כותרת: ארכיטקטורת Identity and Access Management אדפטיבית עם הערכת סיכון מתמשכת וגילוי ניצול לרעה של פרטי גישה המבוססת על טלמטריה תפעולית

1. מבוא

ניהול זהויות והרשאות גישה (Identity and Access Management – IAM) מהווה אחד מעמודי התווך המרכזיים של אבטחת המידע בארגונים מודרניים. בסביבות ארגוניות המאופיינות בתשתיות היברידיות, שירותי ענן ושיתוף פעולה מבוזר, השליטה המדויקת בזהויות דיגיטליות נעשתה חיונית לשמירה על סודיות, שלמות וזמינות של משאבים קריטיים.

למרות האימוץ הנרחב של אימות רב-גורמי, איחוד זהויות ובקרת גישה מבוססת תפקידים, תקריות רבות מן העת האחרונה מדגימות כי אישורים לגיטימיים ממשיכים להיות מנוצלים בידי יריבים. דוח Verizon Data Breach Investigations Report לשנת 2023 מציין כי כ־74% מן ההפרות שנבחנו כללו את הגורם האנושי, שלעתים קרובות היה קשור לשימוש לרעה באישורים שנפגעו (VERIZON, 2023). טכניקות כגון credential dumping, pass-the-hash ו-Kerberoasting מתועדות בהרחבה בקמפיינים של חדירה ולעיתים קרובות מזוהות עם תנועה רוחבית בתוך רשתות ארגוניות.

הבעיה העיקרית נעוצה בעובדה שמערכות IAM מסורתיות מאמתות זהות רק ברגע האימות הראשוני. לאחר יצירת הסשן, לעיתים נדירות מתבצעת הערכה מחודשת מתמשכת של הסיכון הקשור לפעילות המשתמש. כתוצאה מכך, יריב שהשיג אישורים תקפים יכול לפעול במשך פרקי זמן ארוכים ללא גילוי, תוך ניצול הרשאות לגיטימיות.

ארכיטקטורות אבטחה המבוססות על Zero Trust מציעות שינוי פרדיגמה, שבו כל בקשת גישה חייבת להיבדק באופן מתמשך על בסיס הקשר והתנהגות (ROSE et al., 2020). עם זאת, רבות מן המימושים המעשיים עדיין חסרות מודלים פורמליים להערכת סיכון דינמית ושילוב ישיר עם טלמטריה תפעולית.

בעבודה זו אנו בוחנים שלוש שאלות מחקר עיקריות:

RQ1: כיצד ניתן לנסח מתמטית מודל להערכת סיכון מתמשכת המתאים למערכות IAM?
RQ2: כיצד ניתן לשלב טלמטריה שמקורה בזהות, ברשת ובנקודת הקצה כדי לזהות שימוש לרעה באישורים?
RQ3: מהי ההשפעה של גישה זו על מדדים תפעוליים כגון Mean Time to Detect (MTTD) ו-Mean Time to Respond (MTTR)?

תרומות המחקר הן:

• הצעה למודל מתמטי פורמלי של סיכון דינמי $R(u,s,t)$ המיושם על סשנים של זהות.
• פיתוח ארכיטקטורה אדפטיבית המשלבת מנגנוני קבלת החלטות מדיניות וניתוח טלמטריה.
• הערכה ניסויית המבוססת על סימולציה של התקפות מציאותיות המתועדות במסגרת MITRE ATT&CK.

שאר המאמר מאורגן כדלקמן: סעיף 2 מציג יסודות תיאורטיים ועבודות קשורות; סעיף 3 מתאר את מודל האיום ואת פורמליזציית הבעיה; סעיף 4 מציג את המתודולוגיה המוצעת; סעיף 5 מתאר את המימוש; סעיף 6 מציג הערכה ניסויית; סעיף 7 דן במחקר מקרה; סעיף 8 מנתח השלכות; וסעיף 9 מציג את המסקנות.

2. רקע ועבודות קשורות

2.1 מודלים של בקרת גישה

המודל Role-Based Access Control (RBAC) מהווה אחת מן הפרדיגמות הנפוצות ביותר של בקרת גישה במערכות ארגוניות. באופן פורמלי, RBAC מגדיר יחסים בין משתמשים, תפקידים והרשאות (SANDHU et al., 1996). יהי:

• $U$ קבוצת המשתמשים
• $R$ קבוצת התפקידים
• $P$ קבוצת ההרשאות
• $UA \subseteq U \times R$ יחס משתמש–תפקיד
• $PA \subseteq R \times P$ יחס תפקיד–הרשאה

למרות פשטותו המושגית, סביבות מורכבות מתמודדות לעיתים קרובות עם בעיות של התפוצצות קומבינטורית של תפקידים והרשאות יתר.

כחלופה, המודל Attribute-Based Access Control (ABAC) מציג מדיניות המבוססת על מאפיינים של הסובייקט, המשאב והסביבה (HU; KUHN; FERNADEZ, 2015). בפרדיגמה זו, החלטות גישה מבוטאות כפרדיקטים בוליאניים המוערכים באופן דינמי.

ארכיטקטורות Zero Trust מרחיבות מושג זה באמצעות שילוב של אימות מתמשך של זהות והקשר לאורך הסשן (ROSE et al., 2020). פרדיגמה זו מדגישה ניטור מתמיד והערכה דינמית של אמון.

2.2 טלמטריית אבטחה וגילוי איומים

מערכות מודרניות לגילוי איומים משתמשות בכמויות גדולות של טלמטריה תפעולית ממספר מקורות, כולל נקודות קצה, רשתות ויישומים. פלטפורמות SIEM ו-XDR מרכזות נתונים אלה לצורך ניתוח מאוחד וקורלציית אירועים (BEHL; BEHL, 2017).

כלים כגון Sysmon מאפשרים איסוף מפורט של אירועי מערכת בסביבות Windows, בעוד שמערכות גילוי חדירה מבוססות רשת, כגון Suricata, מספקות נראות אל תעבורה העלולה להיות זדונית (OISF, 2023).

כללי Sigma הוצעו כתקן פתוח לתיאור חתימות גילוי שאינן תלויות פלטפורמה (ROTH; BÜSCH, 2020). גישה זו מקלה על שיתוף מודיעין איומים בין ארגונים.

2.3 שימוש לרעה באישורים

מחקרים שונים מדגימים כי אישורים שנפגעו משמשים לעיתים קרובות לתנועה רוחבית ולהסלמת הרשאות (HUTCHINS; CLOPPERT; AMIN, 2011). טכניקות המתועדות במסגרת MITRE ATT&CK כוללות:

• Credential Dumping (T1003)
• Pass-the-Hash (T1550.002)
• Kerberoasting (T1558.003)

טכניקות אלה מאפשרות ליריבים לעשות שימוש חוזר באישורים תקפים מבלי בהכרח לנצל חולשות נוספות.

3. מודל איום ופורמליזציה של הבעיה

אנו מניחים יריב המסוגל לפגוע באישורים באמצעות פישינג, נוזקה או גישה זמנית מורשית לנקודת קצה. לאחר קבלת אישורים תקפים, היריב יכול להריץ כלים המתועדים בהרחבה לצורך חילוץ ושימוש חוזר באישורים.

מודל האיום מתייחס ליכולות הבאות:

• הרצת כלים להעתקת אישורים מזיכרון
• אימות לשירותים פנימיים באמצעות אישורים תקפים
• תנועה רוחבית באמצעות פרוטוקולים כגון SMB, WinRM ו-RDP

עם זאת, אנו מניחים שספק הזהות המרכזי נותר שלם ואינו נפגע.

אנו מגדירים את הסיכון הדינמי הקשור לסשן כך:

$$ R(u,s,t) = \alpha B(u,t) + \beta A(u,s,t) + \gamma C(u,t) $$

כאשר:

• $B(u,t)$ מייצג סטייה התנהגותית של המשתמש
• $A(u,s,t)$ מייצג חריגות גישה הקשורות לסשן
• $C(u,t)$ מייצג הקשר סביבתי (מכשיר, מיקום, שעה)
• $\alpha, \beta, \gamma$ הם מקדמים מנורמלים כך ש-$\alpha+\beta+\gamma=1$

תכונת אבטחה יסודית יכולה להתבטא כך:

$$ R(u,s,t) > \theta \Rightarrow \text{Revalidação או encerramento da sessão} $$

כאשר $\theta$ מייצג סף סיכון הניתן להגדרה.

4. מתודולוגיה מוצעת

הארכיטקטורה המוצעת משלבת רבדים מרובים של נראות ובקרת גישה. המטרה היא לקשור טלמטריה תפעולית להחלטות הרשאה בזמן כמעט-אמת.

הרכיבים המרכזיים של הארכיטקטורה הם:

רכיב	תפקיד
Identity Provider	אימות וניהול זהויות
Policy Decision Point	הערכת מדיניות גישה
SIEM	קורלציה וניתוח אירועים
חיישני אבטחה	איסוף טלמטריה

חישוב הסיכון מתבצע באופן רציף עם קבלת אירועים חדשים.

Algorithm 1 ComputeRisk(u, s, t)

Input: usuário u, sessão s, tempo t
Output: valor de risco R

B ← BehavioralDeviation(u,t)
A ← AccessAnomaly(u,s,t)
C ← ContextScore(u,t)

R ← αB + βA + γC

if R > θ then
    TriggerAdaptiveResponse(u,s)
end if

return R

המורכבות החישובית של האלגוריתם היא $O(n)$ לכל אירוע, כאשר $n$ מייצג את מספר המאפיינים הנבדקים.

אירועים מקושרים לטכניקות של MITRE ATT&CK כדי להעשיר את ניתוח ההתנהגות של היריב.

5. מימוש

המימוש הניסויי השתמש בערכת טכנולוגיות המורכבת מכלים הנפוצים בסביבות ארגוניות.

רכיב	גרסה
Keycloak	21
Open Policy Agent	0.55
Elastic Stack	8.x
Suricata	7
Sysmon	14

דוגמה למדיניות ב-Rego ששימשה לבקרת גישה אדפטיבית:

package iam.risk

default allow = false

allow {
  input.risk < 0.6
}

אירועים רלוונטיים שנאספו כוללים, למשל, את Sysmon Event ID 10, המתעד גישה לתהליכים רגישים כגון LSASS, שלעיתים קרובות קשורה לטכניקות חילוץ אישורים.

תשתית הניתוח השתמשה ב-Elastic cluster המורכב משלושה צמתים, עם 32 GB זיכרון לכל אחד, מה שאפשר קליטה של מאות מיליוני אירועים.

6. הערכה ניסויית

ההערכה הניסויית בוצעה בסביבה ארגונית מדומה בעלת מאפיינים הקרובים לרשתות עסקיות בינוניות.

מדד	RBAC מסורתי	הארכיטקטורה המוצעת
MTTD ממוצע	18 h	10,3 h
MTTR ממוצע	26 h	16,1 h
חיוביים שגויים	6,2%	4,7%

הסביבה הניסויית כללה:

• 20 שרתי Windows
• 15 שרתי Linux
• כ-1,200 משתמשים פעילים
• כ-480 מיליון אירועים שנאספו במהלך שלושה חודשים

ניתוח גרפי של הרשאות באמצעות BloodHound חשף ירידה של 58% בנתיבי הסלמת הרשאות לאחר התאמות במדיניות הגישה.

7. מחקר מקרה

בוצעה סימולציה של תקיפה רב-שלבית המייצגת שרשרת מציאותית של פגיעה בזהות:

1. פישינג ממוקד שהוביל לאישורים תקפים.
2. ביצוע dumping של אישורים בזיכרון.
3. חילוץ כרטיסי Kerberos לצורך Kerberoasting.
4. תנועה רוחבית דרך SMB.

במהלך הניסוי, המערכת זיהתה מספר אינדיקטורים מקושרים:

• אירוע Sysmon ID 10 המצביע על גישה חשודה ל-LSASS
• אימות ממיקום גאוגרפי חריג
• העלאת הרשאות הקשורה להתנהגות חריגה

הסיכון המחושב עבר את הסף $\theta$ לאחר כ-7 דקות, והוביל לשלילה אוטומטית של הסשן.

8. דיון

התוצאות מצביעות על כך ששילוב בין IAM לבין טלמטריה תפעולית מאפשר לזהות שימוש לרעה באישורים בשלב מוקדם משמעותית בהשוואה למודלים מסורתיים המבוססים רק על אימות ראשוני.

עם זאת, יש להביא בחשבון מספר מגבלות. יעילות המודל תלויה במידה רבה באיכות ובכיסוי של הטלמטריה הנאספת. סביבות בעלות נראות נמוכה של לוגים עלולות להציג ירידה בדיוק הניתוח.

בנוסף, כיול מתאים של המקדמים $\alpha$, $\beta$ ו-$\gamma$ חיוני לאיזון בין רגישות לבין שיעור חיוביים שגויים. אסטרטגיות המבוססות על ניתוח התנהגותי ומודלים סטטיסטיים עשויות לסייע בכוונון זה.

9. מסקנה

עבודה זו הציגה ארכיטקטורה אדפטיבית של Identity and Access Management המבוססת על הערכת סיכון מתמשכת ושילוב טלמטריה תפעולית. ניסחנו מודל מתמטי לחישוב סיכון דינמי הקשור לסשנים של משתמשים והדגמנו את יישומו המעשי בסביבה ניסויית.

תוצאות ניסיוניות מצביעות על שיפורים משמעותיים במדדים תפעוליים של גילוי ותגובה לאירועים בהשוואה לגישות מסורתיות של בקרת גישה.

ההתכנסות בין בקרת זהות, ניתוח טלמטריה ומדיניות אדפטיבית מייצגת כיוון מבטיח לחיזוק האבטחה בסביבות ארגוניות מורכבות.

References

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 2. ed. Cambridge: Cambridge University Press, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 10 mar. 2023.

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001.

BEHLING, Felix et al. Detecting Credential Abuse in Enterprise Networks. In: ACM CCS Workshop on Security Operations. New York: ACM, 2019. Available at: https://dl.acm.org/doi/10.1145/3338468.3358905.

BIDGOLI, Hossein. Handbook of Information Security. Hoboken: Wiley, 2019. Available at: https://doi.org/10.1002/9780471732297.

CYBERARK. 2022 Identity Security Threat Landscape Report. CyberArk, 2022. Available at: https://www.cyberark.com/resources/threat-research. Accessed on: 12 mar. 2023.

GARCIA, Sebastian; STIBOREK, Jan. Detecting Lateral Movement Through Behavioral Analytics. Computers & Security, v. 87, 2019. Available at: https://doi.org/10.1016/j.cose.2019.101568.

HU, Vincent; KUHN, D. Richard; FERNADEZ, Eduardo. Attribute-Based Access Control. IEEE Computer, v. 48, n. 2, p. 85–88, 2015. Available at: https://doi.org/10.1109/MC.2015.33.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-Driven Computer Network Defense. Leading Issues in Information Warfare, v. 1, 2011. Available at: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-92.

MITRE. MITRE ATT&CK Framework. MITRE Corporation, 2023. Available at: https://attack.mitre.org.

NIST. Digital Identity Guidelines. NIST SP 800-63-3. Gaithersburg: NIST, 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3.

OISF. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://suricata.io/documentation.

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207.

ROTH, Florian; BÜSCH, Thomas. Sigma: Generic Signature Format for SIEM Systems. 2020. Available at: https://github.com/SigmaHQ/sigma.

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-94.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://doi.org/10.1002/9781118809990.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2023. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon.

VERIZON. 2023 Data Breach Investigations Report. Verizon, 2023. Available at: https://www.verizon.com/business/resources/reports/dbir.

WHEELER, David; SALTZER, Jerome. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, 1975. Available at: https://doi.org/10.1109/PROC.1975.9939.

ZHANG, Ning et al. Practical Privilege Escalation Detection in Enterprise Networks. IEEE Security & Privacy, v. 17, n. 5, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2925642.

ZIMMERMANN, Philipp. The Official PGP User’s Guide. Cambridge: MIT Press, 2017. Available at: https://mitpress.mit.edu.