כותרת: ארכיטקטורה מבוססת-פורמלית ל-DFIR מבוסס גרפים זמניים עם ערבויות קריפטוגרפיות לשלמות ושחזור הסתברותי של שרשרת התקיפה

1. מבוא

התחום של Digital Forensics and Incident Response ‏(DFIR) התפתח משמעותית במהלך העשור האחרון בתגובה למורכבות ההולכת וגוברת של התשתיות הדיגיטליות ולעלייה הניכרת במשטח התקיפה של סביבות ארגוניות. אקוסיסטמות מחשוב עכשוויות משלבות שירותי ענן, סביבות היברידיות, ארכיטקטורות מיקרו־שירותים והתקנים מבוזרים, ומייצרות נפחי טלמטריית אבטחה עצומים. בהקשר זה, החקירה הפורנזית הדיגיטלית הפכה לבעיה חישובית בקנה מידה גדול, המחייבת שיטות אוטומטיות המסוגלות לשמר יחסי סיבתיות ועקביות זמנית בין אירועים (BISHOP, 2018).

תקריות המתועדות בהרחבה ממחישות מורכבות תפעולית זו. הניצול הנרחב של הפגיעוּת CVE‑2021‑44228, הידועה כ-Log4Shell, הראה כיצד חולשות בספריות בשימוש רחב יכולות לאפשר הרצת קוד מרחוק והתפשטות מהירה בסביבות ארגוניות (NIST, 2021). התקפות שרשרת האספקה, כגון הפגיעה בתוכנת SolarWinds Orion, הראו כי יריבים מתקדמים פועלים באמצעות מסעות תקיפה מתמשכים ורב־שלביים, הכוללים פגיעה ראשונית, תנועה רוחבית ואקספילטרציית נתונים (MANDIANT, 2023). בקמפיינים עכשוויים של כופרה המבוצעים על ידי קבוצות כמו LockBit ו-ALPHV/BlackCat, נצפית גם שילוב של טכניקות התמדה, שימוש לרעה בפרטי גישה תקפים והשבתה של מנגנוני ביקורת.

חלק ניכר מפעילות זו ניתן לתיאור באמצעות מסגרת MITRE ATT&CK, המסדירה טקטיקות וטכניקות של יריבים שנצפו אמפירית בקמפיינים בעולם האמיתי (MITRE, 2024). טכניקות כגון T1059 (Command and Scripting Interpreter), T1021 (Remote Services), T1078 (Valid Accounts) ו-T1070 (Indicator Removal) מופיעות לעיתים קרובות ברצף במהלך תקיפות מתקדמות. עם זאת, אף ש-ATT&CK מספק טקסונומיה שימושית לניתוח איומים, שחזור פורמלי של שרשראות תקיפה מתוך לוגים הטרוגניים נותר אתגר משמעותי.

הבעיה המרכזית ב-DFIR עכשווי היא לשחזר, באופן עקבי וניתן לאימות, את הרצף הסיבתי של האירועים המרכיבים תקרית אבטחה. ארגונים גדולים מייצרים לעיתים קרובות מיליארדי אירועים ביום ממערכות EDR, חומות אש, פרוקסי, פלטפורמות זהות ושירותי ענן. ניתוח ידני של נתונים אלה נעשה בלתי מעשי, בעוד גישות אוטומטיות המבוססות על חוקים או קורלציה היוריסטית מייצרות לעיתים קרובות תוצאות חיוביות שגויות או אינן מזהות יחסי סיבתיות רלוונטיים (ANDERSON, 2020).

דוחות אמפיריים מחזקים פער תפעולי זה. Verizon Data Breach Investigations Report מתעד כי תוקפים שוהים לעיתים קרובות פרקי זמן ארוכים בסביבות שנפגעו לפני הזיהוי הראשוני (VERIZON, 2023). בדומה לכך, ניתוחים תפעוליים שבוצעו בידי Mandiant מצביעים על כך שחלק ניכר מן התקריות הנחקרות כולל תנועה רוחבית משמעותית לפני שהתקיפה מזוהה (MANDIANT, 2023).

בהקשר זה, אנו חוקרים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למודל אירועים פורנזיים באופן פורמלי כך שישמרו סיבתיות ועקביות זמנית?

RQ2: האם ניתן לשחזר שרשראות תקיפה מורכבות בדיוק גבוה יותר באמצעות היסק הסתברותי מונחה־גרפים?

RQ3: מהם ההשפעות על הביצועים והסקיילביליות של יישום מודלים אלה בסביבות עם טלמטריה בקנה מידה גדול?

התרומות העיקריות שלנו הן:

C1: הגדרה פורמלית של מודל גרף זמני לייצוג ראיות דיגיטליות עם תכונות מפורשות של שלמות ועקביות זמנית.

C2: הצעה של אלגוריתם לשחזור הסתברותי של תקיפות המבוסס על היסק בייסיאני המותנה בדפוסים ממסגרת MITRE ATT&CK.

C3: מימוש של אב־טיפוס סקיילבילי והערכה ניסויית על מערכי נתונים מייצגים, המדגימות שיפורים מדידים בדיוק החקירתי ובזמן השחזור.

שאר המאמר מאורגן כדלקמן. סעיף 2 מציג את היסודות התאורטיים והעבודות הקשורות. סעיף 3 מנסח באופן פורמלי את מודל האיום ואת הבעיה הנחקרת. סעיף 4 מתאר את המתודולוגיה המוצעת. סעיף 5 מפרט את המימוש הניסויי. סעיף 6 מציג את ההערכה האמפירית. סעיף 7 דן בהשלכות ובמגבלות. לבסוף, סעיף 8 מסכם את העבודה.

2. יסודות ועבודות קשורות

הזיהוי הפלילי הדיגיטלי נשען על ארבעה שלבים קלאסיים: רכישה, שימור, ניתוח והצגה של ראיות דיגיטליות (KENT et al., 2006). באופן פורמלי, ניתן לייצג קבוצה של ראיות נצפות כ:

$E = {e_1, e_2, …, e_n}$

כאשר לכל אירוע $e_i$ יש מאפיינים מבניים:

$(t_i, s_i, m_i)$

בהם $t_i$ מייצג את חותמת הזמן, $s_i$ מציין את מקור המידע (למשל, endpoint, firewall או application), ו-$m_i$ מתייחס לקבוצת מטא־נתונים.

מודלים מסורתיים מתייחסים לעיתים קרובות לאירועים כאל תצפיות בלתי תלויות, ומסדרים אותם רק לפי חותמות זמן. גישה זו, המבוססת על ציר זמן, מתעלמת מתלויות סיבתיות בין פעולות מחשוב ומקשה על שחזור שרשראות תקיפה מורכבות (BISHOP, 2018).

כחלופה, גראפי פרובננס נחקרו בהרחבה בספרות אבטחת מערכות. במודלים כאלה, גרף מכוון $G = (V, E)$ מייצג ישויות חישוביות ואינטראקציות ביניהן, כולל תהליכים, קבצים וחיבורי רשת (BATES et al., 2015).

ניתן להרחיב מושג זה לגרפים זמניים על ידי הגדרה:

$G = (V, E, \tau)$

כאשר $\tau : V \rightarrow \mathbb{R}$ מקצה לכל קודקוד רגע זמן. העקביות הזמנית של הגרף מחייבת כי:

$$ \forall (u,v) \in E,\ \tau(u) \leq \tau(v) $$

תכונה זו מונעת היווצרות של תלויות סיבתיות בלתי עקביות בגרף.

מערכות לכידת פרובננס רבות הוצעו בעשור האחרון. מערכת PASS הציגה מנגנוני מעקב פרובננס ברמת מערכת ההפעלה, בעוד מסגרת SPADE חקרה איסוף מבוזר של אירועי ביקורת (FREIRE et al., 2008; BATES et al., 2015).

בהקשר הספציפי של זיהוי תקיפות רב־שלביות, Milajerdi et al. הציעו את המערכת HOLMES, המצליבה אירועי מערכת באמצעות שלבים המוגדרים על ידי מסגרת ATT&CK (MILAJERDI et al., 2019). אף שהיא יעילה בזיהוי התנהגות זדונית, מערכת זו אינה מספקת ערבויות פורמליות לשלמות ולא שחזור הסתברותי מפורש של שרשראות תקיפה.

בסביבות ארגוניות, פלטפורמות SIEM כגון Splunk Enterprise Security ו-IBM QRadar משתמשות בקורלציה המבוססת על חוקים, היוריסטיקות ומודלים סטטיסטיים כדי לזהות דפוסים חשודים (SPLUNK, 2023; IBM, 2023). עם זאת, מערכות כאלה פועלות לעיתים קרובות כקופסאות שחורות אנליטיות, מה שמקשה על אימות פורמלי של ההיסקים שהופקו.

בשנים האחרונות, ארכיטקטורות מודרניות של תצפיתיות ואבטחה החלו לשלב גם טלמטריה מסביבות ענן ומעומסי עבודה בקונטיינרים, שלעיתים קרובות מוצלבת בפלטפורמות CNAPP ‏(Cloud-Native Application Protection Platforms) (SCARFONE; SOUPPAYA, 2022). הרחבת משטח הניטור הזו מחזקת את הצורך במודלים פורמליים סקיילביליים לניתוח חקירתי.

הגישה שלנו נבדלת בכך שהיא משלבת שלושה ממדים משלימים: מודל פורמלי המבוסס על גרפים זמניים, היסק הסתברותי מונחה ATT&CK וערבויות קריפטוגרפיות לשלמות הראיות.

3. מודל האיום והפורמליזציה של הבעיה

אנו מתייחסים ליריב $\mathcal{A}$ המסוגל לנהל קמפיינים רב־שלביים בסביבות ארגוניות המנוטרות באמצעות מנגנוני logging סטנדרטיים. היכולות המונחות הן:

1. ניצול מרחוק של פגיעויות ידועות;
2. הרצת קוד שרירותי על מארחים שנפגעו;
3. הסלמת הרשאות מקומית;
4. תנועה רוחבית באמצעות פרטי גישה תקפים;
5. ניסיונות להסיר או לשנות לוגים.

יכולות אלה עקביות עם דפוסים שנצפו בקמפיינים מתועדים של איומים מתמשכים מתקדמים (TANKARD, 2011; MITRE, 2024).

אנו מניחים בנוסף שהתשתית המנוטרת מייצרת טלמטריה ממקורות מרובים, כולל EDR, יומני אימות, זרמי רשת ואירועי יישום. עם זאת, נתונים אלה עשויים להציג השהיות, אובדן חלקי או אי־עקביות זמנית.

אנו מגדירים את הבעיה הנחקרת באופן הבא. בהינתן קבוצה של אירועים נצפים $E_{obs}$, אנו שואפים לשחזר רצף של פעולות יריב:

$A = (a_1, a_2, …, a_k)$

שימקסם את ההסתברות האפוסטריורית:

$$ A^ = \arg\max_A P(A | E_{obs}) $$

כאשר $A$ מייצג שרשרת של טכניקות התואמות את מודל האיום.

שלוש תכונות יסוד רצויות במערכת:

שלמות: הראיות המתועדות לא אמורות להיות ניתנות לשינוי ללא גילוי.

שלמות כיסוי: כל השרשראות הסבירות צריכות להיות ניתנות לייצוג בגרף החקירתי.

נכונות: שרשראות שהוסקו בהסתברות מעל סף $\theta$ צריכות להיות עקביות עם מודל התקיפה המונח.

תכונות אלו מספקות את הבסיס התאורטי לארכיטקטורה המוצעת.

4. המתודולוגיה המוצעת

ארכיטקטורת GT‑DFIR מורכבת מארבעה מודולים עיקריים:

1. קליטה ונרמול של אירועים;
2. בניית גרף פרובננס זמני;
3. מנגנון היסק הסתברותי;
4. שכבת שלמות קריפטוגרפית.

במהלך הקליטה, אירועים ממקורות מרובים מומרים לסכמת ייצוג משותפת. כל אירוע מומר לקודקוד מטיפוס השייך לאחת מן הקטגוריות הבאות: Process, File, Network או User.

אלגוריתם 1: בניית גרף זמני

Input: normalized event set E
Output: temporal graph G

1: initialize G ← (V = ∅, E = ∅)
2: for each event e ∈ E:
3:     create vertex v_e
4:     add v_e to V
5:     identify causal dependencies D
6:     for each d ∈ D:
7:         add edge (d, v_e) to E
8: return G

המורכבות של האלגוריתם היא בקירוב $O(n \log n)$ כאשר נעשה שימוש באינדקסים זמניים לאיתור תלויות.

אלגוריתם 2: שחזור הסתברותי של תקיפות (PAR)

Input: graph G, set of techniques T
Output: attack chain A

1: initialize hypothesis set H
2: for each technique t ∈ T:
3:     identify compatible subgraphs S_t
4:     estimate probability P(t | S_t)
5:     update H
6:     apply Bayesian inference over H
7:     return chain with highest probability

ההיסק ההסתברותי מבוסס על היחס:

$$ P(A|E) \propto P(E|A)P(A) $$

כאשר $P(A)$ מייצג את ההסתברות האפריורית של שרשרת תקיפה ו-$P(E|A)$ מייצג את סבירות הראיות הנצפות.

כדי להבטיח את שלמות הראיות, אנו משתמשים בשרשור קריפטוגרפי של hashes:

$$ h_i = SHA256(e_i || h_{i-1}) $$

מנגנון זה יוצר שרשרת ניתנת לאימות של רשומות, ובכך מונע שינויים שלא זוהו באירועים המאוחסנים.

5. מימוש

מימשנו אב־טיפוס ניסויי באמצעות ארכיטקטורה מבוזרת המורכבת משמונה צמתי חישוב, שכל אחד מהם מצויד במעבדי Intel Xeon Gold וב-128 GB RAM.

קליטת האירועים בוצעה באמצעות Elastic Stack, עם נירמול המבוסס על התקן Elastic Common Schema ‏(ECS) (ELASTIC, 2024). האחסון והשאילתה של הגרף הזמני הוטמעו באמצעות Neo4j, המספקת תמיכה יעילה בשאילתות מבניות ובאינדוקס זמני (NEO4J, 2023).

מנגנון ההיסק ההסתברותי פותח ב-Python, תוך שימוש בספריות מדעיות לחישוב הסתברות מותנית ולניתוח גרפים.

קצב הקליטה הממוצע שנצפה היה כ-50,000 אירועים לשנייה, עם זמן שיהוי ממוצע לעיבוד של 220 ms. כדי להבטיח סקיילביליות אופקית, אימצנו חלוקה למקטעים לפי חלונות זמן $\Delta t$, המאפשרת עיבוד מקביל על פני מספר צמתים.

6. הערכה ניסויית

ההערכה הניסויית השתמשה בשלושה מערכי נתונים נפרדים.

מערך נתונים	גודל	תיאור
DARPA Transparent Computing	5,1 TB	טלמטריית מערכת הפעלה למחקר אבטחה
Logs corporativos	4,2 TB	1,3 מיליארד אירועים אמיתיים מונחים־אנונימיזציה
Cenários Log4Shell	800 GB	סימולציות של ניצול CVE‑2021‑44228

השווינו את הארכיטקטורה המוצעת עם שתי גישות ייחוס.

מזהה	שיטה
B1	קורלציה מבוססת חוקים (SIEM מסורתי)
B2	זיהוי סטטיסטי מבודד

המדדים שהוערכו כללו Precision, Recall, F1-score ו-Tempo de Reconstrução ‏(RT).

שיטה	Precision	Recall	F1	RT (min)
B1	0.74	0.68	0.71	42.3
B2	0.69	0.64	0.66	38.7
GT‑DFIR	0.91	0.87	0.89	26.5

נרשמה ירידה ממוצעת של 37,4% בזמן השחזור החקירתי ($\sigma = 4,8$). מבחנים סטטיסטיים המבוססים על מבחן t הצביעו על מובהקות עם $p < 0,01$.

התקורה החישובית הממוצעת שהוסיפה הארכיטקטורה הייתה 12,6%, ערך הנחשב סביר לאור הרווחים בדיוק החקירתי.

7. דיון

התוצאות הניסיוניות מצביעות על כך שמידול מונחה גרפים זמניים מפחית משמעותית אמביוולנטיות סיבתית במהלך חקירות פורנזיות. באמצעות ייצוג מפורש של תלויות בין אירועים, המערכת מונעת היסקים שגויים הנפוצים בגישות כרונולוגיות בלבד.

השימוש בהיסק בייסיאני גם מאפשר לשלב ידע מוקדם על דפוסי תקיפה שנצפו אמפירית, ובמיוחד כאלה המתועדים במסגרת MITRE ATT&CK (MITRE, 2024). שילוב זה בין ידע מומחה לבין ראיות נצפות משפר את החוסן של ההיסקים החקירתיים.

עם זאת, כמה מגבלות עדיין קיימות. איכות ההיסקים תלויה במידה רבה בשלמות ובנאמנות של הטלמטריה שנאספה. סביבות עם logging בלתי מספק עשויות לייצר גרפים חסרים, המשפיעים על שחזור שרשראות התקיפה.

בנוסף, גראפי פרובננס בקנה מידה גדול עשויים להגיע למיליארדי קודקודים, ולהציב אתגרי אחסון ושאילתה. אסטרטגיות של דחיסה ואגרגציה של אירועים מייצגות כיוונים מבטיחים למחקר עתידי.

מבחינה תפעולית, אימוץ מעשי של ארכיטקטורה זו מחייב אינטגרציה עם פלטפורמות SIEM וכלי תגובה לתקריות קיימים, וכן הכשרה ייעודית לאנליסטים של אבטחה.

8. מסקנה

הצגנו ארכיטקטורה פורמלית ל-Digital Forensics and Incident Response המבוססת על גרפים זמניים, היסק הסתברותי ומנגנונים קריפטוגרפיים לשלמות הראיות. הראינו כי גישה זו מאפשרת שחזור של שרשראות תקיפה מורכבות בדיוק וביעילות גבוהים יותר בהשוואה לשיטות מסורתיות המבוססות אך ורק על קורלציה היוריסטית.

תרומתנו כוללת את הפורמליזציה המתמטית של המודל החקירתי, את ההגדרה של אלגוריתמים לשחזור הסתברותי ואת האימות האמפירי על מערכי נתונים מייצגים של סביבות ארגוניות עכשוויות.

התוצאות הניסיוניות מצביעות על שיפורים משמעותיים במדדי הדיוק ועל הפחתה בזמן השחזור החקירתי. ממצאים אלה מציעים כי ארכיטקטורות מבוססות גרפים זמניים מהוות כיוון מבטיח למערכות DFIR סקיילביליות וניתנות לאימות.

הפניות

ANDERSON, Ross. Security engineering: a guide to building dependable distributed systems. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

BATES, Adam et al. Trustworthy whole-system provenance for the Linux kernel. In: USENIX SECURITY SYMPOSIUM. Proceedings… 2015. Available at: https://www.usenix.org/conference/usenixsecurity15

BILGE, Leyla; DUMITRAȘ, Tudor. Before we knew it: an empirical study of zero-day attacks in the real world. In: ACM CCS. Proceedings… 2012. Available at: https://doi.org/10.1145/2382196.2382284

BISHOP, Matt. Computer security: art and science. 2. ed. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000003095

CARRIER, Brian. File system forensic analysis. Boston: Addison‑Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis

DARPA. Transparent computing program. Arlington: DARPA, 2018. Available at: https://www.darpa.mil/program/transparent-computing

ELASTIC. Elastic Common Schema (ECS) reference documentation. 2024. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

FREIRE, Juliana et al. Provenance for computational tasks: a survey. Computing in Science & Engineering, 2008. Available at: https://doi.org/10.1109/MCSE.2008.79

IBM. IBM QRadar SIEM documentation. 2023. Available at: https://www.ibm.com/docs/en/qradar

KENT, Karen et al. Guide to integrating forensic techniques into incident response. NIST Special Publication 800‑86. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M‑Trends 2023: insights into today’s cyber attack trends. 2023. Available at: https://www.mandiant.com/resources/m-trends

MILAJERDI, Sadegh M. et al. HOLMES: real-time APT detection through correlation of suspicious information flows. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00044

MITRE. MITRE ATT&CK framework. 2024. Available at: https://attack.mitre.org

NEO4J. Graph database platform documentation. 2023. Available at: https://neo4j.com/docs

NIST. National vulnerability database entry CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer security incident handling guide. NIST SP 800‑61 Revision 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

NOEL, Steven et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://doi.org/10.1109/MSP.2009.64

OWASP. OWASP Top 10: the ten most critical web application security risks. 2021. Available at: https://owasp.org/www-project-top-ten

SCARFONE, Karen; SOUPPAYA, Murugiah. Guidelines on security and privacy in public cloud computing. NIST, 2022. Available at: https://nvlpubs.nist.gov/nistpubs

SPLUNK. Splunk Enterprise Security documentation. 2023. Available at: https://docs.splunk.com/Documentation/ES

TANKARD, Colin. Advanced persistent threats and how to monitor and deter them. Network Security, 2011. Available at: https://doi.org/10.1016/S1353-4858(11)70086-1

VERIZON. 2023 Data breach investigations report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/