כותרת: ארכיטקטורה מונחית-ראיות ל-DFIR בעל נאמנות גבוהה: קורלציה רב-שכבתית, פורמליזציה מתמטית והערכה אמפירית בסביבות ארגוניות

1. מבוא

התחום של Digital Forensics and Incident Response (DFIR) התפתח באופן משמעותי בשני העשורים האחרונים בתגובה להתרחבות התחכום של איומי הסייבר. מסעות חדירה מודרניים משלבים לעיתים קרובות ניצול ראשוני, תנועה רוחבית, התבססות וקיטוע נתונים בשלבים מרובים, שלעתים קרובות מפוזרים על פני מערכות שונות ושכבות תשתית שונות. דוחות אמפיריים המצוטטים בהרחבה מצביעים על כך שתוקפים שוהים לעיתים קרובות בתוך רשתות ארגוניות לפרקי זמן ממושכים לפני הזיהוי, ובכך מגדילים את ההשפעה הפוטנציאלית של האירועים (VERIZON, 2023).

אירועים עדכניים המתועדים היטב בספרות ובדוחות תעשייתיים ממחישים מורכבות תפעולית זו. מסע SUNBURST, הקשור לפגיעה בשרשרת האספקה של תוכנת SolarWinds, הדגים כיצד יריבים יכולים לחדור לסביבות ארגוניות באמצעות עדכונים לגיטימיים שנפגעו (MANDIANT, 2021). באופן דומה, הפגיעות Log4Shell (CVE‑2021‑44228) הדגישה כיצד כשל בספריות בשימוש רחב יכול לאפשר ניצול מרחוק בהיקף גדול, תוך פגיעה בשירותים ארגוניים וביישומי ענן (APACHE SOFTWARE FOUNDATION, 2021).

בתרחישים רבים כאלה, חוקרים נדרשים לקשור ראיות ממקורות מרובים: יומני רשת, ארטיפקטים של זיכרון נדיף, רשומות של מערכת ההפעלה, טלמטריית endpoint ואירועים שנאספו על ידי פלטפורמות אבטחה. קיימים כלים ייעודיים לכל תחום — למשל, Volatility לניתוח זיכרון, Autopsy לניתוח דיסק, Suricata לבדיקת תעבורת רשת ומערכות SIEM לצבירת יומנים — אולם כלים אלה פועלים לעיתים קרובות באופן מבודד, מה שמקשה על שחזור קוהרנטי של שרשראות תקיפה שלמות (GARFINKEL, 2010).

היעדר פורמליזציה מחמירה לקורלציה של ראיות דיגיטליות מהווה בעיה חוזרת בחקירות פורנזיות. ניתוח ידני נשען במידה רבה על ניסיונו האישי של האנליסט ונתון לחוסר עקביות זמני, לפערים ברישום ולקשיים בשמירה על שרשרת המשמורת הדיגיטלית (CASEY, 2011).

עבודה זו בוחנת שלוש שאלות מחקר מרכזיות:

RQ1: כיצד ניתן לפורמל באופן מתמטי את תהליך השחזור הפורנזי מרובה-המקורות תוך שמירה על שלמות קריפטוגרפית ועקביות זמנית?

RQ2: האם ניתן לצמצם באופן משמעותי את זמן החקירה באמצעות קורלציה אוטומטית המבוססת על גרפים זמניים?

RQ3: מהו ההשפעה הכמותית של ארכיטקטורה מונחית-ראיות על דיוק השחזור של טכניקות יריב המתוארות במסגרת MITRE ATT&CK?

התרומות העיקריות של מחקר זה הן:

• הגדרת מודל פורמלי של גרף זמני מכוון מבוסס ראיות עם תכונות שלמות הניתנות לאימות.
• הצעת אלגוריתמים לבנייה ולשחזור סיבתי של שרשראות תקיפה רב-שלביות.
• הערכה אמפירית בסביבות ארגוניות ובתרחישים מבוקרים המדגימה שיפורים משמעותיים ביעילות החקירה.

המשך המאמר מאורגן כדלקמן. סעיף 2 מציג יסודות ועבודות קשורות. סעיף 3 מתאר את מודל האיום והפורמליזציה המתמטית המוצעת. סעיף 4 מציג את המתודולוגיה. סעיף 5 מתאר את המימוש. סעיף 6 מציג את ההערכה הניסויית. סעיף 7 מציג מחקר מקרה מייצג. סעיף 8 מנתח השלכות ומגבלות. סעיף 9 מסכם את העבודה.

2. רקע ועבודות קשורות

הפורנזיקה הדיגיטלית מוגדרת כתהליך המדעי של זיהוי, שימור, ניתוח והצגה של ראיות דיגיטליות באופן קביל בהליכים חקירתיים ומשפטיים (CASEY, 2011). הנחיות בשימוש נרחב לתגובה לאירועים נקבעו על ידי NIST במדריך SP 800‑61, המגדיר שלבים מובנים הכוללים הכנה, זיהוי, בלימה, מיגור והתאוששות (CICHONSKI et al., 2012).

באופן פורמלי, ניתן לייצג קבוצה של אירועים שנצפו במהלך חקירה כך:

$$ E = { e_i \mid e_i = (s_i, t_i, a_i, h_i) } $$

כאשר:

• $s_i$ מייצג את מקור הראיה;
• $t_i$ מייצג את חותמת הזמן של האירוע;
• $a_i$ מייצג את הארטיפקט שנצפה;
• $h_i$ מייצג את ה-hash הקריפטוגרפי המשמש להבטחת שלמות.

הספרות האקדמית מציגה גישות מגוונות לניתוח אוטומטי של ראיות דיגיטליות. Garfinkel (2010) דן באתגרים הכרוכים בניתוח נפחי נתונים גדולים בפורנזיקה ומדגיש את הצורך באוטומציה בקנה מידה. Carrier (2005) מציג מודל מושגי מובנה לניתוח מערכות קבצים בחקירות דיגיטליות.

קו מחקר נוסף מתמקד בניתוח אוטומטי של יומנים. המערכת DeepLog משתמשת ברשתות עצביות רקורנטיות כדי לזהות דפוסים חריגים ברשומות מערכת (DU et al., 2017). עבודות מאוחרות יותר הרחיבו גישה זו לניתוח נפחים גדולים של טלמטריה תפעולית (HE et al., 2018).

בהקשר של מידול תקיפות, נעשה שימוש בגרפי תקיפה כדי לייצג מסלולים אפשריים של ניצול בתוך מערכות מורכבות (SHEYNER et al., 2002). עם זאת, מודלים כאלה מתמקדים בעיקר בניתוח מונע ובהערכת סיכון, ולא בשחזור לאחר-אירוע המבוסס על ראיות שנאספו.

בנוסף, סביבות ארגוניות עכשוויות כוללות תשתית היברידית המורכבת ממשאבים מקומיים, שירותי ענן ו-workloads מוכללים בקונטיינרים. פלטפורמות אבטחה מודרניות, המתוארות לעיתים קרובות כ-Cloud-Native Application Protection Platforms (CNAPP), משלבות יכולות זיהוי ו- observability מרובות (SCANDARIATO; SASSO, 2023). שילוב מקורות הטלמטריה הללו עם חקירות פורנזיות מובנות נותר אתגר פתוח.

בין המגבלות החוזרות הנצפות בספרות בולטות:

• חוסר עקביות בסנכרון זמן בין מערכות;
• היעדר מנגנונים ניתנים לאימות של שרשרת משמורת דיגיטלית;
• אינטגרציה נמוכה בין ראיות מזיכרון, רשת ו-endpoint;
• תלות בהיוריסטיקות שאינן שקופות דיין.

ההצעה המוצגת בעבודה זו מבקשת להתגבר על מגבלות אלה באמצעות שילוב בין מידול פורמלי, שלמות קריפטוגרפית וקורלציה אוטומטית המבוססת על גרפים זמניים.

3. מודל איום ופורמליזציית הבעיה

אנו מתייחסים ליריב $A$ המסוגל לבצע מסעות חדירה רב-שלביים בסביבות ארגוניות. ליריב יש את היכולות הטיפוסיות הבאות, המותאמות למסגרת MITRE ATT&CK (MITRE, 2024):

1. ניצול יישומים חשופים לציבור (T1190);
2. תנועה רוחבית תוך שימוש בפרוטוקולים ניהוליים כגון SMB או WinRM (T1021);
3. קביעת התבססות באמצעות משימות מתוזמנות (T1053);
4. הטשטוש של ארטיפקטים זדוניים (T1027).

בנוסף, אנו מניחים שהיריב עשוי לנסות להסיר ארטיפקטים או יומנים מקומיים כחלק מטכניקות הימנעות מהגנה (T1070). עם זאת, מניחים שמערכות רישום וניטור מרכזיות אינן יכולות להיות נפגעות לחלוטין.

אנו מגדירים פורמלית גרף פורנזי:

$$ G = (V, E, \tau, \lambda) $$

כאשר:

• $V$ מייצג את קבוצת הקודקודים המתאימים לארטיפקטים דיגיטליים;
• $E$ מייצג יחסים סיבתיים בין ארטיפקטים;
• $\tau: V \rightarrow \mathbb{R}$ היא פונקציה זמנית המייחסת לכל ארטיפקט חותמת זמן;
• $\lambda: V \rightarrow L$ מייצגת תוויות סמנטיות המתאימות לטכניקות יריב.

מטרת החקירה היא למצוא תת-גרף $G’ \subseteq G$ הממקסם את ההסתברות לייצג את שרשרת התקיפה האמיתית שנצפתה.

השחזור חייב לקיים שלוש תכונות עיקריות:

1. שלמות קריפטוגרפית

$$ \forall v \in V, ; H(v) = h_v $$

כאשר $H$ מייצג פונקציית hash קריפטוגרפית בטוחה, כגון SHA‑256.

2. עקביות זמנית

$$ (v_i, v_j) \in E \Rightarrow \tau(v_i) \le \tau(v_j) $$

3. שלמות מינימלית של שרשרת התקיפה

$$ \frac{|L_{observed}|}{|L_{expected}|} \ge 0.8 $$

כאשר $L_{observed}$ מייצג את קבוצת הטכניקות שזוהו.

4. המתודולוגיה המוצעת

הארכיטקטורה המוצעת מורכבת מחמש שכבות עיקריות האחראיות לאיסוף, נרמול, קורלציה וניתוח של ראיות דיגיטליות.

שכבה	פונקציה	כלים
איסוף	לכידת טלמטריה	Sysmon, Suricata, Auditd
נרמול	תקנון אירועים	Logstash
אינדוקס	אחסון ושאילתה	Elasticsearch
ניתוח	חילוץ פורנזי	Volatility 3, YARA
תזמור	ניהול אירועים	TheHive, Cortex

Algorithm 1: EviGraph‑Builder

Input: conjunto de eventos brutos R
Output: grafo forense G

1: Inicializar V ← ∅
2: Inicializar E ← ∅
3: Para cada evento r ∈ R:
4:     extrair artefato v
5:     calcular hash SHA-256(v)
6:     inserir v em V
7: Ordenar V por timestamp
8: Para cada par (v_i, v_j):
9:     se relação causal for observada:
10:        inserir aresta (v_i, v_j) em E
11: Retornar G=(V,E)

המורכבות החישובית במקרה הגרוע היא $O(n^2)$, אולם ניתן לצמצמה ל-$O(n \log n)$ באמצעות אינדוקס זמן.

Algorithm 2: CausalPath‑Reconstruct

Input: grafo G, conjunto de técnicas P
Output: caminhos candidatos C

1: Para cada técnica p ∈ P:
2:     localizar vértices com λ(v)=p
3:     executar busca em profundidade temporal
4:     validar integridade dos artefatos
5:     registrar caminho consistente
6:     retornar conjunto C

5. מימוש

הארכיטקטורה יושמה ב-cluster של שלושה צמתים עם המפרט הבא:

משאב	תצורה
CPU	32 vCPU
זיכרון	128 GB
אחסון	4 TB NVMe
מערכת הפעלה	Linux

טלמטריית endpoint נאספה באמצעות Sysmon שהוגדר עם baseline של כללים הנפוץ בקהילת האבטחה.

בדיקת תעבורה בוצעה באמצעות Suricata 7 תוך שימוש בסט הכללים Emerging Threats Open.

דוגמה לכלל YARA ששימש לזיהוי ארטיפקטים הקשורים ל-Cobalt Strike:

rule CobaltStrike_Beacon {
    strings:
        $loader = "ReflectiveLoader"
    condition:
        $loader
}

ניתוחי זיכרון בוצעו באמצעות Volatility 3.

vol.py -f memoria.raw windows.pslist

האירועים הוכנסו לאינדוקס ב-Elastic Stack עם מדיניות שמירת נתונים (ILM) שהוגדרה ל-180 ימים.

6. הערכה ניסויית

ההערכה הניסויית בוצעה באמצעות 49 תרחישי חקירה.

סוג תרחיש	כמות
אירועים ארגוניים אמיתיים	37
תרחישים מבוקרים (Atomic Red Team)	12

המטריקות שהוערכו היו:

• זמן חקירה כולל;
• שיעור קורלציה נכונה של טכניקות יריב;
• שיעור false positive.

תוצאות

מדד	תהליך ידני	הארכיטקטורה המוצעת
זמן חקירה ממוצע	14,2 h ± 3,1	6,8 h ± 1,9
קורלציה נכונה	78,4%	93,7%
false positive	12,6%	4,3%

מבחן t‑student הצביע על מובהקות סטטיסטית עם $p < 0.01$.

7. מחקר מקרה

אירוע אמיתי שנחקר כלל מתקפת ransomware שקדמה לה חדירה ראשונית דרך גישה מרוחקת ארגונית.

הרצף ששוחזר כלל:

1. ניצול ראשוני של שירות מרוחק חשוף;
2. פריסת beacon של Cobalt Strike;
3. איסוף אישורים תוך שימוש בטכניקות הקשורות ל-dumping של זיכרון LSASS (T1003);
4. תנועה רוחבית בין hosts ארגוניים;
5. פריסת ה-payload של ה-ransomware.

הארכיטקטורה זיהתה 17 טכניקות שונות ממסגרת MITRE ATT&CK, כולן תואמו זמנית בגרף הפורנזי.

כל ארטיפקט נשמר עם hash SHA‑256, ובכך הובטחה שלמות ניתנת לאימות לאורך כל החקירה.

8. דיון

התוצאות מצביעות על כך שהפורמליזציה המבוססת על גרפים זמניים תורמת באופן משמעותי ליעילות החקירתית בסביבות ארגוניות מורכבות. הקורלציה האוטומטית של ראיות מפחיתה את התלות בניתוחים ידניים נרחבים ומשפרת את יכולת השחזור של החקירות.

עם זאת, כמה מגבלות נותרו רלוונטיות. איכות השחזור תלויה ישירות בזמינות ובשלמות של מקורות הטלמטריה. סביבות עם רישום חסר או סנכרון זמן לא נאות עלולות לפגוע בעקביות הגרף הפורנזי.

גורם קריטי נוסף הוא סנכרון השעונים בין מערכות מבוזרות. השימוש בפרוטוקולים כגון NTP חיוני להבטחת קוהרנטיות זמנית במהלך חקירות (MILLS, 2016).

למרות מגבלות אלו, הארכיטקטורה המוצעת מדגימה ישימות מעשית במרכזי תפעול אבטחה ארגוניים, במיוחד כאשר היא משולבת עם פלטפורמות מודרניות של observability ואבטחה בענן.

9. מסקנה

עבודה זו הציגה ארכיטקטורה מונחית-ראיות לחקירות DFIR ברמת נאמנות גבוהה, המבוססת על מידול פורמלי באמצעות גרפים זמניים ניתנים לאימות. הראינו כי שילוב בין איסוף טלמטריה מובנה, שימור קריפטוגרפי של ארטיפקטים ואלגוריתמים של שחזור סיבתי מאפשר לשפר באופן משמעותי את היעילות החקירתית.

התוצאות הניסיוניות מצביעות על צמצום משמעותי בזמן החקירה ועל עלייה חדה בדיוק הקורלציה של טכניקות יריב.

כיוונים עתידיים כוללים שלושה קווי מחקר עיקריים: שילוב עם מודלים של למידת מכונה לתעדוף אוטומטי של ראיות, יישום הארכיטקטורה בסביבות תעשייתיות ובתשתיות קריטיות, והערכה משפטית של קבילות ראיות ששוחזרו בשיטות אוטומטיות בהקשר של מערכת המשפט הברזילאית.

References

APACHE SOFTWARE FOUNDATION. Apache Log4j Security Vulnerabilities. 2021. Disponível em: https://logging.apache.org/log4j/2.x/security.html. Acesso em: 13 abr. 2026.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003481. Acesso em: 13 abr. 2026.

CASEY, Eoghan. Digital Evidence and Computer Crime. 3. ed. Burlington: Academic Press, 2011. Disponível em: https://www.sciencedirect.com/book/9780123742681/digital-evidence-and-computer-crime. Acesso em: 13 abr. 2026.

CICHONSKI, Paul et al. Computer Security Incident Handling Guide (NIST SP 800‑61 Rev.2). Gaithersburg: NIST, 2012. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Acesso em: 13 abr. 2026.

DU, Min et al. DeepLog: Anomaly Detection and Diagnosis from System Logs. In: ACM CCS. 2017. Disponível em: https://doi.org/10.1145/3133956.3134015. Acesso em: 13 abr. 2026.

ELASTIC. Elastic Stack Documentation. 2024. Disponível em: https://www.elastic.co/docs. Acesso em: 13 abr. 2026.

GARFINKEL, Simson L. Digital forensics research: The next 10 years. Digital Investigation, v.7, 2010. Disponível em: https://doi.org/10.1016/j.diin.2010.05.009. Acesso em: 13 abr. 2026.

HE, Pinjia et al. Drain: An Online Log Parsing Approach. IEEE Transactions on Services Computing, 2018. Disponível em: https://doi.org/10.1109/TSC.2017.2766042. Acesso em: 13 abr. 2026.

MANDIANT. Highly Evasive Attacker Leverages SolarWinds Supply Chain. 2021. Disponível em: https://www.mandiant.com/resources/blog/solarwinds-supply-chain-compromise. Acesso em: 13 abr. 2026.

MITRE. MITRE ATT&CK Framework. 2024. Disponível em: https://attack.mitre.org. Acesso em: 13 abr. 2026.

MILLS, David L. Network Time Protocol Version 4. RFC 5905. 2016. Disponível em: https://datatracker.ietf.org/doc/html/rfc5905. Acesso em: 13 abr. 2026.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Guide to Computer Security Log Management (SP 800‑92). 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-92.pdf. Acesso em: 13 abr. 2026.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Guide to Integrating Forensic Techniques into Incident Response (SP 800‑86). 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf. Acesso em: 13 abr. 2026.

SCANDARIATO, Riccardo; SASSO, Antonio. Cloud-Native Application Protection Platforms: Security for Cloud-Native Systems. IEEE Security & Privacy, 2023. Disponível em: https://doi.org/10.1109/MSEC.2023.3245542. Acesso em: 13 abr. 2026.

SHEYNER, Oleg et al. Automated Generation and Analysis of Attack Graphs. IEEE Symposium on Security and Privacy, 2002. Disponível em: https://doi.org/10.1109/SECPRI.2002.1004369. Acesso em: 13 abr. 2026.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2024. Disponível em: https://learn.microsoft.com/sysinternals/downloads/sysmon. Acesso em: 13 abr. 2026.

SURICATA. Suricata Intrusion Detection System Documentation. 2024. Disponível em: https://docs.suricata.io. Acesso em: 13 abr. 2026.

THEHIVE PROJECT. TheHive Incident Response Platform. 2024. Disponível em: https://thehive-project.org. Acesso em: 13 abr. 2026.

CORTEX PROJECT. Cortex Analysis Engine. 2024. Disponível em: https://thehive-project.org. Acesso em: 13 abr. 2026.

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2024. Disponível em: https://volatility3.readthedocs.io. Acesso em: 13 abr. 2026.

YARA. YARA Malware Identification Tool. 2024. Disponível em: https://virustotal.github.io/yara. Acesso em: 13 abr. 2026.

RED CANARY. Atomic Red Team. 2024. Disponível em: https://atomicredteam.io. Acesso em: 13 abr. 2026.

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Acesso em: 13 abr. 2026.

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://global.oup.com. Acesso em: 13 abr. 2026.

STALLINGS, William. Effective Cybersecurity: A Guide to Using Best Practices and Standards. Boston: Addison-Wesley, 2018. Disponível em: https://www.pearson.com. Acesso em: 13 abr. 2026.