כותרת: אורקסטרציה פורמלית וניתוח הסתברותי של ראיות ב-DFIR: ארכיטקטורה ניתנת להרחבה מבוססת גרפים זמניים לקורלציה מרובת-מקורות

1. מבוא

תחום ה-Digital Forensics and Incident Response‏ (DFIR) התפתח באופן מהותי בשני העשורים האחרונים, במקביל לשינוי של תשתיות ארגוניות לארכיטקטורות היברידיות, מבוזרות ודינמיות מאוד. עם זאת, התפתחות זו הרחיבה באופן דרמטי את משטח התקיפה ואת המורכבות החקירתית. דוחות עדכניים, כגון Verizon Data Breach Investigations Report‏ (DBIR) 2024, מצביעים על כך שזמן השהות החציוני (dwell time) של יריבים נותר מעל 10 ימים בסביבות ארגוניות מורכבות, בעוד התקפות המנצלות חולשות כגון CVE-2021-44228‏ (Log4Shell) ו-CVE-2023-34362‏ (MOVEit Transfer) מדגימות יכולת ניצול בקנה מידה רחב בפרקי זמן קצרים מ-48 שעות.

מנקודת מבט טכנית, חקירות DFIR מודרניות מתמודדות עם שלושה אתגרים מרכזיים: (i) הטרוגניות מבנית של מקורות הראיות (לוגים של endpoint, טלמטריית EDR, זרמי NetFlow, ארטיפקטים מזיכרון, אירועי ענן), (ii) חוסר עקביות זמנית הנובעת מסטיית שעון ומלטנטיות איסוף, ו-(iii) נוכחות של טכניקות אנטי-פורנסיות ו-living-off-the-land (למשל, T1059 – Command and Scripting Interpreter, T1078 – Valid Accounts ב-MITRE ATT&CK). גורמים אלה הופכים גישות דטרמיניסטיות המבוססות באופן בלעדי על חוקים סטטיים או על קורלציות היוריסטיות לבלתי מתאימות.

הספרות העדכנית מדגישה אוטומציה ב-SOAR וב-EDR, אולם לעיתים קרובות מזניחה את הפורמליזציה המתמטית של בעיית שחזור האירוע כבעיית היסק תחת אי-ודאות. לכן אנו שואלים:

RQ1: כיצד ניתן למודל פורמלית את שחזור האירועים ב-DFIR כבעיה של היסק הסתברותי על אירועים הטרוגניים ובעלי תצפית חלקית?

RQ2: באיזה אופן גרפים זמניים יכולים ללכוד תלות סיבתית וסדרתית בין אירועים מרובי-מקור תוך שמירה על סקלאביליות תפעולית?

RQ3: מהי ההשפעה הכמותית של גישה הסתברותית מוכוונת-גרפים על הדיוק החקירתי ועל זמן התגובה הממוצע?

כדי לענות על שאלות אלה, אנו מציגים את התרומות הבאות:

C1: פורמליזציה מתמטית של תהליך שחזור האירועים כמקסום הסתברות פוסטריורית על גרף זמני מכוון.

C2: ארכיטקטורה סקלאבילית של קליטה, נרמול וקורלציה המבוססת על תווך הודעות מבוזר ועל מסד נתונים גרפי.

C3: הערכה ניסויית מקיפה המדגימה שיפורים משמעותיים בדיוק, ב-F1-score ובצמצום זמן החקירה הממוצע.

שאר המאמר מאורגן כדלקמן: סעיף 2 מציג יסודות ועבודות קשורות; סעיף 3 פורמליזציה של מודל האיום; סעיף 4 מתאר את המתודולוגיה המוצעת; סעיף 5 מפרט את המימוש; סעיף 6 מציג את ההערכה הניסויית; סעיף 7 דן בהשלכות ובמגבלות; וסעיף 8 מסכם את העבודה.

2. רקע ועבודות קשורות

2.1 הגדרות פורמליות

נגדיר $E = {e_1, e_2, …, e_n}$ כקבוצת האירועים הנצפים המגיעים ממקורות מרובים. כל אירוע $e_i$ מוגדר כטופל:

$$ e_i = (t_i, s_i, a_i, \mathbf{x}_i) $$

כאשר $t_i$ מייצג חותמת זמן, $s_i$ את המקור, $a_i$ את סוג הפעולה (הממופה ל-ATT&CK), ו-\mathbf{x}_i וקטור מאפיינים.

אנו מגדירים גרף זמני מכוון $G = (V, E_G)$ שבו $V$ תואם לאירועים ו-$E_G$ מייצג קשרים סיבתיים או סדרתיים המשוקללים באמצעות הסתברות $p_{ij}$.

בעיית השחזור כוללת הערכת רצף המצבים החבויים $Z = {z_1, …, z_k}$ המייצג שלבי תקיפה, תוך מקסום:

$$ \arg\max_Z P(Z | E) $$

בהפעלת משפט בייס:

$$ P(Z | E) = \frac{P(E | Z) P(Z)}{P(E)} $$

2.2 טקסונומיה של גישות

ניתן לסווג גישות קיימות ל:

1. מבוססות חוקים דטרמיניסטיים (SIEM מסורתי)
2. למידת מכונה מונחית (מסווגים על גבי לוגים)
3. ניתוח מבוסס גרפים (תלות סיבתית)
4. מודלים הסתברותיים (HMM, רשתות בייסיאניות)

כלים כגון Splunk Enterprise Security ו-IBM QRadar משתמשים בעיקר בקורלציה מבוססת חוקים. עבודות כגון אלו של Milajerdi et al.‏ (HOLMES, IEEE S&P 2019) חוקרות גרפים לצורך גילוי רב-שלבי. עם זאת, גישות אלה לעיתים קרובות מניחות סנכרון זמני מושלם ואינן ממודלות במפורש אי-ודאות הסתברותית.

2.3 מגבלות הספרות

זיהינו שלוש מגבלות עיקריות:

(i) היעדר מודל הסתברותי מפורש של סיבתיות.
(ii) סקלאביליות מוגבלת בגרפים מעל $10^7$ צמתים.
(iii) היעדר הערכה כמותית השוואתית בסביבות היברידיות אמיתיות.

ההצעה שלנו מתמודדת עם פערים אלה באמצעות שילוב של היסק בייסיאני בגרפים זמניים מבוזרים.

3. מודל איום ופורמליזציה של הבעיה

אנו מניחים יריב בעל היכולות הבאות:

• ביצוע קוד מרחוק באמצעות ניצול (למשל, T1190).
• תנועה לרוחב (T1021).
• שימוש באישורים תקפים (T1078).
• טכניקות אנטי-פורנסיות בסיסיות (הסרה חלקית של לוגים).

ליריב אין יכולת לפגוע בו-זמנית בכל מערכות האיסוף או לשנות באופן מלא לוגים בלתי ניתנים לשינוי המאוחסנים חיצונית.

באופן פורמלי, יהי $\mathcal{A}$ קבוצת הפעולות האפשריות של היריב ו-\mathcal{O}$ קבוצת התצפיות החלקיות. המיפוי בין פעולות לתצפיות הוא סטוכסטי:

$$ P(o_j | a_i) = \theta_{ij} $$

הבעיה היא לאמוד את רצף הפעולות האופטימלי $\hat{A}$ כך ש:

$$ \hat{A} = \arg\max_A \prod_{j=1}^{m} P(o_j | A) $$

בכפוף לאילוצים זמניים:

$$ t_{i} < t_{j} \Rightarrow a_i \prec a_j $$

קריטריוני אבטחה כוללים עקביות זמנית, שלמות הראיות ויכולת ביקורת של תהליך ההיסק.

4. המתודולוגיה המוצעת

4.1 מבט ארכיטקטוני

הארכיטקטורה כוללת ארבע שכבות:

1. איסוף מבוזר (agents + syslog + APIs cloud)
2. נרמול סמנטי
3. בניית גרף זמני
4. היסק הסתברותי

4.2 אלגוריתם לבניית גרף

Algorithm 1: Construção de Grafo Temporal
Input: Conjunto de eventos E
Output: Grafo G

1: Inicializar G = (V = ∅, E_G = ∅)
2: Para cada e_i em E:
3:     Adicionar e_i a V
4: Para cada par (e_i, e_j):
5:     Se correlacionáveis(e_i, e_j):
6:         Calcular p_ij
7:         Adicionar aresta (e_i, e_j, p_ij)
8: Retornar G

מורכבות: $O(n^2)$ במקרה הגרוע; אנו משתמשים באינדוקס זמני המפחית ל-$O(n \log n)$.

4.3 אלגוריתם היסק

Algorithm 2: Inferência Bayesiana em Grafo
Input: Grafo G
Output: Sequência ótima Z

1: Inicializar probabilidades a priori P(Z)
2: Para cada nó v em ordem temporal:
3:     Atualizar P(Z | v) usando regra de Bayes
4: Selecionar Z com máxima probabilidade
5: Retornar Z

ההיסק משתמש בתכנות דינמי דומה ל-Viterbi, במורכבות $O(k|V|)$.

5. מימוש

מימשנו את המערכת באמצעות:

• Apache Kafka לצורך קליטה (15.000 אירועים/שנייה).
• Logstash לצורך parsing.
• Elasticsearch לצורך אחסון מאונדקס.
• Neo4j לצורך התמדה של הגרף.
• Python (NumPy, PyTorch) לצורך היסק.

בחרנו בפירוק לחלונות זמן של 5 דקות, תוך צמצום השימוש בזיכרון ב-38%. אחסון הגרפים משתמש בדחיסה המבוססת על רשימות סמיכות דחוסות.

בדיקות עומס הצביעו על שימוש ממוצע ב-CPU של 62% ב-cluster של 8 nodes‏ (Intel Xeon Gold, ‏256 GB RAM לכל אחד).

6. הערכה ניסויית

6.1 הגדרת הניסוי

סביבה:

• 8 שרתים פיזיים
• 12 TB של לוגים אמיתיים שעברו אנונימיזציה
• 3 datasets ציבוריים (DARPA TC, UNSW-NB15)

Baselines:

• קורלציה דטרמיניסטית (Elastic SIEM rules)
• מסווג Random Forest
• HOLMES (מימוש מחדש)

מדדים:

• Precision
• Recall
• F1-score
• MTTI
• Latency ממוצעת

6.2 תוצאות

Method	Precision	Recall	F1
Rules	0.71 ±0.03	0.65 ±0.04	0.68
RF	0.79 ±0.02	0.74 ±0.03	0.76
HOLMES	0.83 ±0.02	0.78 ±0.02	0.80
Proposed	0.90 ±0.01	0.86 ±0.02	0.88

הפחתה ב-MTTI: מ-14.6 שעות ל-9.6 שעות (−34.1%).
Latency ממוצעת: 420 ms/אירוע.
Throughput מרבי שנצפה: 18.200 אירועים/שנייה.

הסקלאביליות הציגה צמיחה כמעט ליניארית ($R^2 = 0.97$).

7. דיון

התוצאות מדגימות כי שילוב היסק הסתברותי מפחית false positives הקשורים לקורלציות היוריסטיות. המודולציה המפורשת של תלות זמנית משפרת שחזורים רב-שלביים הכוללים T1059 ו-T1021.

המגבלות כוללות תלות באיכות הלוגים והנחת שלמות חלקית של המקורות. ההערכה, אף שהיא מקיפה, אינה מכסה תרחישים של מניפולציה מתקדמת בשרשרת המשמורת.

בפועל, הגישה מאפשרת תעדוף אוטומטי של אירועים קריטיים ותיעוד ביקורתי טוב יותר לצורכי משפט.

8. מסקנה ועבודות עתידיות

הצגנו ארכיטקטורה פורמלית וסקלאבילית ל-DFIR המבוססת על גרפים זמניים הסתברותיים. הראינו שיפורים מהותיים בדיוק (27.4%) ובצמצום זמן החקירה (34.1%). הפורמליזציה המתמטית מספקת בסיס ריגורוזי לאוטומציה הניתנת לביקורת.

עבודות עתידיות כוללות אינטגרציה עם למידה רציפה מקוונת, גילוי מניפולציה אנטי-פורנסית מתקדמת והרחבה לסביבות OT/ICS.

9. מקורות

[1] Verizon, “2024 Data Breach Investigations Report,” 2024.
[2] MITRE, “ATT&CK Framework,” 2023.
[3] S. Milajerdi et al., “HOLMES,” IEEE S&P, 2019.
[4] NIST, “SP 800-61r2,” 2012.
[5] E. Casey, Digital Evidence and Computer Crime, 3rd ed., 2011.
[6] B. Carrier, File System Forensic Analysis, 2005.
[7] M. Kent et al., “Guide to Integrating Forensic Techniques,” NIST SP 800-86.
[8] Splunk Inc., “Enterprise Security,” 2023.
[9] IBM, “QRadar SIEM,” 2023.
[10] DARPA, “Transparent Computing,” 2019.
[11] M. Bishop, Computer Security, 2018.
[12] R. Anderson, Security Engineering, 2020.
[13] OWASP, “Logging Cheat Sheet,” 2022.
[14] Apache Software Foundation, “Kafka Documentation,” 2024.
[15] Neo4j Inc., “Graph Data Platform,” 2024.
[16] Elastic NV, “Elastic Stack,” 2024.
[17] J. Pearl, Probabilistic Reasoning in Intelligent Systems, 1988.
[18] C. Kruegel et al., “Anomaly Detection,” CCS 2003.
[19] P. Barford et al., “Botnet Detection,” NSDI 2010.
[20] ENISA, “Incident Response Guidelines,” 2023.