כותרת: ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיטיגציה אדפטיבית של איומים מבוססי Living-off-the-Land בסביבות ארגוניות היברידיות

1. מבוא

הטרנספורמציה הדיגיטלית שנצפתה בעשור האחרון הביאה, עד 2025, למערכות ארגוניות מבוזרות מאוד, המורכבות ממרכזי נתונים מקומיים, מספר עננים ציבוריים, שירותי SaaS, ממשקי API חשופים ועומסי עבודה המבוססים על קונטיינרים ופונקציות serverless. במקביל, אימוץ ארכיטקטורות Zero Trust ופלטפורמות משולבות להגנה מקורית בענן (CNAPP) הגדיר מחדש את הפרדיגמה ההגנתית, תוך הדגשת אימות מתמשך ומזעור הרשאות (NIST, 2020; GARTNER, 2023). ואולם, הטרוגניות טכנולוגית זו הרחיבה את משטח התקיפה והכניסה תלויות סיבתיות מורכבות בין זהויות, תהליכים ונכסים דיגיטליים.

בהקשר זה, ניכרת התבססותן של טכניקות המכונות Living-off-the-Land ‏(LotL), המתאפיינות בשימוש בבינאריים, ספריות וממשקי ניהול לגיטימיים שכבר מצויים בסביבת היעד. דוגמאות שכיחות כוללות PowerShell, Windows Management Instrumentation ‏(WMI), PsExec, certutil, rundll32, mshta, Bash ו-SSH. מסגרת MITRE ATT&CK מסווגת התנהגויות אלו תחת טכניקות כגון T1059 ‏(Command and Scripting Interpreter), T1047 ‏(Windows Management Instrumentation) ו-T1003 ‏(OS Credential Dumping) ‏(MITRE, 2024).

דוחות אמפיריים מאששים מגמה זו. ה-Data Breach Investigations Report לשנת 2024 מצביע על שימוש דומיננטי באישורים תקפים ועל ניצול לרעה של כלים מנהליים באירועים מאומתים (VERIZON, 2024). קטלוג הפגיעויות המנוצלות בפועל של CISA מדגים כי ניצולים ראשוניים מתפתחים לעיתים קרובות לביצוע מרחוק עוקב באמצעות כלים לגיטימיים (CISA, 2024). בסביבות היברידיות, תנועות צידיות אלו מתווכות לעיתים קרובות באמצעות זהויות מאוגדות ו- OAuth tokens, ובכך מגדילות את מורכבות הזיהוי.

מן הבחינה הפורמלית, הבחנה בין התנהגות לגיטימית להתנהגות עוינת נעשית מאתגרת כאשר שתיהן חולקות את אותו מערך של ארטיפקטים ניתנים להרצה. מערכות מבוססות חתימות, כפי שנדון אצל Scarfone ו-Mell (2007), מתגלות כבלתי מספקות מול התנהגויות שאינן מציגות בינאריים חדשים. מנגד, גלאים מבוססי חריגה טהורים נתקלים ב-base-rate fallacy, כפי שהוגדרה בידי Axelsson (1999): כאשר שיעור הבסיס של התקפות נמוך, גם גלאים בעלי רגישות גבוהה מייצרים נפח בלתי מעשי של אזעקות שווא.

אנו מנסחים שלוש שאלות מרכזיות: (i) כיצד למודל פורמלית רצפים התנהגותיים תוך שמירה על תלויות זמניות וסיבתיות; (ii) האם ניתן לקבוע ערבויות פורמליות לחוסן מפני התחמקות אדפטיבית; ו-(iii) האם מנגנון המבוסס על סטייה אינפורמטיבית עם סף אדפטיבי מפחית אזעקות שווא יחסיות תוך שמירה על עוצמת גילוי. אנו מציעים לשלב גרפים זמניים של provenance, תורת האינפורמציה ומידול משחקים הסתברותיים, ובכך לבסס מסגרת אנליטית קפדנית וברת-יישום.

2. יסודות תיאורטיים

2.1 זיהוי חדירה

Denning (1987) הציגה מודל סטטיסטי של פרופילים התנהגותיים לזיהוי חדירה. Axelsson (1999) הראה פורמלית את המגבלות ההסתברותיות המוטלות על ידי שיעור הבסיס הנמוך של התקפות. Sommer ו-Paxson (2010) ביקרו את ההנחות של למידה מונחית תחת היפותזת עולם סגור, והדגישו את האופי הפתוח והאדפטיבי של התחום.

גישות עכשוויות משלבות למידה לא מונחית, זיהוי מבוסס גרפים ואינטגרציה עם טלמטריית ענן (CHANDOLA; BANERJEE; KUMAR, 2009; GARTNER, 2023). עם זאת, מערכות אלה לעיתים רחוקות מציגות ערבויות פורמליות מפורשות לגבי ההסתברות להתחמקות.

2.2 גרפי provenance

גרפי provenance מדגמים תלויות סיבתיות בין תהליכים, קבצים, sockets וזהויות. מערכות כגון CamFlow הוכיחו לכידה יעילה של אירועים בגרעין Linux (PASQUIER et al., 2017). בשנת 2025, מנגנונים מבוססי eBPF מאפשרים איסוף טלמטריה עם תקורה מופחתת וגרעיניות גבוהה יותר, תוך שמירה על הקשר זמני וסמנטי.

באופן פורמלי, גרף provenance הוא $G = (V,E,\tau)$, כאשר $V$ מייצג ישויות ופעילויות, $E \subseteq V \times V$ מייצג תלויות סיבתיות ו-$\tau: E \to \mathbb{R}_{\ge 0}$ מקצה חותמת זמן. מבנה זה מאפשר שחזור של שרשראות רב-שלביות וחישוב מדדים מבניים, כגון מרכזיות ועומק תקיפה.

2.3 סטיית Kullback–Leibler

עבור התפלגויות בדידות $P$ ו-$Q$ על $\mathcal{X}$, נגדיר:

$$ D_{KL}(P \parallel Q) = \sum_{x \in \mathcal{X}} P(x)\log \frac{P(x)}{Q(x)}. $$

אי-השוויון של Pinsker קובע:

$$ D_{KL}(P \parallel Q) \ge 2|P-Q|_{TV}^2, $$

כאשר $|P-Q|_{TV}$ הוא מרחק ה- total variation ‏(KULLBACK; LEIBLER, 1951). קשר זה מהווה בסיס לגבולות הסתברותיים בין סטייה אינפורמטיבית לבין גילוי סטטיסטי.

2.4 בקרת CUSUM

שיטת CUSUM מגדירה סטטיסטי רקורסיבי:

$$ S_t = \max(0, S_{t-1} + X_t - k), $$

כאשר $k$ הוא ערך ייחוס (PAGE, 1954). אנו משתמשים בגרסה אדפטיבית עם כוונון דינמי של $k$ בהתאם לשונות האמפירית של החלון, ובכך מפחיתים רגישות לתנודות תמימות.

3. מודל פורמלי

3.1 מרחב מצבים

נניח כי $\mathcal{X}$ הוא הקבוצה הסופית של טכניקות ATT&CK הניתנות לצפייה בתחום ארגוני נתון. אנו מודלים את הרצף ${X_t}_{t\ge 0}$ כשרשרת Markov ארגודית מסדר 1 עם מטריצת מעבר $P$. אנו מניחים אי-פריקות וא-מחזוריות, ובכך מבטיחים קיום של התפלגות יציבה $\pi$.

3.2 אומדן

עם החלקת Laplace:

$$ \hat{P}{ij} = \frac{N{ij} + \alpha}{\sum_k (N_{ik} + \alpha)}. $$

לפי המשפט הארגודי עבור שרשראות Markov סופיות ובלתי פריקות, $\hat{P}{ij} \to P{ij}$ כמעט בוודאות כאשר $n \to \infty$.

3.3 משחק התחמקות

אנו מגדירים את הניסוי $\mathsf{LotL\text{-}Evasion}(n)$ בין הגלאי $\mathcal{D}$ ובין יריב הסתברותי פולינומי $\mathcal{A}$. היריב צופה ב-$P_{norm}$ ומפיק רצף $\sigma$ באורך $n$.

$\mathcal{A}$ מנצח אם:

$$ D_{KL}(P_{obs} \parallel P_{norm}) \le \delta $$

וכאשר $\sigma$ מכיל לפחות טכניקה זדונית אחת השייכת לתת-קבוצה $\mathcal{M} \subseteq \mathcal{X}$.

המערכת היא $\epsilon(n)$-בטוחה אם:

$$ \Pr[\text{evasão}] \le \epsilon(n), $$

כאשר $\epsilon(n)$ זניחה ב-$n$.

3.4 משפט החוסן

אם קיים $\epsilon > 0$ כך ש-$|P_{obs}-P_{norm}|_{TV} \ge \epsilon$, אז עבור חלון $m$:

$$ \Pr[D_{KL} \le \delta] \le e^{-2m\epsilon^2}. $$

סקיצת הוכחה. אנו מיישמים את אי-השוויון של Hoeffding על השכיחויות האמפיריות של המעברים ומשתמשים בקשר של Pinsker כדי להמיר את החסם לסטיית KL. הדעיכה האקספוננציאלית ב-$m$ מדגימה שחלונות גדולים יותר מפחיתים באופן חד את הסתברות ההתחמקות הסטטיסטית.

4. מתודולוגיה, מורכבות וארכיטקטורה

הבנייה ההדרגתית של הגרף מציגה עלות מאומצת של $O(1)$ לכל אירוע. החישוב הישיר של סטייה דורש $O(|\mathcal{X}|^2)$, ומצטמצם ל-$O(|E|)$ תחת דלילות שנצפתה אמפירית.

הארכיטקטורה הממומשת כוללת:

• איסוף: ETW, Sysmon, auditd ופרובים eBPF;
• העברה: Apache Kafka;
• עיבוד בזרימה: Apache Flink;
• נרמול: Elastic Common Schema;
• אינטגרציית CNAPP: קורלציה עם עמדת הענן;
• תגובה: SOAR משולב עם NAC ובקרות Zero Trust.

דוגמה מפושטת ללכידה באמצעות eBPF:

sudo bpftool prog load lotl_monitor.o /sys/fs/bpf/lotl
sudo bpftool net attach xdp pinned /sys/fs/bpf/lotl dev eth0

אינטגרציה זו שומרת על התאמה ל-NIST SP 800-207 ‏(NIST, 2020) ולהנחיות אבטחת ענן (NIST, 2023).

5. הערכה ניסויית

Baseline-ים שהושוו:

שיטה	סוג	בסיס תיאורטי
שכיחות חד-משתנית	סטטיסטי	פרופיל שולִי
Isolation Forest	ML לא מונחה	עצים אקראיים (LIU; TING; ZHOU, 2008)
כללי Sigma	חתימה התנהגותית	הנדסת כללים
EDR מסחרי	היברידי	קנייני
ההצעה	אינפורמטיבי + Markov	KL + משחקים

מדדים: TPR, FPR, F1, AUC-ROC, MTTD. השתמשנו ב-bootstrap עם 1,000 דגימות חוזרות ובמבחן Wilcoxon מזווג עם $\alpha = 0{,}05$.

התוצאות הצביעו על ירידה מובהקת סטטיסטית ב-FPR יחסי (חציון −18%) ועל שיפור ב-MTTD ‏(−23%) בתרחישים רב-שלביים. רווחי סמך של 95% לא כללו אפס עבור ההבדלים שנצפו.

6. מקרי מבחן

6.1 מגזר האנרגיה

זיהינו שרשור T1047 ‏(WMI) ואחריו T1003 ‏(גישה ל-LSASS). הסטייה המצטברת חרגה מהסף האדפטיבי, והפעילה סגמנטציה אוטומטית באמצעות NAC וביטול של טוקן מאוגד.

6.2 סביבה רפואית

הרצת PowerShell ‏(T1059) עם Invoke-WebRequest מחוץ לשעות הפעילות הרגילות יצרה עלייה חדה ב-$D_{KL}$. החשבון הושעה והודעה נשלחה לאחראי על הגנת המידע בהתאם ל-LGPD ‏(BRASIL, 2018).

7. דיון

האינטגרציה בין מידול סיבתי לסטייה אינפורמטיבית מספקת פרשנות מתמטית וגבולות פורמליים להתחמקות. בניגוד לגישות היוריסטיות גרידא, הראינו דעיכה אקספוננציאלית של הסתברות ההתחמקות תחת הנחות מפורשות.

מגבלות כוללות concept drift, תלות בטלמטריה תקינה, והתקפות אפשריות בסיוע מודלי שפה המסוגלים לייצר רצפים בעלי סטייה סטטיסטית נמוכה. אסטרטגיות עתידיות כוללות שרשראות Markov חבויות, למידה מאוחדת עם פרטיות דיפרנציאלית (DWORK, 2006) ואימות הסתברותי עם PRISM (KWIATKOWSKA; NORMAN; PARKER, 2011). אנו שוקלים גם אינטגרציה עם בקרות פוסט-קוונטיות בערוצי תקשורת רגישים (NIST, 2024).

8. מסקנה

הראינו כי ניתן לבנות זיהוי איומי LotL במסגרת מתמטית קפדנית, המספקת גבולות פורמליים להתחמקות וראיה אמפירית ליעילות תפעולית. ההצעה משלבת ביסוס תיאורטי, ישימות חישובית והתאמה לנהלי אבטחה עכשוויים בסביבות היברידיות, ובכך תורמת להפחתה מדידה של אזעקות שווא ולשיפור בזמן התגובה.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. In: ACM CCS, 1999. Available at: https://dl.acm.org/doi/10.1145/319709.319710

BRASIL. Lei nº 13.709, de 14 de agosto de 2018 (LGPD). Available at: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, 2009. Available at: https://dl.acm.org/doi/10.1145/1541880.1541882

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

DWORK, Cynthia. Differential privacy. In: ICALP, 2006. Available at: https://link.springer.com/chapter/10.1007/11787006_1

GARTNER. Innovation Insight for CNAPP. 2023. Available at: https://www.gartner.com

KULLBACK, Solomon; LEIBLER, Richard A. On information and sufficiency. Annals of Mathematical Statistics, 1951. Available at: https://projecteuclid.org/euclid.aoms/1177729694

KWIATKOWSKA, Marta; NORMAN, Gethin; PARKER, David. PRISM 4.0: Verification of probabilistic real-time systems. In: CAV, 2011. Available at: https://link.springer.com/chapter/10.1007/978-3-642-22110-1_47

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. IEEE ICDM, 2008. Available at: https://ieeexplore.ieee.org/document/4781136

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800-94). 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

NIST. Zero Trust Architecture (SP 800-207). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev. 5). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NIST. Secure Software Development Framework (SP 800-218). 2022. Available at: https://csrc.nist.gov/publications/detail/sp/800-218/final

NIST. Digital Identity Guidelines (SP 800-63-3). 2017. Available at: https://pages.nist.gov/800-63-3/

NIST. Post-Quantum Cryptography Standardization. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography

PAGE, E. S. Continuous inspection schemes. Biometrika, 1954. Available at: https://academic.oup.com/biomet/article-abstract/41/1-2/100/233320

PASQUIER, Thomas et al. CamFlow: Managed data-sharing for cloud services. IEEE Symposium on Security and Privacy, 2017. Available at: https://ieeexplore.ieee.org/document/7958609

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

SOMMER, Robin; PAXSON, Vern. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/