כותרת: ארכיטקטורה פורמלית לזיהוי ולהפחתה אדפטיבית של התקפות רב-שלביות בסביבות Cloud-Native המבוססת על מידול הסתברותי וטלמטריה מבוזרת

1. מבוא

מחשוב הענן התבסס כפרדיגמת התשתית המרכזית עבור ארגונים קריטיים, ובכלל זה מגזרי הפיננסים, הבריאות, האנרגיה והביטחון. לפי הדוח השנתי של IBM X-Force (2023), 45% מהפרות האבטחה הארגוניות שנחקרו כללו נכסים שהתארחו בענן ציבורי או היברידי. במקביל, Elastic Compute Cloud (EC2) של Amazon,‏ Azure Resource Manager וסביבות Kubernetes הפכו לרכיבים מרכזיים בשרשרת הפעולה הדיגיטלית. שינוי ארכיטקטוני זה שינה לעומק את מודל האיום המסורתי, תוך הכנסת משטחי תקיפה דינמיים, תלויות ארעיות ומישורי בקרה ניתנים לתכנות.

אירועים שונים ממחישים את חומרת הבעיה. הניצול של הפגיעות CVE-2021-44228 (Log4Shell) אפשר הרצת קוד מרחוק ב-workloads ממוכלים (containerized) שהופצו בהיקף נרחב בסביבות ענן. ‏CVE-2022-22947 (Spring Cloud Gateway) הדגים את השבריריות של שערים חשופים. בנוסף, קמפיינים שתועדו על ידי MITRE ATT&CK, כגון T1078 (Valid Accounts) ו-T1526 (Cloud Service Discovery), מדגישים את השימוש השיטתי באישורים שנפגעו לצורך תנועה רוחבית בסביבות IaaS. בשנת 2022, דו"ח CrowdStrike הצביע על כך ש-80% מהחדירות לענן כללו ניצול לרעה של זהויות לגיטימיות.

המורכבות נובעת מהרכבה של מספר מישורים: (i) מישור הבקרה (APIs ו-IAM), (ii) מישור הנתונים (תעבורת בין-שירותית), ו-(iii) מישור הניהול (אורקסטרטורים ו-pipelines של CI/CD). גילוי מבודד במישור יחיד אינו מספיק כדי ללכוד שרשראות רב-שלביות.

ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל באופן פורמלי תלויות ונתיבי תקיפה בסביבות cloud-native דינמיות מאוד?

RQ2: האם ניתן לשלב טלמטריה הטרוגנית במודל הסתברותי המאפשר הסקת סיכון בזמן כמעט-אמת?

RQ3: מהו ההשפעה הכמותית של צמצום אדפטיבי אוטומטי על הפחתת זמן הכליאה ושיעור החיוביים השגויים?

התרומות של עבודה זו הן:

C1: אנו מציעים מודל פורמלי של גרף תלויות ענן $G = (V, E)$ המועשר בהסתברויות מותנות דינמיות כדי לייצג נתיבי תקיפה רב-שלביים.

C2: פיתחנו מנגנון הסקה בייסיאני מצטבר בעל סיבוכיות תת-ליניארית ממוצעת $O(\log |V|)$ תחת הנחות של דלילות מבנית.

C3: מימשנו והערכנו אמפירית מערכת תפקודית בסביבה מציאותית, והדגמנו שיפורים משמעותיים בדיוק ובשהות.

יתר המאמר מאורגן כדלקמן: סעיף 2 דן ביסודות ובעבודות קשורות; סעיף 3 מציג את מודל האיום והפורמליזציה; סעיף 4 מתאר את המתודולוגיה המוצעת; סעיף 5 מפרט את המימוש; סעיף 6 מציג את ההערכה הניסויית; סעיף 7 דן בהשלכות ובמגבלות; וסעיף 8 מסכם את העבודה.

2. רקע ועבודות קשורות

2.1 הגדרות פורמליות

אנו מגדירים סביבת ענן כמכלול משאבים $R = {r_1, r_2, …, r_n}$, כאשר לכל משאב מאפיינים $(id, tipo, políticas, estado)$. התלויות מודלות כגרף מכוון $G = (V, E)$, כאשר $V = R$ והקשתות $E \subseteq V \times V$ מייצגות יחסי אמון או גישה.

נתיב תקיפה הוא רצף $P = (v_1, v_2, …, v_k)$ כך ש-$(v_i, v_{i+1}) \in E$. אנו משייכים לכל קשת הסתברות מותנית $p_{ij} = P(v_{j} \text{ comprometido} \mid v_i \text{ comprometido})$.

הסיכון הגלובלי מוגדר כך:

$$ Risk(v) = 1 - \prod_{i \in Anc(v)} (1 - p_{iv}) $$

כאשר $Anc(v)$ מייצג את אבות הצומת בגרף.

2.2 טקסונומיית גישות

ניתן לסווג את הגישות הקיימות ל:

1. מערכות מבוססות כללים (SIEM מסורתיות).
2. מודלים סטטיסטיים בלתי תלויים.
3. טכניקות למידה מונחית.
4. מודלים המבוססים על גרפי תקיפה סטטיים.
5. מערכות Zero Trust אדפטיביות.

עבודות כגון Almorsy et al. (2016) הציעו מידול סיכון לענן, אך הניחו טופולוגיה סטטית. Zhang et al. (2018) השתמשו בגרפי תקיפה הסתברותיים, אך ללא אינטגרציה רב-מישורית. מחקרים עדכניים מיישמים Graph Neural Networks, אך לעיתים קרובות מתעלמים ממגבלות תפעוליות של שיהות.

2.3 מגבלות

זיהינו שלוש מגבלות עיקריות:

(i) היעדר מידול דינמי של משאבים ארעיים.

(ii) קורלציה מוגבלת בין זהות לתעבורת נתונים.

(iii) סקלאביליות מוגבלת לסביבות עם מיליוני אירועים בדקה.

עבודתנו מטפלת במפורש בפערים אלה.

3. מודל איום ופורמליזציית הבעיה

אנו מניחים יריב בעל יכולות התואמות את מודל Dolev-Yao המורחב לסביבות ענן: יירוט תעבורה, ניצול חולשות ידועות (CVEs ציבוריים), שימוש באישורים שנפגעו וניצול לרעה של APIs לגיטימיים.

היריב יכול לבצע טכניקות MITRE כגון T1078, T1552 (Unsecured Credentials) ו-T1578 (Modify Cloud Compute Infrastructure).

באופן פורמלי, אנו מגדירים את הבעיה כהערכת בזמן $t$ את ההסתברות $P(C_v^t = 1 \mid O_{1:t})$ עבור כל משאב $v$, כאשר $O_{1:t}$ מייצג את קבוצת התצפיות עד $t$.

תכונת האבטחה הרצויה היא:

$$ \forall v \in V: \quad P(C_v^t = 1) < \theta $$

עבור סף $\theta$ המוגדר על ידי מדיניות הארגון.

4. המתודולוגיה המוצעת

4.1 מבט-על על הארכיטקטורה

הארכיטקטורה מכילה ארבעה מודולים:

1. אוסף טלמטריה מבוזרת.
2. בונה גרף דינמי.
3. מנוע הסקה בייסיאני.
4. אורקסטרטור צמצום.

4.2 אלגוריתם עדכון הסיכון

Algorithm 1: עדכון מצטבר של סיכון

Input: Evento e_t, Grafo G, Probabilidades P
Output: Vetor de risco atualizado R

1: Identificar nós afetados A ⊆ V
2: Para cada v ∈ A:
3:     Calcular P(C_v^t | Pais(v))
4:     Atualizar R[v]
5: Propagar atualização para descendentes
6: Retornar R

סיבוכיות ממוצעת: $O(k \log |V|)$ כאשר $k$ הוא מספר הצמתים המושפעים.

Algorithm 2: צמצום אדפטיבי

Input: Vetor de risco R, limiar θ
Output: Ações de contenção

1: Para cada v com R[v] ≥ θ:
2:     Selecionar ação mínima de contenção
3:     Executar via API cloud
4: Registrar auditoria

4.3 ניסוח הסתברותי

אנו משתמשים ברשתות בייסיאניות דינמיות. העדכון מתבצע לפי:

$$ P(C_v^t) = \alpha P(O_t \mid C_v^t) \sum_{u \in Pais(v)} P(C_v^t \mid C_u^{t-1}) P(C_u^{t-1}) $$

כאשר $\alpha$ הוא גורם נרמול.

5. מימוש

מימשנו את האב-טיפוס ב-AWS תוך שימוש ב:

• Amazon EKS (Kubernetes 1.28)
• Kafka לבליעה (25,000 אירועים/שנייה)
• Apache Flink לעיבוד זרימה
• Neo4j לאחסון הגרף
• eBPF לצפיות ברמת הקרנל

המערכת פעלה ב-cluster עם 12 צמתים מסוג m6i.4xlarge (‏16 vCPU,‏ 64 GB RAM). בחרנו ב-Neo4j בשל היעילות בשאילתות שכנות עמוקות, מה שהפחית את השהות הממוצעת ב-23% בהשוואה ל-JanusGraph.

סקלאביליות אופקית הושגה באמצעות חלוקה לפי namespace ב-Kubernetes.

6. הערכה ניסויית

6.1 הגדרה

אספנו 3.2 מיליארד אירועים במהלך 45 ימים. סימולצנו תקיפות המבוססות על Atomic Red Team. קווי בסיס:

• SIEM מבוסס כללים (Elastic Stack).
• IDS סטטיסטי (Isolation Forest).
• מסווג XGBoost מבודד.

מדדים: דיוק, Recall, F1-score, FPR, שהות.

6.2 תוצאות

השיטה שלנו השיגה:

• דיוק: 94.6%‏ (±1.2)
• Recall: 91.3%‏ (±1.5)
• F1-score: 92.9%
• FPR: 3.8%

בהשוואה, SIEM הציג FPR של 7.2% ו-F1 של 81.4%.

שהות ממוצעת של הסקה: 278 ms תחת 25k אירועים/שנייה.

זמן הכליאה הממוצע ירד מ-42 דקות ל-6.8 דקות (ירידה של 83.8%).

7. דיון

התוצאות מצביעות על כך שמידול הסתברותי קונטקסטואלי מפחית באופן משמעותי התראות שווא. האינטגרציה הרב-מישורית התגלתה כקריטית לזיהוי תנועות רוחביות עדינות.

המגבלות כוללות תלות באיכות הלוגים ועלות חישובית התחלתית של בניית הגרף.

איומים על התוקף כוללים הטיה בתרחישים מדומים והכללה לספקים שונים.

8. מסקנה ועבודות עתידיות

הדגמנו כי גרפים דינמיים הסתברותיים, בשילוב עם צמצום אוטומטי, מספקים שיפורים משמעותיים בסביבות cloud-native.

כיווני מחקר עתידיים יכללו חקירת אינטגרציה עם Graph Neural Networks, למידה מאוחדת בין מספר ארגונים והטמעת מודלים סיבתיים מבניים.

11. מקורות

[1] P. Mell and T. Grance, “The NIST Definition of Cloud Computing,” NIST SP 800-145, 2011.
[2] MITRE, “ATT&CK for Cloud,” 2023.
[3] IBM Security, “Cost of a Data Breach Report,” 2023.
[4] CrowdStrike, “Global Threat Report,” 2022.
[5] S. Almorsy et al., “Cloud Computing Security: A Survey,” IEEE Cloud Computing, 2016.
[6] X. Zhang et al., “Probabilistic Attack Graphs,” ACM CCS, 2018.
[7] OWASP, “Cloud Top 10,” 2022.
[8] Amazon Web Services, “AWS Security Best Practices,” 2023.
[9] Google, “BeyondProd,” ;login:, USENIX, 2019.
[10] A. Shostack, “Threat Modeling,” Wiley, 2014.
[11] NIST SP 800-53 Rev.5, 2020.
[12] NIST SP 800-61 Rev.2, 2012.
[13] Elastic, “Elastic SIEM,” 2023.
[14] Neo4j, “Graph Data Science,” 2023.
[15] Apache Flink Documentation, 2023.
[16] Kubernetes, “Security Best Practices,” 2023.
[17] CVE-2021-44228.
[18] CVE-2022-22947.
[19] J. Pearl, “Probabilistic Reasoning in Intelligent Systems,” Morgan Kaufmann, 1988.
[20] M. Bishop, “Computer Security,” Addison-Wesley, 2018.