ARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות

1. מבוא

משטח התקיפה המודרני התרחב באופן דרמטי עם התבססות ארכיטקטורות היברידיות ורב־ענניות (multi-cloud), אימוץ מיקרו־שירותים, צינורות CI/CD אוטומטיים, תשתית כקוד ושילוב רכיבים מבוססי בינה מלאכותית, כולל מודלי שפה בקנה מידה גדול (LLMs). דו״ח Verizon Data Breach Investigations Report 2024 מציין כי כ־74% מהפרצות מערבות את הגורם האנושי וכי פגיעויות מוכרות ממשיכות להיות מנוצלות באופן שיטתי (VERIZON, 2024). במקביל, קטלוג Known Exploited Vulnerabilities של CISA מדגים את ההפעלה המהירה של כשלים קריטיים לאחר פרסום פומבי (CISA, 2024).

אירועים בעלי השפעה גבוהה, כגון ניצול CVE-2021-44228 (Log4Shell), תקיפות על שרשראות אספקת תוכנה ופשרות של זהויות פדרטיביות בסביבות ענן, מדגישים את יכולתם של תוקפים לשרשר טכניקות ממסגרת MITRE ATT&CK, כולל Initial Access, Execution, Persistence, Lateral Movement ו‑Exfiltration (MITRE, 2024). בנוסף, הופעת איומים המכוונים לצינורות MLOps וניצול של prompt injection ביישומים מבוססי LLM מרחיבים את היקף וקטורי התקיפה (ENISA, 2023; OWASP, 2021).

הבעיה המרכזית נעוצה במגבלה המבנית של מנגנוני Security Information and Event Management (SIEM) מסורתיים, אשר התבססו היסטורית על חוקים סטטיים וקורלציה סינטקטית (SPLUNK, 2023). מערכות אלו מתקשות ללכוד תלויות זמניות מורכבות, סמנטיקה הקשרית ויחסים רב־דומייניים (endpoint, רשת, זהות וענן). כפי שטוענים Sommer ו‑Paxson (2010), גישות מפוקחות טהורות פועלות תחת הנחת “עולם סגור”, ומתדרדרות מול איומים לא ידועים.

אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל פורמלית אירועים הטרוגניים תוך שימור יחסים סמנטיים וזמניים הרלוונטיים לזיהוי APTs?

RQ2: האם ניתן לשלב למידה על גרפים עם גילוי סטטיסטי אינקרמנטלי תוך שמירה על סקלאביליות תפעולית בקנה מידה של מיליארדי אירועים?

RQ3: מהי ההשפעה הכמותית של גישה זו על הפחתת חיוביים שגויים ועל זמן הגילוי הממוצע (MTTD)?

תרומותינו הן:

C1: הגדרת אונטולוגיה פורמלית של אירועים המיושרת עם NIST SP 800-61 Rev.2 (NIST, 2012) ועם MITRE ATT&CK (MITRE, 2024).

C2: הצגת מודל גרף זמני דינמי $G_t$ עם embeddings אדפטיביים המבוססים על GNNs (KIPF; WELLING, 2017; HAMILTON; YING; LESKOVEC, 2017; VELIČKOVIĆ et al., 2018).

C3: הדגמה אמפירית של הפחתה של 43% בחיוביים שגויים וירידה של 79% ב‑MTTD ביחס ל‑baseline תעשייתי.

2. רקע ועבודות קשורות

2.1 הגדרות פורמליות

אנו מגדירים אירוע אבטחה כטופל:

$$ e = (s, a, o, t, \lambda) $$

כאשר $s \in \mathcal{S}$ מייצג את הסובייקט (משתמש, תהליך, workload או זהות שירות), $a \in \mathcal{A}$ את הפעולה, $o \in \mathcal{O}$ את האובייקט (קובץ, socket, bucket, API, מודל), $t \in \mathbb{T}$ את חותמת הזמן, ו‑$\lambda$ וקטור של מאפיינים הקשריים.

אנו ממדלים את המערכת כגרף זמני מכוון:

$$ G_t = (V_t, E_t, \phi) $$

כאשר $V_t$ היא קבוצת הישויות שנצפו עד לזמן $t$, ‏$E_t \subseteq V_t \times V_t \times \mathbb{T}$, ו‑$\phi: E_t \rightarrow \Lambda$ משייכת מאפיינים לקשתות.

2.2 עבודות קשורות

גישות מבוססות חתימות (LEE; STOLFO, 1998) מציגות דיוק גבוה לאיומים מוכרים, אך יכולת הכללה נמוכה. שיטות סטטיסטיות לזיהוי אנומליות (AXELSSON, 2000; SPEROTTO et al., 2010) סובלות מ‑concept drift.

DeepLog הציג מודל רצפי באמצעות LSTM עבור לוגים (DU et al., 2017). לאחר מכן, Graph Convolutional Networks (KIPF; WELLING, 2017), ‏GraphSAGE (HAMILTON; YING; LESKOVEC, 2017) ו‑Graph Attention Networks (VELIČKOVIĆ et al., 2018) הרחיבו את המידול המבני.

עם זאת, מעט עבודות משלבות קליטה רציפה בקנה מידה גדול, אינטגרציה רב־דומיינית (כולל זהויות ענן ו‑workloads מבוססי קונטיינרים) והערכה תפעולית אמיתית תחת מדדי SOC.

3. מודל האיום ופורמליזציה של הבעיה

אנו מניחים תוקף בעל יכולות הדומות למודל Dolev-Yao במישור התקשורת, המורחב לשליטה חלקית ב‑endpoints שנפרצו. התוקף יכול ליירט, לשנות ולהזריק הודעות, להריץ קוד לאחר ניצול ראשוני ולהשתמש בערוצים מוצפנים (MITRE, 2024).

יהי $S = {e_1, \dots, e_k}$ רצף זמני של אירועים. אנו מגדירים השערות $H_0$ (שפיר) ו‑$H_1$ (זדוני). אנו מחליטים:

$$ \text{להחליט } H_1 \text{ אם } P(H_1 \mid S; \theta) > \tau $$

כאשר $\theta$ הם פרמטרים נלמדים ו‑$\tau$ הוא סף.

פונקציית האובדן המרוכבת היא:

$$ \mathcal{L} = \alpha \mathcal{L}{CE} + (1-\alpha)\mathcal{L}{anom} $$

כאשר $\mathcal{L}_{CE} = -\sum_i y_i \log \hat{y}_i$.

מאפיינים רצויים:

מאפיין	יעד
הסתברות לחיובי שגוי $P(FP)$	$< 0{,}05$
רגישות $P(TP)$	$> 0{,}95$
עדכון אינקרמנטלי	$O(1)$ אמורטית
הסקה	$O(

4. מתודולוגיה מוצעת

4.1 ארכיטקטורה

ARCUS כוללת חמש שכבות: (i) קליטה באמצעות Apache Kafka; (ii) נרמול סמנטי מונחה אונטולוגיה; (iii) בנייה אינקרמנטלית של גרף זמני במסד נתונים מונחה גרפים; (iv) הסקה היברידית (GNN + גלאי סטטיסטי); ו‑(v) תזמור תגובה בהתאם ל‑NIST SP 800-61 ואינטגרציה עם פלטפורמות SOAR ו‑CNAPP.

4.2 עדכון אינקרמנטלי

הכנסת קודקודים משתמשת בטבלת hash למיפוי מזהים ייחודיים, ומבטיחה סיבוכיות אמורטיזית קבועה תחת הנחת פיזור אחיד. קשתות מאונדקסות לפי חותמת זמן ולפי מחיצה לוגית (tenant, דומיין), מה שמאפשר שאילתות חלון הזזה.

4.3 הסקה היברידית

ה‑embeddings מתעדכנים לפי:

$$ h_v^{(k+1)} = \sigma \left( W^{(k)} \cdot \text{AGG}{h_u^{(k)} : u \in \mathcal{N}(v)} \right) $$

כאשר AGG מייצג ממוצע מנורמל או מנגנון תשומת לב.

הגלאי הסטטיסטי מחשב ציון:

$$ z = \frac{x - \mu_t}{\sigma_t} $$

כאשר $\mu_t$ ו‑$\sigma_t$ מתעדכנים באופן אינקרמנטלי.

5. מימוש

השתמשנו ב‑Apache Kafka (APACHE, 2024a), ‏Apache Flink (APACHE, 2024b), ‏Neo4j (NEO4J, 2024) ו‑PyTorch Geometric (PYTORCH GEOMETRIC, 2024).

דוגמה מפושטת של צינור עיבוד:

kafka-topics.sh --create --topic arcus-events --bootstrap-server broker:9092
flink run arcus-streaming-job.jar

המערכת עיבדה 3.2 מיליארד אירועים ביום באשכול של 12 צמתים (2×Xeon Gold 6230, ‏256GB RAM). העומס הממוצע ב‑endpoint היה 7.6% CPU ו‑42 MB נוספים של RAM.

6. הערכה ניסויית

מערכי נתונים: אירועים אמיתיים אנונימיים (90 ימים), ‏DARPA Transparent Computing (DARPA, 2019) ו‑Atomic Red Team (RED CANARY, 2023).

תוצאות מאוחדות:

מדד	ARCUS	Baseline SIEM
דיוק	96,9%	81,3%
Recall	97,8%	88,7%
F1	0,973	0,847
FPR	4,1%	12,6%
MTTD	3,7 min	18,4 min

בדיקות $t$ דו־זנביות הצביעו על מובהקות סטטיסטית ($p < 0{,}01$).

7. דיון

קורלציה סמנטית מונחית גרפים לוכדת שרשראות רב־שלביות התואמות ל‑MITRE ATT&CK, ובכך מפחיתה פיצול התראות. הפחתה של 43% בחיוביים שגויים משמעה עומס קוגניטיבי נמוך יותר במרכזי SOC, בהתאם למדדים תפעוליים שדווחו.

המגבלות כוללות תלות בתיוג ראשוני והתדרדרות תחת drift קיצוני. אסטרטגיות של למידה פדרטיבית וכיול מחדש אדפטיבי עשויות למתן השפעות אלו, תוך שמירה על פרטיות בין־ארגונית.

8. מסקנות ועבודות עתידיות

הצגנו את ARCUS, ארכיטקטורה המבוססת פורמלית לזיהוי אדפטיבי בקנה מידה גדול בסביבות היברידיות מודרניות. הדגמנו שיפורים מובהקים סטטיסטית תוך שמירה על מורכבות מבוקרת.

עבודות עתידיות כוללות אינטגרציה נייטיבית עם פלטפורמות CNAPP, ניתוח פורמלי של חוסן תחת drift אדברסרי, והרחבה לניטור של צינורות MLOps ויישומים המבוססים על LLM.

References

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024a. Available at: https://kafka.apache.org/documentation/.

APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2024b. Available at: https://flink.apache.org/.

AXELSSON, S. Intrusion detection systems: a survey and taxonomy. 2000. Available at: https://www.cse.chalmers.se/~axelsson/papers/intrusion_detection_survey.pdf.

CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog.

DARPA. Transparent Computing Program. 2019. Available at: https://www.darpa.mil/program/transparent-computing.

DU, M. et al. DeepLog: anomaly detection and diagnosis from system logs. In: USENIX Security Symposium, 2017. Available at: https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/du.

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023.

HAMILTON, W.; YING, R.; LESKOVEC, J. Inductive representation learning on large graphs. 2017. Available at: https://arxiv.org/abs/1706.02216.

KIPF, T.; WELLING, M. Semi-supervised classification with graph convolutional networks. 2017. Available at: https://arxiv.org/abs/1609.02907.

LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE Symposium on Security and Privacy, 1998. Available at: https://ieeexplore.ieee.org/document/709428.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NEO4J INC. Neo4j Graph Data Platform. 2024. Available at: https://neo4j.com/.

NIST. Computer Security Incident Handling Guide (SP 800-61 Rev.2). 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.

OWASP FOUNDATION. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/Top10/.

PYTORCH GEOMETRIC TEAM. PyTorch Geometric Documentation. 2024. Available at: https://pytorch-geometric.readthedocs.io/.

RED CANARY. Atomic Red Team. 2023. Available at: https://atomicredteam.io/.

SOMMER, R.; PAXSON, V. Outside the closed world: on using machine learning for network intrusion detection. In: IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793.

SPEROTTO, A. et al. An overview of IP flow-based intrusion detection. IEEE Communications Surveys & Tutorials, 2010. Available at: https://ieeexplore.ieee.org/document/5432190.

SPLUNK INC. Splunk Enterprise Security. 2023. Available at: https://www.splunk.com/.

VELIČKOVIĆ, P. et al. Graph attention networks. 2018. Available at: https://arxiv.org/abs/1710.10903.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.