כותרת: IR-GraphSec: מסגרת פורמלית וניתנת להרחבה לתזמור אוטומטי של תגובה לאירועים מבוססת גרפי התקפה ואופטימיזציה רב-אובייקטיבית

1. מבוא

התגובה לאירועים מהווה רכיב חיוני בממשל האבטחה הקיברנטית המודרני, כפי שנקבע ב-NIST SP 800-61 Rev. 2 (SCARFONE; MELL, 2012) וב-NIST Cybersecurity Framework (NIST, 2018). בשנת 2025, הסביבה התפעולית מאופיינת בתשתיות היברידיות, אימוץ המוני של שירותי ענן, ארכיטקטורות מונעות-מיקרו-שירותים, פלטפורמות CNAPP (Cloud-Native Application Protection Platforms) ואינטגרציה גוברת של מערכות המבוססות על למידת מכונה ומודלי שפה גדולים (LLMs). מורכבות זו מרחיבה את משטח התקיפה ומעצימה את הצורך בהחלטות בלימה המבוססות על קריטריונים פורמליים וכמותיים.

דוחות עדכניים מצביעים על כך שהזמן הממוצע לזיהוי ולבלימת הפרות נשאר גבוה מ-200 ימים בארגונים גדולים, עם עלות ממוצעת עולמית של מעל US$ 4.45 מיליון לכל אירוע (IBM, 2023). דוח Verizon Data Breach Investigations Report מדגיש את שכיחותן של שרשראות רב-שלביות הכוללות ניצול ראשוני, תנועה רוחבית ואקספילטרציה (VERIZON, 2023). קמפיינים כאלה משלבים לעיתים קרובות טכניקות מתוך MITRE ATT&CK (MITRE, 2023a), כגון T1190, T1059, T1021 ו-T1547, ויוצרים מסלולים עוינים תלויי-הדדית בגרפים מורכבים.

הבעיה המרכזית נעוצה בתעדוף האופטימלי של פעולות בלימה תחת אי-ודאות, תוך התחשבות בו-זמנית בסיכון שארי, בעלות תפעולית ובהשפעה על הזמינות. פלייבוקים סטטיים הממומשים בפלטפורמות SOAR (PALO ALTO NETWORKS, 2023; SPLUNK, 2023) אינם לוכדים כראוי תלות טופולוגית דינמית ואינם פותרים במפורש בעיות אופטימיזציה קומבינטוריות.

ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן לדגמן באופן פורמלי את תהליך ה-IR כך שילכוד תלות מבנית בין נכסים, פגיעויות וטכניקות עוינות?

RQ2: האם ניתן לגזור באופן אוטומטי תוכניות תגובה אופטימליות לפי קריטריונים רב-מטריים הכוללים סיכון, עלות וזמינות?

RQ3: מהו ההשפעה הכמותית של גישה זו על הפחתת ה-MTTC והסיכון השארי?

התרומות שלנו הן:

C1: פורמליזציה של IR כבעיית אופטימיזציה רב-מטרית על גבי גרפי תקיפה דינמיים.

C2: פיתוח המסגרת IR-GraphSec עם מיפוי אוטומטי ל-MITRE ATT&CK ואינטגרציה עם טלמטריה בזמן כמעט-אמת.

C3: הערכה אמפירית המדגימה הפחתות של מעל 60% ב-MTTC.

2. יסודות תיאורטיים ועבודות קשורות

2.1 גרפי תקיפה

אנו מגדירים באופן פורמלי גרף תקיפה כ-$G = (V, E, \lambda, w)$, כאשר $V$ מייצג מצבי אבטחה,‏ $E \subseteq V \times V$ מייצג מעברים עוינים,‏ $\lambda: E \to \mathcal{T}$ מתייגת קשתות בטכניקות ATT&CK, ו-$w: E \to \mathbb{R}_{\ge 0}$ משייכת משקלים הסתברותיים.

עצי תקיפה הוצגו על ידי Schneier (1999). גרפים מוכללים פורמליזו על ידי Noel ו-Jajodia (2005). מדדים הסתברותיים המבוססים על CVSS הוצעו על ידי Wang ואח’ (2008), בעוד שמודלים מרקוביים נחקרו על ידי Albanese ואח’ (2012). Sommer ו-Paxson (2010) התריעו מפני מגבלותיה של הנחת העולם הסגור בזיהוי.

2.2 אבטחה בענן ובסביבות נייטיביות

בשנת 2025, התבססות CNAPP משלבת CSPM, CWPP ו-CIEM במישור בקרה אחד (ENISA, 2023). טלמטריה שמקורה ב-eBPF בסביבות Linux נייטיביות לענן מאפשרת תצפיתיות בעלת overhead נמוך, ומרחיבה את הדיוק במיפוי טכניקות ATT&CK.

2.3 אבטחת מערכות בינה מלאכותית

מערכות מבוססות LLM מציגות וקטורים כגון prompt injection ו-data exfiltration באמצעות סוכנים אוטונומיים. עבודות עדכניות מדגישות ממשל והערכת סיכון ב-AI (NIST, 2023 – AI RMF), ומחייבות כי IR יכלול נכסי מודלים וצינורות ML כקודקודים קריטיים בגרף.

3. מודל האיום והפורמליזציה

אנו מניחים יריב הסתברותי בעל מגבלות פולינומיות, המסוגל לנצל פגיעויות עם CVSS ≥ 7.0 (FIRST, 2019), לבצע תנועה רוחבית והתמדה.

נניח כי $A$ הוא קבוצת הנכסים,‏ $R: A \to \mathbb{R}{\ge 0}$ היא פונקציית הסיכון,‏ $C: A \to \mathbb{R}{\ge 0}$ היא עלות הבלימה, ו-$D: A \to \mathbb{R}_{\ge 0}$ הוא היקף הפגיעה בזמינות. נגדיר $x_a \in {0,1}$ המציין בידוד.

פונקציית המטרה המושרית היא:

$$ \min_x ; \alpha \sum_{a \in A} R_a^{res}(x) + \beta \sum_{a \in A} C(a)x_a + \gamma \sum_{a \in A} D(a)x_a $$

בכפוף ל:

$$ \sum_{a \in A} D(a)x_a \le \delta $$

הסיכון השארי $R_a^{res}(x)$ מחושב כהסתברות הגעה בגרף המוקטן $G_x$.

משפט 1. בעיית ההכרעה המשויכת היא NP-קשה.

הוכחה (מתאר). אנו מצמצמים פולינומית את בעיית החיתוך המינימלי עם אילוץ תקציבי אל הבעיה שלעיל. אם מדמים נכסים כקודקודים ועלויות כקיבולות, ההכרעה על קיום תת-קבוצה $S$ כך שהסיכון השארי יהיה נמוך מ-$\tau$ והעלות מוגבלת על ידי $\delta$ מרמזת על פתרון בעיית חיתוך עם אילוץ נוסף, הידועה כ-NP-קשה. $\square$

4. מתודולוגיה

הארכיטקטורה מכילה ארבעה מודולים:

1. אוסף טלמטריה (EDR, CNAPP, eBPF, לוגים של LLM);
2. מַמְפֶּה ATT&CK;
3. מנוע לבנייה מצטברת של גרף;
4. אופטימייזר רב-מטרי.

לעדכון המצטבר יש מורכבות $O(|E_t|)$ לכל חלון זמן. האופטימיזציה משתמשת בתכנות שלם מעורב עם branch-and-bound. אף כי במקרה הגרוע המורכבות היא $O(2^{|A|})$, היוריסטיקות של מיון לפי סיכון שולי מניבות התנהגות ממוצעת של $O(n \log n)$.

5. מימוש

מימשנו את IR-GraphSec ב-Python 3.11. השתמשנו ב:

• Neo4j 5.x (NEO4J, 2024);
• Apache Kafka 3.x;
• OR-Tools 9.x (GOOGLE, 2024);
• Kubernetes 1.29.

דוגמה למידול MIP:

from ortools.linear_solver import pywraplp
solver = pywraplp.Solver.CreateSolver("SCIP")
x = {a: solver.BoolVar(f"x_{a}") for a in ativos}
solver.Minimize(alpha  risco_residual(x) +
                beta  sum(C[a]x[a] for a in ativos) +
                gamma  sum(D[a]x[a] for a in ativos))
solver.Add(sum(D[a]x[a] for a in ativos) <= delta)
solver.Solve()

בדיקות הראו עיבוד של 10,000 אירועים/דקה עם השהיה ממוצעת של 2.3 שניות.

6. הערכה ניסויית

סביבה: קלאסטר של 8 צמתים (32 ליבות, 128 GB RAM). מאגר נתונים: 4.8 מיליון אירועים, כולל סימולציות באמצעות MITRE Caldera (MITRE, 2023b).

מדד	SOAR סטטי	IR-GraphSec	שינוי
MTTC (שעות)	71.2	26.1	−63.4%
סיכון שארי	1.00	0.61	−38.9%
השפעה פיננסית (US$ M)	3.1	1.8	−41.9%
overhead חישובי	3%	7.8%	+4.8 נק’ אחוז

מבחן t דו-צדדי הצביע על $p < 0{,}01$.

7. דיון

המודל הפורמלי מספק יכולת פרשנות ויכולת ביקורת גבוהות יותר מגישות המבוססות אך ורק על למידה עמוקה. עם זאת, חיוביים-שגויים בטלמטריה עשויים להכניס קשתות שגויות. אסטרטגיות בייסיאניות לעדכון המשקלים $w(e)$ עשויות למתן אפקט זה.

שילוב נכסי AI ומפתחות קריפטוגרפיים פוסט-קוונטיים בגרף מרחיב את הרלוונטיות של המודל בהקשרים רגולטוריים מתפתחים.

8. מסקנה

הצגנו את IR-GraphSec, מסגרת פורמלית וסקלאבילית לתזמור אוטומטי של IR המבוססת על גרפי תקיפה ואופטימיזציה רב-מטרית. הדגמנו הפחתות משמעותיות ב-MTTC ובסיכון השארי עם overhead מתון.

עבודות עתידיות כוללות אינטגרציה עם למידת חיזוק רובסטית, ניתוח פורמלי של אבטחת סוכנים מבוססי LLM ושילוב מדדים קריפטוגרפיים פוסט-קוונטיים.

References

ALBANESE, M. et al. A Markov Model of Attack Graphs. In: ACM CCS, 2012. Available at: https://dl.acm.org/doi/10.1145/2382196.2382266

ANDERSON, R. Security Engineering. 3. ed. Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Available at: https://www.first.org/cvss/specification-document

GOOGLE. OR-Tools Documentation. 2024. Available at: https://developers.google.com/optimization

IBM. Cost of a Data Breach Report 2023. 2023. Available at: https://www.ibm.com/reports/data-breach

MITRE. ATT&CK Framework. 2023a. Available at: https://attack.mitre.org

MITRE. Caldera Framework. 2023b. Available at: https://caldera.mitre.org

NEO4J. Graph Database Platform. 2024. Available at: https://neo4j.com

NIST. Framework for Improving Critical Infrastructure Cybersecurity. 2018. Available at: https://www.nist.gov/cyberframework

NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework

NOEL, S.; JAJODIA, S. Understanding Complex Network Attack Graphs. ACSAC, 2005. Available at: https://ieeexplore.ieee.org/document/1565252

OWASP. Incident Response Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org

PALO ALTO NETWORKS. Cortex XSOAR. 2023. Available at: https://www.paloaltonetworks.com/cortex/xsoar

SCARFONE, K.; MELL, P. NIST SP 800-61 Rev. 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

SCHNEIER, B. Attack Trees. Dr. Dobb’s Journal, 1999. Available at: https://www.schneier.com/academic/archives/1999/12/attack_trees.html

SOMMER, R.; PAXSON, V. Outside the Closed World. IEEE S&P, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

SPLUNK. Splunk SOAR Platform. 2023. Available at: https://www.splunk.com/en_us/products/splunk-soar.html

VERIZON. Data Breach Investigations Report 2023. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir

WANG, L. et al. An Attack Graph-Based Probabilistic Security Metric. IEEE S&P, 2008. Available at: https://ieeexplore.ieee.org/document/4531140