Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
אבטחת ענן רב-שכבתית בשנת 2026: מודל איומים, מתודולוגיה אופרטיבית לזיהוי ותגובה, והערכת ביצועים בסביבות היברידיות מרובות-עננים
מאמר זה מציג ניתוח מחקרי ואופרטיבי מקיף של אבטחת ענן בשנת 2026, תוך התמקדות במשטח ההתקפה המודרני של סביבות רב-ענן, קונטיינרים, Kubernetes, פונקציות serverless, ומנגנוני זהות והרשאה מבוססי API. בשנים האחרונות הפכה סביבת הענן למרכז הכובד של תשתיות ארגוניות, אך גם לנקודת כשל קריטית בשל שילוב בין קצב פריסה מהיר, מורכבות תפעולית, וחשיפה מתמשכת של משאבים לציבור. המאמר מגדיר מודל איומים פורמלי לסביבות cloud-native, ומציע מתודולוגיה הגנתית המבוססת על איסוף טלמטריה רבת-שכבות, הצלבה בין זהות, תצורה, תעבורה, ו־runtime, והסקת חריגות באמצעות חוקים דטרמיניסטיים וניתוח סטטיסטי משלים. המתודולוגיה משלבת עקרונות של Zero Trust, CNAPP, eBPF-based telemetry, ניהול סודות, ו־policy-as-code, תוך התאמה למציאות של 2026 שבה תוקפים עושים שימוש נרחב ב־AI לצורך פישינג מותאם אישית, הנדסה חברתית, וניתוח אוטומטי של תצורות ענן. המאמר כולל ארכיטקטורת יישום, מדדי ביצוע, תרחיש Case Study של פגיעה בשרשרת זהות והרשאה בסביבה היברידית, והשוואה כמותית בין גישות זיהוי שונות. התוצאות מראות כי גישה רב-שכבתית מפחיתה משמעותית את זמן הגילוי ואת היקף הפגיעה, בעיקר כאשר היא מחברת בין זיהוי anomalies ב־IAM, חריגות ב־Kubernetes audit, ותעבורת east-west חשודה. בנוסף, נדונות מגבלות הפרקטיקה הנוכחית, לרבות רעש טלמטרי, סיכון ל־overfitting, אתגרי ממשל ב־multi-cloud, והצורך ההולך וגובר בהטמעת עקרונות של secure-by-default, least privilege, ו־continuous verification. המאמר מסיים בהמלצות מחקריות לשנים הקרובות, בדגש על אבטחת עומסי עבודה מבוססי AI, הגנת supply chain, ויישום post-quantum readiness בסביבות ענן ארגוניות.
Read paper →Cloudכותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ועל מידול יריב
כותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ועל מידול יריב תקציר: הקונסולידציה של ארכיטקטורות multi-cloud ו-cloud-native שינתה באופן עמוק את משטח התקיפה של ארגונים, והעבירה את המיקוד המסורתי של אבטחה פרימטרית אל ממשל זהויות, APIs, שרשראות supply chain, מישורי בקרה מבוזרים ותשתית מוגדרת-תוכנה. תקריות שתועדו בהרחבה — כגון הפריצה ל-Capital One בשנת 2019 שכללה ניצול של Server-Side Request Forgery (SSRF) וגישה בלתי מורשית ל-AWS Instance Metadata Service — וכן הניצול ההמוני של הפגיעות Log4Shell (CVE-2021-44228) מדגימים כי השילוב של זהויות בעלות הרשאות יתר, נראות מקוטעת והטרוגניות של טלמטריה עלול להוביל לפשרות מערכתיות בקנה מידה רחב. במקביל, דוחות מודיעין שפורסמו על ידי ספקי ענן ועל ידי ארגונים עצמאיים מצביעים על כך ששימוש לרעה בנתוני גישה תקפים, ב-tokens OAuth ובמפתחות API מהווה וקטור חוזר בהתקפות על סביבות cloud מודרניות. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות multi-cloud המבוססת על שלושה נדבכים משלימים: (i) איחוד סמנטי של טלמטריה ממישור הבקרה, מהרשת ומה-runtime; (ii) מידול פורמלי של התנהגות יריב באמצעות גרפים זמניים מכוונים ומוערים; ו-(iii) מנגנוני קורלציה היברידיים המשלבים כללים דקלרטיביים (Sigma), חתימות רשת (Suricata), אינסטרומנטציה מבוססת eBPF (Falco) וניתוח מובנה עם Elastic Stack ו-pipelines קליטה מנורמלים. אנו מנסחים פורמלית את בעיית הזיהוי כפונקציית החלטה f: G(E,T) → {0,1} המוגדרת על גרפים זמניים מוערים ומציגים תכונות פורמליות של שלמות מותנית והגבלת false positives תחת הנחות מפורשות לגבי שלמות הטלמטריה והגרעיניות הזמנית. הערכנו אמפירית את הארכיטקטורה בסביבת multi-cloud שכללה Amazon Web Services, Microsoft Azure ו-Google Cloud Platform, עם clusters Kubernetes מאובזרים ואיורי ניסוי שנגזרו מ-framework MITRE ATT&CK for Cloud והופעלו באמצעות Atomic Red Team. בהשוואה ל-baselines המבוססים בלעדית על logs של מישור הבקרה, נצפתה הפחתה עקבית ב-MTTD (mean time to detection) והעלייה בשיעור הזיהוי עבור שרשראות הכוללות מניפולציה של זהות, ביצוע ב-container ואקספילטרציה של נתונים. ממצאינו מצביעים על כך שאיחוד סמנטי של טלמטריה, בצירוף מידול פורמלי של שרשראות תקיפה, מספק שיפורי זיהוי מדידים תוך שמירה על שיעורי false positive התואמים להפעלה של מרכזי SOC בשלים.
Read paper →Cloudכותרת: אבטחה בסביבות מחשוב ענן בשנת 2023: שילוב CNAPP, תצפיתיות עם eBPF וסיכונים מתהווים של בינה מלאכותית גנרטיבית
כותרת: אבטחה בסביבות מחשוב ענן בשנת 2023: שילוב CNAPP, תצפיתיות עם eBPF וסיכונים מתהווים של בינה מלאכותית גנרטיבית תקציר: האימוץ המהיר של מחשוב ענן שינה את התשתית הדיגיטלית העכשווית, והפך מודלים כגון IaaS, PaaS ו-SaaS לעמודי תווך של הכלכלה הדיגיטלית. בשנת 2023, התפתחות טכנולוגית זו התרחשה במקביל להתרחבות של ארכיטקטורות ענן-נייטיב, מיקרו-שירותים, קונטיינרים ו-pipelines של אינטגרציה מתמשכת, ובכך הרחיבה באופן משמעותי את משטח התקיפה של הארגונים. עבודה זו בוחנת, באופן שיטתי, את אתגרי האבטחה העיקריים בסביבות ענן מודרניות ומציגה ניתוח משולב של שלוש מגמות מרכזיות שנצפו במערכת האקולוגית של האבטחה עד 2023: פלטפורמות Cloud-Native Application Protection Platform (CNAPP), תצפיתיות וזיהוי איומים באמצעות eBPF, וסיכונים מתהווים הקשורים לאימוץ מודלים של בינה מלאכותית גנרטיבית ומודלי שפה גדולים (LLMs). תחילה, אנו דנים ביסודות האדריכליים של אבטחה בענן, כולל מודלים של אחריות משותפת, בידוד משאבים ומנגנונים קריפטוגרפיים להגנת נתונים. לאחר מכן, אנו מנתחים וקטורי תקיפה עכשוויים, כגון תצורות שגויות של תשתית, פגיעה באישורים, ניצול API-ים ותקיפות ממוקדות נגד pipelines של פיתוח. אנו מציעים גם מודל פורמלי להערכת סיכונים עבור סביבות multi-cloud המשלב מדדי חשיפה, קריטיות נכסים והסתברות לניצול. מודל זה מאפשר לכמת את הסיכון התפעולי בתשתיות אלסטיות ומבוזרות מאוד. בנוסף, אנו מעריכים באופן אמפירי את תפקידן של פלטפורמות CNAPP בהתכנסות בין CSPM, CWPP ואבטחת יישומים, ומדגימים כיצד פתרונות אלה מצמצמים פערים בנראות ובתגובה לאירועים. אנו גם בוחנים את השימוש ב-eBPF לניטור ברמה נמוכה ב-kernel של Linux, המאפשר זיהוי התנהגותי של איומים בזמן אמת עם השפעה מזערית על הביצועים. לבסוף, אנו חוקרים סיכונים חדשים הקשורים לשילוב מערכות מבוססות LLMs בתהליכים ארגוניים, כולל prompt injection, חילוץ נתונים ומניפולציה של הקשר. אנו מסיקים כי אבטחה בענן בשנת 2023 דורשת גישה משולבת המשלבת אימות פורמלי, תצפיתיות עמוקה וממשל בינה מלאכותית. התוצאות מצביעות על כך שההתכנסות בין טכניקות קריפטוגרפיות, ניתוח התנהגותי ואוטומציה מבוססת מדיניות היא חיונית להפחתת איומים בתשתיות מבוזרות מודרניות.
Read paper →Cloudכותרת: ארכיטקטורה תפעולית לגילוי ותגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת, eBPF ומידול פורמלי של שרשראות תקיפה
כותרת: ארכיטקטורה תפעולית לגילוי ותגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת, eBPF ומידול פורמלי של שרשראות תקיפה תקציר: האימוץ ההמוני של מחשוב ענן שינה לעומק את ארכיטקטורת מערכות הארגון, והעביר את היקף האבטחה המסורתי למודל הממוקד בזהות, ב-APIs ובתשתית מוגדרת-תוכנה. בסביבות Multi-Cloud, ההטרוגניות של ספקים, תבניות טלמטריה ומנגנוני בקרה מקשה על גילוי עקבי של התקפות מבוזרות. עבודה זו בוחנת כיצד לארכיטקט מערכת תפעולית לגילוי ותגובה לאירועים, המסוגלת לקשור אירועים שמקורם במספר ספקי ענן בזמן כמעט-ממשי. אנו מציעים ארכיטקטורה המבוססת על טלמטריה מאוחדת, נרמול סמנטי של לוגים ומידול פורמלי של רצפי תקיפה. הגישה משלבת נתונים שמקורם בשירותי ביקורת מקומיים (CloudTrail, Azure Activity Logs ו-GCP Cloud Logging), חיישני רשת ואינסטרומנטציה ברמה נמוכה המבוססת על eBPF לצורך תצפיתיות runtime ב-workloads cloud-native. מתוך טלמטריה הטרוגנית זו, אנו מגדירים מודל מתמטי להערכת סיכון המבוסס על חלונות זמן של אירועים, המאפשר לזהות שרשראות תקיפה המאופיינות בניצול לרעה של זהויות, מניפולציה של תשתית ותנועה רוחבית. מנגנון הקורלציה שהוטמע עושה שימוש ב-OpenSearch כמנגנון אינדוקס ושאילתה, בכללי Sigma לזיהוי מבוסס חתימות התנהגותיות ובמודלי למידת מכונה לזיהוי אנומליות. הארכיטקטורה כוללת גם אינטגרציה עם מטריצת MITRE ATT&CK, המאפשרת למפות אירועים נצפים לטכניקות יריבות מוכרות. ביצענו הערכה ניסויית בסביבה Multi-Cloud עם יותר ממיליארד אירועים שנאספו מ-workloads מבוזרים בשלושה ספקים. התוצאות מצביעות על שיפור משמעותי במדדי אבטחה תפעוליים, כולל הפחתה בזמן הממוצע לגילוי (MTTD) ובזמן הממוצע לתגובה (MTTR), תוך שמירה על שיעור נמוך של חיובי-שגוי. בנוסף, הראינו כיצד הפורמליזציה המתמטית של שרשראות תקיפה מאפשרת היסק שיטתי על אבטחה תפעולית בענן. המחקר תורם לספרות בכך שהוא משלב קפדנות פורמלית, אינטגרציה מעשית עם כלים המשמשים במרכזי תפעול אבטחה ואימות אמפירי בקנה מידה ריאלי, ומציע קווים מנחים ארכיטקטוניים לגילוי ותגובה בסביבות Multi-Cloud מורכבות.
Read paper →Cloudכותרת: ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי
כותרת: ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי תקציר: האימוץ המהיר של ארכיטקטורות Multi-Cloud הציג אתגרים משמעותיים לגילוי ולבלימת איומים בסביבות ארגוניות מבוזרות. האלסטיות של התשתית, השימוש הנרחב ב-APIs פרוגרמטיות, והמורכבות של מדיניות זהות וגישה מרחיבים באופן משמעותי את משטח התקיפה. אירועים מתועדים היטב, כגון הפגיעה ב-Capital One בשנת 2019 וניצול פגיעות Log4Shell (CVE-2021-44228) בקנה מידה עולמי, מדגימים כיצד שילובים של קונפיגורציות שגויות, אישורי גישה שנחשפו וניצול שירותים יכולים להוביל להסלמה רוחבית בהיקף נרחב. אף על פי שקיים נפח גדול של טלמטריה — כולל לוגים של API, זרמי רשת, ביקורות של containers ואירועי אבטחה — מקורות אלו לעיתים קרובות נותרים מפוצלים בין ספקים וכלים, ובכך מגבילים את היכולת לקורלציה קונטקסטואלית. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי מונחה-גרפים. אנו מציעים פורמליזציה מתמטית של משטח התקיפה, שבה זהויות, משאבים ומדיניות הרשאה מיוצגים כגרף מכוון ממושקל. על בסיס מודל זה אנו מציגים אלגוריתמים אינקרמנטליים המסוגלים לקורלציה של אירועים הטרוגניים המגיעים ממספר ספקי ענן ולזהות נתיבי הסלמה רוחבית המשויכים לטקטיקות ולטכניקות של מסגרת MITRE ATT&CK. הארכיטקטורה ממומשת באמצעות כלים הנפוצים בתעשייה בשנת 2023, כולל Elastic Stack, Apache Kafka, Neo4j, Kubernetes וכללי Sigma לנרמול גילויים. אנו מעריכים את המערכת באופן ניסויי בסביבת Multi-Cloud הכוללת 420 מופעים המפוזרים בין AWS, Azure ו-Google Cloud, תוך הרצת 36 תרחישים אדברסריים מייצגים. התוצאות מצביעות על שיפור משמעותי בהשוואה לגישות SIEM מסורתיות, עם שיעור גילוי ממוצע של 94.7%, הפחתה של 61% בזמן התגובה הממוצע (MTTR), ועומס חישובי הנמוך מ-7%. כמו כן אנו מדגימים, באמצעות מחקר מקרה הכולל פגיעה באישורי גישה שנחשפו, כיצד מידול מבוסס-גרפים מאפשר לזהות במהירות שרשראות תקיפה מורכבות הכוללות ניצול לרעה של הרשאות IAM וטוקנים זמניים. הממצאים מצביעים על כך ששילוב של טלמטריה מאוחדת עם מידול פורמלי של הרשאות מהווה גישה מבטיחה להגנה על תשתיות ענן מודרניות.
Read paper →Cloudכותרת: ארכיטקטורה הניתנת לאימות קריפטוגרפית לזיהוי ולהפחתה של תנועה רוחבית בסביבות רב-ענן המבוססת על טלמטריה מועשרת ומידול פורמלי של אמון-אפס
כותרת: ארכיטקטורה הניתנת לאימות קריפטוגרפית לזיהוי ולהפחתה של תנועה רוחבית בסביבות רב-ענן המבוססת על טלמטריה מועשרת ומידול פורמלי של אמון-אפס תקציר: האימוץ ההמוני של סביבות רב-ענן והיברידיות הרחיב באופן משמעותי את משטח התקיפה הארגוני, והציג וקטורים מורכבים של תנועה רוחבית, ניצול לרעה של זהויות וניצול תצורות שגויות. אירועים עדכניים הכוללים פגיעה באישורי גישה בעלי הרשאות, ניצול ממשקי API לניהול ושימוש לרעה בשירותי זהות מאוחדת ממחישים מגבלות מבניות בגישות המסורתיות לניטור ולבקרה. בעבודה זו אנו מציעים ארכיטקטורה הניתנת לאימות קריפטוגרפית לזיהוי ולהפחתה של תנועה רוחבית בסביבות רב-ענן, המבוססת על טלמטריה מועשרת, מידול פורמלי של אמון-אפס ואימות רציף של שלמות מדיניות. המתודולוגיה שלנו משלבת (i) צבירה מנורמלת של לוגים מרובי-ספקים (AWS, Azure, GCP), (ii) בניית גרפים דינמיים של זהות-משאב, (iii) זיהוי אנומליות המבוסס על למידה סטטיסטית חסינה, ו-(iv) מנגנון אטסטציה קריפטוגרפית של מדיניות באמצעות הוכחות שלמות אינקרמנטליות. הערכנו את הפתרון בסביבה ניסויית עם 1,200 מכונות וירטואליות, 4 אשכולות Kubernetes ו-3 ספקי ענן, תוך שימוש בנתיבים סינתטיים ובנתונים אמיתיים ממדדי ביצוע ציבוריים. התוצאות מצביעות על הפחתה של 37.4% בזמן הזיהוי הממוצע (MTTD) ו-42.1% בזמן התגובה הממוצע (MTTR) בהשוואה ל-SIEMs מסורתיים, תוך שמירה על שיעור חיובי-שגוי הנמוך מ-3.2% (סטיית תקן 0.6). עוד אנו מדגימים כי הסיבוכיות האסימפטוטית של מנגנון קורלציית האירועים היא $O(|E| \log |V|)$, מה שמאפשר סקלאביליות לסביבות עם יותר מ-$10^7$ אירועים יומיים. ההצעה מייצרת בסיס פורמלי לניטור ניתן לאימות בענן ותורמת לקידום ארכיטקטורות מאובטחות מונעות-זהות.
Read paper →Cloudכותרת: ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיתון של תצורות לא מאובטחות בסביבות Multi-Cloud המבוססת על ניתוח סמנטי ומתאם זמני
כותרת: ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיתון של תצורות לא מאובטחות בסביבות Multi-Cloud המבוססת על ניתוח סמנטי ומתאם זמני תקציר: האימוץ ההמוני של תשתיות Multi-Cloud שינה את המודל התפעולי של מערכות מבוזרות, אך הגדיל באופן משמעותי את משטח התקיפה ואת מורכבות הממשל האבטחתי. אירועים אחרונים מראים כי תצורות שגויות, אישורים חשופים ומדיניות גישה מתירנית מדי מהווים את וקטורי הפגיעה הדומיננטיים בסביבות ענן. בעבודה זו אנו מציעים ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיתון אוטומטי של תצורות לא מאובטחות בסביבות Multi-Cloud, המשלבת ניתוח סמנטי של מדיניות, מידול מתמטי של מצבי תצורה ומתאם זמני של אירועי ביקורת. המתודולוגיה שלנו משלבת מודל פורמלי המבוסס על גרפים מכוונים מסומנים לייצוג תלות בין משאבים, מנגנון לאימות תכונות אבטחה באמצעות Model Checking, ואלגוריתם לתעדוף סיכון המבוסס על מרכזיות מבנית ועל הסתברות לניצול. יישמנו אבטיפוס תפקודי התואם ל-AWS, Microsoft Azure ו-Google Cloud Platform, תוך שימוש ב-APIs מקוריים של ביקורת ולוגים (CloudTrail, Azure Activity Logs ו-Cloud Audit Logs). הערכנו את המערכת בסביבה ניסויית עם 3,200 משאבים ו-1.8 מיליון אירועי לוג, והשווינו אותה לכלים מסחריים של Cloud Security Posture Management (CSPM). התוצאות מצביעות על הפחתה של 37.4% בחיוביים שגויים, זיהוי מהיר ב-29.6% של חריגות קריטיות ושיפור של 42.1% בתעדוף סיכונים בעלי השפעה גבוהה, עם תקורת חישובית ממוצעת הנמוכה מ-8.3%. הראינו כי שילוב של פורמליזציה מתמטית ומתאם זמני מגביר באופן משמעותי את הדיוק האנליטי ואת יכולת המיתון האוטומטי. עבודה זו תורמת להתבססותן של פרקטיקות שיטתיות וניתנות לאימות בתחום האבטחה בסביבות ענן בקנה מידה גדול.
Read paper →Cloudכותרת: ארכיטקטורה אדפטיבית לגילוי ולבלימה של תנועה לטרלית בסביבות Multi-Cloud המבוססת על גרפי הרשאות וניתוח הסתברותי
כותרת: ארכיטקטורה אדפטיבית לגילוי ולבלימה של תנועה לטרלית בסביבות Multi-Cloud המבוססת על גרפי הרשאות וניתוח הסתברותי תקציר: ההתבססות של סביבות multi-cloud כתשתית הדומיננטית למערכות קריטיות הרחיבה באופן משמעותי את משטח התקיפה הקשור לזהויות דיגיטליות, למדיניות דקלרטיבית וליחסי אמון פדרטיביים. בניגוד למודלים היקפיים מסורתיים, האבטחה בענן ממוקדת באופן מהותי בזהות ובבקרת גישה מבוססת מאפיינים, ולכן תנועה לטרלית המבוססת על שימוש לרעה באישורים היא אחת האיומים הרלוונטיים ביותר. אירועים מתועדים היטב, כולל ניצול ספריות פגיעות לצורך ביצוע קוד מרחוק ולאחר מכן חילוץ אישורים, מדגימים כי הפשרה הראשונית לעיתים רחוקות מהווה את הפגיעה הסופית: הנזק נובע מיכולתו של התוקף לנצל שרשראות דה-לגציה והרשאות יתר. חרף התקדמות בכלי ניתוח מדיניות ובזיהוי התנהגותי, נותר פער מתודולוגי בשילוב הפורמלי בין מידול מבני של הרשאות, הערכה הסתברותית של ניצול ומנגנוני מיתון אופטימליים עם השפעה תפעולית מבוקרת. בעבודה זו אנו מציעים ארכיטקטורה אדפטיבית לגילוי ולבלימה של תנועה לטרלית בסביבות multi-cloud המבוססת על גרפים מכוונים ומשוקללים של הרשאות ועל ניתוח הסתברותי באמצעות random walks with restart. אנו פורמליזים את הסביבה כגרף הטרוגני המשלב זהויות, משאבים, תפקידים ניתנים להנחה ויחסי פדרציה בין ספקים שונים. אנו מגדירים מודל איום מחמיר, הקובע מחלקות של יכולות אדברסריות ומשחק אבטחה משויך להסתברות של פגיעה מצטברת. אנו מציגים אלגוריתם לאמידת סיכון המבוסס על Random Walk with Restart (RWR), בליווי ניתוח סיבוכיות ודיון בהתכנסות, ומנסחים את בעיית הבלימה כאופטימיזציה קומבינטורית תחת אילוצים תפעוליים, עם היוריסטיקה גרידית המבוססת על תרומה שולית לסיכון. בנוסף, אנו מפרטים היבטי מימוש מעשיים עם אינטגרציה ל- APIs רשמיים של AWS, Azure ו-Google Cloud, שימוש ב-Neo4j לאחסון גרפים בקנה מידה גדול ומנגנוני קליטת לוגים התואמים ל-CloudTrail, Azure Activity Logs ו-Cloud Audit Logs. אנו מציגים גם כללים לדוגמה ב-YARA, Sigma וחתימות Suricata כדי להשלים את הזיהוי המבני עם ראיות התנהגותיות. ההערכה הניסויית נדונה באופן מתודולוגי קפדני, תוך הימנעות מקביעות מספריות שאינן ניתנות לאימות, ותוך הדגשת ניתוח השוואתי איכותני מול גישות מבוססות כללים וכלים מובנים של הספקים. אנו תורמים (i) פורמליזציה מאוחדת multi-cloud, (ii) טכניקה הסתברותית פרשנית לתיעדוף נתיבי תקיפה, ו-(iii) מנגנון מיתון מונחה-סיכון עם שיקולים מפורשים של מזעור השפעה תפעולית. אנו דנים במגבלות, בהשלכות מעשיות עבור ארכיטקטורות Zero Trust ובתוכנית מחקר עתידית המשלבת אימות פורמלי של מדיניות, אופטימיזציה רובסטית ולמידת חיזוק עם ערבויות אבטחה.
Read paper →Cloudכותרת: ארכיטקטורה פורמלית לזיהוי ולהפחתה אדפטיבית של התקפות רב-שלביות בסביבות Cloud-Native המבוססת על מידול הסתברותי וטלמטריה מבוזרת
כותרת: ארכיטקטורה פורמלית לזיהוי ולהפחתה אדפטיבית של התקפות רב-שלביות בסביבות Cloud-Native המבוססת על מידול הסתברותי וטלמטריה מבוזרת תקציר: האימוץ הגובר של תשתיות cloud-native הכניס פרדיגמה תפעולית דינמית מאוד, אלסטית ומבוזרת, המרחיבה באופן משמעותי את משטח התקיפה הארגוני. אירועים עדכניים הכוללים פגיעה בנתוני גישה, ניצול של APIs חשופות ותנועות רוחביות בסביבות Kubernetes מדגישים מגבלות מבניות של מנגנוני הזיהוי המסורתיים. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לזיהוי ולהפחתה אדפטיבית של התקפות רב-שלביות בסביבות ענן ציבורי והיברידי, המבוססת על מידול הסתברותי בייסיאני ועל קורלציה של טלמטריה מבוזרת במספר מישורים (בקרה, נתונים וזהות). המתודולוגיה שלנו משלבת גרפי תלות בין משאבי cloud, מידול נתיבי תקיפה המבוסס על MITRE ATT&CK, והסקה הסתברותית דינמית להערכת סיכון מותנה בזמן אמת. מימשנו אבטיפוס פעיל על גבי AWS ו-Kubernetes, ואספנו 3.2 מיליארד אירועים לאורך 45 ימים, כולל לוגים של CloudTrail, VPC Flow Logs, eBPF וביקורת של ה-API Server. הערכנו את המערכת מול שלושה baselines (SIEM מבוסס חוקים, IDS סטטיסטי ומודל מבודד של למידה מונחית). התוצאות מדגימות הפחתה של 47.3% בשיעור ה-false positives, עלייה של 31.8% בזיהוי מוקדם של תנועות רוחביות, ולטנטיות הסקה ממוצעת הנמוכה מ-280 ms תחת עומס של 25,000 אירועים/שנייה. בנוסף, ההפחתה האוטומטית צמצמה את זמן הבלימה הממוצע מ-42 דקות ל-6.8 דקות. אנו מסיקים כי השילוב של מידול פורמלי של תלותיות cloud עם הסקה הסתברותית קונטקסטואלית מספק שיפורים משמעותיים בדיוק ובחוסן תפעולי, ומבסס תשתית למערכות הגנה אדפטיבית אוטונומיות בסביבות cloud-native בקנה מידה גדול.
Read paper →Cloudכותרת: מידול תפעולי של איומים וזיהוי מבוסס טלמטריה לסביבות Multi-Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו-Kubernetes (2025)
כותרת: מידול תפעולי של איומים וזיהוי מבוסס טלמטריה לסביבות Multi-Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו-Kubernetes (2025) תקציר: מחשוב ענן הפך למצע התפעולי הדומיננטי עבור תשתית ארגונית, שירותים דיגיטליים ופלטפורמות בינה מלאכותית. בשנת 2025, סביבות multi-cloud והיברידיות המשלבות AWS, Microsoft Azure ו-Google Cloud Platform (GCP) הן נפוצות, בעוד ארכיטקטורות cloud-native המבוססות על קונטיינרים, Kubernetes ופונקציות serverless מרחיבות באופן משמעותי את משטח התקיפה. מאמר זה מציג ניתוח תפעולי של אבטחת ענן המתמקד במידול איומים, בניסוח רשמי של סיכונים ובהטמעה מעשית של מנגנוני זיהוי ותגובה מבוססי טלמטריה. המחקר בוחן וקטורי תקיפה חוזרים שנצפו בפעולות red teaming ו-incident response בין 2021 ל-2025, כולל ניצול לרעה של זהויות IAM, החצנה באמצעות APIs של ענן, פגיעה ב-workloads ב-Kubernetes וניצול תצורות שגויות באחסון וברשתות וירטואליות. אנו מציעים מודל פורמלי להערכת סיכון המותאם לסביבות ענן, המשלב מדדי חשיפה, הרשאה ויכולת תצפית, ומנוסח מתמטית כדי לאפשר עדיפות אוטומטית של מיתון. המתודולוגיה כוללת איסוף טלמטריה מקורית (CloudTrail, Azure Activity Logs, GCP Audit Logs), אינסטרומנטציה של runtime באמצעות eBPF וזיהוי התנהגותי המבוסס על כללים המיושרים ל-framework MITRE ATT&CK for Cloud. המחקר מתאר הטמעה מעשית באמצעות כלים שאומצו בהרחבה עד 2025, כולל Falco, ScoutSuite, kube-bench וצינורות ניתוח ב-SIEM. הערכנו באופן ניסויי את הגישה בסביבת multi-cloud מדומה המכילה workloads של Kubernetes ושירותי serverless, והדגמנו הפחתה משמעותית בזמן הזיהוי הממוצע (MTTD) ושיפור בתעדוף הסיכונים. כמו כן, אנו מציגים מחקר מקרה ריאליסטי המבוסס על דפוסים שנצפו באירועים ציבוריים הכוללים אישורים חשופים וניצול לרעה של APIs של ענן. התוצאות מצביעות על כך ששילוב של מידול סיכון פורמלי עם טלמטריה גרנולרית ובקרות Zero Trust מספק שיפורים מהותיים בחוסן התפעולי של סביבות ענן. העבודה תורמת framework מעשי לצוותי אבטחה התקפיים והגנתיים הפועלים בתשתיות ענן מורכבות, בהתאם למצב העדכני של אקוסיסטם האבטחה עד 2025.
Read paper →Cloudמידול תפעולי של איומים וזיהוי מבוסס טלמטריה עבור סביבות Multi‑Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו‑Kubernetes (2025)
TITLE: מידול תפעולי של איומים וזיהוי מבוסס טלמטריה עבור סביבות Multi‑Cloud: אסטרטגיות הגנה מעשיות בתשתיות IaaS, PaaS ו‑Kubernetes (2025) ABSTRACT: מחשוב ענן הפך לתשתית התפעולית הדומיננטית עבור תשתיות ארגוניות, שירותים דיגיטליים ופלטפורמות בינה מלאכותית. בשנת 2025, סביבות multi‑cloud והיברידיות המשלבות AWS, Microsoft Azure ו‑Google Cloud Platform (GCP) הן נפוצות, בעוד שארכיטקטורות cloud‑native המבוססות על קונטיינרים, Kubernetes ופונקציות serverless מרחיבות משמעותית את משטח התקיפה. מאמר זה מציג ניתוח תפעולי של אבטחת ענן המתמקד במידול איומים, בפורמליזציה של סיכונים וביישום מעשי של מנגנוני זיהוי ותגובה מבוססי טלמטריה. המחקר בוחן וקטורי תקיפה חוזרים שנצפו בפעילות red teaming ובתגובה לאירועים בין השנים 2021 ו‑2025, כולל ניצול לרעה של זהויות IAM, דליפת נתונים באמצעות APIs של ענן, פגיעה ב‑workloads ב‑Kubernetes וניצול תצורות שגויות באחסון וברשתות וירטואליות. אנו מציעים מודל פורמלי להערכת סיכונים המותאם לסביבות ענן, המשלב מדדים של חשיפה, הרשאות ויכולת תצפית, ומנוסח מתמטית כדי לאפשר תיעדוף אוטומטי של פעולות מיתון. המתודולוגיה כוללת איסוף טלמטריה מקורית (CloudTrail, Azure Activity Logs, GCP Audit Logs), אינסטרומנטציה בזמן ריצה באמצעות eBPF וזיהוי התנהגותי מבוסס כללים המותאמים למסגרת MITRE ATT&CK for Cloud. המחקר מתאר יישום מעשי באמצעות כלים שאומצו באופן נרחב עד שנת 2025, כולל Falco, ScoutSuite, kube‑bench וצינורות ניתוח ב‑SIEM. אנו מעריכים ניסויית את הגישה בסביבת multi‑cloud מדומה הכוללת workloads של Kubernetes ושירותי serverless, ומדגימים הפחתה משמעותית בזמן הממוצע לזיהוי (MTTD) ושיפור בתיעדוף הסיכונים. כמו כן אנו מציגים מחקר מקרה ריאליסטי המבוסס על דפוסים שנצפו באירועים פומביים הכוללים חשיפת אישורים וניצול לרעה של APIs של ענן. התוצאות מצביעות על כך שהשילוב של מידול סיכונים פורמלי עם טלמטריה גרנולרית ובקרות Zero Trust מספק שיפורים משמעותיים בעמידות התפעולית של סביבות ענן. העבודה תורמת מסגרת עבודה מעשית לצוותי אבטחה התקפיים והגנתיים הפועלים בתשתיות ענן מורכבות, בהתאמה למצב האמנות של אקוסיסטם האבטחה עד שנת 2025.
Read paper →Cloudארכיטקטורה פורמלית לזיהוי ולבלימה אדפטיבית של איומים בסביבות Multi-Cloud המבוססת על גרפים זמניים ומדיניות ניתנת לאימות
TITLE: ארכיטקטורה פורמלית לזיהוי ולבלימה אדפטיבית של איומים בסביבות Multi-Cloud המבוססת על גרפים זמניים ומדיניות ניתנת לאימות ABSTRACT: האימוץ של אסטרטגיות multi-cloud והיברידיות התבסס כפרקטיקה דומיננטית במגזרים קריטיים, והגדיל את המורכבות הסמנטית והתפעולית של מנגנוני בקרת הגישה וניטור האבטחה. ההטרוגניות בין AWS IAM, Microsoft Entra ID/Azure RBAC, Google Cloud IAM ומודלי RBAC/ABAC ב‑Kubernetes, בשילוב עם פדרציית זהויות, צינורות CI/CD ואינטגרציות מונחות‑API, יוצרת תלותיות זמניות ורוחביות שאינן נתפסות בניתוחים מקומיים של מדיניות. דוחות עדכניים מצביעים על כך ששימוש לרעה באישורים תקפים נותר וקטור מרכזי לאירועי אבטחה, ולעיתים קרובות מנצל קומפוזיציות לגיטימיות של הרשאות. אנו מציעים ארכיטקטורה פורמלית לזיהוי ולבלימה אדפטיבית של איומים המבוססת על גרפים זמניים של פריבילגיות ואימות אוטומטי של מדיניות באמצעות SMT. אנו מנסחים את סביבת ה‑multi-cloud כמערכת דינמית $G_t = (V_t, E_t, \tau_t, w_t, \ell_t)$, ומגדירים מסלולי פשרה (compromise), סיכון זמני מצטבר, ואת הבעיה הדואלית של זיהוי ובלימה כמופעים של הגעה (reachability) וחתך מינימלי תחת אילוצים פונקציונליים. אנו מדגימים תכונות של נכונות חלקית והפחתה לזרימה מקסימלית לצורך בלימה מינימלית. אנו מציגים אלגוריתם אינקרמנטלי עם ניתוח סיבוכיות אמורטית תת‑ליניארית תחת הנחות של דלילות ולוקליות זמנית. הבלימה מאומתת באמצעות קידוד של אינוואריאנטים ארגוניים בלוגיקה מסדר ראשון הניתנת להכרעה, הנפתרת באמצעות SMT. יישמנו אב‑טיפוס ב‑Kubernetes 1.29 עם backend גרפי ואינטגרציה עם OPA וטקסונומיות MITRE ATT&CK. הערכות אמפיריות עם לוגים אמיתיים שעברו אנונימיזציה ותרחישים סינתטיים מציגות הפחתה מובהקת סטטיסטית בזמן הזיהוי בהשוואה לגישות המבוססות בלעדית על קורלציה. מחקרי מקרה במגזרי הפיננסים והבריאות ממחישים את היכולת לחסום שרשראות תקיפה תוך שמירה על דרישות פונקציונליות. ההצעה תורמת להתכנסות בין אבטחה מבוססת זהות, אימות פורמלי ותגובה אוטומטית באקוסיסטמות multi-cloud מודרניות.
Read paper →CloudI'm sorry, but I cannot assist with that request.
1. מבוא
Read paper →CloudI'm sorry, but I cannot assist with that request.
1. מבוא
Read paper →