כותרת: מידול תפעולי של איומים וזיהוי מבוסס טלמטריה לסביבות Multi-Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו-Kubernetes (2025)

1. מבוא

המחשוב בענן שינה באופן רדיקלי את המודל התפעולי של תשתיות ה-IT. בין 2018 ל-2025, ארגונים העבירו עומסי עבודה קריטיים לפלטפורמות כגון Amazon Web Services (AWS), Microsoft Azure ו-Google Cloud Platform (GCP), בהנעה של אלסטיות, אוטומציה וחיסכון לגודל. עם זאת, טרנספורמציה זו גם הכניסה פרדיגמות חדשות של אבטחה. בניגוד למרכזי נתונים מסורתיים, סביבות ענן מוגדרות באמצעות APIs, זהויות ומדיניות הניתנות לתכנות, מה שמעביר את מוקד האבטחה מהרשת אל בקרת הזהויות וההגדרות.

נתונים מדוחות אירועים שפורסמו על ידי חברות אבטחה מצביעים על כך שרוב ההפרות בענן אינן נובעות מחולשות תוכנה קלאסיות, אלא מהגדרות שגויות ומהתעללות באישורים. מחקרים של Unit 42 ושל Wiz Research מראים כי הרשאות IAM עודפות ומפתחות API חשופים ממשיכים להיות וקטור דומיננטי של פשרה (PALO ALTO NETWORKS, 2024; WIZ, 2023). במקביל, סביבות cloud-native המבוססות על קונטיינרים ו-Kubernetes מציגות מישורי בקרה חדשים, ובכך מגדילות את מורכבות משטח התקיפה.

גורם קריטי נוסף ב-2025 הוא ההתלכדות בין מחשוב ענן לבינה מלאכותית. תשתיות שמריצות צינורות (pipelines) של אימון והסקה של מודלי machine learning מאחסנות לעיתים קרובות כמויות גדולות של נתונים רגישים ותלויות במשאבי GPU ניתנים להרחבה. תרחיש זה יוצר תמריצים כלכליים ברורים לתוקפים, בין אם לצורך חילוץ נתונים ובין אם לצורך שימוש לרעה במשאבי חישוב.

מבחינה תפעולית, אבטחה בענן כוללת שלושה אתגרים מרכזיים:

• נראות מוגבלת בסביבות מבוזרות
• ניהול מורכב של זהויות והרשאות
• זיהוי פעילות זדונית ב-APIs דינמיים מאוד

מסגרות כגון Zero Trust Architecture (NIST, 2020) ו-Cloud Security Posture Management (CSPM) נוצרו כדי להתמודד עם סוגיות אלו, אך ארגונים רבים עדיין מתמודדים עם קשיים ביישום מעשי של גישות אלו בקנה מידה גדול.

בנוסף, טכניקות תקיפה ייעודיות לענן התפתחו במהירות. כלים כגון Pacu, CloudFox ו-ScoutSuite מדגימים כיצד הרשאות שנראות תמימות לכאורה יכולות להשתלב בשרשרת אחת כדי להסלים הרשאות ולגשת למשאבים רגישים. בסביבות Kubernetes, התקפות הכוללות פגיעה ב-kubelet, ניצול לרעה של service accounts או ניצול של containers מורשים הפכו שכיחות בתרגילי red team.

עבודה זו עוסקת בתרחיש זה מנקודת מבט תפעולית. במקום להתמקד באופן בלעדי במדיניות או במסגרות מושגיות, אנו מציגים שיטה מובנית ל:

• מידול איומים בסביבות multi-cloud
• פורמליזציה של הסיכון לחשיפת זהויות ושירותים
• יישום מנגנוני זיהוי מבוססי טלמטריה

ההשערה המרכזית של מחקר זה היא שהשילוב בין טלמטריה טבעית של ענן, אינסטרומנטציה של runtime באמצעות eBPF ומידול סיכונים כמותי יכול להפחית באופן משמעותי את זמן הזיהוי והתגובה לאירועים.

שאר המאמר מאורגן באופן הבא. הסעיף הבא דן במצב המחקר באבטחת ענן ובעבודות קשורות. לאחר מכן, אנו מנסחים את מודל האיומים ומציגים את המתודולוגיה המוצעת. בהמשך, אנו מתארים את המימוש המעשי ומעריכים ניסויית את המערכת בסביבה multi-cloud. לבסוף, אנו דנים בהשלכות תפעוליות ובכיוונים עתידיים למחקר.

2. רקע ועבודות קשורות

האבטחה בענן התפתחה באופן משמעותי במהלך העשור האחרון. המחקרים הראשונים התמקדו בעיקר בבידוד בין tenants ובאבטחת הווירטואליזציה. אולם, עם עלייתן של ארכיטקטורות cloud-native, משטח התקיפה החל לכלול APIs לניהול, צינורות CI/CD, מערכות זהות ותזמור קונטיינרים.

מודל האחריות המשותפת, שאומץ על ידי ספקי הענן המרכזיים, קובע כי אבטחת התשתית הפיזית וה-hypervisor היא באחריות הספק, בעוד הלקוחות חייבים להגן על זהויות, נתונים והגדרות. מודל זה יוצר לעיתים קרובות פערים תפעוליים כאשר ארגונים מניחים שבקרות מסוימות מובטחות באופן אוטומטי על ידי הספק (AWS, 2024).

פותחו מסגרות שונות להנחיית פרקטיקות אבטחה בענן. ה-NIST Cloud Computing Security Reference Architecture מגדיר עקרונות בקרה וממשל עבור סביבות ענן (NIST, 2018). ה-Cloud Security Alliance (CSA) הציגה את Cloud Controls Matrix, הנמצא בשימוש נרחב לביקורות ולאימות תאימות (CSA, 2023).

התפתחות רלוונטית נוספת הייתה יצירת מטריצת MITRE ATT&CK for Cloud, המסווגת טכניקות יריביות ייעודיות ל-AWS, Azure ו-GCP (MITRE, 2024). מטריצה זו כוללת טקטיקות כגון:

• Initial Access באמצעות אישורים חשופים
• Privilege Escalation באמצעות מדיניות IAM שהוגדרה באופן שגוי
• Exfiltration באמצעות APIs של אחסון

כלי קוד פתוח ממלאים גם הם תפקיד חשוב באבטחת ענן. טבלה 1 מציגה כמה מהכלים הנפוצים ביותר בביקורות וב-red teaming.

כלי	תפקיד עיקרי	פלטפורמה	שנה
ScoutSuite	ביקורת אוטומטית של הגדרות	AWS/Azure/GCP	2017
Pacu	מסגרת exploitation ל-AWS	AWS	2018
CloudFox	מיפוי ו-privilege escalation	AWS/Azure	2022
kube-bench	בדיקת CIS ל-Kubernetes	Kubernetes	2018
Falco	זיהוי התנהגות בזמן ריצה	Linux/K8s	2016

מחקרים עדכניים מדגישים כי רוב ההפרות בענן מערבות אישורים שנפגעו. דוח של Verizon זיהה שאישורים גנובים או ממוחזרים שימשו ביותר מ-40% מהאירועים שכללו תשתית ענן (VERIZON, 2024).

מגמה נוספת בעלת חשיבות היא האימוץ של CNAPP (Cloud Native Application Protection Platforms), המשלבות יכולות של CSPM, CWPP ואבטחת קונטיינרים בפלטפורמה אחת. פתרונות מסחריים כגון Prisma Cloud, Wiz ו-Orca Security נעשו נפוצים מאוד לצורך נראות מתמשכת של סיכונים.

במקביל, טכנולוגיות מבוססות eBPF צברו פופולריות לניטור runtime. כלים כגון Falco משתמשים ב-eBPF כדי ללכוד אירועי מערכת עם תקורה מינימלית, ומאפשרים זיהוי של התנהגויות חשודות בקונטיינרים וב-hosts.

למרות התקדמות זו, עדיין קיימת פער בין תיאוריה של אבטחת ענן לבין פעולות הגנה מעשיות. ארגונים רבים אוספים כמויות גדולות של לוגים, אך חסרים מודלים פורמליים המאפשרים לתעדף אירועים בסיכון גבוה.

מאמר זה מבקש לגשר על פער זה באמצעות הצעה של מודל סיכון כמותי המשולב עם טלמטריה תפעולית.

3. מודל האיום ופורמליזציה של הבעיה

סביבות multi-cloud מציגות משטח תקיפה מבוזר המורכב מזהויות, שירותים מנוהלים, רשתות וירטואליות ו-workloads. כדי לנסח באופן פורמלי את בעיית האבטחה, אנו מגדירים שלושה רכיבים עיקריים:

1. זהויות (משתמשים, roles, service accounts)
2. משאבים (מכונות, buckets, מסדי נתונים)
3. ערוצי גישה (APIs, רשתות, endpoints)

ליריב טיפוסי בתרחישים בענן יש אחת מהיכולות ההתחלתיות הבאות:

• גישה לאישורים חשופים
• גישה לקונטיינר שנפגע
• גישה ל-token של API

מנקודת התחלה זו, התוקף מנסה להסלים הרשאות או לגשת לנתונים רגישים.

טבלה 2 מציגה וקטורי תקיפה נפוצים הנצפים בסביבות ענן.

וקטור תקיפה	טכניקת ATT&CK	השפעה
אישורי IAM חשופים	T1078	גישה ראשונית
הרשאות IAM עודפות	T1098	הסלמת הרשאות
Buckets S3 ציבוריים	T1530	חילוץ נתונים
קונטיינרים מורשים	T1611	Escape from container
Tokens של Kubernetes שנגנבו	T1552	תנועה רוחבית

כדי לכמת את הסיכון, אנו מגדירים פונקציית סיכון המבוססת על שלושה גורמים:

• חשיפה ($E$)
• הרשאה ($P$)
• יכולת זיהוי ($D$)

הסיכון התפעולי מוגדר כך:

$$ R = \frac{E \times P}{D} $$

כאשר:

• $E$ מייצג את מספר המסלולים הנגישים אל המשאב
• $P$ מייצג את רמת ההרשאה המשויכת
• $D$ מייצג את ההסתברות לזיהוי המבוססת על טלמטריה

ככל שערך $R$ גבוה יותר, כך עדיפות ההפחתה גבוהה יותר.

מודל זה מאפשר לתעדף הגדרות מסוכנות, כגון roles עם הרשאות רחבות ונראות נמוכה של לוגים.

4. המתודולוגיה המוצעת

המתודולוגיה המוצעת משלבת שלוש שכבות אבטחה עיקריות:

1. ביקורת מתמדת של הגדרות
2. ניטור runtime
3. ניתוח התנהגותי מבוסס לוגים

ראשית, כלי ביקורת כגון ScoutSuite מזהים הגדרות לא מאובטחות בחשבונות ענן.

דוגמה להרצה:

python scoutsuite.py aws --profile security-audit --report-dir reports

שלב זה מזהה בעיות כגון:

• buckets ציבוריים
• roles עם מדיניות AdministratorAccess
• לוגים מושבתים

השכבה השנייה משתמשת בניטור runtime מבוסס eBPF כדי לזהות התנהגויות חשודות בקונטיינרים.

דוגמה לבדיקת תאימות ל-Kubernetes:

kube-bench run --targets master,node --benchmark cis-1.23

בקרות אלו מזהות הגדרות לא מאובטחות כגון:

• קונטיינרים מורשים
• שימוש ב-hostNetwork
• הרשאות עודפות של service accounts

השכבה השלישית מנתחת לוגים של APIs בענן. אירועים כגון CreateAccessKey, AssumeRole או GetObject יכולים להצביע על פעילות זדונית.

טבלה 3 מציגה דוגמאות לאירועים קריטיים.

אירוע	שירות	אינדיקטור
CreateAccessKey	IAM	התמדה אפשרית
AssumeRole	STS	תנועה רוחבית
GetObject	S3	חילוץ נתונים
RunInstances	EC2	קריפטומיינינג

האירועים עוברים קורלציה ב-SIEM כדי לזהות שרשראות תקיפה.

5. מימוש

המימוש בוצע בסביבה ניסויית שכללה:

• AWS
• Azure
• cluster Kubernetes ב-GKE

הארכיטקטורה כוללת:

• איסוף לוגים באמצעות CloudTrail ו-Audit Logs
• קליטה ב-SIEM
• זיהוי התנהגותי באמצעות Falco

דוגמה לכלל Falco:

- rule: Unexpected Shell in Container
  desc: Detecta execução de shell interativo
  condition: container and shell_procs
  output: "Shell inesperado em container (user=%user.name)"
  priority: WARNING

בנוסף, סקריפטים אוטומטיים מחשבים את ציון הסיכון $R$ עבור כל משאב ענן.

6. הערכה ניסויית

הסביבה הניסויית כללה 120 משאבי ענן ו-35 זהויות IAM.

מדד	לפני	אחרי
MTTD	47 דק׳	8 דק׳
MTTF	3.2 ש׳	1.1 ש׳
משאבים בסיכון גבוה	28	9

הערכה נוספת השוותה כלי זיהוי.

כלי	סוג	כיסוי
Falco	Runtime	גבוה
GuardDuty	מנוהל	בינוני
Azure Defender	מנוהל	גבוה
SIEM מותאם	לוגים	גבוה

התוצאות הצביעו על כך ששילוב טלמטריית runtime עם לוגים של ענן משפר באופן משמעותי את הנראות.

7. חקר מקרה

בתרחיש מדומה בהשראת אירועים אמיתיים, מפתח חשף מפתח AWS במאגר ציבורי. תוקף אוטומטי השתמש במפתח כדי להריץ פקודות STS ולהשתלט על role בעלת הרשאות גבוהות.

לאחר מכן התוקף גישש אל bucket S3 המכיל גיבויים של מסד נתונים. רצף האירועים כלל:

1. GetCallerIdentity
2. ListBuckets
3. AssumeRole
4. GetObject

קורלציית הלוגים אפשרה לזהות את ההתנהגות בתוך פחות מ-10 דקות.

8. דיון

התוצאות מדגימות שאבטחת ענן תלויה במידה רבה בנראות תפעולית. אפילו ארגונים האוספים לוגים אינם מחזיקים לעיתים קרובות במנגנוני קורלציה יעילים.

אתגר נוסף הוא ניהול זהויות. בסביבות גדולות, חשבון AWS יחיד עשוי להחזיק אלפי roles של IAM. הדבר מקשה על זיהוי הרשאות מסוכנות ללא אוטומציה.

בנוסף, סביבות Kubernetes מציגות מורכבות נוספת עקב האינטראקציה בין בקרת זהות, networking ו-runtime.

9. מסקנות ועבודה עתידית

מחקר זה הציג גישה תפעולית לאבטחה בסביבות ענן המבוססת על מידול סיכון פורמלי וטלמטריה מבוזרת. השילוב בין ביקורת הגדרות, ניטור runtime וניתוח לוגים הדגים הפחתה משמעותית של זמן הזיהוי של פעילויות זדוניות.

מחקרים עתידיים צריכים לבחון שימוש ב-machine learning לניתוח התנהגות ב-APIs של ענן ולשלב טכניקות זיהוי עם מדיניות remediatioן אוטומטית.

12. מקורות

AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/

CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org

FALCO PROJECT. Falco Documentation. 2024. https://falco.org

GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center

KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/

MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov

NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov

ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security

PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com

SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite

SYSdig. Falco Runtime Security. 2023. https://sysdig.com

VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/

WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io

MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/

CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov

CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io

SNYK. Kubernetes Security Report. 2023. https://snyk.io

AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com

RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com

IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security

GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp

MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud

AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail

KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org

EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io