Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →185 papers
כותרת: ארכיטקטורה כמותית של Application Security המבוססת על מודלינג פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps
כותרת: ארכיטקטורה כמותית של Application Security המבוססת על מודלינג פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps תקציר: התלות הגוברת ביישומי ווב, APIs וארכיטקטורות מבוססות microservices הרחיבה באופן משמעותי את משטח התקיפה של מערכות מודרניות. דוחות אחרונים על אירועי אבטחה מצביעים על כך שניצול יישומים החשופים לאינטרנט נותר בין וקטורי החדירה הנפוצים ביותר, לעיתים קרובות תוך ניצול חולשות ידועות בספריות, כשלים באימות קלט או תצורות בלתי הולמות. אף שכלי אבטחת יישומים, כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA), נמצאים בשימוש נרחב ב-pipelines של DevSecOps, מנגנונים אלה פועלים בדרך כלל באופן מקוטע וללא מסגרת כמותית המאפשרת לאמוד את הסיכון השיורי של המערכת. עבודה זו מציעה ארכיטקטורה משולבת של Application Security המבוססת על מודלינג פורמלי של איומים, צבירת תוצאות ממקורות ניתוח מרובים ושילוב טלמטריית ביצוע בזמן אמת. אנו מנסחים פורמלית את בעיית תעדוף החולשות כתהליך של מזעור סיכון שיורי משוקלל, שבו כל חולשה מוערכת על בסיס מדדי הסתברות לניצול, השפעה פוטנציאלית והקשר תפעולי. הארכיטקטורה המוצעת משלבת כלי ניתוח סטטי, דינמי ותלויות עם מנגנוני observability של אבטחה, כולל זיהוי התנהגותי ב-runtime ואיסוף רציף של אירועים. הערכנו את הגישה באופן ניסויי בסביבה המורכבת מיישומים פגיעים במכוון ומ-microservices אמיתיים הפועלים בתשתית מבוססת container. התוצאות מצביעות על שיפור משמעותי ביכולת לזהות חולשות שניתן לנצל בפועל, עם עלייה ב-recall הממוצע ל-91.3% והפחתה של 63.4% בזמן הממוצע לזיהוי (MTTD) בהשוואה לגישות מבודדות. התקורה החישובית שנצפתה נותרה מתחת ל-20%, תואמת לדרישות התפעוליות של pipelines מודרניים של CI/CD. בנוסף, אנו דנים בהשלכות עבור תוכניות AppSec ארגוניות, ומדגישים את החשיבות של אינטגרציה בין ניתוח קוד, ניטור תפעולי ו-intelligence של איומים. הארכיטקטורה המוצעת מדגימה כי השילוב של מודלינג פורמלי עם טלמטריית runtime מספק בסיס מוצק לתעדוף חולשות בהקשרן ולהפחתה אפקטיבית של הסיכון השיורי במערכות תוכנה עכשוויות.
Read paper →DFIRכותרת: ארכיטקטורה פורמלית ותפעולית למענה לאירועי אבטחה דיגיטליים עם הבטחות קריפטוגרפיות ואימות בר-תוקף בתשתיות מודרניות
כותרת: ארכיטקטורה פורמלית ותפעולית למענה לאירועי אבטחה דיגיטליים עם הבטחות קריפטוגרפיות ואימות בר-תוקף בתשתיות מודרניות תקציר: המורכבות הגוברת של האקוסיסטמות הדיגיטליות העכשוויות, המועצמת על ידי אימוץ מסיבי של מחשוב ענן, ארכיטקטורות מיקרו-שירותים, בינה מלאכותית ותשתיות מבוזרות, מחייבת גישות מחמירות יותר ל-Digital Forensics and Incident Response (DFIR). מסגרות תגובה מסורתיות לאירועים מתמקדות בעיקר בהליכים תפעוליים ובממשל ארגוני, תוך השארת פערים חשובים בפורמליזציה מתמטית של שלמות הראיות וביכולת האימות של שרשראות המשמורת. בעבודה זו אנו מציעים ארכיטקטורה משולבת המשלבת יסודות של קריפטוגרפיה יישומית, שיטות פורמליות לאימות ומנגנונים תפעוליים לאיסוף ולמתאם של טלמטריה לצורך מענה לאירועים בסביבות ארגוניות, בתשתיות קריטיות ובפלטפורמות ענן. אנו פורמליים מודל איום ייעודי ל-DFIR המבוסס על מחלקות של יכולות יריב, ומגדירים משחקי אבטחה הלוכדים תכונות של שלמות, אותנטיות ואי-שינוי של שרשרת הראיות. אנו מציגים מנגנון שרשור קריפטוגרפי המבוסס על פונקציות hash העמידות להתנגשויות ועל עצי Merkle, בשילוב עם חתימות דיגיטליות מודרניות ואחסון בלתי ניתן לשינוי. בנוסף, אנו מציגים אלגוריתם למתאם פורנזי המדומה כגרף מכוון חסר מעגלים, עם ניתוח סיבוכיות ותכונות תקינות הניתנות להוכחה. הארכיטקטורה מתוכננת להשתלבות עם כלים הנפוצים בפעולות אבטחה עכשוויות, כולל YARA, Sigma, Suricata, צינורות טלמטריה ב-SIEM/SOAR ומנגנוני תצפית מבוססי eBPF בסביבות Linux. ביצענו הערכה ניסיונית איכותנית המשווה בין הגישה המוצעת לזרימות עבודה מסורתיות של מענה לאירועים, תוך בחינת שיהוי בליעה, עומס חישובי ועמידות למניפולציה יריבה. שני מקרי בוחן — אחד בסביבה רפואית שעברה דיגיטציה ואחר ברשת תעשייתית ICS/SCADA — מדגימים את ישימות המודל בתחומים המאופיינים באילוצים רגולטוריים ותפעוליים חזקים. אנו מסיקים כי שילוב שיטתי של הבטחות קריפטוגרפיות ומפרטים פורמליים בפרקטיקת DFIR מגדיל באופן משמעותי את אמינות הראיות ואת יכולת הביקורת של החקירות, במחיר של עומס חישובי מתון ומורכבות תפעולית גבוהה יותר. העבודה תורמת להתכנסות בין קריפטוגרפיה יישומית, אימות פורמלי והנדסת אבטחה תפעולית, תוך התאמה לצורכי אבטחת הסייבר העכשווית בשנת 2024.
Read paper →DFIRכותרת: ארכיטקטורה מונחית-ראיות ל-DFIR בעל נאמנות גבוהה: קורלציה רב-שכבתית, פורמליזציה מתמטית והערכה אמפירית בסביבות ארגוניות
כותרת: ארכיטקטורה מונחית-ראיות ל-DFIR בעל נאמנות גבוהה: קורלציה רב-שכבתית, פורמליזציה מתמטית והערכה אמפירית בסביבות ארגוניות תקציר: התחכום הגובר של התקפות סייבר ארגוניות מחייב מתודולוגיות של Digital Forensics and Incident Response (DFIR) המסוגלות לשחזר שרשראות תקיפה מורכבות מתוך מקורות ראיות הטרוגניים מרובים. סביבות ארגוניות מודרניות מייצרות כמויות גדולות של טלמטריה המגיעות מ-endpoints, רשתות, שירותי ענן ופלטפורמות אבטחה, כולל EDR, SIEM וכלי observability. עם זאת, האינטגרציה התפעולית והקורלציה הזמנית המחמירה של ראיות אלה נותרות אתגרים משמעותיים. עבודה זו מציעה ארכיטקטורה מונחית-ראיות לחקירה פורנזית דיגיטלית בעלת נאמנות גבוהה, המבוססת על מידול פורמלי באמצעות גרפי זמן ניתנים לאימות. המודל מציג מבנה מתמטי המייצג ארטיפקטים דיגיטליים, יחסים סיבתיים ותוויות של טכניקות יריביות לפי framework MITRE ATT&CK, תוך שימור בו-זמני של תכונות שלמות קריפטוגרפית ועקביות זמנית. הארכיטקטורה התפעולית משלבת כלים נפוצים בתעשייה, כולל Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 ו-YARA, וכן מנגנוני orchestration לתגובה לאירועים. אנו מציעים שני אלגוריתמים עיקריים: EviGraph-Builder, האחראי לבניית הגרף הפורנזי מתוך אירועים מנורמלים, ו-CausalPath-Reconstruct, המיועד לשחזור הסתברותי של שרשראות תקיפה רב-שלביות. ההערכה הניסויית בוצעה עם 49 תרחישים הכוללים אירועים אמיתיים וסביבות מבוקרות המבוססות על Atomic Red Team. התוצאות מדגימות הפחתה ממוצעת של יותר מ-50% בזמן החקירה ועלייה משמעותית בשיעור הקורלציה הנכונה של טכניקות יריביות בהשוואה לתהליכים ידניים מסורתיים. בנוסף, אנו דנים בהשלכות תפעוליות עבור מרכזי Operations Security (SOC), בדרישות לסנכרון זמני, בשימור שרשרת המשמורת ובהטמעה עם פלטפורמות אבטחה מודרניות בענן ובסביבות היברידיות. התוצאות מצביעות על כך שפורמליזציה מתמטית בשילוב עם אוטומציה של קורלציית ראיות מהווה התקדמות משמעותית עבור DFIR ארגוני, ותורמת לחקירות מהירות יותר, ניתנות לשחזור וניתנות לאימות.
Read paper →DFIRכותרת: ארכיטקטורה מבוססת-פורמלית ל-DFIR מבוסס גרפים זמניים עם ערבויות קריפטוגרפיות לשלמות ושחזור הסתברותי של שרשרת התקיפה
כותרת: ארכיטקטורה מבוססת-פורמלית ל-DFIR מבוסס גרפים זמניים עם ערבויות קריפטוגרפיות לשלמות ושחזור הסתברותי של שרשרת התקיפה תקציר: העלייה במורכבותן של מערכות הקמפיינים הסייבריות המודרניות מציבה אתגרים משמעותיים בפני שיטות Digital Forensics and Incident Response (DFIR). סביבות ארגוניות עכשוויות מייצרות כמויות אדירות של טלמטריה במספר שכבות — נקודות קצה, רשתות, יישומים ותשתיות ענן — מה שהופך שחזור ידני של תקריות לכמעט בלתי אפשרי. אף על פי שמערכות ניטור ופלטפורמות SIEM מספקות מנגנוני קורלציה של אירועים, גישות אלו לעיתים קרובות חסרות בסיס פורמלי לשימור יחסים סיבתיים ועקביות זמנית בין ראיות דיגיטליות. בעבודה זו, אנו מציגים ארכיטקטורה פורמלית ל-DFIR המבוססת על גרפים זמניים המועשרים בהסקה הסתברותית ובמנגנונים קריפטוגרפיים לשלמות הראיות. אנו מציעים מודל מתמטי המייצג אירועים פורנזיים כקודקודים מטיפוס מסוים בגרף מכוון ועקבי-זמנית, המאפשר ללכוד תלות סיבתית בין תהליכים, קבצים, חיבורי רשת וזהויות. על גבי גרף זה, אנו מציגים את האלגוריתם Attack Probabilistic Reconstruction (APR), המשתמש בהסקה בייסיאנית המותנית בדפוסים טקטיים וטכניים המתוארים במסגרת MITRE ATT&CK כדי לאמוד את הרצף הסביר ביותר של פעולות התוקף. בנוסף, מימשנו מנגנון קריפטוגרפי של שרשור גיבובים המבטיח את השלמות ואת יכולת האימות של הראיות לאורך צינור החקירה. הערכנו את הארכיטקטורה המוצעת בניסויים באמצעות שלושה מערכי נתונים מייצגים: מערך הנתונים DARPA Transparent Computing, יומנים ארגוניים אמיתיים בקנה מידה גדול ותרחישים סינתטיים של ניצול Log4Shell. התוצאות מדגימות שיפורים מהותיים בדיוק, ברגישות ובזמן שחזור שרשרת התקיפה בהשוואה לגישות המבוססות אך ורק על קורלציה היוריסטית או על זיהוי סטטיסטי מבודד. מצאנו ירידה ממוצעת של 37.4% בזמן השחזור החקירתי ועלייה משמעותית בדיוק ההסקות של שרשרת התקיפה. כמו כן, אנו דנים בהשלכות מעשיות לשילוב עם פלטפורמות SIEM מודרניות, וכן במגבלות הקשורות לאיכות הלוגים ולעלויות האחסון. אנו מסיקים כי השילוב של מידול פורמלי המבוסס על גרפים זמניים, הסקה הסתברותית וערבויות קריפטוגרפיות מהווה בסיס מבטיח למערכות DFIR ניתנות להרחבה וניתנות לאימות בסביבות ארגוניות עכשוויות.
Read paper →DFIRכותרת: ארכיטקטורה מונעת-ראיות עבור DFIR מודרני: קורלציה רב-שכבתית, פורמליזציה מתמטית של ציר זמן ואורקסטרציה אוטומטית בסביבות היברידיות
כותרת: ארכיטקטורה מונעת-ראיות עבור DFIR מודרני: קורלציה רב-שכבתית, פורמליזציה מתמטית של ציר זמן ואורקסטרציה אוטומטית בסביבות היברידיות תקציר: המורכבות הגוברת של סביבות המחשוב העכשוויות — המאופיינות בתשתיות היברידיות, workloads בענן, קונטיינרים ומערכות מבוזרות — מציבה אתגרים חדשים בתחום Digital Forensics and Incident Response (DFIR). שיטות חקירה מסורתיות, המבוססות בעיקר על איסוף ידני של ארטיפקטים וקורלציה אד הוק של logs, מציגות מגבלות נוכח קנה המידה, התנודתיות וההטרוגניות של הנתונים הנוצרים על ידי מערכות מודרניות. נוסף על כך, קמפיינים של threats persistentes avançadas (APTs), פעולות ransomware-as-a-service (RaaS) וניצול אוטומטי של פגיעויות קריטיות מצמצמים באופן דרסטי את פרק הזמן בין הפשרה הראשונית לבין lateral movement. בהקשר זה, חיוני לפתח גישות פורמליות וסקיילביליות המסוגלות לשלב מקורות טלמטריה מרובים ולשחזר שרשראות תקיפה בדיוק זמני. בעבודה זו אנו מציעים ארכיטקטורה מונעת-ראיות עבור DFIR מודרני המבוססת על שלושה עמודי תווך עיקריים: (i) פורמליזציה מתמטית של שחזור timelines forenses באמצעות גרפים מכוונים חסרי מעגלים, (ii) pipeline אוטומטי של ingestão, normalização ו-correlação של אירועים המגיעים משכבות הרשת, ה-endpoint, הזהות והענן, ו-(iii) שילוב תפעולי עם פלטפורמות orchestration ואוטומציה של תגובה לאירועים. המודל המוצע מייצג אירועי אבטחה כישויות מובנות ומבסס יחסי סיבתיות הסתברותיים בין אירועים מתואמים. המימוש הניסויי עושה שימוש ב-stack טכנולוגי הכולל Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 ופלטפורמת SOAR המבוססת על TheHive ו-Cortex. הערכנו את הארכיטקטורה באמצעות מערך של 37 תרחישים המיושרים ל-framework MITRE ATT&CK, בסך כולל של 1.2 TB נתונים וכ-86 מיליון אירועים. התוצאות מדגימות הפחתה משמעותית ב-MTTI, ירידה ב-false positives ודיוק גבוה יותר בשחזור שרשראות תקיפה בהשוואה לגישות מסורתיות המבוססות על SIEM בלבד. בנוסף, אנו דנים בהשלכות מעשיות עבור centers of security operations (SOC), במגבלות המודל ובאפשרויות הרחבה הכוללות ניתוח מבוסס גרפים דינמיים ואינטגרציה עם טכניקות machine learning לצורך תעדוף חקירתי.
Read paper →Detectionכותרת: ארכיטקטורה היברידית רב-שכבתית לזיהוי המבוססת על טלמטריית Endpoint, רשת וזיכרון עם קורלציה זמנית הסתברותית מונחית MITRE ATT&CK
כותרת: ארכיטקטורה היברידית רב-שכבתית לזיהוי המבוססת על טלמטריית Endpoint, רשת וזיכרון עם קורלציה זמנית הסתברותית מונחית MITRE ATT&CK תקציר: המורכבות הגוברת של מסעות חדירה הנצפים בסביבות ארגוניות מודרניות מאתגרת ארכיטקטורות זיהוי מסורתיות המבוססות על חיישנים מבודדים. מתקפות עכשוויות מנצלות לעיתים קרובות טכניקות living-off-the-land (LOLBins), מסגרות post-exploitation זמינות נרחבות וערוצי פיקוד-ובקרה מוסווים, וכתוצאה מכך שרשראות אירועים מפוזרות בין רשת, endpoint וזיכרון נדיף. אף שכלים כגון IDS/IPS, EDR ופלטפורמות SIEM מאומצים באופן נרחב, האינטגרציה האנליטית שלהם נותרת מוגבלת בשל מודלים של קורלציה סינטקטית בעיקרם, שאינם מסוגלים ללכוד תלויות זמניות וסמנטיות בין אירועים הטרוגניים. מסגרת MITRE ATT&CK התבססה כאונטולוגיה תפעולית לתיאור Tactics, Techniques and Procedures (TTPs), אך השימוש בה במערכות זיהוי מוגבל לעיתים קרובות למיפויים סטטיים או להמחשות תיאוריות. בעבודה זו אנו מציעים ארכיטקטורת זיהוי היברידית רב-שכבתית המשלבת טלמטריית רשת, endpoint וזיכרון עם מנגנון פורמלי של קורלציה זמנית הסתברותית המותאם סמנטית למודל ATT&CK. הארכיטקטורה משלבת חיישנים הנפוצים בשימוש — כולל Suricata, Sysmon, Volatility 3 וכללי Sigma/YARA — עם שכבת קליטה המבוססת על Kafka ואינדוקס מובנה לפי Elastic Common Schema. אנו מנסחים את תהליך הזיהוי כבעיית היסק תחת אי-ודאות, המודל באמצעות גרפים זמניים משוקללים שבהם אירועים מייצגים קודקודים מוערים בטכניקות ATT&CK וקשתות מייצגות מעברים תואמים סמנטית בתוך חלון זמן מוגדר. אנו מציגים פונקציית סיכון מותנית המשלבת הסתברויות הקשריות של טכניקות בודדות ומשקלי מעבר בין TTPs, ומאפשרת לאמוד את הסבירות של שרשראות תקיפה מלאות. אנו מראים אנליטית כי בנייה אינקרמנטלית של גרפים אלה יכולה להתבצע בסיבוכיות $O(n \log n)$ לכל חלון זמן באמצעות מבנים מאונדקסים לפי זמן. ההערכה הניסויית בוצעה באמצעות מערכי נתונים הנסקרים בהרחבה בספרות (CIC‑IDS2017 ו-UNSW‑NB15) ובתרחישי ביצוע מבוקר של נוזקות במעבדה מבודדת. התוצאות מצביעות על שיפורים עקביים במדדי F1-score יחסיים ועל הפחתה איכותית ברעש תפעולי בהשוואה לחיישנים מבודדים. מקרי בוחן נוספים בסביבות ארגוניות מדומות ובתשתית רפואית מדגימים הפחתה בזמן הזיהוי של שרשראות תקיפה הכוללות credential dumping ותנועה לטרלית. העבודה תורמת ניסוח מתמטי של קורלציה זמנית מונחית ATT&CK, ארכיטקטורה ניתנת לשחזור המבוססת על כלים הנמצאים בשימוש נרחב, וניתוח ביקורתי של המגבלות הסטטיסטיות הקשורות לזיהוי חדירה בסביבות בעלות שכיחות נמוכה של תקיפות.
Read paper →Detectionכותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה סמנטית לזיהוי מתקדם של איומים בסביבות ארגוניות
כותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה סמנטית לזיהוי מתקדם של איומים בסביבות ארגוניות תקציר: התחכום ההולך וגובר של מתקפות סייבר, יחד עם התרחבות של תשתיות היברידיות ורב-ענניות, מציב אתגרים מהותיים בפני פעולות אבטחה מודרניות (Security Operations Centers – SOCs). טכניקות תקיפה עכשוויות מנצלות פגיעויות zero-day, שימוש לרעה בזהויות לגיטימיות, living-off-the-land binaries (LOLBins) ושרשראות מורכבות של תנועה רוחבית, שלעתים קרובות מפוזרות בין endpoints, רשתות ארגוניות ושירותי ענן. בהקשר זה, מנגנונים מסורתיים המבוססים אך ורק על חתימות או על זיהוי מבודד של אנומליות מציגים מגבלות משמעותיות, במיוחד בכל הנוגע ליכולת ההרחבה התפעולית ולהפחתת false positives. מאמר זה מציג ארכיטקטורת זיהוי היברידית המבוססת על טלמטריה רב-שכבתית ועל קורלציה סמנטית של אירועים המונחית על ידי גרפים של Tactics, Techniques and Procedures (TTPs) הנגזרים מה-framework של MITRE ATT&CK. ההצעה משלבת חיישני רשת, טלמטריה של endpoint, אירועי זהות ורשומות המתקבלות מסביבות cloud-native, תוך שילוב רכיבים עכשוויים כגון instrumentation מבוססת eBPF ואינטגרציה עם פלטפורמות CNAPP (Cloud-Native Application Protection Platform). אנו מנסחים פורמלית את תהליך הזיהוי כבעיה של הסקה על גבי גרפים דינמיים של אירועים, שבה רצפים של פעילויות נצפות ממופים לטכניקות ATT&CK ומקורלים סמנטית כדי לזהות שרשראות תקיפה. המודל משלב שלושה פרדיגמות משלימות: זיהוי מבוסס חתימות (YARA ו-Suricata), כללים התנהגותיים מובנים (Sigma) וניתוח סטטיסטי של דפוסי התנהגות. הערכנו ניסויית את הארכיטקטורה באמצעות מערך נתונים המורכב מ-benchmarks אקדמיים נפוצים (UNSW-NB15 ו-CIC-IDS2017) ומקמפיינים מבוקרים של red teaming שנערכו בסביבה ארגונית מדומה. התוצאות מצביעות על שיפור משמעותי במדדי ביצועים: precision של 0.89, recall של 0.83 ו-F1-score של 0.86, בנוסף לירידה של 38.2% בשיעור ה-false positives בהשוואה לגישות מבודדות. נצפתה גם ירידה בזמן הזיהוי הממוצע (MTTD) מ-6.1 ל-4.2 דקות. הממצאים מדגימים כי קורלציה סמנטית מבוססת גרפי TTPs, בשילוב עם טלמטריה רב-שכבתית, מהווה גישה מבטיחה לשיפור היעילות התפעולית של SOCs עכשוויים בתרחישים ארגוניים מורכבים.
Read paper →Detectionכותרת: גילוי אדפטיבי רב-מפלסי של איומי סייבר המבוסס על מיזוג בייסיאני של טלמטריה וגרפי תקיפה זמניים
כותרת: גילוי אדפטיבי רב-מפלסי של איומי סייבר המבוסס על מיזוג בייסיאני של טלמטריה וגרפי תקיפה זמניים תקציר: המורכבות הגוברת של התשתיות הדיגיטליות העכשוויות, המתאפיינות בסביבות ענן היברידיות, ארכיטקטורות מבוזרות וזרמי טלמטריה תפעולית מסיביים, מציבה אתגרים מהותיים לזיהוי מוקדם של איומי סייבר. מערכות מסורתיות לניהול אירועי ואינפורמציית אבטחה (SIEM) המבוססות על חוקים דטרמיניסטיים מציגות מגבלות מבניות בזיהוי קמפיינים רב-שלביים, בייחוד כאשר תוקפים עושים שימוש באישורים לגיטימיים, בתנועות צדדיות דיסקרטיות ובטכניקות התחמקות. במקביל, גישות המבוססות באופן בלעדי על למידת מכונה סובלות לעיתים קרובות מהתדרדרות תחת שינויי התפלגות וחסרות יכולת פרשנות תפעולית. בעבודה זו אנו מציגים ארכיטקטורת גילוי אדפטיבית רב-מפלסית המשלבת מיזוג בייסיאני אינקרמנטלי של ראיות עם מידול מבני המבוסס על גרפי תקיפה זמניים. ההצעה מאפשרת לקשור טלמטריה הטרוגנית המגיעה מ-endpoints, רשתות, זהויות וסביבות ענן, תוך שמירה על תלות זמנית מפורשת בין אירועים והתאמה סמנטית לטקסונומיית MITRE ATT&CK. אנו מנסחים את הבעיה כהסקה הסתברותית על שרשראות תקיפה בגרף דינמי $G_t=(V_t,E_t,w_t)$, שבו המשקלים מייצגים הסתברויות מותנות של התנהגות זדונית. פיתחנו מנגנון עדכון בייסיאני אינקרמנטלי המסוגל לעבד זרמים העולים על $10^6$ אירועים בדקה, תוך שמירה על התכנסות הסתברותית ועל השהיה תפעולית נמוכה. המימוש בוצע על גבי ארכיטקטורת עיבוד זרימה המבוססת על Apache Kafka ו-Apache Flink, עם התמדה של גרפים ב-Neo4j וניהול מצב ב-RocksDB. הערכות ניסוייות בוצעו באמצעות מערכי הנתונים UNSW-NB15, CIC-IDS2017 ו-corpus ארגוני מנותק-זהות המכיל כ-400 מיליון אירועים. בהשוואה לגישות מבוססות חוקים, Random Forest ורשתות LSTM, השיטה המוצעת השיגה דיוק ממוצע של 0.91, recall של 0.88 ו-F1-score של 0.89, וכן הפחיתה את שיעור ה-false positives ב-42% ביחס למערכות SIEM קונבנציונליות. התוצאות מדגימות כי מיזוג הסתברותי של טלמטריה, בשילוב עם ייצוג מבני של שרשראות תקיפה, מספק שיפורים מהותיים בחוסן, בפרשנות ובהרחבה. כמו כן אנו דנים בהשלכות עבור ארכיטקטורות אבטחה מודרניות בענן, שילוב עם פלטפורמות CNAPP, ומגבלות הקשורות למידול מוקדם של השערות יריב.
Read paper →Detectionכותרת: ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים המבוססת על קורלציה סמנטית, טלמטריה מרובת מקורות ומודלים סטטיסטיים אדפטיביים
כותרת: ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים המבוססת על קורלציה סמנטית, טלמטריה מרובת מקורות ומודלים סטטיסטיים אדפטיביים תקציר: גילוי יעיל של איומים מתקדמים נותר אחד האתגרים התפעוליים המרכזיים באבטחת סייבר עכשווית. סביבות ארגוניות מודרניות מאופיינות בתשתיות היברידיות המשלבות משאבים on-premise, עננים ציבוריים ו-workloads מכולתים, היוצרות נפחים עצומים של טלמטריה הטרוגנית המגיעה מ-endpoints, רשתות ופלטפורמות זהות. בהקשר זה, מנגנוני גילוי מסורתיים המבוססים באופן בלעדי על חתימות מדגימים מגבלות משמעותיות נוכח התקפות רב-שלביות, malware fileless וטכניקות living-off-the-land. עבודה זו מציעה ארכיטקטורה היברידית רב-שכבתית לגילוי פרואקטיבי של איומים מתקדמים, המשלבת קורלציה סמנטית המבוססת על אונטולוגיית MITRE ATT&CK, ניתוח זמני של אירועים ומודלים סטטיסטיים אדפטיביים לזיהוי התנהגויות אנומליות. אנו מנסחים את בעיית הגילוי כהסקה הסתברותית של שרשראות תקיפה בזרמי אירועים הטרוגניים, תוך התחשבות במגבלות תפעוליות של שיהוי ושיעורי false positives מקובלים. הארכיטקטורה המוצעת מארגנת את תהליך הגילוי בשלוש שכבות עיקריות: (i) איסוף ונירמול של טלמטריה מרובת מקורות המגיעה מחיישני רשת, agents של endpoint ויומני זהות; (ii) קורלציה סמנטית המבוססת על גרפים של טכניקות ATT&CK, המסוגלת לזהות רצפים סבירים של פעילות יריבית; ו-(iii) מידול סטטיסטי אדפטיבי המשתמש באלגוריתמים לזיהוי אנומליות, כגון Isolation Forest, כדי לזהות סטיות התנהגותיות שלא נצפו בעבר. מימשנו אבטיפוס תפעולי באמצעות Elastic Stack, Suricata, Sysmon ו-Wazuh, המשולבים עם מקורות threat intelligence דרך MISP. ההערכה הניסויית בוצעה בסביבה מבוקרת הכוללת מספר מכונות וירטואליות Windows ו-Linux, שבהן הופעלו תרחישי תקיפה ריאליסטיים תוך שימוש בכלים המתועדים בהרחבה בספרות של security offensive, כולל Metasploit, Cobalt Strike ו-Mimikatz. התוצאות מדגימות שיפור מהותי בזמן הגילוי הממוצע (MTTD), וכן כיסוי רחב יותר של טכניקות ATT&CK בהשוואה לגישות המבוססות באופן בלעדי על IDS של רשת. אנו מציינים הפחתה משוערת של 37% ב-MTTD ועלייה של 21% בכיסוי הטכניקות שזוהו. התוצאות מצביעות על כך שארכיטקטורות היברידיות המשלבות קורלציה סמנטית, ניתוח סטטיסטי וטלמטריה מבוזרת מהוות גישה מבטיחה עבור פעולות מודרניות של Security Operations Center (SOC), במיוחד בסביבות היברידיות ו-cloud-native.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית ותפעולית לניהול ולזיהוי דליפת סודות בסביבות Cloud-Native: גישה משולבת המבוססת על טלמטריה, ניתוח סטטי ו-Threat Hunting
כותרת: ארכיטקטורה פורמלית ותפעולית לניהול ולזיהוי דליפת סודות בסביבות Cloud-Native: גישה משולבת המבוססת על טלמטריה, ניתוח סטטי ו-Threat Hunting תקציר: חשיפה בלתי הולמת של סודות — כולל מפתחות API, אישורי גישה, אסימוני OAuth, תעודות פרטיות וסודות קריפטוגרפיים — מהווה אחת הסיבות המרכזיות לפשרות אבטחה בסביבות cloud-native ו-DevSecOps. אירועים עדכניים הכוללים דליפת מפתחות AWS, אסימוני GitHub ואישורים hardcoded מדגימים כי משטח התקיפה הקשור לניהול לקוי של סודות גדל באופן יחסי לאימוץ של מיקרו-שירותים, CI/CD ותשתית כקוד. עבודה זו מציעה ארכיטקטורה משולבת למניעה, זיהוי ותגובה לדליפות סודות, תוך שילוב ניתוח קוד סטטי, ניטור runtime, בדיקת תעבורה, קורלציה עם MITRE ATT&CK ומודל סיכון פורמלי המבוסס על אנטרופיה וחשיפה זמנית. המתודולוגיה שלנו כוללת (i) מודל מתמטי לכימות הסיכון של סוד חשוף, (ii) אלגוריתמי זיהוי המבוססים על היוריסטיקות ולמידה מונחית קלה, ו-(iii) אינטגרציה תפעולית עם כלים כגון GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma ו-SIEM. מימשנו אבטיפוס פונקציונלי שנבדק ב-12 מאגרי open source בעלי היסטוריה ידועה של דליפות ובסביבת Kubernetes עם 48 מיקרו-שירותים. התוצאות מצביעות על הפחתה של 87% בזמן הזיהוי הממוצע (MTTD), ירידה של 72% בחשיפה הזמנית הממוצעת של אישורים ושיעור חיוביים שגויים הנמוך מ-4.8%. עוד הראינו קורלציה ישירה בין דליפת סודות לבין הטכניקות T1552 (Unsecured Credentials) ו-T1078 (Valid Accounts) של MITRE ATT&CK. המחקר מספק תרומות מעשיות לצוותי אבטחה התקפיים והגנתיים, כולל נהלים תפעוליים, מדדים אובייקטיביים והמלצות טכניות למיתון שיטתי של סיכון. המחקר מקים framework ניתן לשחזור עבור ארגונים המבקשים להבשיל את תוכנית Secret Management שלהם מנקודת מבט טכנית ותפעולית.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות Multi-Cloud ו-DevSecOps
כותרת: ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות Multi-Cloud ו-DevSecOps תקציר: חשיפה בלתי הולמת של “סודות” — מפתחות קריפטוגרפיים, אסימוני API, אישורים, תעודות, secrets של Kubernetes וחומר רגיש המוטמע בקוד — מהווה כיום אחת הסיבות העיקריות לפגיעה ראשונית באירועי אבטחה. דוחות עדכניים מצביעים על כך שיותר מ-80% מהפריצות מערבות שימוש לרעה באישורים (VERIZON, 2023), בעוד שמחקרים אמפיריים מראים מיליוני סודות החשופים לציבור במאגרי Git (MELARA et al., 2019). בעבודה זו אנו מציעים ארכיטקטורה פורמלית ותפעולית לניהול, גילוי ותגובה לדליפת סודות בסביבות multi-cloud ובצינורות DevSecOps. הגישה שלנו משלבת מידול פורמלי של הבעיה כמערכת דינמית של חשיפת נכסים סודיים, אלגוריתמי גילוי היברידיים (regex מבניים, ניתוח אנטרופיה, machine learning מונחה והיוריסטיקות הקשריות), אינטגרציה עם כלים כגון GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata ו-Sigma, וכן מנגנונים אוטומטיים של רוטציה ושלילת תוקף. אנו מעריכים באופן ניסויי את הפתרון על מערך של 1.2 מיליון commits ציבוריים ופרטיים, עם 87,341 סודות אמיתיים ו-120,000 דגימות סינתטיות, והשגנו דיוק של 97.3%, recall של 94.8% והפחתה של 63% בזמן הממוצע לבלימה (MTTC) בהשוואה לתהליכים ידניים. כמו כן, אנו מראים כי אינטגרציה עם מדיניות מבוססת OPA ובקרות Just-in-Time מפחיתה את משטח ההתקפה הקשור ל-TTPs של MITRE ATT&CK כגון T1552 (Unsecured Credentials) ו-T1078 (Valid Accounts). המחקר כולל מקרה אמיתי של תגובה לאירוע הכולל הוצאת מפתח AWS IAM החוצה, תוך פירוט שרשרת ההתקפה, האינדיקטורים הפורנזיים ותהליך ההכחדה. אנו מסיקים כי ניהול יעיל של סודות דורש גישה מערכתית המשלבת פורמליזציה מתמטית, הנדסה מאובטחת, ניטור רציף ואוטומציה של תגובה, ומספקת הנחיות מעשיות לצוותי אבטחה התקפית והגנתית.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות באקוסיסטמות נייטיב-ענן
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות באקוסיסטמות נייטיב-ענן תקציר: סודות דיגיטליים — לרבות מפתחות קריפטוגרפיים, אסימוני API, אישורי שירות ותעודות — מהווים את בסיס האמון במערכות מבוזרות מודרניות. דליפות סודות נמנות בעקביות עם הגורמים המרכזיים לאירועי אבטחה, עם השפעות כספיות ותפעוליות משמעותיות. מאמר זה מציג ארכיטקטורה פורמלית וניתנת להרחבה לניהול, זיהוי וסבב אוטומטי של סודות בסביבות נייטיב-ענן, תוך שילוב ניתוח סטטי, ניטור התנהגותי ומנגנונים קריפטוגרפיים של גזירה ו- compartmentalization. המתודולוגיה שלנו משלבת (i) מודל פורמלי של מחזור החיים של סודות המבוסס על אוטומטים זמניים, (ii) אלגוריתם היברידי לזיהוי חשיפה המשלב אנטרופיה אדפטיבית ולמידה מונחית, ו-(iii) פרוטוקול סבב העומד בהבטחות של זמינות ואטומיות. מימשנו אבטיפוס תפקודי ב-Kubernetes עם אינטגרציה ל-HashiCorp Vault, SPIFFE/SPIRE ו-GitHub Advanced Security. הערכנו את הפתרון על גבי מערך של 12.4 מיליון פריטי קוד ו-3.1 מיליארד אירועי ביקורת, תוך השוואה לכלי שוק (TruffleHog, GitLeaks, AWS Secrets Manager). התוצאות מדגימות הפחתה של 47.3% בזמן הממוצע לביטול/שלילה (MTTR-S), ירידה של 62.8% בחשיפה שיורית של אישורים ושיעור תוצאות חיוביות-שגויות של 3.9%, נמוך מהגישות המבוססות אך ורק על regex (12.7%). העומס התפעולי נשמר מתחת ל-4.6% CPU בעומסי ייצור. ממצאינו מצביעים על כך שהפורמליזציה של מחזור החיים של סודות והאוטומציה, המבוססת קריפטוגרפית, של סבבם מהוות התקדמות משמעותית לחוסן של תשתיות קריטיות. התרומה המרכזית טמונה באיחוד של מודלים פורמליים, הנדסת מערכות והערכה אמפירית בהיקף גדול, ומספקת מסגרת קפדנית להפחתת סיכונים מערכתיים הקשורים לסודות בסביבות מבוזרות.
Read paper →Secretsכותרת: הנדסת תפעול של ניהול סודות בסביבות נייטיב-ענן: מידול פורמלי, זיהוי אוטומטי ותגובה לפשרות
כותרת: הנדסת תפעול של ניהול סודות בסביבות נייטיב-ענן: מידול פורמלי, זיהוי אוטומטי ותגובה לפשרות תקציר: חשיפת סודות — מפתחות קריפטוגרפיים, אסימוני API, אישורי שירות, תעודות וסודות יישומים — הפכה לאחד מווקטורי הפשרה הנפוצים ביותר בסביבות ארגוניות מודרניות, במיוחד בארכיטקטורות cloud-native ו-DevSecOps. תקריות אחרונות מראות כי דליפות סודות אחראיות לשרשראות חדירה שלמות הכוללות תנועה צידית, חילוץ נתונים ו-ransomware. עבודה זו בוחנת את בעיית הניהול, הזיהוי והתגובה לדליפות סודות מנקודת מבט תפעולית, ומציעה ארכיטקטורה משולבת המשלבת מידול פורמלי של נכסים רגישים, סריקה אוטומטית ב-pipelines CI/CD, זיהוי התנהגותי בזמן ריצה ורוטציה קריפטוגרפית אוטומטית. המתודולוגיה שלנו מבוססת על שלושה עמודי תווך: (i) מידול פורמלי של מחזור החיים של סודות כמערכת דינמית S = (K, U, P, T), כאשר K מייצג את קבוצת הסודות, U את המשתמשים/התהליכים המורשים, P מדיניות ו-T מעברי מצב; (ii) מנגנון זיהוי היברידי המשלב כללים סטטיים (regex, אנטרופיית Shannon) ומודלים מונחים-ממונים לסיווג ארטיפקטים; (iii) מסגרת תגובה אוטומטית המשלבת HashiCorp Vault, Kubernetes, Suricata ו-Sigma לצורך ביטול הרשאות וניטור מתמשך. הערכנו את הפתרון בסביבה מבוקרת עם 1,200 מאגרי Git ו-3.8 TB של לוגים תפעוליים, תוך השוואתו לכלים כגון TruffleHog, GitLeaks ו-detect-secrets. התוצאות מראות הפחתה של 82% בזמן הממוצע לזיהוי (MTTD) ו-67% בזמן הממוצע לתיקון (MTTR) ביחס ל-baseline הידני. שיעור ה-false-positive הופחת מ-14.2% ל-4.8% באמצעות המודל ההיברידי המוצע. בנוסף, הרוטציה האוטומטית צמצמה את חלון החשיפה הממוצע מ-19.4 ימים ל-3.1 שעות. אנו מסיקים כי הגישה המשולבת והפורמלית מאפשרת להעלות משמעותית את הבשלות התפעולית של ניהול סודות, ומספקת יתרונות מדידים לצוותי אבטחה התקפיים והגנתיים.
Read paper →Phishingכותרת: ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים וקורלציה רב-שכבתית
כותרת: ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים וקורלציה רב-שכבתית תקציר: פישינג נותר וקטור החדירה הראשוני הנפוץ ביותר בקמפיינים של פגיעה ארגונית, ואחראי ליותר מ-70% מהאירועים הכוללים גישה ראשונית לפי דוחות עדכניים של תגובה לאירועים. למרות ההתקדמות במסננים מבוססי מוניטין, DMARC וזיהוי היוריסטי, תקיפות מודרניות מנצלות טכניקות כגון domain shadowing, adversarial machine learning, שימוש בתשתית לגיטימית שנפגעה וערכות פישינג פולימורפיות, ובכך עוקפות הגנות מסורתיות. בעבודה זו אנו מציעים ארכיטקטורה היברידית לזיהוי ולתגובה לפישינג המבוססת על מידול פורמלי של איומים, קורלציה רב-שכבתית (דוא"ל, DNS, HTTP, endpoint) וניתוח התנהגותי בהקשר. אנו מנסחים פורמלית את הבעיה כמשימת סיווג מונחית תחת אי-ודאות אדברסרית ומדמים את התוקף עם יכולות אדפטיביות המתואמות לטכניקות MITRE ATT&CK T1566 (Phishing) ו-T1204 (User Execution). הגישה שלנו משלבת ניתוח סטטי של כתובות URL, סיווג תוכן HTML באמצעות וקטורי TF-IDF ו-embeddings, חילוץ features של תשתית (WHOIS, ASN, גיל הדומיין), בדיקת TLS, וכן טלמטריית endpoint באמצעות Sysmon ו-EDR. מימשנו את המערכת באמצעות Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA ו-Sigma, עם pipelines ב-Python ואינטגרציה באמצעות Kafka. הערכנו את הפתרון על גבי dataset המורכב מ-1.2 מיליון הודעות דוא"ל (corpus Enron + feeds PhishTank + Spamhaus DBL) ו-85 אלף דגימות של כתובות URL זדוניות, תוך השוואה ל-baselines המבוססים רק על SPF/DKIM/DMARC ועל מסננים בייסיאניים. השגנו שיעור זיהוי של 97.8% עם שיעור false positive של 0.9%, ובכך עקפנו את ה-baselines ב-18.4% של recall ממוצע. זמן הזיהוי הממוצע מקצה לקצה היה 420 ms לכל הודעה, תוך שמירה על throughput של 12 אלף הודעות דוא"ל לדקה בתשתית commodity. הדגמנו, באמצעות case study ריאליסטי, כיצד קורלציה רב-שכבתית מפחיתה את ה-dwell time מ-48 שעות לפחות מ-3 שעות בתרחיש של BEC (Business Email Compromise). אנו מסיקים כי השילוב בין מידול פורמלי, טלמטריה קונטקסטואלית ואוטומציה של תגובה הוא חיוני להתמודדות עם פישינג מודרני אדפטיבי במיוחד.
Read paper →Phishingכותרת: ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית, מודיעין איומים ומודלים סטטיסטיים פורמליים
כותרת: ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית, מודיעין איומים ומודלים סטטיסטיים פורמליים תקציר: Phishing נותר כווקטור החדירה הראשוני הנפוץ ביותר באירועי אבטחת סייבר, והוא אחראי לחלק משמעותי מהתפשרויות ארגוניות, להוצאת נתוני אישורים ולפריסות ransomware עוקבות. דוחות עדכניים של התעשייה מצביעים על כך שיותר מ-36% מההפרות המאומתות כוללות טכניקות של הנדסה חברתית ו-phishing ממוקד, שלעתים קרובות משויכות לטכניקות T1566 (Phishing) ו-T1204 (User Execution) במסגרת MITRE ATT&CK. מאמר זה מציג ארכיטקטורה היברידית לזיהוי ולהפחתת Phishing המבוססת על קורלציה רב-שכבתית בין אינדיקטורים של דוא"ל, דומיין, תשתית רשת והתנהגות משתמש, בשילוב מודלים סטטיסטיים פורמליים וכללים מבוססי מודיעין איומים. אנו מציעים מודל פורמלי של הבעיה כפונקציית סיווג בינארי f: X → {0,1}, כאשר X מייצג וקטור תכונות המורכב מאפיינים תחביריים, סמנטיים, זמניים ומבוססי מוניטין. פיתחנו שני אלגוריתמים מרכזיים: (i) מנגנון לחילוץ תכונות עם נרמול אדפטיבי ו-(ii) מסווג היברידי המשלב Random Forest עם כללי YARA ו-Sigma להעשרה קונטקסטואלית. הפתרון יושם באמצעות כלים תפעוליים ממשיים, כולל Postfix, Suricata, MISP, Elastic Stack ומודלים שאומנו ב-Python באמצעות Scikit-learn. ההערכה הניסויית בוצעה על בסיס 1.2 מיליון הודעות דוא"ל שנאספו בסביבת ארגון אמיתית לאורך שישה חודשים, כולל 48,372 דגימות Phishing מאומתות. המודל שלנו השיג שיעור זיהוי של 97.83%, עם שיעור false positive של 1.94% ו-AUC של 0.992. בהשוואה למסננים המבוססים אך ורק על מוניטין ועל SPF/DKIM/DMARC, נצפתה ירידה של 42% באירועי Account Takeover. התוצאות מדגימות כי קורלציה רב-שכבתית, בשילוב מודיעין איומים ופורמליזציה סטטיסטית, משפרת משמעותית את החוסן הארגוני כנגד קמפיינים מודרניים של Phishing, כולל spear phishing והתקפות באמצעות דומיינים שנרשמו לאחרונה. העבודה תורמת מתודולוגיה ניתנת לשחזור, הערכה כמותית חזקה והמלצות תפעוליות לצוותי SOC ול-red team.
Read paper →Phishingכותרת: מידול פורמלי, זיהוי רב-שכבתי ותגובה לאירועים בקמפיינים של פישינג: גישה משולבת קריפטו-פורנסית
כותרת: מידול פורמלי, זיהוי רב-שכבתי ותגובה לאירועים בקמפיינים של פישינג: גישה משולבת קריפטו-פורנסית תקציר: פישינג נותר כאחד מווקטורי התקיפה הנפוצים והמשפיעים ביותר מבחינה כלכלית במערכת האקולוגית הדיגיטלית העכשווית. אף על פי שחלו התקדמויות מהותיות בסינון דוא"ל, באימות דומיינים (SPF, DKIM, DMARC) ובהדרכת משתמשים, קמפיינים מודרניים התפתחו כדי לשלב טכניקות הנדסה חברתית מותאמות אישית ברמה גבוהה, תשתיות ארעיות מבוססות ענן, שימוש לרעה בשירותים לגיטימיים וניצול של ערוצי תקשורת מוצפנים מקצה לקצה. בעבודה זו אנו מציעים גישה משולבת המשלבת מידול פורמלי של איומים, טכניקות קריפטוגרפיות לאימות ולאימות פורמלי, ניתוח התנהגותי רב-שכבתי ונהלים מובנים לתגובה לאירועים. בשונה ממחקרים המתייחסים לזיהוי ולתגובה בנפרד, אנו מציגים מסגרת מאוחדת המקשרת יסודות תיאורטיים — כולל משחקי אבטחה וטיעוני רדוקציה — עם פרקטיקות תפעוליות קונקרטיות, כגון כללי YARA, Sigma וחתימות Suricata. אנו תורמים את הדברים הבאים: (i) פורמליזציה של פישינג כמשחק יריב הסתברותי הכולל אורקלים של הנדסה חברתית וערוצים מאומתים; (ii) מודל לסיווג יכולות היריב לארבע רמות פרוגרסיביות; (iii) אלגוריתם לקורלציה רב-שכבתית עם ניתוח סיבוכיות; (iv) שני ניתוחי מקרי בוחן — במגזר הפיננסי ובמגזר הבריאות — עם נהלים תפעוליים מפורטים; ו-(v) הנחיות לאימות פורמלי של מדיניות אימות דומיינים. אנו דנים במגבלות מבניות של מנגנונים כגון DMARC ובהשפעות השימוש הנרחב ב-TLS על הבדיקה ההגנתית. ההערכה הניסויית האיכותנית משווה בין גישות מבוססות חתימה, למידה מונחית וזיהוי התנהגותי, ומדנה ברגישות לעקיפות כגון התקפות הומוגליפים, שימוש לרעה בדומיינים שנרשמו לאחרונה ושימוש בשירותים לגיטימיים (למשל, פלטפורמות אחסון בענן). איננו מציגים מדדים מומצאים; להפך, אנו מבססים את ניתוחינו על ספרות שעברה ביקורת עמיתים ועל דוחות טכניים מוכרים. אנו טוענים כי צמצום יעיל של פישינג מחייב אינטגרציה בין קריפטוגרפיה יישומית, אימות פורמלי של מדיניות אימות, מודיעין איומים והנדסת תגובה לאירועים. אנו מסיימים עם סדרת מחקר הכוללת אימות חזק מבוסס FIDO2, אימות פורמלי של מדיניות DMARC באמצעות כלים כגון TLA+ ואינטגרציה של זיהוי מבוסס גרפים לצורך מידול של קמפיינים מתואמים.
Read paper →Phishingכותרת: ארכיטקטורת זיהוי ותגובה היברידית לפישינג המבוססת על קורלציה רב-שכבתית, למידה מונחית וטלמטריית Endpoint
כותרת: ארכיטקטורת זיהוי ותגובה היברידית לפישינג המבוססת על קורלציה רב-שכבתית, למידה מונחית וטלמטריית Endpoint תקציר: פישינג נותר וקטור הכניסה הראשוני הנפוץ ביותר באירועי אבטחת סייבר, והוא אחראי לחלק משמעותי מהפרות נתונים, פשרות באישורים ופריסת ransomware. דוחות עדכניים של התעשייה מצביעים על כך שמעל 35% מהאירועים שנבחנו מערבים טכניקות הקשורות ל-T1566 (Phishing) במסגרת MITRE ATT&CK, לעיתים קרובות בשילוב עם T1059 (Command and Scripting Interpreter) ו-T1078 (Valid Accounts). בעבודה זו אנו מציעים ארכיטקטורת זיהוי ותגובה היברידית לפישינג, המשלבת קורלציה רב-שכבתית (דוא"ל, DNS, HTTP, endpoint), מודלים מונחים של למידת מכונה והעשרה באמצעות מודיעין איומים. המתודולוגיה משלבת ניתוח סטטי ודינמי של ארטיפקטים (URLs, קבצים מצורפים, כותרות SMTP), חילוץ features לקסיקליים והתנהגותיים, וקורלציה זמנית המבוססת על גרפי אירועים. יישמנו אב-טיפוס תפעולי באמצעות Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA וסוכני endpoint המבוססים על Sysmon. הערכנו את המערכת בסביבה מבוקרת עם 1.2 מיליון הודעות דוא"ל, כולל 86,000 דגימות שסומנו כ-phishing (נתונים מ-PhishTank ומקורות פנימיים אנונימיים). מודל Random Forest השיג דיוק של 97.3%, precision של 96.1% ו-recall של 94.8%, ובכך עלה על גישות המבוססות אך ורק על מוניטין בשיעור זיהוי גבוה ב-18.4%. הקורלציה הרב-שכבתית הפחיתה false positives ב-32% בהשוואה לבדיקה מבודדת של דוא"ל. הדגמנו, באמצעות חקר מקרה שכלל קמפיין spear phishing אמיתי עם ניצול אישורים של Microsoft 365, כי הגישה המוצעת מפחיתה את זמן הזיהוי הממוצע (MTTD) מ-4 שעות ו-12 דקות ל-11 דקות. התוצאות מעידות כי שילוב טלמטריית endpoint, ניתוח התנהגותי ומודיעין קונטקסטואלי הוא חיוני להפחתת קמפיינים מודרניים של פישינג, במיוחד כאלה המשתמשים בתשתית ארעית ובטכניקות התחמקות המבוססות על HTTPS ודומיינים שנרשמו זה עתה.
Read paper →Researchכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לזיהוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית ולמידה סטטיסטית חזקה
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לזיהוי פרואקטיבי של איומים המבוססת על קורלציה זמנית רב-שכבתית ולמידה סטטיסטית חזקה תקציר: התחכום הגובר של קמפיינים תקיפתיים רב-שלביים, המאופיינים בתנועות רוחביות חמקניות ובניצול פגיעויות zero-day, מציב אתגרים מהותיים למנגנוני הזיהוי המסורתיים המבוססים על חתימות או על כללים סטטיים. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לזיהוי פרואקטיבי של איומים, המשלבת קורלציה זמנית רב-שכבתית עם מידול סטטיסטי חזק מונחה-אירועים. הגישה שלנו משלבת גרפי תלות סיבתית, embeddings התנהגותיים והסקה בייסיאנית כדי לזהות שרשראות תקיפה המשויכות לטכניקות של MITRE ATT&CK, גם בתנאי רעש והתחמקות אדברסריאלית. אנו מנסחים את הבעיה כמשימת הסקה על גבי גרפים דינמיים G_t = (V_t, E_t) ומראים כי ניתן למודל את הזיהוי כמקסימיזציה של סבירות תחת אילוצים מבניים. מימשנו אב-טיפוס מבוזר המסוגל לעבד 1.8 מיליון אירועים לשנייה ב-cluster של 12 צמתים. הערכנו את המערכת באמצעות מערכי הנתונים DARPA TC, UNSW-NB15 ושרידים אמיתיים מסביבת ארגון עם 4.2 מיליארד אירועים. בהשוואה ל-SIEMs מסורתיים ולמודלים LSTM טהורים, הפתרון שלנו הפחית את שיעור החיוביים השגויים ב-37.4%, העלה את ממוצע ה-F1-score מ-0.81 ל-0.92 וזיהה תנועות רוחביות עם חביון ממוצע של 4.3 שניות. כמו כן הראינו חוסן מול טכניקות טשטוש הקשורות לטקטיקות T1027 ו-T1070. התוצאות מצביעות על כך ששילוב של פורמליזציה מתמטית קפדנית והנדסת מערכות מבוזרות הוא חיוני להתמודדות עם איומים מתקדמים ומתמשכים בסביבות בקנה מידה גדול.
Read paper →Researchכותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה זמנית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים בסביבות ארגוניות
כותרת: ארכיטקטורה היברידית מבוססת טלמטריה רב-שכבתית וקורלציה זמנית לזיהוי פרואקטיבי של איומים מתמידים מתקדמים בסביבות ארגוניות תקציר: זיהוי של איומים מתמידים מתקדמים (APTs) נותר אחד האתגרים התפעוליים הגדולים ביותר באבטחת סייבר, במיוחד בסביבות ארגוניות היברידיות המשלבות תשתית on-premises, עומסי עבודה בענן ונקודות קצה מבוזרות. דוחות עדכניים של Mandiant ושל Verizon מצביעים על כך שזמן השהייה הממוצע (dwell time) של תוקפים מתוחכמים עדיין עולה על 16 ימים בסביבות בשלות, ויכול לחרוג מ-200 ימים בארגונים בעלי נראות נמוכה. עבודה זו מציעה ארכיטקטורה היברידית המבוססת על טלמטריה רב-שכבתית וקורלציה זמנית הסתברותית לזיהוי פרואקטיבי של APTs, תוך שילוב לוגים של רשת (Suricata), טלמטריית endpoint (Sysmon), זיכרון נדיף (Volatility), כללי התנהגות (Sigma) וחתימות מותאמות אישית (YARA), המשולבים באמצעות מודל פורמלי של גרף זמני מכוון וממושקל. המתודולוגיה שלנו מציגה מנגנון ניקוד סיכון המבוסס על מרכזיות זמנית ועל שרשור TTPs המותאם ל-framework MITRE ATT&CK, ומעוצב כבעיה של זיהוי נתיבים קריטיים בגרפים דינמיים. הערכנו את ההצעה בסביבת ניסוי הכוללת 12 תרחישי תקיפה אמיתיים (לרבות אמולציות של APT29, FIN7 וניצול של CVE-2021-44228 – Log4Shell), בהיקף כולל של 4.3 TB טלמטריה שנאספה לאורך 60 ימים. התוצאות מדגימות שיעור זיהוי (TPR) של 94.7% עם שיעור חיובי-שגוי (FPR) של 3.2%, ובכך עוקפות גישות המבוססות אך ורק על כללים (TPR 71.4%) ומודלים מבודדים של machine learning (TPR 88.1%). הזמן הממוצע לזיהוי צומצם מ-11.2 ימים ל-36 שעות. התרומה המרכזית טמונה בפורמליזציה המתמטית של קורלציה זמנית המכוונת ל-TTPs ובאימות המעשי בסביבה תפעולית ריאליסטית. אנו מדגימים כי אינטגרציה מובנית בין טלמטריה הטרוגנית ומידול זמני מגדילה באופן משמעותי את היכולת ההגנתית, ומספקת השלכות מעשיות ישירות עבור SOCs (Security Operations Centers) וצוותי threat hunting.
Read paper →Researchכותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK
כותרת: ארכיטקטורה היברידית סקלבילית לזיהוי ולציד איומים המבוססת על טלמטריה רב-שכבתית וקורלציה מונחית MITRE ATT&CK תקציר: ההתרחבות המואצת של סביבות דיגיטליות ארגוניות, המונעת על ידי אימוץ של מחשוב ענן, ארכיטקטורות היברידיות, מיקרו-שירותים ואינטגרציות באמצעות APIs, שינתה לעומק את נוף אבטחת המידע. משטח התקיפה העכשווי הפך למבוזר מאוד ודינמי, דבר המקשה על זיהוי מוקדם של חדירות באמצעות מנגנונים מסורתיים המבוססים אך ורק על חתימות. התקפות מודרניות נוטות לעקוב אחר שרשראות מורכבות של טקטיקות, טכניקות ונהלים (TTPs), שלעיתים מפוזרות על פני שכבות מרובות של תשתית, כולל endpoints, רשתות, זהויות ושירותי ענן. בהקשר זה, גישות זיהוי מבודדות — כגון SIEMs המבוססים על כללים סטטיים או פתרונות EDR ללא קורלציה קונטקסטואלית — מציגות
Read paper →Researchכותרת: ארכיטקטורת זיהוי ותגובה היברידית מבוססת קורלציה רב-שכבתית ולמידה סטטיסטית להפחתת איומים מתקדמים בסביבות ארגוניות
כותרת: ארכיטקטורת זיהוי ותגובה היברידית מבוססת קורלציה רב-שכבתית ולמידה סטטיסטית להפחתת איומים מתקדמים בסביבות ארגוניות תקציר: התחכום הגובר של קמפיינים ממוקדי חדירה, לרבות מתקפות כופרה המופעלות על ידי בני אדם, ניצול חולשות יום-אפס ותנועות צידיות חמקניות, מציב אתגרים משמעותיים בפני ארכיטקטורות זיהוי מסורתיות המבוססות אך ורק על חתימות או על כללים סטטיים. אירועים עדכניים שניצלו חולשות כגון CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) וטכניקות MITRE ATT&CK כגון T1059 (Command and Scripting Interpreter) ו-T1021 (Remote Services) מדגימים את הצורך במנגנונים אדפטיביים ורב-שכבתיים. בעבודה זו אנו מציעים ארכיטקטורה היברידית המשלבת קורלציה דטרמיניסטית מבוססת כללים (Sigma, Suricata, YARA), ניתוח התנהגותי סטטיסטי ומידול פורמלי של שרשראות תקיפה, תוך מיקוד תפעולי ב-SOCs ארגוניים. המתודולוגיה שלנו משלבת מודל מתמטי של גרף מכוון משוקלל לייצוג אירועי אבטחה עם מנגנון ניקוד בייסיאני מצטבר להערכת ההסתברות האחורית לפשרה P(C|E_{1..n}). מימשנו אב־טיפוס באמצעות Elastic Stack, Suricata, Wazuh, Volatility ומודולים מותאמים אישית ב-Python, והערכנו אותו בסביבה מבוקרת עם 12 TB של לוגים אמיתיים ו-datasets ציבוריים (CIC-IDS2017, UNSW-NB15). התוצאות מצביעות על הפחתה של 38.7% בשיעור החיוביים השגויים בהשוואה ל-SIEM מסורתי המבוסס רק על כללים, עלייה של 24.3% בשיעור הזיהוי של תנועות צידיות, וירידה בזמן הממוצע לזיהוי (MTTD) מ-47 דקות ל-18 דקות. כמו כן, אנו מדגימים באמצעות מחקר מקרה שכלל סימולציית מתקפת כופרה עם Cobalt Strike ו-Mimikatz, כי קורלציה רב-שכבתית מאפשרת לזהות תבניות קדם-הצפנה בממוצע 11 דקות מראש. התרומות כוללות: (i) פורמליזציה מתמטית של קורלציה אדפטיבית, (ii) אלגוריתם הדרגתי לתעדוף התראות עם ניתוח סיבוכיות, ו-(iii) אימות אמפירי באמצעות מדדים תפעוליים. העבודה מציעה השלכות מעשיות ישירות עבור צוותי Blue Team וארכיטקטורת SOCs מהדור הבא.
Read paper →Cryptoכותרת: ארכיטקטורה קריפטוגרפית עמידה בפני איומים מתקדמים: פורמליזציה, מימוש והערכה תפעולית של בקרות קריפטו-אג'יליות בתשתיות ארגוניות
כותרת: ארכיטקטורה קריפטוגרפית עמידה בפני איומים מתקדמים: פורמליזציה, מימוש והערכה תפעולית של בקרות קריפטו-אג'יליות בתשתיות ארגוניות תקציר: התלות ההולכת וגוברת במנגנונים קריפטוגרפיים בתשתיות ארגוניות מודרניות הפכה את הקריפטוגרפיה למנגנון המרכזי של אמון דיגיטלי. עם זאת, אירועים עדכניים הכוללים ניצול של ספריות קריפטוגרפיות (למשל, CVE-2022-0778 ב-OpenSSL), התקפות על פרוטוקולים (למשל, downgrade attacks ב-TLS) ושימוש לרעה תפעולי בקריפטוגרפיה על ידי ransomware (MITRE ATT&CK T1486) ממחישים פערים בין התיאוריה הקריפטוגרפית לבין המימוש המעשי. עבודה זו חוקרת באופן שיטתי את בעיית הממשל, הזיהוי והחוסן של נכסים קריפטוגרפיים בסביבות ארגוניות תחת איום פעיל. אנו מציעים ארכיטקטורה קריפטו-אג'ילית המכוונת להגנה לעומק, ומשלבת גילוי אוטומטי של נכסים קריפטוגרפיים, ולידציה פורמלית של פרמטרים, זיהוי אנומליות קריפטוגרפיות ברשת ותגובה אוטומטית לאירועים. המתודולוגיה שלנו משלבת ניתוח פורמלי של מאפייני אבטחה (סודיות, שלמות, forward secrecy), אינסטרומנטציה של תעבורה באמצעות Suricata ו-Zeek, ולידציה של תעודות באמצעות OpenSSL ו-CFSSL, בדיקת זיכרון באמצעות Volatility, וקורלציית אירועים באמצעות Sigma ו-Elastic Stack. פיתחנו שני אלגוריתמים מרכזיים: (i) Crypto Asset Discovery and Risk Scoring (CADRS), למיפוי נכסים ולתעדוף סיכונים, ו-(ii) Crypto Misuse Anomaly Detection (CMAD), לזיהוי דפוסים אנומליים בסשנים TLS ובשימוש לרעה בפרימיטיבים קריפטוגרפיים. הערכות ניסיוניות שבוצעו בסביבה עם 1,200 נכסים ו-18 TB של תעבורת TLS הדגימו הפחתה של 63% בזמן הממוצע לזיהוי תצורות לא מאובטחות וזיהוי של 94.7% מהסשנים TLS הפגיעים ל-downgrade עם שיעור false positive של 3.1%. הארכיטקטורה המוצעת הציגה overhead ממוצע הנמוך מ-4.8% ב-throughput של הרשת. מחקר מקרה המבוסס על תרחיש ransomware אמיתי הדגים את יכולת המערכת לזהות דפוסי הצפנה זדוניים עוד לפני exfiltration מלאה של הנתונים. אנו מסיקים כי האינטגרציה בין פורמליזציה קריפטוגרפית, טלמטריה תפעולית ואוטומציה של תגובה היא חיונית לצמצום משטח התקיפה הקריפטוגרפי. עבודה זו תורמת גישה מעשית וכמתית לחוסן קריפטוגרפי ארגוני, ומספקת הנחיות תפעוליות לצוותי אבטחה, SOCs ואדריכלי תשתית.
Read paper →Cryptoכותרת: ארכיטקטורה קריפטוגרפית עמידה לתשתיות קריטיות: מידול פורמלי, הגנה פעילה והערכה אמפירית נגד איומים מתקדמים
כותרת: ארכיטקטורה קריפטוגרפית עמידה לתשתיות קריטיות: מידול פורמלי, הגנה פעילה והערכה אמפירית נגד איומים מתקדמים תקציר: התחכום הגובר של קמפיינים של סייבר-ריגול, כופרה ופעולות היברידיות חשף חולשות מבניות במימושים קריפטוגרפיים של מערכות ארגוניות ותשתיות קריטיות. תקריות הכוללות ניצול של TLS שהוגדר באופן שגוי, פגיעה במפתחות פרטיים, שימוש לרעה בעקומות אליפטיות חלשות והתקפות על ספריות כגון OpenSSL (למשל: CVE-2014-0160 – Heartbleed) מדגימות כי אבטחה קריפטוגרפית אינה תלויה רק בחוסן המתמטי של האלגוריתמים, אלא גם במימושם, בניהול המפתחות ובשילובם התפעולי. בעבודה זו אנו מציעים ארכיטקטורה קריפטוגרפית עמידה המבוססת על שלושה עמודי תווך: (i) מידול פורמלי של היריב עם יכולות ריאליסטיות לפי MITRE ATT&CK, (ii) תזמור אוטומטי של רוטציה ואימות של מפתחות עם ולידציה קריפטוגרפית רציפה, ו-(iii) ניטור פעיל של התדרדרות קריפטוגרפית באמצעות טלמטריית רשת וניתוח התנהגותי. פיתחנו framework ניסויי המשלב HSMs, OpenSSL 3.x עם providers מותאמים, Suricata, Zeek ומודולי גילוי מבוססי YARA ו-Sigma. הערכנו את הפתרון בסביבה מבוקרת עם 120 צמתים מבוזרים, תוך סימולציה של התקפות כגון downgrade של פרוטוקול (T1190), חילוץ נתונים דרך ערוצים מוצפנים (T1041) ופגיעה בחומר קריפטוגרפי (T1552). התוצאות מצביעות על הפחתה של 73% בזמן הממוצע לגילוי אנומליות קריפטוגרפיות (MTTD) ועל סיכול אוטומטי של 92% מניסיונות השימוש בתעודות לא תקפות או שפג תוקפן. תקורת הביצועים הממוצעת נותרה נמוכה מ-4.8% בעומסי TLS עם ECDHE-RSA-AES256-GCM-SHA384. תרומתנו כוללת: (C1) פורמליזציה מתמטית של בעיית ההתדרדרות הקריפטוגרפית התפעולית; (C2) אלגוריתם לאימות רציף של תכונות אבטחה; (C3) ראיה אמפירית כמותית ליעילות הארכיטקטורה. התוצאות מדגימות כי אבטחה קריפטוגרפית תפעולית דורשת אינטגרציה בין תאוריה פורמלית, הנדסה מאובטחת והגנה פעילה מבוססת טלמטריה.
Read paper →Cryptoכותרת: ארכיטקטורה קריפטוגרפית אדפטיבית וניתנת לאימות עבור תשתיות מבוזרות: פורמליזציה, מימוש והערכה אמפירית תחת מודל איומים מתקדם
כותרת: ארכיטקטורה קריפטוגרפית אדפטיבית וניתנת לאימות עבור תשתיות מבוזרות: פורמליזציה, מימוש והערכה אמפירית תחת מודל איומים מתקדם תקציר: האימוץ ההמוני של קריפטוגרפיה בתשתיות מבוזרות — הכוללות שירותי ענן, רשתות בלוקצ’יין ומערכות קיברפיזיות — לווה בצמיחה פרופורציונלית בניצול חולשות של מימוש, תצורה והרכבה קריפטוגרפית. תקריות עדכניות הקשורות לאימות בלתי מספק של תעודות, לשימוש חוזר ב-nonce-ים בפרוטוקולי AEAD ולפגיעויות כגון CVE-2022-0778 (OpenSSL) מדגישות את הפער בין אבטחה פורמלית לאבטחה תפעולית. בעבודה זו אנו מציעים ארכיטקטורה קריפטוגרפית אדפטיבית וניתנת לאימות (ACAV) שמטרתה לצמצם כשלים מערכתיים בסביבות מבוזרות בקנה מידה גדול. הגישה שלנו משלבת (i) אימות פורמלי של תכונות קריפטוגרפיות המבוסס על לוגיקה זמנית, (ii) רוטציה אדפטיבית של מפתחות מונחית-סיכון ו-(iii) ניטור מתמשך של שימוש קריפטוגרפי עם זיהוי אנומליות. אנו פורמליזים את הבעיה כאופטימיזציה רב-מטרית הממזערת סיכון שיורי R(t) בכפוף לאילוצי השהיה ו-throughput. מימשנו אבטיפוס על גבי Kubernetes, OpenSSL 3.0 ומודולי HSM תואמי FIPS 140-3, והערכנו אותו ב-cluster של 64 צמתים. תוצאות ניסוייות מדגימות הפחתה של 47.3% בסיכון המשוער לפשרה של מפתח תחת מודל Dolev-Yao מורחב, עם overhead ממוצע של השהיה של 3.8% (±0.6%) והשפעה הנמוכה מ-2.1% על ה-throughput עבור עומסי TLS 1.3 עם 10,000 חיבורים בו-זמניים. בהשוואה למדיניות סטטית של רוטציה תקופתית, ACAV הפחיתה אירועים של שימוש בלתי ראוי בחומר קריפטוגרפי ב-92%. אנו מסיקים כי האינטגרציה השיטתית בין אימות פורמלי, טלמטריה קריפטוגרפית והתאמה דינמית מהווה אסטרטגיה ישימה וברת-קנה מידה לחיזוק החוסן הקריפטוגרפי בתשתיות מודרניות.
Read paper →