AI-EDR עם ML התנהגותי: עצירת התקפות ללא קבצים תוך שניות

הגנת קצה מהדור הבא עם למידת מכונה

אנטיוירוס לא מזהה התקפות ללא קבצים — חתימות מתיישנות תוך שעה לאחר פרסום ניצול. ה-EDR/XDR שלנו, המבוסס על למידת מכונה התנהגותית ורשתות עצביות גרף (GNN), מוצא חריגות בזמן אמת. תכננו ויישמנו מערכות כאלה עבור חברות עם 500–5000 מארחים. כל התקפה שעצרנו החלה באנטיוירוס ששתק.

תוכנות זדוניות ללא קבצים, living-off-the-land, גניבת אישורים — טכניקות אלה עוקפות חתימות. כפי שצוין בדוח אבטחת קצה של SANS, זמן הזיהוי הממוצע ללא למידת מכונה עולה על 200 ימים. העלות הממוצעת של אירוע אבטחה לפי נתוני התעשייה היא 4.45 מיליון דולר, ולעסקים קטנים — החל מ-100,000 דולר. EDR עם למידת מכונה מנתח לא קבצים אלא התנהגות: גרפי תהליכים, רצפי Win32 API, חריגות זיכרון. תוצאה: זיהוי התקפות zero-day תוך שניות — מודלי ה-ML שלנו מהירים פי 10 ממערכות חתימה מסורתיות. זמן זיהוי p99 — 200 אלפיות השנייה, דיוק המודל עולה על 99%.

טכניקות ש-EDR עם למידת מכונה מזהה

• תוכנות זדוניות ללא קבצים. קוד רץ בזיכרון — שום דבר לא נכתב לדיסק: PowerShell עם קוד מוצפן, הזרקת DLL רפלקטיבית, process hollowing. אנטיוירוס לא רואה קובץ לסריקה. EDR רואה קריאות חריגות ל-VirtualAllocEx, WriteProcessMemory, CreateRemoteThread. (מידע נוסף: Fileless malware).
• Living-off-the-land. התוקף משתמש בכלי מערכת לגיטימיים: certutil להורדת מטען, regsvr32 להרצת סקריפטים, wmic לתנועה רוחבית. מודל ה-ML על התנהגות תהליכים מבחין בדפוסים לא טיפוסיים — למשל, certutil שהופעל מ-Excel. (ראה Living off the land (cybersecurity)).
• הזרקת תהליכים. קוד זדוני מוזרק לתהליך לגיטימי (explorer.exe, svchost.exe). EDR מנתח את שרשרת קריאות ה-API: VirtualAllocEx + WriteProcessMemory + CreateRemoteThread — הזרקת DLL קלאסית.
• גניבת אישורים. Mimikatz והאנלוגים שלו מבצעים פריקת זיכרון LSASS. EDR מזהה: OpenProcess ל-lsass.exe מתהליך לא סטנדרטי, קריאת זיכרון עם תיקונים ספציפיים.

כיצד למידת מכונה מנתחת התנהגות קצה

ניתוח גרף תהליכים

כל תהליך הוא צומת בגרף, קצוות — יצירת תהליכים, חיבורי רשת, פעולות קבצים. GNN מסווג תת-גרף כנורמלי או חשוד. דוגמה לתת-גרף חשוד:

outlook.exe → cmd.exe → powershell.exe -enc [base64] → curl.exe → evil.com 

דואר פישינג → הרצת קובץ מצורף → PowerShell טוען מטען — שרשרת הרג קלאסית הנראית דרך עץ התהליכים.

רצפי קריאות API

רצפים של קריאות Win32 API — "חתימה" אופיינית של טכניקות תוכנות זדוניות. מודלי ה-LSTM או ה-Transformer שלנו על רצפי syscall/API: הם לומדים להבחין בין תוכנה לגיטימית לדפוסי ניצול. דיוק עולה על 99% בבדיקות שלנו ב-p99 של 200 אלפיות השנייה.

זיהוי פלילי של זיכרון

ניתוח פריקות זיכרון: אנטרופיה של אזורי זיכרון (גבוהה = קוד דחוס), נוכחות כותרות PE במקומות לא צפויים, הרצת קוד לא חתום.

למה XDR יעיל יותר מ-EDR?

XDR מרחיב את EDR בכך שהוא משלב אותות מקצה, רשת, ענן ודואר אלקטרוני לצינור זיהוי אחד. כל אות בנפרד הוא התראה ברמת חשיבות בינונית, אבל קורלציה הופכת אותם לאירוע HIGH.

השוואה: EDR מזהה PowerShell חריג, אבל ללא אות ה-C2 מהרשת הוא לא מבין שזה חלק מהתקפה. XDR מתאם ארבעה אירועים תוך 2 שניות ומסמן את האירוע כקריטי.

כיצד פועלת תגובה אוטומטית

EDR מאפשר תגובה בקצה: בידוד מארח, הרג תהליך, איסוף פריקה פלילית, תמונת זיכרון. אוטומציה:

class AutomatedResponse:
    def respond(self, incident: Incident) -> None:
        if incident.severity == "CRITICAL" and incident.confidence > 0.9:
            self.edr_api.isolate_host(incident.host_id)
            self.create_jira_ticket(incident, priority="P1")
            self.notify_soc(incident, channel="critical-incidents")
        elif incident.severity == "HIGH":
            self.edr_api.collect_forensic_dump(incident.host_id)
            self.create_jira_ticket(incident, priority="P2")

מה כלול בעבודה

תהליך פריסת AI-EDR ב-6 שלבים

1. ביקורת תשתית: מלאי, הערכת הגנות קיימות.
2. עיצוב ארכיטקטורה: בחירת מחסן טכנולוגי, תוכניות אינטגרציה.
3. פיתוח מודל למידת מכונה: אימון על הנתונים שלך, כוונון לתרחישים שלך.
4. אינטגרציה: חיבור ל-SIEM/SOAR, הגדרת אימות התראות.
5. בדיקות: בדיקת חדירה, אימות זיהוי על התקפות בדיקה.
6. פריסה והדרכה: פריסה לכל המארחים, סדנה לצוות שלך.

מקרה מעשי: איך עצרנו התקפה ב-8 דקות

מהניסיון שלנו: חברת תרופות עם 800 מארחי Windows. השתמשו ב-Wazuh + שכבת למידת מכונה מותאמת אישית. התוקף קיבל גישה דרך אישורים תקפים, החל תנועה רוחבית דרך PsExec.

זיהוי תוך 8 דקות:

• PsExec הופעל מחשבון שירות למארחים שלא נוצר איתם קשר קודם.
• דפוס חריג של הורה-ילד: services.exe → cmd.exe → whoami, net user, net group.
• UEBA: חשבון השירות פעיל בפעם הראשונה מזה 6 חודשים בשעה 2:17 לפנות בוקר.

תגובה אוטומטית: בודדו 3 מארחים. התוקף איבד אחיזה. נאספה פריקה פלילית. הנזק מדליפת נתוני מחקר ופיתוח נאמד במיליוני דולרים — הלקוח שלנו חסך בזכות תגובה מהירה (חיסכון של מעל 500,000 דולר). ההשקעה במערכת מחזירה את עצמה תוך 6–12 חודשים.

ללא EDR, ההתקפה הייתה ממשיכה לשרתים קריטיים. הניסיון מראה: זמן הזיהוי הממוצע ללא למידת מכונה הוא 206 ימים. המערכת שלנו מצמצמת אותו לדקות. קבלו ייעוץ מהנדס — תארו את התשתית שלכם, ונציע את הפתרון האופטימלי.

לוחות זמנים ומסירה

מחזור מלא במפתח פתוח — מ-7 עד 14 שבועות תלוי במורכבות. העלות מחושבת באופן אישי. התמחור מתחיל ב-15,000 דולר עבור סביבות קטנות (עד 100 מארחים) וגדל עם גודל התשתית. לצוות שלנו ניסיון של 8+ שנים ו-50+ פריסות EDR מוצלחות. אנו מחזיקים בהסמכת ISO 27001 והמהנדסים מוסמכים CISSP/OSCP. צרו קשר לייעוץ.