כותרת: ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי

1. מבוא

מחשוב ענן התבסס כפרדיגמה הדומיננטית לתשתית דיגיטלית עכשווית. ארגונים ממגזרים שונים העבירו עומסי עבודה קריטיים לסביבות המבוססות על תשתית כשירות (IaaS), פלטפורמה כשירות (PaaS) ותוכנה כשירות (SaaS). הערכות שוק מצביעות על כך שהיקף שירותי הענן הציבורי העולמיים עבר מאות מיליארדי דולרים בשנה, ומשקף את מרכזיותו של מודל זה עבור הטרנספורמציה הדיגיטלית הארגונית (GARTNER, 2023).

למרות היתרונות של מדרגיות, אלסטיות ואוטומציה, סביבות ענן מציגות מחלקות חדשות של סיכוני אבטחה. משטח התקיפה נעשה דינמי מאוד עקב יצירה והשמדה מתמשכות של משאבים, החשיפה של ממשקי API ניהוליים והשימוש הנרחב בזהויות מאוחדות ובאסימונים זמניים. אירועים מתועדים היטב ממחישים מצב זה. הפשרה של Capital One בשנת 2019 ניצלה פגיעות מסוג Server-Side Request Forgery (SSRF) כדי לגשת לשירות המטא-נתונים של מופעי EC2 ולהשיג אישורי גישה זמניים המשויכים למדיניות IAM מתירנית יתר על המידה (SEN; SHARMA, 2020). באופן דומה, הפגיעות Log4Shell (CVE‑2021‑44228) הדגימה כיצד רכיבים נפוצים עלולים להכניס סיכונים מערכתיים בסביבות קונטיינרים ו-serverless (NIST, 2022).

בסביבות multi-cloud, הבעיה נעשית מורכבת אף יותר. כל ספק חושף מנגנוני בקרה וטלמטריה שונים, כגון AWS CloudTrail, Azure Activity Logs ו-Google Cloud Audit Logs. בנוסף, workloads מודרניים משתמשים בפלטפורמות תזמור כגון Kubernetes, המכניסות שכבות נוספות של יומנים ואירועי אבטחה (BURNS; BEDA; HIGHTOWER, 2019). בארגונים רבים נתונים אלה נאספים על ידי כלי SIEM מסורתיים, אך מנותחים באופן מקוטע, ללא ייצוג מפורש של היחסים בין זהויות, משאבים והרשאות.

פיצול זה מגביל את היכולת לזהות תקיפות המנצלות שרשראות הרשאה המפוזרות בין שירותים. טכניקות הנצפות בשכיחות גבוהה בסביבות ענן, כגון T1078 (Valid Accounts) ו-T1550 (Use of Web Tokens), מערבות לעיתים קרובות מספר שלבי הסלמה ולטרלית שאינם מזוהים כאשר האירועים מנותחים בנפרד (MITRE, 2023).

לאור הקשר זה, עבודה זו בוחנת את שאלות המחקר הבאות:

RQ1: כיצד ניתן לנסח מתמטית את משטח התקיפה של סביבות ענן באופן שיאפשר היסק יעיל של נתיבי הסלמה לטרלית?

RQ2: האם ניתן לאחד טלמטריה הטרוגנית ממספר ספקים למודל אנליטי משותף המכוון לטקטיקות ולטכניקות של MITRE ATT&CK?

RQ3: מהי ההשפעה התפעולית של גישה זו על שיעור הזיהוי ועל הפחתת זמן התגובה הממוצע לאירועים?

שלוש התרומות העיקריות שלנו הן כדלקמן. ראשית, אנו מציעים מודל פורמלי המבוסס על גרפים מכוונים ומשוקללים, המייצג זהויות, משאבים ומדיניות הרשאה בסביבות multi-cloud. שנית, פיתחנו אלגוריתמים של קורלציה אינקרמנטלית המסוגלים לשלב אירועים ממקורות טלמטריה מרובים. שלישית, הערכנו אמפירית את הארכיטקטורה המוצעת בסביבת multi-cloud ריאליסטית הכוללת מאות מופעים וכמה תרחישי תקיפה.

שאר המאמר מאורגן כדלקמן. סעיף 2 מציג יסודות ועבודות קשורות. סעיף 3 מתאר את מודל האיום ואת הפורמליזציה של הבעיה. סעיף 4 מציג את המתודולוגיה המוצעת. סעיף 5 מתאר את מימוש הארכיטקטורה. סעיף 6 מציג הערכה ניסויית. סעיף 7 מתאר מחקר מקרה ריאליסטי. סעיף 8 דן בהשלכות ובמגבלות. לבסוף, סעיף 9 מציג מסקנות.

2. רקע ועבודות קשורות

המכון הלאומי לתקנים ולטכנולוגיה מגדיר מחשוב ענן כמודל המאפשר גישה נוחה על פי דרישה לקבוצת משאבי מחשוב ניתנים להגדרה ומשותפים (MELL; GRANCE, 2011). משאבים אלה כוללים רשתות, שרתים, אחסון ושירותים שניתן להקצותם במהירות במאמץ ניהולי מינימלי.

באופן פורמלי, ניתן לייצג סביבת ענן באמצעות שני קבוצות יסוד:

$R = {r_1, r_2, …, r_n}$ המייצגת משאבי מחשוב ו-
$I = {i_1, i_2, …, i_m}$ המייצגת זהויות.

ניתן למודל את יחסי ההרשאה כך:

$A \subseteq I \times R$

כאשר כל זוג $(i,r)$ מציין כי לישות $i$ יש רמת גישה כלשהי למשאב $r$.

הספרות האקדמית בנושא אבטחת ענן ניתנת לחלוקה לשלוש קטגוריות עיקריות.

ראשית, גישות המבוססות על ניתוח יומנים. עבודות כגון אלה של Almorsy, Grundy ו-Ibrahim מנתחות רשומות בקרה כדי לזהות התנהגויות חריגות בתשתיות ענן (ALMORSY; GRUNDY; IBRAHIM, 2016). שיטות אלה תלויות במידה רבה באיכות הטלמטריה הזמינה.

שנית, גישות המבוססות על ניתוח תצורה. כלים ומחקרים המכוונים לזיהוי misconfigurations בתשתית כקוד נעשו רלוונטיים במיוחד עם אימוץ DevOps ואוטומציה של תשתיות (RAHMAN; WILLIAMS, 2020).

שלישית, גישות המבוססות על מודל גרפים. עבודות עדכניות משתמשות בגרפים כדי לייצג יחסי הרשאה ולזהות נתיבי תקיפה פוטנציאליים בסביבות ענן (LI; YUAN; LI, 2019). עם זאת, מרבית הגישות הללו מתמקדות בספק יחיד או אינן משלבות טלמטריה תפעולית בזמן כמעט-ממשי.

בנוסף, פתרונות מסחריים כגון AWS GuardDuty ו-Microsoft Defender for Cloud משתמשים בטכניקות של ניתוח התנהגותי ולמידת מכונה, אך פועלים כמערכות קנייניות ללא פורמליזציה פתוחה של המודלים האנליטיים שלהן (SCARFONE; SOUPPAYA, 2020).

לכן, נותרו פערים חשובים בספרות, כולל היעדר פורמליזציה מתמטית קפדנית של משטח התקיפה במודל multi-cloud וחוסר בהערכות ניסויית השוואתיות הכוללות מקורות טלמטריה שונים.

3. מודל איום ופורמליזציה של הבעיה

אנו מתייחסים למודל יריב העולה בקנה אחד עם תרחישים שנצפו באירועים ממשיים של אבטחת ענן. לתוקף יש בתחילה גישה לאישור תקף או לאסימון זמני שהושג באמצעות דליפה, פישינג או חשיפה מקרית במאגרים ציבוריים (MELARA et al., 2021).

יכולותיו של היריב כוללות:

• שימוש באישורים תקפים כדי לגשת ל-APIs בענן (T1078).
• ניצול פגיעויות ביישומים כדי לגשת למטא-נתונים של מופעים.
• הסלמה לטרלית באמצעות מדיניות IAM מתירנית יתר על המידה.
• שימוש באסימוני סשן או בשירותי זהות מאוחדת.

אנו ממדלים את המערכת כגרף מכוון:

$G = (V, E)$

כאשר קבוצת הקודקודים היא:

$V = I \cup R$

וקבוצת הקשתות מוגדרת כך:

$E = {(i,r) \mid i \text{ possesses permission over } r}$.

לכל קשת משויך משקל $w(e)$ המייצג את ההסתברות המשוערת לניצול או לשימוש לרעה של יחסי ההרשאה.

אנו מגדירים את פונקציית הסיכון של נתיב $p$ בגרף כך:

$$ Risk(p) = \prod_{e \in p} w(e) $$

כאשר $p$ מייצג רצף של הרשאות המאפשר ליריב להגיע למשאב רגיש.

הבעיה המרכזית היא לזהות נתיבים $p$ כך ש:

$$ Risk(p) > \theta $$

כאשר $\theta$ מייצג סף סיכון המוגדר על ידי מדיניות האבטחה של הארגון.

קריטריונים תפעוליים נוספים כוללים:

• שלמות ואותנטיות של היומנים שנאספו;
• יכולת קורלציה בין מקורות אירועים מרובים;
• זיהוי בפרק זמן קצר מחמש דקות לאחר האירוע הראשוני.

4. המתודולוגיה המוצעת

הארכיטקטורה המוצעת מורכבת מארבע שכבות עיקריות המאפשרות קליטה, נרמול, קורלציה ותגובה לאירועים.

שכבת האיסוף: אחראית על קליטת טלמטריה המגיעה מספקים וחיישנים שונים. כוללת AWS CloudTrail, Azure Monitor, Google Cloud Audit Logs, VPC Flow Logs וחיישני רשת המבוססים על Suricata.

שכבת הנרמול: אירועים מומרים לסכימה משותפת המבוססת על Elastic Common Schema (ECS), ומאפשרת קורלציה בין מקורות שונים.

שכבת הקורלציה: אירועים מנורמלים משמשים לעדכון דינמי של גרף הרשאות המאוחסן ב-Neo4j. כללי זיהוי המבוססים על Sigma משמשים למיפוי אירועים לטכניקות MITRE ATT&CK.

שכבת התגובה: כאשר מזוהה נתיב בעל סיכון גבוה, מופעלים playbooks אוטומטיים באמצעות פלטפורמות SOAR לשם ביטול אישורים, בידוד מופעים או חסימת מפתחות API.

אלגוריתם 1 – בנייה אינקרמנטלית של הגרף

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

המורכבות המאומצת של האלגוריתם היא $O(1)$ לכל אירוע, בהנחה של אינדוקס יעיל במסד הנתונים הגרפי.

אלגוריתם 2 – זיהוי נתיבים בסיכון גבוה

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

המורכבות של כל שאילתה היא $O(|V| + |E|)$.

5. מימוש

הארכיטקטורה מומשה ב-cluster של Kubernetes המריץ גרסה 1.27, הפרוס על פני 12 צמתים עם 64 vCPU ו-256 GB זיכרון כל אחד. הסביבה נפרסה באופן מבוזר בין שלושה ספקי ענן כדי לדמות תרחישי multi-cloud.

ה-stack הטכנולוגי שנעשה בו שימוש מוצג להלן.

רכיב	טכנולוגיה	תפקיד
קליטת אירועים	Apache Kafka	צינור אירועים מבוזר
ניתוח יומנים	Elastic Stack 8.x	אינדוקס וחיפוש
מסד נתונים גרפי	Neo4j 5.x	מידול הרשאות
חיישן רשת	Suricata 7.0	זיהוי IDS/IPS
זיהוי מבוסס כללים	Sigma	נרמול כללים
תזמור	Kubernetes	ניהול workloads

דוגמה לכלל Sigma ששימש לזיהוי שימוש לרעה ב-AssumeRole ב-AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

במהלך הניסויים הצינור עיבד כ-18,000 אירועים בשנייה, עם זמן השהיה ממוצע בקליטה של 1.3 שניות.

6. הערכה ניסויית

ההערכה הניסויית בוצעה בסביבת multi-cloud הכוללת 420 מופעים המחולקים בין AWS, Microsoft Azure ו-Google Cloud Platform. בוצעו 36 תרחישי תקיפה בהשראת טכניקות המתועדות ב-MITRE ATT&CK.

המדדים ששימשו כוללים:

• שיעור זיהוי אמיתי (TPR);
• שיעור חיוביים שגויים (FPR);
• זמן תגובה ממוצע (MTTR);
• עומס חישובי.

מערכת	TPR	FPR	MTTR
SIEM מסורתי	81.2%	7.4%	41.7 דקות
הארכיטקטורה המוצעת	94.7%	3.8%	16.3 דקות

הפחתת ה-MTTR הייתה כ-61%, מה שמעיד כי קורלציה מבוססת גרפים מקלה על זיהוי מהיר של שרשראות תקיפה.

ה-overhead הממוצע ב-CPU שנצפה היה 6.8%, מה שמעיד כי ניתן לפרוס את הארכיטקטורה בסביבות ארגוניות ללא השפעה משמעותית על הביצועים התפעוליים.

7. מחקר מקרה

כדי להעריך את התנהגות הארכיטקטורה בתרחיש ריאליסטי, סימלנו אירוע שכלל חשיפה מקרית של אישורי AWS במאגר ציבורי.

רצף התקיפה היה כדלקמן:

1. צוות ה-red team מזהה מפתח גישה באמצעות כלי סריקה של סודות.
2. התוקף מפעיל את הפקודה aws sts get-caller-identity כדי לאמת את האישור.
3. לאחר מכן הוא משתמש בהרשאות הקיימות כדי להניח role נוספת.
4. המערכת מזהה את רצף האירועים המתאים לטכניקות T1078 ו-T1550.
5. playbook אוטומטי מבטל את האישור שנפגע ומיישם מדיניות חסימה.

הזמן הכולל בין הזיהוי לבלימה היה כ-11 דקות.

8. דיון

התוצאות מצביעות על כך שמידול מבוסס גרפים מציע יתרונות משמעותיים לניתוח אבטחה בסביבות ענן מורכבות. באמצעות ייצוג מפורש של יחסים בין זהויות ומשאבים, ניתן לזהות שרשראות הסלמה שלא היו נראות בניתוחים המבוססים רק על אירועים מבודדים.

עם זאת, יש לשקול מספר מגבלות. ראשית, יעילות המערכת תלויה באיכות ובשלמות הטלמטריה שנאספה. סביבות עם logging חסר עלולות להפחית את יכולת הקורלציה. בנוסף, סביבות גדולות מאוד עלולות ליצור גרפים עם מיליוני קודקודים, ולהגדיל את העלות החישובית של שאילתות.

מגבלה נוספת נוגעת לכך שהתרחישים הניסיוניים, אף שהיו ריאליסטיים, בוצעו בסביבה מבוקרת. נדרשים מחקרים נוספים בסביבות ארגוניות בקנה מידה גדול כדי לאמת את הכללת התוצאות.

9. מסקנה

עבודה זו הציגה ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימה של איומים בסביבות multi-cloud, המבוססת על טלמטריה מאוחדת ומידול אדברסרי. הראינו כי שילוב של מקורות אירועים מרובים עם ייצוג מבוסס גרפים מאפשר לזהות נתיבי הסלמה לטרלית המשויכים לטכניקות של MITRE ATT&CK.

הניסויים הצביעו על שיפורים משמעותיים בהשוואה לגישות SIEM מסורתיות, עם עלייה בשיעור הזיהוי והפחתה ניכרת בזמן התגובה הממוצע. תוצאות אלה מצביעות על כך שמידול פורמלי של משטח התקיפה עשוי לתרום באופן משמעותי להגנה על תשתיות ענן מודרניות.

מחקרים עתידיים יכולים לבחון שימוש בשיטות למידת מכונה כדי לאמוד באופן דינמי את המשקלים $w(e)$ המשויכים ליחסי ההרשאה, וכן טכניקות מתקדמות של ניתוח גרפים לזיהוי דפוסים אדברסריים מורכבים.

References

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration‑based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph‑based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800‑145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE‑2021‑44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state‑of‑the‑art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260