מידול תפעולי של איומים וזיהוי מבוסס טלמטריה עבור סביבות Multi‑Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו‑Kubernetes (2025)

1. מבוא

מחשוב ענן שינה באופן רדיקלי את המודל התפעולי של תשתיות IT. בין השנים 2018 ל‑2025, ארגונים העבירו עומסי עבודה קריטיים לפלטפורמות כגון Amazon Web Services (AWS), Microsoft Azure ו‑Google Cloud Platform (GCP), מונעים על ידי אלסטיות, אוטומציה וחיסכון לגודל. עם זאת, טרנספורמציה זו גם הציגה פרדיגמות אבטחה חדשות. בניגוד למרכזי נתונים מסורתיים, סביבות ענן מוגדרות באמצעות APIs, זהויות ומדיניות הניתנות לתכנות, דבר שמסיט את מוקד האבטחה מהרשת אל בקרת זהויות והגדרות.

נתונים מדוחות אירועים שפורסמו על ידי חברות אבטחה מצביעים על כך שרוב הפריצות בענן אינן נובעות מפגיעויות תוכנה קלאסיות, אלא מ־הגדרות שגויות וניצול לרעה של אישורי גישה. מחקרים של Unit 42 ושל Wiz Research מראים כי הרשאות IAM מופרזות ומפתחות API חשופים ממשיכים להיות וקטור דומיננטי לפגיעה (PALO ALTO NETWORKS, 2024; WIZ, 2023). במקביל, סביבות cloud‑native המבוססות על קונטיינרים ו‑Kubernetes מציגות מישורי בקרה חדשים, ובכך מגדילות את המורכבות של משטח התקיפה.

גורם קריטי נוסף בשנת 2025 הוא ההתכנסות בין מחשוב ענן ובינה מלאכותית. תשתיות המריצות צינורות עיבוד לאימון והסקה של מודלי machine learning מאחסנות לעיתים קרובות נפחים גדולים של נתונים רגישים ותלויות במשאבי GPU ניתנים להרחבה. מצב זה יוצר תמריצים כלכליים ברורים לתוקפים, בין אם לשם חילוץ נתונים ובין אם לניצול משאבי חישוב.

מנקודת מבט תפעולית, אבטחה בענן כוללת שלושה אתגרים מרכזיים:

• נראות מוגבלת בסביבות מבוזרות
• ניהול מורכב של זהויות והרשאות
• גילוי פעילות זדונית ב‑APIs דינמיים מאוד

מסגרות כגון Zero Trust Architecture (NIST, 2020) ו‑Cloud Security Posture Management (CSPM) הופיעו כדי להתמודד עם סוגיות אלה, אך ארגונים רבים עדיין מתמודדים עם קשיים ביישום המעשי של גישות אלו בקנה מידה רחב.

בנוסף, טכניקות התקפיות ייעודיות לענן התפתחו במהירות. כלים כגון Pacu, CloudFox ו‑ScoutSuite מדגימים כיצד הרשאות שנראות לכאורה בלתי מזיקות יכולות להיקשר זו לזו כדי להסלים הרשאות ולגשת למשאבים רגישים. בסביבות Kubernetes, מתקפות הכוללות פגיעה ב‑kubelet, ניצול לרעה של service accounts או ניצול קונטיינרים בעלי הרשאות מיוחדות הפכו לנפוצות בתרגילי red team.

עבודה זו בוחנת את המצב מנקודת מבט תפעולית. במקום להתמקד אך ורק במדיניות או במסגרת מושגית, אנו מציגים שיטה מובנית ל:

• מידול איומים בסביבות multi‑cloud
• פורמליזציה של סיכון החשיפה של זהויות ושירותים
• יישום מנגנוני גילוי המבוססים על טלמטריה

ההשערה המרכזית של מחקר זה היא כי השילוב של טלמטריה מובנית של ענן, אינסטרומנטציה בזמן ריצה באמצעות eBPF ו‑מידול כמותי של סיכון יכול להפחית באופן משמעותי את זמן הזיהוי והתגובה לאירועי אבטחה.

שאר המאמר מאורגן כך: הסעיף הבא דן במצב המחקר העדכני באבטחת ענן ובעבודות קשורות. לאחר מכן אנו מגדירים פורמלית את מודל האיומים ומציגים את המתודולוגיה המוצעת. בהמשך אנו מתארים את היישום המעשי ומעריכים ניסויית את המערכת בסביבת multi‑cloud. לבסוף, אנו דנים בהשלכות תפעוליות ובכיווני מחקר עתידיים.

2. רקע ועבודות קשורות

אבטחת ענן התפתחה באופן משמעותי בעשור האחרון. המחקרים הראשונים התמקדו בעיקר בבידוד בין tenants ובאבטחת וירטואליזציה. עם זאת, עם עלייתן של ארכיטקטורות cloud‑native, משטח התקיפה החל לכלול APIs לניהול, צינורות CI/CD, מערכות זהות ואורקסטרציה של קונטיינרים.

מודל האחריות המשותפת, שאומץ על ידי ספקי הענן המרכזיים, קובע כי אבטחת התשתית הפיזית וה‑hypervisor היא באחריות הספק, בעוד שהלקוחות חייבים להגן על זהויות, נתונים והגדרות. מודל זה יוצר לעיתים קרובות פערים תפעוליים כאשר ארגונים מניחים שבקרות מסוימות מובטחות אוטומטית על ידי הספק (AWS, 2024).

מסגרות שונות פותחו כדי להנחות פרקטיקות אבטחה בענן. ה‑NIST Cloud Computing Security Reference Architecture מגדיר עקרונות בקרה וממשל עבור סביבות ענן (NIST, 2018). ה‑Cloud Security Alliance (CSA) הציגה את Cloud Controls Matrix, המשמשת באופן נרחב לביקורות ולציות לתקנים (CSA, 2023).

התקדמות חשובה נוספת הייתה יצירת המטריצה MITRE ATT&CK for Cloud, שמסווגת טכניקות יריביות ספציפיות ל‑AWS, Azure ו‑GCP (MITRE, 2024). מטריצה זו כוללת טקטיקות כגון:

• Initial Access באמצעות אישורי גישה חשופים
• Privilege Escalation באמצעות מדיניות IAM שהוגדרה באופן שגוי
• Exfiltration באמצעות APIs של אחסון

כלי קוד פתוח ממלאים גם הם תפקיד חשוב באבטחת ענן. טבלה 1 מציגה כמה מהכלים הנפוצים ביותר בביקורות וב‑red teaming.

כלי	פונקציה עיקרית	פלטפורמה	שנה
ScoutSuite	ביקורת תצורה אוטומטית	AWS/Azure/GCP	2017
Pacu	Framework לניצול AWS	AWS	2018
CloudFox	מיפוי והרמת הרשאות	AWS/Azure	2022
kube-bench	בדיקות תאימות CIS ל‑Kubernetes	Kubernetes	2018
Falco	זיהוי התנהגות בזמן ריצה	Linux/K8s	2016

מחקרים עדכניים מדגישים כי רוב הפריצות בענן מערבות אישורי גישה שנפגעו. דוח של Verizon זיהה כי אישורים שנגנבו או נעשה בהם שימוש חוזר שימשו ביותר מ‑40% מהאירועים שכללו תשתיות ענן (VERIZON, 2024).

מגמה נוספת היא האימוץ של CNAPP (Cloud Native Application Protection Platforms), המשלבות יכולות של CSPM, CWPP ואבטחת קונטיינרים בפלטפורמה אחת. פתרונות מסחריים כגון Prisma Cloud, Wiz ו‑Orca Security הפכו לנפוצים לצורך נראות מתמשכת של סיכונים.

במקביל, טכנולוגיות המבוססות על eBPF צברו פופולריות לניטור בזמן ריצה. כלים כגון Falco משתמשים ב‑eBPF כדי ללכוד אירועי מערכת עם תקורה מינימלית, ובכך מאפשרים זיהוי של התנהגויות חשודות בקונטיינרים ובמארחים.

למרות התקדמות זו, עדיין קיים פער בין התיאוריה של אבטחת ענן לבין פעולות ההגנה המעשיות. ארגונים רבים אוספים כמויות גדולות של לוגים, אך חסרים מודלים פורמליים המאפשרים לתעדף אירועים בעלי סיכון גבוה.

מאמר זה מבקש לצמצם פער זה באמצעות הצעת מודל סיכון כמותי המשולב עם טלמטריה תפעולית.

3. מודל האיום ופורמליזציה של הבעיה

סביבות multi‑cloud מציגות משטח תקיפה מבוזר המורכב מזהויות, שירותים מנוהלים, רשתות וירטואליות ו‑workloads. כדי לפורמליזציה של בעיית האבטחה, אנו מגדירים שלושה רכיבים עיקריים:

1. זהויות (משתמשים, roles, service accounts)
2. משאבים (אינסטנסים, buckets, מסדי נתונים)
3. ערוצי גישה (APIs, רשתות, endpoints)

יריב טיפוסי בתרחישי cloud מחזיק באחת מהיכולות ההתחלתיות הבאות:

• גישה לאישורי גישה שנחשפו
• גישה לקונטיינר שנפרץ
• גישה ל‑API token

מנקודת התחלה זו, התוקף מנסה להעלות הרשאות או לגשת לנתונים רגישים.

טבלה 2 מציגה וקטורי תקיפה נפוצים שנצפו בסביבות cloud.

וקטור תקיפה	טכניקת ATT&CK	השפעה
אישורי IAM חשופים	T1078	גישה ראשונית
הרשאות IAM עודפות	T1098	העלאת הרשאות
Buckets ציבוריים של S3	T1530	דליפת נתונים
קונטיינרים עם הרשאות גבוהות	T1611	בריחה מקונטיינר
Tokens גנובים של Kubernetes	T1552	תנועה רוחבית

כדי לכמת את הסיכון, אנו מגדירים פונקציית סיכון המבוססת על שלושה גורמים:

• חשיפה ($E$)
• רמת הרשאה ($P$)
• יכולת גילוי ($D$)

הסיכון התפעולי מוגדר כ:

$$ R = \frac{E \times P}{D} $$

כאשר:

• $E$ מייצג את מספר מסלולי הגישה הזמינים למשאב
• $P$ מייצג את רמת ההרשאה המשויכת
• $D$ מייצג את הסתברות הגילוי המבוססת על טלמטריה

ככל שערך $R$ גבוה יותר, כך עדיפות המיתון גבוהה יותר.

מודל זה מאפשר לתעדף תצורות מסוכנות, כגון roles עם הרשאות רחבות ונראות נמוכה של לוגים.

4. המתודולוגיה המוצעת

המתודולוגיה המוצעת משלבת שלוש שכבות אבטחה עיקריות:

1. ביקורת תצורה רציפה
2. ניטור runtime
3. ניתוח התנהגותי מבוסס לוגים

ראשית, כלי ביקורת כגון ScoutSuite מזהים תצורות לא מאובטחות בחשבונות cloud.

דוגמה להרצה:

python scoutsuite.py aws --profile security-audit --report-dir reports

שלב זה מזהה בעיות כגון:

• buckets ציבוריים
• roles עם מדיניות AdministratorAccess
• לוגים מושבתים

השכבה השנייה משתמשת ב‑ניטור runtime מבוסס eBPF כדי לזהות התנהגויות חשודות בקונטיינרים.

דוגמה לבדיקת תאימות Kubernetes:

kube-bench run --targets master,node --benchmark cis-1.23

בקרות אלו מזהות תצורות לא מאובטחות כגון:

• קונטיינרים עם הרשאות גבוהות
• שימוש ב‑hostNetwork
• הרשאות עודפות של service accounts

השכבה השלישית מנתחת לוגים של APIs בענן. אירועים כמו CreateAccessKey, ‏AssumeRole או GetObject עשויים להצביע על פעילות זדונית.

טבלה 3 מציגה דוגמאות לאירועים קריטיים.

אירוע	שירות	אינדיקטור
CreateAccessKey	IAM	התמדה אפשרית
AssumeRole	STS	תנועה רוחבית
GetObject	S3	דליפת נתונים
RunInstances	EC2	כריית קריפטו

האירועים מתואמים בתוך SIEM כדי לזהות שרשראות תקיפה.

5. מימוש

המימוש בוצע בסביבה ניסיונית הכוללת:

• AWS
• Azure
• cluster של Kubernetes ב‑GKE

הארכיטקטורה כוללת:

• איסוף לוגים באמצעות CloudTrail ו‑Audit Logs
• קליטה למערכת SIEM
• זיהוי התנהגותי באמצעות Falco

דוגמה לכלל Falco:

- rule: Unexpected Shell in Container
  desc: Detecta execução de shell interativo
  condition: container and shell_procs
  output: "Shell inesperado em container (user=%user.name)"
  priority: WARNING

בנוסף, סקריפטים אוטומטיים מחשבים את ציון הסיכון $R$ עבור כל משאב cloud.

6. הערכה ניסיונית

הסביבה הניסיונית כללה 120 משאבי cloud ו‑35 זהויות IAM.

מדד	לפני	אחרי
MTTD	47 דקות	8 דקות
MTTF	3.2 שעות	1.1 שעות
משאבים עם סיכון גבוה	28	9

הערכה נוספת השוותה בין כלי זיהוי.

כלי	סוג	כיסוי
Falco	Runtime	גבוה
GuardDuty	מנוהל	בינוני
Azure Defender	מנוהל	גבוה
SIEM מותאם	לוגים	גבוה

התוצאות הראו כי שילוב טלמטריית runtime עם לוגים של cloud משפר באופן משמעותי את הנראות.

7. מחקר מקרה

בתרחיש מדומה בהשראת תקריות אמיתיות, מפתח חשף מפתח AWS במאגר ציבורי. תוקף אוטומטי השתמש במפתח כדי לבצע פקודות STS ולקבל role בעל הרשאות גבוהות.

התוקף ניגש לאחר מכן ל‑bucket של S3 שהכיל גיבויי מסד נתונים. רצף האירועים כלל:

1. GetCallerIdentity
2. ListBuckets
3. AssumeRole
4. GetObject

תיאום הלוגים אפשר לזהות את ההתנהגות בתוך פחות מ‑10 דקות.

8. דיון

התוצאות מראות כי אבטחת cloud תלויה במידה רבה ב‑נראות תפעולית. גם ארגונים שאוספים לוגים לעיתים קרובות אינם מחזיקים במנגנוני תיאום יעילים.

אתגר נוסף הוא ניהול זהויות. בסביבות גדולות, חשבון AWS יחיד עשוי להכיל אלפי roles של IAM. הדבר מקשה על זיהוי הרשאות מסוכנות ללא אוטומציה.

בנוסף, סביבות Kubernetes מוסיפות מורכבות נוספת בשל האינטראקציה בין בקרת זהויות, networking ו‑runtime.

9. מסקנות ועבודה עתידית

מחקר זה הציג גישה תפעולית לאבטחה בסביבות cloud המבוססת על מודל סיכון פורמלי וטלמטריה מבוזרת. השילוב של ביקורת תצורה, ניטור runtime וניתוח לוגים הוכיח כי הוא מפחית משמעותית את זמן הזיהוי של פעילויות זדוניות.

עבודות עתידיות צריכות לחקור שימוש ב‑machine learning לניתוח התנהגות ב‑APIs של cloud ולשלב טכניקות זיהוי עם מדיניות תיקון אוטומטית.

12. מקורות

AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/

CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org

FALCO PROJECT. Falco Documentation. 2024. https://falco.org

GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center

KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/

MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov

NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov

ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security

PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com

SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite

SYSdig. Falco Runtime Security. 2023. https://sysdig.com

VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/

WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io

MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/

CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov

CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io

SNYK. Kubernetes Security Report. 2023. https://snyk.io

AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com

RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com

IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security

GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp

MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud

AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail

KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org

EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io