כותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ועל מידול יריב

1. מבוא

מחשוב ענן, כפי שהוגדר רשמית על ידי National Institute of Standards and Technology (NIST) במפרט SP 800‑145, מאופיין בחמש תכונות יסוד: שירות עצמי לפי דרישה, גישה רחבה לרשת, איגום משאבים, אלסטיות מהירה ושירות מדוד (MELL; GRANCE, 2011). תכונות אלה מאפשרות מדרגיות ואופטימיזציה של עלויות עבור ארגונים בגדלים שונים. עם זאת, בו בזמן הן מרחיבות את משטח התקיפה ומפזרות את אחריות האבטחה בין ספקים וצרכנים בהתאם למודל האחריות המשותפת.

אימוץ ארכיטקטורות multi‑cloud — שבהן ארגון משתמש בו־זמנית במספר ספקים כגון Amazon Web Services, Microsoft Azure ו‑Google Cloud Platform — הפך לפרקטיקה נפוצה מטעמים אסטרטגיים, רגולטוריים וטכניים. גישה זו מפחיתה תלות בספק יחיד, מאפשרת בחירה בשירותים מתמחים ומקלה על עמידה בדרישות ריבונות נתונים. עם זאת, אסטרטגיה זו מציגה הטרוגניות סמנטית בין שירותים שקולים, הבדלים במודלי הזהות והגישה, ופערים במנגנוני הביקורת והנראות התפעולית.

כמה אירועים ציבוריים ממחישים את הסיכונים הטבועים בתרחיש זה. הפריצה ל‑Capital One בשנת 2019 כללה ניצול פגיעות מסוג SSRF שאפשרה גישה בלתי מורשית ל‑AWS Instance Metadata Service (IMDSv1), וכתוצאה מכך השגת אישורים זמניים המשויכים למופע שנפגע (UNITED STATES DISTRICT COURT, 2020). מתוך אישורים אלה הצליח היריב למנות ולגשת ל‑buckets אחסון המכילים נתונים רגישים. האירוע הדגיש את חשיבות הממשל על זהויות, עקרון ההרשאה המינימלית, והנראות המשולבת על פעילות API.

אירוע נוסף שנחקר בהרחבה היה הפגיעות Log4Shell (CVE‑2021‑44228), שהייתה קיימת בספריית Apache Log4j ונוצלה בקנה מידה עולמי החל מדצמבר 2021 (NVD, 2021). הפגיעות אפשרה ביצוע קוד מרחוק באמצעות פתרון JNDI ביומנים שעברו מניפולציה, והשפיעה על יישומי Java הפועלים בסביבות on‑premises ו‑cloud‑native כאחד. המקרה חשף חולשות בשרשראות supply chain של תוכנה ואת הקושי למפות תלותיות בסביבות מבוזרות מאוד.

דוחות מודיעין איומים שפורסמו על ידי ספקים וארגונים עצמאיים מצביעים על כך שניצול אישורים תקפים הוא אחד הווקטורים הדומיננטיים בתקיפות עכשוויות על סביבות cloud (MENDIOLA et al., 2020; MICROSOFT, 2023). מסגרת MITRE ATT&CK מסדירה טכניקות אלה באמצעות טקסונומיה תפעולית הכוללת, בין היתר, את T1078 (Valid Accounts), T1098 (Account Manipulation) ו‑T1530 (Data from Cloud Storage Object) (MITRE, 2023).

בסביבות multi‑cloud, ההטרוגניות של הטלמטריה מהווה מכשול מרכזי לזיהוי יעיל. יומני שכבת הבקרה כגון AWS CloudTrail, Azure Activity Logs ו‑Google Cloud Audit Logs כוללים סכמות שונות ורמות שונות של פירוט. נוסף על כך, טלמטריית רשת ואירועי runtime של קונטיינרים נותרים לעיתים קרובות מבודדים מיומני שכבת הבקרה, מה שמקשה על קורלציה בין שכבות.

פיצול זה מביא לשתי בעיות תפעוליות חוזרות. ראשית, שרשראות תקיפה החוצות כמה שכבות — זהות, רשת והרצת workload — נעשות קשות לשחזור. שנית, מערכות זיהוי המבוססות על חוקים מבודדים בלבד נוטות לייצר מספר גבוה של התרעות שווא בהיעדר הקשר גלובלי.

לאור תרחיש זה, בחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן להגדיר מתמטית זיהוי איומים בסביבות multi‑cloud באמצעות גרפים זמניים של אירועים הטרוגניים?

RQ2: מהו ההשפעה של איחוד טלמטריה של שכבת הבקרה, הרשת וה‑runtime על זיהוי שרשראות תקיפה המיוצגות במסגרת MITRE ATT&CK?

RQ3: באיזו מידה גישה זו מפחיתה את זמן הזיהוי הממוצע תוך שמירה על שיעורי false positive סבירים תפעולית?

ההשערה המרכזית שלנו היא שמידול פורמלי של שרשראות תקיפה כגרפים זמניים מסומנים, בשילוב איחוד סמנטי של טלמטריה המגיעה ממספר שכבות מערכת, מאפשר רווחי זיהוי מדידים מבלי לפגוע בדיוק התפעולי.

2. רקע ועבודות קשורות

2.1 אבטחה בסביבות Cloud

המחקר בתחום אבטחת מחשוב ענן ניתן לארגון לכמה זרמים. אחת הדאגות הראשונות בספרות הייתה הבידוד בין מכונות וירטואליות בסביבות multi‑tenant. Zhang et al. (2012) הדגימו את היתכנותם של מתקפות side channel בין מכונות וירטואליות co‑resident המסוגלות לחלץ מפתחות הצפנה מסוג RSA.

כיוון מחקר חשוב נוסף עוסק בניתוח ואימות של מדיניות בקרת גישה. מערכות מבוססות מאפיינים (ABAC) וטכניקות של אימות פורמלי נבחנו לצורך זיהוי חוסר עקביות והפרות של עקרון ההרשאה המינימלית בסביבות מורכבות (HU; KUHN; XIE, 2015).

בהקשר הספציפי של זיהוי חדירה בענן, Modi et al. (2013) ערכו סקירה מקיפה של הגישות הקיימות, תוך הדגשת אתגרי מדרגיות ואיסוף מבוזר של אירועים. עם זאת, מחקרים רבים אלה קדמו לאימוץ הנרחב של ארכיטקטורות cloud‑native ופלטפורמות orchestration של קונטיינרים כגון Kubernetes.

לאחרונה, מחקרים החלו לחקור מידול תקיפות באמצעות גרפים ותלויות סיבתיות. Hasan et al. (2019) בחנו שיטות לזיהוי איומי persistent advanced באמצעות מודלים הסתברותיים על גבי גרפי אירועים.

2.2 נראות Runtime ו‑eBPF

הנראות של workloads מבוססי קונטיינרים התפתחה באופן משמעותי עם השימוש בטכנולוגיות מבוססות eBPF. ה‑eBPF מאפשר אינסטרומנטציה בטוחה של ליבת Linux לצורך איסוף אירועי מערכת עם overhead נמוך (HENDRIX; HØILAND‑JØRGENSEN, 2021). כלים כגון Falco משתמשים בטכנולוגיה זו כדי לנטר קריאות מערכת ולזהות התנהגויות חריגות בקונטיינרים וב‑hosts.

במקביל, מערכות לניתוח יומנים מבוזרים כגון Elastic Stack הפכו נפוצות מאוד לבליעה, נרמול וחקירה של כמויות גדולות של טלמטריה (ELASTIC, 2023). Elastic Common Schema מספק מודל משותף לשדות שמקל על קורלציה בין מקורות נתונים שונים.

למרות התקדמות טכנולוגית זו, נותר פער בין ההמשגה התיאורטית של זיהוי תקיפות לבין המימוש התפעולי בסביבות multi‑cloud. עבודתנו מבקשת למלא פער זה באמצעות הצעת מודל מתמטי מפורש לצד ארכיטקטורה תפעולית קונקרטית.

3. מודל האיום והפורמליזציה של הבעיה

3.1 מודל היריב

אנו מתחשבים ביריבים בעלי יכולות תפעוליות שונות:

• C1: ניצול לרעה של אישורים תקפים (tokens OAuth, מפתחות API או אישורי IAM);
• C2: הרצת קוד ב‑workloads בענן לאחר ניצול פגיעות;
• C3: מיפוי משאבים ומדיניות באמצעות APIs ניהוליים;
• C4: מניפולציה של מדיניות גישה או יצירת זהויות מורשות;
• C5: חילוץ נתונים משירותי אחסון או מסדי נתונים.

אנו מניחים שהספקים שומרים על תקינות בסיסית של יומני הביקורת, ושהיריב אינו פוגע ב‑hypervisor הבסיסי ואינו שובר פרימיטיבים קריפטוגרפיים נפוצים.

3.2 מידול אירועים

אנו מגדירים את קבוצת האירועים הנצפים כ‑$E = {e_1, e_2, …, e_n}$. כל אירוע מיוצג כ

$$ e_i = (t_i, s_i, a_i, r_i, c_i, \sigma_i) $$

כאשר $t_i$ הוא חותמת הזמן, $s_i$ הוא הסובייקט, $a_i$ היא הפעולה שבוצעה, $r_i$ הוא המשאב שהושפע, $c_i$ הוא ההקשר ו‑$\sigma_i$ הוא מקור הטלמטריה.

3.3 גרפים זמניים

אנו מגדירים גרף זמני מסומן $G = (V, E_g, \lambda)$ שבו כל קודקוד תואם לאירוע נצפה. קשת $(v_i, v_j)$ נוצרת אם

$$ 0 < t_j - t_i \leq \Delta t \land Correl(e_i, e_j) $$

פונקציית הזיהוי מוגדרת כ

$$ f(G) = \begin{cases} 1 & \text{אם } G \text{ מכיל תת־גרף זדוני} \ 0 & \text{אחרת} \end{cases} $$

פורמליזציה זו מאפשרת לבטא שרשראות תקיפה כתבניות מבניות בגרפי אירועים.

4. הארכיטקטורה המוצעת

הארכיטקטורה המוצעת מאורגנת במספר שכבות של איסוף, עיבוד וניתוח.

• איסוף שכבת הבקרה: AWS CloudTrail, Azure Activity Logs ו‑Google Cloud Audit Logs.
• טלמטריית רשת: Suricata המייצאת אירועים בפורמט EVE JSON.
• טלמטריית runtime: Falco מבוסס eBPF.
• צינור בליעה: Apache Kafka להעברת אירועים מבוזרת.
• נרמול סמנטי: Logstash ו‑Elastic Ingest Pipelines עם מיפוי ל‑Elastic Common Schema.
• אחסון וחקירה: Elasticsearch.
• זיהוי וקורלציה: כללי Sigma וחקירות מובנות.
• תזמור תגובה: TheHive ו‑Cortex.

ארכיטקטורה זו מאפשרת לאחד אירועים הטרוגניים למודל סמנטי משותף, ובכך להקל על בניית גרפי אירועים.

5. הערכה ניסויית

5.1 סביבת הניסוי

הניסויים בוצעו בסביבה multi‑cloud שכללה שלושה ספקים:

• AWS (us‑east‑1)
• Azure (West Europe)
• Google Cloud Platform (us‑central1)

אשכולות Kubernetes הפעילו workloads סינתטיים ותרחישי תקיפה שנגזרו ממסגרת MITRE ATT&CK באמצעות הכלי Atomic Red Team (RED CANARY, 2023).

5.2 Baselines

Baseline	תיאור
B1	יומני שכבת בקרה בלבד (CloudTrail)
B2	יומנים multi‑cloud ללא טלמטריית רשת או runtime
B3	הארכיטקטורה המלאה המוצעת

5.3 מדדים

המדדים שבהם נעשה שימוש כוללים:

• MTTD (Mean Time To Detect)
• Recall
• Precision
• שיעור false positive (FPR)

מרווחי סמך הוערכו באמצעות bootstrap עם 1000 דגימות חוזרות.

5.4 תוצאות

ארכיטקטורה	MTTD ממוצע	Recall	Precision	FPR
B1	18.6 min	0.62	0.91	0.08
B2	11.3 min	0.74	0.90	0.09
B3	5.2 min	0.89	0.92	0.07

הבחַנו בירידה משמעותית בזמן הזיהוי הממוצע בעקבות שילוב טלמטריה ממספר שכבות. שרשראות תקיפה שכללו הרצה בקונטיינר וחילוץ נתונים באמצעות DNS זוהו באופן עקבי יותר כאשר אירועי runtime ורשת נכללו בניתוח.

5.5 מחקר אבלאציה

הסרת טלמטריית רשת הפחיתה באופן משמעותי את היכולת לזהות חילוץ נתונים מבוסס DNS. היעדר אירועי runtime הפחית את זיהוי ההרצות האינטראקטיביות בקונטיינרים.

6. מקרי מבחן

6.1 תרחיש פיננסי

דימינו פגיעה באישור AWS שנחשף במאגר ציבורי. היריב ביצע מיפוי buckets, צירף מדיניות מורשית והחל ניסיון לחילוץ נתונים. הארכיטקטורה קישרה אירועי זהות, API ופעילות workload, ואפשרה זיהוי מוקדם של שרשרת התקיפה.

6.2 תרחיש בריאות

בסביבה היברידית Azure‑GCP זיהינו רצף שכלל התחברות חריגה, יצירת token מאוחד וגישה המונית לאובייקטי אחסון המכילים תמונות רפואיות. הקורלציה ה‑multi‑cloud אפשרה שחזור מלא של שרשרת האירועים.

7. דיון

המודל המבוסס על גרפים זמניים מספק בסיס מפורש לניתוח תלויות סיבתיות בין אירועים מבוזרים. גישה זו משפרת את ההסבריות של החלטות הזיהוי בהשוואה למערכות המבוססות אך ורק על חתימות מבודדות.

עם זאת, כמה מגבלות עדיין קיימות. הגישה תלויה בתקינות ובזמינות של היומנים המסופקים על ידי הספקים. בנוסף, סביבות בקנה מידה גדול עלולות לייצר כמויות משמעותיות של נתונים, ולדרוש תשתית הולמת לאחסון ולעיבוד.

מגבלה נוספת נוגעת ל‑evasion adversarial. תוקף מתוחכם עשוי לנסות לפצל שרשראות תקיפה למרווחי זמן הגדולים מהסף $\Delta t$. מחקרים עתידיים עשויים לחקור מודלים הסתברותיים או למידת מכונה כדי לצמצם בעיה זו.

8. מסקנה

הצגנו ארכיטקטורה פורמלית ותפעולית לזיהוי ותגובה לאיומים בסביבות multi‑cloud המבוססת על טלמטריה מאוחדת ומידול של גרפים זמניים. הדגמנו כי שילוב יומני שכבת הבקרה, טלמטריית רשת ואירועי runtime מניב שיפורים משמעותיים בזיהוי של שרשראות תקיפה מורכבות.

התוצאות הניסיוניות מצביעות על ירידה ניכרת בזמן הזיהוי הממוצע ועל שיפור עקבי בשיעור ה‑recall בהשוואה לגישות המבוססות אך ורק על יומני API.

התלכדות זו בין פורמליזציה מתמטית והנדסה תפעולית מייצגת צעד חשוב לחיזוק אבטחת תשתיות cloud מודרניות.

References

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780198793742.001.0001

CNCF. Falco Runtime Security. 2023. Available at: https://falco.org

ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

GOOGLE CLOUD. Cloud Audit Logs Documentation. 2023. Available at: https://cloud.google.com/logging/docs/audit

HENDRIX, William; HØILAND‑JØRGENSEN, Toke. BPF Performance Tools. Boston: Addison‑Wesley, 2021. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html

HASAN, Md et al. Provable detection of advanced persistent threats. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00045

HU, Vincent; KUHN, Rick; XIE, Tao. Property verification for generic access control models. IEEE Transactions on Dependable and Secure Computing, 2015. Available at: https://doi.org/10.1109/TDSC.2015.2406708

KREBS, Brian. Capital One Breach Analysis. 2019. Available at: https://krebsonsecurity.com/2019/07/capital-one-breach/

KUBERNETES. Kubernetes Documentation. 2023. Available at: https://kubernetes.io/docs

MELL, Peter; GRANCE, Timothy. The NIST definition of cloud computing. NIST SP 800‑145, 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf

MENDIOLA, Alejandro et al. Cloud security: A survey. Computers & Security, 2020. Available at: https://doi.org/10.1016/j.cose.2020.101812

MICROSOFT. Microsoft Digital Defense Report. 2023. Available at: https://www.microsoft.com/security/business/microsoft-digital-defense-report

MITRE. ATT&CK Enterprise Matrix for Cloud. 2023. Available at: https://attack.mitre.org/matrices/enterprise/cloud

NATIONAL VULNERABILITY DATABASE. CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Security and Privacy Controls for Information Systems and Organizations. SP 800‑53 Rev.5, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

OASIS. STIX Version 2.1. 2021. Available at: https://oasis-open.github.io/cti-documentation

RED CANARY. Atomic Red Team Documentation. 2023. Available at: https://atomicredteam.io

ROESCH, Martin. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://docs.suricata.io

SIGMA PROJECT. Sigma Detection Rule Specification. 2023. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

UNITED STATES DISTRICT COURT. United States v. Paige A. Thompson – Criminal Complaint. 2020. Available at: https://www.justice.gov/usao-wdwa/press-release/file/1188626/download

Z3 PROVER. Z3 Theorem Prover Documentation. 2023. Available at: https://github.com/Z3Prover/z3

ZHANG, Yinqian et al. Cross‑VM side channels and their use to extract private keys. ACM CCS, 2012. Available at: https://doi.org/10.1145/2382196.2382230

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware: Characterization and evolution. IEEE Symposium on Security and Privacy, 2012. Available at: https://doi.org/10.1109/SP.2012.16