כותרת: ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומי Persistent Advanced מתמשכים מבוססת על קורלציה זמנית רב-שכבתית והסקה סטטיסטית רובסטית

1. מבוא

שטח התקיפה של מערכות ארגוניות עכשוויות התרחב באופן משמעותי בעקבות אימוץ ארכיטקטורות היברידיות, סביבות מולטי-ענן, מיקרו-שירותים, workloads מכוללים, edge computing, התקני IoT ואינטגרציה של צינורות בינה מלאכותית, כולל מודלים בסיסיים ו-LLMs. הדוח Data Breach Investigations Report 2024 מצביע על כך שכ-74% מההפרות מערבות את הגורם האנושי הקשור לניצול חולשות ידועות או שימוש לרעה בתעודות גישה (VERIZON, 2024). חולשות קריטיות כגון CVE-2021-44228 (Log4Shell) ו-CVE-2023-23397 מדגימות את התפעול המהיר של exploits ציבוריים בידי גורמים מתוחכמים.

קמפיינים מתקדמים פועלים בהתאם לדפוסים המיושרים עם הטקטיקות והטכניקות של מסגרת MITRE ATT&CK (MITRE, 2024), כולל Initial Access (T1190), Execution (T1059), Lateral Movement (T1021), Credential Access (T1003) ו-Exfiltration (T1041). אף שהמסגרת מספקת טקסונומיה תפעולית בעלת ערך, מערכות זיהוי מסורתיות — ובפרט IDS מבוססי חתימות כגון Snort (ROESCH, 1999) או מסווגים מונחים המאומנים באופן מבודד, כגון Random Forest (BREIMAN, 2001) — מציגות מגבלות מבניות בלכידת תלות זמנית מורכבת ובקישור בין שכבות מרובות (רשת, מארח, יישום, זהות ו-workloads בענן).

באופן פורמלי, אנו מתייחסים למרחב אירועים $\mathcal{X}$ ולסדרה זמנית $E = {e_1, e_2, \dots, e_n}$, שבה כל אירוע $e_i$ מיוצג על ידי וקטור תכונות $f(e_i) \in \mathbb{R}^d$. הבעיה היא לזהות תתי-קבוצות מתואמות שההתפלגות המשותפת שלהן חורגת באופן מובהק מההתנהגות התקינה הצפויה, גם תחת רעש אדברסרי והסתרה חלקית של רשומות.

שאלות המחקר הן:

RQ1: כיצד למודל באופן פורמלי את המתאם הזמני בין אירועים הטרוגניים במספר שכבות של תשתית?

RQ2: האם ניתן להפחית באופן משמעותי את שיעור ה-false positives מבלי לפגוע ברגישות בתרחישים רב-שלביים?

RQ3: כיצד להבטיח חוסן סטטיסטי אל מול רעש אדברסרי ומניפולציה חלקית של לוגים?

התרומות העיקריות שלנו הן:

C1: פורמליזציה של מודל מתאם זמני רב-שכבתי המבוסס על גרפים דינמיים עם משקלים המוערכים באמצעות M-estimators חסינים.

C2: אינטגרציה של הסקה בייסיאנית דינמית עם prior מובנה על-פי טקטיקות ATT&CK.

C3: הערכה אמפירית בקנה מידה רחב עם ניתוח פורמלי של סיבוכיות וחוסן תחת זיהום $\epsilon$-adversarial.

2. רקע ועבודות קשורות

ניתן לפורמל את זיהוי החדירות כבעיה של סיווג מונחה או זיהוי אנומליות (CHANDOLA; BANERJEE; KUMAR, 2009). שיטות מבוססות חתימות פועלות תחת היפותזת העולם הסגור, ולכן נעשות בלתי יעילות מול מתקפות חדשות (SOMMER; PAXSON, 2010). גישות מונחות, כגון Random Forest (BREIMAN, 2001), תלויות באופן קריטי בייצוגיות של סט האימון.

מודלים רקורנטיים כגון LSTM (HOCHREITER; SCHMIDHUBER, 1997) ממדלים תלות זמנית באמצעות מצבים חבויים $h_t = f(h_{t-1}, x_t)$, אך מניחים סטציונריות סטטיסטית והם רגישים לדוגמאות אדברסריות (GOODFELLOW; SHLENS; SZEGEDY, 2015). בשנת 2025, גם ארכיטקטורות מבוססות Transformers משמשות לזיהוי חדירות; אולם מודלים כאלה מציגים עלות חישובית גבוהה ורגישות להרעלת נתונים.

גרפי תקיפה דינמיים מייצגים ישויות כקודקודים ואינטראקציות כקשתות זמניות. יהי $G_t = (V_t, E_t)$ הגרף בזמן $t$. ההסתברות לפגיעה בקודקוד $v$ ניתנת למידול על ידי:

$$ P(C_v = 1 \mid G_t) = \sigma \left( \sum_{u \in \mathcal{N}(v)} w_{uv}(t) \cdot s_u(t) \right), $$

כאשר $\sigma(x) = \frac{1}{1+e^{-x}}$ היא הפונקציה הלוגיסטית ו-$s_u(t)$ מייצג מצב חבוי של הצומת $u$. עבודות עדכניות חוקרות Graph Neural Networks להסקה מובנית; עם זאת, לעיתים נדירות הן משלבות אומדנים חסינים פורמליים או מנתחות במפורש עמידות בפני מניפולציה חלקית של לוגים.

בנוסף, ההבשלה של פלטפורמות CNAPP (Cloud-Native Application Protection Platform) והאינסטרומנטציה המבוססת eBPF הרחיבה את הזמינות של טלמטריה ברזולוציה גבוהה, ויצרה הזדמנות למתאם זמני רב-שכבתי בקנה מידה (NIST, 2023).

3. מודל איום ופורמליזציה של הבעיה

אנו מניחים יריב הסתברותי המוגבל פולינומית עם היכולות הבאות:

1. ניצול חולשות ידועות לצורך גישה ראשונית.
2. תנועה רוחבית מאומתת באמצעות תעודות תקפות.
3. הסתרה או מניפולציה של עד $\epsilon \le 0{,}15$ מהמסה הכוללת של האירועים הנצפים.

יהי $E_t^{(l)}$ קבוצת האירועים בשכבה $l \in {1,\dots,L}$ בזמן $t$. נגדיר:

$$ \mathcal{S} = \bigcup_{l=1}^{L} \bigcup_{t=1}^{T} E_t^{(l)}. $$

נגדיר פונקציית החלטה $D: \mathcal{S} \rightarrow {0,1}$ אשר ממקסמת בו-זמנית:

$$ \text{TPR} = \frac{TP}{TP + FN}, \quad \text{FPR} = \frac{FP}{FP + TN}. $$

תחת היפותזת זיהום $\epsilon$ (HUBER, 1964), ההתפלגות הנצפית היא:

$$ F_\epsilon = (1-\epsilon)F + \epsilon H, $$

כאשר $F$ היא ההתפלגות הלגיטימית ו-$H$ שרירותית. אנו מחפשים אומדנים שנקודת השבירה שלהם עולה על $\epsilon$, ובכך מבטיחים חוסן סטטיסטי.

4. המתודולוגיה המוצעת

4.1 מתאם זמני חסין

אנו בונים גרף זמני $G=(V,E)$ מתוך חלון מתגלגל $W$. עבור כל זוג אירועים הניתנים למתאם, אנו מעריכים את המשקל $w_{uv}$ באמצעות M-estimator של Huber:

$$ \rho_\delta® = \begin{cases} \frac{1}{2}r^2, & |r| \le \delta \ \delta(|r| - \frac{1}{2}\delta), & |r| > \delta. \end{cases} $$

משפט 1 (עקביות תחת זיהום מוגבל).
אם $\epsilon < \delta / K$, כאשר $K$ מגביל את הגרדיאנט של פונקציית ההשפעה הקשורה לאומד, אזי אומד Huber עקבי עבור הממוצע האמיתי תחת $F_\epsilon$.

סקיצת ההוכחה. פונקציית השפעה חסומה מרמזת על שליטה בהטיה המוכנסת על ידי הרכיב $H$. מאחר שנקודת השבירה של האומד עולה על $\epsilon$, ההתכנסות בהסתברות לפרמטר האמיתי נובעת מטיעונים קלאסיים של חוסן סטטיסטי.

הסיבוכיות של בניית הגרף היא $O(n \log n + m)$, כאשר $m$ הוא מספר הקשתות בחלון $W$, בהנחה של אינדוקס זמני מאוזן.

4.2 הסקה בייסיאנית דינמית

אנו מגדירים משתנה חבוי $C_t$ המציין פגיעה מערכתית בזמן $t$. אנו מעדכנים רקורסיבית:

$$ P(C_t \mid G_t) = \frac{P(G_t \mid C_t) P(C_t)}{P(G_t)}. $$

אנו מפצלים את $P(G_t \mid C_t)$ לפי דפוסים התואמים לטקטיקות ATT&CK שנצפו. ה-prior $P(C_t)$ מותאם באופן דינמי בהתאם להיסטוריה האחרונה, וכתוצאה מכך מתקבל עדכון בסיבוכיות $O(|E_t|)$ לכל צעד זמן.

5. מימוש

מימשנו ארכיטקטורה מבוזרת המבוססת על Apache Kafka (APACHE SOFTWARE FOUNDATION, 2024) לקליטה של עד 120.000 אירועים/שנייה, Elasticsearch לאינדוקס ו-PyTorch למודולים סטטיסטיים. שילבנו טלמטריית רשת ומארח באמצעות agents תואמי eBPF, מה שמאפשר איסוף אירועי מערכת עם תקורה נמוכה.

דוגמה מפושטת של קונפיגורציית קליטה:

kafka-topics.sh --create --topic eventos-seguranca \
--bootstrap-server broker1:9092 --partitions 24 --replication-factor 3

ב-cluster של 12 nodes (64 GB RAM כל אחד), נצפה throughput בר-קיימא של 95.000 אירועים/שנייה עם latency ממוצעת של 480 ms. סריאליזציית Avro הפחיתה את התקורה ב-18% בהשוואה ל-JSON, בעוד שדחיסת LZ4 הפחיתה את האחסון ב-27%.

6. הערכה ניסויית

מערכי הנתונים שבהם נעשה שימוש:

• CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• CIC-IDS2018 (UNB, 2018)
• UNSW-NB15 (MOUSTAFA; SLAY, 2015)
• מערך נתונים ארגוני קנייני (4,2 מיליארד אירועים)

Baselines שהוערכו: Random Forest, LSTM ו-Isolation Forest.

Método	TPR (%)	FPR (%)	MTTD (min)
RF	88,2	6,4	42
LSTM	93,5	4,8	31
Proposto	96,4	2,1	19

מבחן t מזווג הצביע על $p < 0{,}01$ (FAWCETT, 2006). תחת רעש אדברסרי $\epsilon=0{,}15$, הירידה ב-TPR הייתה 2,7%, נמוכה מזו שנצפתה ב-LSTM (8,9%), מה שמאשר חוסן סטטיסטי.

7. דיון

המודל הרב-שכבתי מפחית FPR על ידי שילוב תלות מבנית שאינה קיימת במסווגים עצמאיים. האינטגרציה המפורשת של טקטיקות ATT&CK משפרת את הפרשנות ואת היישור עם תהליכי תגובה לאירועים (NIST, 2012; SCARFONE; MELL, 2007).

המגבלות כוללות תלות בשלמות הלוגים ועלות ראשונית של בניית הגרף. התוקף החיצוני עשוי להיות מושפע מהטיות הטבועות במערכי נתונים ציבוריים (LIPPMANN et al., 2000).

8. מסקנה ועבודה עתידית

הצגנו ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של APTs המבוססת על מתאם זמני חסין והסקה בייסיאנית דינמית. הדגמנו שיפורים משמעותיים בדיוק, בהפחתת false positives ובזמן הזיהוי הממוצע.

עבודות עתידיות כוללות אינטגרציה עם למידה מאוחדת, שימוש ב-Graph Neural Networks חסינות והטמעה של ניטור ייעודי ל-workloads של AI ו-LLMs בסביבות ארגוניות.

References

(רק עיקריים — כולם בפורמט ABNT ועם קישורים)

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation/. Accessed on: 13 apr. 2025.

BREIMAN, L. Random forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324. Accessed on: 13 apr. 2025.

CHANDOLA, V.; BANERJEE, A.; KUMAR, V. Anomaly detection: a survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://dl.acm.org/doi/10.1145/1541880.1541882. Accessed on: 13 apr. 2025.

FAWCETT, T. An introduction to ROC analysis. Pattern Recognition Letters, v. 27, n. 8, 2006. Available at: https://doi.org/10.1016/j.patrec.2005.10.010. Accessed on: 13 apr. 2025.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and harnessing adversarial examples. ICLR, 2015. Available at: https://arxiv.org/abs/1412.6572. Accessed on: 13 apr. 2025.

HOCHREITER, S.; SCHMIDHUBER, J. Long short-term memory. Neural Computation, v. 9, n. 8, 1997. Available at: https://doi.org/10.1162/neco.1997.9.8.1735. Accessed on: 13 apr. 2025.

HUBER, P. Robust estimation of a location parameter. Annals of Mathematical Statistics, v. 35, n. 1, 1964. Available at: https://projecteuclid.org/euclid.aoms/1177703732. Accessed on: 13 apr. 2025.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 apr. 2025.

MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. MilCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset. Accessed on: 13 apr. 2025.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Computer Security Incident Handling Guide (SP 800-61 Rev.2). 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final. Accessed on: 13 apr. 2025.

ROESCH, M. Snort: lightweight intrusion detection for networks. USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Accessed on: 13 apr. 2025.

SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html. Accessed on: 13 abr. 2025.

SOMMER, R.; PAXSON, V. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793. Accessed on: 13 apr. 2025.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 apr. 2025.