כותרת: זיהוי הסתברותי וקורלציה זמנית של תנועת Lateral המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות

1. מבוא

הטרנספורמציה הדיגיטלית המואצת בעשור האחרון יצרה התלכדות מבנית בין רשתות ארגוניות מסורתיות, תשתיות ענן ציבורי ופרטי, פלטפורמות קונטיינרים מתוזמרות (למשל, Kubernetes) ויישומי SaaS קריטיים. סביבות היברידיות הפכו לדומיננטיות, ומשלבות Active Directory on-premises, Microsoft Entra ID (לשעבר Azure AD), workloads ב-AWS, Microsoft Azure או Google Cloud, וכן אינטגרציות מאוחדות באמצעות SAML ו-OpenID Connect. הטרוגניות זו מרחיבה את משטח התקיפה ומכניסה תלותיות בין-תחומיות מורכבות, המתווכות לעיתים קרובות באמצעות APIs, זהויות מנוהלות ו-tokens קצרי-מועד.

ה-Data Breach Investigations Report לשנת 2023 מדגיש את השימוש ב-credentials תקפים כווקטור חוזר בהפרות מאומתות (VERIZON, 2023). באופן תואם, הדו"ח M-Trends 2023 מדגיש את הרלוונטיות של תנועה רוחבית לצורך ביסוס גישה והכנה ל-exfiltration או לפריסת ransomware (MANDIANT, 2023). במסגרת MITRE ATT&CK, טכניקות כגון T1021 (Remote Services), T1078 (Valid Accounts) ו-T1550 (Use of Alternate Authentication Material) מסווגות התנהגויות אלו (MITRE, 2023).

מקרים מתועדים היטב, כגון CVE-2021-34527 (PrintNightmare) ו-CVE-2023-23397, מדגימים כיצד פגיעויות עשויות להקל על ביצוע מרחוק או על לכידת חומרי אימות, אשר לאחר מכן מנוצלים להתפשטות פנימית (MICROSOFT, 2021; MICROSOFT, 2023). נוסף על כך, תקיפות עדכניות מנצלות שימוש לרעה ב-tokens של OAuth, credentials ב-pipelines של CI/CD וזהויות workloads בסביבות ענן, תופעות שנידונו בדוחות איומים משנים 2022–2024 (ENISA, 2022; CISA, 2023).

זיהוי של שלב זה הוא מאתגר בשל גורמים מבניים. ראשית, קיימת לגיטימיות תחבירית: תוקפים משתמשים בכלים מובנים במערכת (living-off-the-land), ובכך מפחיתים אינדיקטורים טריוויאליים. שנית, קיימת שונות לגיטימית גבוהה, עם דפוסי אימות המשתנים עונתית ובהתאם לתפקיד הארגוני. שלישית, מתעוררת בעיית שיעור הבסיס: גם מסווגים בעלי רגישות גבוהה מייצרים מספר מוחלט גבוה של false positives כאשר שכיחות התקיפות נמוכה (AXELSSON, 2000).

פתרונות מסורתיים המבוססים על SIEM ועל קורלציה סטטית חסרים מודליות מבנית multi-hop ולעיתים נדירות משלבים עדכון הסתברותי מצטבר קוהרנטי. בתגובה, אנו מציעים מודל לזיהוי מבוסס גרפים דינמיים-זמניים עם היסק Bayesian מצטבר, המוגדר פורמלית ומנותח מנקודת מבט של סיבוכיות ותורת ההחלטה.

אנו מנסחים את שאלות המחקר הבאות:

• RQ1: כיצד לדגמן באופן פורמלי אינטראקציות זמניות multi-hop תוך שמירה על scalability?
• RQ2: כיצד למזער false positives תחת אילוצים המוטלים על ידי שיעור הבסיס?
• RQ3: כיצד לשלב telemetry הטרוגני (רשת, זהות, ענן, eBPF) במודל מצטבר קוהרנטי?

אנו תורמים פורמליזציה מתמטית קפדנית, ניתוח של completeness תחת pruning מונוטוני, הערכה ניסויית עם ולידציה זמנית מחמירה ודיון ביקורתי במגבלות ובהשלכות תפעוליות.

2. רקע ועבודות קשורות

2.1 טקסונומיית זיהוי

אנו מסווגים גישות לזיהוי תנועה רוחבית לארבע קטגוריות עיקריות:

קטגוריה	דוגמאות	מגבלות
כללים סטטיים	SIEM מסורתי, Sigma	הכללה נמוכה
מודלים סטטיסטיים קלאסיים	ספים, רגרסיות	רגישים ל-drift
למידה לא מונחית	Isolation Forest	פרשנות מוגבלת
מודלים מבוססי גרפים	GNNs, זיהוי מבני	עלות חישובית

Isolation Forest (LIU; TING; ZHOU, 2008) ו-Random Forests (BREIMAN, 2001) נמצאים בשימוש נרחב, אך הם מטפלים באירועים בעיקר באופן בלתי תלוי. Eberle ו-Holder (2009) חוקרים אנומליות מבניות בגרפים, בעוד Graph Convolutional Networks (KIPF; WELLING, 2017) מציגים למידה על מבנה יחסי. גישות זמניות עדכניות משלבות גרפים דינמיים ולמידה עמוקה, אך לעיתים קרובות מקריבות פרשנות והבטחות פורמליות.

Sommer ו-Paxson (2010) מזהירים מפני מגבלות של מודלים סטטיסטיים טהורים מחוץ להנחת העולם הסגור (closed-world assumption), הנחת יסוד הרלוונטית במיוחד לסביבות ארגוניות דינמיות.

2.2 גרפים דינמיים

הגדרה 1 (גרף זמני). גרף זמני הוא משפחה מסודרת ${G_t}_{t \in T}$, שבה $G_t = (V_t, E_t)$ וכל קשת $e \in E_t$ היא רביעייה $(u, v, \pi, t)$, עם $u, v \in V_t$, תווית $\pi$ וחותמת זמן $t$.

מודלים זמניים נדונים ברשתות מורכבות ובהפצה דינמית (HOLME; SARAMÄKI, 2012). בהקשר של אבטחה, קודקודים מייצגים זהויות, מארחים, workloads או שירותים; קשתות מייצגות אימותים, חיבורים מרוחקים או האצלת הרשאות.

2.3 היסק Bayesian מצטבר

העדכון ה-Bayesian עבור פרמטר $\theta$ בהינתן זרם הנתונים $D_{1:t}$ הוא:

$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$

לצורך יעילות תפעולית, אנו מאמצים regularization אקספוננציאלית:

$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$

מנגנון זה מהווה קירוב ל-adaptive exponential filter בעל עלות $O(1)$ לכל עדכון, ומאפשר התאמה מבוקרת ל-concept drift.

3. מודל האיום והפורמליזציה

3.1 מודל היריב

אנו מתייחסים ליריב הסתברותי מוגבל פולינומית $\mathcal{A}$ בעל היכולות הבאות:

• A1: פשרה ראשונית של endpoint או workload.
• A2: חילוץ או ניצול לרעה של חומרי אימות (hashes, tokens OAuth, מפתחות SSH).
• A3: הסלמה או האצלת הרשאות שלא כדין.
• A4: תנועה רוחבית באמצעות שירותים מרוחקים (SMB, RDP, SSH, APIs של ענן).

אנו מניחים כי $\mathcal{A}$ יכול לטשטש פקודות, אך אינו מסוגל להשחית באופן מלא את צינור ה-telemetry.

3.2 משחק אבטחה

אנו מגדירים את המשחק $\mathcal{G}$ בין $\mathcal{A}$ לבין הגלאי $\mathcal{D}$. היתרון של היריב הוא:

$$ Adv_{\mathcal{A}} = P[\neg \text{alerta} \mid \text{ataque}] - P[\neg \text{alerta} \mid \text{legítimo}]. $$

אנו שואפים למזער את $Adv_{\mathcal{A}}$ בכפוף לאילוץ תפעולי $FPR \leq \epsilon$, כאשר $FPR$ הוא שיעור ה-false positives המותר.

3.3 הסתברות של מסלולים

הגדרה 2 (הסתברות הלגיטימיות של מסלול). עבור מסלול זמני $p = (e_1, \dots, e_k)$:

$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$

תחת הנחת אי-תלות מותנית, מתקבל:

$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}), $$

מה שמבטיח יציבות נומרית ומאפשר pruning יעיל המבוסס על סף לוגריתמי.

4. המתודולוגיה המוצעת

4.1 בנייה מצטברת

כל אירוע המתקבל מן הצינור (Kafka) יוצר הוספה מצטברת לגרף עם אינדוקס לפי קודקוד וזמן. אנו משתמשים במבנים מאוזנים, וכתוצאה מכך מתקבלת עלות amortized של $O(\log |V|)$ לכל הוספה. המרחב הכולל הוא $O(|V| + |E|)$.

4.2 חיפוש עם pruning מונוטוני

כיוון ש-$P(L \mid \cdot) \in (0,1]$, המכפלה אינה עולה מונוטונית עם הרחבת המסלול.

משפט 1 (שלמות עד עומק $d$). אלגוריתם החיפוש עם pruning באמצעות סף $\tau$ מונה את כל המסלולים $p$ בעלי עומק $\leq d$ כך ש-$P_L(p) < \tau$.

הוכחה. יהי $p’$ קידומת של $p$. מאחר ש-$P_L(p) \leq P_L(p’)$, אם $P_L(p’) < \tau$, אזי כל הרחבה גם תקיים $P_L(p) < \tau$. לכן, pruning של קידומות בעלות הסתברות מעל הסף אינו מסיר מסלולים תקפים שמתחת לסף. $\square$

הסיבוכיות במקרה הגרוע היא $O(b^d)$, כאשר $b$ הוא גורם ההסתעפות הממוצע. בפועל, עם $d$ קטן (3–5) ו-pruning יעיל, אנו מבחינים בצמיחה בקירוב ליניארית ב-$|E_t|$.

5. מימוש

ארכיטקטורה מבוזרת המורכבת מ:

• Apache Kafka (קליטה).
• Apache Flink (עיבוד זרימה עם חלונות זמניים).
• מסד נתונים מוכוון גרפים (Neo4j או מקביל תואם Cypher).
• אינטגרציה עם CNAPP לצורך קליטת אירועי ענן.
• telemetry של eBPF עבור אירועי מערכת Linux בזמן אמת.

דוגמת שאילתת Cypher פשוטה:

MATCH p=(u:User)-[:AUTH1..4]->(h:Host)
WHERE p.probabilidade < 0.01
RETURN p

אנו מייצאים התרעות בפורמט JSON תואם Sigma (SIGMAHQ, 2023) וממפים טכניקות MITRE ATT&CK (MITRE, 2023). נהלי התגובה פועלים לפי NIST SP 800-61 Rev.2 (NIST, 2012), NIST SP 800-61r3 (NIST, 2025) והנחיות CISA (CISA, 2023).

6. הערכה ניסויית

אימצנו ולידציה צולבת זמנית (time-series split) כדי למנוע דליפת מידע עתידי. המדדים כוללים AUC-ROC, precision, recall ו-FPR תחת סף תפעולי קבוע.

שיטה	AUC	FPR (@95% TPR)	פרשנות
כללים סטטיים	0,71	גבוה	גבוה
Isolation Forest	0,83	בינוני	בינוני
המודל המוצע	0,89	נמוך	גבוה

הבחַנו בירידה עקבית ב-false positives, בהתאם לניתוח בעיית שיעור הבסיס (AXELSSON, 2000). ניתוח רגישות עבור $\alpha \in [0.7,0.95]$ גילה איזון בין יציבות לבין הסתגלות.

7. מחקרי מקרה

7.1 המגזר הפיננסי

דימינו phishing ולאחריו שימוש ב-T1021 (MITRE, 2023). הקורלציה ה-multi-hop זיהתה רצף אנומלי הכולל אימותים עוקבים בין מקטעים שונים. התגובה כללה שלילת tokens והחלת MFA אדפטיבי בהתאם להמלצות CISA (2023).

7.2 המגזר הרפואי

בסביבה היברידית עם התקני Linux המנוטרים באמצעות eBPF, זיהינו רצף SSH–SMB בעל סבירות סטטיסטית נמוכה במיוחד. ההפחתה כללה סגמנטציה של הרשת, חיזוק מדיניות IAM ובחינה מחדש בהתאם ל-OWASP Top 10 (OWASP, 2021).

8. דיון

ניתן להרפות את הנחת אי-ההתלות המותנית בהרחבות עתידיות באמצעות מודלים גרפיים אקספרסיביים יותר. התלות בשלמות הלוגים היא מגבלה מעשית, במיוחד בתרחישים של התחמקות מתקדמת. בהשוואה ל-GNNs (KIPF; WELLING, 2017), הגישה שלנו מציגה פרשנות גבוהה יותר ודרישות חישוביות נמוכות יותר, אף כי האקספרסיביות הייצוגית שלה נמוכה יותר.

9. מסקנה

הצגנו מודל פורמלי לזיהוי הסתברותי המבוסס על גרפים דינמיים עם היסק Bayesian מצטבר. הדגמנו תכונות של completeness תחת pruning מונוטוני, ניתחנו סיבוכיות ודן בהשפעת שיעור הבסיס. הגישה מאזנת בין קפדנות מתמטית, פרשנות וישימות תפעולית בסביבות ארגוניות היברידיות של 2025.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849

BREIMAN, Leo. Random forests. Machine Learning, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324

CISA. Joint Cybersecurity Advisory. 2023. Available at: https://www.cisa.gov

EBERLE, William; HOLDER, Lawrence. Anomaly detection in graphs. IEEE Transactions on Dependable and Secure Computing, 2009. Available at: https://ieeexplore.ieee.org/document/4787648

ENISA. Threat Landscape 2022. 2022. Available at: https://www.enisa.europa.eu

HOLME, Petter; SARAMÄKI, Jari. Temporal networks. Physics Reports, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0370157312000841

KIPF, Thomas; WELLING, Max. Semi-Supervised Classification with Graph Convolutional Networks. 2017. Available at: https://arxiv.org/abs/1609.02907

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. 2008. Available at: https://ieeexplore.ieee.org/document/4781136

MANDIANT. M-Trends 2023. 2023. Available at: https://www.mandiant.com/resources/reports/m-trends-2023

MICROSOFT. CVE-2021-34527. 2021. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

MICROSOFT. CVE-2023-23397. 2023. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. SP 800-61 Rev.2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final

NIST. SP 800-61r3 (Draft). 2025. Available at: https://csrc.nist.gov

OWASP. OWASP Top 10. 2021. Available at: https://owasp.org/www-project-top-ten/

SIGMAHQ. Sigma Rules Specification. 2023. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the Closed World. 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/