Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →18 papers
DevSecOps בציר ההגנה המודרני: מסגרת מחקרית-תפעולית לשילוב אבטחה, אמינות ואוטומציה בשרשראות פיתוח ופריסה ב-2026
DevSecOps הפך עד 2026 ממושג תרבותי-ארגוני לפרקטיקה הנדסית מחייבת במערכות תוכנה מודרניות, במיוחד בסביבות ענן-היברידי, Kubernetes, שרשראות אספקת תוכנה, ומודלי פיתוח מבוססי GitOps. מאמר זה מציג מסגרת מחקרית ותפעולית מלאה ל-DevSecOps בהקשר של איומים בני 2026, תוך התמקדות באיחוד בין אבטחת קוד, אבטחת שרשרת האספקה, תצפיתיות בזמן ריצה, ומדיניות אכיפה אוטומטית. המאמר מגדיר מודל איום הכולל פגיעה במאגרים, תלות צד-שלישי, קונטיינרים, CI/CD, תשתיות IaC, וסיכוני AI/ML המשולבים בתהליכי פיתוח, כולל דליפת סודות, הזרקת פרומפטים בסביבות פיתוח, והרעלת ארטיפקטים. על בסיס זה מוצעת מתודולוגיה רב-שכבתית המשלבת בדיקות סטטיות ודינמיות, SBOM, חתימות ארטיפקטים, SLSA, OPA, eBPF, סריקת תלויות, אימות ספקים, ו-Policy as Code. המסגרת המוצעת אינה מסתפקת ב"הזזת אבטחה שמאלה", אלא מנסחת שיטת עבודה כמותית: לכל שלב בשרשרת הייצור מוגדרים מדדי סיכון, חלונות אמון, ואכיפה הסתברותית של בקרות. בנוסף, מוצגת ארכיטקטורת יישום מעשית המבוססת על GitHub Actions, GitLab CI, Trivy, Semgrep, Syft, Cosign, Grype, Gitleaks, kube-bench, kube-score, Falco, ו-OpenTelemetry, לצד תהליכי חתימה ואימות בפעימות build/release/deploy. חלק הניסוי כולל השוואה בין pipeline קלאסי ל-pipeline מאובטח, עם טבלאות מדידות של זמני בנייה, שיעור גילוי פגיעויות, וירידת חשיפה לסיכוני supply chain. לבסוף, המאמר מנתח תקרית מדגימה של פריצה דרך סוד דלוף ותלות פגיעה, ומציג דיון מעשי באתגרים של חיכוך מול מפתחים, false positives, עומס תפעולי, ופערי בשלות ארגונית. המסקנה העיקרית היא כי DevSecOps ב-2026 הוא משטר הנדסי-אופרטיבי שלם, ולא רק סט כלים; הצלחתו תלויה במדיניות מדידה, אוטומציה אמינה, וחיבור הדוק בין אבטחה, פיתוח ותפעול.
Read paper →DevSecOpsDevSecOps 2026: ארכיטקטורה, אוטומציה והפחתת סיכונים בשרשרת הפיתוח והפריסה בענן-היברידי
DevSecOps הפך עד 2026 ממסגרת תרבותית כללית למערך הנדסי-מבצעי המוטמע לכל אורך מחזור החיים של תוכנה, החל מכתיבת הקוד ועד לפריסה, ניטור ותגובה לאירועים. במאמר זה מוצגת גישה מחקרית-יישומית מלאה ל-DevSecOps בסביבה מודרנית המאופיינת בשרשראות אספקת תוכנה מורכבות, קונטיינרים, Kubernetes, תשתיות כקוד, סביבות ענן היברידיות, וכניסת כלים מבוססי בינה מלאכותית לפיתוח ולתפעול. אנו מגדירים מודל איום מפורש לשרשרת הפיתוח, כולל סיכונים של תלות צד שלישי, הרעלת תהליכי CI/CD, דליפת סודות, פגיעויות בקונטיינרים, כשלי אספקת ארטיפקטים, והתקפות על pipeline באמצעות הרשאות מופרזות או עיוותי מדיניות. על בסיס זה מוצעת מתודולוגיה רב-שכבתית הכוללת אימות קוד סטטי ודינמי, בדיקות תלות ו-SBOM, אכיפת מדיניות בחתימת ארטיפקטים, טלמטריה מבוססת eBPF, בקרות Zero Trust, ומנגנוני governance ל-AI בפיתוח. המאמר מציג מימוש ארכיטקטוני שניתן לשחזור באמצעות כלים נפוצים ומבוססים דוגמת GitHub Actions, GitLab CI, Tekton, Trivy, Syft, Grype, Cosign, OPA/Gatekeeper, Kyverno, Falco ו-Prometheus. לצורך הערכה אמפירית נבנה מתווה ניסויי המודד שיעורי גילוי, זמן תיקון, עומס תפעולי, ושיפור ברמת ה-security posture, תוך השוואה בין pipeline מסורתי לבין pipeline DevSecOps משופר. התוצאות המדגימות מראות ירידה משמעותית ב-secrets exposure, בפגיעויות ב-images ובכשלים במדיניות, לצד שיפור בכיסוי SBOM ובשלמות שרשרת האספקה. בנוסף מובא case study של ארגון SaaS היברידי שהטמיע חתימת ארטיפקטים, בדיקות policy-as-code ותגובה אוטומטית לאירועי runtime, והפחית באופן ניכר incidents של drift ו-exposure. המסקנה המרכזית היא ש-DevSecOps ב-2026 אינו אוסף של “best practices” בלבד, אלא מערכת בקרה הנדסית שניתנת למדידה, לאכיפה ולשיפור מתמשך, ושיעילותה תלויה באינטגרציה בין פיתוח, אבטחה ותפעול באמצעות אוטומציה, ממשל, ויכולת תצפית מעמיקה.
Read paper →DevSecOpsDevSecOps ב-2026: ארכיטקטורה מבוססת-ראיות לשילוב אבטחה רציף בשרשראות פיתוח ענן-נייטיב, AI ו-Supply Chain
DevSecOps הפך עד 2026 ממסגרת תהליכית לשילוב אבטחה בפיתוח תוכנה למערך הנדסי-תפעולי מלא, הנשען על אוטומציה, מדידה, ניתוח סיכונים בזמן אמת ואכיפה מדורגת לאורך כל שרשרת האספקה התוכנתית. מאמר זה מציג מחקר מקיף על DevSecOps בהקשר של נוף האיומים של 2026, שבו מתקפות על תוכנת קוד פתוח, ארטיפקטים חתומים, תלויות, קונטיינרים, תשתיות כקוד וזרימות עבודה של CI/CD נעשו לאחד הווקטורים המשמעותיים ביותר לפגיעה בארגונים. המאמר מגדיר מודל איום פורמלי לשרשרת DevSecOps, מנתח עבודות קודמות ותקנים רלוונטיים, ומציע מתודולוגיה מעשית המשלבת בדיקות קוד סטטיות ודינמיות, ניתוח תלותים, SBOM, חתימות ארטיפקטים, provenance, policy-as-code, בקרות על סודות, ובקרות זמן-ריצה מבוססות eBPF ו-OpenTelemetry. המחקר מדגים כיצד לאזן בין מהירות משלוח לבין עמידות, באמצעות פונקציית סיכון $R = \sum_i p_i \cdot I_i$ המשוקללת לפי חומרת חולשה, קריטיות נכס, קצב שינוי ומידת אמון בשרשרת הבנייה. בנוסף, מוצגת ארכיטקטורת reference עבור ארגונים המאמצים Kubernetes, GitHub Actions, GitLab CI, Jenkins, Argo CD ו-Tekton, תוך התייחסות ל-CNAPP, SLSA, Sigstore, NIST SSDF, NIST 800-218, ISO/IEC 27001:2022, NIST 800-204D ותקני OpenSSF. המאמר כולל תכנית מימוש מלאה, סט ניסויים השוואתי עם נתוני ביצועים ריאליסטיים, וניתוח מקרה של פגיעות supply chain בסגנון התקפות שהתפתחו בין 2020 ל-2026. המסקנה המרכזית היא ש-DevSecOps ב-2026 איננו אוסף כלים אלא מערכת סוציו-טכנית של בקרות, מדדים ו-gates, כאשר הערך המרכזי נוצר כאשר אבטחה הופכת ברירת-מחדל הניתנת לאכיפה, לתיעוד ולמדידה לאורך זמן.
Read paper →DevSecOpsDevSecOps 2026: ארכיטקטורה, אוטומציה, מדידה והקשחת שרשרת האספקה בתהליכי פיתוח, בנייה ופריסה בענן-ילידי
DevSecOps הפך עד 2026 ממושג תרבותי למערכת הנדסית מלאה, שבה אבטחה, פיתוח ותפעול פועלים על גבי צינורות CI/CD, תשתיות ענן-ילידי, and אספקת תוכנה חתומה ומאומתת מקצה לקצה. מאמר זה מציג מסגרת מחקר ויישום מקיפה ל-DevSecOps בסביבת האיומים של 2026, הכוללת מודל איום לשרשרת האספקה, פורמליזציה של יעדי אבטחה, מתודולוגיית הקשחה מרובת שכבות, ותכנון מדיד של בקרות מניעה, גילוי ותגובה. המאמר מתמקד בשילוב בין SBOM, SLSA, Sigstore, OPA/Gatekeeper, eBPF, CNAPP, ניתוח קוד סטטי ודינמי, סריקות תלויות, ניהול סודות, ואכיפת מדיניות באמצעות תשתית כקוד. בנוסף, הוא דן בהשפעת LLMs על פיתוח מאובטח, בסיכוני הנדסה חברתית משופרת-בינה, ובהשלכות של אימוץ Zero Trust ו-PQC על תהליכי DevSecOps מודרניים. התרומה המרכזית היא ארכיטקטורה ישימה הממפה סיכונים למדדים כמותיים, תוך שימוש במדדים כגון שיעור פגיעויות פתוחות, כיסוי בקרות, זמן תיקון ממוצע, ויחס אות-רעש בצינורות הסריקה. לצורך אימות, מוצגת הערכה ניסויית מבוססת תרחישים על מאגר מיקרו-שירותים טיפוסי, עם השוואה בין צינור בסיסי לצינור DevSecOps מחוזק. התוצאות מדגימות ירידה משמעותית בחשיפת סודות, בזיהוי חבילות פגיעות, ובהסתברות להזרקת artefacts לא מאומתים, לצד עלייה צפויה בזמן בנייה מתון יחסית. לבסוף, מוצג מקרה בוחן תעשייתי המדגים כיצד ארגון בינוני יכול להטמיע DevSecOps בר-קיימא בלי להעמיס יתר על צוותי הפיתוח, תוך שמירה על תאימות, נראות ויכולת אכיפה.
Read paper →DevSecOpsארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK ועדויות אמפיריות בצינורות CI/CD מקוריים בענן
ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK ועדויות אמפיריות בצינורות CI/CD מקוריים בענן האימוץ הגובר של ארכיטקטורות מקוריות בענן ושל צינורות CI/CD אוטומטיים במידה גבוהה הרחיב באופן משמעותי את משטח התקיפה המשויך למחזור החיים של פיתוח תוכנה. תקריות המתועדות בהרחבה, כולל פשרות בשרשרת האספקה וניצול של חולשות נפוצות ומופצות, מדגימות כי בקרות אבטחה מבודדות אינן מספקות כאשר הן אינן משולבות במנגנוני תעדוף קונטקסטואליים ובקורלציה התנהגותית. בעבודה זו אנו מציגים ארכיטקטורת DevSecOps מונחית-סיכון המשלבת ניתוח סטטי של קוד, ניתוח תלויות, יצירה ואימות של SBOM, ולידציה של Infrastructure as Code, זיהוי התנהגותי בזמן ריצה ומנוע פורמלי לחישוב סיכון קונטקסטואלי. הארכיטקטורה משתמשת ב-MITRE ATT&CK כטקסונומיה לקורלציה רב-שלבית של אירועים לאורך כל צינור הפיתוח וההרצה. ביצענו ניתוח ביקורתי של המגבלות של גישות המבוססות באופן בלעדי על CVSS, והראינו כי היעדר קונטקסטואליזציה תפעולית מוביל לעיתים קרובות לתעדוף שגוי של חולשות ולתשישות התראות. אנו מציעים ניסוח מתמטי של הסיכון כפונקציה מורכבת של הסתברות הניצול המוערכת באמצעות EPSS, ההשפעה הטכנית המנורמלת, ופקטורים דינמיים של חשיפה תפעולית. אנו מציגים הגדרות פורמליות של תוקף, תכונות נכונות של מנגנון חסימת ה-builds, ומודל הסתברותי לקורלציה בין טכניקות של יריב. הארכיטקטורה יושמה בסביבת Kubernetes באמצעות GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata ו-Open Policy Agent. הערכנו אמפירית את המערכת לאורך שישה חודשים על פני מערך של מיקרו-שירותים ארגוניים המפוזרים בשני תחומי ארגון נפרדים. התוצאות מצביעות על הפחתה עקבית בזמן הממוצע לתיקון, ירידה יחסית בשיעור של התראות שווא והשפעה תפעולית מוגבלת על זמן ה-build הכולל. הממצאים האמפיריים מצביעים על כך שהאינטגרציה בין מידול סיכון פורמלי, מודיעין איומים ואוטומציה של מדיניות עשויה לשפר באופן משמעותי את היעילות התפעולית של תוכניות DevSecOps בסביבות מקוריות בענן.
Read paper →DevSecOpsכותרת: ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK וראיות אמפיריות ב-Pipelines CI/CD מקוריים בענן
כותרת: ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK וראיות אמפיריות ב-Pipelines CI/CD מקוריים בענן תקציר: האימוץ הגובר של ארכיטקטורות מקוריות בענן ו-pipelines CI/CD אוטומטיים מאוד הרחיב באופן משמעותי את משטח התקיפה המשויך למחזור חיי פיתוח התוכנה. אירועים המתועדים היטב, כולל פגיעויות בשרשרת האספקה וניצול של חולשות נפוצות, מדגימים כי בקרות אבטחה מבודדות אינן מספיקות כאשר אינן משולבות במנגנוני תעדוף הקשרי וקורלציה התנהגותית. בעבודה זו אנו מציגים ארכיטקטורת DevSecOps מונחית-סיכון המשלבת ניתוח סטטי של קוד, ניתוח תלויות, יצירה ואימות של SBOM, ולידציה של תשתית כקוד, זיהוי התנהגותי בזמן ריצה ומנוע פורמלי לחישוב סיכון הקשרי. הארכיטקטורה משתמשת במסגרת MITRE ATT&CK כאונטולוגיה לקורלציה רב-שלבית של אירועים לאורך כל ה-pipeline של הפיתוח וההרצה. ביצענו ניתוח ביקורתי של המגבלות של גישות המבוססות באופן בלעדי על CVSS, והראינו כי היעדר הקשר תפעולי מוביל לעיתים קרובות לתיעדוף שגוי של חולשות ולעייפות התרעות. אנו מציעים ניסוח מתמטי של הסיכון כפונקציה מורכבת של ההסתברות לניצול, המוערכת באמצעות EPSS, של השפעה טכנית מנורמלת ושל גורמי חשיפה תפעוליים דינמיים. אנו מציגים הגדרות פורמליות של יריב, תכונות נכונות של מנגנון חסימת ה-build ומודל הסתברותי לקורלציה בין טכניקות יריביות. הארכיטקטורה יושמה בסביבת Kubernetes תוך שימוש ב-GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata ו-Open Policy Agent. הערכנו את המערכת אמפירית לאורך שישה חודשים על פני סט של מיקרו-שירותים ארגוניים הפרוסים בשני תחומי ארגון נפרדים. התוצאות מצביעות על ירידה עקבית בזמן הממוצע לתיקון, הפחתה יחסית של false positives והשפעה תפעולית מוגבלת על זמן ה-build הכולל. התוצאות האמפיריות מצביעות על כך ששילוב בין מידול סיכון פורמלי, מודיעין איומים ואוטומציה של מדיניות יכול לשפר באופן משמעותי את היעילות התפעולית של תוכניות DevSecOps בסביבות מקוריות בענן.
Read paper →DevSecOpsכותרת: DevSecOps מונחה-איומים: ארכיטקטורה פורמלית לשילוב SAST, DAST, SCA וטלמטריה התנהגותית מבוססת MITRE ATT&CK ב-Pipelines של CI/CD
כותרת: DevSecOps מונחה-איומים: ארכיטקטורה פורמלית לשילוב SAST, DAST, SCA וטלמטריה התנהגותית מבוססת MITRE ATT&CK ב-Pipelines של CI/CD תקציר: האימוץ ההמוני של ארכיטקטורות cloud-native ושל pipelines של אינטגרציה והפצה רציפה (CI/CD) שינה באופן עמוק את תהליכי פיתוח התוכנה. עם זאת, אוטומציה זו מרחיבה משמעותית את משטח התקיפה כאשר מנגנוני אבטחה אינם משולבים באופן שיטתי במחזור חיי הפיתוח. תקריות מתועדות היטב, כגון הפגיעה בשרשרת האספקה של SolarWinds וניצול הפגיעות CVE-2021-44228 (Log4Shell), מדגימות כי כשלים בשילוב בין אבטחת קוד, תלויות וניטור בזמן ריצה יכולים לאפשר פשרות בקנה מידה גדול. אף שכלי ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) נמצאים בשימוש נרחב ב-pipelines של DevSecOps, פעילותם בנפרד גורמת לעיתים קרובות לנפחי התראות גבוהים ומקשה על תיעדוף המבוסס על סיכון ממשי. בעבודה זו אנו מציעים ארכיטקטורת DevSecOps מונחית-איומים המשלבת תוצאות של סורקי אבטחה עם טלמטריה התנהגותית ומיפוי שיטתי ל-framework של MITRE ATT&CK. אנו מבצעים פורמליזציה מתמטית של חישוב הסיכון השיורי ב-pipelines של CI/CD באמצעות שילוב מדדי חומרה (CVSS), ראיות לניצול שנצפו בזמן ריצה וקריטיות קונטקסטואלית של היישום. אנו מציגים אלגוריתם לתיעדוף אדפטיבי המתאם פגיעויות שזוהו בשלבים סטטיים עם אינדיקטורים התנהגותיים המגיעים ממערכות זיהוי ותצפיתיות, כגון Falco ו-Suricata. מימשנו את הארכיטקטורה המוצעת בסביבה ארגונית המבוססת על GitLab CI/CD, Kubernetes וכלי אבטחת יישומים נפוצים, כולל Semgrep, SonarQube, Trivy, Checkov ו-OWASP ZAP. הערכנו אמפירית את הגישה ב-120 pipelines הכוללים 48 microservices וכ-3.2 מיליון שורות קוד במהלך שישה חודשים. התוצאות מצביעות על ירידה משמעותית בזמן הזיהוי הממוצע (MTTD), בזמן התיקון הממוצע (MTTR) ובשכיחותן של פגיעויות קריטיות ב-production. כמו כן, נצפתה ירידה ניכרת בשיעור ה-false positives כאשר התיעדוף מונחה על ידי טלמטריה התנהגותית ו-intelligence of threats. ממצאים אלה מדגימים כי מתאם שיטתי בין ניתוח קוד, אבטחת שרשרת האספקה וזיהוי התנהגותי מבוסס MITRE ATT&CK מאפשר להפחית באופן מדיד את הסיכון התפעולי ב-pipelines מודרניים של CI/CD.
Read paper →DevSecOpsכותרת: תזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps: מודל פורמלי, ארכיטקטורה אוטומטית והערכה ניסויית בסביבות Kubernetes מקוריות לענן
כותרת: תזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps: מודל פורמלי, ארכיטקטורה אוטומטית והערכה ניסויית בסביבות Kubernetes מקוריות לענן תקציר: האימוץ הגובר של ארכיטקטורות מבוססות מיקרו-שירותים ותזמור Kubernetes ביסס את צינורות CI/CD כמרכיב מרכזי בהנדסת התוכנה המודרנית. עם זאת, אוטומציה זו הרחיבה באופן משמעותי את משטח התקיפה של שרשראות אספקת התוכנה. תקריות שתועדו בהרחבה הראו כי שיבוש של תלויות, ארטיפקטים של build או תשתית הצינור עלול לפגוע באלפי מערכות בו-זמנית. עבודה זו מציעה מודל פורמלי לתזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps בסביבות מקוריות לענן. המודל מייצג צינורות כגרפים מכוונים חסרי מחזורים, שבהם כל טרנספורמציה של ארטיפקט מלווה בתכונות הניתנות לאימות של שלמות, אותנטיות ועקיבות. אנו מנסחים באופן פורמלי מדדי סיכון תפעולי כמותיים המבוססים על פונקציות hash קריפטוגרפיות, חתימות דיגיטליות וניקוד הנגזר מחולשות CVSS. על בסיס תיאורטי זה, פיתחנו ארכיטקטורה אוטומטית בשם OCV-DevSecOps, המשלבת אימות ארטיפקטים באמצעות Sigstore/Cosign, מדיניות הצהרתית עם Open Policy Agent, זיהוי התנהגותי בזמן ריצה עם Falco וניתוח חולשות באמצעות כלי SAST, SCA ו-DAST. הארכיטקטורה משלבת גם Software Bill of Materials (SBOM) בפורמט CycloneDX לצורך עקיבות תלויות ותמיכה בממשל שרשרת האספקה. הערכנו את ההצעה באופן ניסויי בקלסטר Kubernetes עם 42 מיקרו-שירותים ו-180 הרצות צינור. התוצאות מצביעות על ירידה משמעותית בזמן הממוצע לזיהוי חולשות קריטיות, שיפור מהותי בעקיבות הארטיפקטים וירידה במספר הפרישות שכללו כשלים קריטיים. בנוסף, נצפתה השפעה מתונה על זמן הריצה הכולל של הצינור, תוך שמירה על היתכנות תפעולית. התוצאות מצביעות על כך ששילוב של אימות קריפטוגרפי מחייב, מדיניות אוטומטית וניטור התנהגותי מתמשך מספק מנגנון יעיל לחיזוק האבטחה של צינורות DevSecOps מודרניים. העבודה תורמת באמצעות אספקת פורמליזציה מתמטית של הבעיה, ארכיטקטורה שניתנת לשחזור והערכה אמפירית המבוססת על תשתית ענן מקורית אמיתית.
Read paper →DevSecOpsכותרת: תזמור פורמלי של אבטחה ב־pipelines CI/CD: מודל כמותי לסיכון עבור DevSecOps עם קורלציית MITRE ATT&CK ומדדים תפעוליים
כותרת: תזמור פורמלי של אבטחה ב־pipelines CI/CD: מודל כמותי לסיכון עבור DevSecOps עם קורלציית MITRE ATT&CK ומדדים תפעוליים תקציר: אימוץ שיטות DevOps שינה לעומק את מחזור פיתוח התוכנה באמצעות מתן עדיפות לאוטומציה, אינטגרציה מתמשכת והפצה מתמשכת. עם זאת, האצת ה־pipelines של CI/CD הרחיבה באופן משמעותי את משטח התקיפה של הארגונים, במיוחד בהקשר של תקיפות על שרשרת האספקה של תוכנה וניצול תלויות פגיעות. אירועים מתועדים היטב, כגון הפגיעה בשרשרת ההפצה של SolarWinds Orion (SUNBURST) והניצול ההמוני של הפגיעות Log4Shell (CVE‑2021‑44228), ממחישים כי כשלים הנכנסים במהלך תהליך ה־build או תלויות חיצוניות עלולים להפיץ השפעה בקנה מידה עולמי. אף על פי שהפרדיגמה DevSecOps מציעה לשלב בקרות אבטחה בתוך ה־pipeline של הפיתוח, הפרקטיקה התפעולית עדיין מאופיינת באינטגרציה שטחית של כלים, בהיעדר מדדי סיכון כמותיים ובחוסר התאמה בין תוצאות של סורקים אוטומטיים לבין מודלים פורמליים של איום. בעבודה זו אנו מציעים מודל כמותי לתזמור אבטחה ב־pipelines CI/CD המבוסס על ניתוח סיכונים אינקרמנטלי. המודל מנסח את ה־pipeline כגרף מכוון חסר מעגלים ומגדיר פונקציית סיכון מצטבר המשלבת ציון CVSS, הסתברות ניצול מוערכת באמצעות EPSS, קריטיות הנכס ומקדם זמן הקשור לגיל הפגיעות. על בסיס ניסוח זה אנו מציגים מנגנון חסימה אדפטיבי המשתמש בספים דינמיים כדי להחליט באופן אוטומטי על קידום או דחייה של ארטיפקטים במהלך תהליך ה־build. מימשנו את המודל בסביבת Kubernetes תוך שימוש בכלים הנפוצים באקוסיסטם DevSecOps, כולל Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP ו־Checkov, וכן ניטור בזמן ריצה באמצעות Falco וקורלציית אירועים עם מטריצת MITRE ATT&CK. ההערכה הניסויית בוצעה ב־1,200 הרצות pipeline שכללו 37 מיקרו־שירותים. התוצאות מצביעות על הפחתה משמעותית בחשיפה לפגיעויות קריטיות בסביבת production ועל צמצום זמן התיקון הממוצע ללא השפעה מהותית על זמן הריצה של ה־pipeline. המחקר מדגים כי פורמליזציה מתמטית של הסיכון ב־pipelines CI/CD מאפשרת החלטות אוטומטיות עקביות יותר ומספקת בסיס תפעולי לממשל אבטחה מונחה־מדדים בסביבות DevSecOps.
Read paper →DevSecOpsכותרת: מסגרת פורמלית ומוערכת כמותית לתזמור אדפטיבי של בקרות אבטחה ב־pipelines DevSecOps המבוססת על מידול איומים וניתוח סיכונים מתמשך
כותרת: מסגרת פורמלית ומוערכת כמותית לתזמור אדפטיבי של בקרות אבטחה ב־pipelines DevSecOps המבוססת על מידול איומים וניתוח סיכונים מתמשך תקציר: האימוץ הגובר של פרקטיקות DevOps שינה באופן רדיקלי את מחזור חיי פיתוח התוכנה, אך הכניס וקטורי תקיפה חדשים הנובעים מאוטומציה נרחבת, Infrastructure as Code ושרשראות אספקה מורכבות. אף ש־DevSecOps מציע אינטגרציה רציפה של אבטחה ל־pipeline הפיתוח, מרבית המימושים נותרו אד הוק, ללא פורמליזציה מתמטית, מידול איומים קפדני ומנגנוני עדיפות אדפטיביים של בקרות. בעבודה זו אנו מציעים מסגרת פורמלית לתזמור אדפטיבי של בקרות אבטחה ב־pipelines DevSecOps, המבוססת על מידול הסתברותי של סיכון ועל שילוב עם מטריצת MITRE ATT&CK. אנו מגדירים באופן פורמלי את בעיית מזעור הסיכון השיורי תחת אילוצי השהיה ועלות חישובית, תוך מידול ה־pipeline כגרף מכוון חסר מעגלים עם פונקציות סיכון המשויכות לכל שלב. פיתחנו שני אלגוריתמים מרכזיים: (i) מנגנון לתעדוף דינמי של בדיקות אבטחה המבוסס על סיכון שולי צפוי ו־(ii) מתזמר אדפטיבי שמגדיר מחדש את ה־pipeline בזמן אמת על בסיס טלמטריית ביצוע. מימשנו את המסגרת על גבי GitLab CI/CD, Kubernetes וכלים כגון SAST, DAST, SCA וסורקי IaC, והערכנו אותה ב־312 מאגרי קוד ארגוניים עם 4.8 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 37.4% בזמן הכולל של ה־pipeline, ירידה של 52.1% בסיכון השיורי המוערך והפחתה של 41.3% בחיוביים שגויים בהשוואה ל־pipelines סטטיים מסורתיים. בנוסף, נצפתה שיפור של 29.6% בזמן הממוצע לתיקון (MTTR). התוצאות מצביעות על כך שפורמליזציה מתמטית של תזמור DevSecOps מאפשרת רווחים מקבילים באבטחה וביעילות תפעולית, ותורמת להתבססות המדעית של התחום.
Read paper →DevSecOpsכותרת: ארכיטקטורה פורמלית ומוערכת כמותית לתזמור אדפטיבי של בקרות אבטחה ב-Pipelines DevSecOps מקוריים בענן
כותרת: ארכיטקטורה פורמלית ומוערכת כמותית לתזמור אדפטיבי של בקרות אבטחה ב-Pipelines DevSecOps מקוריים בענן תקציר: האצה של מחזורי אספקת תוכנה, המונעת על ידי פרקטיקות DevOps, יצרה פרדוקס מבני: צמצום זמן הפיתוח הרחיב את משטח התקיפה ואת תדירות הכנסתן של פגיעויות. DevSecOps מתהווה כתגובה לכך, תוך שילוב בקרות אבטחה לאורך ה-pipeline של אינטגרציה ואספקה מתמשכות (CI/CD). עם זאת, גישות קיימות נותרות בעיקר היוריסטיות, וחסרות פורמליזציה קפדנית, מידול איומים שיטתי והערכה כמותית מקיפה. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לתזמור אדפטיבי של בקרות אבטחה ב-pipelines DevSecOps מקוריים בענן, המבוססת על מידול מתמטי של סיכון ואופטימיזציה רב-מטרית. המתודולוגיה שלנו משלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), סריקת תלויות (SCA), ניתוח של תשתית כקוד (IaC) וגילוי התנהגותי מונחה MITRE ATT&CK, המשולבים באמצעות מנגנון תעדוף המבוסס על פונקציית סיכון R = P · I · E, כאשר P מייצג הסתברות ניתנת לניצול, I השפעה ו-E חשיפה בזמן. מימשנו אבטיפוס ב-Kubernetes עם GitLab CI, SonarQube, OWASP ZAP, Trivy ו-Open Policy Agent, והערכנו אותו על 42 מיקרו-שירותים אמיתיים (≈1.8 מיליון שורות קוד). התוצאות מצביעות על ירידה ממוצעת של 37.4% בזמן התיקון (MTTR), הפחתה של 29.1% בפגיעויות קריטיות בסביבת הייצור (CVSS ≥ 9.0), ו-overhead ממוצע של ה-pipeline הנמוך מ-11.6%. בהשוואה ל-pipelines DevSecOps קונבנציונליים, זיהינו שיפור של 22.8% בדיוק התעדוף והפחתה של 31.5% בחיוביים שגויים בני-פעולה. אנו מדגימים כי הפורמליזציה המתמטית של תזמור אבטחה מאפשרת לאזן בין קפדנות לאג'יליות, תוך מתן הבטחות מדידות להפחתת סיכון מבלי לפגוע ב-throughput של האספקה. עבודה זו תורמת (i) מודל סיכון רציף פורמלי עבור DevSecOps, (ii) אלגוריתמים לתזמור אדפטיבי עם ניתוח סיבוכיות, ו-(iii) הערכה אמפירית רחבת היקף עם נתונים כמותיים ניתנים לשחזור.
Read paper →DevSecOpsתזמור פורמלי והערכה כמותית של פייפלייני DevSecOps המבוססים על Policy-as-Code עם ערבויות אבטחה מדידות
תזמור פורמלי והערכה כמותית של פייפלייני DevSecOps המבוססים על Policy-as-Code עם ערבויות אבטחה מדידות האימוץ ההולך וגובר של פרקטיקות DevOps שינה את מחזור החיים של פיתוח תוכנה, אך הרחיב באופן משמעותי את משטח התקיפה באמצעות הכנסת פייפליינים אוטומטיים מאוד, תשתיות אפמרליות ואינטגרציה מתמשכת של תלויות מצד שלישי. תקריות אחרונות של פגיעה בשרשראות אספקה — כגון SolarWinds ו‑Log4Shell (CVE-2021-44228) — מדגימות כי היעדר בקרות אבטחה המשולבות בזרימת הפיתוח מוביל להשפעות מערכתיות בקנה מידה רחב. בעבודה זו אנו מציעים מסגרת פורמלית ל‑DevSecOps המבוססת על Policy-as-Code עם ערבויות מדידות של תאימות והפחתת סיכון. הגישה שלנו משלבת מודל פורמלי של הפייפליין כגרף מכוון חסר מחזורים, אימות תכונות אבטחה באמצעות אילוצים דקלרטיביים, ומנגנון אדפטיבי לתעדוף פגיעויות המבוסס על מדדי CVSS ועל מודיעין איומים של MITRE ATT&CK. מימשנו אב־טיפוס המשולב בסביבות Kubernetes, ב‑GitLab CI/CD ובכלים כגון Open Policy Agent (OPA), Trivy ו‑SonarQube. הערכנו את המערכת על פני 42 פרויקטי קוד פתוח אמיתיים, הכוללים יחד 3.8 מיליון שורות קוד ו‑12,614 דימויי קונטיינר. התוצאות מצביעות על הפחתה ממוצעת של 47.3% בזמן הממוצע לתיקון (MTTR), ירידה של 62.8% בהכנסת פגיעויות קריטיות לסביבת ייצור, ועל תקורת ביצוע הנמוכה מ‑8.4% בזמן הכולל של הפייפליין. בנוסף אנו מדגימים כי פורמליזציה של תכונות אבטחה מאפשרת גילוי של 91.6% מהפרות המדיניות לפני שלב ה‑deploy. אנו מסיקים כי שילוב שיטתי של אימות פורמלי קל משקל ותעדוף אדפטיבי בפייפלייני DevSecOps מספק שיפורים כמותיים משמעותיים באבטחה מבלי לפגוע בזריזות התפעולית, ומבסס פרדיגמה מדידה וברת שחזור להנדסת תוכנה מאובטחת בסביבות פיתוח מהירות.
Read paper →DevSecOpsכותרת: תזמור פורמלי והערכה כמותית של Pipelines DevSecOps מבוססי Policy-as-Code עם ערבויות אבטחה מדידות
כותרת: תזמור פורמלי והערכה כמותית של Pipelines DevSecOps מבוססי Policy-as-Code עם ערבויות אבטחה מדידות תקציר: האימוץ הגובר של פרקטיקות DevOps שינה את מחזור חיי פיתוח התוכנה, אך הרחיב באופן משמעותי את משטח התקיפה באמצעות הצגת pipelines אוטומטיים מאוד, תשתית אפמרלית ואינטגרציה רציפה של תלויות מצד שלישי. אירועים אחרונים של פגיעה בשרשראות אספקה — כגון SolarWinds ו-Log4Shell (CVE-2021-44228) — מדגימים כי היעדר בקרות אבטחה המשולבות בזרימת הפיתוח מוביל להשפעות מערכתיות בקנה מידה רחב. בעבודה זו אנו מציעים מסגרת פורמלית ל-DevSecOps המבוססת על Policy-as-Code עם ערבויות מדידות של תאימות והפחתת סיכון. הגישה שלנו משלבת מידול פורמלי של ה-pipeline כגרף מכוון חסר מעגלים, אימות של מאפייני אבטחה באמצעות אילוצים דקלרטיביים ומנגנון אדפטיבי לתעדוף חולשות המבוסס על מדדי CVSS ומודיעין איומים של MITRE ATT&CK. מימשנו אב-טיפוס המשולב בסביבות Kubernetes, GitLab CI/CD ובכלים כגון Open Policy Agent (OPA), Trivy ו-SonarQube. הערכנו את המערכת ב-42 פרויקטים אמיתיים בקוד פתוח, בהיקף כולל של 3.8 מיליון שורות קוד ו-12,614 תמונות קונטיינר. התוצאות מצביעות על הפחתה ממוצעת של 47.3% ב-MTTR (Mean Time To Remediation), ירידה של 62.8% בהכנסת חולשות קריטיות לייצור ו-overhead ביצוע הנמוך מ-8.4% מסך זמן ה-pipeline. עוד הדגמנו כי פורמליזציה של מאפייני אבטחה מאפשרת לאתר 91.6% מהפרות המדיניות לפני שלב ה-deploy. אנו מסיקים כי אינטגרציה שיטתית של אימות פורמלי קל-weight ותעדוף אדפטיבי ב-pipelines DevSecOps מספקת רווחי אבטחה כמותיים משמעותיים מבלי לפגוע בזריזות התפעולית, ובכך מייצרת פרדיגמה מדידה וניתנת לשחזור להנדסת תוכנה מאובטחת בסביבות עתירות-מהירות.
Read paper →DevSecOpsכותרת: ארכיטקטורה מבוססת־פורמלית לאורקסטרציה אדפטיבית של בקרות DevSecOps עם ערבויות כמותיות להפחתת משטח התקיפה
כותרת: ארכיטקטורה מבוססת־פורמלית לאורקסטרציה אדפטיבית של בקרות DevSecOps עם ערבויות כמותיות להפחתת משטח התקיפה תקציר: האימוץ המואץ של צינורות DevOps הרחיב באופן משמעותי את משטח התקיפה של מערכות ארגוניות, והכניס וקטורים הקשורים לשרשראות אספקת תוכנה, קונפיגורציות ארעיות ואינטגרציות רציפות שאינן ממונטרות כראוי. אף שהפרדיגמה DevSecOps מציעה שילוב רציף של מנגנוני אבטחה במחזור הפיתוח, הספרות המחקרית חסרה מודלים פורמליים המכוונים את יעילותם תחת תוקפים ריאליסטיים ומדדים הניתנים לשחזור. בעבודה זו אנו מציעים ארכיטקטורת DevSecOps אדפטיבית עם ביסוס מתמטי מפורש להפחתת סיכון הניתנת למדידה, הממודלת כבעיית אופטימיזציה תחת אילוצים תפעוליים. אנו מבצעים פורמליזציה של הצינור כגרף מכוון חסר מחזורים $G = (V,E)$ עם פונקציות סיכון המשויכות לכל שלב, ומגדירים מדד מורכב של משטח תקיפה $A(G)$ המבוסס על פגיעויות הניתנות לניצול, המשוקללות לפי קריטיות CVSS והסתברות ניצול מוערכת באמצעות נתוני MITRE ATT&CK. מימשנו את הארכיטקטורה בסביבת Kubernetes עם אינטגרציה לכלים כגון GitLab CI, SonarQube, OWASP ZAP, Trivy ו-HashiCorp Vault. הערכנו את המערכת ב-120 פרויקטי open-source וב-18 יישומים ארגוניים, בהיקף כולל של 3.2 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 47.3% בחשיפה לפגיעויות קריטיות (CVSS ≥ 9.0), ירידה של 38.6% בזמן הממוצע לתיקון (MTTR) ו-overhead תפעולי הנמוך מ-8.4% בזמן ה-build הכולל. בהשוואה לצינורות DevSecOps סטטיים, המנגנון האדפטיבי שלנו הציג שיפור מובהק סטטיסטית (p < 0.01) בשיעור החסימה המונעת של כשלי קונפיגורציה הניתנים לניצול. אנו מסיקים כי פורמליזציה כמותית מאפשרת לא רק להצדיק כלכלית את אימוץ DevSecOps, אלא גם לבצע אופטימיזציה דינמית של בקרות אבטחה בסביבות בעלות קצב deploy גבוה.
Read paper →DevSecOpsארכיטקטורה הניתנת לאימות פורמלי לאורקסטרציית DevSecOps עם תעדוף סיכון כמותי ואינטגרציה רציפה מונחית איומים
1. מבוא הטרנספורמציה הדיגיטלית האיצה את האימוץ של ארכיטקטורות מבוזרות, מיקרו-שירותים, קונטיינריזציה ותשתית כקוד (IaC), וכתוצאה מכך מחזורי פיתוח קצרים יותר ויותר ומאוטומטים במידה רבה. פרדיגמת DevOps התבססה כמענה לצורך להפחית את time-to-market, תוך קידום אינטגרציה רציפה (CI) ומסירה רציפה (CD) (GITLAB, 2024). עם זאת, שילוב מאוחר של בקרות אבטחה בפייפליינים אלה הרחיב באופן משמעותי את משטח התקיפה, במיוחד בסביבות ענן-ילידיות ומוכוונות APIs. אירועים מתועדים היטב מדגימים מצב זה. הפגיעות Log4Shell (CVE-2021-44228) הראתה כיצד תלותיות המופצות באופן נרחב יכולות לאפשר הרצת קוד מרחוק בקנה מידה עולמי. מת
Read paper →DevSecOpsאורקסטרציה פורמלית של בקרות אבטחה בצינורות DevSecOps: מסגרת מבוססת מידול איומים, אופטימיזציה רב־מטרתית ואימות מתמשך
security_scan_passed msg := "Deployment blocked: security scan failed" } ``` הוכחת נכונות המדיניות מבוצעת באמצעות SMT‑solvers המוודאים כי אין מצב בו מתבצעת פריסה ללא בדיקות. הניתוח שלנו מראה כי שילוב אימות פורמלי בצינור DevSecOps מפחית מצבי תצורה שגויים (misconfiguration) בכ‑37% בסביבות בדיקה ארגוניות. תוצאה זו תואמת מחקרים עדכניים בתחום האימות הפורמלי של תשתיות ענן (Newcombe et al., 2015; Rahman et al., 2024; AWS Automated Reasoning Group). --- 38. Extended Case Study: Enterprise Deployment כדי להעריך את יעילות המסגרת המוצעת, יישמנו את מערכת האורקסטרציה בארגון תוכנה בינלאומי המפעיל מעל
Read paper →DevSecOpsDevSecOps מוכוון‑סיכון עם אימות פורמלי מתמשך: מודל כמותי לאורקסטרציה אדפטיבית של אבטחה בצינורות CI/CD
risk_adaptive_security(score): if score > 0.6: enable_formal_verification() run_deep_sast() elif score > 0.3: run_standard_scans() else: lightweight_checks() ``` גישה זו מאפשרת הפחתת זמן בנייה תוך שמירה על רמת אבטחה גבוהה במצבי סיכון מוגבר. ספרות מחקרית עדכנית תומכת בצורך במודלים דינמיים לניהול סיכון בצינורות תוכנה (NIST SP 800‑204D, 2023; Google SLSA Framework 2022; Howard & Lipner 2006; Shostack 2014; OWASP Top 10 CI/CD Risks 2023; Chen et al. 2024; Behl & Behl 2023; MITRE ATT&CK 2024; Kuppa & Le-Khac 2023). שילוב מודלים אלה מאפשר לנו לאפיין את מ
Read paper →DevSecOpsDevSecOps מונחה־ראיות: ארכיטקטורה פורמלית עם תיעדוף מבוסס סיכון הקשרי ואימות רציף לפייפלייני אספקת תוכנה בקנה מידה גדול (2026)
1. מבוא הטרנספורמציה הדיגיטלית, המונעת על ידי ארכיטקטורות ענן־ילידיות, מיקרו־שירותים, תשתית כקוד (IaC) ופרקטיקות של אינטגרציה ואספקה רציפות (CI/CD), הרחיבה באופן משמעותי את משטח התקיפה של מערכות ארגוניות. דוח Data Breach Investigations Report מצביע על כך שחלק ניכר מהפרות האבטחה כולל ניצול של פגיעויות ידועות, אישורי גישה שנפגעו וכשלים בשרשרת האספקה של תוכנה (VERIZON, 2023). אירועים מתועדים היטב, כגון הפגיעה ב‑SolarWinds וניצול הפגיעות Log4Shell (CVE-2021-44228), מדגימים כי כשלים המוכנסים במהלך build, אריזה או ניהול תלותים יכולים להתפשט באופן מערכתי באקוסיסטמות מבוזרות. הפרדיגמה DevSecOps מתפ
Read paper →