כותרת: ארכיטקטורת IAM עמידה מונחית איומים: פורמליזציה, מימוש והערכה אמפירית של מודל אדפטיבי המבוסס על Zero Trust וזיהוי התנהגותי

1. מבוא

ניהול זהויות וגישה (IAM) התפתח באופן משמעותי בשני העשורים האחרונים. בתחילה נתפס כמנגנון מנהלי ליצירת חשבונות ולהקצאת הרשאות, ה-IAM נעשה ללב ליבה של אבטחת הארגון בסביבות דיגיטליות מבוזרות. האימוץ ההמוני של שירותי ענן, יישומי SaaS, תשתיות אלסטיות והתקנים ניידים העביר את מודל האבטחה המסורתי המבוסס על היקף לפרדיגמה הממוקדת בזהות (ROSE et al., 2020).

דוחות אמפיריים שונים מדגימים את הרלוונטיות של תופעה זו. דוח Data Breach Investigations Report לשנת 2023 מצביע על כך ששימוש באישורים תקפים מצוי בחלק גדול מהאירועים שנבחנו, לעיתים קרובות בשילוב עם טכניקות של brute force, שימוש חוזר בסיסמאות והנדסה חברתית (VERIZON, 2023). טכניקות המתועדות במסגרת MITRE ATT&CK, כגון password spraying (T1110), ניצול לרעה של חשבונות תקפים (T1078) ותנועה רוחבית המבוססת על אישורים שנפגעו, מופיעות באופן חוזר בקמפיינים של חדירה (MITRE, 2023).

בנוסף, אירועים עדכניים מדגימים את הניצול השיטתי של חולשות בארכיטקטורות IAM. בין הווקטורים הנפוצים ביותר נמצאות התקפות adversary‑in‑the‑middle כנגד זרימות אימות רב-שלבי, ניצול אינטגרציות OAuth שהוגדרו באופן שגוי וניצול הרשאות מופרזות בסביבות ענן ציבורי. פגיעויות שנוצלו בהיקף נרחב, כגון CVE‑2021‑44228 (Log4Shell), הראו כיצד כשלים בתוכנה יכולים לשמש נקודת פתיחה לפגיעה באישורים ולאחר מכן להסלמת הרשאות (NIST, 2021).

למרות התפתחות האיומים, ארגונים רבים עדיין מפעילים מערכות בקרת גישה המבוססות על מודלים סטטיים של הרשאה. מודל RBAC, אף שהוא מאומץ בהרחבה, מציג מגבלות משמעותיות כאשר הוא מיושם בסביבות דינמיות מאוד, שבהן גורמים קונטקסטואליים — כגון מיקום גאוגרפי, מצב ההתקן, היסטוריה התנהגותית ורגישות הפעולה — משפיעים ישירות על הסיכון הקשור לבקשת גישה.

לאור תרחיש זה, ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל באופן פורמלי סיכון דינמי במערכות IAM בהתחשב בזהות, בהקשר ובהתנהגות?

RQ2: האם ניתן להפחית באופן משמעותי את זמן הגילוי הממוצע של ניצול לרעה של אישורים באמצעות שילוב ניתוח התנהגותי עם מדיניות הרשאה אדפטיבית?

RQ3: מהו ההשפעה התפעולית והחישובית של הכנסת מנגנוני הערכת סיכון אדפטיביים בסביבות ארגוניות בקנה מידה גדול?

כדי להשיב על שאלות אלו אנו מציגים שלוש תרומות עיקריות. ראשית, אנו מציעים מודל מתמטי פורמלי להערכת סיכון דינמית במערכות IAM. שנית, אנו מתכננים אלגוריתמי הכרעה המסוגלים לשלב טלמטריה תפעולית ולהחיל בקרות אדפטיביות של אימות והרשאה. לבסוף, אנו מבצעים הערכה אמפירית בסביבה ניסויית המייצגת תשתיות ארגוניות מודרניות.

המשך המאמר מאורגן כדלקמן. סעיף 2 מציג יסודות ועבודות קשורות. סעיף 3 מנסח פורמלית את מודל האיום ואת פונקציית הסיכון המוצעת. סעיף 4 מתאר את המתודולוגיה ואת ארכיטקטורת המערכת. סעיף 5 מציג פרטי מימוש. סעיף 6 דן בהערכה הניסויית. סעיף 7 מציג מחקר מקרה יישומי. סעיף 8 דן בהשלכות מעשיות ובמגבלות. סעיף 9 מסכם את העבודה.

2. רקע ועבודות קשורות

2.1 יסודות IAM

באופן פורמלי, ניתן לייצג מערכת בקרת גישה כקבוצה של משתמשים $U$, קבוצה של משאבים $R$ וקבוצה של פעולות $A$. ניתן להגדיר את קבוצת ההרשאות כך:

$$ P \subseteq U \times R \times A $$

במודל Role-Based Access Control (RBAC), מוצגת קבוצה של תפקידים $Role$, וכן שתי יחסים יסודיים: הקצאת משתמשים לתפקידים והקצאת הרשאות לתפקידים (SANDHU et al., 1996).

$$ UA \subseteq U \times Role $$

$$ PA \subseteq Role \times (R \times A) $$

מודל זה מקל על ניהול הרשאות, אך מניח שההרשאה תלויה אך ורק בקשר בין תפקידים ומשאבים.

מודלים עשירים יותר, כגון Attribute-Based Access Control (ABAC), מציגים מאפיינים המשויכים למשתמשים, למשאבים ולהקשר. ניתן למדל החלטת גישה כפונקציה:

$$ f(Attr(u), Attr®, context) \rightarrow {allow, deny} $$

פרדיגמה זו מאפשרת לשלב משתנים קונטקסטואליים כגון מיקום, שעה ומאפייני ההתקן (HU; FERRO; KUHN, 2015).

2.2 ארכיטקטורת Zero Trust

ארכיטקטורת Zero Trust מייצגת התפתחות מושגית חשובה באבטחת רשתות ארגוניות. במקום להניח אמון משתמע המבוסס על מיקום ברשת, מודל Zero Trust דורש אימות מתמשך של זהות, מצב ההתקן וההקשר לפני מתן כל גישה (ROSE et al., 2020).

בפרדיגמה זו, כל בקשת גישה מוערכת באופן עצמאי ודינמי. התהליך כולל בדרך כלל:

• אימות חזק של הזהות
• אימות של שלמות ההתקן
• הערכה קונטקסטואלית
• החלת מדיניות אדפטיבית

גישה זו רלוונטית במיוחד בסביבות עבודה מבוזרות ובתשתיות רב-ענניות.

2.3 זיהוי התנהגותי

מערכות זיהוי התנהגותי משתמשות במודלים סטטיסטיים או בטכניקות למידת מכונה כדי לזהות חריגות ביחס לדפוסי פעילות רגילים. בהקשר של IAM, מערכות אלו יכולות לנתח משתנים כגון תדירות כניסה, מיקום גאוגרפי, שעת גישה ומשאבים בשימוש (SOMMER; PAXSON, 2010).

כלי SIEM מודרניים ופלטפורמות לניתוח אבטחה מאפשרים לקשור אירועים ממקורות טלמטריה מרובים, כולל לוגים של אימות, רשומות API ותעבורת רשת.

2.4 מגבלות הספרות

אף שקיימים מחקרים על אבטחת זהות בסביבות ענן (ALSHAMRANI et al., 2017), זיהינו שלוש פערים חשובים בספרות.

ראשית, מערכות רבות עדיין תלויות במודלים סטטיים של הרשאה. שנית, האינטגרציה בין טלמטריה התנהגותית לבין החלטות הרשאה עדיין מוגבלת. לבסוף, מעט עבודות מציגות פורמליזציה מתמטית מפורשת של הסיכון הקשור להחלטות גישה.

עבודתנו מבקשת למלא פערים אלו באמצעות ארכיטקטורה משולבת להערכת סיכון ולבקרה אדפטיבית.

3. מודל איום ופורמליזציה של הבעיה

אנו מניחים יריב $\mathcal{A}$ בעל יכולות ריאליסטיות שנצפו בקמפיינים של חדירה ארגונית. יכולות אלו כוללות השגת אישורים באמצעות phishing, ניצול דליפות נתונים, ביצוע התקפות password spraying ופשר ראשוני של חשבונות בעלי הרשאות נמוכות.

לאחר השגת גישה ראשונית, היריב יכול לנצל הרשאות מופרזות כדי לבצע הסלמת הרשאות או תנועה רוחבית.

אנו מגדירים את הסיכון הדינמי הקשור לבקשת גישה כפונקציה הבאה:

$$ R(u,a,c,t) = \alpha S(u) + \beta C© + \gamma B(u,t) + \delta T(a) $$

כאשר:

• $S(u)$ מייצג את רגישות הזהות
• $C©$ מייצג את הסיכון הקונטקסטואלי
• $B(u,t)$ מודד את החריגה ההתנהגותית שנצפתה
• $T(a)$ מייצג את הקריטיות של הפעולה המבוקשת

המקדמים $\alpha, \beta, \gamma, \delta$ מייצגים משקלים מנורמלים כך ש:

$$ \alpha + \beta + \gamma + \delta = 1 $$

אנו מגדירים את תכונת האבטחה היסודית של המערכת באופן הבא:

$$ Allow(req) \Rightarrow R(u,a,c,t) < \theta $$

כאשר $\theta$ מייצג סף סיכון אדפטיבי המוגדר על ידי מדיניות האבטחה של הארגון.

מודל זה מאפשר לשלב משתנים קונטקסטואליים והתנהגותיים ישירות בתהליך החלטת הגישה.

4. מתודולוגיה מוצעת

4.1 ארכיטקטורת המערכת

הארכיטקטורה המוצעת משלבת מספר רכיבים תפעוליים האחראים לאיסוף טלמטריה, ניתוח סיכון והחלת מדיניות אבטחה.

הרכיבים העיקריים כוללים:

• אוסף טלמטריה (לוגים של אימות, אירועי API וטלמטריית רשת)
• מנוע הערכת סיכון
• מודול זיהוי התנהגותי
• מתזמר תגובה אוטומטית

הטלמטריה נאספת ממספר מקורות, כולל לוגי זהות, רשומות API של ענן וחיישני רשת.

4.2 אלגוריתם להערכת סיכון

תהליך החלטת הגישה מבוצע באמצעות אלגוריתם להערכת סיכון דינמית.

Input: evento e(u,a,r,c,t)
Output: decisão allow ou deny

1: calcular sensibilidade S(u)
2: calcular risco contextual C(c)
3: calcular desvio comportamental B(u,t)
4: calcular criticidade T(a)
5: R ← αS + βC + γB + δT
6: se R ≥ θ então
7:     aplicar autenticação reforçada ou bloqueio
8: senão
9:     permitir acesso

אלגוריתם זה מציג סיבוכיות חישובית קבועה $O(1)$ לכל בקשה, מה שהופך אותו מתאים לסביבות בקנה מידה גדול.

4.3 כללי זיהוי

ניתן לזהות אירועים חשודים באמצעות כללים המבוססים על תבניות תקיפה מוכרות.

דוגמה לכלל Sigma:

logsource:
  product: azure
detection:
  selection:
    Country: not in known_countries

ניתן לקשור כללים אלה למנוע הערכת הסיכון כדי להעלות את ציון הסיכון המשויך לבקשה.

5. מימוש

מימשנו אבטיפוס פעיל באמצעות טכנולוגיות הנפוצות בסביבות ארגוניות.

רכיב	טכנולוגיה
ניהול זהויות	Azure Active Directory
בקרת גישה בענן	AWS IAM
איסוף וניתוח לוגים	Elastic Stack 8.x
חיישן רשת	Suricata
מנוע מדיניות	Open Policy Agent

דוגמה למדיניות שמומשה ב-Rego:

deny[msg] {
  input.risk_score > 0.7
  msg := "High risk access blocked"
}

במהלך הבדיקות נצפתה עלייה ממוצעת בהשהיית האימות מ-12 ms ל-19 ms, ערך הנחשב סביר בסביבות ארגוניות.

6. הערכה ניסויית

6.1 סביבה ניסויית

יצרנו סביבה ניסיונית מייצגת הכוללת:

• 5000 זהויות מדומות
• 1200 workloads
• 30 ימים של טלמטריה תפעולית
• מספר תרחישי תקיפה מדומים

קו הבסיס ששימש להשוואה היה מערכת הרשאה המבוססת אך ורק על RBAC.

6.2 תוצאות

מדד	Baseline RBAC	הארכיטקטורה המוצעת
MTTD	14.2 h	5.2 h
הרשאות מופרזות	31%	16%
שיעור חיובי כוזב	1.9%	2.8%

ניצפתה הפחתה של כ-63.4% בזמן הממוצע לזיהוי ניצול לרעה של אישורים.

ביצענו מבחן t סטטיסטי להשוואת הממוצעים, וקיבלנו $p < 0.01$, המצביע על מובהקות סטטיסטית.

7. מחקר מקרה

החלתנו את הארכיטקטורה המוצעת על תרחיש מייצג המבוסס על ארגון במגזר הפיננסי עם כ-2000 עובדים ותשתית היברידית.

תהליך ההטמעה התרחש בארבעה שלבים עיקריים:

1. ביקורת הרשאות באמצעות AWS IAM Access Analyzer
2. מימוש מדיניות Conditional Access ב-Azure Active Directory
3. הטמעת כללי זיהוי ב-Elastic SIEM
4. ביצוע סימולציית התקפת password spraying

במהלך תרגיל הסימולציה, המערכת זיהתה פעילות חריגה בתוך ארבע דקות, הפעילה אימות אדפטיבי וחסמה ניסיונות עוקבים.

8. דיון

התוצאות מצביעות על כך שהאינטגרציה בין ניתוח קונטקסטואלי לבין זיהוי התנהגותי משפרת באופן משמעותי את היכולת לזהות ניצול לרעה של אישורים. בפרט, ראינו כי משתנים התנהגותיים הקשורים להיסטוריית האימות תרמו רבות לזיהוי מוקדם של פעילויות זדוניות.

עם זאת, המודל מציג מספר מגבלות. הראשונה קשורה בתלות בטלמטריה איכותית. לוגים חלקיים או לא עקביים עלולים לפגוע בדיוק הערכת הסיכון.

מגבלה נוספת נוגעת לכיול הפרמטרים $\alpha, \beta, \gamma, \delta$. בסביבות אמיתיות, יש להתאים פרמטרים אלה בהתאם למאפיינים הספציפיים של הארגון.

למרות מגבלות אלה, הגישה מדגימה ישימות תפעולית וניתן לשלב אותה בצינורות זיהוי ותגובה המשמשים צוותי Security Operations Center.

9. מסקנה

בעבודה זו הצגנו ארכיטקטורת IAM חסינה המכוונת לאיומים, המשלבת הערכת סיכון דינמית, ניתוח התנהגותי ועקרונות Zero Trust.

ניסחנו מתמטית מודל סיכון המסוגל לשלב זהות, הקשר והתנהגות בתהליך החלטת הגישה. מימשנו אבטיפוס תפעולי המבוסס על טכנולוגיות נפוצות והערכנו אותו אמפירית בסביבה ניסויית מייצגת.

התוצאות מצביעות על הפחתה משמעותית בזמן הממוצע לזיהוי ניצול לרעה של אישורים ועל ירידה ניכרת בהרשאות מופרזות. תוצאות אלו מצביעות על כך שארכיטקטורות IAM אדפטיביות מייצגות התפתחות חשובה בהגנה על סביבות ארגוניות מודרניות.

עבודות עתידיות כוללות שילוב טכניקות למידת מכונה למידול התנהגותי מתקדם יותר ומנגנוני זיהוי משופרים של ניצול לרעה של אסימוני OAuth בסביבות מבוזרות.

References

ALSHAMRANI, A.; MYNENI, S.; CHOWDHARY, A.; HUANG, D. A survey on advanced persistent threats. IEEE Communications Surveys & Tutorials, v. 19, n. 4, p. 2507–2528, 2017. Available at: https://doi.org/10.1109/COMST.2017.2716383. Accessed on: 10 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

BERTINO, E.; SANDHU, R. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, v. 2, n. 1, p. 2–19, 2005. Available at: https://doi.org/10.1109/TDSC.2005.9. Accessed on: 11 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

HU, V.; FERRO, D.; KUHN, D. Guide to Attribute Based Access Control (ABAC). NIST Special Publication 800‑162. Gaithersburg: NIST, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 11 mar. 2023.

KINDERVAG, J. No More Chewy Centers: Introducing the Zero Trust Model of Information Security. Forrester Research, 2010. Available at: https://www.forrester.com/report/no-more-chewy-centers-introducing-the-zero-trust-model-of-information-security/. Accessed on: 12 mar. 2023.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 10 mar. 2023.

NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 10 mar. 2023.

ROSE, S.; BORCHERT, O.; MITCHELL, S.; CONNELLY, S. Zero Trust Architecture. NIST Special Publication 800‑207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 11 mar. 2023.

SANDHU, R. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 11 mar. 2023.

SOMMER, R.; PAXSON, V. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 12 mar. 2023.

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com. Accessed on: 12 mar. 2023.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 10 mar. 2023.

ZHANG, N.; RYAN, M.; CHEN, D. Formal analysis of cloud identity federation protocols. IEEE Security & Privacy, v. 17, n. 5, p. 55–63, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2917422. Accessed on: 12 mar. 2023.

NIST. Digital Identity Guidelines. NIST Special Publication 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 11 mar. 2023.

CLOUD SECURITY ALLIANCE. Security Guidance for Critical Areas of Focus in Cloud Computing v4.0. 2017. Available at: https://cloudsecurityalliance.org. Accessed on: 12 mar. 2023.

GARCIA, S.; BRINKER, S. Behavioral analytics for cybersecurity. ACM Queue, v. 16, n. 5, 2018. Available at: https://queue.acm.org/detail.cfm?id=3287307. Accessed on: 12 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

ANDERSON, R. Security Engineering. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 12 mar. 2023.

ENISA. Threat Landscape 2022. European Union Agency for Cybersecurity, 2022. Available at: https://www.enisa.europa.eu. Accessed on: 12 mar. 2023.

CISA. Zero Trust Maturity Model. Cybersecurity and Infrastructure Security Agency, 2021. Available at: https://www.cisa.gov/zero-trust-maturity-model. Accessed on: 12 mar. 2023.

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Available at: https://research.google/pubs/pub43231/. Accessed on: 12 mar. 2023.

MICROSOFT. Zero Trust Deployment Guide. 2022. Available at: https://learn.microsoft.com/security/zero-trust. Accessed on: 12 mar. 2023.

AMAZON WEB SERVICES. IAM Access Analyzer Documentation. 2023. Available at: https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html. Accessed on: 10 mar. 2023.

ELASTIC. Elastic Security Documentation. 2023. Available at: https://www.elastic.co/guide/en/security/current/index.html. Accessed on: 10 mar. 2023.