כותרת: ארכיטקטורת IAM עמידה מונחית איומים: מידול פורמלי, זיהוי התנהגותי וחיזוק תפעולי בסביבות היברידיות

1. מבוא

הזהות הדיגיטלית התבססה כגבול האבטחה המרכזי בתשתיות ארגוניות עכשוויות. ההגירה המואצת לשירותי SaaS, פלטפורמות ענן ציבורי וארכיטקטורות מבוססות API הביאה להחלפה הדרגתית של גבולות רשת מסורתיים במודלים ממוקדי-זהות. בהקשר זה, מנגנוני Identity and Access Management (IAM) תפסו תפקיד מרכזי בהבטחת סודיות, שלמות וזמינות של מערכות ארגוניות.

דוחות אמפיריים מצביעים על כך שניצול לרעה של אישורים תקפים נותר כאחת הסיבות העיקריות לאירועי אבטחה. ה-Data Breach Investigations Report לשנת 2023 מצביע על כך שכ-74% מהפריצות שנותחו כללו שימוש לרעה באישורים תקפים או שנפגעו (VERIZON, 2023). טכניקות כגון Valid Accounts (T1078), Steal or Forge Kerberos Tickets (T1558) ו-Account Manipulation (T1098) מופיעות באופן עקבי בין הטכניקות הנצפות ביותר במסגרת MITRE ATT&CK (MITRE, 2023).

אירועים שתועדו בהרחבה מדגימים את הקריטיות של וקטור זה. הפגיעה בשרשרת האספקה הקשורה למקרה SolarWinds הראתה כיצד ניתן לנצל זהויות מועדפות ויחסי אמון מאוחדים כדי לפגוע במספר ארגונים בו-זמנית (CISA, 2021). בסביבות Microsoft Active Directory, חולשות כגון CVE‑2021‑42278 ו-CVE‑2021‑42287 אפשרו העלאת הרשאות באמצעות מניפולציה של מזהי חשבונות, ויצרו את הטכניקה הידועה כמתקפת “noPac” (MICROSOFT, 2021).

בנוסף, סביבות ענן מציגות סיכונים חדשים הקשורים למדיניות IAM שאינה מוגדרת כראוי, הרשאות יתר ושימוש לא תקין בטוקני אימות. ספקים כגון AWS, Azure ו-Google Cloud נשענים בהרחבה על מודלים מבוססי מדיניות דקלרטיבית, שהמורכבות שלהם עולה משמעותית ככל שמספר הזהויות והשירותים גדל (HUMBLE; FARLEY, 2021).

נוכח תרחיש זה, הבעיה הטכנית המרכזית היא להבטיח שמדיניות האימות וההרשאה תישאר קוהרנטית, בעלת עקרון הרשאת-מינימום, ועמידה מול תוקפים המסוגלים לפגוע באישורים או לנצל יחסי אמון.

שאלות המחקר המנחות עבודה זו הן:

• RQ1: כיצד למודל באופן פורמלי את משטח התקיפה הזהותי בסביבות היברידיות ומרובות-ענן?
• RQ2: כיצד לזהות ניצול לרעה של חשבונות תקפים באמצעות ניתוח התנהגותי עם שיעור חיובי-שגוי נמוך?
• RQ3: כיצד לאוטומט את החיזוק והאימות המתמשך של מדיניות IAM בקנה מידה ארגוני?

התרומות העיקריות של עבודה זו הן:

• הצעת מודל פורמלי מבוסס גרפים לכימות ההרשאות האפקטיביות.
• פיתוח מנגנון זיהוי התנהגותי המיושם על אירועי אימות רב-ממדיים.
• מימוש מסגרת תפעולית המשולבת עם כלים נפוצים בסביבות ארגוניות.

2. רקע ועבודה קשורה

Identity and Access Management כולל מכלול של תהליכים, מדיניות וטכנולוגיות המיועדים לאימות, הרשאה וביקורת של זהויות דיגיטליות (FERRAIOLLO; KUHN; CHANDRAMOULI, 2003). מנגנונים אלה מהווים את הבסיס לאבטחת מערכות מבוזרות ותשתיות ארגוניות מודרניות.

מבחינה היסטורית, הוצעו מספר מודלים פורמליים של בקרת גישה.

• DAC — Discretionary Access Control
• MAC — Mandatory Access Control
• RBAC — Role‑Based Access Control
• ABAC — Attribute‑Based Access Control

מודל RBAC, שהוסדר פורמלית על-ידי Sandhu et al. (1996), הציג הפשטה המבוססת על תפקידים ארגוניים, המאפשרת פישוט של ניהול ההרשאות במערכות מורכבות. באופן פורמלי נגדיר:

• $U$ — קבוצת המשתמשים
• $R$ — קבוצת התפקידים
• $P$ — קבוצת ההרשאות

היחסים הבסיסיים הם:

$UA \subseteq U \times R$

$PA \subseteq R \times P$

מודל זה קובע כי הרשאות מוקצות לתפקידים ותפקידים מוקצים למשתמשים, ובכך מאפשר ניהול סקלבילי של הרשאות.

עם הגידול בסביבות מבוזרות ובסביבות המבוססות על מאפיינים הקשריים, מודל ABAC הוצג כחלופה גמישה יותר. במודל זה, החלטות ההרשאה נקבעות על-ידי פונקציות המעריכות מאפיינים של משתמשים, משאבים והקשר תפעולי (HU; FERNADEZ; KUHN, 2015).

ארכיטקטורות Zero Trust הרחיבו גישה זו באמצעות הכנסת אימות מתמשך של זהות והקשר, תוך הפחתת התלות בגבולות רשת מסורתיים (ROSE et al., 2020). עם זאת, מימושים מעשיים רבים חסרים פורמליזציה מתמטית של משטח ההרשאות האפקטיבי, דבר המקשה על הערכת סיכון כמותית.

מחקרים עדכניים בוחנים גם זיהוי אנומליות מבוסס התנהגות לצורך איתור פגיעה בחשבונות. שיטות סטטיסטיות וטכניקות למידת מכונה משמשות לעיתים קרובות לזיהוי חריגות בדפוסי אימות (SOMMER; PAXSON, 2010; CHANDOLA; BANERJEE; KUMAR, 2009). עם זאת, חלק גדול מהספרות מתמקד בתעבורת רשת, בעוד שניתוחים המתמקדים באופן ספציפי בזהות נותרו מוגבלים יחסית.

בנוסף, הגידול בסביבות היברידיות ומרובות-ענן הציג קטגוריות חדשות של סיכון הקשורות לזהויות שירות, טוקני OAuth ומדיניות מאוחדת (GUPTA; ZHANG, 2022). מאפיינים אלה מחזקים את הצורך בגישות המשלבות מודל פורמלי של הרשאות עם מנגנוני גילוי והפחתה תפעוליים.

3. מודל איום ופורמליזציה של הבעיה

אנו מתייחסים לתוקף $\mathcal{A}$ בעל יכולות התואמות איומים מציאותיים שנצפו בסביבות ארגוניות עכשוויות. תוקף זה עשוי להשיג גישת התחלה באמצעות קמפיינים ממוקדים של פישינג, מתקפות password spraying או ניצול אישורים שנחשפו קודם לכן.

לאחר הגישה הראשונית, אנו מניחים שהתוקף יכול לבצע טכניקות נוספות, לרבות חילוץ אישורים מהזיכרון (T1003), תנועה רוחבית באמצעות פרוטוקולים מנהלתיים וניצול טוקני אימות מאוחדים.

אנו ממדלים את מערכת ה-IAM כגרף מכוון:

$$ G = (V, E) $$

כאשר:

$V = U \cup R \cup P$

מייצג את קבוצת הקודקודים המתאימים למשתמשים, תפקידים והרשאות, ו-

$E = UA \cup PA$

מייצג את יחסי ההקצאה בין הישויות הללו.

ההרשאה האפקטיבית של משתמש $u$ מוגדרת כ:

$$ EP(u) = {p \in P \mid \exists r \in R : (u,r) \in UA \land (r,p) \in PA} $$

הגדרה זו מייצגת את קבוצת ההרשאות שניתן לממש בפועל על-ידי משתמש, בהתחשב במבנה התפקידים הקיים.

אנו מגדירים את משטח התקיפה הזהותי הגלובלי כ:

$$ SA = \sum_{u \in U} |EP(u)| $$

מדד זה מייצג את המספר הכולל של ההרשאות הנגישות בפועל לכל הזהויות במערכת. הפחתות ב-$SA$ מצביעות על ירידה בחשיפה הפוטנציאלית הקשורה לפגיעה בחשבונות.

בנוסף, אנו מציגים את המושג של נתיב העלאת הרשאות ב-$G$. נתיב $u \rightarrow r \rightarrow p$ מייצג אפשרות לגישה למשאב רגיש. שרשראות ארוכות יותר עשויות לייצג האצלות עקיפות או תפקידים היררכיים.

יעדי האבטחה כוללים:

• יישום קפדני של עקרון הרשאת המינימום
• מימוש הפרדת תפקידים
• גילוי אוטומטי של חריגות התנהגותיות עם שיעור חיובי-שגוי הנמוך מ-5%

4. מתודולוגיה מוצעת

הארכיטקטורה המוצעת משלבת שלוש שכבות עיקריות: איסוף אירועים, ניתוח התנהגותי ומידול מבני של הרשאות.

שכבת האיסוף משתמשת בסוכני ביקורת המסוגלים ללכוד אירועי אימות, שימוש בטוקנים ושינויים במדיניות IAM. לוגים המתקבלים מספקי זהות שונים מנורמלים ונשלחים למערכת ניתוח מרכזית.

השכבה האנליטית מפעילה שיטות סטטיסטיות לזיהוי חריגות בדפוסי אימות. כל אירוע אימות מיוצג כווקטור התנהגותי:

$$ x = (hora, geoIP, deviceID, ASN, tipo_auth) $$

כדי למודל את ההתנהגות ההיסטורית של כל זהות אנו מחשבים את הממוצע $\mu$ ואת מטריצת הקו-וריאנס $S$ המשויכות לקבוצת הווקטורים שנצפו.

לאחר מכן נעשה שימוש במרחק מאהלנוביס למדידת מידת החריגה של אירוע חדש:

$$ D_M(x) = \sqrt{(x-\mu)^T S^{-1} (x-\mu)} $$

אירועים המקיימים $D_M(x) > \tau$ מסווגים כפוטנציאליים-אנומליים, כאשר $\tau$ מייצג סף שנקבע אמפירית.

במקביל, מבנה ההרשאות ממודל במסד נתונים גרפי. גישה זו מאפשרת זיהוי מהיר של יחסי האצלה מורכבים ושל נתיבי העלאת הרשאות פוטנציאליים.

אלגוריתם 1: חישוב הרשאה אפקטיבית

Input: UA, PA
Output: EP

for each user u in U:
    EP[u] = {}
    for each role r where (u,r) in UA:
        for each permission p where (r,p) in PA:
            EP[u].add(p)
return EP

המורכבות של האלגוריתם היא $O(|E|)$, כאשר $E$ מייצג את מכלול יחסי ההקצאה.

5. מימוש

המימוש הניסויי בוצע באמצעות כלים הנפוצים בסביבות ארגוניות ותואמים לארכיטקטורות zero trust.

רכיב	טכנולוגיה
ספק זהות	Keycloak 22
מדריך ארגוני	FreeIPA
ניתוח לוגים	Elastic Stack 8
מסד גרפי	Neo4j 5
מנוע מדיניות	Open Policy Agent
IDS רשת	Suricata

האינטגרציה בין רכיבים אלה מאפשרת קליטה רציפה של אירועי אימות ועדכון דינמי של גרף ההרשאות.

דוגמת שאילתת Cypher ששימשה לזיהוי משתמשים בעלי מספר רב של הרשאות:

MATCH (u:User)-[:HAS_ROLE]->(r:Role)-[:HAS_PERMISSION]->(p:Permission)
RETURN u.name, count(p) AS total_permissions
ORDER BY total_permissions DESC

בנוסף, תרחישי תקיפה הותמרו באמצעות Atomic Red Team כדי לשחזר טכניקות ממסגרת MITRE ATT&CK.

6. הערכה ניסויית

הסביבה הניסויית הורכבה מתשתית וירטואלית המייצגת ארגון בינוני. הפלטפורמה כללה כ-12,000 זהויות, מספר דומיינים של אימות ומעל שלושה מיליון אירועי לוג שנאספו במהלך תקופת ההערכה.

מדד	לפני	אחרי
MTTD	14.2 h	5.3 h
חיובי-שגוי	—	2.3%
גילוי T1078	—	96.8%
הרשאות יתר	—	הפחתה של 41%

התוצאות מצביעות על כך שהאינטגרציה בין ניתוח התנהגותי למידול מבני של הרשאות תורמת באופן משמעותי להפחתת זמן הגילוי הממוצע של ניצול לרעה של חשבונות.

7. מקרה בוחן

בוצעה סימולציה של מתקפה המבוססת על טכניקות שנצפו באירועים אמיתיים.

התרחיש החל בפגיעה באישורים באמצעות פישינג ממוקד. התוקף השיג גישת התחלה לחשבון משתמש רגיל והשתמש בטכניקות של תנועה רוחבית כדי להגיע למערכות פנימיות. לאחר מכן נוצלו יחסי האצלת תפקידים כדי לרכוש הרשאות ניהול עקיפות.

במהלך הסימולציה, המערכת זיהתה בו-זמנית שני אינדיקטורים של אנומליה: אימות שמקורו ב-ASN שאינו עקבי גאוגרפית עם היסטוריית המשתמש וגישה פתאומית למשאבים מנהלתיים. שילוב גורמים זה הוביל ליצירת התרעה בחומרה גבוהה ולחסימה אוטומטית של הסשן.

מקרה בוחן זה מדגים את התועלת שבקורלציה בין הקשר התנהגותי לבין מבנה ההרשאות.

8. דיון

התוצאות הניסיוניות מצביעות על כך שמידול פורמלי של משטח ההרשאות מספק יתרונות משמעותיים לניתוח סיכון זהותי. בפרט, הייצוג הגרפי מקל על זיהוי נתיבי העלאת הרשאות ויחסי אמון מורכבים.

הגישה המוצעת גם מדגישה את חשיבות ה-observability במערכות IAM. ללא איסוף עקבי של אירועי אימות והרשאה, מנגנוני זיהוי התנהגותי נעשים פחות אפקטיביים באופן משמעותי.

השלכה חשובה נוספת נוגעת לממשל זהויות בסביבות multi-cloud. ההטרוגניות של מודלי המדיניות שאומצו על-ידי ספקים שונים מקשה על ביקורת ידנית ומגבירה את ההסתברות להרשאות יתר. כלי אוטומציה וניתוח מובנה הופכים חיוניים לשמירה על תאימות ולהפחתת הסיכון התפעולי.

9. מסקנה

עבודה זו הציגה ארכיטקטורת Identity and Access Management מוכוונת-איומים המשלבת מידול פורמלי, זיהוי התנהגותי ואוטומציה תפעולית. הראינו שכימות משטח ההרשאות באמצעות גרפים מאפשר להעריך סיכון זהותי באופן שיטתי, בעוד שטכניקות סטטיסטיות המיושמות על אירועי אימות מאפשרות לזהות ניצול לרעה של חשבונות לגיטימיים בדיוק גבוה.

ההערכה הניסויית הצביעה על הפחתות משמעותיות בזמן גילוי אירועים ובכמות ההרשאות המוגזמות הקיימות בסביבה. תוצאות אלה מצביעות על כך שהשילוב בין פורמליזציה מתמטית, ניתוח התנהגותי ואוטומציה תפעולית מהווה גישה מבטיחה לחיזוק אבטחת הזהות בארכיטקטורות היברידיות ו-zero trust.

References

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com. Accessed on: 13 abr. 2026.

CANDOLLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://doi.org/10.1145/1541880.1541882. Accessed on: 13 abr. 2026.

CISA. Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies. 2021. Available at: https://www.cisa.gov. Accessed on: 13 abr. 2026.

FERRAIOLLO, David; KUHN, Richard; CHANDRAMOULI, Ramaswamy. Role‑Based Access Control. 2. ed. Boston: Artech House, 2003. Available at: https://csrc.nist.gov/projects/role-based-access-control. Accessed on: 13 abr. 2026.

GARCIA, Sebastian et al. Anomaly‑based network intrusion detection: Techniques and challenges. IEEE Security & Privacy, 2014. Available at: https://doi.org/10.1109/MSP.2014.36. Accessed on: 13 abr. 2026.

GUPTA, Brij; ZHANG, Jie. Handbook of Cloud Security. Cham: Springer, 2022. Available at: https://doi.org/10.1007/978-3-030-78448-9. Accessed on: 13 abr. 2026.

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011.

HU, Vincent; KUHN, Richard; FERNADEZ, Eduardo. Guide to Attribute Based Access Control (ABAC). NIST SP 800‑162, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 13 abr. 2026.

HUTCHINS, Eric; CLOWERS, Michael; AMIN, Ryan. Intelligence‑Driven Computer Network Defense Informed by Analysis of Adversary Campaigns. MITRE, 2011. Available at: https://www.mitre.org. Accessed on: 13 abr. 2026.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800‑92. Available at: https://doi.org/10.6028/NIST.SP.800-92. Accessed on: 13 abr. 2026.

MICROSOFT. Security Update Guide for CVE‑2021‑42278 and CVE‑2021‑42287. 2021. Available at: https://msrc.microsoft.com. Accessed on: 13 abr. 2026.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2026.

NIST. Digital Identity Guidelines. NIST SP 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 13 abr. 2026.

NIST. Zero Trust Architecture. NIST SP 800‑207. 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 13 abr. 2026.

PAXSON, Vern; SOMMER, Robin. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 13 abr. 2026.

SANDHU, Ravi et al. Role‑Based Access Control Models. IEEE Computer, v. 29, n. 2, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 13 abr. 2026.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. Available at: https://doi.org/10.6028/NIST.SP.800-94. Accessed on: 13 abr. 2026.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com. Accessed on: 13 abr. 2026.

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018.

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2026.

ZHOU, Jianying; LOPEZ, Javier. Security and Privacy in Cloud Computing. Springer, 2019. Available at: https://doi.org/10.1007/978-3-030-25947-5. Accessed on: 13 abr. 2026.

BEHRENDT, Marc. Identity Security for the Cloud Enterprise. O’Reilly Media, 2021. Available at: https://www.oreilly.com. Accessed on: 13 abr. 2026.

MATHER, Tim; KUMARASWAMY, Subra; LATIF, Shahed. Cloud Security and Privacy. O’Reilly Media, 2009. Available at: https://www.oreilly.com. Accessed on: 13 abr. 2026.

ENISA. Threat Landscape 2023. European Union Agency for Cybersecurity. Available at: https://www.enisa.europa.eu. Accessed on: 13 abr. 2026.

GARTNER. Identity and Access Management Primer. 2022. Available at: https://www.gartner.com. Accessed on: 13 abr. 2026.