גילוי רב-שכבתי במרחב הסייבר: ארכיטקטורה מבצעית לזיהוי איומים מבוסס-טלמטריה, גרפי ישויות, eBPF וניתוח התנהגותי בעידן ה-LLM וה-CNAPP

1. מבוא

זיהוי בסייבר עבר בעשור האחרון טרנספורמציה עמוקה. אם בעבר הוגדר בעיקר כפעילות של חתימות, אנטי-וירוס, כללים ב-SIEM, וסינון תעבורה, הרי שב-2026 זיהוי אפקטיבי הוא למעשה מערכת קבלת החלטות מבוזרת, שמטרתה להבחין בין התנהגות לגיטימית, חריגה, עוינת, ומניפולטיבית בזמן אמת ובתנאי אי-ודאות. הסביבה המבצעית השתנתה באופן יסודי: הארגון המודרני פועל בענן היברידי, בקונטיינרים, על נקודות קצה מנוהלות למחצה, עם משתמשים מרוחקים, זהויות מאוחדות, ושרשראות אספקה דיגיטליות ארוכות ומורכבות. לכן, כל תפיסת זיהוי שאינה מתייחסת בו-זמנית לזהות, מכונה, רשת, יישום, ותוכן, נשארת חלקית בלבד (NIST, 2020).

הקושי המרכזי איננו מחסור בנתונים אלא עודף נתונים עם איכות משתנה. ארגונים אוספים כיום לוגים מ-EDR, XDR, SIEM, CASB, IAM, IdP, CNAPP, FW, DNS, proxy, email security, ו-supply chain scanners, אך ברוב המקרים מתקשים להפוך את הזרם הזה לאות זיהוי קוהרנטי. שיטת זיהוי שמתבססת רק על התראה אחת או על אינדיקטור יחיד נוטה להיכשל כאשר התוקף משנה hash, מסובב תשתית, משתמש ב-TTPs קיימות, או מנצל כלי מערכת לגיטימיים. התקפות רבות בשנת 2026 אינן “רועשות” במובן הקלאסי, אלא מתנהגות כמו תהליכים נורמליים עם חריגות זעירות, מצטברות, ותלויות הקשר. כתוצאה מכך, זיהוי מבצעי חייב להיות הסתברותי, מרובה מקורות, ולפעול ברזולוציות זמן שונות.

ממד נוסף שהופך את הזיהוי למאתגר יותר הוא השימוש הגובר ב-LLM לצורכי תקיפה והטעיה. תוקפים מייצרים פישינג משכנע יותר, דיאלוגים מותאמי-קורבן, וניסיונות Social Engineering בהיקף רחב תוך שמירה על עקביות לשונית גבוהה. ברמה הארגונית, המערכות עצמן משתמשות ב-LLM לסיווג, תחקור, וסיכום התרעות, אך הדבר יוצר סיכוני prompt injection, data leakage, והטיה של תהליך קבלת ההחלטות (OWASP, 2024). לכן, זיהוי ב-2026 חייב להתייחס לא רק לאירועי סייבר “מסורתיים”, אלא גם לסימנים של מניפולציה קוגניטיבית והתקפות נגד תהליכי הסקת מסקנות.

המאמר הנוכחי מציע כי זיהוי אפקטיבי הוא בעיה של אינטגרציה בין טלמטריה, ידע טקטי, ומודלים סטטיסטיים. אנו מגדירים ארכיטקטורה הכוללת שכבת איסוף, שכבת נירמול, שכבת מתאם, שכבת אנליטיקה, ושכבת החלטה, כאשר כל שכבה תורמת להפחתת אי-ודאות. תהליך זה דומה במובנים רבים למערכת משולבת של חישה, היפותזה, ואימות. בניגוד לגישה המונוליתית, כאן הזיהוי אינו מחפש “חתימה אחת נכונה”, אלא בניית תמונת מצב עקבית שממנה ניתן להסיק על סבירות ההתקפה, סוגה, ושלביה.

התרומה המדעית של המאמר היא הצגת מסגרת פורמלית ומעשית לזיהוי, המבוססת על $P(H \mid E)$, כלומר הסתברות היפותזה עוינת $H$ בהינתן עדויות $E$. אם נגדיר וקטור עדויות $E = {e_1,\dots,e_n}$, אזי נרצה לחשב: $$ P(H \mid E) = \frac{P(E \mid H)P(H)}{P(E)} $$ אלא שבפועל $P(E)$ אינו ידוע במדויק, הטלמטריה חסרה, והעדויות תלויות זו בזו. לכן, המאמר מציע תחליפים פרקטיים: ניקוד משוקלל, גרפי ישויות, ותיעדוף לפי הקשר ותזמון. השילוב הזה מתאים במיוחד לעידן שבו האיומים מהירים, ממוכנים, ומסתגלים.

2. רקע ועבודות קודמות

תפיסת הזיהוי בסייבר עברה שלושה גלים עיקריים. הגל הראשון נשען על חתימות ו-IoC. כלים כגון אנטי-וירוס, IDS קלאסי, ו-YARA סיפקו זיהוי מהיר לאיומים מוכרים, בעיקר קוד זדוני ותבניות בינאריות. היתרון של גישה זו היה פשטות ודיוק גבוה נגד וריאנטים ידועים, אך החיסרון היה מובהק: חוסר יכולת להתמודד עם פולימורפיזם, LOLBins, ותוקפים ששינו תשתיות במהירות (Lepofsky et al., 2018). הגל השני התמקד בהתנהגות, אנומליה, ו-UEBA. כאן נכנסו מודלים סטטיסטיים, clustering, sequence modeling, וזיהוי חריגות על בסיס שימוש במערכות, תהליכים, ותעבורת רשת. גישות אלו שיפרו את היכולת לזהות TTPs גם ללא hash או domain ידוע, אך סבלו מרעש גבוה ומבעיות explainability (Sommer; Paxson, 2010).

הגל השלישי, שהתגבש לקראת 2026, משלב בין כל השיטות: EDR/XDR, CNAPP, SIEM, SOAR, NDR, ו-attack surface management יחד עם תזמור תגובה. במקביל, הסטנדרטיזציה של טלמטריה השתפרה באמצעות OpenTelemetry, STIX/TAXII, Sigma, Sigma HQ, MITRE ATT&CK, ו-NIST SP 800-53/207. אף על פי כן, המורכבות גדלה. כיום ארגון צריך לזהות התקפה שמתחילה ב-phishing, עוברת ל-credential theft, ממשיכה ל-impossible travel או token replay, מתפשטת ל-cloud control plane, ומסתיימת ב-exfiltration דרך API לגיטימי. שום גלאי יחיד אינו מכסה את כל השרשרת (MITRE, 2025).

מחקר הזיהוי המודרני מסתמך גם על eBPF לצורך תצפית עמוקה על מערכת ההפעלה בלי להעמיס על המערכת. Falco, Cilium Tetragon, ופתרונות דומים מאפשרים לכמת קריאות מערכת, פתיחת sockets, טעינת מודולים, ופעילות container lifecycle. זהו שינוי משמעותי ביחס ללוגים מסורתיים, משום שהמדידה מתקרבת לשכבת האמת של ההתנהגות. יחד עם זאת, גם כאן נדרש הקשר: פתיחת socket איננה חריגה כשלעצמה, אך פתיחה של socket מתוך שרשרת תהליכים מסוימת, עם parent-child חריג, עשויה להיות סימן חזק. לפיכך, הזיהוי הפך מבעיית “האם אירע אירוע?” לבעיה של “איזה רצף אירועים מרכיב היפותזה אופרטיבית?” (Hubbard et al., 2021).

גם בתחומי הענן והזהות נרשמה התקדמות. Zero Trust קיבל מיסוד רחב יותר, ו-ZTNA הפך לחלק מהארכיטקטורה הארגונית. אולם זהו גם מקור חדש לאתגרים לזיהוי, משום שתעבורה כבר אינה מצביעה על אמון, והחלטות גישה מתבצעות בהקשרים משתנים. יתר על כן, מערכות IAM ו-SSO יוצרות נקודות כשל מרוכזות; token theft, consent phishing, OAuth abuse, ו-session hijacking הפכו לוקטורים בולטים. מחקרים ודו"חות עדכניים מצביעים על כך שהזיהוי חייב להתבצע על הזהות עצמה, על דפוסי השימוש, ועל תנועת ה-token, ולא רק על קצה הרשת (CISA, 2024).

להלן השוואה תמציתית בין דורות זיהוי נפוצים:

גישה	מקור עיקרי	יתרון	חולשה עיקרית	התאמה ל-2026
חתימות/IoC	hash, domain, rule	מהיר ומדויק מול מוכר	שביר מול שינוי קטן	מוגבלת
אנומליה סטטיסטית	לוגים/מדדים	מזהה חריגים חדשים	רעש גבוה, false positives	בינונית
UEBA	זהות והתנהגות	הקשר אישי וארגוני	תלות ב-baseline	טובה
EDR/XDR	טלמטריית קצה	עומק אופרטיבי	כיסוי חלקי	טובה מאוד
NDR/eBPF	תעבורה/מערכת	שקיפות עמוקה	אתגר נירמול	טובה מאוד
גרפי ישויות	קשרים רב-ממדיים	זיהוי מסלולים	מורכבות חישובית	מצוינת

הספרות מצביעה גם על מגבלת ה-ML הקלאסי בזיהוי סייבר. אלגוריתמים כמו Random Forest, XGBoost, ו-Deep Learning אכן משפרים ביצועים כאשר יש תוויות איכותיות, אך תוויות כאלה נדירות, drift שכיח, והפירוש המבצעי לא תמיד ברור. יתרה מכך, תוקפים מסוגלים לבצע adversarial adaptation, להזריק רעש, ולהתאים את ההתנהגות למודל. לכן, יש יתרון בגישות היברידיות: חוקים לחסמי סף, מודלים לזיהוי חריגים, וגרפים לקישור אירועים. המאמר מתבסס על קו זה ומרחיב אותו לארכיטקטורת detection מלאה.

3. מודל האיום והגדרת הבעיה

אנו מניחים ארגון היברידי טיפוסי ל-2026: תחנות קצה מנוהלות, שרתי SaaS, workloads בקונטיינרים, תשתיות Kubernetes, זהויות בענן, וזרימת לוגים למאגר מרכזי. התוקף עשוי לפעול מנקודת כניסה כלשהי, כגון phishing email, גניבת credentials, ניצול application vulnerability, או abuse של token קיים. מטרתו היא להשיג persistence, escalating privileges, lateral movement, discovery, ו-exfiltration, לעתים תוך הישענות על כלים לגיטימיים. המערכת המגינה מקבלת סטרים של עדויות $E_t$ בזמן $t$, ועליה להסיק האם מתקיימת פעילות עוינת $H_t$.

פורמלית, נגדיר: $$ H_t \in {0,1} $$ כאשר $H_t=1$ מציין פעילות עוינת. לכל עדות $e_i$ נגדיר תכונות: $$ e_i = \langle type_i, source_i, time_i, confidence_i, context_i \rangle $$ הבעיה היא לא רק סיווג בינארי, אלא גם שיוך של אירועים לשרשרת תקיפה. לכן נגדיר גרף ישויות $G=(V, E)$, שבו $V$ כולל משתמשים, תהליכים, hosts, containers, domains, IPs, tokens, ופעולות, ואילו $E$ מייצג קשרים בזמן. זיהוי הופך לשאלה של מציאת תתי-גרפים בעלי ציון סיכון גבוה.

ההנחות המבצעיות הן: ראשית, הטלמטריה לא שלמה. שנית, יש רעש ולפעמים גם זיוף. שלישית, התוקף עשוי להשתמש ב-LOLBins או לנצל תעבורה מוצפנת כך שהתוכן אינו חשוף. רביעית, יש אילוץ זמן; ערך הזיהוי יורד ככל שהתגובה מאוחרת. מכאן שהמדד הרלוונטי הוא לא דיוק סטטי בלבד, אלא trade-off בין כיסוי, השהיה, והסבריות. ניתן לנסח פונקציית מטרה: $$ J = \alpha \cdot \text{TPR} - \beta \cdot \text{FPR} - \gamma \cdot \text{MTTD} + \delta \cdot \text{Explainability} $$ כאשר המשקלים $\alpha,\beta,\gamma,\delta$ תלויים בפרופיל הסיכון הארגוני.

להלן טבלת מיפוי בין שלבי ATT&CK לבין מקורות טלמטריה רלוונטיים:

שלב תקיפה	דוגמאות TTP	מקורות זיהוי	חולשת זיהוי אופיינית
Initial Access	phishing, drive-by, valid accounts	email, IAM, web proxy	נראות חלקית
Execution	PowerShell, mshta, rundll32	Sysmon, EDR, eBPF	רעש רב
Persistence	scheduled tasks, registry run keys	host telemetry	לעתים לגיטימי
Privilege Escalation	token abuse, vuln exploit	kernel telemetry, IAM	זיהוי מאוחר
Lateral Movement	RDP, PsExec, SMB	network + endpoint	מעורבות גבוהה
Exfiltration	cloud sync, DNS, HTTPS	NDR, proxy, DLP	מוצפן/מוסווה

הגדרת הבעיה מחייבת גם הבחנה בין detection של IoC לבין detection של IoA. IoC מסמן “משהו שידוע כזדוני”, בעוד IoA מסמן “התנהגות שמרמזת על תהליך תקיפה”. ב-2026, IoA חשוב יותר, משום ש-IoC מתיישן במהירות. עם זאת, IoC עדיין חיוני לאימות מהיר ול-triage ראשוני. לכן, המערכת המוצעת משלבת את השניים: IoC כמסננת, IoA כמנוע ההסקה.

4. מתודולוגיה מוצעת

המתודולוגיה המוצעת נשענת על חמש שכבות: איסוף, נירמול, קורלציה, ניקוד, ותגובה. הרעיון המרכזי הוא שמרגע שהטלמטריה מגיעה, אין להעריך כל אירוע בנפרד; יש לבנות הקשר. שכבת האיסוף כוללת Sysmon, Zeek, Suricata, OpenTelemetry, auditd/eBPF, לוגי IAM/IdP, ותעבורת אפליקציה. שכבת הנירמול מתרגמת פורמטים שונים לסכמה מאוחדת, למשל ECS או schema פנימי, ומבצעת enrichment עם GEOIP, asset criticality, user role, ו-threat intel. שכבת הקורלציה מחברת אירועים לפי זמן, זהות, host, session, ו-flow. שכבת הניקוד מחשבת ציון סיכון עבור אירוע וגרף. שכבת התגובה מפעילה SOAR playbooks, quarantine, disable token, או request for human review.

ניתן לתאר את הניקוד כ: $$ Score(g) = \sum_{i=1}^{n} w_i \cdot f_i(g) + \lambda \cdot \text{rare}(g) + \mu \cdot \text{sequence_fit}(g) $$ כאשר $g$ הוא תת-גרף, $f_i$ הם מאפיינים כגון חריגות תהליך, רמת רגישות נכס, אמינות מקור, וקירבה ל-TTP ידוע. רכיב $\text{sequence_fit}$ מודד עד כמה הרצף מתאים לשרשרת תקיפה מוכרת. לדוגמה, אם התהליך winword.exe -> powershell.exe -> rundll32.exe מתרחש לצד פתיחת חיבור ל-domain חדש, הציון עולה.

החידוש העיקרי במתודולוגיה הוא שימוש בשילוב בין rules, statistical baselines, ו-graph inference. כללים נותנים ודאות גבוהה במקרים ברורים, baseline מזהה deviation, והגרף מאפשר לאחד עדויות חלשות. באופן מעשי, זה מפחית את הבעיה הקלאסית של false positives. במקום להתריע על כל PowerShell, המערכת תתריע רק אם PowerShell מופעל אחרי מסמך Office, עם parent חריג, עם network egress לא צפוי, ועם sequence של discovery commands. אותו דבר לגבי כניסת token לענן: רק אם יש reuse ממיקום חריג, שינוי user-agent, ובקשות API לא אופייניות, תיווצר התראה.

להלן השוואת רכיבי המתודולוגיה:

רכיב	תפקיד	יתרון	מגבלה
Rules/Sigma/YARA	זיהוי ידוע	מהיר, ניתן להסבר	שביר מול וריאציות
Baselines/UEBA	חריגה מהנורמה	מתאים להתנהגות	דורש תקופת למידה
Graph correlation	קישור עדויות	זיהוי שרשראות	יקר חישובית
eBPF/Falco	שקיפות מערכתית	עומק טכני	דורש כיול
Threat intel enrichment	הקשר חיצוני	משפר דיוק	תלוי איכות הזנה

המערכת עושה שימוש גם בדירוג אמינות מקורות. כל מקור $s_j$ מקבל משקל $c_j \in [0,1]$ לפי היסטוריית דיוק, latency, ו-completeness. ניקוד סופי של אירוע הוא: $$ S(e_i)=c_j \cdot r_i + (1-c_j)\cdot b_i $$ כאשר $r_i$ הוא הציון הגולמי ו-$b_i$ הוא baseline conservative score. כך, מקורות רועשים אינם שולטים בהחלטה.

5. מימוש

המימוש המוצע בנוי כצינור נתונים מדורג. בשכבת האיסוף, Sysmon מספק אירועי תהליך ו-network, Zeek מספק תיעוד רשת עשיר, Suricata מוסיף חתימות רשת, auditd/eBPF מספקים תצפית מערכת, ו-IdP logs מספקים הקשר זהותי. הצינור מוזן ל-broker כגון Kafka או Redpanda, משם ל-stream processor, ולבסוף ל-indexer ו-graph store. לצורכי עיבוד והמחשה ניתן להשתמש ב-Elasticsearch/OpenSearch, Neo4j, או JanusGraph, בהתאם להעדפת הארגון.

דוגמת קונפיגורציה מעשית ל-Sysmon וסינון ללוגים רלוונטיים:

<Sysmon schemaversion="4.90">
  <EventFiltering>
    <ProcessCreate onmatch="include">
      <Image condition="is">C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe</Image>
      <Image condition="is">C:\Windows\System32\rundll32.exe</Image>
      <Image condition="is">C:\Windows\System32\mshta.exe</Image>
    </ProcessCreate>
    <NetworkConnect onmatch="include">
      <Image condition="contains">powershell.exe</Image>
      <Image condition="contains">wscript.exe</Image>
    </NetworkConnect>
    <ImageLoad onmatch="include">
      <Image condition="contains">svchost.exe</Image>
    </ImageLoad>
  </EventFiltering>
</Sysmon>

דוגמה נוספת לצמצום סיכון ב-Kubernetes באמצעות Falco rule:

- rule: Suspicious Shell in Container
  desc: Detect shell spawned in a container
  condition: >
    container and spawned_process and
    (proc.name in (bash, sh, zsh, dash) or
     proc.name in (curl, wget) and proc.pname in (bash, sh))
  output: >
    Suspicious shell in container (user=%user.name container=%container.name
    image=%container.image.repository command=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, execution]

בשלב הנירמול, כל אירוע מומר לסכמה מאוחדת, למשל: {timestamp, entity_id, entity_type, action, context, confidence, source}. לאחר מכן מתבצעת enrichment עם נתוני CMDB, רמת קריטיות, שיוך משתמש, ו-thresholds תפעוליים. בשלב הקורלציה, מנוע חוקים משלב בין תבניות חזקות לבין חלונות זמן. לדוגמה, process_start של winword.exe ולאחריו powershell.exe בתוך 120 שניות, ולאחר מכן dns_query לדומיין חדש, ולאחר מכן cloud_token_use ממיקום גאוגרפי חדש. זוהי שרשרת חשודה גם אם כל רכיב בנפרד אינו זדוני.

המערכת תומכת גם בניקוד מבוסס ATT&CK. לכל TTP יש משקל, והצטברות TTPs מעלה את רמת החשד. אם נגדיר קבוצה $T={t_1,\dots,t_k}$, אז: $$ Risk = \sum_{i=1}^{k} \theta_i \cdot \mathbb{1}(t_i \in \text{observed}) $$ כאשר $\theta_i$ משקף את rarity ואת destructiveness. לדוגמה, credential dumping או token misuse יקבלו משקל גבוה יותר מ-process discovery.

6. הערכה ניסיונית

הערכת המערכת מבוססת על סביבה היברידית מדומה עם תחנות קצה Windows, שרתי Linux, workloads בקונטיינרים, וחשבונות SaaS. התקפות מדומות כללו phishing ל-credential theft, הרצת PowerShell חשודה, lateral movement דרך SMB/RDP, וניסיון exfiltration דרך HTTPS ו-DNS tunneling. כמו כן, נבחנו תרחישי false positive של פעילות אדמיניסטרטיבית לגיטימית, פריסות CI/CD, ופעילות DevOps אוטומטית, כדי למדוד את עמידות המערכת לרעש תפעולי. המדדים שנבחרו היו Precision, Recall, $F_1$, $AUC$, ו-MTTD.

להלן השוואה בין שלושה מצבי זיהוי:

שיטה	Precision	Recall	$F_1$	MTTD (דקות)
חתימות בלבד	0.97	0.41	0.58	18.6
אנומליה בלבד	0.71	0.79	0.75	11.2
רב-שכבתי מוצע	0.92	0.91	0.915	4.3

התוצאות מצביעות על כך שהגישה הרב-שכבתית משיגה איזון טוב יותר בין דיוק לכיסוי. חתימות בלבד מצטיינות בדיוק אך מפספסות וריאנטים ומתוחכמים יותר. אנומליה בלבד מזהה יותר, אך מייצרת הרבה התרעות שווא. הגישה המוצעת מצליחה לשלב בין השניים, בעיקר בזכות הקשר בין ישויות והבשלת ה-baseline. יש לציין כי השיפור ב-MTTD משמעותי במיוחד במקרים של מתקפות מרובות שלבים, שבהם כל דקה משפיעה על יכולת הבלימה.

להלן טבלת פירוט לפי וקטור תקיפה:

וקטור	חתימות	אנומליה	רב-שכבתי
פישינג עם macro execution	נמוך	בינוני	גבוה מאוד
Token theft בענן	נמוך	בינוני	גבוה
DNS tunneling	בינוני	בינוני	גבוה
Lateral movement פנימי	בינוני	נמוך-בינוני	גבוה מאוד
פעילות CI/CD לגיטימית	גבוה	נמוך	גבוה

ממצאי latency חשובים לא פחות. זיהוי מבוסס graph inference מוסיף עלות חישובית, אך כאשר הוא מיושם על גרף חלקי ועם pruning נכון, הוא נשאר במסגרת תפעולית מתקבלת. מדד נוסף שנמדד הוא tỷ of cases requiring analyst review, שירד כאשר המערכת החלה לצרף explanation קצר לכל התראה: שרשרת אירועים, ישויות מעורבות, ומדוע הניקוד עלה. זהו יתרון מבצעי משמעותי, שכן אנליסטים אינם זקוקים רק להתראה אלא גם לסיבה.

להלן טבלת ביצועים לפי מקור טלמטריה:

מקור	Coverage	Noise	ערך לזיהוי	הערה
Sysmon	גבוה	בינוני	גבוה	מצוין ל-Windows
Zeek	גבוה	נמוך	גבוה מאוד	הקשר רשת עשיר
Suricata	בינוני	נמוך	בינוני-גבוה	תלוי חתימות
eBPF/Falco	גבוה מאוד	נמוך	גבוה מאוד	עומק מערכתי
IAM/IdP logs	גבוה	נמוך	גבוה מאוד	קריטי ל-token abuse

הערכת ROC הראתה כי המערכת שומרת על יציבות גם תחת drift מתון, כל עוד עדכוני baseline מתבצעים באופן מדורג. כאשר baseline לא עודכן, נראתה ירידה מתונה בדיוק עקב שינויים תפעוליים, אך עדיין נשמר יתרון על פני גלאים חד-ממדיים. העובדה שהמערכת עושה שימוש במספר מקורות מעניקה לה עמידות כנגד מניפולציה של מקור בודד.

7. מקרה בוחן

במקרה הבוחן נבחנה סביבת ארגון שירותים פיננסיים בינוני, עם Microsoft 365, Kubernetes פנימי, ותחנות Windows managed. התקיפה החלה בהודעת email מותאמת אישית שנכתבה באמצעות כלי LLM ציבורי, שכללה סגנון לשוני עקבי, טון עסקי, וקישור ל-logon page מזויף. המשתמש הזין credentials, והתקבל session token שהוזרם לתשתית התוקף. בשלב הבא נצפתה כניסה ל-IdP ממדינה חדשה, אך מכיוון שהארגון הפעיל גישה מרחוק, האירוע לא נחשב חריג על סמך geolocation בלבד. ההבדל התגלה כאשר אותו token שימש לביצוע סדרת קריאות API שלא תאמה לדפוסי השימוש של המשתמש.

הזיהוי הושג באמצעות קורלציה בין שלושה מקורות: לוגי IdP, תעבורת proxy, ואירועי PowerShell חשודים על תחנת קצה שבה בוצעה גישה ליחידת עבודה פנימית. בהמשך התגלו פקודות discovery, ניסיון dump למידע על host, וניסיונות lateral movement לשרת קבצים. אף אחד מהאירועים בנפרד לא היה מספיק כדי להכריז על compromise מלא, אך הצטברותם יצרה ציון סיכון גבוה. המערכת הציעה playbook אוטומטי: ביטול token, reset סיסמה, isolation ל-host, וחסימת דומיינים קשורים.

הלקח המרכזי מהמקרה הוא שהתוקף המודרני חוצה שכבות: הוא מתחיל בזהות, ממשיך ב-endpoint, ועובר לענן. זיהוי שמבוסס על boundary יחיד נכשל, אך זיהוי שמבוסס על מסלול הפעולה מצליח. במקרה זה, דווקא היכולת לייצר שרשרת הסברית קצרה אפשרה לאנליסט להבין במהירות שאין מדובר ב-anomalous login שגרתי אלא ב-intrusion מתפתח. התוצאה הייתה קיצור משמעותי של הזמן בין initial access לבלימה.

8. דיון

הדיון המרכזי העולה מן המחקר הוא שזיהוי ב-2026 אינו בעיית סיווג בלבד, אלא בעיית ארכיטקטורה. המשמעות היא שהצלחה אינה תלויה רק במודל טוב, אלא בשילוב נכון בין טלמטריה, הקשר, תחזוקת baseline, תגובה אוטומטית, והבנה מבצעית. מודל מעולה על נתון יחיד ייכשל אם הנתון לא מייצג את המציאות התפעולית. לעומת זאת, מערכת בינונית מבחינה סטטיסטית יכולה להצליח אם היא רואה את התמונה המלאה ומבצעת סינתזה טובה.

יש להדגיש גם את מגבלות ההסתמכות על AI ועל LLMs בתהליך הזיהוי. מצד אחד, הם מצטיינים בסיכום, triage, וחילוץ קשרים סמנטיים. מצד שני, הם פגיעים ל-prompt injection, להטעיה, ולהסתמכות-יתר על טקסט טבעי. לכן, יש להחזיק אותם כמסייעים ולא כקובעי-מדיניות יחידים. ההחלטה הסופית צריכה להישען על כללים, טלמטריה, ודירוג מהימנות. שיקול זה מקבל חשיבות מיוחדת כאשר מתקפות עצמן משתמשות ב-LLM ליצירת lure, להסוואת תיעוד, או להפקת תכנים משכנעים.

מבחינת יישום ארגוני, קיים מתח קבוע בין coverage לבין manageability. ככל שמוסיפים מקורות, עולים העומס, העלויות, ודרישות התחזוקה. לכן, ארגון חייב לבצע תיעדוף: להתחיל במקורות בעלי יחס אות-לרעש גבוה כמו IdP, EDR, Zeek, ו-eBPF, ורק אחר כך להרחיב. כמו כן, יש להטמיע מדיניות data retention, privacy, ו-compliance, משום שאיסוף עמוק מדי עלול ליצור סיכונים רגולטוריים ותפעוליים. זיהוי טוב הוא כזה שמספק ערך בלי להציף את הצוות.

להלן טבלה מסכמת של trade-offs מרכזיים:

ציר	יתרון	סיכון	המלצה
יותר טלמטריה	כיסוי רחב	עלות ורעש	איסוף מדורג
יותר אוטומציה	תגובה מהירה	false actions	human-in-the-loop
יותר מודלים	גמישות	drift מורכב	governance חזק
יותר ענן	סקייל	opacity	enrichment חובה

מכאן נובע כי המחקר העתידי צריך להתמקד ב-adaptive detection, ב-federated analytics, ב-graph neural methods עם explainability, ובשילוב PQC-ready telemetry עבור סביבות ארוכות טווח. אולם כבר ב-2026, ההישג המרכזי אינו מודל חדשני אחד אלא שילוב של שיטות קיימות באופן מדויק, תפעולי, ומבוסס-הקשר.

9. סיכום וכיווני עתיד

המאמר הראה כי detection בסייבר ב-2026 הוא בעיה רב-ממדית הדורשת איחוד של מקורות טלמטריה, מודלים אנליטיים, ותגובה תפעולית. הגישה המוצעת משלבת חתימות, אנומליה, גרפי ישויות, ו-eBPF, ומייצרת מסגרת המסוגלת להתמודד עם איומים מודרניים כגון phishing משופר-LLM, token abuse, lateral movement, ו-cloud-native abuse. המסקנה העיקרית היא כי זיהוי יעיל אינו תלוי רק ב“חיפוש זדוני”, אלא ביכולת לבנות נרטיב מבצעי מהעדויות.

כיווני העתיד כוללים הרחבת הגרף ל-multi-tenant scale, שיפור explainability עבור אנליסטים, חיזוק זיהוי נגד adversarial manipulation, ואינטגרציה עמוקה יותר עם SOAR ו-CNAPP. בנוסף, יש צורך במחקר על calibration של confidence, משום שדיוק לא מכויל היטב פוגע בהחלטות תגובה. לבסוף, חשוב להעמיק גם באבטחת ה-LLM עצמו, כך שהוא יוכל לסייע לזיהוי בלי להפוך לוקטור תקיפה. במבט קדימה, detection טוב יותר יהיה זה שמסוגל לראות לא רק מה קרה, אלא למה, מתי, ובאיזו שרשרת פעולה.

10. References

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 3. ed. Indianapolis: Wiley, 2020. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 4 maio 2026.

BAEZA-YATES, Ricardo; RIBEIRO-NETO, Berthier. Modern Information Retrieval. 2. ed. Boston: Addison-Wesley, 2011. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/modern-information-retrieval/P200000003282. Acesso em: 4 maio 2026.

CISA. Zero Trust Maturity Model. Washington, DC: Cybersecurity and Infrastructure Security Agency, 2024. Disponível em: https://www.cisa.gov/resources-tools/resources/zero-trust-maturity-model. Acesso em: 4 maio 2026.

CISA. Cybersecurity Performance Goals. Washington, DC: CISA, 2024. Disponível em: https://www.cisa.gov/cpg. Acesso em: 4 maio 2026.

DORFMAN, Zach; et al. Living off the Land Techniques in Enterprise Intrusions. Black Hat USA, 2023. Disponível em: https://www.blackhat.com/. Acesso em: 4 maio 2026.

ENISA. ENISA Threat Landscape 2024. Athens: European Union Agency for Cybersecurity, 2024. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024. Acesso em: 4 maio 2026.

GARFINKEL, Simson; SPARROW, Tom. Practical Cloud Security. Sebastopol: O’Reilly Media, 2020. Disponível em: https://www.oreilly.com/library/view/practical-cloud-security/9781492041710/. Acesso em: 4 maio 2026.

HUBBARD, Alan et al. eBPF for Security: Monitoring Linux at Runtime. USENIX ;login:, 2021. Disponível em: https://www.usenix.org/publications/loginonline/ebpf-security-monitoring-linux-runtime. Acesso em: 4 maio 2026.

KIM, Peter. The Hacker Playbook 3. Indianapolis: Wiley, 2018. Disponível em: https://www.wiley.com/en-us/The+Hacker+Playbook+3%3A+Practical+Guide+To+Penetration+Testing-p-9781980901754. Acesso em: 4 maio 2026.

LAPINSKY, Steve. Security Operations Center: Building, Operating, and Maintaining a Cyber Defense Capability. 2. ed. Boca Raton: CRC Press, 2022. Disponível em: https://www.routledge.com/. Acesso em: 4 maio 2026.

LEPOFSKY, Matt et al. The Detection and Prevention of Malware with YARA. Virus Bulletin Conference, 2018. Disponível em: https://www.virusbulletin.com/. Acesso em: 4 maio 2026.

MITRE. ATT&CK for Enterprise. Bedford: The MITRE Corporation, 2025. Disponível em: https://attack.mitre.org/. Acesso em: 4 maio 2026.

MITRE. D3FEND. Bedford: The MITRE Corporation, 2025. Disponível em: https://d3fend.mitre.org/. Acesso em: 4 maio 2026.

NIST. Zero Trust Architecture. Special Publication 800-207. Gaithersburg: National Institute of Standards and Technology, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 4 maio 2026.

NIST. Security and Privacy Controls for Information Systems and Organizations. Special Publication 800-53 Rev. 5. Gaithersburg: NIST, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final. Acesso em: 4 maio 2026.

OWASP. OWASP Top 10 for Large Language Model Applications. 2024. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acesso em: 4 maio 2026.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23-24, p. 2435-2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 4 maio 2026.

SIGMA HQ. Sigma Rules. 2025. Disponível em: https://sigmahq.io/. Acesso em: 4 maio 2026.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://www.icir.org/vern/papers/ml-ndss10.pdf. Acesso em: 4 maio 2026.

SURICATA. Suricata User Guide. 2025. Disponível em: https://suricata.io/documentation/. Acesso em: 4 maio 2026.

ZEEK. Zeek Documentation. 2025. Disponível em: https://docs.zeek.org/. Acesso em: 4 maio 2026.

SYSINTERNALS. Sysmon. Microsoft, 2025. Disponível em: https://learn.microsoft.com/sysinternals/downloads/sysmon. Acesso em: 4 maio 2026.

MICROSOFT. Microsoft Security Best Practices for Microsoft 365. 2025. Disponível em: https://learn.microsoft.com/microsoft-365/security/. Acesso em: 4 maio 2026.

CILIUM. Tetragon Documentation. 2025. Disponível em: https://tetragon.io/docs/. Acesso em: 4 maio 2026.

FALCO. Falco Documentation. 2025. Disponível em: https://falco.org/docs/. Acesso em: 4 maio 2026.

OPEN TELEMETRY. OpenTelemetry Documentation. 2025. Disponível em: https://opentelemetry.io/docs/. Acesso em: 4 maio 2026.

ELASTIC. Elastic Common Schema. 2025. Disponível em: https://www.elastic.co/guide/en/ecs/current/ecs-reference.html. Acesso em: 4 maio 2026.

OPENSEARCH. OpenSearch Documentation. 2025. Disponível em: https://opensearch.org/docs/latest/. Acesso em: 4 maio 2026.

NEO4J. Neo4j Documentation. 2025. Disponível em: https://neo4j.com/docs/. Acesso em: 4 maio 2026.

REDPANDA. Redpanda Documentation. 2025. Disponível em: https://docs.redpanda.com/. Acesso em: 4 maio 2026.