Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
כותרת: ארכיטקטורה פורמלית ותפעולית לניהול ולזיהוי דליפת סודות בסביבות Cloud-Native: גישה משולבת המבוססת על טלמטריה, ניתוח סטטי ו-Threat Hunting
כותרת: ארכיטקטורה פורמלית ותפעולית לניהול ולזיהוי דליפת סודות בסביבות Cloud-Native: גישה משולבת המבוססת על טלמטריה, ניתוח סטטי ו-Threat Hunting תקציר: חשיפה בלתי הולמת של סודות — כולל מפתחות API, אישורי גישה, אסימוני OAuth, תעודות פרטיות וסודות קריפטוגרפיים — מהווה אחת הסיבות המרכזיות לפשרות אבטחה בסביבות cloud-native ו-DevSecOps. אירועים עדכניים הכוללים דליפת מפתחות AWS, אסימוני GitHub ואישורים hardcoded מדגימים כי משטח התקיפה הקשור לניהול לקוי של סודות גדל באופן יחסי לאימוץ של מיקרו-שירותים, CI/CD ותשתית כקוד. עבודה זו מציעה ארכיטקטורה משולבת למניעה, זיהוי ותגובה לדליפות סודות, תוך שילוב ניתוח קוד סטטי, ניטור runtime, בדיקת תעבורה, קורלציה עם MITRE ATT&CK ומודל סיכון פורמלי המבוסס על אנטרופיה וחשיפה זמנית. המתודולוגיה שלנו כוללת (i) מודל מתמטי לכימות הסיכון של סוד חשוף, (ii) אלגוריתמי זיהוי המבוססים על היוריסטיקות ולמידה מונחית קלה, ו-(iii) אינטגרציה תפעולית עם כלים כגון GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma ו-SIEM. מימשנו אבטיפוס פונקציונלי שנבדק ב-12 מאגרי open source בעלי היסטוריה ידועה של דליפות ובסביבת Kubernetes עם 48 מיקרו-שירותים. התוצאות מצביעות על הפחתה של 87% בזמן הזיהוי הממוצע (MTTD), ירידה של 72% בחשיפה הזמנית הממוצעת של אישורים ושיעור חיוביים שגויים הנמוך מ-4.8%. עוד הראינו קורלציה ישירה בין דליפת סודות לבין הטכניקות T1552 (Unsecured Credentials) ו-T1078 (Valid Accounts) של MITRE ATT&CK. המחקר מספק תרומות מעשיות לצוותי אבטחה התקפיים והגנתיים, כולל נהלים תפעוליים, מדדים אובייקטיביים והמלצות טכניות למיתון שיטתי של סיכון. המחקר מקים framework ניתן לשחזור עבור ארגונים המבקשים להבשיל את תוכנית Secret Management שלהם מנקודת מבט טכנית ותפעולית.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות Multi-Cloud ו-DevSecOps
כותרת: ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות Multi-Cloud ו-DevSecOps תקציר: חשיפה בלתי הולמת של “סודות” — מפתחות קריפטוגרפיים, אסימוני API, אישורים, תעודות, secrets של Kubernetes וחומר רגיש המוטמע בקוד — מהווה כיום אחת הסיבות העיקריות לפגיעה ראשונית באירועי אבטחה. דוחות עדכניים מצביעים על כך שיותר מ-80% מהפריצות מערבות שימוש לרעה באישורים (VERIZON, 2023), בעוד שמחקרים אמפיריים מראים מיליוני סודות החשופים לציבור במאגרי Git (MELARA et al., 2019). בעבודה זו אנו מציעים ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות multi-cloud ובצינורות DevSecOps. הגישה שלנו משלבת מידול פורמלי של הבעיה כמערכת דינמית של חשיפת נכסים סודיים, אלגוריתמי גילוי היברידיים (regex מבניים, ניתוח אנטרופיה, machine learning מונחה והיוריסטיקות הקשריות), אינטגרציה עם כלים כגון GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata ו-Sigma, וכן מנגנונים אוטומטיים של רוטציה ושלילת תוקף. אנו מעריכים באופן ניסויי את הפתרון על מערך של 1.2 מיליון commits ציבוריים ופרטיים, עם 87,341 סודות אמיתיים ו-120,000 דגימות סינתטיות, והשגנו דיוק של 97.3%, recall של 94.8% והפחתה של 63% בזמן הממוצע לבלימה (MTTC) בהשוואה לתהליכים ידניים. כמו כן, אנו מראים כי אינטגרציה עם מדיניות מבוססת OPA ובקרות Just-in-Time מפחיתה את משטח ההתקפה הקשור ל-TTPs של MITRE ATT&CK כגון T1552 (Unsecured Credentials) ו-T1078 (Valid Accounts). המחקר כולל מקרה אמיתי של תגובה לאירוע הכולל הוצאת מפתח AWS IAM החוצה, תוך פירוט שרשרת ההתקפה, האינדיקטורים הפורנזיים ותהליך ההכחדה. אנו מסיקים כי ניהול יעיל של סודות דורש גישה מערכתית המשלבת פורמליזציה מתמטית, הנדסה מאובטחת, ניטור רציף ואוטומציה של תגובה, ומספקת הנחיות מעשיות לצוותי אבטחה התקפית והגנתית.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות באקוסיסטמות נייטיב-ענן
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות באקוסיסטמות נייטיב-ענן תקציר: סודות דיגיטליים — לרבות מפתחות קריפטוגרפיים, אסימוני API, אישורי שירות ותעודות — מהווים את בסיס האמון במערכות מבוזרות מודרניות. דליפות סודות נמנות בעקביות עם הגורמים המרכזיים לאירועי אבטחה, עם השפעות כספיות ותפעוליות משמעותיות. מאמר זה מציג ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות בסביבות נייטיב-ענן, תוך שילוב ניתוח סטטי, ניטור התנהגותי ומנגנונים קריפטוגרפיים של גזירה ו- compartmentalization. המתודולוגיה שלנו משלבת (i) מודל פורמלי של מחזור החיים של סודות המבוסס על אוטומטים זמניים, (ii) אלגוריתם היברידי לזיהוי חשיפה המשלב אנטרופיה אדפטיבית ולמידה מונחית, ו-(iii) פרוטוקול סבב העומד בהבטחות של זמינות ואטומיות. מימשנו אבטיפוס תפקודי ב-Kubernetes עם אינטגרציה ל-HashiCorp Vault, SPIFFE/SPIRE ו-GitHub Advanced Security. הערכנו את הפתרון על גבי מערך של 12.4 מיליון פריטי קוד ו-3.1 מיליארד אירועי ביקורת, תוך השוואה לכלי שוק (TruffleHog, GitLeaks, AWS Secrets Manager). התוצאות מדגימות הפחתה של 47.3% בזמן הממוצע לביטול/שלילה (MTTR-S), ירידה של 62.8% בחשיפה שיורית של אישורים ושיעור תוצאות חיוביות-שגויות של 3.9%, נמוך מהגישות המבוססות אך ורק על regex (12.7%). העומס התפעולי נשמר מתחת ל-4.6% CPU בעומסי ייצור. ממצאינו מצביעים על כך שהפורמליזציה של מחזור החיים של סודות והאוטומציה, המבוססת קריפטוגרפית, של סבבם מהוות התקדמות משמעותית לחוסן של תשתיות קריטיות. התרומה המרכזית טמונה באיחוד של מודלים פורמליים, הנדסת מערכות והערכה אמפירית בהיקף גדול, ומספקת מסגרת קפדנית להפחתת סיכונים מערכתיים הקשורים לסודות בסביבות מבוזרות.
Read paper →Secretsכותרת: הנדסת תפעול של ניהול סודות בסביבות נייטיב-ענן: מידול פורמלי, זיהוי אוטומטי ותגובה לפשרות
כותרת: הנדסת תפעול של ניהול סודות בסביבות נייטיב-ענן: מידול פורמלי, זיהוי אוטומטי ותגובה לפשרות תקציר: חשיפת סודות — מפתחות קריפטוגרפיים, אסימוני API, אישורי שירות, תעודות וסודות יישומים — הפכה לאחד מווקטורי הפשרה הנפוצים ביותר בסביבות ארגוניות מודרניות, במיוחד בארכיטקטורות cloud-native ו-DevSecOps. תקריות אחרונות מראות כי דליפות סודות אחראיות לשרשראות חדירה שלמות הכוללות תנועה צידית, חילוץ נתונים ו-ransomware. עבודה זו בוחנת את בעיית הניהול, הזיהוי והתגובה לדליפות סודות מנקודת מבט תפעולית, ומציעה ארכיטקטורה משולבת המשלבת מידול פורמלי של נכסים רגישים, סריקה אוטומטית ב-pipelines CI/CD, זיהוי התנהגותי בזמן ריצה ורוטציה קריפטוגרפית אוטומטית. המתודולוגיה שלנו מבוססת על שלושה עמודי תווך: (i) מידול פורמלי של מחזור החיים של סודות כמערכת דינמית S = (K, U, P, T), כאשר K מייצג את קבוצת הסודות, U את המשתמשים/התהליכים המורשים, P מדיניות ו-T מעברי מצב; (ii) מנגנון זיהוי היברידי המשלב כללים סטטיים (regex, אנטרופיית Shannon) ומודלים מונחים-ממונים לסיווג ארטיפקטים; (iii) מסגרת תגובה אוטומטית המשלבת HashiCorp Vault, Kubernetes, Suricata ו-Sigma לצורך ביטול הרשאות וניטור מתמשך. הערכנו את הפתרון בסביבה מבוקרת עם 1,200 מאגרי Git ו-3.8 TB של לוגים תפעוליים, תוך השוואתו לכלים כגון TruffleHog, GitLeaks ו-detect-secrets. התוצאות מראות הפחתה של 82% בזמן הממוצע לזיהוי (MTTD) ו-67% בזמן הממוצע לתיקון (MTTR) ביחס ל-baseline הידני. שיעור ה-false-positive הופחת מ-14.2% ל-4.8% באמצעות המודל ההיברידי המוצע. בנוסף, הרוטציה האוטומטית צמצמה את חלון החשיפה הממוצע מ-19.4 ימים ל-3.1 שעות. אנו מסיקים כי הגישה המשולבת והפורמלית מאפשרת להעלות משמעותית את הבשלות התפעולית של ניהול סודות, ומספקת יתרונות מדידים לצוותי אבטחה התקפיים והגנתיים.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות בתשתיות נייטיב-קלאוד
כותרת: ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות בתשתיות נייטיב-קלאוד תקציר: ניהול בלתי הולם של סודות חישוביים נותר כאחת הסיבות העיקריות לפשרות אבטחה בתשתיות נייטיב-קלאוד. אסימוני גישה, מפתחות קריפטוגרפיים, אישורי מסדי נתונים וארטיפקטים של חתימה דיגיטלית נחשפים לעיתים קרובות במאגרים ציבוריים, בצינורות אינטגרציה רציפה וביומני יישומים. בשנת 2025, עם התבססותן של ארכיטקטורות מבוססות Kubernetes, פרקטיקות DevSecOps, פלטפורמות CNAPP (Cloud-Native Application Protection Platform) והשימוש הנרחב במודלי שפה גדולים (LLMs) המשולבים בזרימות פיתוח, משטח ההתקפה הקשור לסודות התרחב באופן משמעותי. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי ואימות תכונות זמניות. אנו מנסחים באופן פורמלי את מחזור החיים של סוד כמערכת דינמית המודללת באמצעות אוטומטים מתוזמנים, ומבטאים ערבויות לסודיות ולעקביות באמצעות לוגיקה זמנית ליניארית. אנו מציגים מנגנון גילוי היברידי המשלב אנטרופיה של Shannon עם תיקון Miller–Madow, תבניות מבניות ולמידה מונחית המבוססת על gradient boosting. אנו מגדירים באופן פורמלי את חלון החשיפה ומדגמנים את הסיכון המצטבר כאינטגרל של קצב הניצול המיידי. נוסף על כך, אנו מציעים פרוטוקול סבב אדפטיבי עם ערבויות לאטומיות וליכולת ביקורת, המשולב בסביבות Kubernetes ובמנהלי סודות התואמים לפרקטיקות של קריפטוגרפיה פוסט-קוונטית בהתאם להנחיות ה-NIST. אנו מעריכים אמפירית את הפתרון ב-12,457 מאגרים ציבוריים ובאשכול עם 10,000 Pods, ומשיגים דיוק של 0.978, recall של 0.95 והפחתה ממוצעת של 89% בחלון החשיפה. אנו מדגימים מובהקות סטטיסטית של התוצאות ודנים בהשלכות לממשל אבטחה בסביבות multi-cloud ולמיתון טכניקות של MITRE ATT&CK הקשורות לאישורים חשופים. אנו מסיקים כי האינטגרציה בין פורמליזציה מתמטית, גילוי אוטומטי וסבב אדפטיבי מהווה גישה יעילה וניתנת לאימות להפחתת הסיכון המערכתי הקשור לסודות בתשתיות נייטיב-קלאוד.
Read paper →Secretsכותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול
כותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול תקציר: האימוץ הגובר של ארכיטקטורות נייטיב-ענן, המבוססות על מיקרו-שירותים, קונטיינרים וצינורות CI/CD, העלה את ניהול הסודות לדרגת בעיית אבטחה מרכזית של מערכות מבוזרות. דליפות חוזרות ונשנות של אישורים, אסימוני API ומפתחות קריפטוגרפיים מדגימות כי גישות מסורתיות, המתמקדות רק באחסון מאובטח, אינן מספקות כדי להבטיח סודיות וביטול תקף בזמן בסביבות ארעיות מאוד. בעבודה זו אנו מציעים מודל פורמלי של מחזור החיים של סודות, המבוסס על מערכות מעברים מסומנות, ומגדיר מדדים כמותיים של חשיפה זמנית וסיכון מצטבר. אנו מנסחים באופן פורמלי תכונות של סודיות, שלמות, ארעיות ויכולת ביטול תחת מודל איום התואם למסגרת MITRE ATT&CK ולפרקטיקות מודרניות של אבטחת ענן. אנו מציגים את הארכיטקטורה VSMO (Verifiable Secrets Management and Orchestration), המשלבת יצירה מאובטחת קריפטוגרפית ב-HSM, אטסטציה מרוחקת מבוססת TPM 2.0, זהות workload באמצעות SPIFFE/SPIRE, תקשורת mTLS עם Envoy, גילוי רציף של אנומליות וביטול אדפטיבי מונחה למידת מכונה. הערכנו את המערכת על גבי אשכול Kubernetes v1.29 עם 512 צמתים ו-38,000 פודים פעילים, תוך השוואה לשלושה baselines נפוצים. התוצאות מצביעות על ירידה ממוצעת של 72.4% בחשיפה הזמנית ו-63.1% בשימוש חוזר בלתי תקין בסודות, תוך שמירה על השהיה נוספת של פחות מ-5 ms לכל הנפקה. כמו כן הראינו כי, תחת הנחות סבירות של קצב גילוי, תוחלת החשיפה היא ביחס הפוך ליכולת הניטור הרציף. העבודה תורמת באמצעות שילוב של קפדנות פורמלית, ארכיטקטורה ניתנת לאימות ואימות אמפירי בקנה מידה גדול, ומספקת יסודות תאורטיים ועדויות מעשיות לתזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן עד למצב האמנות של 2025.
Read paper →Secretsכותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול
כותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול תקציר: האימוץ הגובר של ארכיטקטורות ענן-נייטיב, המבוססות על מיקרו-שירותים, קונטיינרים וצינורות CI/CD, העלה את ניהול הסודות למעמד של בעיית ליבה באבטחת מערכות מבוזרות. דליפות חוזרות של אישורי גישה, אסימוני API ומפתחות קריפטוגרפיים מדגימות כי גישות מסורתיות, המתמקדות אך ורק באחסון מאובטח, אינן מספיקות כדי להבטיח סודיות וביטול תקף בזמן בסביבות ארעיות במיוחד. בעבודה זו אנו מציעים מודל פורמלי של מחזור החיים של סודות, המבוסס על מערכות מעברים מתויגות, ומגדיר מדדים כמותיים של חשיפה זמנית וסיכון מצטבר. אנו פורמליים תכונות של סודיות, שלמות, ארעיות ויכולת ביטול תחת מודל איום התואם למסגרת MITRE ATT&CK ולפרקטיקות מודרניות של אבטחת ענן. אנו מציגים את הארכיטקטורה VSMO (Verifiable Secrets Management and Orchestration), המשלבת יצירה מאובטחת קריפטוגרפית ב-HSM, אטסטציה מרחוק המבוססת על TPM 2.0, זהות workload באמצעות SPIFFE/SPIRE, תקשורת mTLS עם Envoy, זיהוי חריגות רציף וביטול אדפטיבי מונחה למידת מכונה. הערכנו את המערכת ב-cluster Kubernetes v1.29 עם 512 nodes ו-38,000 pods פעילים, בהשוואה לשלושה baselines הנמצאים בשימוש נרחב. התוצאות מצביעות על ירידה ממוצעת של 72.4% בחשיפה הזמנית ו-63.1% בשימוש בלתי מורשה חוזר בסודות, תוך שמירה על השהיה נוספת הנמוכה מ-5 ms לכל הנפקה. עוד אנו מראים כי, תחת הנחות סבירות של שיעור זיהוי, תוחלת החשיפה היא ביחס הפוך ליכולת הניטור הרציף. העבודה תורמת על ידי שילוב של קפדנות פורמלית, ארכיטקטורה ניתנת לאימות ואימות אמפירי בקנה מידה גדול, ומספקת יסודות תיאורטיים וראיות מעשיות לתזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב עד למצב המתקדם של 2025.
Read paper →SecretsSecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, זיהוי וסבב אדפטיבי של סודות באקוסיסטמות נייטיביות לענן
TITLE: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, זיהוי וסבב אדפטיבי של סודות באקוסיסטמות נייטיביות לענן ABSTRACT: ניהול סודות דיגיטליים התבסס כאחד מווקטורי הסיכון המרכזיים בתשתיות נייטיביות לענן, המאופיינות באלסטיות, אפמרליות של workloads, אינטגרציה רציפה וחשיפה אינטנסיבית דרך APIs. אישורי גישה שנפגעו נותרו בין הגורמים הדומיננטיים להפרות אבטחה, לפי דוחות תעשייתיים עדכניים, בעוד שהתרבות של pipelines מסוג DevSecOps וארטיפקטים ציבוריים מרחיבה את שטח התקיפה. בעבודה זו אנו ממסדים פורמלית את בעיית החשיפה של סודות כמשימת מזעור זמן חשיפה משוקלל בגרפים מכוונים דינמיים, שבהם קודקודים מייצגים זהויות חישוביות וקשתות מייצגות תלותים המתווכים באמצעות אישורי גישה. אנו מגדירים מדדים כמותיים, כולל זמן החשיפה הממוצע של סודות (MSET), ומראים כי מדיניות הסבב האופטימלית תחת תלותים מבניים היא NP-קשה באמצעות הפחתה מבעיות קלאסיות של תזמון עם קדימויות ומשקלים שרירותיים. אנו מציעים את ארכיטקטורת SecretGraph, המשלבת זיהוי היברידי (ניתוח סטטי, ניטור דינמי ובדיקה הקשרית), בנייה אינקרמנטלית של גרף תלותים, תעדוף המבוסס על מרכזיות תיווך ותזמור אדפטיבי של סבב באמצעות APIs של כספות קריפטוגרפיות. מימשנו אב־טיפוס ב-Go וב-Rust, המשולב עם Kubernetes, SPIFFE/SPIRE ו-HashiCorp Vault, והערכנו אותו בסביבה עם עד 10,000 סודות פעילים ו-1.2 מיליון commits שנותחו. נצפתה הפחתה של 78.4% ב‑MSET בהשוואה למדיניות סבב קבועות, תוך שמירה על overhead ממוצע הנמוך מ‑7% של CPU. אנו דנים בהשלכות עבור טכניקות של MITRE ATT&CK, אינטגרציה עם קריפטוגרפיה פוסט‑קוונטית המומלצת על ידי NIST וממשל אבטחה המונחה מדדים. אנו מסיקים כי מידול מבני מפורש של תלותי סודות מאפשר הפחתה מדידה של חלון הניצול, עם ערבויות פורמליות והיתכנות תפעולית בקנה מידה רחב.
Read paper →Secretsכותרת: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, גילוי וסיבוב אדפטיבי של סודות באקוסיסטמות ענן-נייטיב
כותרת: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, גילוי וסיבוב אדפטיבי של סודות באקוסיסטמות ענן-נייטיב תקציר: ניהול סודות דיגיטליים התבסס כאחד מווקטורי הסיכון המרכזיים בתשתיות ענן-נייטיב, המאופיינות באלסטיות, ארעיות של workloads, אינטגרציה מתמשכת וחשיפה אינטנסיבית דרך APIs. אישורים שנפגעו נותרו בין הגורמים הדומיננטיים ביותר להפרות אבטחה, כפי שעולה מדוחות תעשייתיים עדכניים, בעוד שהתרחבותם של pipelines DevSecOps ושל artifacts ציבוריים מרחיבה את משטח התקיפה. בעבודה זו אנו פורמליים את בעיית החשיפה של סודות כמשימת מזעור זמן חשיפה משוקלל בגרפים מכווני דינמיים, שבהם קודקודים מייצגים זהויות חישוביות וקשתות מייצגות תלות המתווכת באמצעות אישורים. אנו מגדירים מדדים כמותיים, כולל זמן החשיפה הממוצע של סודות (MSET), ומראים כי מדיניות הסיבוב האופטימלית תחת תלות מבנית היא NP-קשה באמצעות הפחתה מבעיות קלאסיות של תזמון עם קדימויות ומשקלים שרירותיים. אנו מציעים את הארכיטקטורה SecretGraph, המשלבת גילוי היברידי (ניתוח סטטי, ניטור דינמי ובדיקה קונטקסטואלית), בנייה אינקרמנטלית של גרף תלות, תעדוף המבוסס על centrality of betweenness, ותזמור אדפטיבי של סיבוב באמצעות APIs של vaults קריפטוגרפיים. יישמנו אבטיפוס ב-Go וב-Rust, המשולב עם Kubernetes, SPIFFE/SPIRE ו-HashiCorp Vault, והערכנו אותו בסביבה עם עד 10,000 סודות פעילים ו-1.2 מיליון commits נותחו. נצפתה הפחתה של 78.4% ב-MSET בהשוואה למדיניות סיבוב קבועה, תוך שמירה על overhead ממוצע הנמוך מ-7% CPU. אנו דנים בהשלכות עבור טכניקות MITRE ATT&CK, אינטגרציה עם קריפטוגרפיה פוסט-קוונטית המומלצת על ידי NIST, וממשל אבטחה מונחה-מדדים. אנו מסיקים כי מידול מבני מפורש של תלות הסודות מאפשר הפחתה מדידה של חלון הניצול, עם ערבויות פורמליות וישימות תפעולית בקנה מידה גדול.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות בתשתיות ענן-נייטיב
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות בתשתיות ענן-נייטיב תקציר: ניהול סודות מהווה אחד מעמודי התווך של האבטחה בתשתיות ענן-נייטיב, שבהן מיקרו-שירותים ארעיים, צינורות DevSecOps ותזמור דינמי מרחיבים באופן משמעותי את משטח התקיפה. אישורים שנפגעו נותרים בין הווקטורים המנוצלים ביותר באירועי אמת, במיוחד באמצעות שימוש בחשבונות תקפים וחילוץ סודות ממאגרי קוד. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי קפדני ומיושרת עם ההנחיות העכשוויות של Zero Trust, אבטחת שרשראות אספקת תוכנה והגנת סביבות cloud-native עד 2025. אנו מנסחים פורמלית את מחזור החיים של סודות כמערכת מעברי מצבים מתוזמנת, ומגדירים תכונות כמותיות של סודיות, אטומיות ועקביות סופית. אנו מציגים אלגוריתם היברידי לגילוי המשלב סינון מבוסס אנטרופיית Shannon עם סיווג מונחה-הקשר, ומספק גבולות פורמליים להסתברויות של חיובי שגוי ושלילי שגוי. נוסף על כך, אנו מציגים פרוטוקול סבב אוטומטי עם הבטחות תחת מודל כשלים חלקיים מסוג crash-stop, בהשראת סדר כרונולוגי מבוזר. המימוש, שבוצע ב-Go וב-Rust ושולב עם Kubernetes, HashiCorp Vault ומנגנוני תצפיתיות באמצעות eBPF, הוערך בסביבת קנה מידה גדול עם 1,200 מיקרו-שירותים ו-85,000 סודות פעילים. התוצאות מצביעות על דיוק ממוצע של 96.1%, Recall של 94.3% והפחתה של 78.4% בזמן הממוצע עד לגילוי. אנו דנים במגבלות, בהשלכות עבור סביבות עם בינה מלאכותית גנרטיבית ובסיכונים מתפתחים הקשורים למודלי שפה ולאוטומציה של קוד. אנו מסכמים כי השילוב של פורמליזציה מתמטית, גילוי מונחה-הקשר וסבב אוטומטי אטומי מהווה גישה חזקה וניתנת לאימות לצמצום שיטתי של דליפות סודות במערכות אקולוגיות ענן-נייטיב.
Read paper →Secretsארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות בתשתיות Cloud-Native
TITLE: ארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות בתשתיות Cloud-Native ABSTRACT: ניהול סודות מהווה אחד מעמודי התווך של האבטחה בתשתיות Cloud-Native, שבהן מיקרו־שירותים אפמרליים, צינורות DevSecOps ואורקסטרציה דינמית מרחיבים באופן משמעותי את שטח התקיפה. אישורים שנפגעו ממשיכים להיות בין הווקטורים המנוצלים ביותר באירועי אבטחה אמיתיים, במיוחד באמצעות שימוש בחשבונות תקפים וחילוץ סודות ממאגרי קוד. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי קפדני ומיושרת עם ההנחיות העדכניות של Zero Trust, אבטחת שרשראות אספקת תוכנה והגנת סביבות cloud-native עד שנת 2025. אנו מנסחים פורמלית את מחזור החיים של סודות כמערכת מעבר מצבים מתוזמנת, ומגדירים תכונות כמותיות של סודיות, אטומיות ועקביות סופית (eventual consistency). אנו מציגים אלגוריתם גילוי היברידי המשלב סינון המבוסס על אנטרופיית שאנון עם סיווג מונחה־למידה בהקשר, ומספק גבולות פורמליים להסתברויות של חיובי שגוי (false positive) ושלילי שגוי (false negative). בנוסף, אנו מציגים פרוטוקול סבב אוטומטי עם ערבויות תחת מודל כשלים חלקיים מסוג crash-stop, בהשראת סדר זמנים מבוזר. המימוש, שנכתב ב‑Go וב‑Rust ומשולב עם Kubernetes, HashiCorp Vault ומנגנוני תצפיתיות באמצעות eBPF, הוערך בסביבה רחבת היקף הכוללת 1,200 מיקרו־שירותים ו‑85,000 סודות פעילים. התוצאות מצביעות על דיוק ממוצע של 96.1%, recall של 94.3% והפחתה של 78.4% בזמן הממוצע עד גילוי. אנו דנים במגבלות, בהשלכות עבור סביבות הכוללות בינה מלאכותית יוצרת, ובסיכונים מתעוררים הקשורים למודלי שפה ולאוטומציית קוד. אנו מסיקים כי השילוב של פורמליזציה מתמטית, גילוי הקשרי וסבב אטומי מהווה גישה חזקה וברת־אימות למיתון שיטתי של דליפות סודות באקוסיסטמות Cloud-Native.
Read paper →