Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →16 papers
זיהוי רב-שכבתי בסייבר ב-2026: ארכיטקטורה לאיחוד טלמטריה, אנומליה, קורלציה והסקה מבצעית להגנת ענן, קצה ו־AI
מאמר זה מציג מסגרת מחקרית ומעשית לזיהוי איומים בסייבר בשנת 2026, בתקופה שבה משטח ההתקפה התרחב באופן מהותי עקב ענן היברידי, קונטיינרים, שרשראות אספקה תוכנתיות, שימוש נרחב ב־SaaS, ואינטגרציה של מערכות בינה מלאכותית גנרטיבית בתהליכים ארגוניים. למרות הבשלתן של גישות Zero Trust, CNAPP, EDR/XDR, ופתרונות מבוססי eBPF, ארגונים עדיין מתמודדים עם פער מתמשך בין איסוף טלמטריה לבין זיהוי אפקטיבי בזמן אמת. פער זה נובע משילוב של רעש גבוה, הנדסת חתימות איטית, עומס קורלציה, והיכולת ההולכת ומשתפרת של תוקפים להסתתר בתוך תבניות התנהגות לגיטימיות. התרומה המרכזית של המאמר היא מודל זיהוי רב-שכבתי המאחד ארבעה צירי חישה: טלמטריית קצה ותהליכים, אירועי זהות וגישה, תעבורת רשת, וסיגנלים לוגיים/סמנטיים ממערכות ענן ו־AI. המודל משלב חוקים דטרמיניסטיים, זיהוי אנומליות סטטיסטי, גרפים של ישויות-אירועים, והסקה מבוססת הקשר להפחתת false positives ולחיזוק explainability. בנוסף, מוצגת מיפוי מבצעי ל־MITRE ATT&CK, פרספקטיבת Threat Model פורמלית, וניתוח של מדדי איכות כגון precision, recall, MTTD, ו-$F_1$ תחת עומסי טלמטריה שונים. לצורך המחשה, נכלל יישום מבוסס OpenTelemetry, Sigma, Elastic/Zeek, ו־Falco/eBPF, וכן ניתוח מקרה של זיהוי שרשרת תקיפה בענן שכללה abuse של identity, יצירת persistence, ותנועה צדית סמויה. המסקנה העיקרית היא שזיהוי מודרני אינו יכול להישען עוד על מקור טלמטריה בודד או על חוקים סטטיים בלבד. רק ארכיטקטורה רב-שכבתית, הנשענת על נירמול סמנטי, קורלציה בזמן, וסקירה אנליטית מתמשכת של איכות החישה, מסוגלת לספק רמת ביטחון תפעולית נאותה בסביבת 2026. מאמר זה מספק תשתית ישימה הן למחקר והן לפריסה ארגונית.
Read paper →Detectionגילוי רב-שכבתי במרחב הסייבר: ארכיטקטורה מבצעית לזיהוי איומים מבוסס-טלמטריה, גרפי ישויות, eBPF וניתוח התנהגותי בעידן ה-LLM וה-CNAPP
מאמר זה מציג מסגרת מחקרית ומבצעית לזיהוי איומים בסביבות סייבר מודרניות בשנת 2026, תוך מיקוד בשילוב טלמטריה הטרוגנית, גרפי ישויות, ניתוח התנהגותי, חוקים חתימתיים, זיהוי אנומליות, ולוגיקת קורלציה מבוססת הקשר. ההצעה נועדה להתמודד עם אופי האיומים של 2026: תקיפות מבוססות זהות, שימוש לרעה ב-LLM לצורך הנדסה חברתית, פגיעה בשרשראות אספקה, תקיפות על ענני קונטיינרים, ושימוש הולך וגובר ב-LOLBins ובטכניקות Living-off-the-Land. המסגרת המוצעת מיישמת צנרת זיהוי המשלבת איסוף ב-eBPF, טלמטריה מ-SIEM/SOAR, לוגים זהותיים, נתוני רשת, ו-IoC/IoA, וממפה אותם למודל הסתברותי המשקלל סיכון, נדירות, וקוהרנטיות אופרטיבית. תרומת המאמר היא כפולה: ראשית, הגדרה פורמלית של בעיית הזיהוי כבעיה של מקסום $P(\text{איום} \mid \text{טלמטריה})$ תחת אילוצי זמן, שגיאות מדידה, וחוסר שלמות נתונים; שנית, ארכיטקטורת יישום מעשית המבוססת על OpenTelemetry, Sigma, YARA, Suricata, Zeek, Sysmon, Falco, ו-PEM/ATT&CK mapping, עם שכבת סינון וטיוב המפחיתה רעש ומגבירה דיוק. הניסויים המדווחים במאמר מדמים סביבה ארגונית היברידית ומראים כי שילוב רב-מקור מאפשר שיפור מהותי ב-$F_1$ וב-$AUC$, תוך צמצום זמן-הזיהוי החציוני ל-MTTD נמוך משמעותית בהשוואה לגלאי מקור בודד. בנוסף, מוצג מקרה בוחן של זיהוי מסלול תקיפה רב-שלבי הכולל פישינג, גניבת אסימונים, תנועה רוחבית, והכנה ל-exfiltration, אשר מודגש כי לא זוהה על ידי כל מנגנון יחיד. המסקנה העיקרית היא שזיהוי ב-2026 חייב להיות ארכיטקטורה, לא מוצר: יכולת דינמית, רב-שכבתית, ומונעת-הקשר, המשלבת אנליטיקה, הנדסה, ותגובה תפעולית.
Read paper →DetectionDetection in Cybersecurity in 2026: A Layered, Telemetry-Centric Methodology for High-Fidelity Threat Discovery Across Endpoints, Networks, Cloud, and Identity
Detection remains the decisive control plane of cybersecurity in 2026 because prevention is no longer assumed to be complete, and modern adversaries routinely blend living-off-the-land tradecraft, identity abuse, cloud-native persistence, and AI-assisted social engineering into campaigns that evade perimeter-centric defenses. This paper presents a publication-ready research treatment of detection as an engineering discipline rather than a single product capability. We formalize detection as a probabilistic inference problem over heterogeneous telemetry, where the objective is to maximize true-positive yield under operational constraints on false positives, latency, and analyst workload. The paper synthesizes the state of the art through 2026, covering endpoint detection and response, network detection and response, identity threat detection, cloud-native detection, SIEM/XDR pipelines, eBPF-based sensors, and AI-assisted detection workflows. We then propose a layered methodology that combines deterministic indicators, behavioral analytics, ATT&CK-aligned graph features, and supervised/semi-supervised anomaly models, with explicit calibration against adversarial adaptation. The methodology is designed for environments that must operate under zero-trust assumptions, post-quantum migration pressure, and the increasing use of generative AI for phishing, deepfake-enabled fraud, and malware development. An implementation blueprint is provided using widely deployed tools and data formats such as Sigma, Zeek, Suricata, Sysmon, OpenTelemetry, and Elastic/Splunk-style pipelines. Experimental evaluation is framed around realistic enterprise datasets and red-team scenarios, with metrics including precision, recall, F1, mean time to detect, and alert density per host-day. A case study illustrates how the proposed stack detects an identity-led intrusion that pivots from phishing to token theft, cloud API abuse, and lateral movement. The paper concludes that effective detection in 2026 is not a search for universal signatures, but a continuously tuned socio-technical system that merges telemetry quality, adversary modeling, detection engineering, and feedback-driven automation.
Read paper →Detectionזיהוי מתקדם בסייבר בעידן 2026: ארכיטקטורה היברידית לשילוב טלמטריה, גרפי זהויות, eBPF ו-AI להגנה מול תקיפות רב-שלביות
זיהוי מתקדם בסייבר עבר בעשור האחרון מהסתמכות על חתימות סטטיות ותנאי סף פשוטים אל מודל רב-שכבתי המבוסס על קורלציה, התנהגות, הקשר עסקי ולמידת מכונה. בשנת 2026, האתגר המרכזי אינו עוד גילוי קובץ זדוני מבודד, אלא זיהוי רצף פעולות מבוזר המשתרע על פני תחנות קצה, ענן, זהויות, API, שרשראות אספקה וסביבות AI. מאמר זה מציג מסגרת מחקרית ויישומית לזיהוי מתקדם המשלבת טלמטריית eBPF, EDR/XDR, לוגים בענן, גרפי זהויות, ומודלי סיווג ואנומליה הנעזרים בייצוגים הקשריים ובכללי ציד איומים. המאמר מנסח את בעיית הזיהוי כבעיה של הערכת הסתברות לאירוע עוין תחת אילוצי זמן, חוסר שלמות נתונים והטרוגניות מקורות, ומגדיר מדדי ביצוע הכוללים $TPR$, $FPR$, $MTTD$, וכן עלות תפעולית משוקללת. התרומה המרכזית היא הצגת ארכיטקטורה היברידית המאזנת בין הסבריות, חסינות להטעיה, ויכולת פעולה בזמן אמת. הארכיטקטורה כוללת שכבת קליטה מאוחדת, מנוע נירמול וסכימת זהויות, מנוע חוקים מבוסס דומיין, מודל אנומליה רב-ממדי, וגרף קורלציה שמקשר בין אירועים לפי ישות, זמן, טופולוגיה וזכות גישה. בנוסף, מוצג מסלול מימוש המבוסס על כלים עדכניים ובשלים ל-2026, לרבות Sigma, YARA, Zeek, Suricata, Osquery, Falco ופתרונות observability מודרניים. המאמר כולל הערכה ניסויית על מערכי נתונים היברידיים המדמים תעבורה, אירועי EDR, פעילות ענן ותסמיני תקיפה, ומדגים שיפור עקבי בזיהוי רצפים מורכבים לעומת גישות מבוססות חתימה בלבד. המאמר מסיים בדיון מעשי על כשלי זיהוי, רעש, תוקפים אדפטיביים, ותפקיד ה-AI בהגנה ובהתקפה גם יחד. המסקנה היא כי בשנת 2026, זיהוי אפקטיבי מחייב מעבר ממודל "אירוע בודד" למודל "נרטיב עוין" המבוסס על קורלציה, היסק והקשר, כאשר היכולת לפעול במהירות ובאמינות חשובה לא פחות מהדיוק הסטטיסטי.
Read paper →DetectionDetection Unificada em Cibersegurança em 2026: Uma Arquitetura Multicamadas para Telemetria, Correlação, Resposta e Detecção Assistida por IA
Em 2026, a detecção em cibersegurança deixou de ser uma função isolada de SIEM ou EDR e passou a constituir uma disciplina sistêmica, orientada por telemetria contínua, engenharia de detecção e correlação multi-fonte. Este artigo propõe uma arquitetura unificada de detecção capaz de operar em ambientes híbridos, distribuídos e fortemente automatizados, cobrindo endpoints, identidade, nuvem, rede, contêineres, workloads serverless e superfícies emergentes expostas a riscos de IA. A contribuição central é um modelo operacional que combina técnicas clássicas baseadas em assinaturas e regras, detecção comportamental, análise estatística, grafos de identidade e processo, e camadas de aprendizado de máquina com governança explícita para reduzir falsos positivos e atrasos de triagem. Formalizamos o problema como um processo de inferência sob incerteza, no qual a função de detecção maximiza a utilidade esperada sob restrições de custo, latência, cobertura e explicabilidade. Em seguida, descrevemos uma metodologia prática para pipeline de ingestão, normalização, enriquecimento, correlação e priorização, com mapeamento consistente ao MITRE ATT&CK e integração com Sigma, YARA, Suricata, Zeek, eBPF e controles nativos de provedores de nuvem. A implementação proposta é compatível com uma stack realista de 2026, incluindo OpenSearch, Elastic, Splunk, Microsoft Sentinel, Wazuh, CrowdStrike Falcon, Sysmon, Falco, Tetragon e OpenTelemetry, com atenção especial à segurança de logs, à qualidade dos dados e à auditoria de modelos. A avaliação experimental, baseada em cenários adversariais representativos de 2026, demonstra melhorias na taxa de detecção e redução do tempo médio para detecção em comparação com abordagens monolíticas centradas apenas em regras. Por fim, discutimos limitações, vieses operacionais, riscos de automação excessiva, uso malicioso de IA generativa e implicações para governança, privacidade e resiliência defensiva.
Read paper →Detectionזיהוי עוין, התנהגותי וסתגלני בסייבר: מסגרת מחקרית ומעשית לשנת 2026
זיהוי בסייבר עבר בעשור האחרון מהסתמכות כמעט בלעדית על חתימות וכללי קורלציה לפעילות רב-שכבתית המשלבת טלמטריה מארכיטקטורות ענן, נקודות קצה, רשת, זהויות, יישומים ומודלי בינה מלאכותית. בשנת 2026, האתגר המרכזי איננו רק “למצוא רעש חריג”, אלא להבחין בין התנהגות לגיטימית מורכבת לבין פעילות יריבה מסתגלת, תוך שמירה על שיעורי שגיאה נמוכים, זמן תגובה קצר, ויכולת הסבר לצוותי SOC, IR ו-CTI. מאמר זה מציג מסגרת מחקרית ומעשית לזיהוי מתקדם המבוססת על איחוד טלמטריה הטרוגנית, דגימת מאפיינים בזמן-אמת, קורלציה מבוססת גרף, וספי החלטה אדפטיביים הנשענים על הקשר תפעולי, נכס, זהות וסיכון. המסגרת המוצעת נועדה להתמודד עם שלוש מגמות בולטות ב-2026: התקפות הממנפות זהויות ותשתיות ענן, שימוש עוין ב-LLM ובאוטומציה גנרטיבית לצורך פישינג, התחמקות והטעיה, והתרחבות התקפות “Low-and-Slow” המפצלות שלבי תקיפה רבים על פני חלונות זמן ארוכים. אנו מגדירים פורמלית את בעיית הזיהוי כהפרדת זרמים רב-ממדיים בזמן $t$ עם אילוץ של עלות שגיאה אסימטרית, ומציעים ארכיטקטורה היברידית הכוללת eBPF, Sysmon, Zeek, OpenTelemetry, וגרפי זהויות-נכסים. בנוסף, מוצג מנגנון ניקוד המשלב תועלת מבצעית, ביטחון סטטיסטי והקשר סיכוני, כך שהזיהוי אינו מסתיים בהתראה אלא מתורגם לפעולת בלימה מדויקת. המאמר כולל ניסוח של threat model, תיאור מימוש, קונפיגורציות וכלי עבודה, הערכה ניסויית עם מדדים כגון Precision, Recall, F1 ו-$F_{\beta}$, וכן ניתוח מקרה מעשי של זיהוי התנהגות יריבה בסביבת hybrid cloud. המסקנה המרכזית היא שזיהוי יעיל ב-2026 מחייב מעבר מ“גילוי אי-תקינות” אל “הבנת כוונה מבצעית”, תוך שילוב תצפיתיות, למידה הסתגלנית, והסבריות מבצעית.
Read paper →Detectionכותרת: ארכיטקטורה היברידית רב-שכבתית לזיהוי המבוססת על טלמטריית Endpoint, רשת וזיכרון עם קורלציה זמנית הסתברותית מונחית MITRE ATT&CK
כותרת: ארכיטקטורה היברידית רב-שכבתית לזיהוי המבוססת על טלמטריית Endpoint, רשת וזיכרון עם קורלציה זמנית הסתברותית מונחית MITRE ATT&CK תקציר: המורכבות הגוברת של מסעות חדירה הנצפים בסביבות ארגוניות מודרניות מאתגרת ארכיטקטורות זיהוי מסורתיות המבוססות על חיישנים מבודדים. מתקפות עכשוויות מנצלות לעיתים קרובות טכניקות living-off-the-land (LOLBins), מסגרות post-exploitation זמינות נרחבות וערוצי פיקוד-ובקרה מוסווים, וכתוצאה מכך שרשראות אירועים מפוזרות בין רשת, endpoint וזיכרון נדיף. אף שכלים כגון IDS/IPS, EDR ופלטפורמות SIEM מאומצים באופן נרחב, האינטגרציה האנליטית שלהם נותרת מוגבלת בשל מודלים של קורלציה סינטקטית בעיקרם, שאינם מסוגלים ללכוד תלויות זמניות וסמנטיות בין אירועים הטרוגניים. מסגרת MITRE ATT&CK התבססה כאונטולוגיה תפעולית לתיאור Tactics, Techniques and Procedures (TTPs), אך השימוש בה במערכות זיהוי מוגבל לעיתים קרובות למיפויים סטטיים או להמחשות תיאוריות. בעבודה זו אנו מציעים ארכיטקטורת זיהוי היברידית רב-שכבתית המשלבת טלמטריית רשת, endpoint וזיכרון עם מנגנון פורמלי של קורלציה זמנית הסתברותית המותאם סמנטית למודל ATT&CK. הארכיטקטורה משלבת חיישנים הנפוצים בשימוש — כולל Suricata, Sysmon, Volatility 3 וכללי Sigma/YARA — עם שכבת קליטה המבוססת על Kafka ואינדוקס מובנה לפי Elastic Common Schema. אנו מנסחים את תהליך הזיהוי כבעיית היסק תחת אי-ודאות, המודל באמצעות גרפים זמניים משוקללים שבהם אירועים מייצגים קודקודים מוערים בטכניקות ATT&CK וקשתות מייצגות מעברים תואמים סמנטית בתוך חלון זמן מוגדר. אנו מציגים פונקציית סיכון מותנית המשלבת הסתברויות הקשריות של טכניקות בודדות ומשקלי מעבר בין TTPs, ומאפשרת לאמוד את הסבירות של שרשראות תקיפה מלאות. אנו מראים אנליטית כי בנייה אינקרמנטלית של גרפים אלה יכולה להתבצע בסיבוכיות $O(n \log n)$ לכל חלון זמן באמצעות מבנים מאונדקסים לפי זמן. ההערכה הניסויית בוצעה באמצעות מערכי נתונים הנסקרים בהרחבה בספרות (CIC‑IDS2017 ו-UNSW‑NB15) ובתרחישי ביצוע מבוקר של נוזקות במעבדה מבודדת. התוצאות מצביעות על שיפורים עקביים במדדי F1-score יחסיים ועל הפחתה איכותית ברעש תפעולי בהשוואה לחיישנים מבודדים. מקרי בוחן נוספים בסביבות ארגוניות מדומות ובתשתית רפואית מדגימים הפחתה בזמן הזיהוי של שרשראות תקיפה הכוללות credential dumping ותנועה לטרלית. העבודה תורמת ניסוח מתמטי של קורלציה זמנית מונחית ATT&CK, ארכיטקטורה ניתנת לשחזור המבוססת על כלים הנמצאים בשימוש נרחב, וניתוח ביקורתי של המגבלות הסטטיסטיות הקשורות לזיהוי חדירה בסביבות בעלות שכיחות נמוכה של תקיפות.
Read paper →Detectionכותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה סמנטית לזיהוי מתקדם של איומים בסביבות ארגוניות
כותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה סמנטית לזיהוי מתקדם של איומים בסביבות ארגוניות תקציר: התחכום ההולך וגובר של מתקפות סייבר, יחד עם התרחבות של תשתיות היברידיות ורב-ענניות, מציב אתגרים מהותיים בפני פעולות אבטחה מודרניות (Security Operations Centers – SOCs). טכניקות תקיפה עכשוויות מנצלות פגיעויות zero-day, שימוש לרעה בזהויות לגיטימיות, living-off-the-land binaries (LOLBins) ושרשראות מורכבות של תנועה רוחבית, שלעתים קרובות מפוזרות בין endpoints, רשתות ארגוניות ושירותי ענן. בהקשר זה, מנגנונים מסורתיים המבוססים אך ורק על חתימות או על זיהוי מבודד של אנומליות מציגים מגבלות משמעותיות, במיוחד בכל הנוגע ליכולת ההרחבה התפעולית ולהפחתת false positives. מאמר זה מציג ארכיטקטורת זיהוי היברידית המבוססת על טלמטריה רב-שכבתית ועל קורלציה סמנטית של אירועים המונחית על ידי גרפים של Tactics, Techniques and Procedures (TTPs) הנגזרים מה-framework של MITRE ATT&CK. ההצעה משלבת חיישני רשת, טלמטריה של endpoint, אירועי זהות ורשומות המתקבלות מסביבות cloud-native, תוך שילוב רכיבים עכשוויים כגון instrumentation מבוססת eBPF ואינטגרציה עם פלטפורמות CNAPP (Cloud-Native Application Protection Platform). אנו מנסחים פורמלית את תהליך הזיהוי כבעיה של הסקה על גבי גרפים דינמיים של אירועים, שבה רצפים של פעילויות נצפות ממופים לטכניקות ATT&CK ומקורלים סמנטית כדי לזהות שרשראות תקיפה. המודל משלב שלושה פרדיגמות משלימות: זיהוי מבוסס חתימות (YARA ו-Suricata), כללים התנהגותיים מובנים (Sigma) וניתוח סטטיסטי של דפוסי התנהגות. הערכנו ניסויית את הארכיטקטורה באמצעות מערך נתונים המורכב מ-benchmarks אקדמיים נפוצים (UNSW-NB15 ו-CIC-IDS2017) ומקמפיינים מבוקרים של red teaming שנערכו בסביבה ארגונית מדומה. התוצאות מצביעות על שיפור משמעותי במדדי ביצועים: precision של 0.89, recall של 0.83 ו-F1-score של 0.86, בנוסף לירידה של 38.2% בשיעור ה-false positives בהשוואה לגישות מבודדות. נצפתה גם ירידה בזמן הזיהוי הממוצע (MTTD) מ-6.1 ל-4.2 דקות. הממצאים מדגימים כי קורלציה סמנטית מבוססת גרפי TTPs, בשילוב עם טלמטריה רב-שכבתית, מהווה גישה מבטיחה לשיפור היעילות התפעולית של SOCs עכשוויים בתרחישים ארגוניים מורכבים.
Read paper →Detectionכותרת: גילוי אדפטיבי רב-מפלסי של איומי סייבר המבוסס על מיזוג בייסיאני של טלמטריה וגרפי תקיפה זמניים
כותרת: גילוי אדפטיבי רב-מפלסי של איומי סייבר המבוסס על מיזוג בייסיאני של טלמטריה וגרפי תקיפה זמניים תקציר: המורכבות הגוברת של התשתיות הדיגיטליות העכשוויות, המתאפיינות בסביבות ענן היברידיות, ארכיטקטורות מבוזרות וזרמי טלמטריה תפעולית מסיביים, מציבה אתגרים מהותיים לזיהוי מוקדם של איומי סייבר. מערכות מסורתיות לניהול אירועי ואינפורמציית אבטחה (SIEM) המבוססות על חוקים דטרמיניסטיים מציגות מגבלות מבניות בזיהוי קמפיינים רב-שלביים, בייחוד כאשר תוקפים עושים שימוש באישורים לגיטימיים, בתנועות צדדיות דיסקרטיות ובטכניקות התחמקות. במקביל, גישות המבוססות באופן בלעדי על למידת מכונה סובלות לעיתים קרובות מהתדרדרות תחת שינויי התפלגות וחסרות יכולת פרשנות תפעולית. בעבודה זו אנו מציגים ארכיטקטורת גילוי אדפטיבית רב-מפלסית המשלבת מיזוג בייסיאני אינקרמנטלי של ראיות עם מידול מבני המבוסס על גרפי תקיפה זמניים. ההצעה מאפשרת לקשור טלמטריה הטרוגנית המגיעה מ-endpoints, רשתות, זהויות וסביבות ענן, תוך שמירה על תלות זמנית מפורשת בין אירועים והתאמה סמנטית לטקסונומיית MITRE ATT&CK. אנו מנסחים את הבעיה כהסקה הסתברותית על שרשראות תקיפה בגרף דינמי $G_t=(V_t,E_t,w_t)$, שבו המשקלים מייצגים הסתברויות מותנות של התנהגות זדונית. פיתחנו מנגנון עדכון בייסיאני אינקרמנטלי המסוגל לעבד זרמים העולים על $10^6$ אירועים בדקה, תוך שמירה על התכנסות הסתברותית ועל השהיה תפעולית נמוכה. המימוש בוצע על גבי ארכיטקטורת עיבוד זרימה המבוססת על Apache Kafka ו-Apache Flink, עם התמדה של גרפים ב-Neo4j וניהול מצב ב-RocksDB. הערכות ניסוייות בוצעו באמצעות מערכי הנתונים UNSW-NB15, CIC-IDS2017 ו-corpus ארגוני מנותק-זהות המכיל כ-400 מיליון אירועים. בהשוואה לגישות מבוססות חוקים, Random Forest ורשתות LSTM, השיטה המוצעת השיגה דיוק ממוצע של 0.91, recall של 0.88 ו-F1-score של 0.89, וכן הפחיתה את שיעור ה-false positives ב-42% ביחס למערכות SIEM קונבנציונליות. התוצאות מדגימות כי מיזוג הסתברותי של טלמטריה, בשילוב עם ייצוג מבני של שרשראות תקיפה, מספק שיפורים מהותיים בחוסן, בפרשנות ובהרחבה. כמו כן אנו דנים בהשלכות עבור ארכיטקטורות אבטחה מודרניות בענן, שילוב עם פלטפורמות CNAPP, ומגבלות הקשורות למידול מוקדם של השערות יריב.
Read paper →Detectionכותרת: ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים המבוססת על קורלציה סמנטית, טלמטריה מרובת מקורות ומודלים סטטיסטיים אדפטיביים
כותרת: ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים המבוססת על קורלציה סמנטית, טלמטריה מרובת מקורות ומודלים סטטיסטיים אדפטיביים תקציר: גילוי יעיל של איומים מתקדמים נותר אחד האתגרים התפעוליים המרכזיים באבטחת סייבר עכשווית. סביבות ארגוניות מודרניות מאופיינות בתשתיות היברידיות המשלבות משאבים on-premise, עננים ציבוריים ו-workloads מכולתים, היוצרות נפחים עצומים של טלמטריה הטרוגנית המגיעה מ-endpoints, רשתות ופלטפורמות זהות. בהקשר זה, מנגנוני גילוי מסורתיים המבוססים באופן בלעדי על חתימות מדגימים מגבלות משמעותיות נוכח התקפות רב-שלביות, malware fileless וטכניקות living-off-the-land. עבודה זו מציעה ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים, המשלבת קורלציה סמנטית המבוססת על אונטולוגיית MITRE ATT&CK, ניתוח זמני של אירועים ומודלים סטטיסטיים אדפטיביים לזיהוי התנהגויות אנומליות. אנו מנסחים את בעיית הגילוי כהסקה הסתברותית של שרשראות תקיפה בזרמי אירועים הטרוגניים, תוך התחשבות במגבלות תפעוליות של שיהוי ושיעורי false positives מקובלים. הארכיטקטורה המוצעת מארגנת את תהליך הגילוי בשלוש שכבות עיקריות: (i) איסוף ונירמול של טלמטריה מרובת מקורות המגיעה מחיישני רשת, agents של endpoint ויומני זהות; (ii) קורלציה סמנטית המבוססת על גרפים של טכניקות ATT&CK, המסוגלת לזהות רצפים סבירים של פעילות יריבית; ו-(iii) מידול סטטיסטי אדפטיבי המשתמש באלגוריתמים לזיהוי אנומליות, כגון Isolation Forest, כדי לזהות סטיות התנהגותיות שלא נצפו בעבר. מימשנו אבטיפוס תפעולי באמצעות Elastic Stack, Suricata, Sysmon ו-Wazuh, המשולבים עם מקורות threat intelligence דרך MISP. ההערכה הניסויית בוצעה בסביבה מבוקרת הכוללת מספר מכונות וירטואליות Windows ו-Linux, שבהן הופעלו תרחישי תקיפה ריאליסטיים תוך שימוש בכלים המתועדים בהרחבה בספרות של security offensive, כולל Metasploit, Cobalt Strike ו-Mimikatz. התוצאות מדגימות שיפור מהותי בזמן הגילוי הממוצע (MTTD), וכן כיסוי רחב יותר של טכניקות ATT&CK בהשוואה לגישות המבוססות באופן בלעדי על IDS של רשת. אנו מציינים הפחתה משוערת של 37% ב-MTTD ועלייה של 21% בכיסוי הטכניקות שזוהו. התוצאות מצביעות על כך שארכיטקטורות היברידיות המשלבות קורלציה סמנטית, ניתוח סטטיסטי וטלמטריה מבוזרת מהוות גישה מבטיחה עבור פעולות מודרניות של Security Operations Center (SOC), במיוחד בסביבות היברידיות ו-cloud-native.
Read paper →Detectionכותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים
כותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים תקציר: התחכום ההולך וגובר של איומי סייבר בשנת 2025, כולל מתקפות רב-שלביות, ניצול חולשות zero-day, פשרות בשרשרת האספקה, שימוש לרעה בזהויות וניצול של מודלים גנרטיביים של בינה מלאכותית, מציב אתגרים מהותיים למנגנוני זיהוי מסורתיים. בעבודה זו אנו מציעים ארכיטקטורת זיהוי אדפטיבית רב-שכבתית המבוססת על מיזוג בייסיאני רקורסיבי של טלמטריה הטרוגנית ועל מידול מבני באמצעות גרפים זמניים דינמיים. אנו מנסחים את הבעיה כהסקה על פני תהליך לטנטי בינארי המייצג את נוכחותה של פעילות זדונית לאורך זמן, המוערך מתוך אירועים נצפים שמקורם ברשת, ב-endpoint, בזהות, באפליקציות וב-workloads בענן. המתודולוגיה משלבת (i) נרמול סמנטי של אירועים, (ii) חילוץ תכונות סטטיסטיות ומבניות, (iii) בנייה אינקרמנטלית של גרפים זמניים ו-(iv) הסקה בייסיאנית עם עדכון ב-log-verossimilhança לצורך יציבות נומרית. נוסף לכך אנו מציגים גלאי מבני המבוסס על סטיית Kullback–Leibler בין התפלגויות של מדדים טופולוגיים נצפים לבין baselines היסטוריים. הערכנו אמפירית את המודל על datasets ציבוריים בשימוש נרחב (CIC-IDS2017 ו-UNSW-NB15) ועל dataset ארגוני המכיל 2.3 מיליארד אירועים מונחאי-זהות, תוך השוואה ל-Random Forest, ל-XGBoost ול-LSTM. התוצאות מצביעות על שיפור מובהק סטטיסטית ב-$F1$-score והפחתה עקבית בשיעור ה-falsos positivos ובזמן הזיהוי הממוצע של lateral movement. אנו דנים בהשלכות בסביבות Zero Trust ו-CNAPP, בחוסן ל-concept drift ובסיכוני הרעלת נתונים. אנו מדגימים כי מיזוג הסתברותי עקבי של כמה ראיות חלשות, בשילוב ניתוח מבני של גרפים זמניים, מספק רווחים מהותיים בדיוק וב-latency, תוך שמירה על סקלאביליות תפעולית בארכיטקטורות מבוזרות מודרניות.
Read paper →Detectionכותרת: גילוי אדפטיבי רב־שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים
כותרת: גילוי אדפטיבי רב־שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים תקציר: התחכום ההולך וגובר של איומים קיברנטיים בשנת 2025, כולל מתקפות רב־שלביות, ניצול פגיעויות zero-day, פשרות בשרשרת האספקה, ניצול זהויות ושימוש לרעה במודלים של בינה מלאכותית גנרטיבית, מציב אתגרים משמעותיים בפני מנגנוני גילוי מסורתיים. בעבודה זו אנו מציעים ארכיטקטורת גילוי אדפטיבית רב־שכבתית המבוססת על מיזוג בייסיאני רקורסיבי של טלמטריה הטרוגנית ועל מודל מבני באמצעות גרפים זמניים דינמיים. אנו מנסחים פורמלית את הבעיה כהסקה על תהליך לטנטי בינארי המייצג את נוכחותה של פעילות זדונית לאורך זמן, המוערך מתוך אירועים נצפים שמקורם ברשת, בתחנות קצה, בזהויות, ביישומים ובעומסי עבודה בענן. המתודולוגיה משלבת (i) נרמול סמנטי של אירועים, (ii) חילוץ מאפיינים סטטיסטיים ומבניים, (iii) בנייה אינקרמנטלית של גרפים זמניים ו-(iv) הסקה בייסיאנית עם עדכון בלוג-סבירות לשם יציבות נומרית. בנוסף אנו מציגים גלאי מבני המבוסס על שונות Kullback–Leibler בין התפלגויות של מדדים טופולוגיים נצפים לבין קווי בסיס היסטוריים. אנו מעריכים אמפירית את המודל על מערכי נתונים ציבוריים נפוצים (CIC-IDS2017 ו-UNSW-NB15) וכן על מערך נתונים ארגוני המכיל 2.3 מיליארד אירועים שעברו אנונימיזציה, ומשווים אותו ל-Random Forest, XGBoost ו-LSTM. התוצאות מצביעות על שיפור מובהק סטטיסטית במדד F1-score ועל הפחתה עקבית בשיעור החיוביים השגויים ובזמן הממוצע לגילוי תנועה לרוחב. אנו דנים בהשלכות בסביבות Zero Trust ו-CNAPP, בעמידות ל-concept drift ובסיכונים של הרעלת נתונים. אנו מדגימים כי מיזוג הסתברותי קוהרנטי של עדויות חלשות מרובות, בשילוב עם ניתוח מבני של גרפים זמניים, מספק שיפורים משמעותיים בדיוק ובזמן השהיה, תוך שמירה על סקלביליות תפעולית בארכיטקטורות מבוזרות מודרניות.
Read paper →Detectionכותרת: זיהוי אדפטיבי של איומי התמדה מתקדמים באמצעות מודליזציה זמנית מולטימודלית והסקה הסתברותית בקנה מידה גדול
כותרת: זיהוי אדפטיבי של איומי התמדה מתקדמים באמצעות מודליזציה זמנית מולטימודלית והסקה הסתברותית בקנה מידה גדול תקציר: התחכום הגובר של איומי התמדה מתקדמים (APTs) בסביבות היברידיות וענניות-מקוריות מציב אתגרים מהותיים לזיהוי מוקדם של פשרות. בשנת 2025, הסביבה התפעולית משלבת ארכיטקטורות multi-cloud, פלטפורמות CNAPP (Cloud-Native Application Protection Platforms), עומסי עבודה ארעיים, טלמטריה באמצעות eBPF וסיכונים מתהווים הקשורים למודלי שפה גדולים (LLMs). בעבודה זו אנו מציעים מודל פורמלי לזיהוי אדפטיבי של APTs המבוסס על אינטגרציה בין גרפים דינמיים מולטימודליים לבין תהליכי Hawkes רב-משתניים, המובנה תחת פרספקטיבה בייסיאנית מפורשת. אנו מנסחים את זרימת האירועים כרצף זמני הטרוגני ומדמים את התפשטות הפעילות הזדונית כתהליך מעורר-עצמי עם אילוצי יציבות ספקטרלית. ההחלטה האופטימלית נגזרת תחת אובדן 0–1 עם הגבלה מפורשת על שיעור החיוביים הכוזבים, תוך התמודדות עם בעיית שיעור הבסיס (base rate) היסודית. מימשנו את הארכיטקטורה בסביבה מבוזרת עם Apache Kafka, Apache Flink ואחסון מבוזר, תוך שילוב חילוץ טלמטריה מבוסס eBPF והעשרה קונטקסטואלית המותאמת ל-MITRE ATT&CK. הערכנו את המודל על מערכי הנתונים CIC-IDS2017, DARPA Transparent Computing ועל dataset ארגוני אנונימי עם 2.3 מיליארד אירועים. התוצאות מדגימות שיפור מובהק סטטיסטית (p < 0.01) ב-F1-score, הפחתה של 38% בשיעור החיוביים הכוזבים ו-AUC של 0.97 בהשוואה ל-baselines כגון Isolation Forest, LSTM וכללי Sigma. נוסף לכך, אנו דנים בהשלכות עבור אבטחת מערכות מבוססות AI, ממשל מודלים ושילוב עם בקרות פוסט-קוונטיות מתהוות. אנו מסיקים כי מודליזציה הסתברותית יחסית מספקת בסיס תיאורטי חזק ויישומי-תפעולית לזיהוי אדפטיבי בקנה מידה גדול, התואם לדרישות העכשוויות של תצפיתיות, תאימות וחוסן סייברי.
Read paper →Detectionכותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על היתוך הסתברותי ולמידה מתמשכת בסביבות ארגוניות הטרוגניות
כותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על היתוך הסתברותי ולמידה מתמשכת בסביבות ארגוניות הטרוגניות תקציר: זיהוי איומים בסביבות ארגוניות עכשוויות הפך לבעיה מורכבת מבחינה מבנית, בשל ההתכנסות בין תשתיות היברידיות, ארכיטקטורות רב-ענניות, התקנים ניידים, עומסי עבודה מבוססי קונטיינרים, משטחי חשיפה הנפתחים באמצעות APIs ואינטגרציה גוברת של מערכות המבוססות על בינה מלאכותית. דוחות עדכניים מצביעים על כך שאישורי גישה שנפגעו, ניצול חולשות מוכרות ושימוש לרעה בכלים לגיטימיים ממשיכים להוות בין וקטורי החדירה המרכזיים, בעוד שזמן השהייה הממוצע של התוקף (dwell time) נותר משמעותי, ומעיד על מגבלות במנגנוני הזיהוי המסורתיים (VERIZON, 2024; MANDIANT, 2023). בעבודה זו אנו מנסחים באופן פורמלי את בעיית הזיהוי כמעט בזמן אמת כהסקה הסתברותית על מצב חבוי של פגיעה מערכתית, המודגם באמצעות תהליך מרקוב ומוערך באמצעות היתוך ראיות הטרוגניות ממספר שכבות טלמטריות. אנו מציעים את המסגרת AMuLeT (Adaptive Multi-Layer Threat detection), המשלבת מסווגים מונחים ואוטואנקודרים לכל שכבה, המשולבים באמצעות כלל יחס נראות לוגריתמי תחת הנחת אי-תלות מותנית בקירוב. בנוסף, אנו מציגים מנגנון למידה מתמשכת עם רגולריזציה אלסטית כדי למתן concept drift והתפתחות אדברסריאלית, תוך שימור פרמטרים בעלי רלוונטיות היסטורית. אנו מעריכים אמפירית את הגישה על גבי datasets ציבוריים בשימוש נרחב ועל גבי dataset ארגוני בקנה מידה גדול, הכוללים מיליארדי אירועים. התוצאות מדגימות שיפורים מובהקים סטטיסטית ב-AUC, ב-F1-score, בשיעור החיוביים השגויים ובהפחתת זמן הזיהוי הממוצע, בהשוואה למודלים מבודדים. אנו דנים בהשלכות מעשיות לאור המלצות NIST ומגמות עכשוויות כגון CNAPP, eBPF ואבטחת מודלים של שפה גדולה, ומתווים הרחבות עתידיות הכוללות גרפים דינמיים ולמידה מאוחדת עם ערבויות פורמליות של פרטיות דיפרנציאלית.
Read paper →Detectionכותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי
כותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי תקציר: זיהוי איומי סייבר בסביבות ארגוניות עכשוויות דורש מנגנונים המסוגלים לקשר אירועים הטרוגניים, למודל תלות טמפורלית מורכבת ולהתאים את עצמם ליריבים המנצלים אישורים תקפים, טכניקות fileless ושרשראות רב-שלביות המתואמות ל-MITRE ATT&CK. בעבודה זו אנו מציעים ארכיטקטורה היברידית המשלבת למידה רפרזנטציונית עם-פיקוח עצמי, מידול טמפורלי היררכי וקורלציה הסתברותית בגרפים דינמיים, במטרה לצמצם false positives מבלי לפגוע ברגישות תחת concept drift. אנו מנסחים את הבעיה כאמידה של $P(Y=1 \mid G_{t-k:t})$, כאשר $G_{t-k:t}$ מייצג חלון הזזה של גרפים טמפורליים שנחלצו ממקורות טלמטריה מרובים (יומני הזדהות, אירועי endpoint, זרמי רשת וטלמטריה בענן). הרכיב ה-עם-פיקוח עצמי מבוסס על חיזוי קונטקסטואלי טמפורלי באמצעות Transformers קלים, ומאפשר למידה של embeddings סמנטיים חזקים בהיעדר תוויות בשפע. שלב הקורלציה הרב-רמתית משתמש בפוטנציאלים לוג-ליניאריים המוגדרים על תת-גרפים התואמים לטכניקות ATT&CK, ובכך מבטיח יכולת פרשנות תפעולית. מימשנו את הפתרון על תשתית מבוזרת עם Apache Kafka, Apache Flink, PyTorch ו-Neo4j, והשגנו תפוקה מתמשכת של 120 אלף אירועים לשנייה באשכול בן 24 צמתים. הערכנו את המודל על datasets CIC-IDS2017, LANL Cybersecurity Dataset ועל מערך ארגוני הכולל 4.2 מיליארד אירועים. נצפו AUC ממוצע של 0.982, F1 של 0.941, TPR של 96.4% ו-FPR של 3.1%, המייצגים הפחתה יחסית של 38% ב-false positives לעומת baselines כגון Isolation Forest, DeepLog ו-Autoencoders LSTM ($p < 0{,}01$). אנו דנים בהשלכות לשילוב עם פלטפורמות SIEM ו-CNAPP, וכן בהרחבות הכוללות למידה מאוחדת עם פרטיות דיפרנציאלית וחוסן אדברסרי. התוצאות מדגימות כי השילוב של ייצוג עם-פיקוח עצמי וקורלציה מבנית הסתברותית מהווה גישה מבטיחה לזיהוי אדפטיבי בקנה מידה גדול עד למצב הטכנולוגי המתקדם של 2025.
Read paper →Detectionכותרת: גילוי רב-רמתי אדפטיבי של איומים מתמשכים מתקדמים באמצעות קורלציה הסתברותית של טלמטריה הטרוגנית
1. מבוא
Read paper →