מערכת AI לניתוח תוכנה זדונית Malware Analysis AI: פיתוח

פיתוח ניתוח תוכנות זדוניות מבוסס AI: היכן נשבר הניתוח הידני

אנליסט במעבדת תוכנות זדוניות מקבל דגימה ומנתח אותה ידנית: פריקה, ניתוח סטטי, הרצה בסביבה מבודדת, תיעוד התנהגות, חילוץ אינדיקטורים. על קובץ אחד עם ערפול ואורז רב-שכבתי נדרשות שעות, ובמקרה של הצפנת מטען — גם יממה. בזמן הזה לתור מגיעות עשרות דגימות חדשות, והוא גדל מהר יותר מהיכולת לנתח אותן.

הבעיה אינה בכישורים אלא בחשבון. זרימת משפחות חדשות מתרחבת באמצעות אריזה אוטומטית מחדש: אותו קוד מחליף מעטפת וסכום ביקורת בתוך דקות, וכך עוקף חוקי חתימות. ניתוח דגימות ידני אינו מתרחב כך — המומחה נשאר לבד מול מאות קבצים, והקו הראשון נשחק במשימות אחידות במקום בניתוחים מורכבים.

מכאן נובע עיכוב בהכרעה — בין כמה שעות לכמה ימים בין הופעת הדגימה לחסימה. כל הזמן הזה חלון החשיפה פתוח: תחנות העבודה עדיין אינן יודעות על האיום החדש, חוקי הזיהוי לא עודכנו, והעתקות של הדגימה כבר מתפשטות ברשת. ככל שהעיכוב ארוך יותר, כך גדל הנזק מכל הרצה מוצלחת.

פיתוח ניתוח תוכנות זדוניות מבוסס AI סוגר בדיוק את הפער הזה: המודל מקבל על עצמו מיון ראשוני והכרעה מהירה לפי מבנה הקוד והתנהגות, והמומחה מצטרף למקרים שנויים במחלוקת ולמקרים ממוקדים. בהמשך נבחן כיצד בנוי מערך כזה והיכן עובר הגבול בין אוטומציה לאדם.

מה נותן מודל הסיווג: אפקט בכמויות מדידות

המסווג אינו מחליף את האנליסט אלא עומד לפניו כמסנן. את האפקט אנו מודדים בארבעה גדלים: מהירות ההכרעה, שיעור התראות השווא, פריקת העומס מהקו הראשון ושחזוריות ההחלטה.

חלון הזיהוי: שעות מול שניות

הכרעה על דגימה טיפוסית נוצרת בתוך שניות: ניתוח סטטי ואותות התנהגותיים מחושבים במקביל. עבור משפחות נפוצות חלון הזמן מהופעת הדגימה ועד החסימה מתקצר משעות של ניתוח ידני לדקות.

שיעור התראות השווא

סף ההפעלה מכויל לפי מחלקות קבצים: מה שסביר עבור סקריפט מהדואר אינו קביל עבור קובץ הרצה חתום. כיול על תיוג של הלקוח מפחית את שיעור התראות השווא פי כמה, ודגימות שנויות במחלוקת עוברות להסגר עם הקשר מלא, במקום להיחסם באופן עיוור.

פריקת העומס מהקו הראשון

המודל מטפל ב-70–85% מהפניות הטיפוסיות ללא אדם — האנליסטים עוברים למשפחות חדשות ולדגימות שהוקשו בכוונה. התור של הקו הראשון מפסיק לגדול יחד עם הזרימה: הוא תלוי במספר הדגימות החדשות באמת, ולא בנפח הכולל.

שחזוריות והסברתיות של ההכרעה

כל הכרעה שומרת את גרסת המודל, המאפיינים והדגימה עצמה, ולכן הרצה חוזרת מניבה אותה תוצאה: האירוע מנותח בדיעבד. לצד ההכרעה נראים תרומת המאפיינים ורמת הוודאות של המודל לפי הטקסונומיה MITRE ATT&CK — אפשר לערער על ההחלטה או לתייג אותה מחדש, ולא לקבל אותה כמובנת מאליה.

מצבי ניתוח דגימות: השוואת גישות ומגבלות

מצבי הניתוח אינם מחליפים זה את זה: הם עונים על שאלות שונות ומתנהגים אחרת בזרימת דגימות. חתימות מספקות הכרעה מיידית לגבי משפחה מוכרת, חוקים התנהגותיים לוכדים פעולות, סביבה מבודדת מציגה את השרשרת כולה, ומודל לפי מאפיינים סטטיים מספיק להחליט לפני ההרצה. זה מתחבר למה שכבר עובד: שער דואר, מאגר קבצים, הגנה על תחנות קצה.

הבחירה תלויה בארבעה דברים: זמן עד להכרעה, עמידות בפני הסתרה מכוונת, היקף התראות השווא והאם מותר להריץ את הדגימה בתוך הפרימטר.

סכימת הכרעה היברידית נשארת ברירת המחדל המעשית: סינון זול בכניסה והרצה רק עבור דגימות שבהן המצבים חלוקים. בדיקה חיצונית מחברים באופן נקודתי — כאשר נדרשת נקודת מבט בלתי תלויה לגבי מוניטין.

שלבי הטמעת צינור ניתוח דגימות

צינור ניתוח דגימות אינו מודל אחד, אלא רצף שלבים שבו טעות בשלב מוקדם מבטלת את ערכם של כל השלבים הבאים. אנו יוצאים מהעובדות: תחילה בוחנים מה באמת מגיע לכניסה, ורק אחר כך בוחרים ארכיטקטורה ומדדים.

1. ביקורת זרימת דגימות: נפח יומי ושבועי, שיעור הכפילויות, התפלגות לפי משפחות וסוגי קבצים, מקורות הגעה. בפלט — הבנה איזה עומס הצינור חייב להחזיק בלי תור לניתוח.
2. תיוג הקורפוס: סט ייחוס עם מחלקות מאושרות, תוויות משפחות, מקרי אריזה וערפול. טקטיקות מנוהלות במונחים של MITRE ATT&CK, כדי שהתוצאה תהיה ניתנת להשוואה לדוחות חיצוניים. דגימות שנויות במחלוקת מוציאים בנפרד — המודל אינו לומד מסתירות.
3. סכימת הצינור: שלבים — ניתוח סטטי, הרצה בסביבה מבודדת, חילוץ מאפיינים, סיווג. עבור כל שלב מגדירים קלט, פלט ונקודת כשל.
4. אימון וכיול ספים: מכוונים את הרגישות כך שהחמצת איומים תישאר בטווח מוסכם, וזרם התראות השווא לא ישחק את הקו הראשון של האנליסטים.
5. אינטגרציות: סביבת הרצה מבודדת, מערכת קריאות, מאגר דגימות, SIEM. ההכרעה והמאפיינים צריכים להופיע במקום שבו פועלת משמרת התורנות, ולא בפאנל נפרד.
6. בדיקה על מדגם מושהה: הרצה על דגימות שהמודל לא ראה, כולל משפחות טריות ומקרים גבוליים. בוחנים לא את הדיוק הממוצע, אלא מחלקות נדירות וזמן תגובה תחת עומס.
7. מסירת המערכת: תיעוד הצינור, נוהל תיוג, סדר אימון מחדש וחזרה לגרסה קודמת של המודל. את מחזורי העדכון הראשונים עוברים יחד, ואחר כך הצוות מנהל את הצינור בעצמו.

הרכב האספקה: קונפיגורציות, סכימות ונוהלים

אנו מוסרים לא „שירות עובד תחת השגחתנו”, אלא ערכת ארטיפקטים שהצוות שלכם מריץ, קורא ומשנה בעצמו. הכול נמצא במאגר שלכם ובבסיס הידע הפנימי — בלי מודולים סגורים הזמינים רק לקבלן.

• קונפיגורציות הצינור — חלוקה לפי שלבים: קליטת דגימה, בידוד, ניתוח סטטי, הרצה בסנדבוקס, איסוף דוח. הפרמטרים הוצאו מהקוד, ולכן שלב חדש או סדר בדיקות אחר מתווספים בעריכת קונפיגורציה.
• סכימות אינטגרציה — נקודות חיבור לשער דואר, למאגר דגימות ולמערכת קריאות: פורמטי החלפה, הרשאות כתיבה, התנהגות כאשר מערכת סמוכה אינה זמינה (תור וניסיון חוזר במקום אובדן דגימה).
• מדיניות גישה לדגימות — תפקידים והפרדת הרשאות: למי הקובץ עצמו זמין, ולמי רק ההכרעה והדוח. בנפרד מתואר כיצד מתועדת כל הוצאה של דגימה מחוץ לפרימטר.
• תיעוד מדדים — מה נחשב לגילוי, כיצד מחשבים את שיעור התראות השווא ואת הזמן מקליטת הדגימה עד להכרעה. עם נוסחאות וציון המקום שממנו נלקחים הנתונים.
• נוהלי תגובה — מה עושה התורן כאשר ההכרעה היא „זדוני”, למי הוא מסלים, כיצד הוא מבודד את הצומת ומתי הוא סוגר את האירוע. עם תפקידים וסדר פעולות, ולא מילים כלליות.
• חוקי זיהוי תחת בקרת גרסאות — עם היסטוריית עריכות וקורפוס בדיקה של דגימות. הכיול מורץ עליו לפני הפריסה, כדי שהגדרה חדשה לא תשבור הפעלות קודמות.
• הוראות פריסה ושחזור — הקמת המערך מאפס, גיבויים של קונפיגורציות וסדר עדכון מודלים וחוקים.

מקרה בוחן: כיצד הצטמצם זמן ההכרעה עבור משפחות חדשות

לפני: כל משפחה חדשה נשלחה לתור ידני

בכניסה — עשרות אלפי דגימות ביממה, ועבור משפחה חדשה ההכרעה יצאה לאחר 8–10 שעות: האנליסט הסיר ידנית את האריזה, אסף התנהגות ומחרוזות, והשווה למשפחות מוכרות. עד שני שלישים מהמשמרת הוקדשו למה שכבר נותח, ולכן דגימות מורכבות באמת חיכו בסוף התור.

מחיר העיכוב אינו רק זמן ההשבתה של ההסגר: כל עוד ההכרעה אינה מוכנה, הצומת הנגוע נשאר ברשת, והכרעת „נקי” שגויה מניחה לאיום להתבסס בתשתית.

מה שינו

הרכיבו צינור: ניתוח סטטי מספק מאפיינים של מקטעים וייבואים, הסביבה המבודדת — אירועים התנהגותיים, ושני הזרמים מתכנסים למודל שמוציא הכרעה ותיוג לפי MITRE ATT&CK.

מעל סף הוודאות הדגימה נסגרת אוטומטית, מקרים גבוליים עוברים לתור עם עדיפות לפי סיכון, והניתוח הידני של האנליסט חוזר לאימון נוסף כדוגמה מתויגת. את הסף בחרו לפי מטריצת שגיאות, ולא לפי תחושת בטן: העדיפות היא מינימום החמצות במחלקת „נקי”, ולא אוטומציה מקסימלית בכל מחיר.

אחרי: זמן האנליסטים הופנה מחדש למשימות מורכבות

שיעור ההכרעות האוטומטיות — 78% מהזרימה, והזמן עד להכרעה עבור משפחות חדשות הצטמצם ל-20–30 דקות. התראות השווא ירדו בערך פי שלושה לאחר שהוספו למדגם מקרים גבוליים מניתוחים אמיתיים.

האנליסטים הפסיקו לנתח את המוכר: זמנם עבר למשפחות עם ערפול ולהשערות ידניות, והכפלת זרימת הדגימות עברה בלי הרחבת המשמרת.

מה לעשות אם הסנדבוקס והחוקים כבר פרוסים

אין טעם לפרוס מערך חדש מעל מערך עובד: הסנדבוקס והחוקים כבר מספקים טלמטריה שעליה המודל מתאמן מהר יותר ובמדויק יותר מאשר על נתונים סינתטיים. השאלה היא איזה חלק מהעבודה למסור למודל ואיזה להשאיר לחוקים — וכיצד לבדוק זאת בלי לעצור את זרימת הדגימות.

נדידת חוקים נעשית לא על ידי כיבוי, אלא על ידי השוואה: המודל מורץ על דגימות שנצברו, ההכרעות שלו מושוות להפעלות הנוכחיות, ומזרימת הייצור מוציאים רק את החוקים שהמודל מכסה בלי לאבד זיהויים. כך נשמרות ההשקעות במערך הקיים — הידע שנצבר אצל האנליסטים הופך לתיוג, ולא נזרק.

אם החוקים והמודל חלוקים בהכרעה, הפער עובר לאנליסט כדגימה בעדיפות: המערך ממשיך ללמוד מהנתונים של עצמו, ולא רק ממדגמים חיצוניים.

ספקות טכניים לפני תחילת הפרויקט

לפני ההתחלה עולה אותו מערך שאלות: מה לעשות עם דגימות פנימיות, כיצד יתנהג המודל במשפחה לא מוכרת, האם האנליסט יקבל הסבר להכרעה ומי אחראי להתראת שווא. להלן כיצד כל אחד מהם נסגר ברמת הארכיטקטורה, ולא בהבטחות.

מה יקרה עם משפחה שאינה נמצאת במדגם האימון?

המערכת אינה חייבת לבחור מבין מחלקות מוכרות: היא מעריכה חידוש ומחזירה הכרעה „נראה חדש” עם רמת ודאות. דגימות כאלה עוברות לתור הסגר לניתוח ידני, ולא לחסימה אוטומטית — הזיהוי אינו הולך לאיבוד, וזרם השגיאות אינו גדל.

כיצד האנליסט יבין מדוע ניתנה הכרעה כזו?

להכרעה מצורף מערך מאפיינים עם תרומתם להחלטה: מקטעים חשודים ורשומות בכותרים, שרשראות קריאות, פניות לרשת, ניסיונות התבססות במערכת. הדוח מוחזר בצורה מובנית ובפורמט המוכר לפלטפורמה האנליטית שלכם.

מי אחראי להתראות שווא?

סף קבלת ההחלטה מוגדר לפי משפחות וסוגי אובייקטים, ולא כקבוע יחיד. אנו קובעים מדדי דיוק וכיסוי כיעד על מדגם מושהה, מוציאים אותם לניטור ומכיילים מחדש את המודל ככל שמצטברות עריכות של האנליסטים. מקרים שנויים במחלוקת מנותחים יחד בשלב הקבלה.

נדון במשימה ונחזור עם הערכה ותוכנית

הערכה עניינית נשענת על נתוני פתיחה: בלעדיהם כל מספר הוא ניחוש. להלן מה לשלוח כדי לדון במשימה לגופה ולחזור עם הערכה ותוכנית, ולא עם הרהורים כלליים על תועלת ה-AI בהגנה.

• נתוני פתיחה על זרימת הדגימות: כיצד קבצים מגיעים לניתוח היום — שער דואר, חיישנים, הוצאה ידנית מהסגר — ובאיזה פורמט הם נשמרים.
• סדר גודל: כמה דגימות ביממה ובשיא, איזה שיעור דורש ניתוח ידני מעמיק.
• מערך ההגנה הנוכחי: מה כבר פרוס, מי ולפי אילו חוקים נותן הכרעה „זדוני / נקי”, והיכן ההחלטה נתקעת באדם.
• מגבלות על נתונים: מה אסור להוציא מחוץ לפרימטר, האם נדרש מקטע סגור, דרישות לאנונימיזציה ולתקופות שמירה.
• מי עובד עם ההכרעות: אנליסטים, משמרת תורנות, מפתחים — ואיזה עומס הם מוכנים להסיר מעצמם באמצעות אוטומציה.
• מה כבר ניסו: סקריפטים משלהם, סנדבוקסים, חוקי זיהוי — ומדוע התוצאה לא סיפקה.

בהמשך — השלב הבא: אנו מנתחים את נתוני הפתיחה, משווים אותם למערכים טיפוסיים ומציעים 2–3 אפשרויות ארכיטקטורה עם גבולות כנים — איזו מחלקת איומים נסגרת אוטומטית, ומה נשאר לאנליסט.

להערכה מצרפים תוכנית הטמעה: שלבים, תפקידים, נקודות בקרת איכות של הזיהוי וסדר אימון נוסף של המודל על ההכרעות שלכם עצמכם. תארו את המשימה — נחזור עם הערכה ותוכנית.