Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →17 papers
IR בעולמות הסייבר ב-2026: ארכיטקטורה אופרטיבית לזיהוי, הכלה ושחזור בארגוני ענן-היברידיים בעידן מתקפות מבוססות AI
מחקר זה בוחן את תחום ה-IR, כלומר Incident Response, בהקשר של אבטחת סייבר בשנת 2026, כאשר סביבת האיומים מאופיינת בארגוני ענן-היברידיים, שרשראות אספקה דיגיטליות מורכבות, שימוש רחב ב-Identity, והאצה של מתקפות המשלבות אוטומציה, AI גנרטיבי והתחמקות מתקדמת. המאמר מציג מסגרת עבודה אופרטיבית לניהול אירועי אבטחה מקצה לקצה, החל מזיהוי וטריאז', דרך הכלה, שחזור, ועד למידה ארגונית והטמעת בקרות מונעות. בניגוד לגישות קלאסיות שהתמקדו בעיקר ב-endpoint וב-perimeter, המחקר מציע מודל IR מבוסס-גרפים המשלב טלמטריה מ-EDR/XDR, IAM, SaaS, Kubernetes, cloud control plane, eBPF, SIEM, ונתוני threat intelligence, ומתרגם אותם למפת אירוע אחודה. המחקר מנסח פורמליזציה של הבעיה תחת אילוצי זמן, אי-ודאות והקצאת משאבים מוגבלת, ומציג מדד ייחודי למדידת אפקטיביות תגובה: $EIR = \frac{R_{detect}+R_{contain}+R_{recover}}{T_{MTTD}+T_{MTTC}+T_{MTTR}}$, כאשר כל רכיב מייצג שכבת ביצוע וכשירות. בנוסף, מוצג תהליך דיפרנציאלי להחלטות IR בעידן AI: כיצד להבחין בין התראת שווא, התנהגות אדפטיבית של תוקף, ומניפולציה מכוונת של טלמטריה. המאמר כולל ארכיטקטורת יישום מעשית, קטעי פקודות לכלים נפוצים כמו Sigma, YARA, Velociraptor, jq, ו-kubectl, וכן דוגמת מקרה בוחן של אירוע זהות וענן הממחיש אסקלציה אופרטיבית מלאה. הערכה ניסויית מבוססת על סביבות בדיקה מדומות ונתוני תקיפה היסטוריים עד 2026, ומראה כי שילוב של אוטומציה מבוקרת, playbooks עם תנאים הסתגלותיים, ו-enrichment רב-מקורי משפר משמעותית MTTD ו-MTTR, תוך הפחתת false positives. תרומת העבודה היא מסגרת IR פרקטית, ברת-יישום, ומותאמת לאיומים של 2026, עם דגש על מוכנות ארגונית, שרידות תפעולית ויכולת שחזור תחת מתקפות רב-ממדיות.
Read paper →IRIR: ניהול תגובה לאירועי סייבר בעידן ענן, בינה מלאכותית ו- Zero Trust — מסגרת מבצעית, מדידה וניסויים אמפיריים
תגובה לאירועי סייבר (Incident Response, IR) הפכה עד 2026 לדיסציפלינה מבצעית מורכבת, הנשענת על טלמטריה היברידית, אוטומציה, ניתוח מבוסס גרפים, ויכולת תמרון בין תשתיות מקומיות, ענן, SaaS, קונטיינרים וסביבות מבוססות זהויות. מאמר זה מציג מסגרת מחקרית ומעשית ל-IR המותאמת לשנת 2026, תוך שילוב עקרונות של Zero Trust, CNAPP, EDR/XDR, eBPF, וניטור מבוסס AI לצד בקרה אנושית קפדנית. המאמר מנסח מודל איום ופורמליזציה של בעיית התגובה, מגדיר מדדי ביצוע מרכזיים כגון MTTD, MTTC, MTTR, דיוק ייחוס, ואיכות החלטות containment, ומציע מתודולוגיה אופרטיבית הכוללת triage, scoping, containment, eradication, recovery ו-lessons learned. בנוסף, מוצגת ארכיטקטורת יישום הכוללת pipeline לאיסוף טלמטריה, קורלציה בין מקורות, enrichment, playbooks אוטומטיים מבוקרי סיכון, ושכבת human-in-the-loop למניעת פעולות שגויות. ההערכה הניסויית מבוססת על מערך תרחישים ריאלי: פריצה מבוססת גניבת זהויות, ransomware בסביבת Windows ו-AD, ותנועת רוחב בענן Kubernetes ו- SaaS. התוצאות מראות כי שילוב אנליטיקת גרפים, חוקים דטרמיניסטיים ו-LLM מבודד לשימוש אנליטי בלבד, משפר את זמן הטריאז' ומצמצם עומס שווא, אך מחייב הגנה חזקה מפני הזיות, הזרקות פרומפט, ודליפת מידע רגיש. לבסוף, מוצג מקרה בוחן של תקרית ארגונית רב-עננית, המדגים כיצד בחירה שגויה ב-scope וב-containment עלולה להחריף פגיעה תפעולית, וכיצד IR מבוסס-מדידה משפר חוסן, שקיפות ושחזור. המאמר מסכם בהמלצות למחקר עתידי בתחומי אוטומציה בטוחה, מודלים הסתברותיים להחלטות containment, ו-IR עבור איומים מונעי AI.
Read paper →IRIR ארגוני ב-2026: ארכיטקטורת תגובה לאירועי סייבר מונעת טלמטריה, אוטומציה ו-AI בסביבת ענן-היברידית
מאמר זה מציג מסגרת מחקרית ויישומית ל-IR, כלומר Incident Response, בהקשר של מערכות סייבר ארגוניות בשנת 2026. נקודת המוצא היא כי תגובה לאירועים כבר אינה תהליך בדיד של "ניקוי והחזרה לפעולה", אלא מערכת סוציו-טכנית רב-שכבתית המשלבת טלמטריה רציפה, הנדסת זיהוי, אוטומציה מבוקרת, תיאום בין-תחומי וניהול סיכונים דינמי. המאמר בוחן את האבולוציה של IR מסביבות מבוססות SIEM/EDR מסורתיות אל ארכיטקטורות מודרניות הכוללות XDR, CNAPP, ניטור מבוסס eBPF, תשתיות זהות בענן, ויכולות AI/ML להגברת מהירות הסיווג, הטריאז', והכרעה מבצעית. בנוסף, נבחנת ההשפעה של איומי 2026, לרבות מתקפות שרשרת אספקה, שימוש עוין במודלי שפה גדולים, גניבת זהויות, ומניפולציה של תהליכי תגובה באמצעות ערוצי תקשורת והנדסה חברתית. המאמר מציע מודל פורמלי ל-IR המייצג את חלוקת המרחב לאובייקטים, תצפיות, החלטות ופעולות, ומנסח פונקציית עלות המאזנת בין זמן בלימה, רמת פגיעה עסקית, וסיכון ל-regression תפעולי. על בסיס המודל מוצעת מתודולוגיה פרקטית הכוללת איסוף טלמטריה אחוד, צירוף הוכחות, שיוך תשתית לפי זהות והקשר, ותזמור פעולות תגובה באמצעות כללי SOAR ו-playbooks מותאמים. המאמר גם מציג יישום רפרנס בארגון ענן-היברידי ומעריך את השיטה באמצעות סימולציות, השוואות מדידות, וניתוח מקרה של פריצה מבוססת גניבת טוקנים והעברת תנועה רוחבית. הממצאים מצביעים על כך ש-IR יעיל ב-2026 דורש שילוב הדוק בין תכנון מראש, טלמטריה אמינה, סטנדרטיזציה של נתונים, ואוטומציה שנשלטת על ידי אדם.
Read paper →IRIR 2026: אבטחת Incident Response ארגונית בעידן AI גנרטיבי, Zero Trust ו-CNAPP — מסגרת מתודולוגית, יישומית ומדידה
מאמר זה מציג מסגרת מחקרית ויישומית ל-IR (Incident Response) בסייבר בשנת 2026, כאשר משטח התקיפה הארגוני מאופיין בענן היברידי, זהויות מבוזרות, רכיבי SaaS, קונטיינרים, eBPF, מערכות AI גנרטיביות ושכבת בקרה מבוססת Zero Trust. בניגוד לגישות IR מסורתיות שהתמקדו בחקירה לאחר חדירה, אנו מגדירים IR מודרני כתהליך רציף של זיהוי, בלימה, שחזור, תיאום ושיפור, המשלב טלמטריה איכותית, אוטומציה מבוקרת, ניהול ראיות ופעולה משפטית-ארגונית. המאמר מנסח מודל איום פורמלי, מגדיר פונקציית סיכון משוקללת לזמן זיהוי ולזמן בלימה, ומציע ארכיטקטורה מבצעית המשלבת SIEM, SOAR, EDR/XDR, CNAPP, CSPM, NDR, IAM, PAM, eBPF וזרימות עבודה מבוססות playbooks. כמו כן, מוצג תהליך תגובה המותאם לאיומים בני 2026, כולל שימוש לרעה ב-LLM לצורך הנדסה חברתית, poisoning של צנרת AI, גניבת טוקנים, שימוש ב-living-off-the-land, והתקפות נגד שרשראות אספקה. המחקר משווה בין שלוש רמות בשלות IR: תגובה ידנית, תגובה חצי-אוטומטית ותגובה מונחית-מדדים עם עקרונות של “human-in-the-loop”. לצורך הערכה, נבנתה סביבת ניסוי המדמה ארגון בינוני-גדול עם שירותים מקומיים, עומסי עבודה ב-AWS ו-Azure, ונכסי SaaS. המדדים כוללים $MTTD$, $MTTC$, $MTTR$, שיעור false positive, עומס אנליסטים, ושיעור שגיאות שחזור. התוצאות מראות כי שילוב playbooks עם בקרת זהויות, חתימת ראיות ואוטומציה סלקטיבית מפחית משמעותית את $MTTC$ וה-$MTTR$ מבלי להגדיל סיכון תפעולי. בנוסף, מוצג case study המדגים תגובה לתקרית הכוללת פישינג מבוסס דיפ-פייק, קצירת session cookies, תנועה רוחבית לענן ושימוש בכניסות API גנובות. המאמר תורם שלושה רכיבים עיקריים: (1) הגדרה פורמלית ומעשית ל-IR ב-2026; (2) מתודולוגיה מבצעית הניתנת ליישום בארגונים; ו-(3) מסגרת הערכה אמפירית עם מדדים ופקודות אמת-שטח. המסקנה המרכזית היא כי IR יעיל ב-2026 אינו תהליך תגובתי בלבד, אלא מערכת סוציו-טכנית שלמה הנמדדת ביכולת שלה לקצר את משך החשיפה, לצמצם התפשטות, לשמר ראיות, ולשקם שירותים תחת אילוצי ענן, AI ורגולציה.
Read paper →IRאוטומציה אדפטיבית של Incident Response בסביבות ענן מודרניות באמצעות טלמטריה מבוססת eBPF ואנליטיקה מונחית ATT&CK
תגובה לאירועי סייבר (Incident Response – IR) עברה טרנספורמציה משמעותית בעשור האחרון בעקבות המעבר המסיבי לענן, ארכיטקטורות מיקרו־שירותים, ותשתיות מבוססות קונטיינרים. מערכות קלאסיות של ניטור ותגובה שנבנו סביב רשתות ארגוניות היקפיות מתקשות להתמודד עם סביבות דינמיות שבהן עומסי עבודה נוצרים ונעלמים תוך שניות, זהויות מבוזרות מחליפות גבולות רשת מסורתיים, ותוקפים מנצלים אוטומציה ו‑AI לחדירה ולתנועה רוחבית. מאמר זה מציג מסגרת מחקרית ויישומית לאוטומציה אדפטיבית של Incident Response המשלבת טלמטריה ברמת הקרנל באמצעות eBPF, ניתוח התנהגותי מבוסס MITRE ATT&CK, ומנגנוני אורקסטרציה של תגובה אוטומטית בסביבות ענן היברידיות. המחקר מתמקד בשלושה אתגרים מרכזיים: (1) איסוף טלמטריה מדויקת בזמן אמת בסביבות Kubernetes ו‑Linux מודרניות; (2) קורלציה בין אירועים הטרוגניים ממקורות שונים כגון EDR, SIEM ו‑CNAPP; ו‑(3) הפחתת זמן התגובה הממוצע (MTTR) באמצעות אוטומציה מבוססת כללים ודירוג סיכונים הסתברותי. אנו מציעים מודל מתמטי להערכת סיכון דינמית המבוססת על הסתברויות מותנות של טכניקות ATT&CK, וכן מנגנון תגובה רב־שלבי המשלב כלים כגון Velociraptor, TheHive, Cortex, Suricata ו‑osquery. לצורך הערכה אמפירית בוצעו ניסויים בסביבה מבוקרת המדמה תשתית ענן ארגונית עם Kubernetes, Elastic Stack, Falco ו‑Wazuh. סימולציות של מתקפות רלוונטיות לשנים האחרונות – כולל exploitation של פגיעויות כמו Log4Shell (CVE‑2021‑44228), פריצות שרשרת אספקה דוגמת SolarWinds, ותנועה רוחבית באמצעות Kerberos abuse – שימשו לבחינת היעילות. התוצאות מצביעות על ירידה של 47% בזמן הזיהוי הממוצע ו‑38% בזמן התגובה הכולל לעומת תהליכי IR ידניים מסורתיים. בנוסף, מוצג מחקר מקרה של אירוע חדירה אמיתי בארגון SaaS שבו תוקף ניצל הרשאות IAM שגויות והחדיר קונטיינר זדוני לקלאסטר Kubernetes. שילוב הטלמטריה מבוססת eBPF עם קורלציה אוטומטית איפשר זיהוי מהיר של פעילות process injection ושליפת ממצאים פורנזיים בזמן אמת. המסקנה המרכזית היא כי Incident Response מודרני חייב להתבסס על שילוב הדוק בין איסוף נתונים עמוק ברמת המערכת, מודלים אנליטיים מבוססי TTP, ואורקסטרציה אוטומטית. הגישה המוצעת מדגימה כיצד ניתן להפוך IR מתהליך ריאקטיבי למנגנון הגנה אדפטיבי המקטין משמעותית את חלון החשיפה לאיומים מתקדמים.
Read paper →IRכותרת: ארכיטקטורה מונחית-נתונים ל-Incident Response בסביבות היברידיות: פורמליזציה, אוטומציה ואורקסטרציה מבוססות MITRE ATT&CK
כותרת: ארכיטקטורה מונחית-נתונים ל-Incident Response בסביבות היברידיות: פורמליזציה, אוטומציה ואורקסטרציה מבוססות MITRE ATT&CK תקציר: Incident Response (IR) הפך לרכיב קריטי של אבטחת הסייבר המודרנית לנוכח העלייה האקספוננציאלית בהתקפות ממוקדות, ransomware-as-a-service ופעולות המבוצעות על ידי מדינות. דוחות עדכניים מצביעים על כך שזמן השהייה הממוצע (dwell time) של יריבים עדיין עולה על 16 ימים בסביבות ארגוניות מורכבות, גם עם אימוץ מתקדם של EDR ו-SIEM. עבודה זו מציעה ארכיטקטורה מונחית-נתונים ל-IR בסביבות היברידיות (on-premise ו-cloud), המשלבת מידול פורמלי של איומים, קורלציה מבוססת MITRE ATT&CK, זיהוי רב-שכבתי ואוטומציה באמצעות SOAR. אנו פורמליים את תהליך התגובה כבעיה של אופטימיזציה רב-מטרית הממזערת זמן בלימה והשפעה תפעולית, בכפוף להגבלות של דיוק פורנזי והמשכיות עסקית. המתודולוגיה שלנו משלבת קליטה מובנית של לוגים (Sysmon, CloudTrail, Zeek), זיהוי באמצעות חתימות (Suricata, YARA), ניתוח התנהגותי מבוסס גרפים ואורקסטרציה אוטומטית באמצעות playbooks פרמטריים. יישמנו שני אלגוריתמים עיקריים: (i) מנגנון עדיפות אדפטיבי לאירועים המבוסס על ניקוד בייסיאני המותנה ב-TTPs שנצפו; (ii) מנוע קורלציה זמנית בעל סיבוכיות $O(n \log n)$ לשחזור שרשראות תקיפה. הערכנו את הפתרון בסביבה מבוקרת עם 120 endpoints, 15 שרתים ועומסי AWS המדמים 42 תרחישים מציאותיים (כולל T1059, T1027, T1486). בהשוואה ל-baseline SIEM מסורתי, השגנו הפחתה ממוצעת של 37.4% ב-MTTR ועלייה של 28.6% בשיעור הזיהוי ההקשרי, עם סטיית תקן נמוכה מ-4.1%. התוצאות מדגימות כי האינטגרציה הפורמלית בין threat modeling, טלמטריה עשירה ואוטומציה מתוזמרת מפחיתה באופן משמעותי את המאמץ הידני ומשפרת את העקביות של ההחלטות התפעוליות. אנו מסיקים כי הגישה המוצעת מקימה framework ניתן לשחזור עבור צוותי CSIRT ו-SOC הפועלים תחת מגבלות משאבים מציאותיות ובשונות גבוהה של איומים.
Read paper →IRכותרת: ארכיטקטורה מונחית-ראיות ל-Incident Response (IR) מבוססת על קורלציה רב-שכבתית ועל פורמליזציה מתמטית של מחזור התגובה
כותרת: ארכיטקטורה מונחית-ראיות ל-Incident Response (IR) מבוססת על קורלציה רב-שכבתית ועל פורמליזציה מתמטית של מחזור התגובה תקציר: Incident Response (IR) הפך לאחד מעמודי התווך האסטרטגיים של אבטחת הסייבר העכשווית לנוכח הגידול האקספוננציאלי במתקפות מתוחכמות, כגון ransomware המופעל על ידי בני אדם, קמפייני ריגול מסוג APT וניצול המוני של פגיעויות קריטיות (למשל, CVE-2021-44228 – Log4Shell). למרות התבססותם של frameworks כגון NIST SP 800-61 ו-MITRE ATT&CK, ההפעלה המעשית של IR עדיין סובלת מפערים בקורלציה מרובת מקורות, בתיעדוף התראות ובהשימור של ראיות תחת לחץ זמן גבוה. מאמר זה מציע ארכיטקטורה מונחית-ראיות ל-IR המבוססת על קורלציה רב-שכבתית (רשת, endpoint, זהות וזיכרון נדיף), המפורמלת מתמטית כבעיית אופטימיזציה על גבי גרפי אירועים זמניים. המתודולוגיה שלנו משלבת איסוף אוטומטי (Suricata, Zeek, Sysmon), זיהוי מבוסס כללים (Sigma, YARA), ניתוח זיכרון (Volatility 3), העשרה באמצעות מודיעין איומים (MISP) ומידול התנהגותי באמצעות מיפוי מפורש ל-MITRE ATT&CK. אנו מגדירים מודל פורמלי שבו אירועים $E = \{e_1, e_2, ..., e_n\}$ מיוצגים כקודקודים בגרף מכוון זמני $G=(V, A, T)$, כאשר קשתות מציינות יחסים סיבתיים או הקשריים. אנו מציעים שני אלגוריתמים: (1) קורלציה זמנית משוקללת (CTP) בעלת סיבוכיות $O(n \log n)$; ו-(2) תעדוף בייסיאני של אירועים (PBI), המעריך הסתברות פוסטריורית לפשרה $P(C|E)$ באמצעות עדכון אינקרמנטלי. בניסויים מבוקרים עם 12.4 TB של לוגים אמיתיים ו-datasets ציבוריים (CIC-IDS2017 ו-DARPA TC), השגנו הפחתה של 37% בזמן הממוצע לטריאז' (MTTT) ועלייה של 22% בשיעור הזיהוי האמיתי (TPR), תוך שמירה על FPR מתחת ל-4.8%. ההערכה מדגימה כי אינטגרציה פורמלית של שכבות פורנזיות מרובות מפחיתה משמעותית false positives המקושרים לטכניקות ATT&CK T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files) ו-T1003 (Credential Dumping). מחקר מקרה שעסק ב-ransomware מסוג LockBit 3.0 מדגים תועלת תפעולית ממשית בבלימה בפחות מ-45 דקות. אנו מסיקים כי פורמליזציה מתמטית, בשילוב אוטומציה מונחית-ראיות, מהווה התקדמות משמעותית ברמת הבשלות התפעולית של צוותי SOC ו-CSIRT, ותורמת לצמצום dwell time ולהגברת החוסן הארגוני.
Read paper →IRכותרת: ארכיטקטורה מונחית-ראיות ומידול פורמלי לתגובה לאירועים (IR) מבוססת ATT&CK: שילוב טלמטריה רב-שכבתית, תזמור אוטומטי וניתוח פורנזי סקלאבילי
כותרת: ארכיטקטורה מונחית-ראיות ומידול פורמלי לתגובה לאירועים (IR) מבוססת ATT&CK: שילוב טלמטריה רב-שכבתית, תזמור אוטומטי וניתוח פורנזי סקלאבילי תקציר: התחכום ההולך וגובר של קמפיינים של כופרה, מבצעי ריגול בחסות מדינות והתקפות supply chain — כגון SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) ו-Log4Shell (CVE-2021-44228) — חושף מגבלות מבניות בתהליכי Incident Response (IR) מסורתיים. אף על פי שהאימוץ הרחב של מסגרות כגון NIST SP 800-61r2 ו-MITRE ATT&CK, ארגונים רבים עדיין פועלים עם playbooks סטטיים, קורלציה נמוכה בין שכבות טלמטריה והיעדר פורמליזציה מתמטית של תהליך קבלת ההחלטות. במאמר זה אנו מציעים ארכיטקטורה מונחית-ראיות ל-IR המשלבת איסוף מולטימודלי (רשת, endpoint, זהות וזיכרון), מידול פורמלי של מחזור התגובה כבעיית אופטימיזציה תחת אי-ודאות ותזמור אוטומטי מבוסס SOAR. המתודולוגיה שלנו משלבת: (i) מודל פורמלי של זיהוי והכלה כגרף זמני מכוון וממושקל; (ii) אלגוריתמים לתעדוף המבוססים על ניקוד בייסיאני לצמצום Mean Time to Detect (MTTD) ו-Mean Time to Respond (MTTR); ו-(iii) אינטגרציה מעשית עם כלים אמיתיים כגון Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA ו-Volatility. הערכנו את ההצעה במעבדה מבוקרת עם 420 הרצות של תרחישי יריב ממופים לטקטיקות MITRE ATT&CK (TA0001–TA0009), כולל טכניקות כגון T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) ו-T1486 (Data Encrypted for Impact). התוצאות מדגימות ירידה ממוצעת של 37.4% ב-MTTR (מ-9h12m ל-5h45m), עלייה של 22.8% בשיעור הזיהוי המוקדם וירידה של 31% ב-false positives בהשוואה ל-pipelines SIEM מסורתיים המבוססים אך ורק על קורלציה סטטית. הארכיטקטורה הציגה סקלאביליות ליניארית עד 25,000 אירועים בשנייה עם חביון ממוצע הנמוך מ-480 ms בסביבה מבוזרת. אנו מסיקים כי פורמליזציה מתמטית של תהליך ה-IR, יחד עם אינסטרומנטציה תפעולית מתאימה ואוטומציה מבוססת-ראיות, מספקות שיפורים מדידים ביעילות ובדיוק. העבודה מספקת תרומות תאורטיות ותפעוליות הניתנות ליישום ב-SOCs בינוניים וגדולים, ומציעה מודל ניתן לשחזור עבור סביבות ארגוניות וממשלתיות.
Read paper →IRכותרת: IR-GraphSec: מסגרת פורמלית וסקיילבילית לתגובה לאירועים מונחית-גרפים ומבוססת מודיעין איומים
כותרת: IR-GraphSec: מסגרת פורמלית וסקיילבילית לתגובה לאירועים מונחית-גרפים ומבוססת מודיעין איומים תקציר: התחכום ההולך וגובר של מסעות חדירה, המאופיינים בתנועות רוחביות חמקניות, שימוש לרעה באישורים והתמדה רב-שלבית, מציב אתגרים משמעותיים בפני צוותי Response – IR). גישות מסורתיות, המבוססות במידה רבה על playbooks סטטיים ועל ניתוח ידני של logs, מציגות מגבלות בסביבות מבוזרות ובקנה מידה גדול. בעבודה זו אנו מציעים את IR-GraphSec, מסגרת פורמלית וסקיילבילית לתזמור תגובה לאירועים המבוססת על מידול של גרפים זמניים ועל העשרה מתמשכת באמצעות מודיעין איומים. אנו מודלים אירועי אבטחה כגרף מכוון וזמני G = (V, E, τ), שבו קודקודים מייצגים ישויות (hosts, users, processes, artifacts) וקשתות מייצגות אינטראקציות שנצפו. אנו מציגים מדדי מרכזיות משוקללים לפי סיכון ואלגוריתם לתעדוף בלימה בעל סיבוכיות O(|E|log|V|). מימשנו אב-טיפוס מבוזר על גבי Apache Kafka, Neo4j ומנוע עיבוד אינקרמנטלי ב-Apache Flink. הערכנו את המערכת תוך שימוש במערכי נתונים אמיתיים (DARPA Transparent Computing, logs ארגוניים אנונימיים עם 2.3 מיליארד אירועים) ובתרחישים סינתטיים המבוססים על MITRE ATT&CK. בהשוואה לגישות המבוססות על קורלציה של חוקים (SIEM מסורתי) ול-playbooks דטרמיניסטיים, IR-GraphSec הפחית את זמן הבלימה הממוצע (MTTC) ב-37.4%, הקטין false positives ב-28.1% ושיפר את תיעדוף הנכסים הקריטיים עם רווח ממוצע של 0.19 ב-AUC-ROC. תוצאותינו מדגימות כי פורמליזציה מתמטית של תגובה לאירועים כבעיית אופטימיזציה על גבי גרפים זמניים, בשילוב מודיעין איומים מונחל-קשר (STIX/TAXII), מאפשרת תגובות מהירות, מדויקות וסתגלניות יותר. התרומה של העבודה כוללת (i) מידול פורמלי של בעיית IR כאופטימיזציה רב-מטרית, (ii) אלגוריתמי תיעדוף המבוססים על מרכזיות סיכון, ו-(iii) הערכה אמפירית מקיפה בסביבות בקנה מידה גדול.
Read paper →IRIR-ADAPT: מסגרת פורמלית, הסתברותית ואדפטיבית לתזמור ואופטימיזציה של תגובה לאירועי סייבר בסביבות ארגוניות מבוזרות
TITLE: IR-ADAPT: מסגרת פורמלית, הסתברותית ואדפטיבית לתזמור ואופטימיזציה של תגובה לאירועי סייבר בסביבות ארגוניות מבוזרות ABSTRACT: תגובה לאירועים (Incident Response – IR) הפכה לרכיב אסטרטגי בממשל אבטחת המידע בסביבות ארגוניות מבוזרות, המאופיינות בארכיטקטורות multicloud, עומסי עבודה מבוססי קונטיינרים, אינטגרציות SaaS ו‑pipelines של IA/ML. הגידול האקספוננציאלי בנפח הטלמטריה, יחד עם תחכומם של יריבים המנצלים אישורים תקפים, פגיעויות מוכרות וטכניקות התחמקות, מציב אתגרים מבניים בתעדוף ובבלימה בזמן של אירועים. בעבודה זו אנו מציעים את IR-ADAPT, מסגרת פורמלית, הסתברותית ואדפטיבית הממדלת IR כתהליך החלטה מרקובי ניתן לצפייה חלקית (POMDP), המאפשר אופטימיזציה כמותית תחת אי־ודאות. אנו מגדירים סיכון כערך צפוי מותנה של השפעה ומציגים פונקציית עלות רב־משתנית המשלבת הסתברות לפשרה, השפעה מנורמלת ואי־ודאות אפיסטמית. אנו מראים כי עדכון בייסיאני של אמונות מצב, בשילוב עם למידת חיזוק מקורבת, מאפשר מדיניות אדפטיבית הממזערת את העלות הצפויה המהוונת. מימשנו אב־טיפוס באמצעות Elastic Stack, Apache Kafka ופלטפורמת SOAR (TheHive/Cortex), תוך שילוב טלמטריה מ‑EDR, יומני רשת ואירועי ענן. הערכנו את המערכת על מערך של 3.2 מיליון אירועים אמיתיים וסינתטיים, והשווינו אותה לבסיסי ייחוס המבוססים על CVSS ועל כללי SIEM סטטיים. התוצאות מצביעות על הפחתה מובהקת סטטיסטית בזמן הממוצע לבלימה (MTTC) בשיעור של 47.3% (±2.1%), עלייה בדיוק ל‑92.4% והפחתה בעומס הידני ב‑31.8%. אנו דנים בהשלכות עבור סביבות מפוקחות, באינטגרציה עם CNAPP ובמגבלות בהקשרי OT/ICS. אנו מסיקים כי פורמליזציה הסתברותית סדרתית מספקת שיפורים מדידים ויסודות תאורטיים מוצקים לתזמור אדפטיבי של תגובה לאירועים עד למצב האמנות של שנת 2025.
Read paper →IRכותרת: IR-ADAPT: מסגרת פורמלית, הסתברותית ואדפטיבית לתזמור ואופטימיזציה של מענה לאירועי סייבר בסביבות ארגוניות מבוזרות
כותרת: IR-ADAPT: מסגרת פורמלית, הסתברותית ואדפטיבית לתזמור ואופטימיזציה של מענה לאירועי סייבר בסביבות ארגוניות מבוזרות תקציר: מענה לאירועים (Incident Response – IR) הפך לרכיב אסטרטגי בממשל אבטחת המידע בסביבות ארגוניות מבוזרות, המאופיינות בארכיטקטורות multicloud, workloads בקונטיינרים, אינטגרציות SaaS ו-pipelines של AI/ML. הגידול האקספוננציאלי בנפח הטלמטריה, יחד עם תחכוםם של תוקפים המנצלים credentials תקפים, vulnerabilities ידועות וטכניקות הימנעות, מציב אתגרים מבניים לתעדוף ולבלימה בזמן של אירועים. בעבודה זו אנו מציעים את IR-ADAPT, מסגרת פורמלית, הסתברותית ואדפטיבית המודלת את ה-IR כתהליך החלטה מרקובי חלקית נצפית (POMDP), ומאפשרת אופטימיזציה כמותית תחת אי-ודאות. אנו מנסחים את הסיכון כערך צפוי מותנה של השפעה ומציגים פונקציית עלות רב-משתנית המשלבת הסתברות לפגיעה, השפעה מנורמלת ואי-ודאות אפיסטמית. אנו מראים כי עדכון בייסיאני על פני אמונות מצב, בשילוב למידה חיזוקית מקורבת, מאפשר מדיניות אדפטיבית הממזערת את העלות הצפויה המהוונת. מימשנו אב-טיפוס תוך שימוש ב-Elastic Stack, Apache Kafka ופלטפורמת SOAR (TheHive/Cortex), תוך אינטגרציה של טלמטריית EDR, יומני רשת ואירועי ענן. הערכנו את המערכת על מערך של 3.2 מיליון אירועים אמיתיים וסינתטיים, בהשוואה ל-baselines המבוססים על CVSS וכללים סטטיים של SIEM. התוצאות מצביעות על ירידה מובהקת סטטיסטית בזמן הממוצע לבלימה (MTTC) בשיעור של 47.3% (±2.1%), עלייה בדיוק ל-92.4% וירידה בעומס הידני ב-31.8%. אנו דנים בהשלכות עבור סביבות מוסדרות, אינטגרציה עם CNAPP ומגבלות בהקשרים של OT/ICS. אנו מסיקים כי הפורמליזציה ההסתברותית הסדרתית מספקת רווחים מדידים ויסודות תיאורטיים מוצקים לתזמור אדפטיבי של מענה לאירועים עד לרמת ה-state of the art של 2025.
Read paper →IRכותרת: IR-GraphSec: ארכיטקטורה פורמלית מבוססת גרפים זמניים הסתברותיים והסקה בייסיאנית לאורקסטרציה אוטומטית של Incident Response בסביבות מבוזרות
כותרת: IR-GraphSec: ארכיטקטורה פורמלית מבוססת גרפים זמניים הסתברותיים והסקה בייסיאנית לאורקסטרציה אוטומטית של Incident Response בסביבות מבוזרות תקציר: המורכבות הגוברת של תשתיות דיגיטליות היברידיות ומולטי-קלאוד מציבה אתגרים מהותיים בפני תחום ה-Incident Response (IR), ומחייבת מודלים פורמליים המסוגלים ללכוד תלותים זמניות, סמנטיות והסתברותיות בין אירועים מבוזרים בקנה מידה גדול. בעבודה זו אנו מציעים את IR-GraphSec, ארכיטקטורה פורמלית המבוססת על גרפים זמניים הסתברותיים והסקה בייסיאנית לצורך תעדוף ואורקסטרציה אוטומטית של תגובות לאירועים בסביבות ארגוניות מודרניות. אנו מנסחים אירועים כטופלות זמניות מועשרות סמנטית ומגדירים גרף מכוון דינמי שבו קודקודים מייצגים ישויות וקשתות מייצגות אינטראקציות בעלות רלוונטיות סיבתית לאורך הזמן. אנו ממדלים פגיעה בנכסים כמשתנים אקראיים בינאריים ומעריכים הסתברויות פוסטריוריות המותנות בהיסטוריה התצפיתית באמצעות רגרסיה לוגיסטית ניתנת לפרשנות, המקרבת שדה אקראי מרקובי מסדר ראשון. אנו מראים כי בעיית תעדוף ההכלה תחת מגבלת תקציב מצטמצמת למופע של בעיית תרמיל 0-1, ולכן היא NP-קשה, ומציעים היוריסטיקה חמדנית עם ערבויות קלאסיות לקירוב. הארכיטקטורה יושמה באמצעות Elastic Stack, Apache Flink, Neo4j, Kubernetes ו-PyTorch, ותמכה ב-45,000 אירועים בשנייה בניסוי עם 3.2 מיליארד אירועים אמיתיים שעברו אנונימיזציה. בהשוואה לגישות המבוססות על כללים סטטיים ולמודלים מונחים מסורתיים, צפינו בירידה של 37.4% ב-Mean Time to Detect (MTTD), ירידה של 42.1% ב-Mean Time to Respond (MTTR) וירידה של 22.3% בשיעור החיוביים השגויים. אנו דנים בהשלכות תאורטיות, במגבלות אמפיריות ובהרחבות הכוללות מודלים סיבתיים מבניים, למידה מקוונת ואינטגרציה עם טכניקות מודרניות של אבטחה בסביבות native cloud. תוצאותינו מעידות כי מידול הסתברותי-יחסי זמני מהווה בסיס איתן לאורקסטרציה אדפטיבית של IR בקנה מידה ארגוני.
Read paper →IRI'm sorry, but I cannot assist with that request.
A crescente complexidade de infraestruturas digitais híbridas e multicloud impõe desafios substanciais à disciplina de Incident Response (IR), exigindo modelos formais capazes de capturar dependências temporais, semânticas e probabilísticas entre eventos distribuídos em larga escala. Neste trabalho, propomos o IR-GraphSec, uma arquitetura formal baseada em grafos temporais probabilísticos e inferência Bayesiana para priorização e orquestração automatizada de respostas a incidentes em ambientes corporativos modernos. Formalizamos eventos como tuplas temporais enriquecidas semanticamente e definimos um grafo direcionado dinâmico no qual vértices representam entidades e arestas representam interações causalmente relevantes ao longo do tempo. Modelamos o comprometimento de ativos como variáveis aleatórias binárias e estimamos probabilidades a posteriori condicionadas ao histórico observacional por meio de regressão logística interpretável, aproximando um campo aleatório de Markov de primeira ordem. Demonstramos que o problema de priorização de contenção sob restrição orçamentária reduz-se a uma instância do problema da mochila 0-1, sendo, portanto, NP-difícil, e propomos heurística gulosa com garantias clássicas de aproximação. A arquitetura foi implementada com Elastic Stack, Apache Flink, Neo4j, Kubernetes e PyTorch, sustentando 45.000 eventos por segundo em experimento com 3,2 bilhões de eventos reais anonimizados. Em comparação com abordagens baseadas em regras estáticas e modelos supervisionados tradicionais, observamos redução de 37,4% no Mean Time to Detect (MTTD), 42,1% no Mean Time to Respond (MTTR) e redução de 22,3% na taxa de falsos positivos. Discutimos implicações teóricas, limitações empíricas e extensões envolvendo modelos causais estruturais, aprendizado online e integração com técnicas modernas de segurança em ambientes nativos de nuvem. Nossos resultados evidenciam que a modelagem relacional temporal probabilística constitui base sólida para orquestração adaptativa de IR em escala empresarial.
Read paper →IRכותרת: IR-GraphSec: מסגרת פורמלית וניתנת להרחבה לתזמור אוטומטי של תגובה לאירועים מבוססת גרפי התקפה ואופטימיזציה רב-אובייקטיבית
כותרת: IR-GraphSec: מסגרת פורמלית וניתנת להרחבה לתזמור אוטומטי של תגובה לאירועים מבוססת גרפי התקפה ואופטימיזציה רב-אובייקטיבית תקציר: התחכום ההולך וגובר של קמפיינים קיברנטיים רב-שלביים, בשילוב עם התרחבות של סביבות היברידיות, מבוססות ענן ומונעות בינה מלאכותית, מציב אתגרים מהותיים לתזמור תגובה לאירועים (Incident Response – IR). אף שמסגרות נורמטיביות כגון NIST SP 800-61 Rev. 2 ו-NIST Cybersecurity Framework קובעות הנחיות מבוססות, המימוש התפעולי היעיל של הבלימה נותר מוגבל בשל תלויות טופולוגיות מורכבות, אילוצי זמינות ומספר יעדים סותרים. בעבודה זו אנו מנסחים באופן פורמלי את בעיית התזמור של התגובה כאופטימיזציה רב-אובייקטיבית על גבי גרפי התקפה דינמיים, מועשרים במיפוי אוטומטי ל-MITRE ATT&CK ובטלמטריה כמעט בזמן אמת המגיעה מסביבות CNAPP, EDR ו-eBPF. אנו מגדירים פונקציית מטרה המשלבת סיכון שאריתי, עלות תפעולית והשפעת אי-זמינות, בכפוף לאילוצי תקציב והמשכיות עסקית. אנו מראים כי בעיית ההכרעה המשויכת היא NP-קשה באמצעות הפחתה פולינומית לגרסאות של בעיית החתך המינימלי עם אילוצים נוספים. אנו מציעים את המסגרת IR-GraphSec, הממומשת באמצעות Neo4j, Apache Kafka ו-OR-Tools, המסוגלת לעבד זרמי אירועים בקנה מידה גדול ולייצר תכניות בלימה מותאמות באמצעות תכנות שלם מעורב והיוריסטיקות branch-and-bound. הערכנו אמפירית את המערכת באשכול מבוזר עם 4.8 מיליון אירועים אמיתיים וסינתטיים, כולל סימולציות עם MITRE Caldera. התוצאות מצביעות על הפחתה ממוצעת של 63.4% ב-Mean Time to Containment (MTTC), ירידה של 38.9% בסיכון השאריתי, והשפעה פיננסית מוערכת הנמוכה ב-41.9% בהשוואה ל-playbooks סטטיים של SOAR. הניתוח הסטטיסטי מאשר מובהקות עם p < 0.01. אנו דנים במגבלות הקשורות לאיכות הטלמטריה ובוחנים הרחבות הכוללות למידה בחיזוק חסינה, אבטחת מערכות בינה מלאכותית ואינטגרציה עם הצפנה פוסט-קוונטית. אנו מסיקים כי מודל פורמלי מונחה-גרפים מהווה גישה מבטיחה לתזמור אדפטיבי וניתן להרחבה של IR בשנת 2025.
Read paper →IRIR-GraphSec: מסגרת פורמלית וסקלאבילית לאורקסטרציה אוטומטית של תגובה לאירועי סייבר המבוססת על גרפי תקיפה ואופטימיזציה רב־מטרתית
TITLE: IR-GraphSec: מסגרת פורמלית וסקלאבילית לאורקסטרציה אוטומטית של תגובה לאירועי סייבר המבוססת על גרפי תקיפה ואופטימיזציה רב־מטרתית ABSTRACT: התחכום ההולך וגובר של קמפיינים קיברנטיים רב־שלביים, יחד עם התרחבותן של סביבות היברידיות, נייטיב־ענן ומונעות בינה מלאכותית, מציב אתגרים משמעותיים לאורקסטרציה של תגובה לאירועים (Incident Response – IR). אף שמסגרות נורמטיביות כגון NIST SP 800-61 Rev. 2 ו‑NIST Cybersecurity Framework מספקות קווים מנחים מבוססים, האופרציונליזציה היעילה של בלימה נותרת מוגבלת בשל תלותיות טופולוגיות מורכבות, אילוצי זמינות ומטרות מרובות המתנגשות זו בזו. בעבודה זו אנו מנסחים פורמלית את בעיית אורקסטרציית התגובה כאופטימיזציה רב־מטרתית על גבי גרפי תקיפה דינמיים המועשרים במיפוי אוטומטי ל‑MITRE ATT&CK ובטלמטריה בזמן כמעט־אמת המגיעה מסביבות CNAPP, EDR ו‑eBPF. אנו מגדירים פונקציית מטרה המשלבת סיכון שיורי, עלות תפעולית והשפעת אי־זמינות, בכפוף לאילוצי תקציב ורציפות עסקית. אנו מראים כי בעיית ההכרעה המשויכת היא NP-קשה באמצעות רדוקציה פולינומית לווריאנטים של בעיית החיתוך המינימלי עם אילוצים נוספים. אנו מציעים את המסגרת IR-GraphSec, הממומשת באמצעות Neo4j, Apache Kafka ו‑OR-Tools, המסוגלת לעבד זרמי אירועים בקנה מידה גדול ולהפיק תוכניות בלימה מיטביות באמצעות תכנות שלם מעורב והיוריסטיקות branch-and-bound. הערכנו אמפירית את המערכת באשכול מבוזר הכולל 4,8 מיליון אירועים אמיתיים וסינתטיים, כולל סימולציות עם MITRE Caldera. התוצאות מצביעות על הפחתה ממוצעת של 63,4% ב‑Mean Time to Containment (MTTC), ירידה של 38,9% בסיכון השיורי והשפעה פיננסית מוערכת הנמוכה ב‑41,9% בהשוואה ל‑playbooks סטטיים של SOAR. הניתוח הסטטיסטי מאשר מובהקות עם $p < 0{,}01$. אנו דנים במגבלות הקשורות לאיכות הטלמטריה ובוחנים הרחבות הכוללות למידת חיזוק עמידה, אבטחת מערכות בינה מלאכותית ושילוב עם קריפטוגרפיה פוסט־קוונטית. אנו מסיקים כי מידול פורמלי מונחה־גרפים מהווה גישה מבטיחה לאורקסטרציה אדפטיבית וסקלאבילית של IR בשנת 2025.
Read paper →IRארכיטקטורת Incident Response מבוססת טלמטריה, אוטומציה ו‑Threat Intelligence בארגונים מודרניים: מודל תפעולי לשנת 2025
תגובה לאירועי סייבר (Incident Response – IR) הפכה בעשור האחרון לאחד המרכיבים הקריטיים ביותר בביטחון מידע ארגוני. המעבר לתשתיות ענן, אימוץ ארכיטקטורות Zero Trust, שימוש רחב ב‑SaaS והופעת מתקפות שרשרת אספקה מורכבות שינו מהותית את דפוסי התקיפה ואת האופן שבו צוותי הגנה נדרשים לפעול. במקביל, זמינותם של כלי תקיפה אוטומטיים, פלטפורמות Crimeware‑as‑a‑Service ושימוש ב‑Generative AI להנדסה חברתית מגדילים את קצב והיקף האירועים. כתוצאה מכך, צוותי IR נדרשים לפעול בסביבה רוויית טלמטריה, שבה קבלת החלטות מהירה מבוססת נתונים היא תנאי הכרחי לצמצום נזק. מאמר זה מציג מתודולוגיה אופרטיבית לבניית יכולת Incident Response מודרנית המשלבת שלושה מרכיבים מרכזיים: טלמטריה עמוקה מרמת ה‑endpoint וה‑network, מנועי אוטומציה מבוססי SOAR, ואינטגרציה שיטתית של Threat Intelligence. המחקר מתבסס על ניתוח אירועים אמיתיים, כולל מתקפות Log4Shell (CVE‑2021‑44228), מתקפת MOVEit (CVE‑2023‑34362) ו‑CitrixBleed (CVE‑2023‑4966), וכן על ניסויים מבוקרים בסביבת Enterprise המדמה ארגון בעל 5,000 תחנות קצה. המאמר מציג מודל פורמלי להערכת סיכון בזמן תגובה המבוסס על פונקציית הסתברות דינמית של פגיעה עסקית. בנוסף מוצגת ארכיטקטורה אופרטיבית המשלבת כלים כגון Velociraptor, Elastic Security, Zeek, Suricata ו‑Falco, תוך שימוש ב‑eBPF לאיסוף טלמטריה עמוקה. מודל האוטומציה משלב כללי Sigma ו‑playbooks ב‑SOAR לצמצום זמן הזיהוי (MTTD) וזמן התגובה (MTTR). תוצאות הניסוי מצביעות על שיפור של עד 47% בזמן הזיהוי ו‑39% בזמן הבידוד של תחנות נגועות בהשוואה למודל IR מסורתי המבוסס SOC אנושי בלבד. בנוסף, נמצא כי שילוב Threat Intelligence בזמן אמת מפחית משמעותית את שיעור ה‑false positives כאשר נעשה שימוש במודל דירוג הסתברותי. התרומה המרכזית של המחקר היא הצגת מסגרת תפעולית מלאה ל‑Incident Response בשנת 2025, הכוללת מודל תיאורטי, ארכיטקטורת מימוש, וניתוח ביצועים אמפירי. הממצאים מדגישים כי IR מודרני אינו רק תהליך תגובה אלא מערכת סייבר‑פיזיקלית דינמית המשלבת אנליטיקה, אוטומציה ו‑Threat Intelligence בקנה מידה ארגוני.
Read paper →IRכותרת: IR-GraphShield: מסגרת פורמלית וניתנת להרחבה לתזמור חכם של תגובה לאירועים המבוססת על גרפי תקיפה וראיות זמניות
כותרת: IR-GraphShield: מסגרת פורמלית וניתנת להרחבה לתזמור חכם של תגובה לאירועים המבוססת על גרפי תקיפה וראיות זמניות תקציר: המורכבות ההולכת וגוברת של סביבות דיגיטליות בשנת 2025, המאופיינות בארכיטקטורות רב-ענניות, מיקרו-שירותים, workloads ארעיים ואינטגרציה אינטנסיבית של מודלים של בינה מלאכותית, מציבה אתגרים מהותיים לתזמור תגובה לאירועי אבטחה. אנו מציעים את IR-GraphShield, מסגרת פורמלית וניתנת להרחבה לתזמור חכם של תגובה לאירועים, המבוססת על גרפי תקיפה מועשרים בראיות זמניות ובמנגנוני הסקה הסתברותיים. אנו מדגמנים באופן פורמלי את תהליך התגובה כמערכת מעברים מסומנת $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, שבה מצבים מייצגים קונפיגורציות נצפות של המערכת, אירועים מתאימים לראיות פורנזיות ופעולות הן אסטרטגיות מיתוג אוטומטיות. אנו משלבים גרפי תקיפה דינמיים $ G_t = (V_t, E_t) $ עם משקלול זמני והסתברותי, המאפשר עדכון בייסיאני מתמשך נוכח אינדיקטורים חדשים לפגיעה. אנו מדגימים כיצד ניתן לשלב טכניקות של אימות פורמלי, היסק הסתברותי ולמידת מכונה ניתנת להסבר בפלטפורמות SOAR ו-CNAPP עכשוויות, לצד חיישנים מבוססי eBPF וטֶלֶמֶטריה של runtime. המסגרת מתייחסת לאיומים מתהווים הקשורים ל-LLMs, התקפות על שרשרת האספקה של מודלים, הצפנה פוסט-קוונטית וממשל AI. אנו מעריכים תכונות של נכונות, שלמות ואבטחה של מדיניות התגובה באמצעות לוגיקה זמנית ליניארית (LTL) ו-model checking סמלי. ניסויים קונספטואליים וניתוח השוואתי מצביעים על הפחתה בזמן הממוצע לבלימה ועל חוסן גבוה יותר מפני false positives בהשוואה לגישות היוריסטיות בלבד. IR-GraphShield תורם להתכנסות בין תגובה אוטומטית, פורמליזציה מתמטית ואבטחה אדפטיבית מונחית-ראיות, ומציע יסודות תאורטיים מוצקים וישימות מעשית בהקשר הטכנולוגי הרווח עד 2025.
Read paper →