כותרת: ARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות

1. מבוא

משטח התקיפה העכשווי התרחב באופן דרמטי עם התבססותן של ארכיטקטורות היברידיות ורב-ענניות (multi-cloud), אימוץ מיקרו-שירותים, צינורות CI/CD אוטומטיים, תשתית כקוד, והטמעת רכיבים מבוססי בינה מלאכותית, לרבות מודלי שפה גדולים (LLMs). דוח Verizon Data Breach Investigations Report 2024 מצביע על כך שכ-74% מההפרות מערבות את הגורם האנושי, וכי חולשות ידועות ממשיכות להיות מנוצלות באופן שיטתי (VERIZON, 2024). במקביל, קטלוג ה-Vulnerabilities Known Exploited של CISA מדגים את ההפעלה המהירה של כשלים קריטיים לאחר חשיפה פומבית (CISA, 2024).

אירועים בעלי השפעה גבוהה, כגון הניצול של CVE-2021-44228 (Log4Shell), תקיפות על שרשראות אספקת תוכנה, ופגיעה בזהויות מאוחדות בסביבות ענן, ממחישים את יכולת היריבים לשרשר טכניקות מתוך מסגרת MITRE ATT&CK, לרבות Initial Access, Execution, Persistence, Lateral Movement ו-Exfiltration (MITRE, 2024). בנוסף, הופעתם של איומים המכוונים לצינורות MLOps וניצול prompt injection ביישומים מבוססי LLM מרחיבה את היקף וקטורי התקיפה (ENISA, 2023; OWASP, 2021).

הבעיה המרכזית נעוצה במגבלה מבנית של מנגנוני Security Information and Event Management (SIEM) מסורתיים, המבוססים היסטורית על כללים סטטיים ועל קורלציה תחבירית (SPLUNK, 2023). מערכות אלו מתקשות ללכוד תלותיות זמניות מורכבות, סמנטיקה קונטקסטואלית וקשרים רב-דומייניים (endpoint, רשת, זהות ו-cloud). כפי שטוענים Sommer ו-Paxson (2010), גישות מפוקחות לחלוטין פועלות תחת הנחת “עולם סגור”, ומידרדרות לנוכח איומים לא מוכרים.

ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן למודל באופן פורמלי אירועים הטרוגניים תוך שמירה על יחסים סמנטיים וזמניים הרלוונטיים לזיהוי APTs?

RQ2: האם ניתן לשלב למידה על גבי גרפים עם זיהוי סטטיסטי מצטבר תוך שמירה על סקלאביליות תפעולית בהיקף של מיליארדי אירועים?

RQ3: מהו ההשפעה הכמותית של גישה זו על הפחתת false positives ועל זמן הזיהוי הממוצע (MTTD)?

התרומות שלנו הן:

C1: הגדרנו אונטולוגיה פורמלית של אירועים המותאמת ל-NIST SP 800-61 Rev.2 (NIST, 2012) ול-MITRE ATT&CK (MITRE, 2024).

C2: הצגנו מודל גרף זמני דינמי $G_t$ עם embeddings אדפטיביים המבוססים על GNNs (KIPF; WELLING, 2017; HAMILTON; YING; LESKOVEC, 2017; VELIČKOVIĆ et al., 2018).

C3: הדגמנו אמפירית הפחתה של 43% ב-false positives וירידה של 79% ב-MTTD לעומת baseline תעשייתי.

2. רקע ועבודות קשורות

2.1 הגדרות פורמליות

אנו מגדירים אירוע אבטחה כטופלה:

$$ e = (s, a, o, t, \lambda) $$

כאשר $s \in \mathcal{S}$ מייצג את הסובייקט (משתמש, תהליך, workload או זהות שירות), $a \in \mathcal{A}$ את הפעולה, $o \in \mathcal{O}$ את האובייקט (קובץ, socket, bucket, API, מודל), $t \in \mathbb{T}$ את חותם הזמן, ו-$\lambda$ וקטור של מאפיינים קונטקסטואליים.

אנו מודלים את המערכת כגרף זמני מכוון:

$$ G_t = (V_t, E_t, \phi) $$

כאשר $V_t$ הוא קבוצת הישויות שנצפו עד $t$,‏ $E_t \subseteq V_t \times V_t \times \mathbb{T}$, ו-$\phi: E_t \rightarrow \Lambda$ מייחסת מאפיינים לקשתות.

2.2 עבודות קשורות

גישות מבוססות חתימות (LEE; STOLFO, 1998) מציגות דיוק גבוה עבור איומים מוכרים, אך הכללה נמוכה. שיטות סטטיסטיות לזיהוי אנומליות (AXELSSON, 2000; SPEROTTO et al., 2010) סובלות מ-drift מושגי.

DeepLog הציגה מידול סדרתי באמצעות LSTM עבור logs (DU et al., 2017). בהמשך, Graph Convolutional Networks (KIPF; WELLING, 2017),‏ GraphSAGE (HAMILTON; YING; LESKOVEC, 2017) ו-Graph Attention Networks (VELIČKOVIĆ et al., 2018) הרחיבו את המידול המבני.

עם זאת, מעט עבודות משלבות בליעה רציפה בקנה מידה גדול, אינטגרציה רב-דומיינית (כולל זהויות cloud ו-workloads מכוללים), והערכה תפעולית אמיתית תחת מדדי SOC.

3. מודל האיום ופורמליזציית הבעיה

אנו מניחים יריב בעל יכולות אנלוגיות למודל Dolev-Yao במישור התקשורתי, המורחבות לשליטה חלקית על endpoints שנפגעו. היריב יכול ליירט, לשנות ולהזריק הודעות, להריץ קוד לאחר ניצול ראשוני ולהשתמש בערוצים מוצפנים (MITRE, 2024).

נניח ש-$S = {e_1, \dots, e_k}$ היא רצף זמני של אירועים. נגדיר השערות $H_0$ (תמימה) ו-$H_1$ (זדונית). נחליט:

$$ \text{Decidir } H_1 \text{ se } P(H_1 \mid S; \theta) > \tau $$

כאשר $\theta$ הם הפרמטרים שנלמדו ו-$\tau$ הוא הסף.

פונקציית האובדן המרוכבת היא:

$$ \mathcal{L} = \alpha \mathcal{L}{CE} + (1-\alpha)\mathcal{L}{anom} $$

כאשר $\mathcal{L}_{CE} = -\sum_i y_i \log \hat{y}_i$.

תכונות רצויות:

תכונה	יעד
הסתברות ל-false positive $P(FP)$	$< 0{,}05$
רגישות $P(TP)$	$> 0{,}95$
עדכון מצטבר	$O(1)$ אמורטיזי
הסקה	$O(

4. המתודולוגיה המוצעת

4.1 ארכיטקטורה

ARCUS מורכבת מחמש שכבות: (i) בליעה באמצעות Apache Kafka; (ii) נירמול סמנטי מונחה אונטולוגיה; (iii) בנייה מצטברת של גרף זמני במסד נתונים מכוון-גרפים; (iv) הסקה היברידית (GNN + גלאי סטטיסטי); ו-(v) תיאום תגובה המותאם ל-NIST SP 800-61 ושילוב עם פלטפורמות SOAR ו-CNAPP.

4.2 עדכון מצטבר

הכנסת צמתים משתמשת בטבלת hash למיפוי מזהים ייחודיים, ובכך מבטיחה מורכבות אמורטיזית קבועה תחת הנחת פיזור אחיד. קשתות מאונדקסות לפי חותם זמן ולפי חלוקה לוגית (tenant, domain), ומאפשרות שאילתות חלון מחליק.

4.3 הסקה היברידית

ה-embeddings מתעדכנים באמצעות:

$$ h_v^{(k+1)} = \sigma \left( W^{(k)} \cdot \text{AGG}{h_u^{(k)} : u \in \mathcal{N}(v)} \right) $$

כאשר AGG מייצג ממוצע מנורמל או מנגנון attention.

הגלאי הסטטיסטי מחשב ציון:

$$ z = \frac{x - \mu_t}{\sigma_t} $$

כאשר $\mu_t$ ו-$\sigma_t$ מתעדכנים באופן מצטבר.

5. יישום

השתמשנו ב-Apache Kafka (APACHE, 2024a),‏ Apache Flink (APACHE, 2024b),‏ Neo4j (NEO4J, 2024) ו-PyTorch Geometric (PYTORCH GEOMETRIC, 2024).

דוגמה מפושטת של pipeline:

kafka-topics.sh --create --topic arcus-events --bootstrap-server broker:9092
flink run arcus-streaming-job.jar

המערכת עיבדה 3,2 מיליארד אירועים/יום ב-cluster בן 12 nodes ‏(2×Xeon Gold 6230,‏ 256GB RAM). ה-overhead הממוצע ב-endpoint היה 7,6% CPU ו-42 MB נוספים של RAM.

6. הערכה ניסויית

Datasets: אירועים אמיתיים ואנונימיים (90 יום), DARPA Transparent Computing (DARPA, 2019) ו-Atomic Red Team (RED CANARY, 2023).

תוצאות מסכמות:

מדד	ARCUS	Baseline SIEM
Precision	96,9%	81,3%
Recall	97,8%	88,7%
F1	0,973	0,847
FPR	4,1%	12,6%
MTTD	3,7 דק׳	18,4 דק׳

מבחני $t$ דו-צדדיים הצביעו על מובהקות סטטיסטית ($p < 0{,}01$).

7. דיון

הקורלציה הסמנטית המונחית-גרף לוכדת שרשראות רב-שלביות המיושרות ל-MITRE ATT&CK, ומפחיתה את פיצול ההתראות. הפחתה של 43% ב-false positives משמעה עומס קוגניטיבי נמוך יותר ב-SOCs, בהתאם למדדים תפעוליים שדווחו.

המגבלות כוללות תלות בתיוג ראשוני והידרדרות תחת drift קיצוני. אסטרטגיות של למידה מאוחדת (federated learning) ורה-קליברציה אדפטיבית עשויות לצמצם השפעות אלו, תוך שימור פרטיות בין-ארגונית.

8. מסקנה ועבודה עתידית

הצגנו את ARCUS, ארכיטקטורה בעלת ביסוס פורמלי לזיהוי אדפטיבי בקנה מידה גדול בסביבות היברידיות עכשוויות. הדגמנו שיפורים מובהקים סטטיסטית תוך שמירה על מורכבות מבוקרת.

עבודות עתידיות יכללו שילוב מקורי עם פלטפורמות CNAPP, ניתוח פורמלי של חוסן תחת drift עוין, והרחבה לניטור צינורות MLOps ויישומים מבוססי LLM.

References

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024a. Available at: https://kafka.apache.org/documentation/.

APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2024b. Available at: https://flink.apache.org/.

AXELSSON, S. Intrusion detection systems: a survey and taxonomy. 2000. Available at: https://www.cse.chalmers.se/~axelsson/papers/intrusion_detection_survey.pdf.

CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog.

DARPA. Transparent Computing Program. 2019. Available at: https://www.darpa.mil/program/transparent-computing.

DU, M. et al. DeepLog: anomaly detection and diagnosis from system logs. In: USENIX Security Symposium, 2017. Available at: https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/du.

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023.

HAMILTON, W.; YING, R.; LESKOVEC, J. Inductive representation learning on large graphs. 2017. Available at: https://arxiv.org/abs/1706.02216.

KIPF, T.; WELLING, M. Semi-supervised classification with graph convolutional networks. 2017. Available at: https://arxiv.org/abs/1609.02907.

LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE Symposium on Security and Privacy, 1998. Available at: https://ieeexplore.ieee.org/document/709428.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NEO4J INC. Neo4j Graph Data Platform. 2024. Available at: https://neo4j.com/.

NIST. Computer Security Incident Handling Guide (SP 800-61 Rev.2). 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.

OWASP FOUNDATION. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/Top10/.

PYTORCH GEOMETRIC TEAM. PyTorch Geometric Documentation. 2024. Available at: https://pytorch-geometric.readthedocs.io/.

RED CANARY. Atomic Red Team. 2023. Available at: https://atomicredteam.io/.

SOMMER, R.; PAXSON, V. Outside the closed world: on using machine learning for network intrusion detection. In: IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793.

SPEROTTO, A. et al. An overview of IP flow-based intrusion detection. IEEE Communications Surveys & Tutorials, 2010. Available at: https://ieeexplore.ieee.org/document/5432190.

SPLUNK INC. Splunk Enterprise Security. 2023. Available at: https://www.splunk.com/.

VELIČKOVIĆ, P. et al. Graph attention networks. 2018. Available at: https://arxiv.org/abs/1710.10903.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.