פיתוח מערכת אבטחת סייבר מבוססת בינה מלאכותית מקצה לקצה

סייבר-אבטחה מבוסס AI: היכן נפרצת הגנת ההיקף

ההיקף כיום נשען על כללים שמהנדסים כותבים ידנית עבור תרחישים ידועים מראש: חתימות, ספי קורלציה ב-SIEM, רשימות חריגים. הם לוכדים היטב את מה שקרה בעבר, ושותקים כאשר הטקטיקה משתנה — סריקה איטית של חשבונות, פעילות תחת חשבון שירות, הורדת נתונים הנמשכת שבועות. צוואר הבקבוק של ההגנה אינו בחיישנים, אלא בסף עצמו: תמיד בוחרים אותו בין רגישות לזרם של רעש.

זרם האירועים גדל מהר יותר מכפי שמשמרת התורנות מספיקה לקרוא אותו. התראה על מארח בודד טובעת בין מאות דומות, שיעור ההתראות השווא של כללים נמדד בעשרות אחוזים, והמפעיל מתרגל בהדרגה לסגור אותות "מוכרים" בלי להסתכל.

אנומליות אמיתיות בתעבורה — זינוק בחיבורים יוצאים לפורט לא סטנדרטי, נפח הורדה לא אופייני, התחברות בשעות לא שגרתיות — הולכות לאיבוד ברעש הזה.

המחיר הוא עיכוב בזיהוי האירוע. על פי הערכות בענף Verizon DBIR, חלק ניכר מהדליפות מתגלה לא על ידי הצוות של הארגון עצמו, אלא על ידי צדדים שלישיים, שבועות לאחר החדירה. ניתוח אירועים ידני בדיעבד עולה לאנליסט שעות לכל מקרה: להצליב לוגים, הורדות ויומני גישה, לשחזר את השרשרת.

נבחן כיצד את נקודות הכשל הללו סוגר מודל שבונה קו בסיס של התנהגות בעצמו ומגיש לתורנות רשימה מדורגת במקום זרם אירועים.

סייבר-אבטחה מבוסס AI: אפקט מדיד לעסק

האפקט נמדד לא במספר הכללים שהופעלו, אלא בכמה אותות האנליסט מנתח ידנית ובאיזו מהירות נסגרת התקיפה האמיתית. נקודות הבקרה שלפיהן אנו בודקים את התוצאה בסייבר-אבטחה מבוסס AI: שיעור התראות השווא, זמן התגובה לאירוע, היקף הניתוח הידני ומספר הפעולות המיוחסות שנשארו מחוץ למעקב.

ניתוח אירועים ללא סינון ידני

האירוע מוערך בהקשר: מי פנה למשאב, מאיזה צומת, באיזו שעה, והאם הדבר משתלב בפעילות הרגילה של העובד. לכן פעולות לגיטימיות אחידות מפסיקות להיכנס לתור הניתוח — שיעור התראות השווא יורד פי כמה, ולא באחוזים בודדים. סוג הכשל שהוסר — "התקיפה הוחמצה בתוך רעש ההתראות".

הזמן שהתפנה מוקדש לאיומים אמיתיים: העדיפות נקבעת אוטומטית לפי מכלול סימנים, ולא לפי כלל בודד, וזמן התגובה לאירוע מתקצר משעות לדקות.

שליטה רוחבית בפעולות מיוחסות

כל פעולה עם הרשאות מוגברות מתועדת יחד עם החשבון, היוזם וההצדקה: חלוקת ההרשאות מפסיקה להיות סט של תפקידים סטטיים והופכת לתהליך בר-בדיקה. ההרשאות ניתנות לפי בקשה ולפרק זמן מוגבל, ולא "לנצח" — הרחבת הגישה נראית ביומן בדיוק כמו השימוש בה.

שליטה בחשבונות סוגרת את מה שבדרך כלל נשאר מחוץ לשדה הראייה: חשבונות שירות, גישות של קבלנים, הרשאות שנשכחו לאחר העברת עובד. אם פעולה חורגת מהפרופיל הרגיל, היא עולה לניתוח יחד עם ההקשר המלא — החקירה נמשכת דקות, ולא ימים של הצלבת יומנים.

אפשרויות לבניית הגנה: מתאר עצמאי, היברידי, שירות

את סכמת ההגנה בוחרים לא לפי כמה רועם השם, אלא לפי היקף האירועים, מהירות התגובה ודרישות אחסון הנתונים. להלן שלושה מסלולים מעשיים והמגבלות שאיתן הלקוח חי לאחר ההטמעה.

מתי מספיקים אמצעים מובנים

אמצעי הגנה מובנים סוגרים איומים טיפוסיים: ניחוש סיסמאות, חתימות מוכרות, סטיות חדות בהרשאות גישה. אם יש מתאר אחד או שניים ואין תורנות ייעודית, הם מספקים רמה בסיסית ללא פרויקט נפרד. המגבלה היא שהכללים אינם מותאמים לתעבורה שלך, ולכן הקשר בין אירועים ממערכות שונות נשאר בלתי נראה.

מתי נדרש מתאר ייעודי

מתאר ייעודי מוצדק כאשר אירועים מגיעים ממקורות רבים ויש להצליב ביניהם. אנו מפרקים טקטיקות וטכניקות לפי MITRE ATT&CK, כדי שהכללים יסגרו את צעדי התוקף, ולא הפעלות בודדות. היברידי נבחר כאשר הטלמטריה חייבת להישאר בפנים, והניתוח בשעות לא שגרתיות מועבר לצד שלישי.

שלבי הטמעת מערכת הגנה עם אנליטיקה התנהגותית

סדר השלבים אינו אקראי: כל החלטה עוקבת נשענת על הנתונים של הקודמת. אם מתחילים מכללי זיהוי, תוך דילוג על מיפוי המקורות, המערכת תלכוד רעש בסגמנט אחד ותשתוק באחר. להלן הרצף שלפיו מתנהל הפרויקט.

ביקורת ותיעוד התמונה הנוכחית

1. ביקורת ההגנה הנוכחית. אוספים רשימת מקורות אירועים, בוחנים מה כבר נכנס ליומנים, היכן נקודות עיוורות ומי מנתח את ההתראות. בפלט — מפת כיסוי לפי סגמנטים.

2. סכמת זרימת אירועים. מתארים את המסלול מהמקור ועד לאחסון: נקודות איסוף, נרמול פורמטים, תקופות אחסון, התנהגות בעת אי-זמינות של צומת. הסכמה מראה מיד היכן האירועים הולכים לאיבוד.

3. הגדרת כללים ומודלים. בונים קווי בסיס של התנהגות עבור שירותים וחשבונות, ומעליהם — גלאי סטיות וקורלציה בין סגמנטים. הספים נבחרים כך שזרם ההתראות יישאר בר-ניתוח עבור משמרת התורנות.

4. בדיקה על אירועים אמיתיים. המודלים פועלים במצב צפייה, ללא חסימות, כולל על יומנים היסטוריים מתקופות קודמות. מחשבים את שיעור התראות השווא והממצאים המאומתים, מתקנים את הכללים — ורק אחר כך מפעילים תגובות אוטומטיות.

מסירה והכשרת הצוות

• מסירת תיעוד. סכמת הזרימות, תיאור הכללים, נהלי התגובה וסדר הנסיגה — כדי שניתן יהיה לפתח את המערכת בלעדינו.

• הכשרת הצוות. עוברים עם מהנדסי התורנות על תרחישים טיפוסיים: כיצד לקרוא התראה, מה לבדוק ראשון, מתי להסלים. מריצים אירוע תרגול מהתחלה ועד סוף.

• ליווי לאחר ההפעלה. בשבועות הראשונים עוקבים אחרי העומס בפועל, מכווננים ספים ומשלימים נהלים לפי ממצאים בפועל.

החבילה בפלט: סכמות, כללי גישה, נהלים

החבילה בנויה כך שניתן יהיה ללוות את המערכת בלעדינו: כל מה שאנו מתכננים נשאר אצל הלקוח בצורת קונפיגורציות עבודה, סכמות ונהלים. המסמכים נכתבים לא "לצורך הדוח", אלא עבור משמרת ונהל ספציפיים — בכל אחד מצוין מי הבעלים ומה לעשות בעת חריגה.

כללי גישה ותפקידים

מטריצת התפקידים וההרשאות מתארת מי ובעל גישה לאילו צמתים, נתונים ופונקציות ניהול, ולפי איזה עיקרון ניתן שדרוג ההרשאות. לצדה — סכמת זרימת האירועים: מהמקור ועד למקום שבו מתקבלת ההחלטה.

• מטריצת תפקידים והרשאות עם בעלים לכל מתאר;
• סכמת זרימת אירועים מהמקורות ועד האנליטיקה והאחסון;
• כללי גישה לנתונים רגישים וליומנים, סדר מתן ושלילת הרשאות;
• תיאור חשבונות שירות ופעולות בעת פגיעתם.

נהלי תגובה

נהל התגובה מגדיר את דרגות האירועים, את גבולות הפעולות האוטומטיות ואת הנקודה שבה חובה אדם. מסמך נפרד — הנחיות למשמרת התורנות: סדר הצעדים, קריטריונים להסלמה, צורת תיעוד.

• נהל תגובה עם דרגות אירועים וזמני תגובה;
• הנחיות למשמרת התורנות לפי תרחישים טיפוסיים;
• סדר בידוד צומת, נסיגת שינויים והחזרה לפעילות;
• תוכנית פיתוח: מה מרחיבים בשלב הבא ולפי אילו סימנים.

כל מסמך נבדק בתרגילים: מריצים את התרחיש שלב-שלב ומתקנים את מה שבפועל לא עבד. החבילה מנוהלת בגרסאות יחד עם המערכת — שינוי בקונפיגורציה בלי עדכון הנהל נחשב כלא גמור.

מקרה בוחן: לפני ואחרי הטמעת אנליטיקה התנהגותית

מקרה הטמעה זה עוסק בארגון עם תשתית מבוזרת וכמה אלפי חשבונות. שירות הניטור ניתח ידנית את זרם האירועים ממערכת קיימת לאיסוף אירועי אבטחה: כללי הקורלציה הספיקו לתרחישים מוכרים, אך כל סטייה מהתבנית — שינוי בלוח הזמנים, תחנת עבודה חדשה, חופשה — יצרה זינוק בהפעלות. התחלנו בתיוג הסטטיסטיקה שנצברה לפי טקטיקות MITRE ATT&CK ובהערכה אילו אותות אכן הגיעו לחקירה.

מה היה לפני

משמרת האנליסטים התורנית ניתחה כשלושת אלפים אותות בשבוע, ויותר מתשעה מתוך עשרה התבררו כהתראות שווא. ניתוח ראשוני של אירוע נמשך ארבעים דקות ויותר, העדיפות נקבעה ידנית והייתה תלויה בעומס המשמרת. הזמן מהאירוע ועד לחסימת החשבון נמדד בימים: עד שהאות הגיע לתורן ואומת, הפעילות החשודה נמשכה.

מה קרה אחרי

המודל ההתנהגותי בנה פרופיל לכל חשבון: שעות פעילות אופייניות, מכלול השירותים והמכשירים, גיאוגרפיה של ההתחברויות, נפח הנתונים המורדים. האות נוצר כעת לפי סטייה מהפרופיל האישי, ולא לפי סף מוחלט, ולכן שינוי בלוח הזמנים או תחנת עבודה חדשה כבר אינם נראים כתקיפה.

זרם האותות הצטמצם לכמאתיים בשבוע, ושיעור התראות השווא — לעשירית. ניתוח ממוצע נמשך כ�ثمان דקות, וסשן חשוד נחסם אוטומטית בתוך דקה. האנליסטים עברו מסינון שגרתי לחקירות אמיתיות — דווקא זה, ולא המספר עצמו, קובע את חוסן ההגנה.

במה נבדלת אנליטיקה התנהגותית מכללי קורלציה?

כללי קורלציה הם תנאים דטרמיניסטיים: מכלול אירועים, סף וחלון זמן. הם צפויים, זולים לתחזוקה ומספקים ניתוח חד-משמעי — רואים איזה תנאי הופעל. אך את הסף קובע האדם: סגמנט רשת חדש או שינוי בנהל שובר את התרחיש, וכותבים אותו מחדש ידנית.

אנליטיקה התנהגותית בונה פרופיל של נורמה עבור חשבון, שירות או מכשיר: מקורות התחברות אופייניים, נפחי הורדה, זמני פעילות. הסטייה מחושבת לפי מכלול סימנים, ולכן תקיפה הנמשכת לאורך זמן — איסוף נתונים הדרגתי תחת חשבון לגיטימי — נראית גם במקום שבו אירוע בודד אינו חוצה את הסף.

בפועל משלבים בין הגישות: הכללים מחזיקים את מה שאסור שיהיה תלוי בסטטיסטיקה — גישה למערכות קריטיות, מחיקה המונית, פנייה למאגר סודות מחוץ לנהל. המודל סוגר את השאר ומרמז אילו ספים בתרחישים להעלות או להוריד.

ההיברידי מפחית את מספר התראות השווא באותו כיסוי: האנומליה מגיעה לא "עירומה", אלא עם ההקשר של הכללים שהופעלו. מה להעביר לכללים ומה למודל — מחליטים לאחר ניתוח התשתית שלך ומסלולי הגישה הטיפוסיים.

שאלות טכניות לפני תחילת הפרויקט

ספקות הנדסיים לפני ההתחלה נוגעים בדרך כלל לא למודל עצמו, אלא לאופן שבו הוא משתלב במתאר ההגנה הקיים. להלן השאלות שמעלה לרוב שירות האבטחה, ותשובות קצרות לכל אחת.

תיוג האירועים אינו מלא — המודל יטעה?

אנו מעריכים את שיעור המקרים המתויגים על מדגם היסטורי ומתייגים את המחלקות הבעייתיות: תקיפה, נורמה, התראת שווא. עד שלא מגיעים לרמה המוסכמת, פועלים כללי הקורלציה, ולא הסטטיסטיקה.

מה יקרה בעת אובדן ערוצים חיצוניים?

הזיהוי מתבצע במתאר סגור: המודל, הכללים והספריות נמצאים בפנים. בעת ניתוק ערוץ העדכונים המערכת ממשיכה לפעול בגרסה הנוכחית, והאירועים נצברים באופן מקומי.

באיזו תדירות לאמן מחדש את המודל?

לפי לוח זמנים ולפי טריגר — כאשר האיכות על מדגם הבקרה יורדת מתחת לסף המוסכם. האימון מתבצע במצב לא מקוון, הגרסה ננעלת, והנסיגה לגרסה הקודמת נמשכת דקות.

איזו גישה נדרשת בתוך מערכת ההגנה עצמה?

קריאה בלבד של יומנים ואירועים, חשבון שירות נפרד בלי הרשאה לשנות מדיניות. כל הפעולות נרשמות בביקורת, והרחבת ההרשאות מתואמת מראש.

נדון במשימה ונחזור עם הערכה ותוכנית

כדי שההערכה תהיה עניינית ולא ממוצעת בענף, די בכמה נתוני פתיחה — אין צורך להכין מפרט טכני מראש. תארו את המתאר במילים שלכם, ואת השאר נדייק בשיחה.

מה נדרש מכם כדי להתחיל:

• רשימת המערכות ומקורות האירועים: שער דואר, SIEM, EDR, יומני ענן והיקף הרשת. ככל שהרשימה מלאה יותר, כך סכמת איסוף הנתונים מדויקת יותר.
• היכן נמצא כיום הכאב: שיעור התראות השווא, זמן התגובה הממוצע לאירוע, כמה ניתוחים נעשים ידנית.
• מגבלות המתאר: היקף סגור בלי יציאה החוצה, דרישות לתקופות אחסון האירועים, נהלים לנתונים אישיים.
• תחומי אחריות: מי מתאם את הגישות, מי מקבל את התוצאה, מי תורן בהפעלה ניסיונית.
• סביבת בדיקה: סגמנט בדיקה עם אירועים אנונימיים או צפייה בצומת אחד בלי התערבות בעבודת אמצעי ההגנה.
• אומדן עומס: כמה אירועים ביממה מגיעים ואיזו צמיחה צפויה עם חיבור מקורות חדשים.

בתגובה נחזיר סכמת שלבי הטמעה עם נקודות בקרה, הרכב העבודות לכל שלב והערכת לוחות זמנים בהתחשב בהיקף האירועים ובתחומי האחריות המוסכמים.

בנפרד ננסח את קריטריוני הקבלה — לפי אילו מדדים תבדקו שמערכת סייבר-אבטחה מבוססת AI אכן מפחיתה את הרעש ומאיצה את התגובה, ולא רק מוסיפה עוד פאנל ניטור.

תארו את המשימה בצורה חופשית — נחזור עם הערכה ותוכנית.