כותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK

כותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK תקציר: ההתרחבות המואצת של סביבות דיגיטליות ארגוניות, המונעת על ידי אימוץ של מחשוב ענן, ארכיטקטורות היברידיות, מיקרו-שירותים ואינטגרציות באמצעות APIs, שינתה לעומק את נוף אבטחת המידע. משטח התקיפה העכשווי הפך למבוזר מאוד ודינמי, דבר המקשה על זיהוי מוקדם של חדירות באמצעות מנגנונים מסורתיים המבוססים אך ורק על חתימות. התקפות מודרניות נוטות לעקוב אחר שרשראות מורכבות של טקטיקות, טכניקות ונהלים (TTPs), שלעיתים מפוזרות על פני שכבות מרובות של תשתית, כולל endpoints, רשתות, זהויות ושירותי ענן. בהקשר זה, גישות זיהוי מבודדות — כגון SIEMs המבוססים על כללים סטטיים או פתרונות EDR ללא קורלציה קונטקסטואלית — מציגות

מבוא

משטח התקיפה הארגוני התרחב באופן אקספוננציאלי בעשור האחרון בשל אימוץ המוני של מחשוב ענן, ארכיטקטורות היברידיות, עבודה מרחוק, פלטפורמות SaaS ואינטגרציות נרחבות באמצעות APIs. הטרנספורמציה הדיגיטלית הזו הרחיבה באופן משמעותי את המורכבות התפעולית של סביבות ה-IT, ובהתאם לכך גם את האתגרים הקשורים לזיהוי איומים.

דוחות עדכניים מצביעים על כך שהגורם האנושי ממשיך להיות אחד הווקטורים המרכזיים לפגיעה. דוח Data Breach Investigations Report לשנת 2024 מצביע על כך שכ-68% מהפרות האבטחה מערבות סוג כלשהו של אינטראקציה אנושית, לעיתים קרובות בהקשר של שימוש לרעה או פגיעה בנתוני גישה תקפים (VERIZON, 2024). תרחיש זה מדגים שתוקפים מנצלים לעיתים קרובות זהויות לגיטימיות כדי לנוע לרוחב בתוך רשתות ארגוניות.

תקיפות עכשוויות כמעט ואינן מוגבלות לטכניקה אחת. במקום זאת, הן עוקבות אחר רצפים מובנים של TTPs (Tactics, Techniques and Procedures) המשקפים את ההתקדמות התפעולית של היריב בתוך הסביבה שנפגעה. מסגרת MITRE ATT&CK התבססה כאחת הטקסונומיות המרכזיות למידול פעילויות יריב אלה, ומציעה בסיס מובנה לניתוח התנהגותי ולביצוע קורלציה בין אירועים (MITRE, 2023).

אירועים מתועדים היטב ממחישים התפתחות זו. הפגיעה בשרשרת האספקה של SolarWinds הדגימה כיצד תוקפים יכולים להחדיר קוד זדוני לתהליכי הפצה לגיטימיים של תוכנה, ולאחר מכן לבצע תנועה רוחבית סמויה ושימוש לרעה ב-tokens של אימות מאוחד. באופן דומה, הפגיעות Log4Shell (CVE-2021-44228) הראתה כיצד ניתן לנצל כשל בביצוע קוד מרחוק כדי לפרוס מטענים נוספים, כגון web shells, כורי קריפטו או מסגרות post-exploitation.

בשני המקרים, מנגנוני זיהוי מסורתיים המבוססים אך ורק על חתימות הוכחו כבלתי מספקים לזיהוי שלבי החדירה הראשוניים. מערכות SIEM נשענות לעיתים קרובות על כללים סטטיים — כגון Sigma rules המומרות לשפות שאילתה ספציפיות — שעשויים ליצור נפח גבוה של false positives או להיכשל בזיהוי תקיפות מתוחכמות.

בנוסף, פתרונות Endpoint Detection and Response (EDR) פועלים לעיתים קרובות באופן מבודד, ללא קורלציה ישירה עם אירועי רשת, אימות או תשתיות ענן. פיצול זה מצמצם את היכולת האנליטית של צוותי Security Operations Center (SOC).

לאור הקשר זה, ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן למודל באופן פורמלי את הקורלציה בין אירועי אבטחה הטרוגניים כך שתייצג התקדמויות תקיפה מציאותיות?

RQ2: מהו ההשפעה הכמותית של שילוב טלמטריה רב-שכבתית על הפחתת זמן הגילוי הממוצע (MTTD) ועל שיעור ה-false positives?

RQ3: האם ניתן לשמור על סקלביליות תפעולית בסביבות בעלות נפח נתונים גדול מבלי לפגוע בביצועים האנליטיים?

התרומות העיקריות של עבודה זו הן:

C1: אנו מציעים מודל מתמטי המבוסס על גרפים מכוונים משוקללים לייצוג שרשראות תקיפה המונחות על-ידי MITRE ATT&CK.

C2: פיתחנו אלגוריתמים לאגירה זמנית ולחישוב סיכון מצטבר לצורך קורלציה של אירועים מבוזרים.

C3: מימשנו ארכיטקטורה פונקציונלית המבוססת על כלים הנפוצים בתעשייה והערכנו באופן אמפירי את ביצועיה בתרחישי חדירה ריאליסטיים.

יתר המאמר מאורגן באופן הבא: סעיף 2 מציג יסודות תאורטיים ועבודות קשורות; סעיף 3 מתאר את מודל האיום ואת ניסוח הבעיה; סעיף 4 מפרט את המתודולוגיה המוצעת; סעיף 5 דן במימוש הארכיטקטורה; סעיף 6 מציג את ההערכה הניסויית; סעיף 7 מתאר מחקר מקרה; סעיף 8 דן בהשלכות ובמגבלות; סעיף 9 מסכם את העבודה.

רקע ועבודות קשורות

ניתן למודל באופן פורמלי זיהוי חדירות כבעיית סיווג על פני קבוצת אירועים נצפים ממספר מקורות טלמטריה. נבחן קבוצת אירועים:

$E = {e_1, e_2, …, e_n}$

כאשר כל אירוע $e_i$ מתואר על-ידי וקטור מאפיינים:

$(a_1, a_2, …, a_k)$

מודלי זיהוי מסורתיים מיישמים פונקציית סיווג:

$f: E \rightarrow {0,1}$

בה $0$ מייצג התנהגות תקינה ו-$1$ מייצג פעילות זדונית.

מערכות מבוססות חתימות

מערכות זיהוי המבוססות על חתימות תלויות בזיהוי דפוסים ידועים מראש בתעבורה או בלוגים. אחת הדוגמאות הידועות ביותר היא Snort, שהוצגה על-ידי Roesch (1999), המשתמשת בכללים מובנים לזיהוי תעבורה זדונית ברשתות.

למרות יעילותן מול איומים מוכרים, מערכות מסוג זה מציגות מגבלות משמעותיות מול תקיפות פולימורפיות או טכניקות התחמקות.

זיהוי מבוסס אנומליות

גישות מבוססות אנומליות מבקשות לזהות סטיות ביחס לדפוסי התנהגות תקינים. טכניקות אלה עשויות להשתמש בשיטות סטטיסטיות, בלמידת מכונה או ברשתות עצביות עמוקות.

Sommer ו-Paxson (2010) מדגישים, עם זאת, שמערכות המבוססות באופן טהור על אנומליות מציגות לעיתים קרובות שיעורי false positives גבוהים בסביבות תפעוליות מורכבות, במיוחד כאשר קיימת שונות לגיטימית גבוהה בהתנהגות.

מודל תקיפה מבוסס גרפים

גרפי תקיפה מייצגים מסלולי ניצול אפשריים שיריב יכול לעקוב אחריהם בתוך סביבה שנפגעה. מבנים אלה מאפשרים למודל תלות בין פגיעויות, הרשאות ומשאבים.

מחקרים עדכניים מראים שגרפי תקיפה יכולים לשפר באופן משמעותי את ניתוח ההתקדמות של היריב, במיוחד כאשר הם משולבים עם מסגרות התנהגותיות כגון MITRE ATT&CK (ZHANG et al., 2021).

טלמטריה רב-שכבתית

כלי תצפיתיות אבטחה מודרניים מספקים נראות גרנולרית בשכבות שונות של המערכת:

Sysmon מתעד אירועים מפורטים של מערכת ההפעלה Windows (RUSSINOVICH; IONESCU, 2023)
Suricata פועלת כ-IDS/IPS בעל ביצועים גבוהים לבדיקת תעבורת רשת (OISF, 2023)
Zeek מספקת ניתוח התנהגותי של פרוטוקולי רשת (PAXSON, 1999)

למרות זמינותם של מקורות נתונים אלה, ארגונים רבים עדיין חסרים מנגנונים יעילים לקורלציה בין אירועים משכבות תשתית שונות.

אבטחה בסביבות ענן-נייטיב

עם האימוץ ההמוני של ארכיטקטורות cloud-native, צמחו קטגוריות חדשות של פלטפורמות אבטחה, כולל Cloud-Native Application Protection Platforms (CNAPP). פלטפורמות אלה משלבות יכולות שהיו מסורתית מופרדות, כגון:

Cloud Security Posture Management (CSPM)
Cloud Workload Protection Platforms (CWPP)
Container Security
Infrastructure-as-Code scanning

ההתכנסות של טכנולוגיות אלה מרחיבה את הנראות על workloads מבוזרים, אך גם יוצרת נפחי טלמטריה עצומים שיש לבצע להם קורלציה באופן יעיל.

תצפיתיות באמצעות eBPF

לאחרונה, השימוש ב-extended Berkeley Packet Filter (eBPF) הפך לגישה מבטיחה לאיסוף טלמטריה עם overhead נמוך בסביבות Linux. תוכניות eBPF יכולות לפעול ב-kernel כדי ללכוד אירועים כגון:

יצירת תהליכים
קריאות מערכת
חיבורי רשת
מניפולציה בקבצים

יכולת זו מאפשרת לצפות בהתנהגויות זדוניות בגרנולריות גבוהה משמעותית.

איומים מתהווים הקשורים ל-AI

הופעתם של מודלי שפה גדולים (LLMs) יצרה גם משטחי תקיפה חדשים. בין הווקטורים המתהווים בולטים:

prompt injection
data poisoning ב-pipelines של אימון
exfiltration של נתונים רגישים באמצעות שאילתות אדברסריות

איומים אלה מחזקים את הצורך במנגנוני זיהוי התנהגותיים מתקדמים החורגים ממודלים מסורתיים המבוססים רק על חתימות.

מודל האיום וניסוח הבעיה

אנו מניחים יריב בעל היכולות הבאות:

ניצול ראשוני באמצעות פגיעויות מרוחקות
ביצוע קוד שרירותי במערכות שנפגעו
הסלמת הרשאות מקומית
תנועה רוחבית בין hosts
exfiltration של נתונים באמצעות ערוצים מוצפנים

אנו ממדלים את הסביבה הנצפית כגרף מכוון:

$G = (V, E)$

כאשר:

$V$ מייצג טכניקות של מסגרת MITRE ATT&CK
$E$ מייצג מעברים אפשריים בין טכניקות שנצפו

לכל טכניקה משקל משויך $w_i$ המייצג את ההשפעה הפוטנציאלית שלה בתוך שרשרת התקיפה.

אנו מגדירים את פונקציית הסיכון המצטבר:

$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$

כאשר:

$w_i$ מייצג את המשקל המשויך לטכניקה שזוהתה
$\delta(e_i, t)$ היא פונקציית אינדיקטור שערכה 1 כאשר האירוע $e_i$ מתרחש בתוך חלון הזמן הנבחן.

התראה נוצרת כאשר:

$$ R(t) \geq \theta $$

כאשר $\theta$ מייצג סף סיכון הניתן להגדרה.

3.1 ניתוח מורחב של מודל האיום

המודל המסורתי שהוצג לעיל מתייחס רק לרצפים ליניאריים של טכניקות ATT&CK. אולם, סביבות ארגוניות מודרניות מחייבות ייצוג רחב יותר הכולל:

מסלולי ניצול מרובים
תלות מותנית בין טכניקות
משטחי תקיפה היברידיים (endpoint, רשת וענן)

ניתן לייצג את ההתקדמות של היריב כעץ תקיפה.

graph TD

A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]

B --> D[Credential Harvesting]
C --> D

D --> E[Privilege Escalation]

E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]

G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]

במודל זה, וקטורי גישה ראשוניים שונים יכולים להתכנס אל קבוצה משותפת של פעולות פוסט-ניצול.

מטריצת סיכון

ניתן למודל את הערכת הסיכון תוך התחשבות בשתי ממדים עיקריים:

הסתברות להתרחשות
השפעה תפעולית

טבלה 3 מציגה מטריצה מפושטת.

טכניקת ATT&CK	הסתברות	השפעה	ציון
Phishing	גבוהה	בינונית	0.72
Credential Dumping	בינונית	גבוהה	0.81
Lateral Movement	בינונית	גבוהה	0.79
Data Exfiltration	נמוכה	קריטית	0.84

ניתן להגדיר פורמלית את הסיכון כ:

$$ Risk = P(e) \times Impact(e) $$

כאשר:

$P(e)$ מייצג את ההסתברות המשוערת להתרחשות האירוע
$Impact(e)$ מייצג את ההשפעה התפעולית המשוערת.

מודל הסתברותי של שרשראות תקיפה

נבחן שרשרת טכניקות $T = {t_1, t_2, …, t_n}$.

ההסתברות המשותפת לפגיעה ניתנת לקירוב על-ידי:

$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$

ניסוח זה מאפשר לאמוד את הסתברות ההתקדמות של תקיפה לאורך הגרף.

המתודולוגיה המוצעת

הארכיטקטורה המוצעת עוקבת אחר מודל pipeline מבוזר המורכב מארבע שכבות עיקריות:

איסוף טלמטריה
נירמול והעשרה
קורלציה התנהגותית
ויזואליזציה וחקירה

שכבת האיסוף

איסוף האירועים מבוצע על-ידי מספר חיישנים מבוזרים:

Sysmon לטלמטריה של תהליכים ומערכת
Suricata לבדיקת תעבורה
Zeek לניתוח פרוטוקולים
לוגים של זהות ואימות

נירמול

האירועים מעובדים באמצעות pipelines של ingestion המבוססים על Logstash ו-Kafka, ומאפשרים:

תקנון שדות
העשרה באמצעות מודיעין איומים
אינדוקס יעיל

אלגוריתם אגירה זמנית

Input: זרם אירועים $S$

Output: קבוצת התראות $A$

עבור כל אירוע $e$ ב-$S$:

מיפוי $e$ לטכניקת ATT&CK המתאימה
עדכון ערך הסיכון $R(t)$
הערכת תנאי ההתראה

אם $R(t) \geq \theta$, יש ליצור התראה ולרשום את שרשרת האירועים המקורללת.

בהינתן אינדוקס זמני יעיל, המורכבות המשוערת של האלגוריתם היא:

$O(n \log n)$

מימוש

המימוש בוצע תוך שימוש בטכנולוגיות המאומצות באופן נרחב בסביבות SOC.

טבלה 1 מציגה את הרכיבים העיקריים בהם נעשה שימוש.

רכיב	גרסה	תפקיד
Elastic Stack	8.11	אינדוקס וניתוח לוגים
Apache Kafka	3.5	הזרמת אירועים
Wazuh	4.6	ניטור endpoints
Sysmon	15	טלמטריית מערכת
Redis	7	מטמון ו-state של קורלציה

דוגמת קונפיגורציה של Sysmon

<ProcessCreate onmatch="include">
  <CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>

פילטר זה מאפשר ללכוד הרצות של PowerShell המקושרות לעיתים קרובות לטכניקות ATT&CK כגון T1059 (Command and Scripting Interpreter).

סקלאביליות

ה-pipeline תוכנן לפעול בסביבות מבוזרות עם ingestion של נפח אירועים גבוה. השימוש ב-Kafka מאפשר מקביליות אופקית בקליטת ועיבוד לוגים.

ניתוח השוואתי

ניתן להבין טוב יותר את יעילותה של הארכיטקטורה המוצעת כאשר משווים אותה לגישות מסורתיות הנהוגות במרכזי תפעול אבטחה.

השוואה ל-SIEM מסורתי

קריטריון	SIEM מסורתי	ארכיטקטורה מוצעת
קורלציה של אירועים	כללים סטטיים	גרפי ATT&CK
סקלאביליות	מוגבלת	גבוהה
זיהוי התנהגותי	חלקי	מתקדם
אינטגרציה עם ענן	מוגבלת	מובנית

השוואה ל-EDR מבודד

מאפיין	EDR	ארכיטקטורה רב-שכבתית
נראות של endpoint	גבוהה	גבוהה
נראות של רשת	נמוכה	גבוהה
קורלציה זמנית	מוגבלת	מתקדמת
הקשר זהות	חלקי	מלא

השוואה לפלטפורמות CNAPP

היבט	CNAPP	ארכיטקטורה מוצעת
אבטחת workloads	כן	כן
טלמטריית endpoint	חלקית	מלאה
זיהוי מבוסס TTP	מוגבל	חזק
אינטגרציה ל-SOC	בינונית	גבוהה

זרימת קורלציה של אירועים

sequenceDiagram

participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM

Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts

Kafka->>CorrelationEngine: Event Stream

CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert

מדדי ביצועים

כדי להעריך את ביצועי הארכיטקטורה המוצעת, בוצעו ניסויים נוספים בסביבות עתירות עומס.

Throughput של ingestion

נפח אירועים/שנייה	Latency ממוצעת	שימוש ב-CPU
10k	120 ms	35%
50k	210 ms	52%
100k	390 ms	73%

יעילות זיהוי לפי קטגוריית תקיפה

סוג תקיפה	שיעור זיהוי
Phishing	95%
Lateral Movement	97%
Credential Dumping	94%
Data Exfiltration	92%

התפלגות סוגי התראות

pie
title Distribuição de Alertas Detectados
"Movimentação lateral" : 35
"Execução remota" : 22
"Exfiltração de dados" : 18
"Escalada de privilégio" : 25

הערכה ניסויית

ההערכה הניסויית בוצעה בסביבה מבוקרת שכללה:

120 מכונות וירטואליות
תשתית היברידית המדמה שירותים ארגוניים
שלושה nodes ייעודיים לצינור האנליזה

מערך הנתונים כלל 18 שרשראות תקיפה מלאות המייצגות וקטורי חדירה שונים.

טבלה 2 מציגה את התוצאות ההשוואתיות.

מדד	Baseline SIEM	ארכיטקטורה מוצעת
שיעור זיהוי	82.3%	96.4%
false positives	14.7%	9.1%
MTTD	4h12	37 min

נצפתה שיפור משמעותי ביכולת לזהות שרשראות תקיפה שלמות, במיוחד בתרחישי תנועה רוחבית.

מחקר מקרה של פריסה

כדי להעריך את הישימות בסביבות ארגוניות אמיתיות, ביצענו מחקר פריסה בתשתית היברידית המדמה ארגון בינוני.

הארכיטקטורה שיושמה כללה:

200 endpoints ארגוניים
cluster Kubernetes עבור יישומים פנימיים
סביבה multi-cloud עם AWS ו-Azure
אינטגרציה עם ספקי זהות

ארכיטקטורת פריסה

graph TD

A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]

B --> E[Kafka Cluster]
D --> E

E --> F[Correlation Engine]

F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]

I[Cloud Logs] --> E

תוצאות תפעוליות

מדד	לפני	אחרי
MTTD	3h40	41 min
MTTR	9h	2h15
התראות לא רלוונטיות	28%	11%

תוצאות אלה מצביעות על שיפור מהותי ביעילות התפעולית של ה-SOC.

נספח — נתונים ניסויים מפורטים

סעיף זה מציג נתונים ניסויים מפורטים שנאספו במהלך הבדיקות.

מערך נתוני אירועים

קטגוריה	אירועים שנאספו
Sysmon	8.2 מיליון
Suricata	3.1 מיליון
Zeek	2.7 מיליון

שרשראות תקיפה מדומות

תקיפה	טכניקות ATT&CK
Ransomware	T1059, T1003, T1021
Supply Chain	T1195, T1078
Data Theft	T1041

מדדי עיבוד מפורטים

שלב	זמן ממוצע
Ingestion	85 ms
Normalization	120 ms
Correlation	190 ms

דיון

התוצאות מצביעות על כך שקורלציה רב-שכבתית מונחית TTPs מספקת שיפורים משמעותיים בנראות התפעולית של סביבות מורכבות.

בין היתרונות העיקריים שנצפו בולטים:

זיהוי מוקדם יותר של שרשראות תקיפה
הפחתת false positives
הקשר עשיר יותר לאנליסטים ב-SOC

עם זאת, כמה מגבלות עדיין רלוונטיות.

סביבות עם רמת הצפנה גבוהה של התעבורה עשויות להפחית את נראות הרשת. בנוסף, הכיול הראשוני של המשקלים המשויכים לטכניקות ATT&CK דורש מומחיות מקצועית.

שיפורים עתידיים עשויים לשלב:

למידת מכונה אדפטיבית
טלמטריה מבוססת eBPF
אינטגרציה עם פלטפורמות CNAPP עבור סביבות ענן
מנגנוני ממשל ואבטחה עבור מערכות מבוססות AI

מסקנה

הצגנו ארכיטקטורה היברידית לזיהוי וציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית מסגרת MITRE ATT&CK. המודל המוצע עושה שימוש בגרפי תקיפה משוקללים ובאגירה זמנית כדי לזהות התקדמויות יריב מורכבות.

התוצאות הניסיוניות מדגימות שיפורים רלוונטיים במדדים תפעוליים קריטיים, כולל שיעור הזיהוי וזמן התגובה הממוצע.

אנו סבורים כי גישות מונחות התנהגות, בשילוב עם טלמטריה מקיפה ומידול פורמלי של תקיפות, מייצגות כיוון מבטיח להתפתחות יכולות ההגנה בסביבות ארגוניות מודרניות.

חקירות עתידיות כוללות אינטגרציה עם טכניקות של למידה מתמשכת, זיהוי בסביבות OT/ICS, אבטחת מערכות מבוססות בינה מלאכותית וניתוח אוטומטי של תקיפות בתשתיות cloud-native.

References

MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Disponível em: https://attack.mitre.org. Accessed on: 13 abr. 2026.

OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Disponível em: https://suricata.io. Accessed on: 13 abr. 2026.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.

RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.

VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 13 abr. 2026.

ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.