Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →185 papers
אוטומציה אדפטיבית של Incident Response בסביבות ענן מודרניות באמצעות טלמטריה מבוססת eBPF ואנליטיקה מונחית ATT&CK
תגובה לאירועי סייבר (Incident Response – IR) עברה טרנספורמציה משמעותית בעשור האחרון בעקבות המעבר המסיבי לענן, ארכיטקטורות מיקרו־שירותים, ותשתיות מבוססות קונטיינרים. מערכות קלאסיות של ניטור ותגובה שנבנו סביב רשתות ארגוניות היקפיות מתקשות להתמודד עם סביבות דינמיות שבהן עומסי עבודה נוצרים ונעלמים תוך שניות, זהויות מבוזרות מחליפות גבולות רשת מסורתיים, ותוקפים מנצלים אוטומציה ו‑AI לחדירה ולתנועה רוחבית. מאמר זה מציג מסגרת מחקרית ויישומית לאוטומציה אדפטיבית של Incident Response המשלבת טלמטריה ברמת הקרנל באמצעות eBPF, ניתוח התנהגותי מבוסס MITRE ATT&CK, ומנגנוני אורקסטרציה של תגובה אוטומטית בסביבות ענן היברידיות. המחקר מתמקד בשלושה אתגרים מרכזיים: (1) איסוף טלמטריה מדויקת בזמן אמת בסביבות Kubernetes ו‑Linux מודרניות; (2) קורלציה בין אירועים הטרוגניים ממקורות שונים כגון EDR, SIEM ו‑CNAPP; ו‑(3) הפחתת זמן התגובה הממוצע (MTTR) באמצעות אוטומציה מבוססת כללים ודירוג סיכונים הסתברותי. אנו מציעים מודל מתמטי להערכת סיכון דינמית המבוססת על הסתברויות מותנות של טכניקות ATT&CK, וכן מנגנון תגובה רב־שלבי המשלב כלים כגון Velociraptor, TheHive, Cortex, Suricata ו‑osquery. לצורך הערכה אמפירית בוצעו ניסויים בסביבה מבוקרת המדמה תשתית ענן ארגונית עם Kubernetes, Elastic Stack, Falco ו‑Wazuh. סימולציות של מתקפות רלוונטיות לשנים האחרונות – כולל exploitation של פגיעויות כמו Log4Shell (CVE‑2021‑44228), פריצות שרשרת אספקה דוגמת SolarWinds, ותנועה רוחבית באמצעות Kerberos abuse – שימשו לבחינת היעילות. התוצאות מצביעות על ירידה של 47% בזמן הזיהוי הממוצע ו‑38% בזמן התגובה הכולל לעומת תהליכי IR ידניים מסורתיים. בנוסף, מוצג מחקר מקרה של אירוע חדירה אמיתי בארגון SaaS שבו תוקף ניצל הרשאות IAM שגויות והחדיר קונטיינר זדוני לקלאסטר Kubernetes. שילוב הטלמטריה מבוססת eBPF עם קורלציה אוטומטית איפשר זיהוי מהיר של פעילות process injection ושליפת ממצאים פורנזיים בזמן אמת. המסקנה המרכזית היא כי Incident Response מודרני חייב להתבסס על שילוב הדוק בין איסוף נתונים עמוק ברמת המערכת, מודלים אנליטיים מבוססי TTP, ואורקסטרציה אוטומטית. הגישה המוצעת מדגימה כיצד ניתן להפוך IR מתהליך ריאקטיבי למנגנון הגנה אדפטיבי המקטין משמעותית את חלון החשיפה לאיומים מתקדמים.
Read paper →Containersכותרת: אבטחת קונטיינרים בסביבות Cloud-Native: מידול איומים, טכניקות ניצול ואסטרטגיות הגנה באקוסיסטמות Docker ו-Kubernetes (2023)
כותרת: אבטחת קונטיינרים בסביבות Cloud-Native: מידול איומים, טכניקות ניצול ואסטרטגיות הגנה באקוסיסטמות Docker ו-Kubernetes (2023) תקציר: האימוץ של קונטיינרים שינה לעומק את הנדסת התוכנה ואת האבטחה התפעולית בסביבות cloud-native. טכנולוגיות כגון Docker ו-Kubernetes הפכו לבסיס של התשתית המודרנית, ומאפשרות ניידות, סקיילביליות ואוטומציה בקנה מידה רחב. עם זאת, ארכיטקטורה חדשה זו גם מציגה משטח תקיפה ייחודי, המאופיין בבידוד המבוסס על קרנל משותף, תלויות מורכבות של תמונות, ושרשראות אספקת תוכנה שעלולות להיות פגיעות. עבודה זו מציגה ניתוח מעמיק של אבטחת קונטיינרים מנקודת מבט התקפית והגנתית, תוך התחשבות במצב העדכני של התחום עד 2023. תחילה אנו בוחנים את היסודות הטכניים של מודל הקונטיינרים ב-Linux, כולל namespaces, cgroups ו-runtime של OCI. לאחר מכן אנו מנתחים וקטורי תקיפה חוזרים שנצפו באירועים אמיתיים, כגון escape מ-containers, ניצול runtimes, פגיעה בשרשרת ה-build, ותקיפות על קלאסטרים של Kubernetes. אנו מציעים מודל איום פורמלי הלוכד יחסים בין workload, runtime, host ו-control plane, ומאפשר כימות סיכון המבוסס על הסתברות לניצול והשפעה תפעולית. המתודולוגיה המוצגת משלבת ניתוח סטטי של תמונות, ניטור התנהגותי המבוסס על eBPF ומדיניות בידוד מחוזקת באמצעות seccomp, AppArmor ו-Pod Security Standards. המימוש הניסויי בוצע בקלאסטר Kubernetes עם אינסטרומנטציה באמצעות כלים שהיו בשימוש נרחב ב-2023, כולל Falco, Trivy ו-kube-bench. התוצאות מדגימות הפחתה משמעותית בחשיפה לפגיעויות ידועות ושיפור בזיהוי התנהגות אנומלית בזמן כמעט-אמת. כמו כן אנו מציגים מחקר מקרה המבוסס על קמפיינים של cryptomining שנצפו בקלאסטרים של Kubernetes שנפגעו. הדיון בוחן מגבלות מעשיות, אתגרי ממשל, והשלכות של אבטחת שרשרת האספקה של קונטיינרים. אנו מסכמים בהדגשת כיוונים עתידיים, כולל אינטגרציה עם מודלים של Zero Trust, תצפיתיות המבוססת על eBPF, ואוטומציה של תגובה לאירועים בסביבות cloud-native. מחקר זה מספק מבט תפעולי וטכני עבור אנשי אבטחה, ארכיטקטי תשתיות וחוקרים המתעניינים בהגנה על אקוסיסטמות של קונטיינרים.
Read paper →Containersכותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים בסביבות מבוססות קונטיינרים הנשענות על Kubernetes
כותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים בסביבות מבוססות קונטיינרים הנשענות על Kubernetes תקציר: האימוץ של ארכיטקטורות cloud-native מבוססות קונטיינרים שינה באופן עמוק את האופן שבו יישומים מבוזרים מתוכננים, נפרסים ומתרחבים. Kubernetes התבסס כמערכת התזמור המרכזית לניהול workloads קונטיינריים, ומציע אבסטרקציות דקלרטיביות להגדלה, סבילות לתקלות ואוטומציה תפעולית. עם זאת, שכבת ההפשטה הנוספת הזו מציגה וקטורי תקיפה חדשים ומרחיבה את משטח החשיפה, במיוחד בסביבות המאופיינות בצפיפות גבוהה של קונטיינרים ארעיים ובשרשראות אספקה מורכבות של images. ניצול פגיעויות ב-runtimes של קונטיינרים, תצורות לא מאובטחות של APIs לתזמור וקמפיינים אוטומטיים של כריית קריפטו ב-clusters שמוגדרים באופן שגוי מדגימים כי מנגנוני אבטחה מסורתיים אינם מספקים כדי להתמודד עם האופי הדינמי של סביבות אלו. בעבודה זו אנו מציעים ארכיטקטורה פורמלית ותפעולית לזיהוי ולבלימת איומים ב-clusters של Kubernetes, המשלבת מודל מתמטי של מצבי המערכת עם מנגנוני תצפיתיות מעשיים ותגובה אוטומטית. אנו פורמליזים את הסביבה הקונטיינרית כמערכת מעברים מסומנים $LTS = (S, A, \rightarrow)$, המאפשרת לבטא תכונות של שלמות ואי-התערבות הקשורות לאינטראקציה בין קונטיינרים, nodes של ה-cluster ונתיב הבקרה. על בסיס תיאורטי זה, מימשנו pipeline אבטחתי רב-שכבתי המורכב מניתוח סטטי של images (Trivy ו-YARA), מדיניות קבלה דקלרטיבית באמצעות Open Policy Agent/Gatekeeper, ניטור התנהגותי ברמת הקרנל עם eBPF באמצעות Falco, ומנגנוני בידוד אוטומטיים באמצעות NetworkPolicies ובקרות אדמיניסטרטיביות של Kubernetes. הארכיטקטורה הוערכה בניסוי ב-cluster עם 120 nodes ו-2,400 pods פעילים, שבו הודמו תרחישי תקיפה שונים, כולל ניסיון escape מקונטיינר, הרצת miners של מטבעות קריפטוגרפיים ותנועה רוחבית באמצעות credentials שנפגעו. התוצאות מצביעות על שיעור זיהוי ממוצע של 96.3% עם שיעור false positive של 3.8%, וכן על הפחתות משמעותיות במדדים התפעוליים MTTD ו-MTTR. ממצאים אלה מדגימים כי השילוב בין פורמליזציה תיאורטית לבין טלמטריה ברמת נמוכה המבוססת על eBPF מהווה גישה יעילה לחיזוק האבטחה התפעולית של פלטפורמות cloud-native בקנה מידה גדול.
Read paper →Containersכותרת: ארכיטקטורה פורמלית והערכה אמפירית של מודל הגנה לעומק עבור סביבות קונטיינרים המבוססות על Kubernetes תחת איומים מתמידים מתקדמים
כותרת: ארכיטקטורה פורמלית והערכה אמפירית של מודל הגנה לעומק עבור סביבות קונטיינרים המבוססות על Kubernetes תחת איומים מתמידים מתקדמים תקציר: אימוץ ארכיטקטורות המבוססות על קונטיינרים המתוזמרים באמצעות Kubernetes הפך לדומיננטי בתשתיות ענן-מקורי בשל האלסטיות שלהן, הניידות והיכולת לאוטומציה תפעולית. עם זאת, המורכבות הגוברת של סביבות אלה מציגה משטח תקיפה מורחב שיכול להיות מנוצל בידי יריבים מתוחכמים, כולל קמפיינים של איומים מתמידים מתקדמים (Advanced Persistent Threats – APTs). בפרט, וקטורים כגון פגיעה בשרשרת האספקה של תמונות, ניצול חולשות של kernel משותף, שימוש לרעה בהרשאות של plane הבקרה ותנועה לטרלית בין pods מהווים אתגרים קריטיים לצוותי אבטחה. בעבודה זו אנו מציגים ארכיטקטורה פורמלית של הגנה לעומק עבור clusters Kubernetes, המשלבת מנגנוני בקרה מונעת, זיהוי התנהגותי ותגובה אוטומטית. אנו מדגמים את מערכת ההגנה כגרף מצבי אבטחה G=(V,E), שבו הקודקודים מייצגים קונפיגורציות אבטחה של ה-cluster והקשתות מייצגות מעברים המושרית על ידי פעולות יריבות או מנגנוני מיתון. הארכיטקטורה המוצעת משלבת מדיניות אבטחה דקלרטיבית (Open Policy Agent/Gatekeeper ו-Kyverno), בדיקת קריאות מערכת מבוססת eBPF (Falco), סגמנטציית רשת עם מדיניות שכבה 7 (Cilium), ניתוח פגיעויות בתמונות (Trivy) וטלמטריה נצפית המשולבת באקוסיסטם האבטחה של הענן-המקורי. ביצענו הערכה אמפירית בסביבת ניסוי הכוללת מספר nodes של Kubernetes ו-workloads מייצגים של יישומים מבוזרים. התרחיש הניסויי משחזר טכניקות המתועדות במסגרת MITRE ATT&CK עבור containers, כולל העלאת הרשאות, בריחה מקונטיינר והוצאת נתונים (exfiltration). התוצאות מצביעות על כך שגישת ההגנה לעומק מפחיתה באופן משמעותי את מרחב התקיפה הנצפה ומשפרת את זמן הזיהוי הממוצע (Mean Time To Detect – MTTD). מצאנו כי השילוב של מדיניות admission, ניתוח סטטי של תמונות וניטור בזמן אמת מבוסס eBPF מאפשר לזהות דפוסי התנהגות זדונית בדיוק גבוה יותר, תוך צמצום false positives בהשוואה לגישות מבודדות. אנו מסיקים כי פורמליזציה של מדיניות אבטחה בשילוב עם אינסטרומנטציה נצפית של ה-kernel מהווה כיוון מבטיח לחיזוק העמידות של פלטפורמות Kubernetes כנגד יריבים מתמידים. העבודה תורמת מודל אנליטי, ארכיטקטורת ייחוס ותוצאות ניסוייות שיכולות להנחות את פיתוחן של אסטרטגיות אבטחה עבור סביבות ענן-מקורי בקנה מידה.
Read paper →Cloudכותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ועל מידול יריב
כותרת: ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ועל מידול יריב תקציר: הקונסולידציה של ארכיטקטורות multi-cloud ו-cloud-native שינתה באופן עמוק את משטח התקיפה של ארגונים, והעבירה את המיקוד המסורתי של אבטחה פרימטרית אל ממשל זהויות, APIs, שרשראות supply chain, מישורי בקרה מבוזרים ותשתית מוגדרת-תוכנה. תקריות שתועדו בהרחבה — כגון הפריצה ל-Capital One בשנת 2019 שכללה ניצול של Server-Side Request Forgery (SSRF) וגישה בלתי מורשית ל-AWS Instance Metadata Service — וכן הניצול ההמוני של הפגיעות Log4Shell (CVE-2021-44228) מדגימים כי השילוב של זהויות בעלות הרשאות יתר, נראות מקוטעת והטרוגניות של טלמטריה עלול להוביל לפשרות מערכתיות בקנה מידה רחב. במקביל, דוחות מודיעין שפורסמו על ידי ספקי ענן ועל ידי ארגונים עצמאיים מצביעים על כך ששימוש לרעה בנתוני גישה תקפים, ב-tokens OAuth ובמפתחות API מהווה וקטור חוזר בהתקפות על סביבות cloud מודרניות. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לזיהוי ולתגובה לאיומים בסביבות multi-cloud המבוססת על שלושה נדבכים משלימים: (i) איחוד סמנטי של טלמטריה ממישור הבקרה, מהרשת ומה-runtime; (ii) מידול פורמלי של התנהגות יריב באמצעות גרפים זמניים מכוונים ומוערים; ו-(iii) מנגנוני קורלציה היברידיים המשלבים כללים דקלרטיביים (Sigma), חתימות רשת (Suricata), אינסטרומנטציה מבוססת eBPF (Falco) וניתוח מובנה עם Elastic Stack ו-pipelines קליטה מנורמלים. אנו מנסחים פורמלית את בעיית הזיהוי כפונקציית החלטה f: G(E,T) → {0,1} המוגדרת על גרפים זמניים מוערים ומציגים תכונות פורמליות של שלמות מותנית והגבלת false positives תחת הנחות מפורשות לגבי שלמות הטלמטריה והגרעיניות הזמנית. הערכנו אמפירית את הארכיטקטורה בסביבת multi-cloud שכללה Amazon Web Services, Microsoft Azure ו-Google Cloud Platform, עם clusters Kubernetes מאובזרים ואיורי ניסוי שנגזרו מ-framework MITRE ATT&CK for Cloud והופעלו באמצעות Atomic Red Team. בהשוואה ל-baselines המבוססים בלעדית על logs של מישור הבקרה, נצפתה הפחתה עקבית ב-MTTD (mean time to detection) והעלייה בשיעור הזיהוי עבור שרשראות הכוללות מניפולציה של זהות, ביצוע ב-container ואקספילטרציה של נתונים. ממצאינו מצביעים על כך שאיחוד סמנטי של טלמטריה, בצירוף מידול פורמלי של שרשראות תקיפה, מספק שיפורי זיהוי מדידים תוך שמירה על שיעורי false positive התואמים להפעלה של מרכזי SOC בשלים.
Read paper →Cloudכותרת: אבטחה בסביבות מחשוב ענן בשנת 2023: שילוב CNAPP, תצפיתיות עם eBPF וסיכונים מתהווים של בינה מלאכותית גנרטיבית
כותרת: אבטחה בסביבות מחשוב ענן בשנת 2023: שילוב CNAPP, תצפיתיות עם eBPF וסיכונים מתהווים של בינה מלאכותית גנרטיבית תקציר: האימוץ המהיר של מחשוב ענן שינה את התשתית הדיגיטלית העכשווית, והפך מודלים כגון IaaS, PaaS ו-SaaS לעמודי תווך של הכלכלה הדיגיטלית. בשנת 2023, התפתחות טכנולוגית זו התרחשה במקביל להתרחבות של ארכיטקטורות ענן-נייטיב, מיקרו-שירותים, קונטיינרים ו-pipelines של אינטגרציה מתמשכת, ובכך הרחיבה באופן משמעותי את משטח התקיפה של הארגונים. עבודה זו בוחנת, באופן שיטתי, את אתגרי האבטחה העיקריים בסביבות ענן מודרניות ומציגה ניתוח משולב של שלוש מגמות מרכזיות שנצפו במערכת האקולוגית של האבטחה עד 2023: פלטפורמות Cloud-Native Application Protection Platform (CNAPP), תצפיתיות וזיהוי איומים באמצעות eBPF, וסיכונים מתהווים הקשורים לאימוץ מודלים של בינה מלאכותית גנרטיבית ומודלי שפה גדולים (LLMs). תחילה, אנו דנים ביסודות האדריכליים של אבטחה בענן, כולל מודלים של אחריות משותפת, בידוד משאבים ומנגנונים קריפטוגרפיים להגנת נתונים. לאחר מכן, אנו מנתחים וקטורי תקיפה עכשוויים, כגון תצורות שגויות של תשתית, פגיעה באישורים, ניצול API-ים ותקיפות ממוקדות נגד pipelines של פיתוח. אנו מציעים גם מודל פורמלי להערכת סיכונים עבור סביבות multi-cloud המשלב מדדי חשיפה, קריטיות נכסים והסתברות לניצול. מודל זה מאפשר לכמת את הסיכון התפעולי בתשתיות אלסטיות ומבוזרות מאוד. בנוסף, אנו מעריכים באופן אמפירי את תפקידן של פלטפורמות CNAPP בהתכנסות בין CSPM, CWPP ואבטחת יישומים, ומדגימים כיצד פתרונות אלה מצמצמים פערים בנראות ובתגובה לאירועים. אנו גם בוחנים את השימוש ב-eBPF לניטור ברמה נמוכה ב-kernel של Linux, המאפשר זיהוי התנהגותי של איומים בזמן אמת עם השפעה מזערית על הביצועים. לבסוף, אנו חוקרים סיכונים חדשים הקשורים לשילוב מערכות מבוססות LLMs בתהליכים ארגוניים, כולל prompt injection, חילוץ נתונים ומניפולציה של הקשר. אנו מסיקים כי אבטחה בענן בשנת 2023 דורשת גישה משולבת המשלבת אימות פורמלי, תצפיתיות עמוקה וממשל בינה מלאכותית. התוצאות מצביעות על כך שההתכנסות בין טכניקות קריפטוגרפיות, ניתוח התנהגותי ואוטומציה מבוססת מדיניות היא חיונית להפחתת איומים בתשתיות מבוזרות מודרניות.
Read paper →Cloudכותרת: ארכיטקטורה תפעולית לגילוי ותגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת, eBPF ומידול פורמלי של שרשראות תקיפה
כותרת: ארכיטקטורה תפעולית לגילוי ותגובה לאיומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת, eBPF ומידול פורמלי של שרשראות תקיפה תקציר: האימוץ ההמוני של מחשוב ענן שינה לעומק את ארכיטקטורת מערכות הארגון, והעביר את היקף האבטחה המסורתי למודל הממוקד בזהות, ב-APIs ובתשתית מוגדרת-תוכנה. בסביבות Multi-Cloud, ההטרוגניות של ספקים, תבניות טלמטריה ומנגנוני בקרה מקשה על גילוי עקבי של התקפות מבוזרות. עבודה זו בוחנת כיצד לארכיטקט מערכת תפעולית לגילוי ותגובה לאירועים, המסוגלת לקשור אירועים שמקורם במספר ספקי ענן בזמן כמעט-ממשי. אנו מציעים ארכיטקטורה המבוססת על טלמטריה מאוחדת, נרמול סמנטי של לוגים ומידול פורמלי של רצפי תקיפה. הגישה משלבת נתונים שמקורם בשירותי ביקורת מקומיים (CloudTrail, Azure Activity Logs ו-GCP Cloud Logging), חיישני רשת ואינסטרומנטציה ברמה נמוכה המבוססת על eBPF לצורך תצפיתיות runtime ב-workloads cloud-native. מתוך טלמטריה הטרוגנית זו, אנו מגדירים מודל מתמטי להערכת סיכון המבוסס על חלונות זמן של אירועים, המאפשר לזהות שרשראות תקיפה המאופיינות בניצול לרעה של זהויות, מניפולציה של תשתית ותנועה רוחבית. מנגנון הקורלציה שהוטמע עושה שימוש ב-OpenSearch כמנגנון אינדוקס ושאילתה, בכללי Sigma לזיהוי מבוסס חתימות התנהגותיות ובמודלי למידת מכונה לזיהוי אנומליות. הארכיטקטורה כוללת גם אינטגרציה עם מטריצת MITRE ATT&CK, המאפשרת למפות אירועים נצפים לטכניקות יריבות מוכרות. ביצענו הערכה ניסויית בסביבה Multi-Cloud עם יותר ממיליארד אירועים שנאספו מ-workloads מבוזרים בשלושה ספקים. התוצאות מצביעות על שיפור משמעותי במדדי אבטחה תפעוליים, כולל הפחתה בזמן הממוצע לגילוי (MTTD) ובזמן הממוצע לתגובה (MTTR), תוך שמירה על שיעור נמוך של חיובי-שגוי. בנוסף, הראינו כיצד הפורמליזציה המתמטית של שרשראות תקיפה מאפשרת היסק שיטתי על אבטחה תפעולית בענן. המחקר תורם לספרות בכך שהוא משלב קפדנות פורמלית, אינטגרציה מעשית עם כלים המשמשים במרכזי תפעול אבטחה ואימות אמפירי בקנה מידה ריאלי, ומציע קווים מנחים ארכיטקטוניים לגילוי ותגובה בסביבות Multi-Cloud מורכבות.
Read paper →Cloudכותרת: ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי
כותרת: ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי תקציר: האימוץ המהיר של ארכיטקטורות Multi-Cloud הציג אתגרים משמעותיים לגילוי ולבלימת איומים בסביבות ארגוניות מבוזרות. האלסטיות של התשתית, השימוש הנרחב ב-APIs פרוגרמטיות, והמורכבות של מדיניות זהות וגישה מרחיבים באופן משמעותי את משטח התקיפה. אירועים מתועדים היטב, כגון הפגיעה ב-Capital One בשנת 2019 וניצול פגיעות Log4Shell (CVE-2021-44228) בקנה מידה עולמי, מדגימים כיצד שילובים של קונפיגורציות שגויות, אישורי גישה שנחשפו וניצול שירותים יכולים להוביל להסלמה רוחבית בהיקף נרחב. אף על פי שקיים נפח גדול של טלמטריה — כולל לוגים של API, זרמי רשת, ביקורות של containers ואירועי אבטחה — מקורות אלו לעיתים קרובות נותרים מפוצלים בין ספקים וכלים, ובכך מגבילים את היכולת לקורלציה קונטקסטואלית. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לגילוי ולבלימת איומים בסביבות Multi-Cloud המבוססת על טלמטריה מאוחדת ומידול אדברסרי מונחה-גרפים. אנו מציעים פורמליזציה מתמטית של משטח התקיפה, שבה זהויות, משאבים ומדיניות הרשאה מיוצגים כגרף מכוון ממושקל. על בסיס מודל זה אנו מציגים אלגוריתמים אינקרמנטליים המסוגלים לקורלציה של אירועים הטרוגניים המגיעים ממספר ספקי ענן ולזהות נתיבי הסלמה רוחבית המשויכים לטקטיקות ולטכניקות של מסגרת MITRE ATT&CK. הארכיטקטורה ממומשת באמצעות כלים הנפוצים בתעשייה בשנת 2023, כולל Elastic Stack, Apache Kafka, Neo4j, Kubernetes וכללי Sigma לנרמול גילויים. אנו מעריכים את המערכת באופן ניסויי בסביבת Multi-Cloud הכוללת 420 מופעים המפוזרים בין AWS, Azure ו-Google Cloud, תוך הרצת 36 תרחישים אדברסריים מייצגים. התוצאות מצביעות על שיפור משמעותי בהשוואה לגישות SIEM מסורתיות, עם שיעור גילוי ממוצע של 94.7%, הפחתה של 61% בזמן התגובה הממוצע (MTTR), ועומס חישובי הנמוך מ-7%. כמו כן אנו מדגימים, באמצעות מחקר מקרה הכולל פגיעה באישורי גישה שנחשפו, כיצד מידול מבוסס-גרפים מאפשר לזהות במהירות שרשראות תקיפה מורכבות הכוללות ניצול לרעה של הרשאות IAM וטוקנים זמניים. הממצאים מצביעים על כך ששילוב של טלמטריה מאוחדת עם מידול פורמלי של הרשאות מהווה גישה מבטיחה להגנה על תשתיות ענן מודרניות.
Read paper →IAMכותרת: ארכיטקטורה פורמלית ותפעולית ל-Identity and Access Management (IAM) עמיד בפני פגיעה באישורים בסביבות Multi-Cloud
כותרת: ארכיטקטורה פורמלית ותפעולית ל-Identity and Access Management (IAM) עמיד בפני פגיעה באישורים בסביבות Multi-Cloud תקציר: ניהול זהויות והרשאות (Identity and Access Management – IAM) התבסס כמרכיב מרכזי באבטחה בארכיטקטורות ארגוניות מבוזרות. בסביבות multi-cloud, שבהן יישומים ושירותים פועלים בו-זמנית על פני ספקי תשתית מרובים, בקרת גישה מבוססת-זהות מחליפה בהדרגה את גבולות הרשת המסורתיים כמנגנון ההגנה העיקרי. עם זאת, ראיות אמפיריות מדוחות תקריות מצביעות על כך שפגיעה באישורים נותרת בין הווקטורים השכיחים ביותר להפרות נתונים. התקפות הכוללות שימוש חוזר ב-tokens OAuth, חשיפת מפתחות API וניצול לרעה של הרשאות עודפות מדגימות כי מנגנוני אימות ואישור קונבנציונליים אינם מבטיחים בלימה יעילה כאשר אישורים לגיטימיים נופלים בידי תוקפים. עבודה זו מציגה ארכיטקטורה פורמלית ותפעולית ל-IAM עמיד בפני פגיעה חלקית באישורים בסביבות multi-cloud. אנו מציעים מודל פורמלי המייצג מערכות זהות כטופלה המורכבת ממשתמשים, משאבים, הרשאות, tokens ומדיניות, ומאפשר להגדיר תכונות מתמטיות של עמידות תחת מודל איום עם תוקפים מדורגים. אנו מציגים משחק אבטחה הלוכד את התרחיש שבו תת-קבוצות של אישורים נפגעות ומדגימים כיצד מנגנונים כגון tokens אפמרליים, גזירה קריפטוגרפית של מפתחות, סגמנטציה של דומייני הרשאה ואימות אדפטיבי מבוסס-סיכון מפחיתים את רדיוס ההשפעה התפעולית. הארכיטקטורה המוצעת משלבת עקרונות Zero Trust, פדרציית זהות המבוססת על OpenID Connect ו-SAML, וכן מנגנוני ניטור התנהגותי ושלילה מתואמת על פני מספר ספקי ענן. הערכות ניסיוניות ומקרי בוחן בהקשרים של תשתיות קריטיות והמגזר הפיננסי מצביעים על כך שהגישה מפחיתה באופן משמעותי את חלון הזמן לניצול אישורים שנפגעו, תוך שמירה על תקורה חישובית שולית. על ידי פורמליזציה של תכונות אבטחה שלעיתים קרובות מטופלות רק ברמה הארכיטקטונית בספרות, העבודה תורמת לקרבה בין מודלים קריפטוגרפיים לבין ערבויות תפעוליות במערכות IAM מודרניות. התוצאות מצביעות על כך שארכיטקטורות זהות המתוכננות במפורש לפעול תחת פגיעה חלקית יכולות להגביל באופן מדיד את השפעתן של התקפות מבוססות-אישורים.
Read paper →IAMכותרת: ארכיטקטורת Identity and Access Management אדפטיבית עם הערכת סיכון מתמשכת וגילוי ניצול לרעה של פרטי גישה המבוססת על טלמטריה תפעולית
כותרת: ארכיטקטורת Identity and Access Management אדפטיבית עם הערכת סיכון מתמשכת וגילוי ניצול לרעה של פרטי גישה המבוססת על טלמטריה תפעולית תקציר: ניהול זהויות וגישה (Identity and Access Management – IAM) הפך לרכיב קריטי באבטחת מידע ארגונית בסביבות מבוזרות, המאופיינות בתשתיות היברידיות, מחשוב ענן ואינטגרציה אינטנסיבית בין שירותים. עם זאת, מתקפות עכשוויות מנצלות לעיתים קרובות פרטי גישה לגיטימיים שנפגעו, ובכך עוקפות מנגנונים מסורתיים המבוססים רק על אימות ראשוני ובקרת הרשאות סטטית. דוחות אמפיריים מצביעים על כך ששימוש לרעה בפרטי גישה מהווה אחת הסיבות העיקריות להפרות אבטחה בארגונים מודרניים. בהקשר זה, ארכיטקטורות אבטחה המושתתות על פרדיגמת Zero Trust מדגישות אימות רציף של זהות והקשר לאורך כל הסשן. עבודה זו מציעה ארכיטקטורת IAM אדפטיבית המשלבת הערכת סיכון מתמשכת המבוססת על טלמטריה תפעולית המתקבלת מ-endpoints, מהרשת וממערכות זהות. אנו מנסחים מודל מתמטי של סיכון דינמי R(u,s,t) המשויך למשתמש u, לסשן s ולזמן t, תוך שילוב מדדים של סטייה התנהגותית, אנומליות גישה והקשר סביבתי. הארכיטקטורה המוצעת משלבת רכיבים הנפוצים בסביבות ארגוניות ואקדמיות, כולל Keycloak כספק זהות, Open Policy Agent (OPA) כמנגנון קבלת החלטות למדיניות, Elastic Stack כתשתית לניתוח אירועים וחיישני אבטחה כגון Sysmon ו-Suricata. בנוסף, אנו משתמשים בכללֵי Sigma לצורך סטנדרטיזציה של זיהוי טכניקות המשויכות למסגרת MITRE ATT&CK. ההערכה הניסויית בוצעה בסביבה ארגונית מדומה עם יותר מ-480 מיליון אירועי לוג שנאספו לאורך שלושה חודשים. התוצאות מצביעות על הפחתה משמעותית במדדי תגובה תפעוליים לאירועי אבטחה, כולל ירידה בזמן הזיהוי הממוצע (MTTD) ובזמן התגובה הממוצע (MTTR) בהשוואה למודלים המבוססים אך ורק על RBAC. מחקר מקרה הכולל שרשרת תקיפה עם phishing, dumping of credentials ותנועה רוחבית מדגים את יכולת הארכיטקטורה לזהות ניצול לרעה של פרטי גישה בשלב מוקדם. התוצאות מצביעות על כך שהשילוב בין IAM, טלמטריה תפעולית ומנגנוני הערכת סיכון מתמשכת מהווה גישה ישימה לחיזוק אבטחת הזהויות בסביבות ארגוניות מודרניות.
Read paper →IAMכותרת: ארכיטקטורת IAM עמידה מונחית איומים: פורמליזציה, מימוש והערכה אמפירית של מודל אדפטיבי המבוסס על Zero Trust וזיהוי התנהגותי
כותרת: ארכיטקטורת IAM עמידה מונחית איומים: פורמליזציה, מימוש והערכה אמפירית של מודל אדפטיבי המבוסס על Zero Trust וזיהוי התנהגותי תקציר: האימוץ הגובר של סביבות היברידיות ומרובות-ענן הפך את הזהות הדיגיטלית לווקטור המרכזי של בקרת האבטחה הארגונית. מערכות Identity and Access Management (IAM), שנועדו במקור כמנגנונים אדמיניסטרטיביים להקצאת חשבונות והרשאות, החלו למלא תפקיד מרכזי במיתון התקפות מתקדמות, ובפרט כאלה המבוססות על פגיעה באישורים, ניצול לרעה של אסימוני סשן והסלמת הרשאות. דוחות עדכניים מצביעים על כך שאישורים תקפים מוסיפים להיות אחד מווקטורי החדירה העיקריים בסביבות ארגוניות. עם זאת, ארכיטקטורות IAM מסורתיות נשענות ברובן על מודלים סטטיים של הרשאה, כגון Role-Based Access Control (RBAC), שלעיתים קרובות אינן מסוגלות להגיב באופן דינמי לשינויים הקשריים והתנהגותיים הקשורים לסיכון התפעולי. בעבודה זו אנו מציעים ארכיטקטורת IAM עמידה מונחית איומים המשלבת עקרונות של Zero Trust, הערכת סיכון דינמית וזיהוי התנהגותי המבוסס על טלמטריית אבטחה. אנו מנסחים מתמטית מודל סיכון אדפטיבי המשלב רגישות הזהות, ההקשר התפעולי, הסטייה ההתנהגותית והקריטיות של הפעולה המבוקשת. על בסיס פורמליזציה זו, תכננו מנגנון החלטה לגבי גישה המסוגל להחיל אימות אדפטיבי ובקרות חסימה המבוססות על ספי סיכון דינמיים. מימשנו אב־טיפוס תפעולי תוך שימוש בטכנולוגיות שנמצאו בשימוש נרחב בסביבות ארגוניות בשנת 2023, כולל Azure Active Directory, AWS IAM, Elastic Stack, Suricata ו-Open Policy Agent. ביצענו הערכה אמפירית בסביבת ניסוי שכללה אלפי זהויות מדומות וטלמטריה תפעולית שנאספה לאורך שלושים יום. התוצאות מדגימות הפחתה משמעותית בזמן הממוצע לזיהוי של ניצול לרעה של אישורים וירידה ניכרת בהרשאות עודפות בהשוואה ל-baseline המבוסס על RBAC סטטי. בנוסף, ניתחנו השלכות תפעוליות עבור צוותי אבטחה ודןנו במגבלות הקשורות לאיכות הטלמטריה ולכיול פרמטרי המודל. אנו מסיקים כי האינטגרציה בין ניתוח התנהגותי, הערכה הקשרית ומדיניות אדפטיבית מייצגת התקדמות משמעותית בבניית ארכיטקטורות IAM עמידות בסביבות ארגוניות מודרניות.
Read paper →IAMכותרת: ארכיטקטורת IAM עמידה מונחית איומים: מידול פורמלי, זיהוי התנהגותי וחיזוק תפעולי בסביבות היברידיות
כותרת: ארכיטקטורת IAM עמידה מונחית איומים: מידול פורמלי, זיהוי התנהגותי וחיזוק תפעולי בסביבות היברידיות תקציר: ההתבססות של זהויות דיגיטליות כווקטור העיקרי לפשרה בסביבות ארגוניות הפכה את Identity and Access Management (IAM) לליבת ארכיטקטורת האבטחה המודרנית. תשתיות היברידיות ו-multi-cloud, בשילוב אימוץ מסיבי של SaaS, APIs וזהויות שירות, הרחיבו באופן משמעותי את משטח ההתקפה המבוסס על אישורים ו-tokenים של אימות. דוחות אמפיריים מצביעים על כך שרוב ההפרות העכשוויות כרוכות בשימוש לרעה בחשבונות לגיטימיים, בהסלמת הרשאות או בניצול של מדיניות הרשאה שהוגדרה באופן שגוי. מאמר זה מציע ארכיטקטורת IAM עמידה מונחית איומים המשלבת שלושה ממדים משלימים: מידול פורמלי של הרשאות אפקטיביות, זיהוי התנהגותי של שימוש אנומלי בזהויות, ו-hardening תפעולי אוטומטי בסביבות היברידיות. תחילה אנו מנסחים פורמלית את משטח ההרשאות באמצעות גרפים מכוונים המייצגים יחסים בין משתמשים, תפקידים והרשאות. על בסיס מודל זה אנו מגדירים מדדים כמותיים למדידת משטח ההתקפה הזהותי ולניתוח מסלולי הסלמת הרשאות. לאחר מכן אנו מציגים מנגנון לזיהוי אנומליות המבוסס על וקטורים התנהגותיים רב-ממדיים ועל מרחק Mahalanobis, המיושם על אירועי אימות שנאספו בקנה מידה רחב. מנגנון זה מאפשר לזהות שימוש לרעה בחשבונות תקפים בשיעור נמוך של חיוביים שגויים, גם בסביבות עם אלפי זהויות ומספר רב של ספקי זהויות. בנוסף, אנו מתארים framework תפעולי המשלב כלים הנפוצים בסביבות ארגוניות — כולל ספקי זהויות מאוחדים, מנגנוני מדיניות המבוססים על Open Policy Agent, ניתוח לוגים ב-Elastic Stack ומידול גרפים ב-Neo4j — ומאפשר הערכה רציפה של הרשאה אפקטיבית והפחתה אוטומטית של הרשאות עודפות. ההערכה הניסויית בוצעה בסביבה ארגונית מדומה המכילה יותר משתים-עשרה אלף זהויות ומיליוני אירועי אימות. התוצאות מצביעות על הפחתה משמעותית בזמן הממוצע לזיהוי שימוש לרעה באישורים, לצד ירידה ניכרת בהרשאות עודפות. המחקר מדגים כי האינטגרציה בין מידול פורמלי, ניתוח התנהגותי ואוטומציה תפעולית מהווה גישה יעילה לחיזוק האבטחה הזהותית בארכיטקטורות zero trust ובסביבות היברידיות עכשוויות.
Read paper →AI Securityכותרת: ארכיטקטורת הגנה משולבת למערכות מבוססות בינה מלאכותית: מידול פורמלי של איומים, גילוי התקפות אדברסריאליות וניטור תפעולי בסביבות ייצור
כותרת: ארכיטקטורת הגנה משולבת למערכות מבוססות בינה מלאכותית: מידול פורמלי של איומים, גילוי התקפות אדברסריאליות וניטור תפעולי בסביבות ייצור תקציר: האימוץ של מערכות מבוססות למידת מכונה בסביבות ארגוניות הפך מודלים של בינה מלאכותית לרכיבים קריטיים בקבלת החלטות תפעוליות. מערכות אלו החלו לפעול בזיהוי הונאה, סיווג תוכנות זדוניות, מיון רפואי מסייע-תמונה, מערכות המלצה וניתוח התנהגותי בפלטפורמות דיגיטליות. עם זאת, בניגוד לתוכנות מסורתיות, מודלי למידה הם פונקציות פרמטריות המאומנות מנתונים, ובכך נחשפים משטחי תקיפה נוספים הקשורים למניפולציה של קלטים, לזיהום תהליך האימון ולניצול ממשקי הסקה. הספרות העדכנית מתעדת מספר מחלקות של התקפות נגד מערכות למידת מכונה, כולל דוגמאות אדברסריאליות, הרעלת נתונים, חילוץ מודל והסקת חברות. במקביל, שילובן של מערכות אלו בשרשראות DevOps ובתשתיות מבוססות קונטיינרים מייצר סיכונים נוספים הקשורים לשרשרת האספקה של תוכנה ומודלים. עבודה זו מציעה ארכיטקטורת הגנה משולבת למערכות בינה מלאכותית המוטמעות בייצור, המשלבת מידול פורמלי של איומים, מנגנונים סטטיסטיים לגילוי אנומליות, אימות קריפטוגרפי של שלמות וניטור תפעולי מתמשך. אנו מנסחים פורמלית את מושג הסיכון האדברסרי המצטבר כפונקציה של הסתברויות מותנות הקשורות למחלקות שונות של התקפות תחת מודל יריב פרמטרי. לאחר מכן, אנו מציגים גלאי היברידי המבוסס על מרחק מהלנוביס ועל האלגוריתם Isolation Forest, המיושם על ייצוגים לטנטיים של המודל. בנוסף, אנו מציעים מנגנון אימות שלמות המשלב hashing קריפטוגרפי, חתימה דיגיטלית ובדיקות התנהגותיות המבוססות על סטיית התפלגות הפלט. הארכיטקטורה משולבת ב-pipeline תפעולי המבוסס על Kubernetes, עם טלמטריה המתואמת לטכניקות המתוארות במסגרות כגון MITRE ATT&CK ו-MITRE ATLAS. הערכות ניסיוניות בתרחישים מבוקרים מצביעות על עלייה עקבית בחוסן האמפירי נגד התקפות התחמקות ושיפור בגילוי שינויים בלתי מורשים באובייקטי מודל. הניתוח גם מדגים השפעות מתונות על השהיה כאשר מנגנוני ההגנה ממדדים כראוי. התוצאות מצביעות על כך שגישות המשלבות בקרות קריפטוגרפיות, ניתוח סטטיסטי וניטור תפעולי מציעות דרך ישימה מבחינה מעשית להגברת האבטחה של מערכות בינה מלאכותית המוטמעות בייצור.
Read paper →AI Securityכותרת: ארכיטקטורה תפעולית לאבטחת מערכות בינה מלאכותית: מידול איומים, Defense in Depth והערכה אמפירית בסביבות קריטיות
כותרת: ארכיטקטורה תפעולית לאבטחת מערכות בינה מלאכותית: מידול איומים, Defense in Depth והערכה אמפירית בסביבות קריטיות תקציר: כותרת: ארכיטקטורה תפעולית לאבטחת מערכות בינה מלאכותית: מידול איומים, Defense in Depth והערכה אמפירית בסביבות קריטיות תקציר: כותרת: ארכיטקטורה תפעולית לאבטחת מערכות בינה מלאכותית: מידול איומים, Defense in Depth והערכה אמפירית בסביבות קריטיות תקציר: האימוץ המהיר של מערכות בינה מלאכותית (IA) בתשתיות קריטיות הציג מחלקות חדשות של פגיעויות שאינן נלכדות במלואן על ידי מודלים מסורתיים של אבטחת מידע. בניגוד לתוכנה דטרמיניסטית, מודלי machine learning תלויים באופן ניכר בנתוני אימון ובהתפלגויות סטטיסטיות, ובכך יוצרים משטחי תקיפה הקשורים למניפולציה של נתונים, לניצול ממשקי הסקה ולפגיעה בשרשרת האספקה של הנתונים. עבודה זו מציעה ארכיטקטורה תפעולית להגנת מערכות IA המבוססת על עקרונות defense in depth, המשלבת מידול פורמלי של איומים, מנגנונים סטטיסטיים לזיהוי מניפולציה בנתונים ובקרות תפעוליות המשולבות עם מרכזי תפעול אבטחה (SOC). תחילה, אנו מנסחים מודל מתמטי לאפיון תכונות אבטחה רצויות בצינורות למידה מונחית, כולל שלמות סטטיסטית של הנתונים וסודיות פרמטרית של המודל. לאחר מכן, אנו מציגים מנגנוני זיהוי של poisoning של נתונים המבוססים על סטיית Kullback–Leibler ועל ניתוח השפעה של דגימות, בשילוב עם אסטרטגיות אדפטיביות להגבלת קצב שאילתות כדי למתן התקפות חילוץ מודלים. הארכיטקטורה המוצעת משלבת בקרות אבטחה לאורך כל מחזור החיים של מודלי IA, כולל בליעת נתונים, אימון, אריזה ופריסה בסביבות מתוזמרות. המימוש הניסויי עושה שימוש ב-stack טכנולוגי עכשווי הכולל Kubernetes, PyTorch, MLflow, Suricata ואינטגרציה עם SIEM ארגוני. אנו מעריכים אמפירית את הגישה בסביבת מעבדה המייצגת תשתית קריטית, תוך שימוש במערכי נתונים ציבוריים של אבטחה ובתרחישי יריב מבוקרים. התוצאות מצביעות על הפחתה משמעותית ביעילות של התקפות יריב והתקפות חילוץ מודלים, עם השפעה תפעולית מתונה במונחים של השהיה וצריכת משאבי חישוב. מחקר מקרה בתרחיש של זיהוי antifraude מדגים את ישימות הארכיטקטורה בהקשרים תפעוליים ממשיים. כמו כן, אנו דנים בהשלכות על הממשל של IA ובהתאמה למסגרות נורמטיביות מתהוות, כגון NIST AI Risk Management Framework. התוצאות מצביעות על כך שמנגנונים סטטיסטיים המשולבים עם בקרות תפעוליות מסורתיות מהווים אסטרטגיה יעילה להפחתת סיכונים הקשורים לאימוץ הגובר של IA בסביבות קריטיות.
Read paper →AI Securityכותרת: ארכיטקטורת אבטחה משולבת למערכות בינה מלאכותית: מידול פורמלי של איומים, גילוי התקפות אדברסריאליות והקשחה תפעולית בסביבות ארגוניות
כותרת: ארכיטקטורת אבטחה משולבת למערכות בינה מלאכותית: מידול פורמלי של איומים, גילוי התקפות אדברסריאליות והקשחה תפעולית בסביבות ארגוניות תקציר: השילוב המהיר של מערכות בינה מלאכותית (IA) בתשתיות ארגוניות קריטיות הציג מחלקה חדשה של סיכוני אבטחה החורגת ממודלים מסורתיים של הגנה סייברית. מודלים של למידה עמוקה, שירותי אינפרנס החשופים באמצעות API, ולאחרונה גם Large Language Models (LLMs), החלו להשתלב ב-pipelines תפעוליים האחראים להחלטות רגישות, כולל גילוי הונאות, סיווג אוטומטי ותגובה לאירועים. עם זאת, מחקרים עדכניים מראים כי מערכות אלו מציגות פגיעויות מבניות, כולל התקפות אדברסריאליות, חילוץ מודל, הסקת חברות (membership inference) והרעלת נתונים. נוסף על כך, האקוסיסטם התפעולי התומך ביישומי IA נותר חשוף לאיומים מסורתיים של תשתית, ובכך מרחיב את משטח התקיפה. בעבודה זו אנו מציעים ארכיטקטורת אבטחה משולבת למערכות IA המשלבת מידול פורמלי של איומים, מנגנוני גילוי של התקפות אדברסריאליות ופרקטיקות hardening תפעוליות המיועדות לסביבות ארגוניות. ראשית, פיתחנו מודל איום מאוחד המשלב את הטקסונומיות MITRE ATT&CK ו-MITRE ATLAS, ומאפשר למפות וקטורי תקיפה ספציפיים ללמידת מכונה בתוך frameworks מבוססי-כבר להגנה סייברית. לאחר מכן, ניסחנו באופן פורמלי את בעיית החוסן האדברסריאלי מנקודת מבט של אופטימיזציית min–max והצגנו מנגנון גילוי המבוסס על אנטרופיית פלט והערכת ממדיות פנימית מקומית כדי לזהות קלטים אדברסריאליים פוטנציאליים בזמן אינפרנס. הארכיטקטורה המוצעת משלבת גם ניטור של drift סטטיסטי, ולידציה של שלמות ה-pipeline של הנתונים ואינטגרציה עם פלטפורמות SIEM לצורך תגובה תפעולית. המימוש בוצע באמצעות PyTorch, Suricata, Elastic Stack ותשתית Kubernetes, המשקפים פרקטיקות הנפוצות בסביבות ארגוניות עד 2023. ההערכה הניסויית בוצעה בתרחישים של ראייה ממוחשבת וגילוי חדירה תוך שימוש במערכי הנתונים CIFAR‑10 ו-UNSW‑NB15. התוצאות מצביעות על שיפור מהותי בחוסן כנגד התקפות FGSM ו-PGD, וכן על ירידה משמעותית בזמן התגובה התפעולי הממוצע במרכזי תפעול אבטחה (SOC). הממצאים מצביעים על כך שגישות מבודדות של חוסן אדברסריאלי אינן מספקות, וכי יש להתייחס לאבטחת IA כאל בעיה מערכתית המשלבת שיטות מתמטיות, הנדסת תוכנה מאובטחת וניטור רציף של התשתית.
Read paper →DevSecOpsארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK ועדויות אמפיריות בצינורות CI/CD מקוריים בענן
ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK ועדויות אמפיריות בצינורות CI/CD מקוריים בענן האימוץ הגובר של ארכיטקטורות מקוריות בענן ושל צינורות CI/CD אוטומטיים במידה גבוהה הרחיב באופן משמעותי את משטח התקיפה המשויך למחזור החיים של פיתוח תוכנה. תקריות המתועדות בהרחבה, כולל פשרות בשרשרת האספקה וניצול של חולשות נפוצות ומופצות, מדגימות כי בקרות אבטחה מבודדות אינן מספקות כאשר הן אינן משולבות במנגנוני תעדוף קונטקסטואליים ובקורלציה התנהגותית. בעבודה זו אנו מציגים ארכיטקטורת DevSecOps מונחית-סיכון המשלבת ניתוח סטטי של קוד, ניתוח תלויות, יצירה ואימות של SBOM, ולידציה של Infrastructure as Code, זיהוי התנהגותי בזמן ריצה ומנוע פורמלי לחישוב סיכון קונטקסטואלי. הארכיטקטורה משתמשת ב-MITRE ATT&CK כטקסונומיה לקורלציה רב-שלבית של אירועים לאורך כל צינור הפיתוח וההרצה. ביצענו ניתוח ביקורתי של המגבלות של גישות המבוססות באופן בלעדי על CVSS, והראינו כי היעדר קונטקסטואליזציה תפעולית מוביל לעיתים קרובות לתעדוף שגוי של חולשות ולתשישות התראות. אנו מציעים ניסוח מתמטי של הסיכון כפונקציה מורכבת של הסתברות הניצול המוערכת באמצעות EPSS, ההשפעה הטכנית המנורמלת, ופקטורים דינמיים של חשיפה תפעולית. אנו מציגים הגדרות פורמליות של תוקף, תכונות נכונות של מנגנון חסימת ה-builds, ומודל הסתברותי לקורלציה בין טכניקות של יריב. הארכיטקטורה יושמה בסביבת Kubernetes באמצעות GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata ו-Open Policy Agent. הערכנו אמפירית את המערכת לאורך שישה חודשים על פני מערך של מיקרו-שירותים ארגוניים המפוזרים בשני תחומי ארגון נפרדים. התוצאות מצביעות על הפחתה עקבית בזמן הממוצע לתיקון, ירידה יחסית בשיעור של התראות שווא והשפעה תפעולית מוגבלת על זמן ה-build הכולל. הממצאים האמפיריים מצביעים על כך שהאינטגרציה בין מידול סיכון פורמלי, מודיעין איומים ואוטומציה של מדיניות עשויה לשפר באופן משמעותי את היעילות התפעולית של תוכניות DevSecOps בסביבות מקוריות בענן.
Read paper →DevSecOpsכותרת: ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK וראיות אמפיריות ב-Pipelines CI/CD מקוריים בענן
כותרת: ארכיטקטורת DevSecOps מונחית-סיכון עם קורלציה רב-שלבית מבוססת MITRE ATT&CK וראיות אמפיריות ב-Pipelines CI/CD מקוריים בענן תקציר: האימוץ הגובר של ארכיטקטורות מקוריות בענן ו-pipelines CI/CD אוטומטיים מאוד הרחיב באופן משמעותי את משטח התקיפה המשויך למחזור חיי פיתוח התוכנה. אירועים המתועדים היטב, כולל פגיעויות בשרשרת האספקה וניצול של חולשות נפוצות, מדגימים כי בקרות אבטחה מבודדות אינן מספיקות כאשר אינן משולבות במנגנוני תעדוף הקשרי וקורלציה התנהגותית. בעבודה זו אנו מציגים ארכיטקטורת DevSecOps מונחית-סיכון המשלבת ניתוח סטטי של קוד, ניתוח תלויות, יצירה ואימות של SBOM, ולידציה של תשתית כקוד, זיהוי התנהגותי בזמן ריצה ומנוע פורמלי לחישוב סיכון הקשרי. הארכיטקטורה משתמשת במסגרת MITRE ATT&CK כאונטולוגיה לקורלציה רב-שלבית של אירועים לאורך כל ה-pipeline של הפיתוח וההרצה. ביצענו ניתוח ביקורתי של המגבלות של גישות המבוססות באופן בלעדי על CVSS, והראינו כי היעדר הקשר תפעולי מוביל לעיתים קרובות לתיעדוף שגוי של חולשות ולעייפות התרעות. אנו מציעים ניסוח מתמטי של הסיכון כפונקציה מורכבת של ההסתברות לניצול, המוערכת באמצעות EPSS, של השפעה טכנית מנורמלת ושל גורמי חשיפה תפעוליים דינמיים. אנו מציגים הגדרות פורמליות של יריב, תכונות נכונות של מנגנון חסימת ה-build ומודל הסתברותי לקורלציה בין טכניקות יריביות. הארכיטקטורה יושמה בסביבת Kubernetes תוך שימוש ב-GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata ו-Open Policy Agent. הערכנו את המערכת אמפירית לאורך שישה חודשים על פני סט של מיקרו-שירותים ארגוניים הפרוסים בשני תחומי ארגון נפרדים. התוצאות מצביעות על ירידה עקבית בזמן הממוצע לתיקון, הפחתה יחסית של false positives והשפעה תפעולית מוגבלת על זמן ה-build הכולל. התוצאות האמפיריות מצביעות על כך ששילוב בין מידול סיכון פורמלי, מודיעין איומים ואוטומציה של מדיניות יכול לשפר באופן משמעותי את היעילות התפעולית של תוכניות DevSecOps בסביבות מקוריות בענן.
Read paper →DevSecOpsכותרת: DevSecOps מונחה-איומים: ארכיטקטורה פורמלית לשילוב SAST, DAST, SCA וטלמטריה התנהגותית מבוססת MITRE ATT&CK ב-Pipelines של CI/CD
כותרת: DevSecOps מונחה-איומים: ארכיטקטורה פורמלית לשילוב SAST, DAST, SCA וטלמטריה התנהגותית מבוססת MITRE ATT&CK ב-Pipelines של CI/CD תקציר: האימוץ ההמוני של ארכיטקטורות cloud-native ושל pipelines של אינטגרציה והפצה רציפה (CI/CD) שינה באופן עמוק את תהליכי פיתוח התוכנה. עם זאת, אוטומציה זו מרחיבה משמעותית את משטח התקיפה כאשר מנגנוני אבטחה אינם משולבים באופן שיטתי במחזור חיי הפיתוח. תקריות מתועדות היטב, כגון הפגיעה בשרשרת האספקה של SolarWinds וניצול הפגיעות CVE-2021-44228 (Log4Shell), מדגימות כי כשלים בשילוב בין אבטחת קוד, תלויות וניטור בזמן ריצה יכולים לאפשר פשרות בקנה מידה גדול. אף שכלי ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) נמצאים בשימוש נרחב ב-pipelines של DevSecOps, פעילותם בנפרד גורמת לעיתים קרובות לנפחי התראות גבוהים ומקשה על תיעדוף המבוסס על סיכון ממשי. בעבודה זו אנו מציעים ארכיטקטורת DevSecOps מונחית-איומים המשלבת תוצאות של סורקי אבטחה עם טלמטריה התנהגותית ומיפוי שיטתי ל-framework של MITRE ATT&CK. אנו מבצעים פורמליזציה מתמטית של חישוב הסיכון השיורי ב-pipelines של CI/CD באמצעות שילוב מדדי חומרה (CVSS), ראיות לניצול שנצפו בזמן ריצה וקריטיות קונטקסטואלית של היישום. אנו מציגים אלגוריתם לתיעדוף אדפטיבי המתאם פגיעויות שזוהו בשלבים סטטיים עם אינדיקטורים התנהגותיים המגיעים ממערכות זיהוי ותצפיתיות, כגון Falco ו-Suricata. מימשנו את הארכיטקטורה המוצעת בסביבה ארגונית המבוססת על GitLab CI/CD, Kubernetes וכלי אבטחת יישומים נפוצים, כולל Semgrep, SonarQube, Trivy, Checkov ו-OWASP ZAP. הערכנו אמפירית את הגישה ב-120 pipelines הכוללים 48 microservices וכ-3.2 מיליון שורות קוד במהלך שישה חודשים. התוצאות מצביעות על ירידה משמעותית בזמן הזיהוי הממוצע (MTTD), בזמן התיקון הממוצע (MTTR) ובשכיחותן של פגיעויות קריטיות ב-production. כמו כן, נצפתה ירידה ניכרת בשיעור ה-false positives כאשר התיעדוף מונחה על ידי טלמטריה התנהגותית ו-intelligence of threats. ממצאים אלה מדגימים כי מתאם שיטתי בין ניתוח קוד, אבטחת שרשרת האספקה וזיהוי התנהגותי מבוסס MITRE ATT&CK מאפשר להפחית באופן מדיד את הסיכון התפעולי ב-pipelines מודרניים של CI/CD.
Read paper →DevSecOpsכותרת: תזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps: מודל פורמלי, ארכיטקטורה אוטומטית והערכה ניסויית בסביבות Kubernetes מקוריות לענן
כותרת: תזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps: מודל פורמלי, ארכיטקטורה אוטומטית והערכה ניסויית בסביבות Kubernetes מקוריות לענן תקציר: האימוץ הגובר של ארכיטקטורות מבוססות מיקרו-שירותים ותזמור Kubernetes ביסס את צינורות CI/CD כמרכיב מרכזי בהנדסת התוכנה המודרנית. עם זאת, אוטומציה זו הרחיבה באופן משמעותי את משטח התקיפה של שרשראות אספקת התוכנה. תקריות שתועדו בהרחבה הראו כי שיבוש של תלויות, ארטיפקטים של build או תשתית הצינור עלול לפגוע באלפי מערכות בו-זמנית. עבודה זו מציעה מודל פורמלי לתזמור הניתן לאימות קריפטוגרפי של צינורות DevSecOps בסביבות מקוריות לענן. המודל מייצג צינורות כגרפים מכוונים חסרי מחזורים, שבהם כל טרנספורמציה של ארטיפקט מלווה בתכונות הניתנות לאימות של שלמות, אותנטיות ועקיבות. אנו מנסחים באופן פורמלי מדדי סיכון תפעולי כמותיים המבוססים על פונקציות hash קריפטוגרפיות, חתימות דיגיטליות וניקוד הנגזר מחולשות CVSS. על בסיס תיאורטי זה, פיתחנו ארכיטקטורה אוטומטית בשם OCV-DevSecOps, המשלבת אימות ארטיפקטים באמצעות Sigstore/Cosign, מדיניות הצהרתית עם Open Policy Agent, זיהוי התנהגותי בזמן ריצה עם Falco וניתוח חולשות באמצעות כלי SAST, SCA ו-DAST. הארכיטקטורה משלבת גם Software Bill of Materials (SBOM) בפורמט CycloneDX לצורך עקיבות תלויות ותמיכה בממשל שרשרת האספקה. הערכנו את ההצעה באופן ניסויי בקלסטר Kubernetes עם 42 מיקרו-שירותים ו-180 הרצות צינור. התוצאות מצביעות על ירידה משמעותית בזמן הממוצע לזיהוי חולשות קריטיות, שיפור מהותי בעקיבות הארטיפקטים וירידה במספר הפרישות שכללו כשלים קריטיים. בנוסף, נצפתה השפעה מתונה על זמן הריצה הכולל של הצינור, תוך שמירה על היתכנות תפעולית. התוצאות מצביעות על כך ששילוב של אימות קריפטוגרפי מחייב, מדיניות אוטומטית וניטור התנהגותי מתמשך מספק מנגנון יעיל לחיזוק האבטחה של צינורות DevSecOps מודרניים. העבודה תורמת באמצעות אספקת פורמליזציה מתמטית של הבעיה, ארכיטקטורה שניתנת לשחזור והערכה אמפירית המבוססת על תשתית ענן מקורית אמיתית.
Read paper →DevSecOpsכותרת: תזמור פורמלי של אבטחה ב־pipelines CI/CD: מודל כמותי לסיכון עבור DevSecOps עם קורלציית MITRE ATT&CK ומדדים תפעוליים
כותרת: תזמור פורמלי של אבטחה ב־pipelines CI/CD: מודל כמותי לסיכון עבור DevSecOps עם קורלציית MITRE ATT&CK ומדדים תפעוליים תקציר: אימוץ שיטות DevOps שינה לעומק את מחזור פיתוח התוכנה באמצעות מתן עדיפות לאוטומציה, אינטגרציה מתמשכת והפצה מתמשכת. עם זאת, האצת ה־pipelines של CI/CD הרחיבה באופן משמעותי את משטח התקיפה של הארגונים, במיוחד בהקשר של תקיפות על שרשרת האספקה של תוכנה וניצול תלויות פגיעות. אירועים מתועדים היטב, כגון הפגיעה בשרשרת ההפצה של SolarWinds Orion (SUNBURST) והניצול ההמוני של הפגיעות Log4Shell (CVE‑2021‑44228), ממחישים כי כשלים הנכנסים במהלך תהליך ה־build או תלויות חיצוניות עלולים להפיץ השפעה בקנה מידה עולמי. אף על פי שהפרדיגמה DevSecOps מציעה לשלב בקרות אבטחה בתוך ה־pipeline של הפיתוח, הפרקטיקה התפעולית עדיין מאופיינת באינטגרציה שטחית של כלים, בהיעדר מדדי סיכון כמותיים ובחוסר התאמה בין תוצאות של סורקים אוטומטיים לבין מודלים פורמליים של איום. בעבודה זו אנו מציעים מודל כמותי לתזמור אבטחה ב־pipelines CI/CD המבוסס על ניתוח סיכונים אינקרמנטלי. המודל מנסח את ה־pipeline כגרף מכוון חסר מעגלים ומגדיר פונקציית סיכון מצטבר המשלבת ציון CVSS, הסתברות ניצול מוערכת באמצעות EPSS, קריטיות הנכס ומקדם זמן הקשור לגיל הפגיעות. על בסיס ניסוח זה אנו מציגים מנגנון חסימה אדפטיבי המשתמש בספים דינמיים כדי להחליט באופן אוטומטי על קידום או דחייה של ארטיפקטים במהלך תהליך ה־build. מימשנו את המודל בסביבת Kubernetes תוך שימוש בכלים הנפוצים באקוסיסטם DevSecOps, כולל Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP ו־Checkov, וכן ניטור בזמן ריצה באמצעות Falco וקורלציית אירועים עם מטריצת MITRE ATT&CK. ההערכה הניסויית בוצעה ב־1,200 הרצות pipeline שכללו 37 מיקרו־שירותים. התוצאות מצביעות על הפחתה משמעותית בחשיפה לפגיעויות קריטיות בסביבת production ועל צמצום זמן התיקון הממוצע ללא השפעה מהותית על זמן הריצה של ה־pipeline. המחקר מדגים כי פורמליזציה מתמטית של הסיכון ב־pipelines CI/CD מאפשרת החלטות אוטומטיות עקביות יותר ומספקת בסיס תפעולי לממשל אבטחה מונחה־מדדים בסביבות DevSecOps.
Read paper →AppSecכותרת: ארכיטקטורה פורמלית ותפעולית ל-AppSec מונחה איומים: אינטגרציה של SAST, DAST, SCA, טלמטריית Runtime ומודיעין ATT&CK לתעדוף מבוסס-סיכון בר-ניצול
כותרת: ארכיטקטורה פורמלית ותפעולית ל-AppSec מונחה איומים: אינטגרציה של SAST, DAST, SCA, טלמטריית Runtime ומודיעין ATT&CK לתעדוף מבוסס-סיכון בר-ניצול תקציר: משטח התקיפה של יישומים מודרניים התרחב באופן משמעותי עם אימוץ ארכיטקטורות המבוססות על microservices, APIs, containers ו-pipelines של אינטגרציה ואספקה רציפה. אף שכלי אבטחת יישומים כגון Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) ו-Software Composition Analysis (SCA) נמצאים בשימוש נרחב, מנגנונים אלה פועלים לעיתים קרובות באופן מבודד, ומייצרים נפחי התראות גדולים החסרים הקשר תפעולי. כתוצאה מכך, צוותי אבטחה נתקלים בקשיים בתעדוף חולשות על סמך ההסתברות הממשית לניצול. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לאבטחת יישומים מונחית איומים, המשלבת תוצאות של SAST, DAST ו-SCA עם טלמטריית ביצוע שנאספת בזמן ריצה באמצעות חיישני רשת וניטור מבוסס eBPF. הארכיטקטורה המוצעת עושה שימוש בקורלציה הסתברותית בהשראת מודלים בייסיאניים כדי לאמוד את הסיכון בר-הניצול של חולשות שזוהו, תוך שילוב ראיות אמפיריות מאירועים שנצפו ב-runtime והתאמת ראיות אלו ל-framework של MITRE ATT&CK. אנו מבצעים פורמליזציה מתמטית של המושג סיכון בר-ניצול ומדגימים כיצד ניתן לשלב מקורות ראיה מרובים כדי להפחית false positives ולשפר את התעדוף של פעולות תיקון. המימוש הניסויי בוצע בסביבת Kubernetes עם אינטגרציה ב-pipeline של CI/CD, תוך שימוש בכלים הנפוצים בתעשייה, כולל Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco ו-Suricata. הערכנו את הגישה על פני מערך של יישומים פגיעים וצפינו בשיפורים משמעותיים בדיוק הזיהוי של חולשות ברות-ניצול. התוצאות הניסיוניות מצביעות על עלייה ב-F1-score מ-0.67–0.63 בגישות מבודדות ל-0.85 במודל המשולב, לצד הפחתה של 37.4% ב-false positives וירידה בזמן הממוצע ל-triage של חולשות. אנו דנים במגבלות המודל ההסתברותי, בהשלכות התפעוליות על שיטות DevSecOps ובסיומות אפשריות, כולל אינטגרציה עם מדדי ניצול כגון EPSS וניתוח מסייע-למידת מכונה לתעדוף אדפטיבי. הארכיטקטורה המוצעת מדגימה כי קורלציה בין ניתוח סטטי, בדיקות דינמיות, ניתוח תלויות וטלמטריה תפעולית מהווה מסלול מבטיח לצמצום הפער בין זיהוי חולשות לבין זיהוי ניצול בפועל.
Read paper →AppSecכותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לתזמור אבטחת יישומים המבוססת על מידול איומים ועל ניתוח היברידי מתמשך
כותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לתזמור אבטחת יישומים המבוססת על מידול איומים ועל ניתוח היברידי מתמשך תקציר: אבטחת יישומים הפכה לרכיב מרכזי באבטחת הסייבר המודרנית בשל התלות הגוברת בארכיטקטורות מבוזרות, במיקרו-שירותים, ב-APIs ציבוריים ובשרשראות מורכבות של תלויות open-source. משטח התקיפה של מערכות עכשוויות גדל באופן יחסי לרמת הקישוריות בין רכיבים, ולכן גישות מסורתיות המנתחות פגיעויות באופן מבודד אינן מספקות עוד. בסביבות DevSecOps עכשוויות, כלים כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) מפיקים נפחים גדולים של התרעות, שלעתים קרובות מאופיינים בשיעור גבוה של False Positives ובתעדוף סיכונים בלתי מתאים. עבודה זו מציעה מסגרת פורמלית בשם EO-AppSec (Evidence-Oriented Application Security), המשלבת מקורות ראיות מרובים לאבטחה למודל הסתברותי מאוחד לצורך תעדוף פגיעויות. אנו מנסחים באופן פורמלי את הבעיה באמצעות הסקה בייסיאנית בשילוב מדדי CVSS מותאמים-להקשר ומידול תלות בין רכיבים המיוצגים באמצעות גרפים מכווני-קשתות. המסגרת מתאמת תוצאות של כלי SAST, DAST ו-SCA, לצד טלמטריה תפעולית, כדי לאמוד את ההסתברות לניצול פגיעויות ולחשב ציון סיכון מותנה. הארכיטקטורה המוצעת משלבת צינורות CI/CD ותשתיות cloud-native, כולל סביבות Kubernetes ופלטפורמות Observability מבוססות eBPF וסטאקים מודרניים של טלמטריה. הערכנו את המערכת בסביבה תעשייתית המכילה 47 יישומים וכ-3.2 מיליון שורות קוד, והשווינו אותה לגישות מסורתיות המבוססות על ניתוח מבודד. התוצאות מדגימות שיפור משמעותי בדיוק תעדוף הפגיעויות (0.89) והפחתה של 42.3% ב-False Positives, לצד ירידה בזמן התיקון הממוצע מ-14.2 ל-8.7 ימים. אנו דנים בהשלכות מעשיות לממשל אבטחת תוכנה ולשילוב עם מסגרות אבטחה עכשוויות, כולל NIST Secure Software Development Framework ושיטות מודרניות לאבטחה בצינורות DevSecOps. כמו כן אנו מנתחים מגבלות מתודולוגיות והשלכות עבור סביבות המשלבות רכיבי בינה מלאכותית ומודלים גדולים לשפה ביישומים מודרניים. התוצאות מעידות כי תזמור מבוסס-ראיות מציע נתיב ישים לצמצום רעש תפעולי ולשיפור האפקטיביות של תוכניות AppSec בהיקף תעשייתי.
Read paper →AppSecכותרת: ארכיטקטורה כמותית ותפעולית של Application Security המבוססת על שילוב SAST, DAST, SCA ו-Threat Intelligence במחזור DevSecOps
כותרת: ארכיטקטורה כמותית ותפעולית של Application Security המבוססת על שילוב SAST, DAST, SCA ו-Threat Intelligence במחזור DevSecOps תקציר: אבטחת יישומים (Application Security – AppSec) הפכה לרכיב מרכזי בניהול סיכונים בסביבות דיגיטליות מודרניות. האימוץ הגובר של ארכיטקטורות המבוססות על מיקרו-שירותים, APIs חשופות, קונטיינרים וצינורות אספקה מתמשכת הרחיב באופן משמעותי את משטח התקיפה של הארגונים. אף על פי שכלי ניתוח אבטחה רבים זמינים באופן נרחב, ארגונים רבים עדיין מתמודדים עם קשיים בתעדוף פגיעויות על סמך הסיכון האמיתי לניצול. כלי ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) מייצרים לעיתים קרובות נפחים גדולים של ממצאים, שרבים מהם בעלי השפעה תפעולית נמוכה או שיעור גבוה של false positives. עבודה זו מציעה ארכיטקטורה כמותית לתוכניות AppSec מוכוונות-סיכון, תוך שילוב תוצאות SAST, DAST ו-SCA עם מקורות חיצוניים של Threat Intelligence. אנו מציגים מודל פורמלי לתעדוף המבוסס על פונקציית סיכון המשלבת ציוני CVSS, ראיות ל-exploit ציבורי, הקשר החשיפה של היישום ומיפוי לטכניקות של מסגרת MITRE ATT&CK. הארכיטקטורה המוצעת משולבת בצינורות DevSecOps ומשתמשת במנגנוני קורלציה ונרמול של פגיעויות באמצעות פלטפורמות ניהול כגון DefectDojo. הערכנו אמפירית את הגישה על פני קבוצה של 42 יישומים אמיתיים שפותחו ב-Java, Python ו-Node.js. התוצאות מצביעות על הפחתה משמעותית בפגיעויות כפולות, ירידה בשיעור ה-false positives ושיפור מהותי בזמן הממוצע לתיקון (MTTR). נצפתה הפחתה של 63% ב-MTTR וירידה של 44.7% בנפח הממצאים לאחר קורלציה בין סורקים. כמו כן הדגמנו כי שילוב של Threat Intelligence — לרבות נוכחות של exploits ציבוריים ותצפית על פעילות יריבה — משפר את תעדוף התיקונים ומכוון משאבים לפגיעויות שניתנות לניצול בפועל. הממצאים מצביעים על כך שתוכניות AppSec מוכוונות-סיכון, כאשר הן משולבות במחזור DevSecOps, מספקות תועלות מדידות בהפחתת משטח התקיפה ובשיפור היעילות התפעולית של צוותי אבטחה.
Read paper →AppSecכותרת: ארכיטקטורה כמותית של אבטחת יישומים המבוססת על מידול פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps
כותרת: ארכיטקטורה כמותית של אבטחת יישומים המבוססת על מידול פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps תקציר: התלות הגוברת ביישומי web, ב-APIs ובארכיטקטורות מבוססות microservices הרחיבה באופן משמעותי את משטח התקיפה של מערכות מודרניות. דוחות תקריות עדכניים מצביעים על כך שניצול של יישומים החשופים לאינטרנט נותר בין וקטורי החדירה הנפוצים ביותר, ולעיתים קרובות הוא מנצל חולשות ידועות בספריות, כשלים באימות קלט או תצורות לקויות. אף שכלי אבטחת יישומים, כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA), נמצאים בשימוש נרחב ב-pipelines של DevSecOps, מנגנונים אלה פועלים בדרך כלל באופן מפוצל וללא מסגרת כמותית המאפשרת לאמוד את הסיכון השיורי של המערכת. עבודה זו מציעה ארכיטקטורת Application Security משולבת המבוססת על מידול פורמלי של איומים, על צבירת תוצאות ממספר מקורות ניתוח ועל שילוב טלמטריית ביצוע בזמן אמת. אנו מנסחים פורמלית את בעיית תעדוף החולשות כתהליך של מזעור סיכון שיורי משוקלל, שבו כל חולשה מוערכת על סמך מדדי הסתברות לניצול, השפעה פוטנציאלית והקשר תפעולי. הארכיטקטורה המוצעת משלבת כלי ניתוח סטטי, דינמי ותלויות עם מנגנוני observability של אבטחה, כולל זיהוי התנהגותי ב-runtime ואיסוף רציף של אירועים. הערכנו את הגישה ניסיונית בסביבה המורכבת מיישומים פגיעים במתכוון ומ-microservices אמיתיים הפועלים בתשתית containerized. התוצאות מצביעות על שיפור משמעותי ביכולת לזהות חולשות שניתן לנצל בפועל, עם עלייה בממוצע ה-recall ל-91.3% והפחתה של 63.4% בזמן הממוצע לזיהוי (MTTD) בהשוואה לגישות מבודדות. התקורה החישובית שנצפתה נותרה נמוכה מ-20%, ותואמת לדרישות התפעוליות של pipelines מודרניים של CI/CD. בנוסף, אנו דנים בהשלכות עבור תוכניות AppSec ארגוניות, ומדגישים את חשיבות האינטגרציה בין ניתוח קוד, ניטור תפעולי ומודיעין איומים. הארכיטקטורה המוצעת מדגימה כי השילוב בין מידול פורמלי ל-telemetry runtime מספק בסיס מוצק לתעדוף חולשות בהקשר הנכון ולהפחתה אפקטיבית של הסיכון השיורי במערכות תוכנה עכשוויות.
Read paper →