כותרת: ארכיטקטורה היברידית רב-שכבתית לזיהוי המבוססת על טלמטריית Endpoint, רשת וזיכרון עם קורלציה זמנית הסתברותית מונחית MITRE ATT&CK

1. מבוא

זיהוי איומים בסביבות ארגוניות עכשוויות מתאפיין באסימטריה מבנית מתמשכת בין יכולות התקפיות ומנגנוני הגנה. יריבים מודרניים משלבים טכניקות הטרוגניות לאורך שרשראות תקיפה מבוזרות, תוך ניצול חולשות ביישומים, שימוש לרעה בכלים ניהוליים לגיטימיים ומנגנוני התחמקות מתוחכמים. לעומת זאת, ארכיטקטורות הגנה רבות עדיין מבוססות על חיישנים מבודדים, עם אינטגרציה סמנטית נמוכה בין מקורות טלמטריה ויכולת מוגבלת לקורלציה זמנית בין אירועים (MANDIANT, 2023).

אסימטריה זו נעשית בולטת במיוחד בקמפיינים המשתמשים בטכניקות living‑off‑the‑land, שבהן כלים מובנים של מערכת ההפעלה — כגון PowerShell, Windows Management Instrumentation (WMI) ו-PsExec — משמשים לביצוע פעילות זדונית מבלי להכניס בינאריים חיצוניים הניתנים לזיהוי בקלות. הקטלוג הציבורי של כלי עזר המנוצלים בהקשר זה, המתוחזק על ידי פרויקט LOLBAS, מדגים את היקף וקטור ההתחמקות התפעולית הזה (LOLBAS PROJECT, 2024).

דוחות עדכניים על תגובה לאירועים מצביעים על כך שזמן השהייה הממוצע של יריבים ברשתות שנפגעו עדיין עשוי להגיע לשבועות או חודשים במגזרים קריטיים מסוימים, חרף האימוץ הרחב של טכנולוגיות ניטור (MANDIANT, 2023). תופעה זו נובעת, בחלקה, מפיצול הטלמטריה: סימני פגיעה מופיעים לעיתים קרובות מפוזרים בין יומני רשת, אירועי endpoint וממצאים מזיכרון נדיף.

גם אירועים המתועדים בהרחבה מדגימים פיצול זה. הניצול של הפגיעות CVE‑2021‑44228 (Log4Shell), למשל, הראה כיצד ניתן להזריק payloads באמצעות בקשות הנראות לכאורה תמימות, לרוב עטופות בחיבורי TLS, ובכך להקשות על זיהוי מיידי של ניצול פעיל (NIST, 2021).

בהקשר זה, מסגרת MITRE ATT&CK התפתחה כאונטולוגיה מאומצת רחבה לתיאור טקטיקות, טכניקות ונהלים (TTPs) של יריבים (MITRE, 2023). עם זאת, שילוב מודל זה בפלטפורמות SIEM ו-EDR נותר לעיתים קרובות מוגבל ללוחות מחוונים תיאוריים או לסיווגים סטטיים של אירועים. היעדר מודלינג הסתברותי וייצוג זמני מפורש מצמצם את הפוטנציאל האנליטי של ATT&CK ככלי להסקת שרשראות תקיפה.

נוכח מציאות זו, בחנו את בעיית המחקר הבאה: כיצד לקשור טלמטריה הטרוגנית שמקורה ברשת, ב-endpoint ובזיכרון באופן עקבי זמנית ותואם סמנטית ל-MITRE ATT&CK, תוך הפחתת תוצאות חיוביות שגויות ושיפור זמן הזיהוי.

ניסחנו שלוש שאלות מחקר:

• RQ1: האם קורלציה זמנית הסתברותית בין אירועים רב-שכבתיים משפרת את שיעור הזיהוי בהשוואה לחיישנים מבודדים?
• RQ2: האם שילוב מפורש של מודל ATT&CK מפחית עמימות סמנטית במהלך תהליך הקורלציה?
• RQ3: מהי ההשפעה האיכותית של גישה זו על מדדים תפעוליים כגון MTTD (Mean Time to Detect) ו-MTTR (Mean Time to Respond)?

תרומותינו כוללות ניסוח מתמטי של מודל קורלציה מבוסס גרפים זמניים, מימוש ארכיטקטורה שניתנת לשחזור באמצעות כלים המאומצים בהרחבה בתעשייה, וניתוח ביקורתי של המגבלות הסטטיסטיות המובנות בזיהוי חדירות בסביבות שבהן שכיחות התקיפות נמוכה.

2. רקע ועבודות קשורות

2.1 פרדיגמות של מערכות זיהוי

ניתן לסווג מערכות לזיהוי חדירות למספר פרדיגמות מתודולוגיות. היסטורית, גישות מבוססות חתימות שלטו בזיהוי תעבורה זדונית, ויושמו במערכות כגון Snort ו-Suricata (ROESCH, 1999; OISF, 2023). מערכות אלו פועלות באמצעות התאמה לדפוסים ידועים בחבילות רשת.

לעומת זאת, גישות מבוססות אנומליה מנסות למודל את ההתנהגות התקינה של מערכת ולזהות חריגות סטטיסטיות. שיטות המבוססות על למידה מונחית — כולל Support Vector Machines, Random Forest ורשתות עצביות עמוקות — נחקרו בהרחבה בהקשר זה.

עם זאת, Sommer ו-Paxson (2010) טוענים כי היישום של למידת מכונה בסביבות אבטחה מציב אתגרים ייחודיים, כולל שינוי התפלגות, מחסור בנתונים מתויגים והתנהגות אדפטיבית של יריבים. Axelsson (2000) מדגים באופן פורמלי כי השכיחות הנמוכה של תקיפות בסביבות אמיתיות עשויה להפוך מערכת לבלתי מעשית גם כאשר רגישותה גבוהה, תופעה הידועה ככשל שיעור הבסיס.

2.2 אינטגרציה רב-חיישנית

הקורלציה בין מקורות ראיה מרובים נחשבת לרכיב חיוני בניתוח פורנזי דיגיטלי ובזיהוי חדירות (GARFINKEL, 2010). מערכות כגון Bro — ששמה שונה מאוחר יותר ל-Zeek — הכניסו ניתוח סמנטי של פרוטוקולים כמנגנון לחילוץ הקשר עשיר יותר מתעבורת הרשת (PAXSON, 1999).

למרות התקדמויות אלו, עדיין קיימים פערים בספרות ובפרקטיקה התפעולית. בפרט, ניכרת אינטגרציה מערכתית מוגבלת בין טלמטריית זיכרון נדיף, אירועי endpoint ויומני רשת במנגנוני היסק מאוחדים.

טבלה 1 מסכמת מאפיינים משווים בין חיישנים הנמצאים בשימוש נרחב בארכיטקטורות זיהוי מודרניות.

חיישן	שכבה	סוג הטלמטריה	דוגמה לכלי
רשת	תעבורה ופרוטוקול	חבילות, זרימות, מטא-נתונים	Suricata, Zeek
Endpoint	אירועי מערכת	תהליכים, registry, מודולים	Sysmon
זיכרון	ממצאים נדיפים	מבני kernel ותהליכים	Volatility 3
כללים סמנטיים	אינדיקטורים ודפוסים	חתימות התנהגותיות	Sigma, YARA

אנו מבחינים כי כל חיישן לוכד רק הטלה חלקית של פעילות המערכת. האינטגרציה של נקודות מבט אלו מהווה בעיית הנדסת אבטחה מרכזית.

2.3 נצפות אבטחתית וטלמטריה מודרנית

ההתפתחות האחרונה של ארכיטקטורות נצפות באבטחה כוללת שימוש בטכנולוגיות כגון eBPF לאינסטרומנטציה של אירועי kernel במערכות Linux ופלטפורמות זיהוי בזמן אמת כגון Falco (CNCF, 2023). בסביבות ענן, ארכיטקטורות CNAPP (Cloud‑Native Application Protection Platforms) משלבות טלמטריה של תשתית, קונטיינרים ו-workloads במודל אבטחה מאוחד (GARTNER, 2023).

מגמות אלו מחזקות את הצורך במנגנוני קורלציה המסוגלים לשלב מקורות טלמטריה מבוזרים מרובים.

3. מודל איום וניסוח פורמלי

3.1 מחלקות של יכולות היריב

אנו ממדלים את היריב כישות הסתברותית $\mathcal{A}$ בעלת יכולות המובנות במחלקות:

• $\mathcal{C}_1$: ניצול מרחוק של חולשות (RCE)
• $\mathcal{C}_2$: ביצוע לאחר ניצול והתמדה
• $\mathcal{C}_3$: התחמקות באמצעות הזרקת תהליכים או הסוואה
• $\mathcal{C}_4$: תנועה רוחבית מאומתת
• $\mathcal{C}_5$: חילוץ נתונים מוסווה

אנו מניחים כי $\mathcal{A}$ שואף למקסם השפעה תוך שמירה על הסתברות זיהוי הנמוכה מסף $\epsilon$.

3.2 הגדרות פורמליות

אנו מגדירים אירוע נצפה כ:

$e = (t, s, a, \tau)$

כאשר $t$ מייצג את חותם הזמן, $s$ מזהה את חיישן המקור, $a$ תואם לווקטור התכונות של האירוע ו-$\tau$ מייצג את טכניקת ATT&CK המשויכת.

נניח ש-$E = {e_1, e_2, …, e_n}$ הוא קבוצת האירועים שנצפו בחלון זמן.

אנו מגדירים גרף זמני ממושקל $G = (V,E’)$ כאשר $V = E$ וקיימת קשת $(e_i,e_j)$ אם:

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

הפונקציה $\phi$ מגדירה תאימות סמנטית בין טכניקות בהתאם למעברים סבירים במודל ATT&CK.

3.3 פונקציית סיכון מותנית

ציון הסיכון המשויך לגרף מוגדר על ידי:

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|contexto) + \sum_{(u,v)\in E’} \gamma_{uv} $$

כאשר $w(v)$ מייצג את משקל האירוע ו-$\gamma_{uv}$ מייצג את המשקל המשויך למעבר בין טכניקות.

3.4 ניסוח כמשחק זיהוי

אנו ממדלים את החלטת הזיהוי כמשחק סטטיסטי בין מערכת ההגנה לבין הטבע.

הטבע בוחר מצב $H_0$ (התנהגות תמימה) או $H_1$ (פגיעה). המזהה מיישם מדיניות $\pi$ המבוססת על הערך של $R(G)$.

פונקציית האובדן מוגדרת כ:

$$ L = \alpha \cdot FP + \beta \cdot FN $$

כאשר $FP$ מייצג תוצאות חיוביות שגויות ו-$FN$ תוצאות שליליות שגויות.

בהנחות של אי-תלות מותנית חלקית ואומדנים עקביים של $P(\tau|contexto)$, אומד הסיכון מתכנס בהסתברות לסיכון בייסיאני מיטבי כאשר $n \rightarrow \infty$.

4. מתודולוגיה מוצעת

4.1 ארכיטקטורה כללית

הארכיטקטורה המוצעת מאורגנת כ-pipeline מבוזר המורכב מהשלבים הבאים:

1. איסוף טלמטריה מבוזר
2. נרמול לפי Elastic Common Schema
3. קליטה עמידה באמצעות Apache Kafka
4. אינדוקס זמני
5. בנייה מצטברת של גרפים
6. הערכת פונקציית הסיכון
7. יצירת התרעות מקונטקסטות

4.2 מורכבות חישובית

אנו משתמשים במבני נתונים מאוזנים המאונדקסים לפי timestamp כדי לשמור אירועים בסדר זמני.

המורכבות החישובית של התהליך היא:

• הכנסת אירוע: $O(\log n)$
• שאילתה בחלון זמן $\Delta t$: $O(\log n + k)$
• בניית הגרף: $O(n \log n)$

תכונה זו הופכת את השיטה לישימה עבור סביבות בעלות נפח אירועים גבוה.

5. מימוש

5.1 רכיבים בשימוש

מימוש הייחוס משתמש בכלים המאומצים בהרחבה בתעשייה:

• Suricata 7.x לבדיקת תעבורה
• Sysmon 15 לטלמטריית endpoint
• Volatility 3 לניתוח זיכרון
• Sigma לכללי זיהוי ניידים
• YARA לזיהוי ממצאים זדוניים
• Elastic Stack לאינדוקס ולחיפוש
• Apache Kafka לקליטה עמידה

דוגמה לכלל YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

דוגמה לכלל Suricata

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 שיקולים תפעוליים

כדי להבטיח עקביות זמנית ושלמות הטלמטריה, אנו ממליצים על:

• סנכרון NTP בין חיישנים
• העברה מוצפנת של יומנים
• סגמנטציה של הרשת עבור חיישנים קריטיים
• שימור יומנים מתאים לחקירה

6. הערכה ניסויית

6.1 מערכי נתונים

השתמשנו בשני מערכי נתונים המצוטטים בהרחבה בספרות:

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

השלמנו נתונים אלו בתרחישים מבוקרים של הרצת malware במעבדה מבודדת.

6.2 מדדים

ההערכה משתמשת במדדים סטנדרטיים בזיהוי חדירות:

• Precision
• Recall
• F1‑score
• זמן זיהוי יחסי

6.3 תוצאות השוואתיות

גישה	Precision	Recall	F1
חיישן מבודד (רשת)	בינוני	בינוני	בינוני
חיישן מבודד (endpoint)	בינוני	בינוני	בינוני
הקורלציה המוצעת	גבוה	גבוה	גבוה

התוצאות מצביעות על שיפור עקבי ב-F1-score והפחתה במספר ההתרעות המיותרות בהשוואה לחיישנים מבודדים.

החַלנו ולידציה צולבת סטרטיפיקית ומבחן Wilcoxon להשוואה סטטיסטית, תוך זיהוי הבדל מובהק עם $p < 0.05$.

7. מחקרי מקרה

7.1 סביבה ארגונית

דימינו שרשרת תקיפה שכללה ניצול ראשוני, התקנת webshell, beacon של command and control ושליפת אישורים מזיכרון LSASS.

הקורלציה הזמנית אפשרה לשחזר את התקדמות החדירה המלאה מתוך אירועים המפוזרים בין יומני רשת, endpoint וממצאי זיכרון.

7.2 סביבה רפואית

בתרחיש של תשתית בית חולים מדומה, מודלנו רצף של phishing ולאחריו הרצת PowerShell מוסווה וניסיון חילוץ נתונים באמצעות HTTPS.

האינטגרציה של טלמטריית proxy, Sysmon ו-Suricata אפשרה לזהות את שרשרת ה-TTPs התואמת לטכניקת ATT&CK T1041 (חילוץ נתונים על גבי ערוץ C2).

נהלי התגובה כללו בידוד רשת, רכישת זיכרון ושימור ראיות בהתאם להנחיות לאיסוף דיגיטלי (FARMER; VENEMA, 2004).

8. דיון

התרומה העיקרית של הארכיטקטורה המוצעת נעוצה בהכנסת אילוצים סמנטיים במהלך תהליך הקורלציה. על ידי הגבלת מעברים סבירים בין אירועים לפי מודל ATT&CK, צמצמנו באופן משמעותי את הופעתן של צירופי אירועים כוזבים.

עם זאת, כמה מגבלות עדיין קיימות. המודל תלוי באיכות המיפוי בין אירועים נצפים וטכניקות ATT&CK, תהליך שעשוי להכניס אי-ודאות סמנטית. בנוסף, סביבות בעלות נפחי אירועים גבוהים במיוחד עשויות לדרוש אסטרטגיות נוספות של דגימה או אגרגציה.

למרות מגבלות אלו, הגישה מציגה יתרונות חשובים במונחי פרשנות ובהתאמה לפרקטיקות תפעוליות של תגובה לאירועים.

9. מסקנה

הצגנו ארכיטקטורת זיהוי היברידית רב-שכבתית המבוססת על קורלציה זמנית הסתברותית המונחית על ידי מסגרת MITRE ATT&CK. הראינו כי אינטגרציה סמנטית וזמנית של טלמטריה שמקורה ברשת, ב-endpoint ובזיכרון עשויה לשפר את איכות הזיהוי ולהפחית רעש תפעולי.

התוצאות הניסיוניות ומחקרי המקרה מציעים כי גישות מבוססות גרפים זמניים מייצגות כיוון מבטיח עבור מערכות זיהוי בסביבות ארגוניות מורכבות.

כיווני מחקר עתידיים כוללים אינטגרציה עם Graph Neural Networks להסקה מבנית בגרפים דינמיים, יישום טכניקות של אימות פורמלי לצורך ולידציה של מדיניות זיהוי והערכה אורכית בסביבות ייצור בקנה מידה גדול.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign