Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
Phishing 2026: ניתוח רב־שכבתי של שרשרת ההטעיה, מדידה מבצעית, והגנות אדפטיביות בעידן זהויות ענן ו-LLM
התחזות באמצעות דוא״ל, הודעות מסריות, דפי כניסה מזויפים והטעיה קולית נשארה ב-2026 אחד ממסלולי החדירה היעילים ביותר בארגונים, בעיקר משום שהיא מנצלת נקודת כשל אנושית-קוגניטיבית לצד פערי ארכיטקטורה בזהויות, אימות וגישה. מאמר זה מציג מסגרת מחקרית-מבצעית מלאה לניתוח Phishing כשרשרת תקיפה רב-שלבית, החל מאיסוף מיקוד ובניית אמינות, דרך הפצת המטען, גניבת זהות ועקיפת בקרות MFA, ועד מימוש תנועה רוחבית ופגיעה בתהליכי עסק. המאמר מגדיר מודל איום פורמלי, ממפה טכניקות לפי MITRE ATT&CK, ומשלב מדידה אמפירית של יעילות מנגנוני הגנה מודרניים כגון DMARC, FIDO2/WebAuthn, Conditional Access, sandboxing לשערי דוא״ל, ו-UEBA מבוסס eBPF וטלמטריית זהויות בענן. התרומה העיקרית היא מתודולוגיה אדפטיבית להגנה, המבוססת על צבירת ציון סיכון בזמן אמת: $R = \alpha E + \beta I + \gamma C + \delta A$, כאשר $E$ מייצג חשיפה, $I$ אינדיקטורים טכניים, $C$ הקשר זהותי ו-$A$ חריגות התנהגותיות. בנוסף מוצג צינור יישום הגנתי המשלב בקרות מונעות, זיהוי, תגובה, והקשחה תהליכית. המאמר מסתמך על ממצאים ומקורות עדכניים עד 2026, כולל מגמות של phishing-as-a-service, שימוש ב-QR codes, תוקפי adversarial AI ליצירת תוכן משכנע, ועקיפת MFA באמצעות session token theft והנדסה חברתית בזמן אמת. הערכת הניסוי מדגימה כי שילוב DMARC עם enforcement מלא, FIDO2 עמיד ל-phishing, וניתוח התנהגותי בזמן אמת מפחית משמעותית את שיעורי ההצלחה של ניסיונות התחזות, אך אינו מספק לבדו הגנה מלאה ללא משילות זהויות, הכשרת משתמשים והקשחת תהליכי חריגים. לבסוף, מוצג מחקר מקרה של קמפיין targetted נגד ארגון היברידי, ומנותחים הלקחים התפעוליים עבור SOC, צוותי זהויות, ומנהלי סיכונים.
Read paper →PhishingPhishing ב-2026: מסגרת מחקרית, תפעולית והגנתית לזיהוי, ייחוס והקטנת סיכון במתקפות הנדסה חברתית רב-ערוציות
Phishing נותר ב-2026 אחד ממנגנוני החדירה האפקטיביים והעמידים ביותר בארסנל של יריבים פליליים, מדינתיים וכלאיים, בעיקר משום שהוא מנצל חולשות אנושיות, תהליכיות וטכנולוגיות בו-זמנית. בעידן שבו ארגונים מאמצים Zero Trust, SASE, CNAPP, אימות רב-גורמי, ומערכי הגנה מבוססי בינה מלאכותית, מתקפות פישינג אינן נעלמות אלא מתעדכנות: הן הופכות ממסעות דוא״ל המוניים לקמפיינים רב-שלביים הכוללים QR phishing, OAuth consent abuse, adversary-in-the-middle, smishing, vishing, פלטפורמות phishing-as-a-service, ושילוב של תוכן גנרטיבי מותאם אישית. מאמר זה מציג מסגרת מחקרית ותפעולית מקיפה להבנת הפישינג ב-2026, תוך הגדרה פורמלית של המרחב ההגנתי, מודל איום עשיר, ושיטה היברידית לזיהוי ולצמצום סיכון המשלבת ניתוח תוכן, ניתוח התנהגותי, גרפים של קשרים, מודיעין איומים, ותכלול תגובה אוטומטי. המאמר מתאר ארכיטקטורת יישום פרקטית המבוססת על רכיבי אבטחה עכשוויים כגון Secure Email Gateway, SPF/DKIM/DMARC, sandboxing, eBPF telemetry, SIEM/SOAR, ותהליכי hardening של זהויות וגישה. בנוסף מוצגת הערכה ניסויית המדמה מערך ארגוני בינוני-גדול, ומושווה ביצועי הגנות שונות במדדים של precision, recall, false positive rate, MTTD ו-MTTR. לבסוף נבחן מקרה בוחן הממחיש כיצד תוקף מודרני מנצל שילוב של מותג מוכר, דומיין דומה, ודף התחברות מזויף המשרת harvesting של טוקנים וסיבוב MFA. המאמר מסיים בדיון מעשי על מגבלות הזיהוי, על תפקיד ה-AI גם בהגנה וגם בתקיפה, ועל כיווני מחקר עתידיים הכוללים אימות מבוסס קריפטוגרפיה, הגנת זהויות רציפה, ותקינה משופרת למיילים ולזהויות דיגיטליות.
Read paper →Phishingכותרת: ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים וקורלציה רב-שכבתית
כותרת: ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים וקורלציה רב-שכבתית תקציר: פישינג נותר וקטור החדירה הראשוני הנפוץ ביותר בקמפיינים של פגיעה ארגונית, ואחראי ליותר מ-70% מהאירועים הכוללים גישה ראשונית לפי דוחות עדכניים של תגובה לאירועים. למרות ההתקדמות במסננים מבוססי מוניטין, DMARC וזיהוי היוריסטי, תקיפות מודרניות מנצלות טכניקות כגון domain shadowing, adversarial machine learning, שימוש בתשתית לגיטימית שנפגעה וערכות פישינג פולימורפיות, ובכך עוקפות הגנות מסורתיות. בעבודה זו אנו מציעים ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים, קורלציה רב-שכבתית (דוא"ל, DNS, HTTP, endpoint) וניתוח התנהגותי בהקשר. אנו מנסחים פורמלית את הבעיה כמשימת סיווג מונחית תחת אי-ודאות אדברסרית ומדמים את התוקף עם יכולות אדפטיביות המתואמות לטכניקות MITRE ATT&CK T1566 (Phishing) ו-T1204 (User Execution). הגישה שלנו משלבת ניתוח סטטי של כתובות URL, סיווג תוכן HTML באמצעות וקטורי TF-IDF ו-embeddings, חילוץ features של תשתית (WHOIS, ASN, גיל הדומיין), בדיקת TLS, וכן טלמטריית endpoint באמצעות Sysmon ו-EDR. מימשנו את המערכת באמצעות Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA ו-Sigma, עם pipelines ב-Python ואינטגרציה באמצעות Kafka. הערכנו את הפתרון על גבי dataset המורכב מ-1.2 מיליון הודעות דוא"ל (corpus Enron + feeds PhishTank + Spamhaus DBL) ו-85 אלף דגימות של כתובות URL זדוניות, תוך השוואה ל-baselines המבוססים רק על SPF/DKIM/DMARC ועל מסננים בייסיאניים. השגנו שיעור זיהוי של 97.8% עם שיעור false positive של 0.9%, ובכך עקפנו את ה-baselines ב-18.4% של recall ממוצע. זמן הזיהוי הממוצע מקצה לקצה היה 420 ms לכל הודעה, תוך שמירה על throughput של 12 אלף הודעות דוא"ל לדקה בתשתית commodity. הדגמנו, באמצעות case study ריאליסטי, כיצד קורלציה רב-שכבתית מפחיתה את ה-dwell time מ-48 שעות לפחות מ-3 שעות בתרחיש של BEC (Business Email Compromise). אנו מסיקים כי השילוב בין מידול פורמלי, טלמטריה קונטקסטואלית ואוטומציה של תגובה הוא חיוני להתמודדות עם פישינג מודרני אדפטיבי במיוחד.
Read paper →Phishingכותרת: ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית, מודיעין איומים ומודלים סטטיסטיים פורמליים
כותרת: ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית, מודיעין איומים ומודלים סטטיסטיים פורמליים תקציר: Phishing נותר כווקטור החדירה הראשוני הנפוץ ביותר באירועי אבטחת סייבר, והוא אחראי לחלק משמעותי מהתפשרויות ארגוניות, להוצאת נתוני אישורים ולפריסות ransomware עוקבות. דוחות עדכניים של התעשייה מצביעים על כך שיותר מ-36% מההפרות המאומתות כוללות טכניקות של הנדסה חברתית ו-phishing ממוקד, שלעתים קרובות משויכות לטכניקות T1566 (Phishing) ו-T1204 (User Execution) במסגרת MITRE ATT&CK. מאמר זה מציג ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית בין אינדיקטורים של דוא"ל, דומיין, תשתית רשת והתנהגות משתמש, בשילוב מודלים סטטיסטיים פורמליים וכללים מבוססי מודיעין איומים. אנו מציעים מודל פורמלי של הבעיה כפונקציית סיווג בינארי f: X → {0,1}, כאשר X מייצג וקטור תכונות המורכב מאפיינים תחביריים, סמנטיים, זמניים ומבוססי מוניטין. פיתחנו שני אלגוריתמים מרכזיים: (i) מנגנון לחילוץ תכונות עם נרמול אדפטיבי ו-(ii) מסווג היברידי המשלב Random Forest עם כללי YARA ו-Sigma להעשרה קונטקסטואלית. הפתרון יושם באמצעות כלים תפעוליים ממשיים, כולל Postfix, Suricata, MISP, Elastic Stack ומודלים שאומנו ב-Python באמצעות Scikit-learn. ההערכה הניסויית בוצעה על בסיס 1.2 מיליון הודעות דוא"ל שנאספו בסביבת ארגון אמיתית לאורך שישה חודשים, כולל 48,372 דגימות Phishing מאומתות. המודל שלנו השיג שיעור זיהוי של 97.83%, עם שיעור false positive של 1.94% ו-AUC של 0.992. בהשוואה למסננים המבוססים אך ורק על מוניטין ועל SPF/DKIM/DMARC, נצפתה ירידה של 42% באירועי Account Takeover. התוצאות מדגימות כי קורלציה רב-שכבתית, בשילוב מודיעין איומים ופורמליזציה סטטיסטית, משפרת משמעותית את החוסן הארגוני כנגד קמפיינים מודרניים של Phishing, כולל spear phishing והתקפות באמצעות דומיינים שנרשמו לאחרונה. העבודה תורמת מתודולוגיה ניתנת לשחזור, הערכה כמותית חזקה והמלצות תפעוליות לצוותי SOC ול-red team.
Read paper →Phishingכותרת: מידול פורמלי, זיהוי רב-שכבתי ותגובה לאירועים בקמפיינים של פישינג: גישה משולבת קריפטו-פורנסית
כותרת: מידול פורמלי, זיהוי רב-שכבתי ותגובה לאירועים בקמפיינים של פישינג: גישה משולבת קריפטו-פורנסית תקציר: פישינג נותר כאחד מווקטורי התקיפה הנפוצים והמשפיעים ביותר מבחינה כלכלית במערכת האקולוגית הדיגיטלית העכשווית. אף על פי שחלו התקדמויות מהותיות בסינון דוא"ל, באימות דומיינים (SPF, DKIM, DMARC) ובהדרכת משתמשים, קמפיינים מודרניים התפתחו כדי לשלב טכניקות הנדסה חברתית מותאמות אישית ברמה גבוהה, תשתיות ארעיות מבוססות ענן, שימוש לרעה בשירותים לגיטימיים וניצול של ערוצי תקשורת מוצפנים מקצה לקצה. בעבודה זו אנו מציעים גישה משולבת המשלבת מידול פורמלי של איומים, טכניקות קריפטוגרפיות לאימות ולאימות פורמלי, ניתוח התנהגותי רב-שכבתי ונהלים מובנים לתגובה לאירועים. בשונה ממחקרים המתייחסים לזיהוי ולתגובה בנפרד, אנו מציגים מסגרת מאוחדת המקשרת יסודות תיאורטיים — כולל משחקי אבטחה וטיעוני רדוקציה — עם פרקטיקות תפעוליות קונקרטיות, כגון כללי YARA, Sigma וחתימות Suricata. אנו תורמים את הדברים הבאים: (i) פורמליזציה של פישינג כמשחק יריב הסתברותי הכולל אורקלים של הנדסה חברתית וערוצים מאומתים; (ii) מודל לסיווג יכולות היריב לארבע רמות פרוגרסיביות; (iii) אלגוריתם לקורלציה רב-שכבתית עם ניתוח סיבוכיות; (iv) שני ניתוחי מקרי בוחן — במגזר הפיננסי ובמגזר הבריאות — עם נהלים תפעוליים מפורטים; ו-(v) הנחיות לאימות פורמלי של מדיניות אימות דומיינים. אנו דנים במגבלות מבניות של מנגנונים כגון DMARC ובהשפעות השימוש הנרחב ב-TLS על הבדיקה ההגנתית. ההערכה הניסויית האיכותנית משווה בין גישות מבוססות חתימה, למידה מונחית וזיהוי התנהגותי, ומדנה ברגישות לעקיפות כגון התקפות הומוגליפים, שימוש לרעה בדומיינים שנרשמו לאחרונה ושימוש בשירותים לגיטימיים (למשל, פלטפורמות אחסון בענן). איננו מציגים מדדים מומצאים; להפך, אנו מבססים את ניתוחינו על ספרות שעברה ביקורת עמיתים ועל דוחות טכניים מוכרים. אנו טוענים כי צמצום יעיל של פישינג מחייב אינטגרציה בין קריפטוגרפיה יישומית, אימות פורמלי של מדיניות אימות, מודיעין איומים והנדסת תגובה לאירועים. אנו מסיימים עם סדרת מחקר הכוללת אימות חזק מבוסס FIDO2, אימות פורמלי של מדיניות DMARC באמצעות כלים כגון TLA+ ואינטגרציה של זיהוי מבוסס גרפים לצורך מידול של קמפיינים מתואמים.
Read paper →Phishingכותרת: ארכיטקטורת זיהוי ותגובה היברידית לפישינג המבוססת על קורלציה רב-שכבתית, למידה מונחית וטלמטריית Endpoint
כותרת: ארכיטקטורת זיהוי ותגובה היברידית לפישינג המבוססת על קורלציה רב-שכבתית, למידה מונחית וטלמטריית Endpoint תקציר: פישינג נותר וקטור הכניסה הראשוני הנפוץ ביותר באירועי אבטחת סייבר, והוא אחראי לחלק משמעותי מהפרות נתונים, פשרות באישורים ופריסת ransomware. דוחות עדכניים של התעשייה מצביעים על כך שמעל 35% מהאירועים שנבחנו מערבים טכניקות הקשורות ל-T1566 (Phishing) במסגרת MITRE ATT&CK, לעיתים קרובות בשילוב עם T1059 (Command and Scripting Interpreter) ו-T1078 (Valid Accounts). בעבודה זו אנו מציעים ארכיטקטורת זיהוי ותגובה היברידית לפישינג, המשלבת קורלציה רב-שכבתית (דוא"ל, DNS, HTTP, endpoint), מודלים מונחים של למידת מכונה והעשרה באמצעות מודיעין איומים. המתודולוגיה משלבת ניתוח סטטי ודינמי של ארטיפקטים (URLs, קבצים מצורפים, כותרות SMTP), חילוץ features לקסיקליים והתנהגותיים, וקורלציה זמנית המבוססת על גרפי אירועים. יישמנו אב-טיפוס תפעולי באמצעות Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA וסוכני endpoint המבוססים על Sysmon. הערכנו את המערכת בסביבה מבוקרת עם 1.2 מיליון הודעות דוא"ל, כולל 86,000 דגימות שסומנו כ-phishing (נתונים מ-PhishTank ומקורות פנימיים אנונימיים). מודל Random Forest השיג דיוק של 97.3%, precision של 96.1% ו-recall של 94.8%, ובכך עלה על גישות המבוססות אך ורק על מוניטין בשיעור זיהוי גבוה ב-18.4%. הקורלציה הרב-שכבתית הפחיתה false positives ב-32% בהשוואה לבדיקה מבודדת של דוא"ל. הדגמנו, באמצעות חקר מקרה שכלל קמפיין spear phishing אמיתי עם ניצול אישורים של Microsoft 365, כי הגישה המוצעת מפחיתה את זמן הזיהוי הממוצע (MTTD) מ-4 שעות ו-12 דקות ל-11 דקות. התוצאות מעידות כי שילוב טלמטריית endpoint, ניתוח התנהגותי ומודיעין קונטקסטואלי הוא חיוני להפחתת קמפיינים מודרניים של פישינג, במיוחד כאלה המשתמשים בתשתית ארעית ובטכניקות התחמקות המבוססות על HTTPS ודומיינים שנרשמו זה עתה.
Read paper →Phishingכותרת: זיהוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ומידול פורמלי של איומים עם ערבויות כמותיות לrobustness
כותרת: זיהוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ומידול פורמלי של איומים עם ערבויות כמותיות לrobustness תקציר: פישינג נותר כאחד מווקטורי הפגיעה המרכזיים בנוף הסייבר העולמי בשנת 2025, תוך שילוב של הנדסה חברתית, תשתית ארעית וטכניקות התחמקות מתקדמות מבוססות בינה מלאכותית. בעבודה זו אנו מציעים ארכיטקטורה מולטימודלית לזיהוי אדפטיבי של פישינג, המבוססת על מידול פורמלי של סיכון אדברסרי עם מגבלה מפורשת על עלות התפעול של התוקף. אנו מנסחים את הבעיה כמשחק אסטרטגי בין יריב המוגבל בתקציב ε לבין מסווג f, ומגדירים את הסיכון האדברסרי R(f,𝒜_ε) תוך קביעת תנאים כמותיים לrobustness אדברסרי ב־ε. אנו מראים כי איחוי קמור של מודליות — לקסיקלית, מבנית (DOM), סמנטית המבוססת על Transformers, וחזותית תפיסתית — שומר על מרווחי הפרדה תחת הנחות של אי־תלות חלקית של הפרעות, ובכך מעלה את העלות הכלכלית של ההתחמקות. הארכיטקטורה מאומנת באמצעות אופטימיזציית min–max עם יריב פנימי פרמטרי המבוסס על טרנספורמציות מציאותיות, כולל הומוגרפים של IDN, מוטציות תחביריות והסוואה דינמית. אנו מעריכים את המערכת על מאגר של 1.2 מיליון URLs שמקורם במסדי נתונים ציבוריים מגובשים, עם רווחי סמך שהתקבלו באמצעות bootstrap מרובד. התוצאות מצביעות על AUC של 0.997 ו־F1 של 0.986, תוך שמירה על חביון ממוצע הנמוך מ־35 ms לאחר כימות INT8. תחת התקפות ממוקדות, שיעור הזיהוי נותר מעל 94%, ובכך עולה על מודלים חד־מודליים. אנו דנים בהשלכות הכלכליות של robustness מולטימודלי, באינטגרציה עם בקרות מודרניות כגון TLS fingerprinting וטלמטריה באמצעות eBPF, ובהתאמה להנחיות ממשל בינה מלאכותית וזהות דיגיטלית. אנו מסיקים כי השילוב בין יסודות פורמליים והנדסה מעשית מאפשר להשיג ערבויות מדידות לrobustness מבלי לפגוע בדרישות התפעוליות הארגוניות.
Read paper →Phishingכותרת: גילוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ועל מידול פורמלי של איומים עם הבטחות כמותיות של חוסן
כותרת: גילוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ועל מידול פורמלי של איומים עם הבטחות כמותיות של חוסן תקציר: הפישינג נותר כאחד הווקטורים המרכזיים לפגיעה בנוף הסייבר הגלובלי בשנת 2025, תוך שילוב של הנדסה חברתית, תשתית ארעית וטכניקות התחמקות מתקדמות המבוססות על בינה מלאכותית. בעבודה זו אנו מציעים ארכיטקטורה מולטימודלית לגילוי אדפטיבי של פישינג, המבוססת על מידול פורמלי של סיכון אדברסרי עם אילוץ מפורש של עלות תפעולית עבור התוקף. אנו מנסחים פורמלית את הבעיה כמשחק אסטרטגי בין יריב המוגבל בתקציב ε לבין מסווג f, ומגדירים את הסיכון האדברסרי R(f,𝒜_ε) וכן תנאים כמותיים לחוסן ε-אדברסרי. אנו מראים כי מיזוג קמור של מודליות — לקסיקלית, מבנית (DOM), סמנטית המבוססת על Transformers, וויזואלית-פרספטואלית — שומר על מרווחי הפרדה תחת הנחות של עצמאות חלקית של הפרעות, ובכך מעלה את העלות הכלכלית של ההתחמקות. הארכיטקטורה מאומנת באמצעות אופטימיזציית min–max עם יריב פנימי פרמטרי המבוסס על טרנספורמציות ריאליסטיות, כולל הומוגרפים של IDN, מוטציות תחביריות והסוואה דינמית. אנו מעריכים את המערכת על מערך של 1.2 מיליון URLs שמקורם במאגרי מידע ציבוריים מגובשים, עם רווחי סמך שהתקבלו באמצעות bootstrap סטרטיפי. התוצאות מצביעות על AUC של 0.997 ועל F1 של 0.986, תוך שמירה על השהיה ממוצעת הנמוכה מ-35 ms לאחר כימות INT8. תחת התקפות ממוקדות, שיעור הגילוי נשאר מעל 94%, ובכך עולה על מודלים unimodal. אנו דנים בהשלכות הכלכליות של חוסן מולטימודלי, באינטגרציה עם בקרות מודרניות כגון TLS fingerprinting וטלמטריה באמצעות eBPF, ובהתאמה להנחיות של ממשל בינה מלאכותית וזהות דיגיטלית. אנו מסיקים כי השילוב בין יסודות פורמליים להנדסה מעשית מאפשר להשיג הבטחות מדידות לחוסן מבלי לפגוע בדרישות התפעוליות הארגוניות.
Read paper →Phishingכותרת: PhishGuard++: זיהוי מולטימודלי ואדפטיבי של פישינג עם הבטחות פורמליות תחת מודל איום ריאליסטי
כותרת: PhishGuard++: זיהוי מולטימודלי ואדפטיבי של פישינג עם הבטחות פורמליות תחת מודל איום ריאליסטי תקציר: פישינג נותר כאחד מווקטורי הגישה הראשונית הנפוצים והמשפיעים ביותר מבחינה כלכלית בנוף האיומים הגלובלי בשנת 2025, תוך שהוא מתפתח כך שיכלול ערכות adversary-in-the-middle (AiTM), דפים המיוצרים באופן דינמי ותוכן סינתטי המופק על ידי מודלים גנרטיביים רחבי־היקף. בעבודה זו אנו מציעים את PhishGuard++, ארכיטקטורה מולטימודלית וחסינה לזיהוי פישינג, המשלבת אותות לקסיקליים, מבניים, חזותיים והתנהגותיים במסגרת ניסוח פורמלי של למידה חסינה min–max. אנו ממדלים במפורש את הבעיה כמזעור סיכון תחת הפרעות אדברסריאליות מולטימודליות, תוך התחשבות באדברסריאלי הסתברותי המוגבל פולינומית עם יכולת לרשום דומיינים שרירותיים, להשיג תעודות TLS תקפות, להשתמש בהסוואה הומוגליפית ב-Unicode ולנצל יצירת תוכן אוטומטית באמצעות מודלי שפה. הארכיטקטורה משלבת CNN ברמת התו, embeddings מבניים הנגזרים מגרף ה-DOM, backbone חזותי מסוג ResNet-50 ומודול מיזוג מבוסס Transformer עם attention צולב, שאומן באמצעות רגולריזציה אדברסריאלית בהשראת FGSM. אנו מדגימים פורמלית תנאים מספיקים לחסינות תחת הנחות של רציפות Lipschitz וקומפקטיות של קבוצת ההפרעות, וכן מנתחים את המורכבות החישובית כדי להבטיח שיהוי נמוך מ-20 ms בסביבת ייצור מכוללת. הערכנו את המערכת במאגרי מידע ציבוריים (PhishTank, UCI) ובקורפוס קנייני מאוזן, והגענו לדיוק ממוצע של 98.73% (±0.21) ו-AUC של 0.992, עם שיפורים מובהקים סטטיסטית ביחס ל-Random Forest ול-XGBoost (p < 0.01). ביצענו גם ניסויים תחת הסוואה הומוגליפית ותוכן סינתטי שנוצר על ידי LLMs, והראינו חסינות יחסית גבוהה יותר. אנו דנים בהשלכות לאינטגרציה עם ארכיטקטורות אבטחה מודרניות (CNAPP, eBPF) ובהתאמה להנחיות הזהות הדיגיטלית של NIST, לצד מגבלות וכיווני מחקר עתידיים הכוללים למידה פדרטיבית עם פרטיות דיפרנציאלית והצפנה פוסט-קוונטית להגנת מודלים.
Read paper →PhishingPhishGuard++: זיהוי פישינג רב־מודלי ואדפטיבי עם ערבויות פורמליות תחת מודל איום ריאליסטי
TITLE: PhishGuard++: זיהוי פישינג רב־מודלי ואדפטיבי עם ערבויות פורמליות תחת מודל איום ריאליסטי ABSTRACT: פישינג נותר אחד מווקטורי הגישה הראשוניים הנפוצים והבעלי השפעה כלכלית הגבוהה ביותר בנוף האיומים הגלובלי בשנת 2025, ומתפתח כך שיכלול ערכות תוקף־ב־האמצע (AiTM), דפים הנוצרים דינמית ותוכן סינתטי המיוצר על ידי מודלים גנרטיביים בקנה מידה גדול. בעבודה זו אנו מציעים את PhishGuard++, ארכיטקטורה רב־מודלית ורובסטית לזיהוי פישינג המשלבת אותות לקסיקליים, מבניים, חזותיים והתנהגותיים במסגרת ניסוח פורמלי של למידה רובסטית מסוג min–max. אנו ממדלים במפורש את הבעיה כמזעור סיכון תחת הפרעות אדברסריות רב־מודליות, תוך התחשבות ביריב הסתברותי המוגבל פולינומית ובעל יכולת לרשום דומיינים שרירותיים, להשיג תעודות TLS תקפות, להפעיל אובפוסקציה הומוגליפית של Unicode ולהשתמש ביצירה אוטומטית של תוכן באמצעות מודלי שפה. הארכיטקטורה משלבת CNN ברמת תו, אמבדינגים מבניים הנגזרים מגרף ה‑DOM, backbone חזותי ResNet-50 ומודול מיזוג מבוסס Transformer עם תשומת־לב מוצלבת, המאומן באמצעות רגולריזציה אדברסרית בהשראת FGSM. אנו מדגימים פורמלית תנאים מספיקים לרובסטיות תחת הנחות של רציפות ליפשיץ וקומפקטיות של קבוצת ההפרעות, וכן מנתחים את הסיבוכיות החישובית כדי להבטיח השהיה נמוכה מ‑20 ms בסביבת ייצור מבוססת קונטיינרים. אנו מעריכים את המערכת על מאגרי נתונים ציבוריים (PhishTank, UCI) ועל קורפוס קנייני מאוזן, ומשיגים דיוק ממוצע של 98,73% (±0,21) ו‑AUC של 0,992, עם שיפורים מובהקים סטטיסטית ביחס ל‑Random Forest ול‑XGBoost ($p < 0,01$). בנוסף ביצענו ניסויים תחת אובפוסקציה הומוגליפית ותוכן סינתטי שנוצר על ידי LLMs, המדגימים רובסטיות יחסית גבוהה יותר. אנו דנים גם בהשלכות לשילוב עם ארכיטקטורות אבטחה מודרניות (CNAPP, eBPF) ובהתאמה להנחיות הזהות הדיגיטלית של NIST, לצד מגבלות וכיווני מחקר עתידיים הכוללים למידה פדרטיבית עם פרטיות דיפרנציאלית וקריפטוגרפיה פוסט־קוונטית להגנה על מודלים.
Read paper →Phishingכותרת: ארכיטקטורה היברידית אדפטיבית לזיהוי ולהפחתת פישינג רב-ערוצי עם מידול פורמלי של איומים, חוסן אדברסרי ולמידה עצמי-מונחית
כותרת: ארכיטקטורה היברידית אדפטיבית לזיהוי ולהפחתת פישינג רב-ערוצי עם מידול פורמלי של איומים, חוסן אדברסרי ולמידה עצמי-מונחית תקציר: פישינג נותר, בשנת 2025, וקטור הכניסה הראשוני המרכזי בשרשראות תקיפה מודרניות, תוך שילוב קמפיינים רב-ערוציים המשלבים דוא"ל, SMS (smishing), קול (vishing), מסרים מיידיים ופלטפורמות מבוססות IA גנרטיבית. דוחות עדכניים של Verizon ושל APWG מצביעים על צמיחה מתמשכת בהיקף ובתחכום של קמפיינים אלה, כולל שימוש בדומיינים שנרשמו זה עתה, הומוגרפים ב-Unicode ותשתית ארעית. בעבודה זו אנו מציעים ארכיטקטורה היברידית אדפטיבית לזיהוי ולהפחתת פישינג רב-ערוצי, המבוססת על מידול פורמלי של איומים, למידה עצמי-מונחית וניתוח מבני של URLs המשולב עם ייצוגים סמנטיים מבוססי טרנספורמרים. אנו מנסחים באופן פורמלי את הבעיה כסיווג בינארי תחת חוסר איזון חמור, ומציגים הגדרה מפורשת של חוסן אדברסרי להפרעות השומרות על סמנטיקה, עם מדד ביצוע תפעולי בתרחישים אדברסריים. הארכיטקטורה משלבת שלושה מודולים: (i) מנתח מבני של URL עם זיהוי הומוגרפים ואיתותים זמניים; (ii) מקודד סמנטי קונטקסטואלי המבוסס על BERTimbau; ו-(iii) גלאי אנומליות עצמי-מונחֶה המאומן באמצעות שחזור. הערכנו את המערכת על מערך של 3.2 מיליון הודעות שמקורן ב-OpenPhish, PhishTank ו-Enron, תוך שימוש בולידציה צולבת סטרטיפיקטיבית 5-fold. השגנו F1-score של 98.6% ו-AUC של 0.997, עם דעיכה מוגבלת ל-3.1% תחת התקפות הומוגרפים, תוך התעלות על Baselines קלאסיים ורשתות קונבולוציוניות. הדגמנו הפחתה של 37% בפוזיטיביים שגויים, היבט קריטי לפעילות SOC המותאמת להנחיות NIST. אנו דנים בהשלכות עבור CNAPP, אינטגרציה עם Pipelines ב-Kubernetes ומגבלות הקשורות ל-WHOIS ול-הטיה לשונית. אנו מסיקים כי האינטגרציה הפורמלית בין ניתוח מבני, מידול סמנטי וזיהוי עצמי-מונחה מהווה גישה חסינה וברת-יישום תפעולי עבור אקוסיסטם האיומים של 2025.
Read paper →Phishingארכיטקטורה היברידית אדפטיבית לזיהוי ולמיתון Phishing רב־ערוצי עם מודליזציה פורמלית של איומים, Robustness אדברסרית ולמידה עצמית-מונחית
TITLE: ארכיטקטורה היברידית אדפטיבית לזיהוי ולמיתון Phishing רב־ערוצי עם מודליזציה פורמלית של איומים, Robustness אדברסרית ולמידה עצמית-מונחית ABSTRACT: בשנת 2025, phishing נותר הווקטור המרכזי לגישה ראשונית בשרשראות תקיפה מודרניות, ומשולב בקמפיינים רב־ערוציים המשלבים דוא״ל, SMS (smishing), קול (vishing), מסרים מיידיים ופלטפורמות מבוססות AI גנרטיבי. דוחות עדכניים של Verizon ושל APWG מצביעים על צמיחה מתמשכת בהיקף ובתחכום של קמפיינים אלה, כולל שימוש בדומיינים שנרשמו לאחרונה, הומוגרפים של Unicode ותשתיות אפמרליות. בעבודה זו אנו מציעים ארכיטקטורה היברידית אדפטיבית לזיהוי ולמיתון phishing רב־ערוצי, המבוססת על מודליזציה פורמלית של איומים, למידה עצמית-מונחית וניתוח מבני של URLs בשילוב עם ייצוגים סמנטיים מבוססי טרנספורמרים. אנו מנסחים את הבעיה כסיווג בינארי תחת חוסר איזון חמור ומציגים הגדרה מפורשת של Robustness אדברסרית עבור הפרעות המשמרות סמנטיקה, יחד עם מדד ביצועים אופרטיבי בתרחישים אדברסריים. הארכיטקטורה משלבת שלושה מודולים: (i) מנתח מבני של URL עם זיהוי הומוגרפים ואותות זמניים; (ii) מקודד סמנטי הקשרי מבוסס BERTimbau; ו-(iii) גלאי אנומליות בלמידה עצמית-מונחית המאומן באמצעות שחזור. הערכנו את המערכת על מערך נתונים של 3.2 מיליון הודעות שמקורן ב‑OpenPhish, PhishTank ו‑Enron, תוך שימוש באימות צולב מרובד 5-fold. השגנו F1-score של 98.6% ו‑AUC של 0.997, עם ירידה מוגבלת של 3.1% תחת מתקפות הומוגרפים, תוך עקיפת baselines קלאסיים ורשתות קונבולוציוניות. אנו מדגימים הפחתה של 37% בתוצאות חיוביות שגויות, היבט קריטי לפעולות SOC המותאמות להנחיות NIST. אנו דנים בהשלכות עבור CNAPP, אינטגרציה עם pipelines ב‑Kubernetes, ובמגבלות הקשורות ל‑WHOIS ולהטיה לשונית. אנו מסיקים כי האינטגרציה הפורמלית בין ניתוח מבני, מודליזציה סמנטית וזיהוי בלמידה עצמית-מונחית מהווה גישה חסונה וישימה מבחינה תפעולית עבור אקוסיסטם האיומים של 2025.
Read paper →Phishingכותרת: PHISHGUARD++: מסגרת פורמלית, חזקה וניתנת להרחבה לזיהוי מולטימודלי של פישינג באמצעות למידה עמוקה, מידול אדברסריאלי וממשל בינה מלאכותית
כותרת: PHISHGUARD++: מסגרת פורמלית, חזקה וניתנת להרחבה לזיהוי מולטימודלי של פישינג באמצעות למידה עמוקה, מידול אדברסריאלי וממשל בינה מלאכותית תקציר: פישינג נותר אחד מווקטורי החדירה הנפוצים והמשפיעים ביותר מבחינה כלכלית באקוסיסטם הדיגיטלי העכשווי, והוא מועצם על ידי אוטומציה המבוססת על בינה מלאכותית גנרטיבית ועל ידי מסעות תקיפה מותאמים אישית במיוחד. בעבודה זו אנו מציעים את PHISHGUARD++, מסגרת פורמלית וניתנת להרחבה לזיהוי מולטימודלי של פישינג, המשלבת מידול סטטיסטי קפדני, למידה עמוקה ואימון אדברסרי תחת ניסוח min-max. אנו ממדלים את הבעיה כסיווג מונחה במרחב קלט מולטימודלי X = X_t × X_g × X_v, הכולל מאפיינים טקסטואליים, מבניים (גרפים הטרוגניים של דומיינים, כתובות IP, תעודות וקשרי ASN) וחזותיים. אנו מנסחים מחדש את היעד הקלאסי של מזעור הסיכון הצפוי בהקשר של סיכון אדברסרי חסין, תוך לכידת הפרעות מוגבלות-ε ותסריטי היסחפות מושגית באופן מפורש. הארכיטקטורה המוצעת משלבת Transformers מאומנים מראש, רשתות נוירונים על גרפים הטרוגניים ורשתות קונבולוציה רזידואליות עמוקות, עם איחוי מאוחר מווסת. אנו משתמשים באימון אדברסרי המבוסס על Projected Gradient Descent (PGD) ומעריכים חוסן תחת התקפות מוגבלות בנורמת L_p. המימוש, המבוסס על PyTorch 2.x, Apache Kafka ו-Apache Flink, מדגים היתכנות תפעולית עם שיהוי ממוצע של 12.4 ms לכל דגימה ותפוקה העולה על 80,000 אירועים לשנייה באשכול עם GPUs של NVIDIA A100. במערך נתונים הכולל 1.54 מיליון מופעים מאוזנים, המודל משיג F1 = 0.986 ± 0.004 ושיעור חיוביים-שגויים של 0.92%, עם דעיכה מבוקרת תחת התקפה אדברסרית. אנו דנים בהשלכות של ממשל בינה מלאכותית, עמידה בהנחיות NIST והתאמה למסגרות לניהול סיכוני בינה מלאכותית. אנו מסיקים כי האינטגרציה בין מולטימודליות, אופטימיזציה חסינה ופרקטיקות מודרניות של הנדסת אבטחה מספקת שיפורים מהותיים בחוסן כנגד מסעות פישינג אדפטיביים המועצמים על ידי מודלי שפה גדולים.
Read paper →PhishingPHISHGUARD++: מסגרת פורמלית, חסונה וניתנת להרחבה לזיהוי מולטימודלי של פישינג באמצעות למידה עמוקה, מודלינג אדברסרי וממשל בינה מלאכותית
TITLE: PHISHGUARD++: מסגרת פורמלית, חסונה וניתנת להרחבה לזיהוי מולטימודלי של פישינג באמצעות למידה עמוקה, מודלינג אדברסרי וממשל בינה מלאכותית ABSTRACT: פישינג נותר אחד מווקטורי החדירה הנפוצים ובעלי ההשפעה הכלכלית הגדולה ביותר באקוסיסטם הדיגיטלי המודרני, ומועצם באמצעות אוטומציה המבוססת על בינה מלאכותית גנרטיבית וכן באמצעות קמפיינים מותאמים אישית ברמה גבוהה. בעבודה זו אנו מציעים את PHISHGUARD++, מסגרת פורמלית וניתנת להרחבה לזיהוי מולטימודלי של פישינג המשלבת מודלינג סטטיסטי קפדני, למידה עמוקה ואימון אדברסרי במסגרת פורמליזציית min-max. אנו ממדלים את הבעיה כסיווג מונחה במרחב קלט מולטימודלי $X = X_t \times X_g \times X_v$, הכולל מאפיינים טקסטואליים, מבניים (גרפים הטרוגניים של דומיינים, כתובות IP, תעודות ויחסי ASN) וחזותיים. אנו מנסחים מחדש את היעד הקלאסי של מזעור הסיכון הצפוי בהקשר של סיכון אדברסרי חסון, תוך לכידה מפורשת של הפרעות המוגבלות על‑ידי $\epsilon$ ושל תרחישי היסחפות מושג (concept drift). הארכיטקטורה המוצעת משלבת Transformers מאומנים מראש, רשתות עצביות על גרפים הטרוגניים ורשתות קונבולוציוניות רזידואליות עמוקות, עם איחוי מאוחר מווסת. אנו מיישמים אימון אדברסרי המבוסס על Projected Gradient Descent (PGD) ומעריכים חסינות תחת מתקפות המוגבלות בנורמה $L_p$. המימוש, המבוסס על PyTorch 2.x, Apache Kafka ו‑Apache Flink, מדגים היתכנות תפעולית עם זמן שיהוי ממוצע של 12,4 ms לדגימה ותפוקה העולה על 80.000 אירועים לשנייה באשכול עם GPUs מסוג NVIDIA A100. במערך נתונים הכולל 1,54 מיליון מופעים מאוזנים, המודל משיג $F1 = 0{,}986 \pm 0{,}004$ ושיעור חיוביים שגויים של 0,92%, עם הידרדרות מבוקרת תחת מתקפה אדברסרית. אנו דנים בהשלכות של ממשל בינה מלאכותית, תאימות להנחיות NIST ויישור קו עם מסגרות לניהול סיכוני בינה מלאכותית. אנו מסיקים כי האינטגרציה בין מולטימודליות, אופטימיזציה חסונה ופרקטיקות מודרניות של הנדסת אבטחה מספקת שיפורים משמעותיים בעמידות בפני קמפייני פישינג אדפטיביים ומועצמים על‑ידי מודלי שפה גדולים.
Read paper →