כותרת: ארכיטקטורה מונעת-ראיות עבור DFIR מודרני: קורלציה רב-שכבתית, פורמליזציה מתמטית של ציר זמן ואורקסטרציה אוטומטית בסביבות היברידיות

1. מבוא

Digital Forensics and Incident Response (DFIR) התבססה כתחום חיוני עבור ארגונים המתמודדים עם איומים מתמשכים מתקדמים (APT), קמפיינים של ransomware-as-a-service (RaaS) וניצול אוטומטי של חולשות קריטיות. האימוץ הגובר של ארכיטקטורות היברידיות — המשלבות תשתית מקומית, שירותי ענן וסביבות מוכללות בקונטיינרים — מרחיב באופן משמעותי את משטח התקיפה ואת המורכבות החקירתית (BEHL; BEHL, 2017; SCARFONE; SOULE, 2020).

מבחינה היסטורית, חקירות פורנזיות דיגיטליות התבססו על רכישה סטטית של תמונות דיסק, ניתוח ידני של ארטיפקטים ותיאום ידני של רישומי אירועים. ואולם, גישות כאלה נעשות בלתי מספקות בסביבות המתאפיינות באלסטיות חישובית, מופעים חולפים ונפחים עצומים של טלמטריה (CASEY, 2019). סביבות מודרניות מייצרות נתונים ממספר שכבות: רשת, endpoint, זהות, שירותי ענן ו-workloads מוכללים בקונטיינרים.

אירועים שתועדו בהרחבה מדגימים את המהירות שבה מתקפות יכולות להסלים לאחר ניצול ראשוני. הפגיעות Log4Shell (CVE-2021-44228), למשל, אפשרה הרצת קוד מרחוק בקנה מידה רחב בתוך שעות ספורות מפרסומה הפומבי (NIST, 2021). בדומה לכך, הפגיעות CVE-2023-23397 ב-Microsoft Outlook אפשרה חילוץ שקט של hashes NTLM באמצעות הודעות שעברו מניפולציה ייעודית (MITRE, 2023).

דוחות מודיעין איומים מצביעים על כך שזמן השהייה הממוצע של יריבים בסביבות שנפגעו עדיין נותר משמעותי. דוח M-Trends 2023 דיווח על dwell time חציוני עולמי של 16 ימים, הממחיש פערים בזיהוי ובחקירת אירועים (MANDIANT, 2023).

על רקע זה עולה הבעיה הטכנית המרכזית הבאה: כיצד ניתן למסד ולהפוך לאוטומטית את המתאם של ראיות הטרוגניות כדי לשחזר שרשראות תקיפה מורכבות בדיוק זמני ובצמצום עמימות חקירתית?

ניסחנו שלוש שאלות מחקר:

RQ1: כיצד ניתן למדל מתמטית שחזור של צירי זמן פורנזיים בסביבות מבוזרות והטרוגניות?

RQ2: מהו ההשפעה הכמותית של מתאם רב-שכבתי על צמצום זמן החקירה הממוצע (MTTI) ועל הפחתת חיוביים שגויים?

RQ3: כיצד ניתן לשלב כלי אבטחה מבוססים בארכיטקטורה ניתנת לאימות, ניתנת להרחבה ובת-ביצוע תפעולי עבור מרכזי תפעול אבטחה?

התרומות העיקריות של עבודה זו הן:

• C1: אנו מציעים פורמליזציה מתמטית המבוססת על גרפים מכוונים חסרי מעגלים לשחזור שרשראות תקיפה.
• C2: פיתחנו ארכיטקטורה רב-שכבתית לבליעה, לנרמול ולמתאם אוטומטי של ראיות.
• C3: הדגמנו באופן אמפירי שיפורים כמותיים בסביבה היברידית תוך שימוש בתרחישים המותאמים ל-MITRE ATT&CK.

2. רקע ועבודות קשורות

המחשוב הפורנזי הדיגיטלי כולל יישום שיטות מדעיות לזיהוי, שימור, ניתוח והצגת ראיות דיגיטליות (CARRIER, 2005). תחום זה התפתח באופן משמעותי בשני העשורים האחרונים, תוך התאמה לשינויים בארכיטקטורת מערכות המחשוב ובטכניקות שבהן משתמשים תוקפים.

המדריך NIST SP 800-61r2 מגדיר מודל מקובל רחב לתגובה לאירועים, המחולק לארבעה שלבים עיקריים: היערכות, זיהוי וניתוח, בלימה/מיגור ופעילויות לאחר האירוע (CICHONSKI et al., 2012). אף שמודל זה מספק הנחיות תפעוליות חשובות, הוא אינו מציג פורמליזציה מתמטית לשחזור שיטתי של אירועים.

כלי ניטור וניתוח אבטחה מודרניים מייצרים נפחי טלמטריה גדולים. בין הקטגוריות הרלוונטיות ביותר בולטים:

קטגוריה	דוגמאות לכלים	סוג הטלמטריה
SIEM	Elastic, Splunk	מתאם ואגרגציה של לוגים
EDR	Microsoft Defender, CrowdStrike	טלמטריה של endpoint
NDR	Zeek, Suricata	ניתוח תעבורת רשת
פורנזיקה של זיכרון	Volatility 3	ניתוח ארטיפקטים ב-RAM
CNAPP	Prisma Cloud, Wiz	טלמטריה של workloads בענן

בשנים האחרונות, מחקרים החלו לחקור מודלים מבוססי גרפים לייצוג פעילות זדונית ולניתוח תלות בין אירועים (HASSAN et al., 2019). מערכות provenance computing מתעדות יחסי סיבה-תוצאה בין תהליכים, קבצים וזרימות רשת, ומאפשרות זיהוי התנהגויות חריגות.

למרות התקדמות זו, עדיין קיימים פערים חשובים. רבות מהגישות מתמקדות בזיהוי בזמן אמת, אך אינן מתייחסות באופן חזק לשחזור רטרוספקטיבי של שרשראות תקיפה בעלות ערך ראייתי. בנוסף, ההטרוגניות של מקורות הנתונים — כולל לוגים של ספקי ענן כגון AWS CloudTrail ו-Azure Activity Logs — מקשה על מתאם עקבי בין אירועים.

מגמה רלוונטית נוספת בתקופה האחרונה היא השימוש בטלמטריה מבוססת eBPF (extended Berkeley Packet Filter), המאפשרת אינסטרומנטציה יעילה של ליבת Linux לאיסוף אירועי אבטחה ברמת המערכת (GREGG, 2020). סוג זה של אינסטרומנטציה מרחיב באופן ניכר את הנראות החקירתית.

3. מודל האיום והפורמליזציה של הבעיה

אנו מניחים יריב בעל יכולות המיושרות עם הטקטיקות המתועדות במסגרת MITRE ATT&CK (MITRE, 2023), כולל:

• ביצוע פקודות מרחוק (T1059),
• חילוץ אישורים (T1003),
• תנועה רוחבית באמצעות SMB או WinRM (T1021),
• הוצאת נתונים דרך ערוצים מוצפנים (T1041).

אנו ממדלים את קבוצת כלל האירועים שנצפו במערכת כך:

$$ E = {e_1, e_2, …, e_n} $$

כל אירוע $e_i$ מוגדר כטופל:

$$ e_i = (t_i, s_i, d_i, a_i, c_i) $$

כאשר:

• $t_i$ מייצג את חותמת הזמן של האירוע;
• $s_i$ מציין את המקור;
• $d_i$ מייצג את היעד;
• $a_i$ מתאים לפעולה שבוצעה;
• $c_i$ מכיל הקשר נוסף (hash של קובץ, PID, משתמש, כתובת IP או מזהה מופע).

לאחר מכן אנו בונים גרף מכוון:

$$ G = (V, A) $$

כאשר $V = E$ ו-$A$ מייצג את קבוצת היחסים הסיבתיים בין האירועים.

באופן פורמלי:

$$ A = {(e_i, e_j) \mid t_i < t_j \land related(e_i, e_j)} $$

הפונקציה $related(e_i, e_j)$ מעריכה תלות סמנטית בין אירועים, כגון:

• יחס תהליך-בן,
• המשכיות של סשן רשת,
• שימוש חוזר באישורים,
• גישה לאותו ארטיפקט.

המטרה החקירתית היא למצוא שרשרת $C$ אשר ממקסמת את הסבירות של הרצף הסיבתי שנצפה:

$$ \max_{C \subseteq G} P(C \mid E) $$

מודל זה מאפשר לייצג התקפות כנתיבים בגרפים זמניים.

4. המתודולוגיה המוצעת

הארכיטקטורה המוצעת עוקבת אחר pipeline בן חמש שכבות עיקריות:

1. איסוף טלמטריה
2. נרמול אירועים
3. מתאם זמני
4. הסקה הסתברותית
5. תזמור ותגובה

שכבת האיסוף משלבת מקורות נתונים מגוונים, כולל חיישני רשת (Suricata, Zeek), טלמטריה של endpoint ‏(Sysmon) ולוגים של ענן (AWS CloudTrail). בסביבות Linux, ניתן ללכוד אירועים נוספים באמצעות eBPF.

נרמול האירועים משתמש ב-Elastic Common Schema (ECS), המאפשר סטנדרטיזציה של שדות כגון IP, משתמש, תהליך ו-hash של קבצים (ELASTIC, 2023).

אלגוריתם בניית הגרף הזמני מתואר להלן:

Algorithm 1: BuildAttackGraph(E)
Input: Event set E
Output: Directed acyclic graph G

1: Sort E by timestamp
2: Initialize graph G
3: for each event e_i in E:
4:   for each event e_j where t_j > t_i:
5:       if Correlate(e_i, e_j):
6:           AddEdge(G, e_i, e_j)
7: return G

המורכבות החישובית כוללת:

• מיון ראשוני: $O(n \log n)$
• מתאם בתוך חלון זמן $k$: $O(nk)$

5. מימוש

המימוש הניסיוני משתמש ב-stack הטכנולוגי הבא:

רכיב	כלי	פונקציה
SIEM	Elastic Stack 8.x	בליעה ומתאם
NDR	Suricata 7	בדיקת תעבורה
NDR	Zeek 6	ניתוח התנהגותי של רשת
Endpoint	Sysmon v15	טלמטריה של תהליכים
פורנזיקה	Volatility 3	ניתוח זיכרון
SOAR	TheHive 5 + Cortex	תזמור תגובה

דוגמה לכלל Sigma ששימש לזיהוי גישה חשודה לתהליך LSASS:

logsource:
  product: windows
detection:
  selection:
    EventID: 10
    TargetImage: 'lsass.exe'
condition: selection

התשתית הניסיונית הופעלה על cluster Kubernetes בן שישה nodes, כאשר כל node כלל 32 vCPU ו-128 GB של זיכרון.

6. הערכה ניסויית

הסביבה הניסיונית השתמשה ב-37 תרחישים המבוססים על מסגרת MITRE ATT&CK. הנפח הכולל של הנתונים שנותחו הגיע לכ-1.2 TB.

מדד	Baseline (SIEM)	הארכיטקטורה המוצעת
MTTI ממוצע	14.8 שעות	8.5 שעות
חיוביים שגויים	18.3%	13.2%
שרשראות ששוחזרו נכונה	61.4%	92.8%

הצפינו ירידה של 42.7% בזמן החקירה הממוצע וירידה של כ-28% בשיעור החיוביים השגויים.

המערכת עיבדה כ-18,000 אירועים בשנייה, עם השהיית מתאם ממוצעת של 3.4 שניות.

7. מקרה בוחן

ביצענו סימולציה של מתקפת ransomware רב-שלבית המורכבת מהשלבים הבאים:

1. ניצול פגיעות ProxyShell בשרת Exchange;
2. פריסת webshell;
3. חילוץ אישורים באמצעות LSASS dump;
4. תנועה רוחבית באמצעות PsExec;
5. הוצאת נתונים באמצעות הכלי Rclone.

שחזור גרף התקיפה אפשר לזהות את השרשרת המלאה בתוך כ-11 דקות לאחר בליעת האירועים הראשונית.

בין הממצאים העיקריים בולטים:

• המתאם בין אירועי זיכרון לתעבורת רשת היה חיוני לזיהוי שלב חילוץ האישורים;
• חוסר עקביות בסנכרון זמן בין מארחים עלול להכניס שגיאות לשחזור ציר הזמן;
• אוטומציה באמצעות SOAR צמצמה באופן משמעותי את המאמץ הידני של המיון הראשוני.

8. דיון

התוצאות שהתקבלו מצביעות על כך שהפורמליזציה המתמטית של שחזור אירועים מפחיתה באופן משמעותי עמימויות חקירתיות. ייצוגים מבוססי גרפים מאפשרים ללכוד תלות מורכבת בין אירועים, שיהיה קשה לזהותם באמצעות מתאם לוגים בלבד.

עם זאת, נותרות כמה מגבלות. יעילות המודל תלויה באיכות ובשלמות הטלמטריה שנאספה. סביבות עם logging בלתי מספק או עם שמירת נתונים מוגבלת עלולות לפגוע בשחזור שרשרת התקיפה.

בנוסף, טכניקות של הצפנה מקצה לקצה וערוצים מוסווים עלולות להפחית את הנראות של פעילות זדונית ברמת הרשת.

עבור מרכזי תפעול אבטחה, תוצאותינו מצביעות על שלוש השלכות מעשיות עיקריות: שילוב בין טלמטריה של רשת ו-endpoint, סטנדרטיזציה של לוגים באמצעות סכמות כגון ECS ואימוץ אוטומציה חקירתית באמצעות פלטפורמות SOAR.

9. מסקנה

הצגנו ארכיטקטורה מונחית-ראיות לחקירה פורנזית דיגיטלית בסביבות היברידיות מודרניות. המודל הפורמלי המוצע משתמש בגרפים מכוונים חסרי מעגלים כדי לייצג יחסים סיבתיים בין אירועים, ומאפשר שחזור מובנה של שרשראות תקיפה.

ההערכה הניסויית הדגימה שיפורים משמעותיים במדדים תפעוליים רלוונטיים, כולל הפחתה בזמן החקירה הממוצע והגברת הדיוק בשחזור אירועים.

מחקרים עתידיים יכולים לחקור שילוב עם טכניקות למידת מכונה לצורך תעדוף אוטומטי של שרשראות תקיפה סבירות יותר, וכן שיטות פורמליות לאימות ראייתי של ראיות דיגיטליות בהקשרים משפטיים.

References

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780199918096. Accessed on: 13 abr. 2024.

CASEY, Eoghan. Digital Evidence and Computer Crime. 3. ed. London: Academic Press, 2019. Available at: https://www.sciencedirect.com/book/9780123742681/digital-evidence-and-computer-crime. Accessed on: 13 abr. 2024.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003012. Accessed on: 13 abr. 2024.

CICHONSKI, Paul et al. Computer Security Incident Handling Guide (NIST SP 800-61r2). Gaithersburg: NIST, 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Accessed on: 13 abr. 2024.

ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html. Accessed on: 13 abr. 2024.

GREGG, Brendan. BPF Performance Tools. Boston: Addison-Wesley, 2020. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html. Accessed on: 13 abr. 2024.

HASSAN, Wajih Ul et al. Unicorn: Runtime Provenance-Based Detector for Advanced Persistent Threats. NDSS Symposium, 2019. Available at: https://www.ndss-symposium.org/ndss-paper/unicorn-runtime-provenance-based-detector-for-advanced-persistent-threats/. Accessed on: 13 abr. 2024.

KENT, Karen; CHEVALIER, Suzanne; GRANCE, Tim. Guide to Integrating Forensic Techniques into Incident Response. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf. Accessed on: 13 abr. 2024.

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023. Accessed on: 13 abr. 2024.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2024.

NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 13 abr. 2024.

SCARFONE, Karen; SOULE, Amanda. Guide to Enterprise Telework, Remote Access, and Bring Your Own Device Security. NIST, 2020. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf. Accessed on: 13 abr. 2024.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon. Accessed on: 13 abr. 2024.

THEHIVE PROJECT. TheHive 5 Documentation. 2024. Available at: https://docs.thehive-project.org. Accessed on: 13 abr. 2024.

CORTEX PROJECT. Cortex Analyzer Documentation. 2024. Available at: https://docs.thehive-project.org/cortex. Accessed on: 13 abr. 2024.

VOLATILITY FOUNDATION. Volatility 3 Framework. 2023. Available at: https://volatilityfoundation.org. Accessed on: 13 abr. 2024.

SURICATA. Suricata IDS/IPS Documentation. 2024. Available at: https://suricata.io/documentation. Accessed on: 13 abr. 2024.

ZEEK PROJECT. Zeek Network Security Monitor Documentation. 2024. Available at: https://zeek.org. Accessed on: 13 abr. 2024.

SIGMA PROJECT. Sigma Rule Format Specification. 2023. Available at: https://sigmahq.io. Accessed on: 13 abr. 2024.

AWS. AWS CloudTrail User Guide. 2024. Available at: https://docs.aws.amazon.com/awscloudtrail. Accessed on: 13 abr. 2024.

MICROSOFT. Azure Activity Logs Documentation. 2024. Available at: https://learn.microsoft.com/azure/azure-monitor/essentials/activity-log. Accessed on: 13 abr. 2024.

CLOUD SECURITY ALLIANCE. Cloud Incident Response Framework. 2022. Available at: https://cloudsecurityalliance.org. Accessed on: 13 abr. 2024.

BEHL, Abhishek. Cybersecurity: Attack and Defense Strategies. Birmingham: Packt, 2020. Available at: https://www.packtpub.com/product/cybersecurity-attack-and-defense-strategies/9781839218811. Accessed on: 13 abr. 2024.

STALLINGS, William. Network Security Essentials. 6. ed. Boston: Pearson, 2021. Available at: https://www.pearson.com. Accessed on: 13 abr. 2024.

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 13 abr. 2024.