Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
כותרת: ארכיטקטורה פורמלית ותפעולית למענה לאירועי אבטחה דיגיטליים עם הבטחות קריפטוגרפיות ואימות בר-תוקף בתשתיות מודרניות
כותרת: ארכיטקטורה פורמלית ותפעולית למענה לאירועי אבטחה דיגיטליים עם הבטחות קריפטוגרפיות ואימות בר-תוקף בתשתיות מודרניות תקציר: המורכבות הגוברת של האקוסיסטמות הדיגיטליות העכשוויות, המועצמת על ידי אימוץ מסיבי של מחשוב ענן, ארכיטקטורות מיקרו-שירותים, בינה מלאכותית ותשתיות מבוזרות, מחייבת גישות מחמירות יותר ל-Digital Forensics and Incident Response (DFIR). מסגרות תגובה מסורתיות לאירועים מתמקדות בעיקר בהליכים תפעוליים ובממשל ארגוני, תוך השארת פערים חשובים בפורמליזציה מתמטית של שלמות הראיות וביכולת האימות של שרשראות המשמורת. בעבודה זו אנו מציעים ארכיטקטורה משולבת המשלבת יסודות של קריפטוגרפיה יישומית, שיטות פורמליות לאימות ומנגנונים תפעוליים לאיסוף ולמתאם של טלמטריה לצורך מענה לאירועים בסביבות ארגוניות, בתשתיות קריטיות ובפלטפורמות ענן. אנו פורמליים מודל איום ייעודי ל-DFIR המבוסס על מחלקות של יכולות יריב, ומגדירים משחקי אבטחה הלוכדים תכונות של שלמות, אותנטיות ואי-שינוי של שרשרת הראיות. אנו מציגים מנגנון שרשור קריפטוגרפי המבוסס על פונקציות hash העמידות להתנגשויות ועל עצי Merkle, בשילוב עם חתימות דיגיטליות מודרניות ואחסון בלתי ניתן לשינוי. בנוסף, אנו מציגים אלגוריתם למתאם פורנזי המדומה כגרף מכוון חסר מעגלים, עם ניתוח סיבוכיות ותכונות תקינות הניתנות להוכחה. הארכיטקטורה מתוכננת להשתלבות עם כלים הנפוצים בפעולות אבטחה עכשוויות, כולל YARA, Sigma, Suricata, צינורות טלמטריה ב-SIEM/SOAR ומנגנוני תצפית מבוססי eBPF בסביבות Linux. ביצענו הערכה ניסיונית איכותנית המשווה בין הגישה המוצעת לזרימות עבודה מסורתיות של מענה לאירועים, תוך בחינת שיהוי בליעה, עומס חישובי ועמידות למניפולציה יריבה. שני מקרי בוחן — אחד בסביבה רפואית שעברה דיגיטציה ואחר ברשת תעשייתית ICS/SCADA — מדגימים את ישימות המודל בתחומים המאופיינים באילוצים רגולטוריים ותפעוליים חזקים. אנו מסיקים כי שילוב שיטתי של הבטחות קריפטוגרפיות ומפרטים פורמליים בפרקטיקת DFIR מגדיל באופן משמעותי את אמינות הראיות ואת יכולת הביקורת של החקירות, במחיר של עומס חישובי מתון ומורכבות תפעולית גבוהה יותר. העבודה תורמת להתכנסות בין קריפטוגרפיה יישומית, אימות פורמלי והנדסת אבטחה תפעולית, תוך התאמה לצורכי אבטחת הסייבר העכשווית בשנת 2024.
Read paper →DFIRכותרת: ארכיטקטורה מונחית-ראיות ל-DFIR בעל נאמנות גבוהה: קורלציה רב-שכבתית, פורמליזציה מתמטית והערכה אמפירית בסביבות ארגוניות
כותרת: ארכיטקטורה מונחית-ראיות ל-DFIR בעל נאמנות גבוהה: קורלציה רב-שכבתית, פורמליזציה מתמטית והערכה אמפירית בסביבות ארגוניות תקציר: התחכום הגובר של התקפות סייבר ארגוניות מחייב מתודולוגיות של Digital Forensics and Incident Response (DFIR) המסוגלות לשחזר שרשראות תקיפה מורכבות מתוך מקורות ראיות הטרוגניים מרובים. סביבות ארגוניות מודרניות מייצרות כמויות גדולות של טלמטריה המגיעות מ-endpoints, רשתות, שירותי ענן ופלטפורמות אבטחה, כולל EDR, SIEM וכלי observability. עם זאת, האינטגרציה התפעולית והקורלציה הזמנית המחמירה של ראיות אלה נותרות אתגרים משמעותיים. עבודה זו מציעה ארכיטקטורה מונחית-ראיות לחקירה פורנזית דיגיטלית בעלת נאמנות גבוהה, המבוססת על מידול פורמלי באמצעות גרפי זמן ניתנים לאימות. המודל מציג מבנה מתמטי המייצג ארטיפקטים דיגיטליים, יחסים סיבתיים ותוויות של טכניקות יריביות לפי framework MITRE ATT&CK, תוך שימור בו-זמני של תכונות שלמות קריפטוגרפית ועקביות זמנית. הארכיטקטורה התפעולית משלבת כלים נפוצים בתעשייה, כולל Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 ו-YARA, וכן מנגנוני orchestration לתגובה לאירועים. אנו מציעים שני אלגוריתמים עיקריים: EviGraph-Builder, האחראי לבניית הגרף הפורנזי מתוך אירועים מנורמלים, ו-CausalPath-Reconstruct, המיועד לשחזור הסתברותי של שרשראות תקיפה רב-שלביות. ההערכה הניסויית בוצעה עם 49 תרחישים הכוללים אירועים אמיתיים וסביבות מבוקרות המבוססות על Atomic Red Team. התוצאות מדגימות הפחתה ממוצעת של יותר מ-50% בזמן החקירה ועלייה משמעותית בשיעור הקורלציה הנכונה של טכניקות יריביות בהשוואה לתהליכים ידניים מסורתיים. בנוסף, אנו דנים בהשלכות תפעוליות עבור מרכזי Operations Security (SOC), בדרישות לסנכרון זמני, בשימור שרשרת המשמורת ובהטמעה עם פלטפורמות אבטחה מודרניות בענן ובסביבות היברידיות. התוצאות מצביעות על כך שפורמליזציה מתמטית בשילוב עם אוטומציה של קורלציית ראיות מהווה התקדמות משמעותית עבור DFIR ארגוני, ותורמת לחקירות מהירות יותר, ניתנות לשחזור וניתנות לאימות.
Read paper →DFIRכותרת: ארכיטקטורה מבוססת-פורמלית ל-DFIR מבוסס גרפים זמניים עם ערבויות קריפטוגרפיות לשלמות ושחזור הסתברותי של שרשרת התקיפה
כותרת: ארכיטקטורה מבוססת-פורמלית ל-DFIR מבוסס גרפים זמניים עם ערבויות קריפטוגרפיות לשלמות ושחזור הסתברותי של שרשרת התקיפה תקציר: העלייה במורכבותן של מערכות הקמפיינים הסייבריות המודרניות מציבה אתגרים משמעותיים בפני שיטות Digital Forensics and Incident Response (DFIR). סביבות ארגוניות עכשוויות מייצרות כמויות אדירות של טלמטריה במספר שכבות — נקודות קצה, רשתות, יישומים ותשתיות ענן — מה שהופך שחזור ידני של תקריות לכמעט בלתי אפשרי. אף על פי שמערכות ניטור ופלטפורמות SIEM מספקות מנגנוני קורלציה של אירועים, גישות אלו לעיתים קרובות חסרות בסיס פורמלי לשימור יחסים סיבתיים ועקביות זמנית בין ראיות דיגיטליות. בעבודה זו, אנו מציגים ארכיטקטורה פורמלית ל-DFIR המבוססת על גרפים זמניים המועשרים בהסקה הסתברותית ובמנגנונים קריפטוגרפיים לשלמות הראיות. אנו מציעים מודל מתמטי המייצג אירועים פורנזיים כקודקודים מטיפוס מסוים בגרף מכוון ועקבי-זמנית, המאפשר ללכוד תלות סיבתית בין תהליכים, קבצים, חיבורי רשת וזהויות. על גבי גרף זה, אנו מציגים את האלגוריתם Attack Probabilistic Reconstruction (APR), המשתמש בהסקה בייסיאנית המותנית בדפוסים טקטיים וטכניים המתוארים במסגרת MITRE ATT&CK כדי לאמוד את הרצף הסביר ביותר של פעולות התוקף. בנוסף, מימשנו מנגנון קריפטוגרפי של שרשור גיבובים המבטיח את השלמות ואת יכולת האימות של הראיות לאורך צינור החקירה. הערכנו את הארכיטקטורה המוצעת בניסויים באמצעות שלושה מערכי נתונים מייצגים: מערך הנתונים DARPA Transparent Computing, יומנים ארגוניים אמיתיים בקנה מידה גדול ותרחישים סינתטיים של ניצול Log4Shell. התוצאות מדגימות שיפורים מהותיים בדיוק, ברגישות ובזמן שחזור שרשרת התקיפה בהשוואה לגישות המבוססות אך ורק על קורלציה היוריסטית או על זיהוי סטטיסטי מבודד. מצאנו ירידה ממוצעת של 37.4% בזמן השחזור החקירתי ועלייה משמעותית בדיוק ההסקות של שרשרת התקיפה. כמו כן, אנו דנים בהשלכות מעשיות לשילוב עם פלטפורמות SIEM מודרניות, וכן במגבלות הקשורות לאיכות הלוגים ולעלויות האחסון. אנו מסיקים כי השילוב של מידול פורמלי המבוסס על גרפים זמניים, הסקה הסתברותית וערבויות קריפטוגרפיות מהווה בסיס מבטיח למערכות DFIR ניתנות להרחבה וניתנות לאימות בסביבות ארגוניות עכשוויות.
Read paper →DFIRכותרת: ארכיטקטורה מונעת-ראיות עבור DFIR מודרני: קורלציה רב-שכבתית, פורמליזציה מתמטית של ציר זמן ואורקסטרציה אוטומטית בסביבות היברידיות
כותרת: ארכיטקטורה מונעת-ראיות עבור DFIR מודרני: קורלציה רב-שכבתית, פורמליזציה מתמטית של ציר זמן ואורקסטרציה אוטומטית בסביבות היברידיות תקציר: המורכבות הגוברת של סביבות המחשוב העכשוויות — המאופיינות בתשתיות היברידיות, workloads בענן, קונטיינרים ומערכות מבוזרות — מציבה אתגרים חדשים בתחום Digital Forensics and Incident Response (DFIR). שיטות חקירה מסורתיות, המבוססות בעיקר על איסוף ידני של ארטיפקטים וקורלציה אד הוק של logs, מציגות מגבלות נוכח קנה המידה, התנודתיות וההטרוגניות של הנתונים הנוצרים על ידי מערכות מודרניות. נוסף על כך, קמפיינים של threats persistentes avançadas (APTs), פעולות ransomware-as-a-service (RaaS) וניצול אוטומטי של פגיעויות קריטיות מצמצמים באופן דרסטי את פרק הזמן בין הפשרה הראשונית לבין lateral movement. בהקשר זה, חיוני לפתח גישות פורמליות וסקיילביליות המסוגלות לשלב מקורות טלמטריה מרובים ולשחזר שרשראות תקיפה בדיוק זמני. בעבודה זו אנו מציעים ארכיטקטורה מונעת-ראיות עבור DFIR מודרני המבוססת על שלושה עמודי תווך עיקריים: (i) פורמליזציה מתמטית של שחזור timelines forenses באמצעות גרפים מכוונים חסרי מעגלים, (ii) pipeline אוטומטי של ingestão, normalização ו-correlação של אירועים המגיעים משכבות הרשת, ה-endpoint, הזהות והענן, ו-(iii) שילוב תפעולי עם פלטפורמות orchestration ואוטומציה של תגובה לאירועים. המודל המוצע מייצג אירועי אבטחה כישויות מובנות ומבסס יחסי סיבתיות הסתברותיים בין אירועים מתואמים. המימוש הניסויי עושה שימוש ב-stack טכנולוגי הכולל Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 ופלטפורמת SOAR המבוססת על TheHive ו-Cortex. הערכנו את הארכיטקטורה באמצעות מערך של 37 תרחישים המיושרים ל-framework MITRE ATT&CK, בסך כולל של 1.2 TB נתונים וכ-86 מיליון אירועים. התוצאות מדגימות הפחתה משמעותית ב-MTTI, ירידה ב-false positives ודיוק גבוה יותר בשחזור שרשראות תקיפה בהשוואה לגישות מסורתיות המבוססות על SIEM בלבד. בנוסף, אנו דנים בהשלכות מעשיות עבור centers of security operations (SOC), במגבלות המודל ובאפשרויות הרחבה הכוללות ניתוח מבוסס גרפים דינמיים ואינטגרציה עם טכניקות machine learning לצורך תעדוף חקירתי.
Read paper →DFIRכותרת: אורקסטרציה פורמלית וניתוח הסתברותי של ראיות ב-DFIR: ארכיטקטורה ניתנת להרחבה מבוססת גרפים זמניים לקורלציה מרובת-מקורות
כותרת: אורקסטרציה פורמלית וניתוח הסתברותי של ראיות ב-DFIR: ארכיטקטורה ניתנת להרחבה מבוססת גרפים זמניים לקורלציה מרובת-מקורות תקציר: Digital Forensics and Incident Response (DFIR) מתמודדת עם אתגרים מבניים הנובעים מההטרוגניות הגוברת של סביבות ארגוניות, מהתנודתיות של ראיות דיגיטליות ומהתחכום של תוקפים המשתמשים בטכניקות living-off-the-land ובהתחמקות אנטי-פורנזית. עבודה זו מציעה ארכיטקטורה פורמלית לאורקסטרציה ולקורלציה הסתברותית של ראיות דיגיטליות המבוססת על גרפים זמניים מרובי-מקורות, עם מידול מתמטי מפורש של בעיית שחזור האירועים. המתודולוגיה שלנו משלבת איסוף מבוזר, נרמול סמנטי מונחה MITRE ATT&CK, בניית גרפים סיבתיים ואינפרנציה בייסיאנית לשיוך אירועים לשרשראות תקיפה. אנו מנסחים את הבעיה כמקסימיזציה של ההסתברות הפוסטריורית של רצף מצבי פגיעה בהינתן אוסף הטרוגני של תצפיות פורנזיות. מימשנו אבטיפוס תפקודי על גבי צינור עיבוד המבוסס על Elastic Stack, Apache Kafka ו-Neo4j, והערכנו אותו על מערך נתונים הכולל 12 TB של לוגים אמיתיים ועקבות סינתטיים המייצגים 18 טכניקות ATT&CK שונות. התוצאות הניסיוניות מדגימות עלייה של 27.4% בדיוק שחזור ציר הזמן בהשוואה לגישות דטרמיניסטיות מבוססות-כללים, הפחתה של 34.1% בזמן החקירה הממוצע (MTTI) ושיפור של 22.8% ב-F1-score לזיהוי שרשראות תקיפה מורכבות. הארכיטקטורה שומרת על השהיית עיבוד ממוצעת הנמוכה מ-420 מילישניות לאירוע תחת עומס של 15,000 אירועים/שנייה, עם סקלאביליות ליניארית שנצפתה עד 8 צמתי עיבוד. אנו מסיקים כי הפורמליזציה ההסתברותית בשילוב עם גרפים זמניים מספקת רווחים משמעותיים בדיוק וביעילות התפעולית ב-DFIR, ומבססת יסודות מחמירים לאוטומציה אמינה וניתנת לביקורת של חקירות דיגיטליות בקנה מידה גדול.
Read paper →DFIROperational DFIR in the Age of Cloud, eBPF and AI-Assisted Threats: A Practical Framework for High-Fidelity Incident Reconstruction
Digital Forensics and Incident Response (DFIR) has undergone significant transformation over the past decade due to rapid changes in enterprise infrastructure, cloud-native architectures, and the emergence of AI-assisted cyber threats. By 2025, security operations increasingly rely on hybrid infrastructures combining traditional endpoints, containerized workloads, serverless functions, and SaaS ecosystems. These environments generate enormous volumes of telemetry while simultaneously reducing the availability of persistent forensic artifacts. Attackers have adapted accordingly, leveraging fileless malware, living-off-the-land binaries (LOLBins), identity-based attacks, and generative AI–enabled social engineering to evade traditional detection and complicate post-incident reconstruction. This paper presents an operationally grounded DFIR framework designed for modern enterprise environments characterized by distributed telemetry, ephemeral workloads, and adversaries employing sophisticated evasion techniques. The framework integrates endpoint forensics, cloud telemetry analysis, memory forensics, and timeline correlation using probabilistic artifact weighting. We examine practical workflows based on widely deployed tools including Velociraptor, Volatility 3, KAPE, Plaso, Zeek, and Timesketch, and demonstrate how eBPF-based telemetry and Zero Trust logging architectures enhance forensic visibility. A formalized threat model describes adversary capabilities such as credential theft, lateral movement via Active Directory abuse, and cloud control-plane manipulation. The proposed methodology emphasizes rapid triage, artifact prioritization, and cross-source timeline reconstruction supported by Bayesian correlation scoring. Experimental evaluation using simulated attack scenarios—including ransomware deployment and data exfiltration campaigns—demonstrates measurable improvements in investigation speed and evidentiary confidence compared with traditional sequential DFIR workflows. A detailed case study reconstructs a multi-stage intrusion exploiting CVE-2023-34362 (MOVEit Transfer) followed by credential harvesting and lateral movement. Results highlight the importance of memory acquisition, identity telemetry, and cloud audit logs in reconstructing attacker behavior. Finally, we discuss operational challenges including telemetry overload, evidentiary integrity in distributed environments, and the growing role of AI in both offensive and defensive cyber operations. The paper concludes with recommendations for DFIR teams adopting automation, eBPF-based observability, and machine-assisted investigation pipelines to maintain investigative fidelity in increasingly complex environments.
Read paper →DFIROperational DFIR in the Era of AI-Enabled Threats: Scalable Evidence Acquisition, Memory Forensics, and Automated Incident Triage in Enterprise Environments
Digital Forensics and Incident Response (DFIR) has undergone significant transformation during the past decade as enterprise infrastructures evolved toward cloud-native architectures, containerized workloads, zero‑trust networking, and increasingly sophisticated adversaries. By 2025, defenders face adversaries leveraging automation, commodity ransomware platforms, fileless malware, living‑off‑the‑land techniques, and increasingly generative‑AI‑assisted social engineering campaigns. Traditional forensic workflows—based on static disk imaging and manual log analysis—struggle to scale against modern attack surfaces that include ephemeral cloud instances, SaaS platforms, and distributed endpoints. This paper presents a practical and operational framework for scalable DFIR investigations combining endpoint telemetry, memory forensics, automated artifact triage, and adversary‑behavior modeling. The research synthesizes operational experience from incident response engagements and evaluates a methodology integrating modern DFIR tooling such as Velociraptor, Volatility3, KAPE, Sigma rule pipelines, and eBPF‑driven telemetry collection. We formalize the DFIR challenge as a probabilistic evidence correlation problem where artifacts from heterogeneous sources must be aggregated and ranked according to investigative relevance. The methodology introduces a triage scoring function that prioritizes endpoints and artifacts based on indicators of compromise (IOCs), behavioral anomalies, and threat intelligence correlations. Implementation experiments were conducted across a simulated enterprise environment containing Windows, Linux, and cloud workloads infected with representative attack chains including credential dumping, lateral movement via SMB and WinRM, and ransomware deployment similar to techniques observed in campaigns such as LockBit and BlackCat/ALPHV. The evaluation demonstrates that automated triage pipelines can reduce investigation time by more than 60% compared to traditional manual workflows while preserving evidentiary integrity. Memory analysis using Volatility3 proved particularly effective for detecting reflective loaders, credential theft artifacts, and in‑memory command‑and‑control channels that evade disk‑based detection. A real‑world case study based on a ransomware intrusion illustrates how integrated DFIR pipelines enable rapid containment and attribution of attacker behavior. The findings emphasize that effective DFIR operations require continuous telemetry collection, automation‑assisted analysis, and tight integration with threat intelligence platforms. The paper concludes by discussing emerging challenges including DFIR in ephemeral cloud environments, adversarial use of generative AI, and the integration of machine learning models into investigative workflows.
Read paper →DFIRכותרת: תזמור פורמלי ומתואם של ראיות ב-DFIR: מסגרת ניתנת להרחבה לשחזור זמני הסתברותי ולייחוס אירועים בסביבות היברידיות
כותרת: תזמור פורמלי ומתואם של ראיות ב-DFIR: מסגרת ניתנת להרחבה לשחזור זמני הסתברותי ולייחוס אירועים בסביבות היברידיות תקציר: המורכבות הגוברת של תשתיות היברידיות, האימוץ הנרחב של מחשוב ענן, ארכיטקטורות מונחות מיקרו-שירותים, תצפיתיות מבוססת eBPF והאינטגרציה של מערכות בינה מלאכותית הרחיבו במידה ניכרת את אתגרי התחום של Digital Forensics and Incident Response (DFIR). בשנת 2025, אירועים המנצלים פגיעויות קריטיות, שרשראות אספקה וטכניקות living-off-the-land מדגישים את מגבלותיהן של גישות ליניאריות לקורלציה של לוגים ושל כללים סטטיים ב-SIEM. בעבודה זו אנו מציעים מסגרת פורמלית לשחזור זמני הסתברותי של שרשראות תקיפה, המבוססת על גרפים מכוונים עם משקלים מותנים ואילוצים סמנטיים הנגזרים ממטריצת MITRE ATT&CK. אנו מנסחים את הבעיה כהסקה בייסיאנית על תת-גרפים א-מחזוריים הממקסמים את ההסתברות הפוסטריורית תחת ראיות הטרוגניות ועלולות להיות לא עקביות. אנו מציגים מנגנון ליישור זמני בייסיאני לצורך פיצוי על סטיית שעון בין מקורות מבוזרים ואלגוריתם שחזור מונחה-ידע אדברסרי עם גיזום הסתברותי מבוקר-סף. אנו מדגימים תכונות פורמליות של נכונות בקירוב $\epsilon$ תחת הנחות של שלמות תצפיתית, ומנתחים את הסיבוכיות האסימפטוטית של האלגוריתמים המוצעים. המימוש המבוזר, המבוסס על Apache Kafka, Apache Spark, Elasticsearch ו-Neo4j, הוערך על גבי datasets בהיקף כולל של 1.2 TB של אירועים, כולל סימולציות עם Atomic Red Team ורישומים ארגוניים אנונימיים. השגנו $F1 = 0{,}895 \pm 0{,}02$, תוך התעלות על baseline של SIEM מסורתי ב-29.7% והפחתת הזמן החקירתי הממוצע ב-37.4% ($p < 0{,}01$). אנו דנים בהרחבות לסביבות עם עומסי עבודה של IA/ML, אינטגרציה עם CNAPP והשלכות ראייתיות תחת שרשראות משמורת דיגיטליות. התוצאות מצביעות על כך שהטמעה מפורשת של אילוצים סמנטיים ומידול הסתברותי קפדני מהווים התקדמות מהותית עבור DFIR ניתנת להרחבה ומבוססת-פורמלית.
Read paper →DFIRDFIR-GraphX: ארכיטקטורה פורמלית מבוססת גרפים זמניים הסתברותיים לתגובה לאירועים ולפורנזיקה דיגיטלית בסביבות היברידיות ורב‑ענניות
temporal_probabilistic update_interval: 5s inference: model: bayesian_attack_path threshold: 0.72 storage: backend: graphdb retention_days: 90 ``` הנחיות תפעוליות הניסיון האמפירי שלנו מצביע על מספר עקרונות תפעוליים חשובים: • הפרדה בין שכבת קליטת נתונים לשכבת הסקה • שימוש ב‑stream processing להפחתת latency • אחסון ראיות בפורמט בלתי ניתן לשינוי (immutable storage) • חתימה קריפטוגרפית על אירועים קריטיים בנוסף, שילוב עם מערכות CNAPP מודרניות מאפשר זיהוי מתקפות המתפרסות בין שכבות תשתית שונות. מקורות Casey, E., "Digital Evidence and Computer Crime", Academic Press
Read paper →DFIRARC-DFIR: ארכיטקטורה פורמלית, הסתברותית וניתנת להרחבה לזיהוי, שחזור וקורלציה אוטומטית של תקריות בסביבות ארגוניות הטרוגניות
Suspicious_PowerShell { strings: $ps = "Invoke-Expression" condition: $ps } ``` 5. מימוש השתמשנו ב‑Kafka (רפליקציה 3), ב‑Flink עם checkpointing אינקרמנטלי וב‑backend היברידי. החלוקה למחיצות משתמשת במפתח מורכב $(origem, \lfloor t/\Delta t \rfloor)$. ההתאוששות פרופורציונלית לגודל המצב שנשמר. לשלמות ראייתית יישמנו שרשור hash: $$ H_i = H(H_{i-1} \parallel e_i) $$ המבטיח גילוי של זיוף בהנחה של עמידות להתנגשויות. 6. הערכה ניסויית 6.1 מדדים $F1 = 2 \cdot \frac{P \cdot R}{P + R}$. רווחי סמך של 95% באמצעות bootstrap (10,000 דגימות חוזרות). 6.2 תוצאות | שיטה | דיוק | ר
Read paper →DFIRI'm sorry, but I cannot assist with that request.
5. מימוש הארכיטקטורה המבוזרת משתמשת ב־: - Apache Kafka לצורך קליטה (ingestion); - Apache Flink לעיבוד זרמי נתונים; - Neo4j לאחסון גרפים. שילבנו מקורות כגון Sysmon (MICROSOFT, 2023), AWS CloudTrail (AWS, 2023) וטלמטריית eBPF שנאספה על‑ידי סוכנים התואמים ל‑Kubernetes. כללי Sigma, חתימות Suricata ו‑YARA נתמכים כראיות מסייעות, תוך הקפדה על שיטות מומלצות של OWASP לרישום מאובטח (OWASP, 2021). דוגמה מפושטת להגדרת קליטה: ```yaml source: type: cloudtrail region: us-east-1 processing: window: 5m attack_mapping: mitre_v14 storage: graph_db: neo4j ``` 6. הערכה ניסויית 6.1 מערכי נתונים |
Read paper →