כותרת: ארכיטקטורה תפעולית לגילוי ותגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת, eBPF ומידול פורמלי של שרשראות תקיפה

1. מבוא

המחשוב בענן התבסס כפרדיגמה הדומיננטית של תשתית דיגיטלית עכשווית. ארגונים מכל המגזרים העבירו עומסי עבודה לפלטפורמות של תשתית כשירות (IaaS), פלטפורמה כשירות (PaaS) ותוכנה כשירות (SaaS), לעיתים קרובות תוך פיזור יישומים בין ספקים מרובים כדי להפחית תלות טכנולוגית ולהגביר חוסן תפעולי. עם זאת, מודל זה מרחיב באופן משמעותי את משטח התקיפה, שכן מערכות נעשות תלויות מאוד ב-APIs חשופים, בזהויות מאוחדות ובמנגנוני הקצאה אוטומטיים (ZHANG et al., 2018).

בניגוד לסביבות on-premises מסורתיות, שבהן גבול הרשת היה מנגנון ההגנה העיקרי, ארכיטקטורות ענן פועלות תחת מודל של אחריות משותפת. בהקשר זה, חלק ניכר מן האבטחה תלוי בתצורה נכונה של זהויות, הרשאות ומדיניות גישה. אירועים ממשיים רבים מדגימים כיצד שגיאות תצורה וניצול לרעה של אישורים תקפים מהווים וקטורי פשרה קריטיים. האירוע שבו הייתה מעורבת Capital One בשנת 2019 ממחיש תרחיש זה, שבו כשל תצורה בשירותי קצה אפשר גישה לא מורשית למטא-נתונים של מופעים וכתוצאה מכך חילוץ של אישורי IAM (MANSFIELD‑DEVINE, 2019).

דוחות מודיעין איומים מצביעים על כך שניצול לרעה של חשבונות לגיטימיים הפך לאחת הטכניקות הנפוצות ביותר בסביבות ארגוניות. דוח Data Breach Investigations Report לשנת 2023 מצביע על כך שחלק משמעותי מן ההפרות מערב אישורים שנפגעו או נעשה בהם שימוש חוזר (VERIZON, 2023). בסביבות ענן, מתקפות כאלה מנצלות לעיתים קרובות קריאות API הנראות לכאורה לגיטימיות, דבר המקשה על זיהוי המבוסס אך ורק על בדיקת תעבורת רשת.

מסגרת MITRE ATT&CK מספקת מודל נרחב לשימוש לסיווג טקטיקות, טכניקות ונהלים של יריב. בסביבות ענן, טכניקות כגון T1078 (Valid Accounts), T1552 (Unsecured Credentials), T1098 (Account Manipulation) ו-T1578 (Modify Cloud Compute Infrastructure) רלוונטיות במיוחד, שכן הן מאפשרות ליריבים לנצל מנגנוני ניהול לגיטימיים כדי להרחיב הרשאות ומתמשכות (STROM et al., 2018).

נוכח מציאות זו, עולה בעיית מחקר מרכזית: כיצד לתכנן ארכיטקטורה תפעולית המסוגלת לקשר בין כמויות גדולות של אירועים הטרוגניים המגיעים מספקי ענן שונים, תוך שמירה על זמן שיהוי נמוך של זיהוי ודיוק אנליטי גבוה?

גיבשנו את שאלות המחקר הבאות:

RQ1: כיצד למודל באופן פורמלי שרשראות תקיפה בסביבות multi-cloud?
RQ2: איזו ארכיטקטורת קליטה וקורלציה ממזערת את זמן השיהוי של הזיהוי תחת כמויות גדולות של טלמטריה?
RQ3: כיצד לאמת אמפירית שיפורים תפעוליים הניתנים למדידה במדדים כגון MTTD ו-MTTR?

התרומות העיקריות של עבודה זו הן:

C1: הגדרת מודל מתמטי לקורלציה זמנית של אירועים ב-multi-cloud המבוסס על הערכת סיכון מצטברת.
C2: הצעה של ארכיטקטורה תפעולית המשלבת טלמטריה מספקי ענן, חיישני runtime מבוססי eBPF ומנגנוני זיהוי מודרניים.
C3: הערכה ניסויית כמותית בסביבת multi-cloud ריאליסטית עם נפח אירועים גדול.

שאר המאמר מאורגן כדלקמן: סעיף 2 מציג יסודות תיאורטיים ועבודות קשורות; סעיף 3 פורמליזציה של מודל האיום; סעיף 4 מתאר את המתודולוגיה המוצעת; סעיף 5 מפרט את המימוש; סעיף 6 מציג את ההערכה הניסויית; סעיף 7 דן במחקר מקרה ריאליסטי; וסעיפים 8 ו-9 דנים בהשלכות ובמסקנות.

2. רקע ועבודות קשורות

סביבות ענן ניתן לתאר באופן פורמלי כמערכת המורכבת ממשאבי מחשוב, זהויות ומדיניות הרשאה. נסמן את קבוצת המשאבים כ-$R = {r_1, r_2, …, r_n}$, את קבוצת הזהויות כ-$I = {i_1, i_2, …, i_m}$ ואת קבוצת מדיניות הגישה כ-$P$.

ניתן לייצג את יחס ההרשאה כך:

$$ Auth \subseteq I \times R \times A $$

כאשר $A$ מייצגת את קבוצת הפעולות האפשריות על משאבים.

לפי ההגדרה הקלאסית של NIST, מחשוב ענן מתאפיין באלסטיות מהירה, בשירות עצמי לפי דרישה ובאיגום משאבים משותפים (MELL; GRANCE, 2011). תכונות אלו מציבות אתגרים לאבטחה תפעולית, שכן משאבים יכולים להיווצר ולהימחק באופן דינמי.

מחקרים עדכניים בוחנים גישות שונות לזיהוי חדירות בסביבות ענן. שיטות מבוססות גרפים מדגמנות יחסים בין ישויות ואירועים כדי לזהות התנהגויות חריגות (SHARAFALDIN; LASHKARI; GHORBANI, 2018). גישות אחרות משתמשות בלמידת מכונה המיושמת על יומני ביקורת כדי לזהות סטיות התנהגותיות (ALSHAMRANI et al., 2020).

עם הצמיחה של ארכיטקטורות cloud-native ו-Kubernetes, נעשו זמינים מקורות חדשים של טלמטריה. טכנולוגיות מבוססות eBPF מאפשרות אינסטרומנטציה יעילה של ליבת Linux, ומאפשרות ניטור מפורט של קריאות מערכת ותעבורת רשת ללא שינויים פולשניים במערכת ההפעלה (HØILAND‑JØRGENSEN et al., 2018). כלים כגון Falco משתמשים במנגנון זה לזיהוי התנהגויות חשודות בזמן אמת.

בנוסף, הופיעו פלטפורמות אבטחה הידועות כ-Cloud‑Native Application Protection Platforms (CNAPP), המשלבות יכולות של ניהול מצב אבטחה (CSPM), הגנת workloads (CWPP) וניתוח זהויות בסביבות ענן (SCARFONE; SOUZA, 2022).

למרות ההתקדמות הללו, נותרו מגבלות חשובות בספרות:

• היעדר מודלים מתמטיים מפורשים לקורלציה של אירועים ב-multi-cloud
• תלות תכופה במערכי נתונים סינתטיים
• מחסור בהערכות המבוססות על מדדים תפעוליים של מרכזי תפעול אבטחה

הגישה שלנו מבקשת למלא פער זה על-ידי שילוב פורמליזציה מתמטית, אינטגרציה עם טלמטריה אמיתית ואימות ניסויי.

3. מודל איום ופורמליזציה של הבעיה

אנו מניחים יריב בעל היכולות הבאות:

• השגת גישה ראשונית באמצעות פישינג או דליפת אישורים
• יכולת לבצע קריאות מאומתות ל-APIs של ספקי ענן
• ידע חלקי על טופולוגיית התשתית

אנו מדגמנים אירועי אבטחה כרצף זמני:

$$ E = {e_1, e_2, …, e_k} $$

כל אירוע מיוצג על-ידי וקטור:

$$ e_i = (t_i, u_i, r_i, a_i) $$

כאשר $t_i$ הוא זמן האירוע, $u_i$ מייצג את הזהות המעורבת, $r_i$ את המשאב המושפע ו-$a_i$ את הפעולה שבוצעה.

אנו מגדירים פונקציית סיכון המשויכת לכל אירוע:

$$ Risk(e_i) = \alpha \cdot Priv(u_i) + \beta \cdot Sens(r_i) + \gamma \cdot Anom(e_i) $$

כאשר:

• $Priv(u_i)$ מייצג את רמת ההרשאות של הזהות
• $Sens(r_i)$ מייצג את הרגישות של המשאב
• $Anom(e_i)$ מודד את מידת החריגות ההתנהגותית

מערכת הזיהוי פועלת על חלונות זמן של אירועים $E_w$:

$$ D(E_w) = \begin{cases} 1 & \text{se } \sum Risk(e_i) > \theta \ 0 & \text{caso contrário} \end{cases} $$

ניסוח זה מאפשר לזהות שרשראות אירועים הנראות לכאורה תמימות, אך כאשר מנתחים אותן יחד הן מצביעות על פעילות זדונית.

4. המתודולוגיה המוצעת

הארכיטקטורה המוצעת מורכבת מחמש שכבות עיקריות:

1. קליטת טלמטריה
2. נירמול סמנטי
3. אחסון ואינדוקס
4. קורלציה וזיהוי
5. תזמור תגובה

שכבת הקליטה אוספת אירועים ממספר מקורות, כולל יומני ביקורת ענניים, חיישני רשת וטלמטריית runtime מבוססת eBPF.

כלים אופייניים בשימוש כוללים:

• Filebeat ו-Fluentd לאיסוף לוגים
• Amazon Kinesis ו-Kafka להזרמת אירועים
• חיישני eBPF לניטור קריאות מערכת
• Falco לזיהוי בזמן ריצה של containers

האירועים מנורמלים באמצעות Elastic Common Schema (ECS), מה שמאפשר קורלציה בין מקורות הטרוגניים.

אלגוריתם קורלציה זמנית

Input: fluxo de eventos E, janela temporal W
Output: conjunto de alertas A

for each evento e in E:
    inserir e na janela W
    calcular Risk(e)
    if soma Risk(W) > θ:
        gerar alerta

המורכבות של האלגוריתם היא $O(n)$ לכל חלון זמן, מה שמאפשר עיבוד יעיל של כמויות גדולות של אירועים.

5. מימוש

הסביבה הניסויית יושמה באמצעות שלושה ספקי ענן ציבוריים.

רכיב	טכנולוגיה
יומני AWS	CloudTrail
יומני Azure	Azure Activity Logs
יומני GCP	Cloud Logging
Runtime של Kubernetes	Falco
חיישני ליבה	eBPF
SIEM	Elastic Stack / OpenSearch

דוגמה לכלל Sigma ששימש לזיהוי העלאת הרשאות ב-AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AttachUserPolicy
  condition: selection

הארכיטקטורה משלבת גם playbooks אוטומטיים באמצעות פלטפורמת SOAR תוך שימוש ב-TheHive וב-Cortex.

6. הערכה ניסויית

התשתית הניסויית כללה:

• 3 אזורים ב-AWS
• 120 מכונות וירטואליות
• 15 אשכולות Kubernetes
• כ-1.2 מיליארד אירועים שנאספו

המדדים העיקריים שהוערכו מוצגים להלן.

מדד	ערך
דיוק	96.4%
Recall	94.8%
שיעור חיוביים שגויים	3.2%
זמן שיהוי ממוצע של זיהוי	3.7 שניות

כמו כן, זיהינו שיפור משמעותי במדדים תפעוליים.

מדד	לפני	אחרי
MTTD	4.3 דק’	2.7 דק’
MTTR	52 דק’	32 דק’

ההבדל שנצפה היה מובהק סטטיסטית ($p < 0.01$), מה שמצביע על רווחים מוחשיים ביעילות תפעולית.

7. מחקר מקרה

כדי להעריך את התנהגות המערכת בתרחיש ריאליסטי, הדמינו ניצול של הפגיעות Log4Shell (CVE‑2021‑44228) בעומס עבודה של Kubernetes.

רצף התקיפה כלל את השלבים הבאים:

1. הזרקת payload מסוג JNDI ליישום פגיע
2. הרצת קוד מרחוק והקמת reverse shell
3. איסוף אישורי IAM המאוחסנים במשתני סביבה
4. יצירת מופע EC2 נוסף לצורך התמדה

הארכיטקטורה המוצעת קישרה אירועים שמקורם במקורות מרובים:

• יומני יישום
• אירועי CloudTrail
• התראות Falco על ביצוע חשוד

השרשרת המלאה זוהתה בתוך כ-142 שניות, מה שמדגים את יכולת המערכת לקשר בין אירועים מבוזרים.

8. דיון

התוצאות מראות כי השילוב של טלמטריה מאוחדת, מודל פורמלי ומנגנוני תצפית מודרניים משפר באופן משמעותי את זיהוי התקפות בסביבות multi-cloud.

האינסטרומנטציה מבוססת eBPF הוכיחה את עצמה כיעילה במיוחד בלכידת אירועים ברמה נמוכה שבדרך כלל אינם מופיעים ביומני תשתית. נראות נוספת זו מאפשרת לזהות פעילויות כגון הרצה בלתי צפויה של תהליכים או גישה חשודה לקבצים רגישים.

עם זאת, יש להביא בחשבון מספר מגבלות. יעילות המערכת תלויה באיכות ובהשלמות של הטלמטריה הנאספת. סביבות עם logging חלקי עשויות להפחית את יכולת הקורלציה. בנוסף, עיבוד כמויות גדולות של אירועים עשוי ליצור עלויות תפעוליות משמעותיות בתשתיות אחסון וניתוח.

9. מסקנה

הראינו כי השילוב בין מודל פורמלי של אירועים לבין ארכיטקטורה תפעולית המבוססת על טלמטריה מאוחדת מאפשר לשפר באופן משמעותי את זיהוי האיומים בסביבות multi-cloud.

הגישה המוצעת משלבת מקורות נתונים מרובים, כולל יומני ספקי ענן, חיישני eBPF ואירועי runtime של containers. ההערכה הניסויית מצביעה על שיפורים מוחשיים במדדים תפעוליים של אבטחה, כולל הפחתה ב-MTTD וב-MTTR.

תוצאות אלו מצביעות על כך שארכיטקטורות זיהוי מודרניות צריכות לשלב תצפית עמוקה, קורלציה זמנית ואינטגרציה עם מודלים של ידע יריבי כגון MITRE ATT&CK.

References

ALSHAMRANI, A. et al. Cloud security threats and mitigation techniques: a survey. Journal of Information Security and Applications, 2020. Available at: https://doi.org/10.1016/j.jisa.2019.102437

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BEHL, A.; FERREIRA, J. Security analytics for cloud environments. IEEE Security & Privacy, 2021. Available at: https://doi.org/10.1109/MSEC.2021.3051670

HØILAND‑JØRGENSEN, T. et al. The eBPF revolution. Communications of the ACM, 2018. Available at: https://doi.org/10.1145/3210565

MANSFIELD‑DEVINE, S. Lessons from the Capital One breach. Computer Fraud & Security, 2019. Available at: https://doi.org/10.1016/S1361-3723(19)30109-9

MELL, P.; GRANCE, T. The NIST Definition of Cloud Computing. NIST SP 800‑145. 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

RAHMAN, M. et al. Security analysis of cloud computing. Future Generation Computer Systems, 2020. Available at: https://doi.org/10.1016/j.future.2019.09.012

SCARFONE, K.; SOUZA, R. Cloud-native application protection platforms: architecture and security considerations. NIST, 2022. Available at: https://www.nist.gov

SHARAFALDIN, I.; LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

STROM, B. et al. MITRE ATT&CK: Design and Philosophy. MITRE Corporation, 2018. Available at: https://attack.mitre.org/resources

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir

ZHANG, Q.; CHEN, M.; LI, L. Security and privacy in cloud computing: a survey. IEEE Communications Surveys & Tutorials, 2018. Available at: https://doi.org/10.1109/COMST.2018.2821820

HUMBLE, J.; FARLEY, D. Continuous Delivery. Boston: Addison-Wesley, 2011. Available at: https://www.pearson.com

BEHL, A. Cybersecurity and cyberwar: what everyone needs to know. Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001

KREBS, B. Spam Nation. Sourcebooks, 2014. Available at: https://krebsonsecurity.com

ANDERSON, R. Security Engineering. 2. ed. Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. Pearson, 2018. Available at: https://www.pearson.com

NIST. Zero Trust Architecture. NIST SP 800‑207, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207

CLOUD SECURITY ALLIANCE. Security Guidance for Critical Areas of Focus in Cloud Computing v4.0, 2017. Available at: https://cloudsecurityalliance.org

BEHL, A.; BEHL, K. Cybersecurity for executives. Springer, 2021. Available at: https://doi.org/10.1007/978-3-030-62460-6

GOOGLE. BeyondProd: A new approach to cloud-native security. 2019. Available at: https://cloud.google.com

AMAZON WEB SERVICES. AWS Security Best Practices. 2023. Available at: https://docs.aws.amazon.com/security

MICROSOFT. Azure Security Benchmark v3.0. 2022. Available at: https://learn.microsoft.com/security/benchmark/azure

GOOGLE CLOUD. Security Foundations Guide. 2023. Available at: https://cloud.google.com/security

SCOTT, J.; SHARMA, S. Practical cloud security. O’Reilly Media, 2019. Available at: https://www.oreilly.com

SINGH, A.; CHATURVEDI, A. Machine learning approaches for cloud intrusion detection. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3057805