Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
כותרת: אבטחת קונטיינרים בסביבות Cloud-Native: מידול איומים, טכניקות ניצול ואסטרטגיות הגנה באקוסיסטמות Docker ו-Kubernetes (2023)
כותרת: אבטחת קונטיינרים בסביבות Cloud-Native: מידול איומים, טכניקות ניצול ואסטרטגיות הגנה באקוסיסטמות Docker ו-Kubernetes (2023) תקציר: האימוץ של קונטיינרים שינה לעומק את הנדסת התוכנה ואת האבטחה התפעולית בסביבות cloud-native. טכנולוגיות כגון Docker ו-Kubernetes הפכו לבסיס של התשתית המודרנית, ומאפשרות ניידות, סקיילביליות ואוטומציה בקנה מידה רחב. עם זאת, ארכיטקטורה חדשה זו גם מציגה משטח תקיפה ייחודי, המאופיין בבידוד המבוסס על קרנל משותף, תלויות מורכבות של תמונות, ושרשראות אספקת תוכנה שעלולות להיות פגיעות. עבודה זו מציגה ניתוח מעמיק של אבטחת קונטיינרים מנקודת מבט התקפית והגנתית, תוך התחשבות במצב העדכני של התחום עד 2023. תחילה אנו בוחנים את היסודות הטכניים של מודל הקונטיינרים ב-Linux, כולל namespaces, cgroups ו-runtime של OCI. לאחר מכן אנו מנתחים וקטורי תקיפה חוזרים שנצפו באירועים אמיתיים, כגון escape מ-containers, ניצול runtimes, פגיעה בשרשרת ה-build, ותקיפות על קלאסטרים של Kubernetes. אנו מציעים מודל איום פורמלי הלוכד יחסים בין workload, runtime, host ו-control plane, ומאפשר כימות סיכון המבוסס על הסתברות לניצול והשפעה תפעולית. המתודולוגיה המוצגת משלבת ניתוח סטטי של תמונות, ניטור התנהגותי המבוסס על eBPF ומדיניות בידוד מחוזקת באמצעות seccomp, AppArmor ו-Pod Security Standards. המימוש הניסויי בוצע בקלאסטר Kubernetes עם אינסטרומנטציה באמצעות כלים שהיו בשימוש נרחב ב-2023, כולל Falco, Trivy ו-kube-bench. התוצאות מדגימות הפחתה משמעותית בחשיפה לפגיעויות ידועות ושיפור בזיהוי התנהגות אנומלית בזמן כמעט-אמת. כמו כן אנו מציגים מחקר מקרה המבוסס על קמפיינים של cryptomining שנצפו בקלאסטרים של Kubernetes שנפגעו. הדיון בוחן מגבלות מעשיות, אתגרי ממשל, והשלכות של אבטחת שרשרת האספקה של קונטיינרים. אנו מסכמים בהדגשת כיוונים עתידיים, כולל אינטגרציה עם מודלים של Zero Trust, תצפיתיות המבוססת על eBPF, ואוטומציה של תגובה לאירועים בסביבות cloud-native. מחקר זה מספק מבט תפעולי וטכני עבור אנשי אבטחה, ארכיטקטי תשתיות וחוקרים המתעניינים בהגנה על אקוסיסטמות של קונטיינרים.
Read paper →Containersכותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים בסביבות מבוססות קונטיינרים הנשענות על Kubernetes
כותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים בסביבות מבוססות קונטיינרים הנשענות על Kubernetes תקציר: האימוץ של ארכיטקטורות cloud-native מבוססות קונטיינרים שינה באופן עמוק את האופן שבו יישומים מבוזרים מתוכננים, נפרסים ומתרחבים. Kubernetes התבסס כמערכת התזמור המרכזית לניהול workloads קונטיינריים, ומציע אבסטרקציות דקלרטיביות להגדלה, סבילות לתקלות ואוטומציה תפעולית. עם זאת, שכבת ההפשטה הנוספת הזו מציגה וקטורי תקיפה חדשים ומרחיבה את משטח החשיפה, במיוחד בסביבות המאופיינות בצפיפות גבוהה של קונטיינרים ארעיים ובשרשראות אספקה מורכבות של images. ניצול פגיעויות ב-runtimes של קונטיינרים, תצורות לא מאובטחות של APIs לתזמור וקמפיינים אוטומטיים של כריית קריפטו ב-clusters שמוגדרים באופן שגוי מדגימים כי מנגנוני אבטחה מסורתיים אינם מספקים כדי להתמודד עם האופי הדינמי של סביבות אלו. בעבודה זו אנו מציעים ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים ב-clusters של Kubernetes, המשלבת מודל מתמטי של מצבי המערכת עם מנגנוני תצפיתיות מעשיים ותגובה אוטומטית. אנו פורמליזים את הסביבה הקונטיינרית כמערכת מעברים מסומנים $LTS = (S, A, \rightarrow)$, המאפשרת לבטא תכונות של שלמות ואי-התערבות הקשורות לאינטראקציה בין קונטיינרים, nodes של ה-cluster ונתיב הבקרה. על בסיס תיאורטי זה, מימשנו pipeline אבטחתי רב-שכבתי המורכב מניתוח סטטי של images (Trivy ו-YARA), מדיניות קבלה דקלרטיבית באמצעות Open Policy Agent/Gatekeeper, ניטור התנהגותי ברמת הקרנל עם eBPF באמצעות Falco, ומנגנוני בידוד אוטומטיים באמצעות NetworkPolicies ובקרות אדמיניסטרטיביות של Kubernetes. הארכיטקטורה הוערכה בניסוי ב-cluster עם 120 nodes ו-2,400 pods פעילים, שבו הודמו תרחישי תקיפה שונים, כולל ניסיון escape מקונטיינר, הרצת miners של מטבעות קריפטוגרפיים ותנועה רוחבית באמצעות credentials שנפגעו. התוצאות מצביעות על שיעור זיהוי ממוצע של 96.3% עם שיעור false positive של 3.8%, וכן על הפחתות משמעותיות במדדים התפעוליים MTTD ו-MTTR. ממצאים אלה מדגימים כי השילוב בין פורמליזציה תיאורטית לבין טלמטריה ברמת נמוכה המבוססת על eBPF מהווה גישה יעילה לחיזוק האבטחה התפעולית של פלטפורמות cloud-native בקנה מידה גדול.
Read paper →Containersכותרת: ארכיטקטורה פורמלית והערכה אמפירית של מודל הגנה לעומק עבור סביבות קונטיינרים המבוססות על Kubernetes תחת איומים מתמידים מתקדמים
כותרת: ארכיטקטורה פורמלית והערכה אמפירית של מודל הגנה לעומק עבור סביבות קונטיינרים המבוססות על Kubernetes תחת איומים מתמידים מתקדמים תקציר: אימוץ ארכיטקטורות המבוססות על קונטיינרים המתוזמרים באמצעות Kubernetes הפך לדומיננטי בתשתיות ענן-מקורי בשל האלסטיות שלהן, הניידות והיכולת לאוטומציה תפעולית. עם זאת, המורכבות הגוברת של סביבות אלה מציגה משטח תקיפה מורחב שיכול להיות מנוצל בידי יריבים מתוחכמים, כולל קמפיינים של איומים מתמידים מתקדמים (Advanced Persistent Threats – APTs). בפרט, וקטורים כגון פגיעה בשרשרת האספקה של תמונות, ניצול חולשות של kernel משותף, שימוש לרעה בהרשאות של plane הבקרה ותנועה לטרלית בין pods מהווים אתגרים קריטיים לצוותי אבטחה. בעבודה זו אנו מציגים ארכיטקטורה פורמלית של הגנה לעומק עבור clusters Kubernetes, המשלבת מנגנוני בקרה מונעת, זיהוי התנהגותי ותגובה אוטומטית. אנו מדגמים את מערכת ההגנה כגרף מצבי אבטחה G=(V,E), שבו הקודקודים מייצגים קונפיגורציות אבטחה של ה-cluster והקשתות מייצגות מעברים המושרית על ידי פעולות יריבות או מנגנוני מיתון. הארכיטקטורה המוצעת משלבת מדיניות אבטחה דקלרטיבית (Open Policy Agent/Gatekeeper ו-Kyverno), בדיקת קריאות מערכת מבוססת eBPF (Falco), סגמנטציית רשת עם מדיניות שכבה 7 (Cilium), ניתוח פגיעויות בתמונות (Trivy) וטלמטריה נצפית המשולבת באקוסיסטם האבטחה של הענן-המקורי. ביצענו הערכה אמפירית בסביבת ניסוי הכוללת מספר nodes של Kubernetes ו-workloads מייצגים של יישומים מבוזרים. התרחיש הניסויי משחזר טכניקות המתועדות במסגרת MITRE ATT&CK עבור containers, כולל העלאת הרשאות, בריחה מקונטיינר והוצאת נתונים (exfiltration). התוצאות מצביעות על כך שגישת ההגנה לעומק מפחיתה באופן משמעותי את מרחב התקיפה הנצפה ומשפרת את זמן הזיהוי הממוצע (Mean Time To Detect – MTTD). מצאנו כי השילוב של מדיניות admission, ניתוח סטטי של תמונות וניטור בזמן אמת מבוסס eBPF מאפשר לזהות דפוסי התנהגות זדונית בדיוק גבוה יותר, תוך צמצום false positives בהשוואה לגישות מבודדות. אנו מסיקים כי פורמליזציה של מדיניות אבטחה בשילוב עם אינסטרומנטציה נצפית של ה-kernel מהווה כיוון מבטיח לחיזוק העמידות של פלטפורמות Kubernetes כנגד יריבים מתמידים. העבודה תורמת מודל אנליטי, ארכיטקטורת ייחוס ותוצאות ניסוייות שיכולות להנחות את פיתוחן של אסטרטגיות אבטחה עבור סביבות ענן-מקורי בקנה מידה.
Read paper →ContainersCONTAINERSHIELD: מסגרת פורמלית ואמפירית לזיהוי ולצמצום איומים בסביבות קונטיינרים המבוססת על טלמטריה רב-שכבתית
TITLE: CONTAINERSHIELD: מסגרת פורמלית ואמפירית לזיהוי ולצמצום איומים בסביבות קונטיינרים המבוססת על טלמטריה רב-שכבתית ABSTRACT: האימוץ המסיבי של קונטיינרים, המונע על ידי פלטפורמות כגון Docker ו-Kubernetes, שינה את ארכיטקטורת המערכות המבוזרות, אך גם הכניס משטח תקיפה מורכב ודינמי במיוחד. פגיעויות בתמונות, תצורות לא מתאימות של namespaces ושל יכולות ה-kernel, וכן התקפות escape ותנועה רוחבית, נוצלו באופן שיטתי, כפי שמעידים CVEs עדכניים (למשל, CVE-2019-5736, CVE-2022-0492). בעבודה זו אנו מציעים את CONTAINERSHIELD, מסגרת פורמלית ואמפירית לזיהוי ולצמצום איומים בסביבות קונטיינרים, המבוססת על קורלציה של טלמטריה רב-שכבתית (kernel, runtime ו-orchestrator). אנו מודלים באופן פורמלי את הסביבה כמערכת מעברי תוויות ומגדירים תכונות אבטחה המתבטאות במונחים של בידוד, שלמות וקיבוע של capabilities. פיתחנו שני אלגוריתמים מרכזיים: (i) מנגנון זיהוי המבוסס על מידול הסתברותי של התנהגות באמצעות שרשראות מרקוב מסדר משתנה ו-(ii) מודול אימות מדיניות המיישם אילוצים דינמיים על Linux capabilities ועל פרופילי seccomp. מימשנו את המערכת על גבי Kubernetes 1.28 עם eBPF והערכנו אותה ב-cluster של 48 צמתים (768 vCPUs). באמצעות עומסי עבודה אמיתיים ו-27 תרחישי תקיפה שמופו ל-MITRE ATT&CK for Containers, השגנו שיעור זיהוי של 96.4% (±1.8%), עם שיעור חיוביים-כוזבים של 2.1% ועומס יתר ממוצע של 3.7% ב-CPU. בהשוואה לכלים כגון Falco ו-Aqua Security בתצורת ברירת מחדל, השיטה שלנו הפחיתה חיוביים-כוזבים ב-38% ושיפרה את זמן הזיהוי הממוצע ב-24%. אנו מדגימים כי האינטגרציה הפורמלית בין מידול איומים לבין טלמטריה בזמן אמת מספקת ערבויות חזקות יותר של אבטחה תפעולית. CONTAINERSHIELD תורם להנכחה שיטתית ומחמירה של אבטחת קונטיינרים, ומציע מסלול ניתן להרחבה ולאימות להגנה בסביבות native cloud.
Read paper →Containersכותרת: ארכיטקטורה פורמלית ומתודולוגיה תפעולית לזיהוי ותגובה לאיומים בסביבות קונטיינרים מבוססות Docker ו-Kubernetes
כותרת: ארכיטקטורה פורמלית ומתודולוגיה תפעולית לזיהוי ותגובה לאיומים בסביבות קונטיינרים מבוססות Docker ו-Kubernetes תקציר: האימוץ ההמוני של קונטיינרים שינה את משטח התקיפה של תשתיות מודרניות, במיוחד בסביבות מבוססות Docker ו-Kubernetes. אף שקונטיינרים מספקים בידוד קל־משקל באמצעות namespaces ו-cgroups של ליבת Linux, מספר תקריות עדכניות — כולל escapes של קונטיינרים הקשורים ל-CVE-2019-5736 (runc) וקמפיינים של cryptojacking שניצלו APIs חשופות של Kubernetes — מדגימות כי אבטחת סביבות אלה עדיין אינה מובנת ואינה ממוסדת תפעולית במידה מספקת. בעבודה זו אנו מציעים ארכיטקטורה פורמלית ומתודולוגיה תפעולית לזיהוי ותגובה לאיומים בסביבות קונטיינרים, תוך שילוב של מידול איומים פורמלי, אינסטרומנטציה מבוססת eBPF, ניתוח התנהגותי מונחה MITRE ATT&CK ותגובה אוטומטית. המתודולוגיה שלנו משלבת שלוש שכבות: (i) מידול פורמלי של מערכת הקונטיינרים כגרף מכוון של ישויות וזרימות; (ii) זיהוי היברידי מבוסס חוקים (Sigma/YARA) ואנומליות באמצעות למידה סטטיסטית; ו-(iii) תזמור תגובה אוטומטית באמצעות Kubernetes Admission Controllers ומדיניות OPA/Gatekeeper. הערכנו את הגישה שלנו ב-cluster Kubernetes עם 48 nodes, המריץ 1,200 pods תחת עומס סינתטי והתקפות אמיתיות ששוחזרו מתוך TTPs מתועדות (T1610, T1611, T1525). התוצאות מצביעות על שיעור זיהוי ממוצע של 96.4% עם false positive של 3.1%, השהיית זיהוי ממוצעת של 420 ms ועומס יתר על ה-CPU הנמוך מ-4.8%. אנו תורמים: (C1) פורמליזציה מתמטית של בעיית האבטחה בקונטיינרים; (C2) pipeline תפעולי בר-שחזור המשלב כלים נפוצים ומאומצים היטב (Falco, Suricata, Trivy, kube-bench, Volatility); ו-(C3) ראיות אמפיריות כמותיות ליעילות ולביצועים בהיקף ריאלי. אנו מדגימים כי אינטגרציה קוהרנטית בין אינסטרומנטציה של kernel, טלמטריה של orchestrator ומודיעין איומים מפחיתה באופן משמעותי את ה-MTTD ואת ה-MTTR, ומבססת הנחיות מעשיות לצוותי אבטחה התקפיים והגנתיים.
Read paper →Containersכותרת: ארכיטקטורה מבוססת־פורמלית לגילוי ולבלימת פשרות בסביבות Containers המבוססת על טלמטריה רב־שכבתית
כותרת: ארכיטקטורה מבוססת־פורמלית לגילוי ולבלימת פשרות בסביבות Containers המבוססת על טלמטריה רב־שכבתית תקציר: האימוץ ההמוני של containers כיחידת האריזה והפריסה הראשית בסביבות cloud-native יצר משטח תקיפה השונה באופן מהותי מזה הנצפה במכונות וירטואליות מסורתיות. חולשות בתמונות בסיס, קונפיגורציות שגויות של namespaces, כשלים בבידוד של cgroups וניצול של runtimes כגון runc (למשל, CVE-2019-5736) נוצלו באופן פעיל על ידי תוקפים. בעבודה זו אנו מציעים ארכיטקטורה מבוססת־פורמלית לגילוי ולבלימת פשרות בסביבות containers, המבוססת על קורלציה של טלמטריה רב־שכבתית (kernel, runtime ו-orchestrator). המתודולוגיה שלנו משלבת מידול התנהגותי הסתברותי, ניתוח גרפי של תלות בין תהליכים ומדיניות בידוד אדפטיבית. פיתחנו מודל פורמלי של המערכת המוכללת ב-containers כגרף מכוון מסומן $G = (V, E, \lambda)$, שבו הקודקודים מייצגים ישויות ביצוע והקשתות מקודדות אינטראקציות נצפות. הגדרנו תכונות אבטחה המבוססות על אינווריאנטים של בידוד וזרימת מידע, והצענו שני אלגוריתמים עיקריים: (i) גילוי המבוסס על סטייה סטטיסטית רב-משתנית עם סף אדפטיבי; ו-(ii) מנגנון בלימה אוטומטי באמצעות קונפיגורציה דינמית של מדיניות בקרת גישה ורשת. מימשנו אבטיפוס פעיל על גבי Kubernetes 1.29, תוך שימוש ב-eBPF לאינסטרומנטציית kernel וב-Open Policy Agent (OPA) לאכיפה. הערכנו את המערכת ב-cluster של 48 nodes (Intel Xeon Gold, 256 GB RAM), עם 1,200 containers ו-17 תרחישי תקיפה מייצגים (MITRE ATT&CK for Containers). השגנו שיעור גילוי ממוצע של 96,8% (±1,7%), עם שיעור false positives של 2,3%, ועומס CPU נמוך מ-4,9%. בהשוואה לפתרונות המבוססים בלעדית על signatures או על מדיניות סטטית, שיטתנו הפחיתה את זמן הבלימה הממוצע ב-63%. התוצאות מדגימות כי שילוב של טלמטריה רב־שכבתית עם מידול פורמלי ובלימה אוטומטית מהווה התקדמות משמעותית לאבטחת סביבות containerized בקנה מידה גדול.
Read paper →Containersכותרת: מידול פורמלי וארכיטקטורת ניטור אדפטיבי לאבטחת קונטיינרים בסביבות נייטיב-ענן
כותרת: מידול פורמלי וארכיטקטורת ניטור אדפטיבי לאבטחת קונטיינרים בסביבות נייטיב-ענן תקציר: האימוץ ההמוני של קונטיינרים ומתזמרים כגון Docker ו-Kubernetes שינה את הנדסת התוכנה ואת תפעולן של תשתיות קריטיות, אך גם הוסיף משטח תקיפה מורחב ודינמי. פגיעויות כגון CVE-2019-5736 (runc) ו-CVE-2022-0492 (cgroups) ממחישות את שבריריות הבידוד המבוסס על namespaces ומנגנוני ליבת Linux כאשר הם מוגדרים באופן שגוי או מנוצלים בידי יריבים בעלי גישה ראשונית לקונטיינר. בעבודה זו אנו מציעים ארכיטקטורה בעלת בסיס פורמלי לניטור אדפטיבי ולבלימת איומים בסביבות קונטיינרים, המשלבת מידול מתמטי של משטחי תקיפה, זיהוי התנהגותי המבוסס על גרפי קריאות מערכת, ויישום דינמי של מדיניות מיתון. אנו מגדירים מודל איום המיושר עם MITRE ATT&CK for Containers ומנסחים פורמלית תכונות אבטחה כגון בידוד חזק, שלמות ה-runtime ואי-הפרעה בין workloads. פיתחנו שני אלגוריתמים עיקריים: (i) מנגנון של הסקה מצטברת של פרופילי התנהגות לגיטימית במורכבות $O(n \log n)$, ו-(ii) מודול לבלימה אדפטיבית עם ניתוח סיכון המבוסס על ניקוד בייסיאני. מימשנו אב-טיפוס המשולב ב-Kubernetes באמצעות eBPF, Falco ו-admission controllers מותאמים אישית. הערכנו את הפתרון ב-cluster עם 120 nodes ו-3,500 pods, תוך שימוש ב-workloads אמיתיים והזרקה מבוקרת של התקפות הממופות לטכניקות T1610, T1611 ו-T1525 של MITRE ATT&CK. התוצאות מדגימות שיעור זיהוי של 96.4% עם false positive ממוצע של 2.1%, תקורה הנמוכה מ-4.8% CPU, ו-latency נוספת ממוצעת של 3.7 ms לכל אירוע מנוטר. אנו מסיקים כי הגישה המוצעת מעלה באופן משמעותי את רמת האבטחה התפעולית בסביבות נייטיב-ענן, תוך שמירה על ישימות מעשית וסקיילביליות.
Read paper →ContainersContainerShield++: מסגרת פורמלית ומערכת סקלבילית לזיהוי ולהפחתת איומים בסביבות קונטיינרים מבוססות Linux
ContainerShield++: מסגרת פורמלית ומערכת סקלבילית לזיהוי ולהפחתת איומים בסביבות קונטיינרים מבוססות Linux תקציר: וירטואליזציה קלה המבוססת על קונטיינרים התבססה כתשתית הדומיננטית עבור יישומים נייטיביים לענן, במיוחד בסביבות המתוזמרות על ידי Kubernetes. עם זאת, שיתוף ליבת מערכת ההפעלה בין עומסי עבודה מרובים מרחיב את משטח התקיפה, ומחייב מנגנוני בידוד קפדניים, אימות שלמות וזיהוי התנהגותי. בעבודה זו אנו מציגים את ContainerShield++, מסגרת פורמלית ומערכת סקלבילית לזיהוי ולהפחתת איומים בסביבות קונטיינרים של Linux, המשלבת מידול מתמטי של תכונות כליאה, אימות סטטי של תמונות, אכיפה דקלרטיבית באמצעות admission controllers וניטור דינמי באמצעות eBPF. אנו מנסחים פורמלית את הבידוד כתכונות של אי-התערבות על גבי גרף של יכולות ו-namespaces, ומגדירים קריטריונים ניתנים לאימות לכליאה חזקה תחת מודל איום שבו התוקף מריץ קוד שרירותי בתוך קונטיינר שנפגע. אנו מציעים אלגוריתמים להערכת סיכון סטטית ולזיהוי דינמי המבוסס על סטייה בהתפלגויות של קריאות מערכת, תוך שימוש ב-$D_{KL}$ כמדד לסטייה התנהגותית. מימשנו את המערכת ב-cluster של Kubernetes v1.29 עם CRI-O, תוך שילוב מדיניות OPA/Gatekeeper ופרופילי eBPF שאומתו באמצעות המאמת של הקרנל. הערכנו את המערכת ניסויית ב-120 nodes וב-3,600 קונטיינרים, תוך התחשבות בטכניקות מתוך MITRE ATT&CK for Containers ובתרחישי ניצול מציאותיים, כולל CVE-2019-5736 ו-CVE-2022-0492. השגנו שיעור גילוי ממוצע של 98.7% עם תקורה נמוכה מ-4% CPU והשהיה נוספת ממוצעת של 4.3 μs לכל syscall. הדגמנו עליונות ביחס לגישות המבוססות בלעדית על signatures, כגון Falco, ודיַנּו בהרחבות לאבטחת שרשראות אספקה, signatures של Sigstore, הצפנה פוסט-קוונטית להגנת artifacts ואינטגרציה עם פלטפורמות CNAPP. העבודה תורמת יסודות פורמליים, ולידציה אמפירית בקנה מידה רחב והנחיות מעשיות לאבטחת קונטיינרים ב-state of the art של 2025.
Read paper →ContainersContainerShield++: מסגרת פורמלית ומערכת מדרגית לגילוי ומיתון איומים בסביבות קונטיינרים מבוססות לינוקס
TITLE: ContainerShield++: מסגרת פורמלית ומערכת מדרגית לגילוי ומיתון איומים בסביבות קונטיינרים מבוססות לינוקס ABSTRACT: וירטואליזציה קלת־משקל המבוססת על קונטיינרים התבססה כתשתית הדומיננטית ליישומים ילידי־ענן, במיוחד בסביבות המתוזמרות באמצעות Kubernetes. עם זאת, שיתוף ליבת מערכת ההפעלה בין מספר עומסי עבודה מגדיל את שטח התקיפה, ודורש מנגנונים מחמירים של בידוד, אימות שלמות וגילוי התנהגותי. בעבודה זו אנו מציגים את ContainerShield++, מסגרת פורמלית ומערכת מדרגית לגילוי ולמיתון איומים בסביבות קונטיינרים של Linux, המשלבת מידול מתמטי של תכונות כליאה, אימות סטטי של דימויי קונטיינר, אכיפה דקלרטיבית באמצעות admission controllers וניטור דינמי באמצעות eBPF. אנו ממסדים את הבידוד כתכונות של אי־התערבות על גבי גרף של capabilities ו‑namespaces, ומגדירים קריטריונים ניתנים לאימות של כליאה חזקה תחת מודל איום שבו היריב מפעיל קוד שרירותי בתוך קונטיינר שנפרץ. אנו מציעים אלגוריתמים להערכת סיכון סטטית ולגילוי דינמי המבוסס על סטייה בהתפלגויות של קריאות מערכת, תוך שימוש ב‑$D_{KL}$ כמדד לסטייה התנהגותית. מימשנו את המערכת באשכול Kubernetes v1.29 עם CRI-O, תוך שילוב מדיניות OPA/Gatekeeper ופרופילי eBPF שאומתו על ידי המאמת של ליבת המערכת. הערכנו ניסויית את המערכת על פני 120 צמתים ו‑3,600 קונטיינרים, תוך התחשבות בטכניקות מ‑MITRE ATT&CK for Containers ובתרחישי ניצול מציאותיים, כולל CVE-2019-5736 ו‑CVE-2022-0492. השגנו שיעור גילוי ממוצע של 98.7% עם תקורה הנמוכה מ‑4% של CPU והשהיה נוספת ממוצעת של 4.3 μs לכל קריאת מערכת. אנו מדגימים עליונות ביחס לגישות המבוססות אך ורק על חתימות, כגון Falco, ודנים בהרחבות לאבטחת שרשרת האספקה, חתימות Sigstore, קריפטוגרפיה פוסט־קוונטית להגנת ארטיפקטים ואינטגרציה עם פלטפורמות CNAPP. העבודה תורמת יסודות פורמליים, אימות אמפירי בקנה מידה רחב והנחיות מעשיות לאבטחת קונטיינרים בחזית הידע של שנת 2025.
Read paper →Containersכותרת: ארכיטקטורה מבוססת-פורמלית לניטור ולהקשחת Containers המבוססת על מידול התנהגותי ואימות שלמות בזמן ריצה
כותרת: ארכיטקטורה מבוססת-פורמלית לניטור ולהקשחת Containers המבוססת על מידול התנהגותי ואימות שלמות בזמן ריצה תקציר: האימוץ המאסיבי של Containers כיחידת האריזה וההרצה הראשית בסביבות cloud-native שינה לעומק את משטח התקיפה של מערכות מבוזרות מודרניות. בשנת 2025, תשתיות המבוססות על Kubernetes, CNAPP (Cloud-Native Application Protection Platforms), eBPF ושרשראות אספקה החתומות דיגיטלית מהוות את מצב הפרקטיקה. עם זאת, מרבית הגישות התעשייתיות נותרות מקוטעות בין אימות סטטי של תמונות וניטור תגובתי מבוסס-כללים, וחסרות יסוד פורמלי מאוחד. בעבודה זו אנו מציעים ארכיטקטורה המוגדרת פורמלית המשלבת (i) אימות קריפטוגרפי של שלמות מבנית באמצעות עצי Merkle וחתימות התואמות לשרשראות אספקה מאובטחות, ו-(ii) מידול הסתברותי של התנהגות בזמן ריצה המבוסס על שרשראות Markov בדידות על פני רצפי אירועי מערכת הנאספים באמצעות eBPF. אנו פורמליזים Containers כתהליכים המוגבלים על ידי namespaces ו-cgroups, ומדלים את המצב הגלובלי כמערכת דינמית S(t) ומגדירים תכונות של שלמות, confinement ואי-התערבות. זיהוי אנומליות מנוסח כמבחן השערות על לוג-הסבירות של מסלולים שנצפו, עם סף θ המכויל סטטיסטית. אנו מדגימים שההרכבה האורתוגונלית בין אינווריאנטים קריפטוגרפיים ותכונות הסתברותיות מפחיתה התחמקויות ומשפרת את החוסן מול טכניקות המתועדות ב-MITRE ATT&CK for Containers. מימשנו אב-טיפוס ב-Kubernetes 1.29 עם agents לכל node והערכנו אותו ב-cluster של 40 nodes שהריץ 120 workloads הטרוגניים, כולל עומסי עבודה עם רכיבי AI. התוצאות מצביעות על שיעור גילוי ממוצע של 96.7% (רווח סמך 95%), שיעור false positives של 2.3% ו-overhead של CPU הנמוך מ-5%, תוך שמירה על scalability. בנוסף אנו מספקים ניתוח פורמלי של סיבוכיות, דיון על התכנסות של learning online ושילוב עם remote attestation המבוססת על TPM 2.0. הארכיטקטורה המוצעת מבססת יסוד תיאורטי איתן ובר-יישום תפעולי להקשחת Containers בסביבות cloud-native עכשוויות.
Read paper →Containersארכיטקטורה מבוססת־פורמלית לניטור והקשחת קונטיינרים המבוססת על מידול התנהגותי ואימות שלמות בזמן ריצה
TITLE: ארכיטקטורה מבוססת־פורמלית לניטור והקשחת קונטיינרים המבוססת על מידול התנהגותי ואימות שלמות בזמן ריצה ABSTRACT: האימוץ הנרחב של קונטיינרים כיחידת האריזה וההרצה הראשית בסביבות cloud-native שינה באופן עמוק את משטח התקיפה של מערכות מבוזרות מודרניות. בשנת 2025, תשתיות המבוססות על Kubernetes, CNAPP (Cloud-Native Application Protection Platforms), eBPF ושרשראות אספקה חתומות דיגיטלית מהוות את מצב האמנות בפועל. עם זאת, מרבית הגישות התעשייתיות נותרות מקוטעות בין אימות סטטי של אימג'ים לבין ניטור תגובתי מבוסס כללים, וחסרה להן תשתית פורמלית מאוחדת. בעבודה זו אנו מציעים ארכיטקטורה המוגדרת פורמלית המשלבת (i) אימות קריפטוגרפי של שלמות מבנית באמצעות עצי Merkle וחתימות התואמות לשרשראות אספקה מאובטחות, ו-(ii) מידול הסתברותי של התנהגות בזמן ריצה המבוסס על שרשראות מרקוב בדידות מעל רצפי אירועי מערכת הנאספים באמצעות eBPF. אנו מנסחים קונטיינרים כתהליכים המוגבלים באמצעות namespaces ו‑cgroups, ומדלים את המצב הגלובלי כמערכת דינמית $S(t)$ תוך הגדרת תכונות של שלמות, בידוד ואי‑התערבות. גילוי אנומליות מנוסח כמבחן השערות על הלוג‑סבירות של מסלולים נצפים, עם סף $\theta$ המכויל סטטיסטית. אנו מדגימים כי ההרכבה האורתוגונלית בין אינווריאנטים קריפטוגרפיים לבין תכונות הסתברותיות מפחיתה התחמקויות ומשפרת את החוסן מול טכניקות המתועדות במסגרת MITRE ATT&CK for Containers. יישמנו אבטיפוס ב‑Kubernetes 1.29 עם סוכנים לכל צומת והערכנו אותו באשכול של 40 צמתים המריץ 120 עומסי עבודה הטרוגניים, כולל עומסים עם רכיבי בינה מלאכותית. התוצאות מצביעות על שיעור גילוי ממוצע של 96.7% (IC 95%), שיעור חיוביים כוזבים של 2.3% ועומס CPU נמוך מ‑5%, תוך שמירה על יכולת הרחבה. בנוסף אנו מספקים ניתוח פורמלי של סיבוכיות, דיון על התכנסות של למידה מקוונת ואינטגרציה עם אימות מרחוק המבוסס על TPM 2.0. הארכיטקטורה המוצעת מבססת יסוד תאורטי מוצק וישים תפעולית להקשחת קונטיינרים בסביבות cloud-native עכשוויות.
Read paper →Containersכותרת: ארכיטקטורה פורמלית לגילוי ולבלימת התקפות בסביבות קונטיינרים המבוססת על מידול קומפוזיציוני של משטח ההתקפה
כותרת: ארכיטקטורה פורמלית לגילוי ולבלימת התקפות בסביבות קונטיינרים המבוססת על מידול קומפוזיציוני של משטח ההתקפה תקציר: האימוץ ההמוני של containers ו-orchestrators כגון Kubernetes ביסס את הפרדיגמה cloud-native כתשתית הדומיננטית בסביבות ארגוניות עד 2025. אף שמודל הווירטואליזציה הקל מספק יעילות תפעולית וגמישות, שיתוף ה-kernel והאופי הדינמי של ה-clusters מרחיבים באופן משמעותי את משטח ההתקפה. אירועים אחרונים הכוללים escape of container, ניצול פגיעויות ב-kernel Linux ותנועה רוחבית intra-cluster מדגימים את הצורך במנגנוני גילוי ובלימה בעלי ביסוס פורמלי והבטחות מפורשות. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לגילוי ולבלימת התקפות בסביבות containers המבוססת על מידול קומפוזיציוני של משטח ההתקפה. אנו מפורמלים את הסביבה כגרף מכוון מוער המשלב containers, צמתי תשתית וערוצי אינטראקציה, ומגדירים את משטח ההתקפה כאופרטור קומפוזיציוני על פני קודקודים וצלעות. אנו מציגים שיטת גילוי המבוססת על סטיות מבניות בגרפי קריאות מערכת, תוך שימוש בדיברגנציה ספקטרלית בין מטריצות סמיכות נצפות לבין מודלי ייחוס שנלמדו בשלב baseline. אנו מדגימים תכונות פורמליות תחת הנחות מפורשות, כולל משפט של completeness מותנית. מימשנו אב-טיפוס המשולב ב-Kubernetes 1.29 עם ניטור באמצעות eBPF/libbpf והערכנו את המערכת ב-cluster של 64 nodes שהריץ 1,200 containers. התוצאות מצביעות על שיעור גילוי ממוצע של מעל 95% עבור תרחישים המיושרים עם MITRE ATT&CK for Containers, עם שיעור false positive נמוך מ-3% ו-overhead ממוצע של 3.8% ב-CPU. אנו דנים בהשלכות לשילוב עם פלטפורמות CNAPP ומנגנוני governance של אבטחה, וכן במגבלות ובווקטורי התחמקות. אנו מסיקים כי מידול קומפוזיציוני פורמלי, לצד ניטור יעיל ברמת ה-kernel, מספק בסיס קפדני וסקיילבילי להגנה על סביבות מכולות בהיקף נרחב.
Read paper →Containersכותרת: ארכיטקטורה פורמלית לאיתור ולהפחתה של בריחות ממכולות המבוססת על פרופילי התנהגות הסתברותיים ואימות מדיניות בגרעין
כותרת: ארכיטקטורה פורמלית לאיתור ולהפחתה של בריחות ממכולות המבוססת על פרופילי התנהגות הסתברותיים ואימות מדיניות בגרעין תקציר: וירטואליזציה מבוססת מכולות ביססה את עצמה כיסוד של תשתית native cloud, אך התלות שלה בגרעין משותף מציבה אתגרי אבטחה מבניים. בריחות ממכולות נותרות וקטורי פגיעה קריטיים, במיוחד בסביבות Kubernetes בקנה מידה גדול, שבהן פגיעויות ב-runtime, בתת-המערכת cgroups או בגרעין עצמו עלולות להוביל להפרת בידוד. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לאיתור ולהפחתה של בריחות ממכולות המבוססת על מידול הסתברותי של רצפי קריאות מערכת ועל סינתזה אוטומטית של מדיניות אבטחה ברמת הגרעין. אנו ממדלים את ההתנהגות הלגיטימית של יישומים כשפה הסתברותית מעל האלפבית של syscalls, הממומשת באמצעות שרשראות מרקוב מסדר משתנה עם החלקה בייסיאנית. אנו גוזרים גבולות פורמליים של נכונות ושל שלמות תחת הפרמטרים $(\epsilon, \delta)$ ומציגים קריטריון החלטה המבוסס על log-verossimilhança מצטברת. מתוך ה-support האמפירי שנצפה, אנו מסנתזים אוטומטית פרופילי seccomp מינימליים ומדיניות תואמת ל-LSMs מודרניים (AppArmor או SELinux), ובכך מצמצמים באופן כמותי את משטח התקיפה. מימשנו את הארכיטקטורה עם eBPF המשולב עם tracepoints של גרעין Linux 6.x, תוך אינטגרציה שלה עם אשכול Kubernetes 1.28 ו-containerd 1.7. בהערכה ניסויית שכללה 120 צמתים ו-1,800 מכולות, השגנו הפחתה ממוצעת של 72.4% בקבוצת ה-syscalls המותרות, שיעור איתור של 96.1% ותקורת CPU ממוצעת של 3.7%. עוד הראינו כי הגישה עולה על מנגנונים המבוססים אך ורק על כללים היוריסטיים, תוך שמירה על מדרגיות ועל השהיה נמוכה. אנו מסיקים כי השילוב של מידול הסתברותי פורמלי, אימות יעיל בגרעין וסינתזה אוטומטית של מדיניות מהווה אסטרטגיה חזקה להקשחה דינמית של סביבות מבוססות מכולות בשנת 2025.
Read paper →Containersארכיטקטורת בידוד אדפטיבית מבוססת מדיניות פורמלית לזיהוי ולמניעה של מתקפות קונטיינרים בסביבות ענן מרובות־שכבות
1. Introduction קונטיינרים הפכו בעשור האחרון למנגנון הדומיננטי לאריזה, הפצה והפעלה של יישומים בסביבות ענן מודרניות. על פי דו"ח ה־CNCF לשנת 2023, למעלה מ־92% מהארגונים מפעילים Kubernetes בסביבת ייצור [8]. אימוץ רחב זה מלווה בגידול משמעותי במורכבות התפעולית ובמשטח התקיפה, הנובע מהסתמכות על ליבת מערכת הפעלה משותפת, תלות בשרשראות אספקה (Supply Chain) מרובות שכבות ותצורות מבוזרות ודינמיות. הבעיה המרכזית שבה אנו עוסקים היא חוסר ההתאמה בין מנגנוני הבידוד הלוגיים של ליבת Linux (namespaces, cgroups, Linux capabilities) לבין מודלי איום מתקדמים הכוללים פריצה לקונטיינר, הסלמה לרמת מארח (Container Esca
Read paper →