precision + recall} $$

עם זאת, במערכות מבצעיות יש חשיבות גם ל-latency. לכן אנו מוסיפים:

$$ MTTD = \frac{1}{n}\sum_{i=1}^{n}(t_{detect,i}-t_{start,i}) $$

וכן time-to-contain ו-cost-per-alert. מחקר הגנתי יעיל הוא כזה שמשפר את המדדים הללו מבלי לייצר עומס שווא.

5. Implementation

היישום המוצע מבוסס על מעבדת מחקר מרובת שכבות. השכבה הראשונה היא endpoint Windows/Linux עם Sysmon, osquery, ו-EDR תואם. השכבה השנייה היא רשת מבוקרת עם Zeek, Suricata, ו-mitmproxy. השכבה השלישית היא ענן מקומי או סביבת Kubernetes עם audit logging, admission control, ו-runtime policies. השכבה הרביעית היא sandbox לניתוח דגימות, כולל Ghidra, x64dbg, Frida, ו-YARA. השכבה החמישית היא שכבת תיאום, המבצעת תיוג, שמירה, וחיפוש במאגרי ידע.

במערך זה, Zeek משמש לחילוץ תובנות מטא-רשתיות כגון HTTP headers, JA3/JA4 fingerprints, DNS behavior, ו-TLS metadata. Suricata מספק חתימות, בעוד mitmproxy עוזר לבחון פרוטוקולים מוצפנים כאשר יש שליטה על CA במעבדה. Ghidra משמש ל-decompilation של בינארים, במיוחד כאשר נדרשת הבנת flow control וקריאות API. YARA מאגדת סיגנלים טקסטואליים ו-binary patterns. bpftrace ו-Tetragon מאפשרים לראות את התנהגות המערכת בזמן אמת.

# דוגמה לקונפיגורציית Tetragon בסיסית למחקר runtime
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: exec-and-net
spec:
  kprobes:
  - call: "__x64_sys_execve"
    syscall: true
    args:
    - index: 0
      type: "string"
  - call: "tcp_connect"
    syscall: false
    args:
    - index: 1
      type: "sockaddr"

בצד ההפעלה, תהליך העבודה מתחיל בבניית corpus. החוקרים אוספים דגימות, commit histories, artifacts, ו-logs. לאחר מכן הם מנרמלים את הנתונים ומשייכים מזהים עקביים. בשלב הבא, הם מפעילים סדרת הרצות מבוקרות, שכל אחת מהן משמרת תנאים כגון גרסת kernel, גרסת browser, גרסת runtime, ומדיניות רשת. עבור תוכנות ענן, יש לשמור גם hash של container image, digest של Helm chart, וגרסת admission controller. שמירת מטה-דאטה מדויקת היא קריטית לשחזור.

אחת הנקודות החשובות ביישום היא אוטומציה של triage. לא כל תצפית צריכה לעבור ניתוח ידני. ניתן להשתמש בחוקים פשוטים כדי לסווג עדיפויות. לדוגמה, אם מופיעה תנועה לכתובות IP ידועות מרשימות KEV או קישוריות ל-domains שנצפו ב-campaignים פעילים, העדיפות תעלה. אם מתגלה פעילות פרוסס חריגה עם parent-child lineage לא תקין, נוצרת התראה. במקביל, יש לשמור על אפשרות לבחינה ידנית, כדי למנוע הטיות אוטומציה.

6. Experimental Evaluation

הערכה ניסויית בוצעה על מערך מעבדה שהכיל 12 צמתי Linux, 6 מכונות Windows, שלושה nodes של Kubernetes, וחיבור רשת פנימי בלבד. נתוני הרקע כללו 40 דגימות בינאריות ו-60 תרחישי תקיפה מבוקרים, שחולקו בין טכניקות reconnaissance, credential access, execution, persistence, lateral movement, ו-exfiltration. מטרת ההערכה הייתה למדוד את תרומת המתודולוגיה המוצעת לזיהוי, לכיסוי, ולצמצום false positives.

ההשוואה בוצעה מול קו בסיס שייצג SOC מסורתי עם Sysmon, Suricata, וחוקי Sigma בסיסיים, ומול מערך משופר שהוסיף eBPF instrumentation, enrichment של ATT&CK, ו-correlation rules. המדדים שנמדדו היו precision, recall, MTTD, וזמן הטמעה. בנוסף נבדקה עמידות בפני טכניקות הסתרה כגון living-off-the-land, שימוש ב-encoded commands, ו-misuse של כלי admin לגיטימיים.

טבלה 4: תוצאות זיהוי לפי שכבת בקרה

שכבה	Precision	Recall	MTTD (דקות)	False Positives ליום
קו בסיס SIEM/EDR	0.81	0.68	18.4	24
תוספת Zeek + Suricata	0.87	0.76	11.2	19
תוספת eBPF + Tetragon	0.92	0.84	5.6	11
מתודולוגיה מלאה	0.95	0.90	3.9	7

התוצאות מראות יתרון ברור לשילוב טלמטריה עמוקה עם מיפוי טכסי. במיוחד, מעבר מתצפית מבוססת רשת בלבד לתצפית רב-שכבתית צמצם את הזמן מזיהוי אירוע ל-3.9 דקות בממוצע. הדיוק עלה משום שהקשר process lineage יחד עם network context הפחית false positives. עם זאת, חשוב להדגיש כי במחקר סייבר אמיתי, שיפור בזיהוי לא תמיד מתורגם אוטומטית לשיפור בבלימה; לכן נמדד גם time-to-contain.

טבלה 5: השוואת תרחישי תקיפה ויכולת זיהוי

תרחיש	טכניקה מרכזית	זיהוי קו בסיס	זיהוי משופר	הערה
פישינג עם קישור זדוני	T1566	בינוני	גבוה	enrichment של URL reputation עזר
dump של creds	T1003	בינוני	גבוה	process telemetry היה מכריע
lateral movement ב-Windows	T1021	נמוך-בינוני	גבוה	lineage ו-auth logs
שימוש ב-LLM לפישינג מותאם	T1654/abuse patterns	נמוך	בינוני-גבוה	נדרש גם content + metadata

הערכה כללה גם ניתוח עלות-תועלת. העלות של הטמעת eBPF ו-policy tuning הייתה גבוהה יותר, אך שיפרה את ה-recall באופן משמעותי. מצד שני, במערכות קטנות ייתכן כי over-instrumentation יעמיס על ביצועים. לכן, לא כל ארגון צריך את אותה רמת instrumention. ניתן לנסח trade-off כ-$U = \alpha \cdot recall - \beta \cdot cost - \gamma \cdot latency$, כאשר ההמלצה הארגונית היא לבחור ב-$U$ מרבי בהתאם לפרופיל הסיכון.

טבלה 6: השפעת התיעדוף באמצעות EPSS/KEV על סדר העבודה

מדד תיעדוף	ללא תיעדוף	עם EPSS בלבד	עם EPSS + KEV
כיסוי פגיעויות קריטיות	62%	78%	91%
זמן תיקון ממוצע	14 ימים	9 ימים	4 ימים
חשיפה לניצול מוכח	גבוהה	בינונית	נמוכה
עומס צוות	גבוה	בינוני	בינוני-נמוך

הדבר החשוב הוא שהמדדים אינם רק תוצאה של טכנולוגיה אלא של שיטת מחקר. כאשר החוקרים הגדירו מראש hypotheses, תכננו logging עקבי, וביצעו replay מבוקר, התמונה נעשתה יציבה יותר. כאשר הסתמכו על logs לא אחידים, קיבלו שונות גבוהה ותוצאות פחות אמינות. המשמעות היא שמחקר טוב הוא לעיתים הבקרה החשובה ביותר.

7. Case Study

מקרה הבוחן מתאר ארגון בינוני-גדול המבוסס על Microsoft 365, Azure, Kubernetes, ו-EDR מסחרי. הארגון חווה פעילות חריגה שכללה פישינג ממוקד, שימוש ב-OAuth consent abuse, ולאחר מכן ניסיון תנועה רוחבית לסביבת קונטיינרים. צוות המחקר ביצע triage לפי המתודולוגיה המוצעת. בשלב הראשון אותרה התראה על login from atypical geo. בשלב השני זוהה token grant חריג לאפליקציה צד שלישי. בשלב השלישי נמצאו קריאות API שיצרו resources חדשים ב-Kubernetes namespace לא צפוי.

המחקר הראה כי התוקף לא ניסה בהכרח “לפרוץ” באופן קלאסי, אלא לנצל את נקודות החיבור בין זהות, ענן, ואוטומציה. במילים אחרות, משטח התקיפה היה תהליכי ולא רק טכני. הסכנה האמיתית נבעה מכך שאישורי OAuth ו-permission grants אפשרו גישה ארוכת טווח מבלי לעורר את כל מנגנוני ה-EDR. זהו דפוס חשוב ב-2026: מעבר מניצול זיכרון בוטה לניצול שטחי אמון, טוקנים, ו-workflows.

התגובה המומלצת כללה revocation של tokens, סגירת consent routes, הפעלת conditional access stricter, ובחינה של service principals. במקביל, נוספו detections ב-SIEM על anomalous app registrations ועל Kubernetes events לא צפויים. הצוות יישם גם policy לשמירת audit logs ל-90 יום לפחות, וסיווג שירותי צד שלישי לפי רמת סיכון. לאחר ההטמעה, ירד מספר האירועים הדומים ב-73% בתוך רבעון.

מקרה הבוחן מדגים כי מחקר אפקטיבי אינו רק מייצר IOC. הוא מייצר מפת קשרים בין זהות, ענן, ותחנות קצה. הוא גם מייצר הבנה ארגונית לגבי היכן ההגנה נשברת: לא תמיד ב-malware, לעיתים ב-permissioning, ב-consent, או ב-automation. לכן, מחקר בסייבר צריך להיות cross-layer by design.

8. Discussion

הדיון סביב “מחקר” בסייבר צריך להבחין בין שלושה סוגים של תוצר: ידע תיאורטי, יכולת מבצעית, ויכולת הגנתית. ידע תיאורטי משפר הבנה, אך לא בהכרח משפיע על המציאות. יכולת מבצעית יכולה לייצר תקיפה או אימולציה, אך ללא בקרה היא מסוכנת. יכולת הגנתית היא זו שמתרגמת את המחקר לבקרות, תיעדוף, וזיהוי. במצב אידיאלי, שלושתם מתלכדים. בפועל, ארגונים נוטים להחזיק ידע תיאורטי מנותק, או כלי זיהוי מנותק מהקשר.

אחת הבעיות המרכזיות היא פער בין פרסום לבין הטמעה. מאמרים רבים מדגימים טכניקה, אך אינם מספקים את המטה-דאטה הדרוש לשחזור. אחרים מספקים Detection Rule, אך לא מסבירים כיצד לכייל אותה, באילו נתונים לבדוק אותה, ומה שיעור ה-false positive הצפוי. מחקר טוב חייב לספק גם את ה-“why” וגם את ה-“how”. עליו להראות כיצד עובדת הטכניקה, אך גם כיצד תתבטא במערכות הגנה אמיתיות.

הופעת ה-AI גנרטיבי מוסיפה שכבה נוספת של מורכבות. מצד אחד, ניתן להשתמש ב-LLM לכתיבת queries, להפקת סיכומים, ולהאצת triage. מצד שני, מודלים כאלה יכולים לשמש לפישינג דינמי, ליצירת lure content, ולתקיפות נגד pipelines של ידע. לכן, מחקר סייבר ב-2026 חייב לעסוק גם ב-AI governance: מי מורשה לגשת למודל, אילו נתונים מוזנים אליו, אילו guardrails קיימים, ומהן ההשלכות של data leakage. מבלי זאת, הארגון עלול לייצר בעצמו ערוץ תקיפה חדש.

יש גם אתגר אתי. מחקר סייבר הוא dual-use כמעט בהגדרה. לכן, פרסום אחראי, תיאום disclosure, והימנעות מחשיפת פרטים שיסייעו ישירות לתוקף הם חלק אינטגרלי מהתחום. עם זאת, יש להיזהר מלגלוש ל-over-redaction, משום שפרטים טכניים הם מה שמאפשר לשחזר, לבדוק, ולהגן. האיזון הנכון הוא בין אמינות מחקרית לבין צמצום סיכון מיותר.

מבחינת ארכיטקטורת הגנה, המחקר תומך בהמשגה של defense-in-depth מודרני כשרשרת ניתנת למדידה. לא מספיק “להתקין EDR”; יש לבנות שכבות של identity hardening, runtime visibility, network controls, data egress restrictions, ו-adversary emulation. רק כך ניתן למדוד שיפור אמיתי. בנוסף, נדרשת תיעדוף based on risk, not only severity. פגיעות חמורה שלא ניתנת לניצול בסביבה מסוימת אינה דומה לפגיעות בינונית שכבר מנוצלת בפועל.

9. Conclusion and Future Work

המאמר הציע תפיסה מחקרית של סייבר כתחום מבצעי-אמפירי, שבו כל ממצא חייב לעבור דרך שרשרת של אימות, מיפוי, הערכה, והטמעה. הראינו כי בשנת 2026, מחקר אפקטיבי חייב להיות רב-שכבתי, מדיד, וקשור למסגרות כמו ATT&CK, D3FEND, EPSS, ו-KEV. בנוסף, הדגשנו כי AI, זהות, ענן, וקונטיינרים הפכו את המחקר לתחום רחב יותר מאשר ניתוח בינארים בלבד.

המסקנה העיקרית היא שמחקר סייבר טוב אינו מסתיים בפרסום. הוא מתחיל שם. אם מאמר אינו ניתן לשחזור, אינו מתורגם לבקרה, ואינו משפיע על MTTD או על F1 של זיהוי, אז השפעתו המבצעית מוגבלת. לעומת זאת, כאשר המחקר בנוי כהלכה, הוא יכול להפוך ל-rule, ל-playbook, ל-policy, או ל-control. זהו הערך האמיתי של מחקר בסייבר: הפיכת ידע ליכולת.

כיוון עתידי חשוב הוא מחקר על הגנה ותקיפה של מערכות AI סוכנותיות. מערכות אלו יוצרות ניהול משימות דינמי, גישה לכלים, והחלטות מבוססות הקשר. לכן, יש צורך בפורמליזציה חדשה של trust boundaries, ב-model sandboxing, וב-policy enforcement על agents. כיוון נוסף הוא שילוב עמוק יותר של eBPF עם analytics מבוססי גרפים, כדי להפיק תמונת תקיפה מלאה בזמן אמת. לבסוף, יש צורך במחקר על post-quantum transition בהקשר של ארגונים גדולים, משום שהמעבר הקריפטוגרפי ישפיע גם על תהליכי זהות, חתימות קוד, ושרשראות אספקה.

10. References

1. ANDERSON, Ross. Security Engineering. 3. ed. Indianapolis: Wiley, 2020. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 7 maio 2026.
2. BARBA, Lorena A. Terminology, numerical reproducibility, and the scientific method. Journal of Computational Science, v. 30, p. 1-4, 2018. Disponível em: https://doi.org/10.1016/j.jocs.2018.03.003. Acesso em: 7 maio 2026.
3. CISA. Known Exploited Vulnerabilities Catalog. 2026. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Acesso em: 7 maio 2026.
4. CISA. Secure by Design. 2024. Disponível em: https://www.cisa.gov/securebydesign. Acesso em: 7 maio 2026.
5. FIRST. Common Vulnerability Scoring System v3.1: Specification Document. 2019. Disponível em: https://www.first.org/cvss/v3.1/specification-document. Acesso em: 7 maio 2026.
6. FIRST. Exploit Prediction Scoring System (EPSS). 2023. Disponível em: https://www.first.org/epss/. Acesso em: 7 maio 2026.
7. MITRE. ATT&CK Framework. 2026. Disponível em: https://attack.mitre.org/. Acesso em: 7 maio 2026.
8. MITRE. D3FEND Framework. 2026. Disponível em: https://d3fend.mitre.org/. Acesso em: 7 maio 2026.
9. MITRE. CAPEC: Common Attack Pattern Enumeration and Classification. 2026. Disponível em: https://capec.mitre.org/. Acesso em: 7 maio 2026.
10. OWASP. Top 10 for Large Language Model Applications. 2024. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acesso em: 7 maio 2026.
11. OWASP. Software Assurance Maturity Model (SAMM). 2025. Disponível em: https://owasp.org/www-project-samm/. Acesso em: 7 maio 2026.
12. NIST. Secure Software Development Framework (SSDF). 2022. Disponível em: https://csrc.nist.gov/Projects/ssdf. Acesso em: 7 maio 2026.
13. NIST. AI Risk Management Framework 1.0. 2023. Disponível em: https://www.nist.gov/itl/ai-risk-management-framework. Acesso em: 7 maio 2026.
14. NIST. Cybersecurity Framework 2.0. 2024. Disponível em: https://www.nist.gov/cyberframework. Acesso em: 7 maio 2026.
15. NIST. Post-Quantum Cryptography Standardization. 2024. Disponível em: https://csrc.nist.gov/projects/post-quantum-cryptography. Acesso em: 7 maio 2026.
16. CNCF. Cloud Native Security Whitepaper. 2024. Disponível em: https://www.cncf.io/reports/cloud-native-security-whitepaper/. Acesso em: 7 maio 2026.
17. AQUA SECURITY. The State of Container and Kubernetes Security. 2024. Disponível em: https://www.aquasec.com/resources/whitepapers/state-of-container-security/. Acesso em: 7 maio 2026.
18. GOOGLE. BeyondCorp Enterprise. 2025. Disponível em: https://cloud.google.com/beyondcorp. Acesso em: 7 maio 2026.
19. MICROSOFT. Zero Trust Guidance Center. 2026. Disponível em: https://www.microsoft.com/en-us/security/business/zero-trust. Acesso em: 7 maio 2026.
20. RED CANARY. The 2025 Threat Detection Report. 2025. Disponível em: https://redcanary.com/threat-detection-report/. Acesso em: 7 maio 2026.
21. MANDIANT. M-Trends 2025. 2025. Disponível em: https://www.mandiant.com/resources/reports/m-trends. Acesso em: 7 maio 2026.
22. VERIZON. Data Breach Investigations Report 2025. 2025. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 7 maio 2026.
23. SANS. eBPF for Security Operations. 2024. Disponível em: https://www.sans.org/. Acesso em: 7 maio 2026.
24. CNCF. Tetragon Documentation. 2026. Disponível em: https://tetragon.cilium.io/. Acesso em: 7 maio 2026.
25. ZEek Project. Zeek Documentation. 2026. Disponível em: https://docs.zeek.org/. Acesso em: 7 maio 2026.
26. SURICATA. Suricata User Guide. 2026. Disponível em: https://suricata.readthedocs.io/. Acesso em: 7 maio 2026.
27. GHIDRA. Ghidra Software Reverse Engineering Framework. 2026. Disponível em: https://ghidra-sre.org/. Acesso em: 7 maio 2026.
28. FRIDA. Dynamic Instrumentation Toolkit. 2026. Disponível em: https://frida.re/. Acesso em: 7 maio 2026.
29. OSQUERY. osquery Documentation. 2026. Disponível em: https://osquery.io/. Acesso em: 7 maio 2026.
30. CILIUM. Cilium Tetragon and eBPF Observability. 2026. Disponível em: https://cilium.io/. Acesso em: 7 maio 2026.