Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →185 papers
כותרת: ארכיטקטורה פורמלית ל-AppSec רציפה המבוססת על ניתוח היברידי, מודל איום כמותי ותזמור מונחה-סיכון
כותרת: ארכיטקטורה פורמלית ל-AppSec רציפה המבוססת על ניתוח היברידי, מודל איום כמותי ותזמור מונחה-סיכון תקציר: המורכבות הגוברת של אקוסיסטמות התוכנה המודרניות — המורכבות ממיקרו-שירותים, APIs חשופות לציבור, תלויות קוד פתוח ו-pipelines CI/CD אוטומטיים מאוד — הרחיבה באופן משמעותי את משטח התקיפה של היישומים. פגיעויות כגון Log4Shell (CVE-2021-44228) וכשלים חוזרים בהזרקה ובבקרת גישה בלתי הולמת מדגימים כי גישות מסורתיות לאבטחת יישומים (AppSec) נותרות בלתי מספקות מול תוקפים אדפטיביים. בעבודה זו אנו מציעים ארכיטקטורת AppSec רציפה משולבת המשלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומודל איום כמותי, המקושרים באמצעות מנגנון תזמור מונחה-סיכון. אנו מנסחים פורמלית את בעיית תעדוף הפגיעויות כאופטימיזציה רב-מטרית תחת אילוצים תפעוליים, תוך מודל של הסיכון כ-$R = P(E) \times I$, כאשר $P(E)$ היא ההסתברות המשוערת לניצול המבוססת על מודיעין איומים ו-$I$ הוא ההשפעה הנמדדת באמצעות מדדי CVSS וקריטיות נכסים. מימשנו אבטיפוס על גבי pipeline DevSecOps עם אינטגרציה ל-GitHub Actions, SonarQube, OWASP ZAP ו-dependabot, והערכנו אותו ב-47 יישומי קוד פתוח אמיתיים. תוצאותינו מדגימות ירידה ממוצעת של 38.7% בזמן התיקון (MTTR), עלייה של 24.3% בשיעור גילוי פגיעויות קריטיות וירידה של 41.2% בכמות החיוביים-השגויים שתועדפו באופן שגוי, בהשוואה ל-pipelines קונבנציונליים שאינם מונחי-סיכון. התרומה המרכזית נעוצה בניסוח המתמטי של התעדוף ובשילוב התפעולי הרציף, המספקים ערבויות מדידות לשיפור במצב האבטחה. התוצאות מצביעות על כך ששילוב מודלים כמותיים בתזמור של כלי AppSec מהווה התקדמות משמעותית בבשלות האבטחה בסביבות פיתוח מודרניות.
Read paper →AppSecארכיטקטורה מבוססת‑פורמלית לאבטחת יישומים רציפה: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים בצינורות DevSecOps
TITLE: ארכיטקטורה מבוססת‑פורמלית לאבטחת יישומים רציפה: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים בצינורות DevSecOps ABSTRACT: המורכבות הגוברת של אקוסיסטמות תוכנה, המאופיינת בארכיטקטורות מבוזרות, מיקרו‑שירותים, תלות בצדדים שלישיים ומחזורי אספקה רציפים, הרחיבה באופן משמעותי את משטח התקיפה של יישומים מודרניים. דוחות עדכניים של Verizon Data Breach Investigations Report (DBIR) מצביעים על כך שלמעלה מ‑43% מהפרות האבטחה מנצלות פגיעויות ביישומי ווב, בעוד שה‑NVD רשם יותר מ‑28,000 CVEs בשנת 2023, רבים מהם קשורים לליקויים הניתנים לניצול מרחוק. בעבודה זו אנו חוקרים את בעיית אבטחת היישומים (AppSec) מנקודת מבט פורמלית ושיטתית, ומציעים ארכיטקטורה משולבת לזיהוי, תעדוף והפחתה מתמשכת של פגיעויות בצינורות DevSecOps. המתודולוגיה שלנו משלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול הסתברותי של סיכונים המבוסס על CVSS ועל מדדים הקשריים ארגוניים. אנו מציגים מודל מתמטי לתעדוף פגיעויות המבוסס על הפונקציה R(v) = P_e(v) · I(v) · C(v), שבה P_e מייצג את הסתברות הניצול, I את ההשפעה הטכנית ו‑C את הקריטיות ההקשרית. הערכנו את הגישה שלנו על פני 42 יישומי קוד פתוח ו‑8 מערכות ארגוניות אמיתיות, בסך הכול 3.2 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 37.4% בזמן התיקון (MTTR), עלייה של 29.1% בשיעור הזיהוי של פגיעויות קריטיות והפחתה של 41.8% בהתראות שווא בהשוואה לצינורות מסורתיים המבוססים רק על SAST. הארכיטקטורה המוצעת מציגה תקורת זמן ממוצעת של 8.6% בזמן ה‑build, תוך שמירה על היתכנות תפעולית. אנו מסיקים כי אינטגרציה מונחית‑פורמלית של טכניקות היברידיות, בשילוב תעדוף כמותי הקשרי, משפרת באופן משמעותי את האפקטיביות של תוכניות AppSec בסביבות בעלות קצב פיתוח גבוה.
Read paper →AppSecכותרת: ארכיטקטורה בעלת ביסוס פורמלי ל-Application Security מתמשך: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים ב-Pipelines DevSecOps
כותרת: ארכיטקטורה בעלת ביסוס פורמלי ל-Application Security מתמשך: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים ב-Pipelines DevSecOps תקציר: המורכבות הגוברת של מערכות אקולוגיות תוכנה, המתאפיינת בארכיטקטורות מבוזרות, מיקרו-שירותים, תלויות של צד שלישי ומחזורי אספקה מתמשכת, הרחיבה באופן משמעותי את משטח התקיפה של יישומים מודרניים. דוחות עדכניים של Verizon Data Breach Investigations Report (DBIR) מצביעים על כך שיותר מ-43% מהפרצות מנצלות חולשות ביישומי ווב, בעוד שה-NVD רשם יותר מ-28,000 CVEs בשנת 2023, רבות מהן קשורות לפגמים הניתנים לניצול מרחוק. בעבודה זו אנו חוקרים את בעיית אבטחת היישומים (AppSec) מנקודת מבט פורמלית ושיטתית, ומציעים ארכיטקטורה משולבת לזיהוי, תעדוף והפחתה מתמשכים של חולשות ב-pipelines DevSecOps. המתודולוגיה שלנו משלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול הסתברותי של סיכון המבוסס על CVSS ומדדים הקשריים ארגוניים. אנו מציגים מודל מתמטי לתעדוף חולשות המבוסס על הפונקציה $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, כאשר $P_e$ מייצג את הסתברות הניצול, $I$ את ההשפעה הטכנית ו-$C$ את הקריטיות ההקשרית. הערכנו את הגישה שלנו ב-42 יישומי open source וב-8 מערכות ארגוניות אמיתיות, בסך הכול 3.2 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 37.4% בזמן התיקון (MTTR), עלייה של 29.1% בשיעור הזיהוי של חולשות קריטיות והפחתה של 41.8% ב-falsos positivos בהשוואה ל-pipelines מסורתיים המבוססים על SAST בלבד. הארכיטקטורה המוצעת מציגה overhead ממוצע של 8.6% בזמן ה-build, תוך שמירה על ישימות תפעולית. אנו מסיקים כי האינטגרציה המכוונת-פורמלית של טכניקות היברידיות, יחד עם תעדוף כמותי מותאם-הקשר, מעלה באופן משמעותי את היעילות של תוכניות AppSec בסביבות בעלות קצב פיתוח גבוה.
Read paper →AppSecכותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps
כותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps תקציר: אבטחת יישומים (Application Security – AppSec) הפכה לאחד מווקטורי הסיכון המרכזיים באקוסיסטם הדיגיטלי העכשווי, בהובלת האימוץ ההמוני של ארכיטקטורות מיקרו-שירותים, אינטגרציה רציפה ותלויות בקוד פתוח. פגיעויות שנוצלו בקנה מידה רחב, כגון Log4Shell (CVE-2021-44228) ו-Spring4Shell (CVE-2022-22965), מדגישות מגבלות מבניות של הגישות המסורתיות לניתוח סטטי (SAST), דינמי (DAST) והרכב תוכנה (SCA). בעבודה זו אנו מציעים מסגרת פורמלית ומונחית-ראיות לאבטחת יישומים מתמשכת, בשם EASE (Evidence-Aware Security Enforcement), המשלבת ניתוח סטטי אינקרמנטלי, מידול פורמלי של זרימות נתונים ותיעדוף הסתברותי של סיכון המבוסס על טלמטריה תפעולית. המתודולוגיה שלנו משלבת מודל מתמטי של סיכון $R(v) = P_e(v) \cdot I(v) \cdot E(v)$, שבו $P_e$ מייצג את הסתברות הניצול המשוערת באמצעות למידה סטטיסטית, $I$ את ההשפעה ההקשרית ו-$E$ את החשיפה הדינמית הנמדדת מנתוני ריצה. מימשנו את המסגרת בצינורות CI/CD אמיתיים הכוללים 312 מאגרי קוד (Java, Python ו-Node.js), בסך כולל של 48 מיליון שורות קוד. התוצאות הניסיוניות מצביעות על הפחתה ממוצעת של 37.4% בכמות ה-false positives בהשוואה לכלי SAST קונבנציונליים, ירידה של 42.1% בזמן הממוצע לתיקון (MTTR) וזיהוי מוקדם של 91% מהפגיעויות שסווגו מאוחר יותר כקריטיות (CVSS ≥ 9.0). בנוסף, הניתוח האינקרמנטלי הפחית את זמן הריצה ב-58% בהשוואה לסריקות מלאות. אנו תורמים: (i) פורמליזציה קפדנית של בעיית תיעדוף פגיעויות בסביבות DevSecOps, (ii) אלגוריתמים יעילים לניתוח אינקרמנטלי עם ערבויות נכונותות, ו-(iii) הערכה אמפירית בקנה מידה גדול המדגימה שיפורים מהותיים בדיוק ובביצועים. המסגרת המוצעת מניחה יסודות כמותיים ל-AppSec מבוססת-סיכון אמיתי, ומקרבת את אבטחת היישומים לפרקטיקות הנדסיות מונחות-ראיות.
Read paper →AppSecAppSec מונחית־ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps
TITLE: AppSec מונחית־ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps ABSTRACT: אבטחת יישומים (Application Security – AppSec) הפכה לאחד מווקטורי הסיכון המרכזיים באקוסיסטם הדיגיטלי העכשווי, מונעת על ידי אימוץ נרחב של ארכיטקטורות מיקרו־שירותים, אינטגרציה רציפה ותלויות בקוד פתוח. פגיעויות שנוצלו בקנה מידה רחב, כגון Log4Shell (CVE-2021-44228) ו‑Spring4Shell (CVE-2022-22965), מדגישות מגבלות מבניות של הגישות המסורתיות לניתוח סטטי (SAST), דינמי (DAST) והרכב תוכנה (SCA). בעבודה זו אנו מציעים מסגרת פורמלית ומונחית־ראיות עבור AppSec מתמשך, בשם EASE (Evidence-Aware Security Enforcement), המשלבת ניתוח סטטי אינקרמנטלי, מידול פורמלי של זרימות נתונים ותעדוף הסתברותי של סיכונים המבוסס על טלמטריה תפעולית. המתודולוגיה שלנו משלבת מודל מתמטי של סיכון R(v) = P_e(v) · I(v) · E(v), שבו P_e מייצג הסתברות לניצול המוערכת באמצעות למידה סטטיסטית, I את ההשפעה ההקשרית, ו‑E את החשיפה הדינמית הנמדדת באמצעות נתוני הרצה. יישמנו את המסגרת בצינורות CI/CD אמיתיים הכוללים 312 מאגרים (Java, Python ו‑Node.js), בסך כולל של 48 מיליון שורות קוד. התוצאות הניסיוניות מצביעות על הפחתה ממוצעת של 37.4% בחיוביים שגויים בהשוואה לכלי SAST קונבנציונליים, ירידה של 42.1% בזמן התיקון הממוצע (MTTR) וזיהוי מוקדם של 91% מהפגיעויות שסווגו לאחר מכן כקריטיות (CVSS ≥ 9.0). בנוסף, הניתוח האינקרמנטלי הפחית את זמן הביצוע ב‑58% בהשוואה לסריקות מלאות. אנו תורמים (i) פורמליזציה קפדנית של בעיית תעדוף הפגיעויות בסביבות DevSecOps, (ii) אלגוריתמים יעילים לניתוח אינקרמנטלי עם ערבויות נכונות, ו‑(iii) הערכה אמפירית בקנה מידה גדול המדגימה שיפורים משמעותיים בדיוק ובביצועים. המסגרת המוצעת מניחה יסודות כמותיים ל‑AppSec המבוססת על סיכון ממשי, ומקרבת את אבטחת היישומים לפרקטיקות הנדסיות המונחות על ידי ראיות.
Read paper →AppSecארכיטקטורה פורמלית וניתנת להרחבה לאבטחת יישומים (AppSec) המבוססת על ניתוח היברידי מונחה גרפים ותיעדוף כמותי של סיכון
ארכיטקטורה פורמלית וניתנת להרחבה לאבטחת יישומים (AppSec) המבוססת על ניתוח היברידי מונחה גרפים ותיעדוף כמותי של סיכון המורכבות ההולכת וגדלה של יישומים מבוזרים, המבוססים על מיקרו-שירותים ומשולבים בשרשראות נרחבות של תלויות open source, הרחיבה משמעותית את משטח התקיפה ואת תדירותן של פגיעויות הניתנות לניצול. אירועים אחרונים הקשורים לכשלים כגון Log4Shell (CVE-2021-44228) ופגיעויות של דה-סריאליזציה לא בטוחה מדגישים את חוסר ההתאמה של גישות מסורתיות לאבטחת יישומים (Application Security – AppSec) המתמקדות אך ורק בסריקות סטטיות או דינמיות מבודדות. בעבודה זו אנו מציעים ארכיטקטורת AppSec פורמלית וניתנת להרחבה המבוססת על ניתוח היברידי מונחה גרפים, המשלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול איומים אוטומטי באמצעות גרפי תלות סמנטיים וזרימת נתונים בין-פרוצדורלית. אנו מציגים מודל מתמטי לתיעדוף כמותי של סיכון המשלב מדדי CVSS, הסתברות ניצול המוערכת באמצעות למידה סטטיסטית ומרכזיות מבנית בגרף הקריאות. מימשנו אבטיפוס מבוזר המסוגל לנתח יישומים הכוללים יותר מ-5 מיליון שורות קוד, תוך עיבוד 1.2 מיליון צמתי גרף עם השהיה ממוצעת של 38 דקות לכל pipeline של CI/CD. הערכת המערכת בוצעה על פני 42 פרויקטי open source קריטיים (כולל Apache Struts, Spring PetClinic ו-NodeGoat), הכוללים יחד 9,317 פגיעויות ידועות. הגישה שלנו הפחיתה חיוביים שגויים ב-37.4% בהשוואה לכלי SAST מסורתיים והגדילה את זיהוי זרימות הניצול הממשיות ב-28.9%. מנגנון התיעדוף העלה את שיעור תיקון הפגיעויות הקריטיות בסביבות בדיקה מבוקרות ב-41% בתוך מחזורי ספרינט של שבועיים. התוצאות מדגימות כי אינטגרציה פורמלית של טכניקות מרובות תחת מודל מאוחד מונחה גרפים מספקת שיפורים משמעותיים בדיוק, בהתרחבות וברלוונטיות התפעולית, ותורמת לקידום חזית הידע ב-AppSec ולהטמעה אפקטיבית של אבטחה במחזור DevSecOps.
Read paper →AppSecכותרת: ארכיטקטורה פורמלית וברת-הרחבה ל-Application Security (AppSec) המבוססת על ניתוח היברידי מונחה-גרפים ועל תיעדוף כמותי של סיכון
כותרת: ארכיטקטורה פורמלית וברת-הרחבה ל-Application Security (AppSec) המבוססת על ניתוח היברידי מונחה-גרפים ועל תיעדוף כמותי של סיכון תקציר: המורכבות הגוברת של יישומים מבוזרים, המבוססים על מיקרו-שירותים ומשולבים בשרשראות נרחבות של תלויות open source, הרחיבה באופן משמעותי את משטח התקיפה ואת תדירותן של חולשות הניתנות לניצול. אירועים אחרונים הקשורים לכשלים כגון Log4Shell (CVE-2021-44228) ולחולשות של ביטול-סידור לא בטוח מדגישים את אי-ההתאמה של גישות מסורתיות ל-Application Security (AppSec) המתמקדות באופן בלעדי בסריקות סטטיות או דינמיות מבודדות. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וברת-הרחבה ל-AppSec המבוססת על ניתוח היברידי מונחה-גרפים, המשלבת ניתוח סטטי (SAST), דינמי (DAST), הרכבת תוכנה (SCA) ומידול איומים אוטומטי באמצעות גרפי תלות סמנטיים וזרימת נתונים בין-פרוצדורלית. אנו מציגים מודל מתמטי לתיעדוף כמותי של סיכון המשלב מדדי CVSS, הסתברות ניתנת-לניצול מוערכת באמצעות למידה סטטיסטית ומרכזיות מבנית בגרף הקריאות. מימשנו אב-טיפוס מבוזר המסוגל לנתח יישומים עם יותר מ-5 מיליון שורות קוד, תוך עיבוד של 1.2 מיליון צמתי גרף עם השהיה ממוצעת של 38 דקות לכל צינור CI/CD. הערכנו את המערכת ב-42 פרויקטי open source קריטיים (כולל Apache Struts, Spring PetClinic ו-NodeGoat), בהיקף כולל של 9,317 חולשות ידועות. הגישה שלנו הפחיתה תוצאות חיוביות שגויות ב-37.4% בהשוואה לכלי SAST מסורתיים והגדילה את זיהוי זרימות אמיתיות הניתנות לניצול ב-28.9%. מנגנון התיעדוף העלה את שיעור התיקון של חולשות קריטיות בסביבות בדיקה מבוקרות ב-41% בתוך מחזורי ספרינט של שבועיים. התוצאות מדגימות כי שילוב פורמלי של מספר טכניקות תחת מודל מאוחד מונחה-גרפים מספק רווחים משמעותיים בדיוק, ביכולת ההרחבה וברלוונטיות התפעולית, ותורם להתפתחות מצב-האמנות ב-AppSec ולשילוב אפקטיבי של אבטחה במחזור DevSecOps.
Read paper →DFIRכותרת: אורקסטרציה פורמלית וניתוח הסתברותי של ראיות ב-DFIR: ארכיטקטורה ניתנת להרחבה מבוססת גרפים זמניים לקורלציה מרובת-מקורות
כותרת: אורקסטרציה פורמלית וניתוח הסתברותי של ראיות ב-DFIR: ארכיטקטורה ניתנת להרחבה מבוססת גרפים זמניים לקורלציה מרובת-מקורות תקציר: Digital Forensics and Incident Response (DFIR) מתמודדת עם אתגרים מבניים הנובעים מההטרוגניות הגוברת של סביבות ארגוניות, מהתנודתיות של ראיות דיגיטליות ומהתחכום של תוקפים המשתמשים בטכניקות living-off-the-land ובהתחמקות אנטי-פורנזית. עבודה זו מציעה ארכיטקטורה פורמלית לאורקסטרציה ולקורלציה הסתברותית של ראיות דיגיטליות המבוססת על גרפים זמניים מרובי-מקורות, עם מידול מתמטי מפורש של בעיית שחזור האירועים. המתודולוגיה שלנו משלבת איסוף מבוזר, נרמול סמנטי מונחה MITRE ATT&CK, בניית גרפים סיבתיים ואינפרנציה בייסיאנית לשיוך אירועים לשרשראות תקיפה. אנו מנסחים את הבעיה כמקסימיזציה של ההסתברות הפוסטריורית של רצף מצבי פגיעה בהינתן אוסף הטרוגני של תצפיות פורנזיות. מימשנו אבטיפוס תפקודי על גבי צינור עיבוד המבוסס על Elastic Stack, Apache Kafka ו-Neo4j, והערכנו אותו על מערך נתונים הכולל 12 TB של לוגים אמיתיים ועקבות סינתטיים המייצגים 18 טכניקות ATT&CK שונות. התוצאות הניסיוניות מדגימות עלייה של 27.4% בדיוק שחזור ציר הזמן בהשוואה לגישות דטרמיניסטיות מבוססות-כללים, הפחתה של 34.1% בזמן החקירה הממוצע (MTTI) ושיפור של 22.8% ב-F1-score לזיהוי שרשראות תקיפה מורכבות. הארכיטקטורה שומרת על השהיית עיבוד ממוצעת הנמוכה מ-420 מילישניות לאירוע תחת עומס של 15,000 אירועים/שנייה, עם סקלאביליות ליניארית שנצפתה עד 8 צמתי עיבוד. אנו מסיקים כי הפורמליזציה ההסתברותית בשילוב עם גרפים זמניים מספקת רווחים משמעותיים בדיוק וביעילות התפעולית ב-DFIR, ומבססת יסודות מחמירים לאוטומציה אמינה וניתנת לביקורת של חקירות דיגיטליות בקנה מידה גדול.
Read paper →DFIROperational DFIR in the Age of Cloud, eBPF and AI-Assisted Threats: A Practical Framework for High-Fidelity Incident Reconstruction
Digital Forensics and Incident Response (DFIR) has undergone significant transformation over the past decade due to rapid changes in enterprise infrastructure, cloud-native architectures, and the emergence of AI-assisted cyber threats. By 2025, security operations increasingly rely on hybrid infrastructures combining traditional endpoints, containerized workloads, serverless functions, and SaaS ecosystems. These environments generate enormous volumes of telemetry while simultaneously reducing the availability of persistent forensic artifacts. Attackers have adapted accordingly, leveraging fileless malware, living-off-the-land binaries (LOLBins), identity-based attacks, and generative AI–enabled social engineering to evade traditional detection and complicate post-incident reconstruction. This paper presents an operationally grounded DFIR framework designed for modern enterprise environments characterized by distributed telemetry, ephemeral workloads, and adversaries employing sophisticated evasion techniques. The framework integrates endpoint forensics, cloud telemetry analysis, memory forensics, and timeline correlation using probabilistic artifact weighting. We examine practical workflows based on widely deployed tools including Velociraptor, Volatility 3, KAPE, Plaso, Zeek, and Timesketch, and demonstrate how eBPF-based telemetry and Zero Trust logging architectures enhance forensic visibility. A formalized threat model describes adversary capabilities such as credential theft, lateral movement via Active Directory abuse, and cloud control-plane manipulation. The proposed methodology emphasizes rapid triage, artifact prioritization, and cross-source timeline reconstruction supported by Bayesian correlation scoring. Experimental evaluation using simulated attack scenarios—including ransomware deployment and data exfiltration campaigns—demonstrates measurable improvements in investigation speed and evidentiary confidence compared with traditional sequential DFIR workflows. A detailed case study reconstructs a multi-stage intrusion exploiting CVE-2023-34362 (MOVEit Transfer) followed by credential harvesting and lateral movement. Results highlight the importance of memory acquisition, identity telemetry, and cloud audit logs in reconstructing attacker behavior. Finally, we discuss operational challenges including telemetry overload, evidentiary integrity in distributed environments, and the growing role of AI in both offensive and defensive cyber operations. The paper concludes with recommendations for DFIR teams adopting automation, eBPF-based observability, and machine-assisted investigation pipelines to maintain investigative fidelity in increasingly complex environments.
Read paper →DFIROperational DFIR in the Era of AI-Enabled Threats: Scalable Evidence Acquisition, Memory Forensics, and Automated Incident Triage in Enterprise Environments
Digital Forensics and Incident Response (DFIR) has undergone significant transformation during the past decade as enterprise infrastructures evolved toward cloud-native architectures, containerized workloads, zero‑trust networking, and increasingly sophisticated adversaries. By 2025, defenders face adversaries leveraging automation, commodity ransomware platforms, fileless malware, living‑off‑the‑land techniques, and increasingly generative‑AI‑assisted social engineering campaigns. Traditional forensic workflows—based on static disk imaging and manual log analysis—struggle to scale against modern attack surfaces that include ephemeral cloud instances, SaaS platforms, and distributed endpoints. This paper presents a practical and operational framework for scalable DFIR investigations combining endpoint telemetry, memory forensics, automated artifact triage, and adversary‑behavior modeling. The research synthesizes operational experience from incident response engagements and evaluates a methodology integrating modern DFIR tooling such as Velociraptor, Volatility3, KAPE, Sigma rule pipelines, and eBPF‑driven telemetry collection. We formalize the DFIR challenge as a probabilistic evidence correlation problem where artifacts from heterogeneous sources must be aggregated and ranked according to investigative relevance. The methodology introduces a triage scoring function that prioritizes endpoints and artifacts based on indicators of compromise (IOCs), behavioral anomalies, and threat intelligence correlations. Implementation experiments were conducted across a simulated enterprise environment containing Windows, Linux, and cloud workloads infected with representative attack chains including credential dumping, lateral movement via SMB and WinRM, and ransomware deployment similar to techniques observed in campaigns such as LockBit and BlackCat/ALPHV. The evaluation demonstrates that automated triage pipelines can reduce investigation time by more than 60% compared to traditional manual workflows while preserving evidentiary integrity. Memory analysis using Volatility3 proved particularly effective for detecting reflective loaders, credential theft artifacts, and in‑memory command‑and‑control channels that evade disk‑based detection. A real‑world case study based on a ransomware intrusion illustrates how integrated DFIR pipelines enable rapid containment and attribution of attacker behavior. The findings emphasize that effective DFIR operations require continuous telemetry collection, automation‑assisted analysis, and tight integration with threat intelligence platforms. The paper concludes by discussing emerging challenges including DFIR in ephemeral cloud environments, adversarial use of generative AI, and the integration of machine learning models into investigative workflows.
Read paper →DFIRכותרת: תזמור פורמלי ומתואם של ראיות ב-DFIR: מסגרת ניתנת להרחבה לשחזור זמני הסתברותי ולייחוס אירועים בסביבות היברידיות
כותרת: תזמור פורמלי ומתואם של ראיות ב-DFIR: מסגרת ניתנת להרחבה לשחזור זמני הסתברותי ולייחוס אירועים בסביבות היברידיות תקציר: המורכבות הגוברת של תשתיות היברידיות, האימוץ הנרחב של מחשוב ענן, ארכיטקטורות מונחות מיקרו-שירותים, תצפיתיות מבוססת eBPF והאינטגרציה של מערכות בינה מלאכותית הרחיבו במידה ניכרת את אתגרי התחום של Digital Forensics and Incident Response (DFIR). בשנת 2025, אירועים המנצלים פגיעויות קריטיות, שרשראות אספקה וטכניקות living-off-the-land מדגישים את מגבלותיהן של גישות ליניאריות לקורלציה של לוגים ושל כללים סטטיים ב-SIEM. בעבודה זו אנו מציעים מסגרת פורמלית לשחזור זמני הסתברותי של שרשראות תקיפה, המבוססת על גרפים מכוונים עם משקלים מותנים ואילוצים סמנטיים הנגזרים ממטריצת MITRE ATT&CK. אנו מנסחים את הבעיה כהסקה בייסיאנית על תת-גרפים א-מחזוריים הממקסמים את ההסתברות הפוסטריורית תחת ראיות הטרוגניות ועלולות להיות לא עקביות. אנו מציגים מנגנון ליישור זמני בייסיאני לצורך פיצוי על סטיית שעון בין מקורות מבוזרים ואלגוריתם שחזור מונחה-ידע אדברסרי עם גיזום הסתברותי מבוקר-סף. אנו מדגימים תכונות פורמליות של נכונות בקירוב $\epsilon$ תחת הנחות של שלמות תצפיתית, ומנתחים את הסיבוכיות האסימפטוטית של האלגוריתמים המוצעים. המימוש המבוזר, המבוסס על Apache Kafka, Apache Spark, Elasticsearch ו-Neo4j, הוערך על גבי datasets בהיקף כולל של 1.2 TB של אירועים, כולל סימולציות עם Atomic Red Team ורישומים ארגוניים אנונימיים. השגנו $F1 = 0{,}895 \pm 0{,}02$, תוך התעלות על baseline של SIEM מסורתי ב-29.7% והפחתת הזמן החקירתי הממוצע ב-37.4% ($p < 0{,}01$). אנו דנים בהרחבות לסביבות עם עומסי עבודה של IA/ML, אינטגרציה עם CNAPP והשלכות ראייתיות תחת שרשראות משמורת דיגיטליות. התוצאות מצביעות על כך שהטמעה מפורשת של אילוצים סמנטיים ומידול הסתברותי קפדני מהווים התקדמות מהותית עבור DFIR ניתנת להרחבה ומבוססת-פורמלית.
Read paper →Detectionכותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים
כותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים תקציר: התחכום ההולך וגובר של איומי סייבר בשנת 2025, כולל מתקפות רב-שלביות, ניצול חולשות zero-day, פשרות בשרשרת האספקה, שימוש לרעה בזהויות וניצול של מודלים גנרטיביים של בינה מלאכותית, מציב אתגרים מהותיים למנגנוני זיהוי מסורתיים. בעבודה זו אנו מציעים ארכיטקטורת זיהוי אדפטיבית רב-שכבתית המבוססת על מיזוג בייסיאני רקורסיבי של טלמטריה הטרוגנית ועל מידול מבני באמצעות גרפים זמניים דינמיים. אנו מנסחים את הבעיה כהסקה על פני תהליך לטנטי בינארי המייצג את נוכחותה של פעילות זדונית לאורך זמן, המוערך מתוך אירועים נצפים שמקורם ברשת, ב-endpoint, בזהות, באפליקציות וב-workloads בענן. המתודולוגיה משלבת (i) נרמול סמנטי של אירועים, (ii) חילוץ תכונות סטטיסטיות ומבניות, (iii) בנייה אינקרמנטלית של גרפים זמניים ו-(iv) הסקה בייסיאנית עם עדכון ב-log-verossimilhança לצורך יציבות נומרית. נוסף לכך אנו מציגים גלאי מבני המבוסס על סטיית Kullback–Leibler בין התפלגויות של מדדים טופולוגיים נצפים לבין baselines היסטוריים. הערכנו אמפירית את המודל על datasets ציבוריים בשימוש נרחב (CIC-IDS2017 ו-UNSW-NB15) ועל dataset ארגוני המכיל 2.3 מיליארד אירועים מונחאי-זהות, תוך השוואה ל-Random Forest, ל-XGBoost ול-LSTM. התוצאות מצביעות על שיפור מובהק סטטיסטית ב-$F1$-score והפחתה עקבית בשיעור ה-falsos positivos ובזמן הזיהוי הממוצע של lateral movement. אנו דנים בהשלכות בסביבות Zero Trust ו-CNAPP, בחוסן ל-concept drift ובסיכוני הרעלת נתונים. אנו מדגימים כי מיזוג הסתברותי עקבי של כמה ראיות חלשות, בשילוב ניתוח מבני של גרפים זמניים, מספק רווחים מהותיים בדיוק וב-latency, תוך שמירה על סקלאביליות תפעולית בארכיטקטורות מבוזרות מודרניות.
Read paper →Detectionכותרת: גילוי אדפטיבי רב־שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים
כותרת: גילוי אדפטיבי רב־שכבתי של איומים מתקדמים המבוסס על מיזוג בייסיאני של טלמטריה הטרוגנית וגרפים זמניים תקציר: התחכום ההולך וגובר של איומים קיברנטיים בשנת 2025, כולל מתקפות רב־שלביות, ניצול פגיעויות zero-day, פשרות בשרשרת האספקה, ניצול זהויות ושימוש לרעה במודלים של בינה מלאכותית גנרטיבית, מציב אתגרים משמעותיים בפני מנגנוני גילוי מסורתיים. בעבודה זו אנו מציעים ארכיטקטורת גילוי אדפטיבית רב־שכבתית המבוססת על מיזוג בייסיאני רקורסיבי של טלמטריה הטרוגנית ועל מודל מבני באמצעות גרפים זמניים דינמיים. אנו מנסחים פורמלית את הבעיה כהסקה על תהליך לטנטי בינארי המייצג את נוכחותה של פעילות זדונית לאורך זמן, המוערך מתוך אירועים נצפים שמקורם ברשת, בתחנות קצה, בזהויות, ביישומים ובעומסי עבודה בענן. המתודולוגיה משלבת (i) נרמול סמנטי של אירועים, (ii) חילוץ מאפיינים סטטיסטיים ומבניים, (iii) בנייה אינקרמנטלית של גרפים זמניים ו-(iv) הסקה בייסיאנית עם עדכון בלוג-סבירות לשם יציבות נומרית. בנוסף אנו מציגים גלאי מבני המבוסס על שונות Kullback–Leibler בין התפלגויות של מדדים טופולוגיים נצפים לבין קווי בסיס היסטוריים. אנו מעריכים אמפירית את המודל על מערכי נתונים ציבוריים נפוצים (CIC-IDS2017 ו-UNSW-NB15) וכן על מערך נתונים ארגוני המכיל 2.3 מיליארד אירועים שעברו אנונימיזציה, ומשווים אותו ל-Random Forest, XGBoost ו-LSTM. התוצאות מצביעות על שיפור מובהק סטטיסטית במדד F1-score ועל הפחתה עקבית בשיעור החיוביים השגויים ובזמן הממוצע לגילוי תנועה לרוחב. אנו דנים בהשלכות בסביבות Zero Trust ו-CNAPP, בעמידות ל-concept drift ובסיכונים של הרעלת נתונים. אנו מדגימים כי מיזוג הסתברותי קוהרנטי של עדויות חלשות מרובות, בשילוב עם ניתוח מבני של גרפים זמניים, מספק שיפורים משמעותיים בדיוק ובזמן השהיה, תוך שמירה על סקלביליות תפעולית בארכיטקטורות מבוזרות מודרניות.
Read paper →Detectionכותרת: זיהוי אדפטיבי של איומי התמדה מתקדמים באמצעות מודליזציה זמנית מולטימודלית והסקה הסתברותית בקנה מידה גדול
כותרת: זיהוי אדפטיבי של איומי התמדה מתקדמים באמצעות מודליזציה זמנית מולטימודלית והסקה הסתברותית בקנה מידה גדול תקציר: התחכום הגובר של איומי התמדה מתקדמים (APTs) בסביבות היברידיות וענניות-מקוריות מציב אתגרים מהותיים לזיהוי מוקדם של פשרות. בשנת 2025, הסביבה התפעולית משלבת ארכיטקטורות multi-cloud, פלטפורמות CNAPP (Cloud-Native Application Protection Platforms), עומסי עבודה ארעיים, טלמטריה באמצעות eBPF וסיכונים מתהווים הקשורים למודלי שפה גדולים (LLMs). בעבודה זו אנו מציעים מודל פורמלי לזיהוי אדפטיבי של APTs המבוסס על אינטגרציה בין גרפים דינמיים מולטימודליים לבין תהליכי Hawkes רב-משתניים, המובנה תחת פרספקטיבה בייסיאנית מפורשת. אנו מנסחים את זרימת האירועים כרצף זמני הטרוגני ומדמים את התפשטות הפעילות הזדונית כתהליך מעורר-עצמי עם אילוצי יציבות ספקטרלית. ההחלטה האופטימלית נגזרת תחת אובדן 0–1 עם הגבלה מפורשת על שיעור החיוביים הכוזבים, תוך התמודדות עם בעיית שיעור הבסיס (base rate) היסודית. מימשנו את הארכיטקטורה בסביבה מבוזרת עם Apache Kafka, Apache Flink ואחסון מבוזר, תוך שילוב חילוץ טלמטריה מבוסס eBPF והעשרה קונטקסטואלית המותאמת ל-MITRE ATT&CK. הערכנו את המודל על מערכי הנתונים CIC-IDS2017, DARPA Transparent Computing ועל dataset ארגוני אנונימי עם 2.3 מיליארד אירועים. התוצאות מדגימות שיפור מובהק סטטיסטית (p < 0.01) ב-F1-score, הפחתה של 38% בשיעור החיוביים הכוזבים ו-AUC של 0.97 בהשוואה ל-baselines כגון Isolation Forest, LSTM וכללי Sigma. נוסף לכך, אנו דנים בהשלכות עבור אבטחת מערכות מבוססות AI, ממשל מודלים ושילוב עם בקרות פוסט-קוונטיות מתהוות. אנו מסיקים כי מודליזציה הסתברותית יחסית מספקת בסיס תיאורטי חזק ויישומי-תפעולית לזיהוי אדפטיבי בקנה מידה גדול, התואם לדרישות העכשוויות של תצפיתיות, תאימות וחוסן סייברי.
Read paper →Detectionכותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על היתוך הסתברותי ולמידה מתמשכת בסביבות ארגוניות הטרוגניות
כותרת: זיהוי אדפטיבי רב-שכבתי של איומים מתקדמים המבוסס על היתוך הסתברותי ולמידה מתמשכת בסביבות ארגוניות הטרוגניות תקציר: זיהוי איומים בסביבות ארגוניות עכשוויות הפך לבעיה מורכבת מבחינה מבנית, בשל ההתכנסות בין תשתיות היברידיות, ארכיטקטורות רב-ענניות, התקנים ניידים, עומסי עבודה מבוססי קונטיינרים, משטחי חשיפה הנפתחים באמצעות APIs ואינטגרציה גוברת של מערכות המבוססות על בינה מלאכותית. דוחות עדכניים מצביעים על כך שאישורי גישה שנפגעו, ניצול חולשות מוכרות ושימוש לרעה בכלים לגיטימיים ממשיכים להוות בין וקטורי החדירה המרכזיים, בעוד שזמן השהייה הממוצע של התוקף (dwell time) נותר משמעותי, ומעיד על מגבלות במנגנוני הזיהוי המסורתיים (VERIZON, 2024; MANDIANT, 2023). בעבודה זו אנו מנסחים באופן פורמלי את בעיית הזיהוי כמעט בזמן אמת כהסקה הסתברותית על מצב חבוי של פגיעה מערכתית, המודגם באמצעות תהליך מרקוב ומוערך באמצעות היתוך ראיות הטרוגניות ממספר שכבות טלמטריות. אנו מציעים את המסגרת AMuLeT (Adaptive Multi-Layer Threat detection), המשלבת מסווגים מונחים ואוטואנקודרים לכל שכבה, המשולבים באמצעות כלל יחס נראות לוגריתמי תחת הנחת אי-תלות מותנית בקירוב. בנוסף, אנו מציגים מנגנון למידה מתמשכת עם רגולריזציה אלסטית כדי למתן concept drift והתפתחות אדברסריאלית, תוך שימור פרמטרים בעלי רלוונטיות היסטורית. אנו מעריכים אמפירית את הגישה על גבי datasets ציבוריים בשימוש נרחב ועל גבי dataset ארגוני בקנה מידה גדול, הכוללים מיליארדי אירועים. התוצאות מדגימות שיפורים מובהקים סטטיסטית ב-AUC, ב-F1-score, בשיעור החיוביים השגויים ובהפחתת זמן הזיהוי הממוצע, בהשוואה למודלים מבודדים. אנו דנים בהשלכות מעשיות לאור המלצות NIST ומגמות עכשוויות כגון CNAPP, eBPF ואבטחת מודלים של שפה גדולה, ומתווים הרחבות עתידיות הכוללות גרפים דינמיים ולמידה מאוחדת עם ערבויות פורמליות של פרטיות דיפרנציאלית.
Read paper →Detectionכותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי
כותרת: זיהוי היברידי ואדפטיבי של איומי סייבר בסביבות ארגוניות באמצעות קורלציה טמפורלית רב-רמתית ולמידה רפרזנטציונית עם-פיקוח עצמי תקציר: זיהוי איומי סייבר בסביבות ארגוניות עכשוויות דורש מנגנונים המסוגלים לקשר אירועים הטרוגניים, למודל תלות טמפורלית מורכבת ולהתאים את עצמם ליריבים המנצלים אישורים תקפים, טכניקות fileless ושרשראות רב-שלביות המתואמות ל-MITRE ATT&CK. בעבודה זו אנו מציעים ארכיטקטורה היברידית המשלבת למידה רפרזנטציונית עם-פיקוח עצמי, מידול טמפורלי היררכי וקורלציה הסתברותית בגרפים דינמיים, במטרה לצמצם false positives מבלי לפגוע ברגישות תחת concept drift. אנו מנסחים את הבעיה כאמידה של $P(Y=1 \mid G_{t-k:t})$, כאשר $G_{t-k:t}$ מייצג חלון הזזה של גרפים טמפורליים שנחלצו ממקורות טלמטריה מרובים (יומני הזדהות, אירועי endpoint, זרמי רשת וטלמטריה בענן). הרכיב ה-עם-פיקוח עצמי מבוסס על חיזוי קונטקסטואלי טמפורלי באמצעות Transformers קלים, ומאפשר למידה של embeddings סמנטיים חזקים בהיעדר תוויות בשפע. שלב הקורלציה הרב-רמתית משתמש בפוטנציאלים לוג-ליניאריים המוגדרים על תת-גרפים התואמים לטכניקות ATT&CK, ובכך מבטיח יכולת פרשנות תפעולית. מימשנו את הפתרון על תשתית מבוזרת עם Apache Kafka, Apache Flink, PyTorch ו-Neo4j, והשגנו תפוקה מתמשכת של 120 אלף אירועים לשנייה באשכול בן 24 צמתים. הערכנו את המודל על datasets CIC-IDS2017, LANL Cybersecurity Dataset ועל מערך ארגוני הכולל 4.2 מיליארד אירועים. נצפו AUC ממוצע של 0.982, F1 של 0.941, TPR של 96.4% ו-FPR של 3.1%, המייצגים הפחתה יחסית של 38% ב-false positives לעומת baselines כגון Isolation Forest, DeepLog ו-Autoencoders LSTM ($p < 0{,}01$). אנו דנים בהשלכות לשילוב עם פלטפורמות SIEM ו-CNAPP, וכן בהרחבות הכוללות למידה מאוחדת עם פרטיות דיפרנציאלית וחוסן אדברסרי. התוצאות מדגימות כי השילוב של ייצוג עם-פיקוח עצמי וקורלציה מבנית הסתברותית מהווה גישה מבטיחה לזיהוי אדפטיבי בקנה מידה גדול עד למצב הטכנולוגי המתקדם של 2025.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות בתשתיות נייטיב-קלאוד
כותרת: ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות בתשתיות נייטיב-קלאוד תקציר: ניהול בלתי הולם של סודות חישוביים נותר כאחת הסיבות העיקריות לפשרות אבטחה בתשתיות נייטיב-קלאוד. אסימוני גישה, מפתחות קריפטוגרפיים, אישורי מסדי נתונים וארטיפקטים של חתימה דיגיטלית נחשפים לעיתים קרובות במאגרים ציבוריים, בצינורות אינטגרציה רציפה וביומני יישומים. בשנת 2025, עם התבססותן של ארכיטקטורות מבוססות Kubernetes, פרקטיקות DevSecOps, פלטפורמות CNAPP (Cloud-Native Application Protection Platform) והשימוש הנרחב במודלי שפה גדולים (LLMs) המשולבים בזרימות פיתוח, משטח ההתקפה הקשור לסודות התרחב באופן משמעותי. בעבודה זו אנו מציעים ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי ואימות תכונות זמניות. אנו מנסחים באופן פורמלי את מחזור החיים של סוד כמערכת דינמית המודללת באמצעות אוטומטים מתוזמנים, ומבטאים ערבויות לסודיות ולעקביות באמצעות לוגיקה זמנית ליניארית. אנו מציגים מנגנון גילוי היברידי המשלב אנטרופיה של Shannon עם תיקון Miller–Madow, תבניות מבניות ולמידה מונחית המבוססת על gradient boosting. אנו מגדירים באופן פורמלי את חלון החשיפה ומדגמנים את הסיכון המצטבר כאינטגרל של קצב הניצול המיידי. נוסף על כך, אנו מציעים פרוטוקול סבב אדפטיבי עם ערבויות לאטומיות וליכולת ביקורת, המשולב בסביבות Kubernetes ובמנהלי סודות התואמים לפרקטיקות של קריפטוגרפיה פוסט-קוונטית בהתאם להנחיות ה-NIST. אנו מעריכים אמפירית את הפתרון ב-12,457 מאגרים ציבוריים ובאשכול עם 10,000 Pods, ומשיגים דיוק של 0.978, recall של 0.95 והפחתה ממוצעת של 89% בחלון החשיפה. אנו מדגימים מובהקות סטטיסטית של התוצאות ודנים בהשלכות לממשל אבטחה בסביבות multi-cloud ולמיתון טכניקות של MITRE ATT&CK הקשורות לאישורים חשופים. אנו מסיקים כי האינטגרציה בין פורמליזציה מתמטית, גילוי אוטומטי וסבב אדפטיבי מהווה גישה יעילה וניתנת לאימות להפחתת הסיכון המערכתי הקשור לסודות בתשתיות נייטיב-קלאוד.
Read paper →Secretsכותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול
כותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול תקציר: האימוץ הגובר של ארכיטקטורות נייטיב-ענן, המבוססות על מיקרו-שירותים, קונטיינרים וצינורות CI/CD, העלה את ניהול הסודות לדרגת בעיית אבטחה מרכזית של מערכות מבוזרות. דליפות חוזרות ונשנות של אישורים, אסימוני API ומפתחות קריפטוגרפיים מדגימות כי גישות מסורתיות, המתמקדות רק באחסון מאובטח, אינן מספקות כדי להבטיח סודיות וביטול תקף בזמן בסביבות ארעיות מאוד. בעבודה זו אנו מציעים מודל פורמלי של מחזור החיים של סודות, המבוסס על מערכות מעברים מסומנות, ומגדיר מדדים כמותיים של חשיפה זמנית וסיכון מצטבר. אנו מנסחים באופן פורמלי תכונות של סודיות, שלמות, ארעיות ויכולת ביטול תחת מודל איום התואם למסגרת MITRE ATT&CK ולפרקטיקות מודרניות של אבטחת ענן. אנו מציגים את הארכיטקטורה VSMO (Verifiable Secrets Management and Orchestration), המשלבת יצירה מאובטחת קריפטוגרפית ב-HSM, אטסטציה מרוחקת מבוססת TPM 2.0, זהות workload באמצעות SPIFFE/SPIRE, תקשורת mTLS עם Envoy, גילוי רציף של אנומליות וביטול אדפטיבי מונחה למידת מכונה. הערכנו את המערכת על גבי אשכול Kubernetes v1.29 עם 512 צמתים ו-38,000 פודים פעילים, תוך השוואה לשלושה baselines נפוצים. התוצאות מצביעות על ירידה ממוצעת של 72.4% בחשיפה הזמנית ו-63.1% בשימוש חוזר בלתי תקין בסודות, תוך שמירה על השהיה נוספת של פחות מ-5 ms לכל הנפקה. כמו כן הראינו כי, תחת הנחות סבירות של קצב גילוי, תוחלת החשיפה היא ביחס הפוך ליכולת הניטור הרציף. העבודה תורמת באמצעות שילוב של קפדנות פורמלית, ארכיטקטורה ניתנת לאימות ואימות אמפירי בקנה מידה גדול, ומספקת יסודות תאורטיים ועדויות מעשיות לתזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות נייטיב-ענן עד למצב האמנות של 2025.
Read paper →Secretsכותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול
כותרת: תזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב: מודל פורמלי, ארכיטקטורה מבוזרת והערכה אמפירית בקנה מידה גדול תקציר: האימוץ הגובר של ארכיטקטורות ענן-נייטיב, המבוססות על מיקרו-שירותים, קונטיינרים וצינורות CI/CD, העלה את ניהול הסודות למעמד של בעיית ליבה באבטחת מערכות מבוזרות. דליפות חוזרות של אישורי גישה, אסימוני API ומפתחות קריפטוגרפיים מדגימות כי גישות מסורתיות, המתמקדות אך ורק באחסון מאובטח, אינן מספיקות כדי להבטיח סודיות וביטול תקף בזמן בסביבות ארעיות במיוחד. בעבודה זו אנו מציעים מודל פורמלי של מחזור החיים של סודות, המבוסס על מערכות מעברים מתויגות, ומגדיר מדדים כמותיים של חשיפה זמנית וסיכון מצטבר. אנו פורמליים תכונות של סודיות, שלמות, ארעיות ויכולת ביטול תחת מודל איום התואם למסגרת MITRE ATT&CK ולפרקטיקות מודרניות של אבטחת ענן. אנו מציגים את הארכיטקטורה VSMO (Verifiable Secrets Management and Orchestration), המשלבת יצירה מאובטחת קריפטוגרפית ב-HSM, אטסטציה מרחוק המבוססת על TPM 2.0, זהות workload באמצעות SPIFFE/SPIRE, תקשורת mTLS עם Envoy, זיהוי חריגות רציף וביטול אדפטיבי מונחה למידת מכונה. הערכנו את המערכת ב-cluster Kubernetes v1.29 עם 512 nodes ו-38,000 pods פעילים, בהשוואה לשלושה baselines הנמצאים בשימוש נרחב. התוצאות מצביעות על ירידה ממוצעת של 72.4% בחשיפה הזמנית ו-63.1% בשימוש בלתי מורשה חוזר בסודות, תוך שמירה על השהיה נוספת הנמוכה מ-5 ms לכל הנפקה. עוד אנו מראים כי, תחת הנחות סבירות של שיעור זיהוי, תוחלת החשיפה היא ביחס הפוך ליכולת הניטור הרציף. העבודה תורמת על ידי שילוב של קפדנות פורמלית, ארכיטקטורה ניתנת לאימות ואימות אמפירי בקנה מידה גדול, ומספקת יסודות תיאורטיים וראיות מעשיות לתזמור ניתנת לאימות קריפטוגרפית של סודות בסביבות ענן-נייטיב עד למצב המתקדם של 2025.
Read paper →SecretsSecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, זיהוי וסבב אדפטיבי של סודות באקוסיסטמות נייטיביות לענן
TITLE: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, זיהוי וסבב אדפטיבי של סודות באקוסיסטמות נייטיביות לענן ABSTRACT: ניהול סודות דיגיטליים התבסס כאחד מווקטורי הסיכון המרכזיים בתשתיות נייטיביות לענן, המאופיינות באלסטיות, אפמרליות של workloads, אינטגרציה רציפה וחשיפה אינטנסיבית דרך APIs. אישורי גישה שנפגעו נותרו בין הגורמים הדומיננטיים להפרות אבטחה, לפי דוחות תעשייתיים עדכניים, בעוד שהתרבות של pipelines מסוג DevSecOps וארטיפקטים ציבוריים מרחיבה את שטח התקיפה. בעבודה זו אנו ממסדים פורמלית את בעיית החשיפה של סודות כמשימת מזעור זמן חשיפה משוקלל בגרפים מכוונים דינמיים, שבהם קודקודים מייצגים זהויות חישוביות וקשתות מייצגות תלותים המתווכים באמצעות אישורי גישה. אנו מגדירים מדדים כמותיים, כולל זמן החשיפה הממוצע של סודות (MSET), ומראים כי מדיניות הסבב האופטימלית תחת תלותים מבניים היא NP-קשה באמצעות הפחתה מבעיות קלאסיות של תזמון עם קדימויות ומשקלים שרירותיים. אנו מציעים את ארכיטקטורת SecretGraph, המשלבת זיהוי היברידי (ניתוח סטטי, ניטור דינמי ובדיקה הקשרית), בנייה אינקרמנטלית של גרף תלותים, תעדוף המבוסס על מרכזיות תיווך ותזמור אדפטיבי של סבב באמצעות APIs של כספות קריפטוגרפיות. מימשנו אב־טיפוס ב-Go וב-Rust, המשולב עם Kubernetes, SPIFFE/SPIRE ו-HashiCorp Vault, והערכנו אותו בסביבה עם עד 10,000 סודות פעילים ו-1.2 מיליון commits שנותחו. נצפתה הפחתה של 78.4% ב‑MSET בהשוואה למדיניות סבב קבועות, תוך שמירה על overhead ממוצע הנמוך מ‑7% של CPU. אנו דנים בהשלכות עבור טכניקות של MITRE ATT&CK, אינטגרציה עם קריפטוגרפיה פוסט‑קוונטית המומלצת על ידי NIST וממשל אבטחה המונחה מדדים. אנו מסיקים כי מידול מבני מפורש של תלותי סודות מאפשר הפחתה מדידה של חלון הניצול, עם ערבויות פורמליות והיתכנות תפעולית בקנה מידה רחב.
Read paper →Secretsכותרת: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, גילוי וסיבוב אדפטיבי של סודות באקוסיסטמות ענן-נייטיב
כותרת: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, גילוי וסיבוב אדפטיבי של סודות באקוסיסטמות ענן-נייטיב תקציר: ניהול סודות דיגיטליים התבסס כאחד מווקטורי הסיכון המרכזיים בתשתיות ענן-נייטיב, המאופיינות באלסטיות, ארעיות של workloads, אינטגרציה מתמשכת וחשיפה אינטנסיבית דרך APIs. אישורים שנפגעו נותרו בין הגורמים הדומיננטיים ביותר להפרות אבטחה, כפי שעולה מדוחות תעשייתיים עדכניים, בעוד שהתרחבותם של pipelines DevSecOps ושל artifacts ציבוריים מרחיבה את משטח התקיפה. בעבודה זו אנו פורמליים את בעיית החשיפה של סודות כמשימת מזעור זמן חשיפה משוקלל בגרפים מכווני דינמיים, שבהם קודקודים מייצגים זהויות חישוביות וקשתות מייצגות תלות המתווכת באמצעות אישורים. אנו מגדירים מדדים כמותיים, כולל זמן החשיפה הממוצע של סודות (MSET), ומראים כי מדיניות הסיבוב האופטימלית תחת תלות מבנית היא NP-קשה באמצעות הפחתה מבעיות קלאסיות של תזמון עם קדימויות ומשקלים שרירותיים. אנו מציעים את הארכיטקטורה SecretGraph, המשלבת גילוי היברידי (ניתוח סטטי, ניטור דינמי ובדיקה קונטקסטואלית), בנייה אינקרמנטלית של גרף תלות, תעדוף המבוסס על centrality of betweenness, ותזמור אדפטיבי של סיבוב באמצעות APIs של vaults קריפטוגרפיים. יישמנו אבטיפוס ב-Go וב-Rust, המשולב עם Kubernetes, SPIFFE/SPIRE ו-HashiCorp Vault, והערכנו אותו בסביבה עם עד 10,000 סודות פעילים ו-1.2 מיליון commits נותחו. נצפתה הפחתה של 78.4% ב-MSET בהשוואה למדיניות סיבוב קבועה, תוך שמירה על overhead ממוצע הנמוך מ-7% CPU. אנו דנים בהשלכות עבור טכניקות MITRE ATT&CK, אינטגרציה עם קריפטוגרפיה פוסט-קוונטית המומלצת על ידי NIST, וממשל אבטחה מונחה-מדדים. אנו מסיקים כי מידול מבני מפורש של תלות הסודות מאפשר הפחתה מדידה של חלון הניצול, עם ערבויות פורמליות וישימות תפעולית בקנה מידה גדול.
Read paper →Secretsכותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות בתשתיות ענן-נייטיב
כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות בתשתיות ענן-נייטיב תקציר: ניהול סודות מהווה אחד מעמודי התווך של האבטחה בתשתיות ענן-נייטיב, שבהן מיקרו-שירותים ארעיים, צינורות DevSecOps ותזמור דינמי מרחיבים באופן משמעותי את משטח התקיפה. אישורים שנפגעו נותרים בין הווקטורים המנוצלים ביותר באירועי אמת, במיוחד באמצעות שימוש בחשבונות תקפים וחילוץ סודות ממאגרי קוד. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי קפדני ומיושרת עם ההנחיות העכשוויות של Zero Trust, אבטחת שרשראות אספקת תוכנה והגנת סביבות cloud-native עד 2025. אנו מנסחים פורמלית את מחזור החיים של סודות כמערכת מעברי מצבים מתוזמנת, ומגדירים תכונות כמותיות של סודיות, אטומיות ועקביות סופית. אנו מציגים אלגוריתם היברידי לגילוי המשלב סינון מבוסס אנטרופיית Shannon עם סיווג מונחה-הקשר, ומספק גבולות פורמליים להסתברויות של חיובי שגוי ושלילי שגוי. נוסף על כך, אנו מציגים פרוטוקול סבב אוטומטי עם הבטחות תחת מודל כשלים חלקיים מסוג crash-stop, בהשראת סדר כרונולוגי מבוזר. המימוש, שבוצע ב-Go וב-Rust ושולב עם Kubernetes, HashiCorp Vault ומנגנוני תצפיתיות באמצעות eBPF, הוערך בסביבת קנה מידה גדול עם 1,200 מיקרו-שירותים ו-85,000 סודות פעילים. התוצאות מצביעות על דיוק ממוצע של 96.1%, Recall של 94.3% והפחתה של 78.4% בזמן הממוצע עד לגילוי. אנו דנים במגבלות, בהשלכות עבור סביבות עם בינה מלאכותית גנרטיבית ובסיכונים מתפתחים הקשורים למודלי שפה ולאוטומציה של קוד. אנו מסכמים כי השילוב של פורמליזציה מתמטית, גילוי מונחה-הקשר וסבב אוטומטי אטומי מהווה גישה חזקה וניתנת לאימות לצמצום שיטתי של דליפות סודות במערכות אקולוגיות ענן-נייטיב.
Read paper →Secretsארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות בתשתיות Cloud-Native
TITLE: ארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות בתשתיות Cloud-Native ABSTRACT: ניהול סודות מהווה אחד מעמודי התווך של האבטחה בתשתיות Cloud-Native, שבהן מיקרו־שירותים אפמרליים, צינורות DevSecOps ואורקסטרציה דינמית מרחיבים באופן משמעותי את שטח התקיפה. אישורים שנפגעו ממשיכים להיות בין הווקטורים המנוצלים ביותר באירועי אבטחה אמיתיים, במיוחד באמצעות שימוש בחשבונות תקפים וחילוץ סודות ממאגרי קוד. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות, המבוססת על מידול מתמטי קפדני ומיושרת עם ההנחיות העדכניות של Zero Trust, אבטחת שרשראות אספקת תוכנה והגנת סביבות cloud-native עד שנת 2025. אנו מנסחים פורמלית את מחזור החיים של סודות כמערכת מעבר מצבים מתוזמנת, ומגדירים תכונות כמותיות של סודיות, אטומיות ועקביות סופית (eventual consistency). אנו מציגים אלגוריתם גילוי היברידי המשלב סינון המבוסס על אנטרופיית שאנון עם סיווג מונחה־למידה בהקשר, ומספק גבולות פורמליים להסתברויות של חיובי שגוי (false positive) ושלילי שגוי (false negative). בנוסף, אנו מציגים פרוטוקול סבב אוטומטי עם ערבויות תחת מודל כשלים חלקיים מסוג crash-stop, בהשראת סדר זמנים מבוזר. המימוש, שנכתב ב‑Go וב‑Rust ומשולב עם Kubernetes, HashiCorp Vault ומנגנוני תצפיתיות באמצעות eBPF, הוערך בסביבה רחבת היקף הכוללת 1,200 מיקרו־שירותים ו‑85,000 סודות פעילים. התוצאות מצביעות על דיוק ממוצע של 96.1%, recall של 94.3% והפחתה של 78.4% בזמן הממוצע עד גילוי. אנו דנים במגבלות, בהשלכות עבור סביבות הכוללות בינה מלאכותית יוצרת, ובסיכונים מתעוררים הקשורים למודלי שפה ולאוטומציית קוד. אנו מסיקים כי השילוב של פורמליזציה מתמטית, גילוי הקשרי וסבב אטומי מהווה גישה חזקה וברת־אימות למיתון שיטתי של דליפות סודות באקוסיסטמות Cloud-Native.
Read paper →Phishingכותרת: זיהוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ומידול פורמלי של איומים עם ערבויות כמותיות לrobustness
כותרת: זיהוי אדפטיבי ומולטימודלי של פישינג המבוסס על למידה עמוקה ומידול פורמלי של איומים עם ערבויות כמותיות לrobustness תקציר: פישינג נותר כאחד מווקטורי הפגיעה המרכזיים בנוף הסייבר העולמי בשנת 2025, תוך שילוב של הנדסה חברתית, תשתית ארעית וטכניקות התחמקות מתקדמות מבוססות בינה מלאכותית. בעבודה זו אנו מציעים ארכיטקטורה מולטימודלית לזיהוי אדפטיבי של פישינג, המבוססת על מידול פורמלי של סיכון אדברסרי עם מגבלה מפורשת על עלות התפעול של התוקף. אנו מנסחים את הבעיה כמשחק אסטרטגי בין יריב המוגבל בתקציב ε לבין מסווג f, ומגדירים את הסיכון האדברסרי R(f,𝒜_ε) תוך קביעת תנאים כמותיים לrobustness אדברסרי ב־ε. אנו מראים כי איחוי קמור של מודליות — לקסיקלית, מבנית (DOM), סמנטית המבוססת על Transformers, וחזותית תפיסתית — שומר על מרווחי הפרדה תחת הנחות של אי־תלות חלקית של הפרעות, ובכך מעלה את העלות הכלכלית של ההתחמקות. הארכיטקטורה מאומנת באמצעות אופטימיזציית min–max עם יריב פנימי פרמטרי המבוסס על טרנספורמציות מציאותיות, כולל הומוגרפים של IDN, מוטציות תחביריות והסוואה דינמית. אנו מעריכים את המערכת על מאגר של 1.2 מיליון URLs שמקורם במסדי נתונים ציבוריים מגובשים, עם רווחי סמך שהתקבלו באמצעות bootstrap מרובד. התוצאות מצביעות על AUC של 0.997 ו־F1 של 0.986, תוך שמירה על חביון ממוצע הנמוך מ־35 ms לאחר כימות INT8. תחת התקפות ממוקדות, שיעור הזיהוי נותר מעל 94%, ובכך עולה על מודלים חד־מודליים. אנו דנים בהשלכות הכלכליות של robustness מולטימודלי, באינטגרציה עם בקרות מודרניות כגון TLS fingerprinting וטלמטריה באמצעות eBPF, ובהתאמה להנחיות ממשל בינה מלאכותית וזהות דיגיטלית. אנו מסיקים כי השילוב בין יסודות פורמליים והנדסה מעשית מאפשר להשיג ערבויות מדידות לrobustness מבלי לפגוע בדרישות התפעוליות הארגוניות.
Read paper →