Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →18 papers
מחקר-נגד כתחום ליבה בסייבר: מתודולוגיה אמפירית, פורמליזציה של איום, והערכה מבצעית של מחזור מחקר תקיפה-הגנה בסביבת 2026
מאמר זה בוחן את “מחקר” כתחום ליבה בתוך קהילת הסייבר, לא רק כפעילות אקדמית אלא כפרקטיקה מבצעית שמעצבת זיהוי חולשות, פיתוח ניצולים, הנדסת חתימות, והקמת בקרה הגנתית. בשנת 2026, מחקר סייבר מתקיים בסביבה היברידית שבה מערכות ענן, קונטיינרים, זהויות דיגיטליות, שרשראות אספקה תוכנתיות, מודלים גנרטיביים, וטלמטריה מבוססת eBPF נפגשים תחת משטח תקיפה דינמי. המחקר המוצע במאמר זה מגדיר מחזור עבודה פורמלי למחקר תקיפה-הגנה, המשלב גילוי, אימות, תיעדוף, מיכון, והטמעה, תוך התאמתו לדרישות של צוותי אדום, ציד איומים, ו-SOC מודרני. המאמר מציג מודל איום, מנסח את בעיית המחקר כבעיה של אופטימיזציה תחת אילוצי סיכון, ומציע מתודולוגיה משולבת המבוססת על איסוף נתונים, רה-פרודוקציה מעבדתית, ניתוח סטטי ודינמי, מדידת כיסוי, והערכת אפקטיביות של בקרה. בנוסף, מוצגת מיפוי בין ממצאי מחקר לבין מסגרות תעשייתיות כגון MITRE ATT&CK, D3FEND, CVSS, EPSS, ו-CISA KEV, יחד עם שיקולי ממשל AI, שימוש במודלים שפתיים בסוציאל-אינג'ינירינג, והגנות נגד הרעלה והזרקה בהקשר של LLMs. תוצאות ניסוי מדגימות כי מחקר מובנה, המבוסס על נתונים ניתנים לשחזור וטלמטריה עקבית, מפחית זמן-ל-זיהוי ומעלה שיעור גילוי של טכניקות ליבה, גם כאשר התוקף עושה שימוש בכלי dual-use מתקדמים. תרומת המאמר היא הצעת מסגרת מחקר מעשית, מדידה, וברת-העברה, המתאימה למציאות 2026 ומאפשרת לחוקרים ולמגינים לתרגם תובנות מחקריות ליתרון מבצעי.
Read paper →Researchמחקר אבטחתי בעידן 2026: מתודולוגיה אמפירית לאפיון, מדידה והגנה מפני איומי LLM, שרשרת אספקה וענן היברידי
מאמר זה מציג מסגרת מחקרית מלאה לניתוח איומי סייבר בעידן 2026, שבו מודלי שפה גדולים, שירותי ענן היברידיים, eBPF, CNAPP, Zero Trust וקריפטוגרפיה פוסט-קוונטית מעצבים מחדש את פני ההגנה וההתקפה. המאמר מגדיר בעיה מחקרית קונקרטית: כיצד לבנות מחקר אבטחתי אמפירי, שחוזר על עצמו, ומדיד, המשלב טלמטריה תפעולית, ניתוח התנהגותי, הערכת סיכונים, ובדיקות התקפיות מבוקרות כדי לאפיין את יעילותן של בקרות מודרניות כנגד טכניקות תקיפה עדכניות. אנו מציעים מתודולוגיה רב-שכבתית הכוללת איסוף נתונים מסביבת מעבדה נשלטת ומסביבות היברידיות, מיפוי להתקפות לפי MITRE ATT&CK, בניית גרף תלות של נכסים וזרימות זהות, וזיהוי חריגות בעזרת חוקים, חתימות וניתוח אנומליות. המאמר מציג גם מודל פורמלי למדידה המבוסס על פונקציות סיכון, זמן חשיפה, שיעור זיהוי, ושחזור נתיב תקיפה, ומדגים כיצד להעריך בקרות כמו MFA עמיד לפישינג, בידוד דפדפן, סינון תעבורה, בקרות IAM וטלמטריה מבוססת eBPF. בנוסף, מובא מקרה בוחן של סביבת SaaS היברידית שבה נוצל פער בין זהויות אנושיות לזהויות מכונה, ונבחנת תרומתן של בקרות חדשות להפחתת סיכון. תרומת המאמר כפולה: ראשית, הוא מציע תבנית מחקרית פרקטית לחוקרי סייבר ב-2026; שנית, הוא מספק מערכת הערכה שניתן ליישם במחקר אקדמי, תעשייתי וממשלתי כאחד. הממצאים מראים כי השילוב בין תכנון ניסויי קפדני, טלמטריה עשירה והצלבה בין נתוני תקיפה והגנה מאפשר להפוך מחקר סייבר ממסמך תיאורי בלבד לכלי מדעי מדויק, בר-השוואה וברי-שחזור.
Read paper →Researchמחקר אדוורסריאלי מאובטח במערכות בינה מלאכותית ארגוניות: מתודולוגיה הוליסטית לזיהוי, הערכה והפחתה של סיכוני LLM, שרשראות אספקה וטלמטריית eBPF בסביבת Zero Trust בשנת 2026
מאמר זה מציג מסגרת מחקרית מקיפה לבחינה, הערכה והפחתה של סיכוני סייבר במערכות בינה מלאכותית ארגוניות בשנת 2026, תוך שילוב של מודלי שפה גדולים, שרשראות אספקה תוכנתיות, טלמטריית זמן-ריצה מבוססת eBPF, ומנגנוני Zero Trust בוגרים. בניגוד לעבודות קודמות שהתמקדו אך ורק ב-LLM עצמם, המאמר מנסח את בעיית המחקר כבעיה מערכתית: האיום אינו נובע רק מהמודל, אלא גם מממשקי ההטמעה, מהאורקסטרציה בענן, ממאגרים חיצוניים, מזרימות RAG, ומרכיבי observability ו-policy enforcement. אנו מגדירים מודל איום פורמלי שבו תוקף מסוגל לבצע prompt injection, data poisoning, model extraction, tool abuse, dependency confusion, token theft, lateral movement ו-exfiltration דרך ממשקי API, תוספים וסוכני אוטומציה. על בסיס זה מוצעת מתודולוגיה מדידה הכוללת סיווג נכסים, עץ תקיפות, מדדי סיכון כמותיים, red teaming אדוורסרי, בדיקות עמידות, וניטור רציף בטלמטריית eBPF וב-CNAPP. המאמר מציג תהליך יישומי עם כלים היסטוריים עד 2026, כגון OWASP LLM Top 10, MITRE ATLAS, LangChain/Guardrails, OpenTelemetry, Falco, Tetragon, Kube-bench, Trivy ו-Semgrep, לצד בדיקות ידניות ואוטומטיות. בנוסף, מובא מקרה בוחן ארגוני המדגים כיצד שרשרת תקיפה נגד מערכת עוזר פנימי מבוססת RAG נבלמת באמצעות בידוד רשת, סינון קלט/פלט, בקרת הרשאות מדויקת, וחתימת artifacts. תוצאות הניסוי מראות כי שילוב של בקרות ב-application layer, policy layer ו-runtime layer מפחית משמעותית את שטח התקיפה ואת שיעור ההצלחה של התקפות אדוורסריאליות. המסקנה המרכזית היא שהגנה אפקטיבית על מערכות AI בשנת 2026 מחייבת מחקר סייבר אינטגרטיבי, הנשען על מדידה, שחזור, ו-verification מתמשך.
Read paper →Researchכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לזיהוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית ולמידה סטטיסטית חזקה
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לזיהוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית ולמידה סטטיסטית חזקה תקציר: התחכום הגובר של קמפיינים תקיפתיים רב-שלביים, המאופיינים בתנועות רוחביות חמקניות ובניצול פגיעויות zero-day, מציב אתגרים מהותיים למנגנוני הזיהוי המסורתיים המבוססים על חתימות או על כללים סטטיים. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לזיהוי פרואקטיבי של איומים, המשלבת קורלציה זמנית רב-שכבתית עם מידול סטטיסטי חזק מונחה-אירועים. הגישה שלנו משלבת גרפי תלות סיבתית, embeddings התנהגותיים והסקה בייסיאנית כדי לזהות שרשראות תקיפה המשויכות לטכניקות של MITRE ATT&CK, גם בתנאי רעש והתחמקות אדברסריאלית. אנו מנסחים את הבעיה כמשימת הסקה על גבי גרפים דינמיים G_t = (V_t, E_t) ומראים כי ניתן למודל את הזיהוי כמקסימיזציה של סבירות תחת אילוצים מבניים. מימשנו אב-טיפוס מבוזר המסוגל לעבד 1.8 מיליון אירועים לשנייה ב-cluster של 12 צמתים. הערכנו את המערכת באמצעות מערכי הנתונים DARPA TC, UNSW-NB15 ושרידים אמיתיים מסביבת ארגון עם 4.2 מיליארד אירועים. בהשוואה ל-SIEMs מסורתיים ולמודלים LSTM טהורים, הפתרון שלנו הפחית את שיעור החיוביים השגויים ב-37.4%, העלה את ממוצע ה-F1-score מ-0.81 ל-0.92 וזיהה תנועות רוחביות עם חביון ממוצע של 4.3 שניות. כמו כן הראינו חוסן מול טכניקות טשטוש הקשורות לטקטיקות T1027 ו-T1070. התוצאות מצביעות על כך ששילוב של פורמליזציה מתמטית קפדנית והנדסת מערכות מבוזרות הוא חיוני להתמודדות עם איומים מתקדמים ומתמשכים בסביבות בקנה מידה גדול.
Read paper →Researchכותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה זמנית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים בסביבות ארגוניות
כותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה זמנית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים בסביבות ארגוניות תקציר: זיהוי של איומים מתמידים מתקדמים (APTs) נותר אחד האתגרים התפעוליים הגדולים ביותר באבטחת סייבר, במיוחד בסביבות ארגוניות היברידיות המשלבות תשתית on-premises, עומסי עבודה בענן ונקודות קצה מבוזרות. דוחות עדכניים של Mandiant ושל Verizon מצביעים על כך שזמן השהייה הממוצע (dwell time) של תוקפים מתוחכמים עדיין עולה על 16 ימים בסביבות בשלות, ויכול לחרוג מ-200 ימים בארגונים בעלי נראות נמוכה. עבודה זו מציעה ארכיטקטורה היברידית המבוססת על טלמטריה רב-שכבתית וקורלציה זמנית הסתברותית לזיהוי פרואקטיבי של APTs, תוך שילוב לוגים של רשת (Suricata), טלמטריית endpoint (Sysmon), זיכרון נדיף (Volatility), כללי התנהגות (Sigma) וחתימות מותאמות אישית (YARA), המשולבים באמצעות מודל פורמלי של גרף זמני מכוון וממושקל. המתודולוגיה שלנו מציגה מנגנון ניקוד סיכון המבוסס על מרכזיות זמנית ועל שרשור TTPs המותאם ל-framework MITRE ATT&CK, ומעוצב כבעיה של זיהוי נתיבים קריטיים בגרפים דינמיים. הערכנו את ההצעה בסביבת ניסוי הכוללת 12 תרחישי תקיפה אמיתיים (לרבות אמולציות של APT29, FIN7 וניצול של CVE-2021-44228 – Log4Shell), בהיקף כולל של 4.3 TB טלמטריה שנאספה לאורך 60 ימים. התוצאות מדגימות שיעור זיהוי (TPR) של 94.7% עם שיעור חיובי-שגוי (FPR) של 3.2%, ובכך עוקפות גישות המבוססות אך ורק על כללים (TPR 71.4%) ומודלים מבודדים של machine learning (TPR 88.1%). הזמן הממוצע לזיהוי צומצם מ-11.2 ימים ל-36 שעות. התרומה המרכזית טמונה בפורמליזציה המתמטית של קורלציה זמנית המכוונת ל-TTPs ובאימות המעשי בסביבה תפעולית ריאליסטית. אנו מדגימים כי אינטגרציה מובנית בין טלמטריה הטרוגנית ומידול זמני מגדילה באופן משמעותי את היכולת ההגנתית, ומספקת השלכות מעשיות ישירות עבור SOCs (Security Operations Centers) וצוותי threat hunting.
Read paper →Researchכותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK
כותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK תקציר: ההתרחבות המואצת של סביבות דיגיטליות ארגוניות, המונעת על ידי אימוץ של מחשוב ענן, ארכיטקטורות היברידיות, מיקרו-שירותים ואינטגרציות באמצעות APIs, שינתה לעומק את נוף אבטחת המידע. משטח התקיפה העכשווי הפך למבוזר מאוד ודינמי, דבר המקשה על זיהוי מוקדם של חדירות באמצעות מנגנונים מסורתיים המבוססים אך ורק על חתימות. התקפות מודרניות נוטות לעקוב אחר שרשראות מורכבות של טקטיקות, טכניקות ונהלים (TTPs), שלעיתים מפוזרות על פני שכבות מרובות של תשתית, כולל endpoints, רשתות, זהויות ושירותי ענן. בהקשר זה, גישות זיהוי מבודדות — כגון SIEMs המבוססים על כללים סטטיים או פתרונות EDR ללא קורלציה קונטקסטואלית — מציגות
Read paper →Researchכותרת: ארכיטקטורת זיהוי ותגובה היברידית מבוססת קורלציה רב-שכבתית ולמידה סטטיסטית להפחתת איומים מתקדמים בסביבות ארגוניות
כותרת: ארכיטקטורת זיהוי ותגובה היברידית מבוססת קורלציה רב-שכבתית ולמידה סטטיסטית להפחתת איומים מתקדמים בסביבות ארגוניות תקציר: התחכום הגובר של קמפיינים ממוקדי חדירה, לרבות מתקפות כופרה המופעלות על ידי בני אדם, ניצול חולשות יום-אפס ותנועות צידיות חמקניות, מציב אתגרים משמעותיים בפני ארכיטקטורות זיהוי מסורתיות המבוססות אך ורק על חתימות או על כללים סטטיים. אירועים עדכניים שניצלו חולשות כגון CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) וטכניקות MITRE ATT&CK כגון T1059 (Command and Scripting Interpreter) ו-T1021 (Remote Services) מדגימים את הצורך במנגנונים אדפטיביים ורב-שכבתיים. בעבודה זו אנו מציעים ארכיטקטורה היברידית המשלבת קורלציה דטרמיניסטית מבוססת כללים (Sigma, Suricata, YARA), ניתוח התנהגותי סטטיסטי ומידול פורמלי של שרשראות תקיפה, תוך מיקוד תפעולי ב-SOCs ארגוניים. המתודולוגיה שלנו משלבת מודל מתמטי של גרף מכוון משוקלל לייצוג אירועי אבטחה עם מנגנון ניקוד בייסיאני מצטבר להערכת ההסתברות האחורית לפשרה P(C|E_{1..n}). מימשנו אב־טיפוס באמצעות Elastic Stack, Suricata, Wazuh, Volatility ומודולים מותאמים אישית ב-Python, והערכנו אותו בסביבה מבוקרת עם 12 TB של לוגים אמיתיים ו-datasets ציבוריים (CIC-IDS2017, UNSW-NB15). התוצאות מצביעות על הפחתה של 38.7% בשיעור החיוביים השגויים בהשוואה ל-SIEM מסורתי המבוסס רק על כללים, עלייה של 24.3% בשיעור הזיהוי של תנועות צידיות, וירידה בזמן הממוצע לזיהוי (MTTD) מ-47 דקות ל-18 דקות. כמו כן, אנו מדגימים באמצעות מחקר מקרה שכלל סימולציית מתקפת כופרה עם Cobalt Strike ו-Mimikatz, כי קורלציה רב-שכבתית מאפשרת לזהות תבניות קדם-הצפנה בממוצע 11 דקות מראש. התרומות כוללות: (i) פורמליזציה מתמטית של קורלציה אדפטיבית, (ii) אלגוריתם הדרגתי לתעדוף התראות עם ניתוח סיבוכיות, ו-(iii) אימות אמפירי באמצעות מדדים תפעוליים. העבודה מציעה השלכות מעשיות ישירות עבור צוותי Blue Team וארכיטקטורת SOCs מהדור הבא.
Read paper →Researchכותרת: ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיטיגציה אדפטיבית של איומים מבוססי Living-off-the-Land בסביבות ארגוניות היברידיות
כותרת: ארכיטקטורה הניתנת לאימות פורמלית לזיהוי ולמיטיגציה אדפטיבית של איומים מבוססי Living-off-the-Land בסביבות ארגוניות היברידיות תקציר: האימוץ הגובר של ארכיטקטורות היברידיות ומרובת עננים, בצירוף התבססותם של מודלי Zero Trust ושילוב עומסי עבודה מסורתיים עם מערכות מבוססות בינה מלאכותית, הרחיב באופן משמעותי את משטח התקיפה הארגוני עד 2025. בהקשר זה, טכניקות Living-off-the-Land (LotL) נעשו דומיננטיות, תוך ניצול בינריים לגיטימיים וממשקי ניהול מקומיים לצורך התחמקות ממנגנוני זיהוי מסורתיים. אנו מציעים ארכיטקטורה המעוגנת פורמלית לזיהוי ולמיטיגציה אדפטיבית של איומי LotL, המשלבת גרפי מוצא זמניים, סטיית Kullback–Leibler עם סף אדפטיבי, ומידול של משחקים הסתברותיים בין גלאי לבין יריב המוגבל פולינומית. אנו מנסחים באופן פורמלי את הבעיה כניסוי התחמקות $\mathsf{LotL\text{-}Evasion}(n)$, ומגדירים אבטחה במונחים של הסתברות זניחה להתחמקות תחת סטייה סטטיסטית מזערית ניתנת למדידה. אנו מדגימים חסם עליון אקספוננציאלי להסתברות ההתחמקות כתלות בסטיית הווריאציה הכוללת ובגודל חלון התצפית, תוך שימוש באי־שוויונות Hoeffding ו-Pinsker. הארכיטקטורה המוצעת משלבת איסוף טלמטריה באמצעות eBPF, ETW ו-auditd, עיבוד זרמי באמצעות Apache Flink, נרמול לפי Elastic Common Schema ואינטגרציה לפלטפורמות CNAPP ו-SOAR, תוך שמירה על התאמה ל-NIST SP 800-207 ולפרקטיקות עכשוויות של ממשל בינה מלאכותית. הערכות ניסוייות באמצעות bootstrap ומבחן Wilcoxon מצביעות על ירידה מובהקת סטטיסטית בשיעור חיוביים כוזבים יחסיים ועל שיפור בזמן הזיהוי הממוצע בתרחישים רב-שלביים. כמו כן אנו דנים בהשלכות הקשורות ל-concept drift, לשלמות הטלמטריה ולהתקפות בסיוע מודלי שפה, וכן בהרחבות הכוללות שרשראות מרקוב חבויות, למידה פדרטיבית עם פרטיות דיפרנציאלית ואימות הסתברותי באמצעות PRISM. אנו מסכמים כי שילוב של מידול סיבתי ותורת המידע מאפשר לקבוע ערבויות פורמליות ועדות אמפירית חזקה למיטיגציה אדפטיבית של איומי LotL בסביבות ארגוניות עכשוויות.
Read paper →Researchכותרת: ARCUS: ארכיטקטורה עמידה ומאוחדת בהקשר לדיטקציה ובלימה אדפטיבית של איומים בסביבות מולטי-קלאוד
כותרת: ARCUS: ארכיטקטורה עמידה ומאוחדת בהקשר לדיטקציה ובלימה אדפטיבית של איומים בסביבות מולטי-קלאוד תקציר: ההתלכדות של ארכיטקטורות מולטי-קלאוד, מיקרו-שירותים מתוזמרים באמצעות Kubernetes, צינורות DevSecOps ותשתיות מוגדרות-קוד הגדירה מחדש את מרחב האיומים העכשווי. בשנת 2025, ארגונים פועלים בו-זמנית אצל ספקים כגון AWS, Azure ו-Google Cloud, ומשלבים שירותים מנוהלים, APIs ציבוריים, פונקציות serverless ועומסי עבודה מואצים באמצעות GPU עבור מודלים של בינה מלאכותית, כולל LLMs. הטרוגניות זו מרחיבה את משטח התקיפה, ומעודדת פשרות המבוססות על אישורים תקפים, התקפות על שרשרת האספקה של התוכנה וניצול פגיעויות ברכיבים מבוזרים באופן נרחב. אנו מציעים את ארכיטקטורת ARCUS (Arquitetura Resiliente e Contextualmente Unificada de Segurança), המשלבת מודל פורמלי, למידה עמוקה על גבי גרפים זמניים הסתברותיים ותזמור תגובות עם ערבויות הניתנות לאימות. אנו מדמים את סביבת המולטי-קלאוד כגרף זמני הסתברותי, שבו אירועים מיוצגים על ידי טופלים המועשרים במאפיינים הקשריים והסתברותיים. הדיטקציה מנוסחת כבעיית הסקה בייסיאנית על תת-גרפים זמניים, וממומשת באמצעות Graph Attention Networks עם הטמעה של אותות הקשריים ו-embeddings דינמיים. הבלימה מטופלת כבעיית תכנות ליניארי שלם מעורב (MILP), הכפופה למגבלות פורמליות הנגזרות ממדיניות אבטחה ומאינווריאנטים תפעוליים, ובכך מבטיחה נכונות חלקית ומגבלות השהיה. אנו מעריכים אמפירית את ההצעה על גבי בסיסים ציבוריים מוכרים רחב וכן בתרחישי מולטי-קלאוד סינתטיים, תוך השוואתה לגישות מסורתיות המבוססות על חתימות ולמודלים סדרתיים. התוצאות מדגימות שיפורים מובהקים סטטיסטית ב-AUC-ROC, ב-F1-score ובהפחתת השהיית הדיטקציה, תוך שמירה על שיעורי false positive מבוקרים. נוסף על כך, אנו דנים בהשלכות עבור סביבות עם עומסי עבודה של בינה מלאכותית גנרטיבית, אינטגרציה עם CNAPP ושימוש ב-eBPF לטלמטריה ברמה נמוכה. אנו מסיקים כי השילוב של מודל פורמלי, למידה על גבי גרפים ואופטימיזציה ניתנת לאימות מהווה גישה מבטיחה לאבטחה אדפטיבית באקוסיסטמות מולטי-קלאוד עכשוויות.
Read paper →ResearchARCUS: ארכיטקטורה עמידה ומאוחדת הקשרית לזיהוי ובלימה אדפטיבית של איומים בסביבות רב־ענן
TITLE: ARCUS: ארכיטקטורה עמידה ומאוחדת הקשרית לזיהוי ובלימה אדפטיבית של איומים בסביבות רב־ענן ABSTRACT: ההתבססות של ארכיטקטורות רב־ענן, מיקרו־שירותים המתוזמרים באמצעות Kubernetes, צינורות DevSecOps ותשתיות המוגדרות כקוד הגדירה מחדש את מרחב האיומים העכשווי. בשנת 2025 ארגונים פועלים בו־זמנית אצל ספקים כגון AWS, Azure ו‑Google Cloud, תוך שילוב שירותים מנוהלים, APIs ציבוריים, פונקציות serverless ועומסי עבודה עם האצת GPU עבור מודלים של בינה מלאכותית, כולל LLMs. הטרוגניות זו מרחיבה את משטח התקיפה ומעודדת פשרות המבוססות על אישורי גישה תקפים, מתקפות על שרשרת אספקת התוכנה וניצול פגיעויות ברכיבים מבוזרים בהיקף רחב. אנו מציעים את ארכיטקטורת ARCUS (Arquitetura Resiliente e Contextualmente Unificada de Segurança), המשלבת מודלינג פורמלי, למידה עמוקה על גרפים זמניים הסתברותיים ותזמור תגובות עם ערבויות הניתנות לאימות. אנו ממדלים את סביבת הרב־ענן כגרף זמני הסתברותי, שבו אירועים מיוצגים באמצעות טופלים המועשרים במאפיינים הקשריים והסתברותיים. הזיהוי מנוסח כבעיית הסקה בייסיאנית על תת־גרפים זמניים, ומיושם באמצעות Graph Attention Networks עם שילוב של אותות הקשריים ו‑embeddings דינמיים. הבלימה מטופלת כבעיית תכנות לינארי בשלמים מעורבים (MILP), בכפוף למגבלות פורמליות הנגזרות ממדיניות אבטחה ומאינווריאנטים תפעוליים, תוך הבטחת נכונות חלקית וגבולות השהיה. אנו מעריכים אמפירית את ההצעה על בסיסי נתונים ציבוריים מוכרים ובתרחישים סינתטיים של רב־ענן, ומשווים אותה לגישות מסורתיות המבוססות על חתימות ולמודלים סדרתיים. התוצאות מדגימות שיפורים מובהקים סטטיסטית ב‑AUC-ROC, ב‑F1-score ובהפחתת השהיית הזיהוי, תוך שמירה על שיעורי חיוב שגוי מבוקרים. בנוסף אנו דנים בהשלכות עבור סביבות עם עומסי עבודה של בינה מלאכותית גנרטיבית, באינטגרציה עם CNAPP ובשימוש ב‑eBPF עבור טלמטריה ברמת מערכת נמוכה. אנו מסיקים כי השילוב של מודלינג פורמלי, למידה על גרפים ואופטימיזציה הניתנת לאימות מהווה גישה מבטיחה לאבטחה אדפטיבית במערכות אקולוגיות רב־ענן עכשוויות.
Read paper →Researchכותרת: זיהוי הסתברותי וקורלציה זמנית של תנועה רוחבית המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות
כותרת: זיהוי הסתברותי וקורלציה זמנית של תנועה רוחבית המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות תקציר: ההתלכדות של סביבות ארגוניות היברידיות — המשלבות Active Directory מקומי, Microsoft Entra ID, מספר עננים ציבוריים, עומסי עבודה מכוללים ויישומי SaaS — הרחיבה משמעותית את משטח התקיפה ואת המורכבות המבנית של התלויות בזהות וברשת. בהקשר זה, תנועה רוחבית נותרה שלב קריטי בשרשראות תקיפה עכשוויות, במיוחד בתרחישים של ransomware, ריגול ופשרת חשבונות תקפים. אנו מציעים מודל פורמלי של זיהוי הסתברותי המבוסס על גרפים דינמיים זמניים עם הסקה בייסיאנית אינקרמנטלית, המתוכנן ללכוד דפוסי multi-hop של אימות וגישה מרחוק בזרמי טלמטריה הטרוגניים. אנו מנסחים את הגרף הזמני כמשפחה מאונדקסת $\{G_t\}_{t \in T}$ ומדגמנים את ההסתברות ללגיטימיות של מסלולים כמכפלת הסתברויות מותנות הפרמטריזות באמצעות עדכון מעריכי אדפטיבי. אנו מדגימים תכונות של שלמות תחת גיזום מונוטוני עם סף $\tau$, מנתחים את המורכבות האסימפטוטית של אלגוריתם האִלּוּץ המוגבל לעומק, ודנים בהשפעת בעיית שיעור הבסיס על כיול חיובי-שגוי. אנו משלבים את המודל בארכיטקטורות מודרניות של עיבוד בזרם (Kafka ו-Flink) ובקיימות מוכוונת גרפים, עם אינטרופרטביליות באמצעות Sigma ומיפוי MITRE ATT&CK. אנו מעריכים ניסויית את הגישה באמצעות ולידציה זמנית מחמירה, תוך השוואה לכללים סטטיים ולשיטות לא מונחות כגון Isolation Forest, ומבחינים בהפחתה עקבית של חיובי-שגוי תחת אילוצים תפעוליים ריאליסטיים. אנו דנים במגבלות הקשורות להשערת העצמאות המותנית, לשלמות הטלמטריה ולהתאמתיות אדברסרית, וכן בהשלכות על אבטחה בסביבות עם CNAPP, eBPF וזיהוי שימוש לרעה בזהויות מאוחדות. אנו מסכמים כי מידול הסתברותי מבני מציע פשרה מיטבית בין פרשנות, קפדנות פורמלית וישימות תפעולית, ומהווה בסיס מוצק להרחבות עתידיות הכוללות Graph Neural Networks זמניים והערכה אדברסרית פורמלית.
Read paper →Researchכותרת: זיהוי הסתברותי וקורלציה זמנית של תנועת Lateral המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות
כותרת: זיהוי הסתברותי וקורלציה זמנית של תנועת Lateral המבוססת על גרפים דינמיים בסביבות ארגוניות היברידיות תקציר: ההתכנסות של סביבות ארגוניות היברידיות — המשלבות Active Directory on-premises, Microsoft Entra ID, עננים ציבוריים מרובים, workloads מוכללים בקונטיינרים ויישומי SaaS — הרחיבה באופן משמעותי את משטח התקיפה ואת המורכבות המבנית של תלויות זהות ורשת. בהקשר זה, תנועת Lateral נותרת שלב קריטי בשרשראות תקיפה עכשוויות, במיוחד בתרחישים של ransomware, ריגול ופשרה של חשבונות תקפים. אנו מציעים מודל פורמלי לזיהוי הסתברותי המבוסס על גרפים דינמיים זמניים עם הסקה בייסיאנית מצטברת, שנועד ללכוד דפוסי multi-hop של אימות וגישה מרחוק בזרמי telemetry הטרוגניים. אנו מגדירים את הגרף הזמני כמשפחה מאונדקסת ${G_t}_{t \\in T}$ ומדגמים את ההסתברות ללגיטימיות של מסלולים כמכפלת הסתברויות מותנות הפרמטריזציה באמצעות עדכון אקספוננציאלי אדפטיבי. אנו מדגימים תכונות של שלמות תחת pruning מונוטוני עם סף $\\tau$, מנתחים את הסיבוכיות האסימפטוטית של אלגוריתם האנקוב 제한-depth מוגבל, ודנים בהשפעת בעיית שיעור הבסיס על כיול false positives. אנו משלבים את המודל בארכיטקטורות מודרניות של עיבוד בזרימה (Kafka ו-Flink) ובאחסון מוכוון-גרפים, עם אינטרופרביליות באמצעות Sigma ומיפוי MITRE ATT&CK. אנו מעריכים באופן ניסויי את הגישה עם ולידציה זמנית קפדנית, בהשוואה לכללים סטטיים ולשיטות לא מונחות כמו Isolation Forest, ומבחינים בהפחתה עקבית של false positives תחת אילוצים תפעוליים ריאליסטיים. אנו דנים במגבלות הקשורות להנחת העצמאות המותנית, לשלמות ה-telemetry, ולאדפטיביות היריב, וכן בהשלכות עבור אבטחה בסביבות עם CNAPP, eBPF וזיהוי של abuse של זהויות מאוחדות. אנו מסיקים כי מידול הסתברותי מבני מציע פשרה מיטבית בין פרשנות, קפדנות פורמלית וישימות תפעולית, ומהווה בסיס מוצק להרחבות עתידיות הכוללות Graph Neural Networks זמניות והערכה יריבית פורמלית.
Read paper →Researchכותרת: זיהוי הסתברותי וקורלציה טמפורלית של תנועה רוחבית מבוססת גרפים דינמיים בסביבות ארגוניות היברידיות
כותרת: זיהוי הסתברותי וקורלציה טמפורלית של תנועה רוחבית מבוססת גרפים דינמיים בסביבות ארגוניות היברידיות תקציר: האיחוד של סביבות ארגוניות היברידיות — המשלבות Active Directory מקומי, Microsoft Entra ID, מספר עננים ציבוריים, עומסי עבודה קונטיינריים ויישומי SaaS — הרחיב באופן משמעותי את משטח התקיפה ואת המורכבות המבנית של תלויות זהות ורשת. בהקשר זה, תנועה רוחבית נותרת שלב קריטי בשרשראות תקיפה עכשוויות, במיוחד בתרחישים של ransomware, ריגול ופשרה של חשבונות תקפים. אנו מציעים מודל פורמלי לזיהוי הסתברותי המבוסס על גרפים דינמיים טמפורליים עם היסק בייסיאני אינקרמנטלי, שנועד ללכוד דפוסים מרובי-קפיצות של אימות וגישה מרחוק בזרמי טלמטריה הטרוגניים. אנו מנסחים את הגרף הטמפורלי כמשפחה מאונדקסת $\{G_t\}_{t \in T}$ ומדמים את ההסתברות ללגיטימיות של מסלולים כמכפלה של הסתברויות מותנות הממופתחות על ידי עדכון מעריכי אדפטיבי. אנו מדגימים תכונות של שלמות תחת גיזום מונוטוני עם סף $\tau$, מנתחים את הסיבוכיות האסימפטוטית של אלגוריתם מניית העומק המוגבל, ודנים בהשפעת בעיית שיעור הבסיס על כיול חיוביים שגויים. אנו משלבים את המודל בארכיטקטורות מודרניות של עיבוד בזרימה (Kafka ו-Flink) ובקיום ממוקד-גרפים, עם תאימות הדדית באמצעות Sigma ומיפוי MITRE ATT&CK. אנו מעריכים ניסויית את הגישה עם ולידציה טמפורלית מחמירה, ומשווים אותה לכללים סטטיים ולשיטות לא-מונחות כגון Isolation Forest, תוך התבוננות בירידה עקבית בחיוביים שגויים תחת מגבלות תפעוליות מציאותיות. אנו דנים במגבלות הקשורות להנחת העצמאות המותנית, לשלמות הטלמטריה ולהסתגלות יריבה, וכן בהשלכות עבור אבטחה בסביבות עם CNAPP, eBPF וזיהוי של שימוש לרעה בזהויות מאוחדות. אנו מסכמים כי מידול הסתברותי מבני מציע פשרה חיובית בין פרשנות, קפדנות פורמלית וישימות תפעולית, ומהווה בסיס מוצק להרחבות עתידיות הכוללות Graph Neural Networks טמפורליות והערכה יריבה פורמלית.
Read paper →ResearchARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות
TITLE: ARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות ABSTRACT: ההתרחבות המואצת של ארכיטקטורות היברידיות ו‑multi‑cloud, בשילוב עם אימוץ פרקטיקות DevSecOps, עומסי עבודה אפמרליים ואינטגרציה של רכיבים מבוססי בינה מלאכותית, הרחיבה משמעותית את שטח התקיפה הארגוני עד לשנת 2025. דוחות עדכניים מצביעים על כך שהפרות ממשיכות לנצל פגיעויות ידועות, הנדסה חברתית ושרשראות אספקה, בעוד שאיומים חדשים מתפתחים סביב מודלי שפה גדולים (LLMs), APIs חשופים וזהויות פדרטיביות. בהקשר זה, מנגנוני SIEM מסורתיים, המבוססים בעיקר על קורלציה תחבירית וכללים סטטיים, מראים מגבלות מבניות בלכידת תלותיות זמניות וסמנטיות מבוזרות. אנו מציעים את ARCUS, ארכיטקטורה המבוססת פורמלית המשלבת אונטולוגיה סמנטית המיושרת עם MITRE ATT&CK ו‑NIST SP 800‑61, גרפים זמניים דינמיים והסקה היברידית המשלבת Graph Neural Networks (GNNs) וזיהוי סטטיסטי אינקרמנטלי. אנו מנסחים אירועים כטופלים מובנים ומדגמים את התפתחות המערכת באמצעות גרף זמני $G_t$, תוך שמירה על תכונות עדכון אינקרמנטליות עם סיבוכיות אמורטית קבועה תחת הנחות מציאותיות של אינדוקס. אנו מגדירים את בעיית הזיהוי כהחלטה בייסיאנית תחת סף $\tau$, עם פונקציית הפסד מורכבת המאזנת בין סיווג מונחה לבין ניקוד אנומליות. הערכנו את ARCUS על נתונים אמיתיים מאונימיזים, DARPA Transparent Computing ו‑Atomic Red Team, והשגנו דיוק ממוצע של 96.9%, recall של 97.8% והפחתה של 43% בשיעור החיוביים השגויים בהשוואה ל‑baseline SIEM תעשייתי, בנוסף לירידה של 79% בזמן הזיהוי הממוצע. אנו דנים בתכונות הסתברותיות רצויות, בסקלביליות תפעולית (3.2 מיליארד אירועים ביום) ובאינטגרציה עם CNAPP ו‑SOAR. אנו מסיקים כי קורלציה סמנטית מונחית‑גרפים, בשילוב עם הסקה אינקרמנטלית, מספקת בסיס קפדני וישים תפעולית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות עכשוויות.
Read paper →Researchכותרת: ARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות
כותרת: ARCUS: ארכיטקטורה עמידה עם קורלציה מאוחדת וסמנטית לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות תקציר: ההתרחבות המואצת של ארכיטקטורות היברידיות ו-multi-cloud, בשילוב עם אימוץ פרקטיקות DevSecOps, עומסי עבודה ארעיים ואינטגרציה של רכיבים מבוססי בינה מלאכותית, הרחיבה באופן משמעותי את משטח התקיפה הארגוני עד 2025. דוחות עדכניים מצביעים על כך שפריצות ממשיכות לנצל פגיעויות ידועות, הנדסה חברתית ושרשראות אספקה, בעוד איומים חדשים מתפתחים סביב מודלי שפה גדולים (LLMs), APIs חשופים וזהויות מאוחדות. בהקשר זה, מנגנוני SIEM מסורתיים, המבוססים בעיקר על קורלציה תחבירית וכללים סטטיים, מציגים מגבלות מבניות בלכידת תלויות זמניות וסמנטיות מבוזרות. אנו מציעים ARCUS, ארכיטקטורה בעלת ביסוס פורמלי המשלבת אונטולוגיה סמנטית המיושרת ל-MITRE ATT&CK ול-NIST SP 800-61, גרפים זמניים דינמיים והסקה היברידית המשלבת Graph Neural Networks (GNNs) וזיהוי סטטיסטי אינקרמנטלי. אנו מנסחים אירועים כטופלים מובְנים ומדַמים את התפתחות המערכת באמצעות גרף זמני $G_t$, תוך שמירה על תכונות של עדכון אינקרמנטלי עם סיבוכיות אמורטית קבועה תחת הנחות אינדוקס ריאליסטיות. אנו מגדירים את בעיית הזיהוי כהחלטה בייסיאנית תחת סף $\tau$, עם פונקציית הפסד מורכבת המאזנת בין סיווג מפוקח לבין ציון אנומליה. הערכנו את ARCUS על נתונים אמיתיים אנונימיים, DARPA Transparent Computing ו-Atomic Red Team, והשגנו דיוק ממוצע של 96.9%, Recall של 97.8% והפחתה של 43% בשיעור החיוביים השגויים בהשוואה ל-baseline תעשייתי של SIEM, וכן ירידה של 79% בזמן הזיהוי הממוצע. אנו דנים בתכונות הסתברותיות רצויות, מדרגיות תפעולית (3.2 מיליארד אירועים/יום) ואינטגרציה עם CNAPP ו-SOAR. אנו מסיקים כי קורלציה סמנטית מונחית-גרפים, בשילוב הסקה אינקרמנטלית, מספקת בסיס קפדני ובר-יישום תפעולי לזיהוי אדפטיבי של איומים מתקדמים בסביבות היברידיות עכשוויות.
Read paper →Researchארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים המבוססת על קורלציה זמנית רב־שכבתית והסקה סטטיסטית רובסטית
TITLE: ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים המבוססת על קורלציה זמנית רב־שכבתית והסקה סטטיסטית רובסטית ABSTRACT: המורכבות ההולכת וגוברת של תשתיות דיגיטליות בשנת 2025 — המאופיינות בארכיטקטורות היברידיות, סביבות multicloud, מיקרו־שירותים, מחשוב מונחה־אירועים, עומסי עבודה במכולות, ושילוב מודלים של למידת מכונה ו‑LLMs — הרחיבה באופן משמעותי את משטח התקיפה הארגוני. איומים מתמידים מתקדמים (APTs) מנצלים שרשראות רב־שלביות החוצות שכבות רשת, מארח, יישום וזהות, ולעיתים קרובות משלבים ניצול פגיעויות ידועות, שימוש לרעה בהרשאות תקפות ומניפולציה חלקית של רישומים. מערכות זיהוי מסורתיות, המבוססות על חתימות או על מסווגים מונחים מבודדים, מציגות מגבלות בלכידת תלותיות זמניות מורכבות ובחוסן מול זיהום אדברסרי. בעבודה זו אנו מציעים ארכיטקטורה אדפטיבית המבוססת על קורלציה זמנית רב־שכבתית הממודלת באמצעות גרפים דינמיים המשוקללים על ידי M‑estimators רובסטיים, בשילוב הסקה בייסיאנית דינמית המובנית באמצעות ידע מוקדם ממסגרת MITRE ATT&CK. אנו ממסגרים פורמלית את הבעיה תחת מודל זיהום $\epsilon$‑אדברסרי ומדגימים תנאי עקביות סטטיסטית עבור האומדים המיושמים. יישמנו את הארכיטקטורה בסביבה מבוזרת עם קליטה בקנה מידה גדול, אינטגרציה עם טלמטריה מבוססת eBPF ואורקסטרציה במכולות, והשגנו עיבוד מתמשך של 95,000 אירועים לשנייה עם השהיה ממוצעת הנמוכה מ‑500 ms. הערכנו את השיטה על מערכי נתונים ציבוריים (CIC-IDS2017, UNSW-NB15), על מערך הנתונים CIC-IDS2018 ועל אוסף ארגוני הכולל 4.2 מיליארד אירועים. התוצאות מצביעות על עלייה משמעותית ב‑TPR (96.4%) והפחתה ב‑FPR (2.1%) בהשוואה ל‑Random Forest, LSTM ו‑Isolation Forest, עם חוסן עדיף תחת זיהום $\epsilon=0{,}15$. בנוסף הדגמנו הפחתה בזמן הממוצע לזיהוי (MTTD) ושיפור בפרשנות התפעולית. אנו מסיקים כי האינטגרציה הפורמלית בין סטטיסטיקה רובסטית, מידול גרפי זמני וידע מובנה של טקטיקות אדברסריות מהווה גישה מבטיחה לזיהוי פרואקטיבי של APTs בסביבות ארגוניות מודרניות.
Read paper →Researchכותרת: ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומי Persistent Advanced מתמשכים מבוססת על קורלציה זמנית רב-שכבתית והסקה סטטיסטית רובסטית
כותרת: ארכיטקטורה אדפטיבית לזיהוי פרואקטיבי של איומי Persistent Advanced מתמשכים מבוססת על קורלציה זמנית רב-שכבתית והסקה סטטיסטית רובסטית תקציר: המורכבות הגוברת של התשתיות הדיגיטליות בשנת 2025 — המתאפיינות בארכיטקטורות היברידיות, סביבות רב-ענן, מיקרו-שירותים, מחשוב מונחה-אירועים, עומסי עבודה בקונטיינרים, ואינטגרציה של מודלים של למידת מכונה ו-LLMs — הרחיבה באופן משמעותי את משטח התקיפה הארגוני. איומי Persistent Advanced (APTs) מנצלים שרשראות רב-שלביות החוצות שכבות רשת, מארח, יישום וזהות, ולעיתים קרובות משלבות ניצול של פגיעויות ידועות, שימוש לרעה באישורים תקפים ומניפולציה חלקית של רשומות. מערכות זיהוי מסורתיות, המבוססות על חתימות או על מסווגים מונחים מבודדים, מציגות מגבלות בלכידת תלות זמנית מורכבת וברובסטיות מול זיהום עוין. בעבודה זו אנו מציעים ארכיטקטורה אדפטיבית המבוססת על קורלציה זמנית רב-שכבתית שמודלת באמצעות גרפים דינמיים הממושקללים על ידי M-estimators רובסטיים, בשילוב עם הסקה בייסיאנית דינמית המובנית על ידי ידע מוקדם מתוך framework MITRE ATT&CK. אנו מנסחים פורמלית את הבעיה תחת מודל זיהום $\\epsilon$-עויין ומדגימים תנאים לעקביות סטטיסטית של האומדנים שבהם נעשה שימוש. מימשנו את הארכיטקטורה בסביבה מבוזרת עם קליטה בהיקף גדול, אינטגרציה לטלמטריה מבוססת eBPF ותזמור בקונטיינרים, והשגנו עיבוד מתמשך של 95,000 אירועים לשנייה עם שיהוי ממוצע הנמוך מ-500 ms. הערכנו את השיטה על גבי datasets ציבוריים (CIC-IDS2017, UNSW-NB15), על dataset CIC-IDS2018 ועל מאגר ארגוני הכולל 4.2 מיליארד אירועים. התוצאות מצביעות על עלייה משמעותית ב-TPR (96.4%) והפחתה ב-FPR (2.1%) בהשוואה ל-Random Forest, LSTM ו-Isolation Forest, עם רובסטיות עדיפה תחת זיהום $\\epsilon=0{,}15$. בנוסף, הדגמנו ירידה בזמן הגילוי הממוצע (MTTD) ושיפור בפרשנות התפעולית. אנו מסיקים כי האינטגרציה הפורמלית בין סטטיסטיקה רובסטית, מודל גרפי זמני וידע מובנה של טקטיקות עוינות מהווה גישה מבטיחה לזיהוי פרואקטיבי של APTs בסביבות ארגוניות עכשוויות.
Read paper →Researchמסגרת אדפטיבית רב-שכבתית לזיהוי מתקפות APT באמצעות איחוד ראיות גרפי והיסק הסתברותי דינמי ברשתות ארגוניות בקנה מידה גדול
Mimikatz_String_Indicator { strings: $s1 = "sekurlsa::logonpasswords" condition: $s1 } ``` כללים אלו אינם מחליפים את ההיסק ההסתברותי, אלא מזינים אותו כראיות עם משקל אמינות מתאים. 5.4 נוהל תגובה (Playbook מקוצר) 1. אימות התרעה מול גרף מסלול. 2. בידוד תחנה (EDR containment). 3. איסוף זיכרון ו-image דיסק. 4. סריקת lateral movement. 5. דיווח בהתאם ל-NIST SP 800-61r2. --- 6. Experimental Evaluation במקום להציג מספרים שאינם ניתנים לשחזור עצמאי, אנו מדווחים על מגמות יחסיות. השוואה בין AMP-GF לבין Random Forest, LSTM ו-GraphSAGE בוצעה על UNSW-NB15 ו-CIC-IDS2017.
Read paper →