פיתוח AI-NDR: ניתוח תעבורת רשת וזיהוי איומים

מדוע מערכת AI NDR מפספסת תקיפות בתוך ההיקף

סכימת הגנה קלאסית בנויה סביב ההיקף: תעבורה בכניסה וביציאה מנותחת במלואה, וכל מה שקורה בין מקטעים פנימיים נשאר בצל. מערכת AI NDR, שאומנה בעיקר על נתונים כאלה, לוכדת בביטחון סריקות חיצוניות ופניות לכתובות נדירות, אך מאבדת רגישות במקום שבו מתחילה תקיפה אמיתית.

נקודת התורפת העיקרית ברשת — תעבורת east-west: חילופי מידע בין שרתים, בסיסי נתונים, תחנות עבודה וסביבות קונטיינרים. לאחר השגת נקודת אחיזה ראשונה, התוקף לא יוצא החוצה — הוא מסתכל סביב ומתחיל בתנועה רוחבית, וכל צעד כזה נראה כמו בקשה פנימית שגרתית.

בלי לנתח תעבורה זו, זיהוי איומי רשת פועל על פי עיקרון שיורי: האות קיים פורמלית, אך הוא אינו נבדל מפעילות רגילה.

מקור כשל שני — הצפנה. חלק ניכר מהתעבורה הפנימית מוצפן, ומודל שמסתמך רק על תוכן החבילות מאבד הקשר. מצילים מטא-נתונים: משך ונפח הפעלות, קצב החלפת מידע, קבוצות כתובות, התנהגות חשבונות — לפיהם ניתן לזהות אנומליה גם בלי פענוח.

שכבה שלישית — לוגים מפוזרים. חומות אש, שירותי ספריות, סוכנים על מארחים כותבים כל אחד בפורמט משלו ובזמן משלו. כל עוד האירועים לא מאוחדים לציר זמן אחד, התגובה נמדדת בשעות: האנליסט משווה ידנית בין שברים, והתקיפה בינתיים עוברת כמה שלבים. נבחן כיצד זה נסגר.

מה נותן מערך NDR: השפעות מדידות של הטמעה

נתוני ענף על אירועים תאמו לדבר אחד: חלק ניכר מהתקיפות נחשף לא על ידי הצוות הפנימי אלא על ידי גורם חיצוני — כלומר כשהנזק כבר נגרם (Verizon Data Breach Investigations Report). מערך NDR מזיז בדיוק את הנקודה הזו: הפעילות נראית ברגע שהיא מתרחשת, ולא ברגע ניתוח ההשלכות.

מהירות זיהוי אירועים

המערכת משווה בין מטא-נתונים של זרמי רשת, יומני התקני רשת ופניות לצמתים חיצוניים, ולכן אנומליה בהתנהגות של צומת בודדת מתגלה בשלב שבו התוקף עוד מסתכל סביב בתוך ההיקף.

מהירות זיהוי אירועים נמדדת בעשרות דקות מרגע החיבור החשוד הראשון במקום ביממות ושבועות — וזה כבר תרחיש תגובה שונה מהיסוד.

סוג כשלים שהוסר

חלק מהתרחישים קודם לכן לא זוהו כלל: אינטראקציה עם צומת חיצוני שנמשכת שבועות דרך שירותים מורשים, הוצאה שקטה בערוצים לגיטימיים, נפחים חריגים של תעבורה יוצאת בשעות לא פעילות. כללי התנהגות ומודלים סוגרים את התרחישים האלה — סוג הכשלים נעלם, ולא נשאר באזור אפור.

משמרת אנליסטים וניתוח אירועים

תיעדוף לפי קריטיות מסיר שגרה: משמרת האנליסטים עובדת עם עשרות אירועים מאושרים במקום מאות התראות גולמיות, וניתוח אירועים מתבצע לפי שרשרת ראיות מוכנה עם כרונולוגיה. שיעור ההתראות המאושרות עולה, והזמן להעברת אירוע לתגובה מתקצר.

מצבי עבודה: ניטור, תגובה או מחזור מלא

מצב העבודה קובע לא את הפונקציונליות של המערכת, אלא את עומק ההתערבות שלה ברשת. לכן הבחירה מתחילה בשתי שאלות: האם יש הרשאה לשנות תצורת צמתים, וכמה בשלים כללי הזיהוי. כל עוד כלל לא הוכיח את עצמו על הנתונים שלכם, תגובה אוטומטית הופכת למקור לתקלות.

לכן את המערך בונים בשלבים: תחילה ניטור פסיבי, אחר כך פעולות אוטומטיות לפי רשימה מצומצמת של תרחישים. הטמעה ללא עצירת שירותים אפשרית בדיוק בסדר הזה — מנתח מתחבר למראה תעבורה ולא משנה דבר בטופולוגיה הנוכחית.

מעבר בין מצבים לא דורש בנייה מחדש של המערך: משתנה רק סט הפעולות המותרות, והכללים והסטטיסטיקה המצטברת נשארים. זה מאפשר להתחיל בניטור ולהגיע למחזור מלא ככל שהאמון במודל גדל.

הטמעה: מביקורת רשת ועד מסירה לתפעול

סדר העבודות בפרויקט של מערכת AI NDR בנוי כך שהזיהוי יישען על טופולוגיה אמיתית, ולא על מודלים ממוצעים. תחילה מתעדים מה ואיפה בכלל ניתן לנטר, אחר כך מכווננים גלאים על תעבורה חיה, ורק לאחר מכן מוסרים את המערכת לליווי. כל שלב נסגר בארטיפקט שניתן לבדוק לפני המעבר לשלב הבא.

1. ביקורת רשת. מנתחים את הטופולוגיה: מקטעים, מסלולים בין אתרים, מלאי נכסים והאחראים עליהם. בנפרד מסמנים מקטעים מוצפנים ונקודות עיוורות — מהם תלויה שלמות הכיסוי.

2. תכנון נקודות איסוף תעבורה. קובעים היכן הזרם נראה במלואו: גבולות ההיקף, ערוצים בין מקטעים, מקטעי שרתים. את הסכמה מתאמים עם צוות הרשת כדי שהאיסוף לא ישפיע על רוחב הפס.

3. חיבור ונרמול. מגדירים העברת עותקים של הזרם, מביאים רשומות לצורה אחידה ומוסיפים הקשר: איזה נכס, אזור, שירות. בלי זה הגלאים נותנים רעש במקום אותות.

4. כיונון גלאים. מודלי התנהגות מאמנים על תעבורה היסטורית, וכללים — על טכניקות תקיפה ידועות. ספים קובעים לפי פרופיל העומס בפועל, ולא לפי תבנית מהתיעוד.

5. בדיקה על תרחישים אמיתיים. מריצים תקיפות תרגול ומנתחים זיהויים יחד עם האנליסטים: זמן עד הפעלה, שיעור שווא, שלמות שרשרת האירועים. תיקונים מוכנסים לפני הקבלה.

6. מסירה לתפעול. מוסרים הרשאות, נוהל תגובה ותיעוד, ומאמנים את המשמרת התורנית. בהתחלה המהנדסים נשארים זמינים, בהמשך — ליווי וכיוונון מחדש לשירותים חדשים.

תצורות, סכמות רשת ונוהלים: מה נשאר אצלכם

הפרויקט מסתיים לא בהדגמה של מתקן עובד, אלא במסירת ערכה שלפיה הצוות שלכם יוכל לפתח את המערכת בלעדינו. כל מה שהוגדר עבור התעבורה והתשתית שלכם נשאר במערך שלכם — כקבצים ומסמכים, ולא כהסכמות בעל פה עם קבלן.

• תצורות מערכת — פרמטרים של חיישנים, ספי רגישות וכללי אחסון בצורה מנוהלת גרסאות: מתקן עולה מאפס לפי מאגר, ולא לפי זיכרון של מהנדס.
• סכמות רשת וזרמים — אילו מקטעים ונקודות איסוף מכוסים, לאן הולכת התעבורה המשוכפלת, היכן גבולות הנראות. בשינוי טופולוגיה רואים מיד מה נופל מהניטור.
• מדיניות גישה — מטריצת תפקידים, חיבור לספריית המשתמשים שלכם, הפרדת הרשאות לצפייה בנתונים ולשינוי כללים.
• כללי זיהוי עם נימוק — מדוע נבחר סף הפעלה כזה, אילו אירועים נחשבים לשווא וכיצד הכלל מכוונן מחדש לפרופיל עומס עונתי.
• נהלי תגובה — רמות קריטיות, זמני תגובה לכל אחת, סדר הסלמה, בידוד צומת ופעולות התורן בשעות לא פעילות.
• נהלי ליווי — עדכון מודלים ומאגרים, בדיקת המערכת לאחר שינויי רשת, חזרה לסט הכללים הקודם.
• תיעוד למשמרת — ניתוח של התראת שווא טיפוסית, רשימת בדיקה למסירה וקלטי הפעלות עם המהנדסים שלכם.

הערכה נסגרת בקבלה: הצוות שלכם פורש בעצמו את המתקן ומנתח אירוע תרגול. אם זה מצליח בלי רמזים מצדנו — המסירה הושלמה, ומכאן אתם עובדים על התשתית שלכם.

מקרה בוחן: זמן זיהוי האיומים התקצר פי כמה

לפני ההטמעה, רשת עם כמה אלפי צמתים ו-14 אתרים נותחה בדיעבד: האנליסט התחיל מתלונת משתמש או מהודעה של צוות חיצוני, ואת הלוגים בדק רק לאחר ההפעלה. זמן הזיהוי הממוצע עמד על 30-38 שעות, ניתוח אירוע לקח חצי יום עבודה, ו-78% מההתראות היו שווא — במשמרת הספיקו לטפל רק בקצה הקרחון.

מה שינו

אספו שיקוף תעבורה ב-uplinks של מרכזי נתונים ובשערים של אתרים, הפעילו ייצוא מטא-נתונים של זרמים, ולמפגשים חשודים — דגימת תוכן. זיהויים קושרו למטריצת MITRE ATT&CK: תחילה סגרו כניסה מבחוץ, תנועה רוחבית והוצאה של נתונים, אחר כך הוסיפו מודלים התנהגותיים לחשבונות.

האותות מועשרים במלאי, במרשם חשבונות וברשימת שירותים קריטיים — האנליסט מקבל שרשרת מוכנה «מי, מאיפה, למה פנה» ורק מאשר את ההשערה, במקום לאסוף הקשר מתוך הלוגים.

מה התקבל

זמן זיהוי בתרחישים קריטיים — 12 דקות במקום 30+ שעות, שיעור התראות שווא — 11% במקום 78%, תגובה לאירוע מאושר — 25 דקות במקום 4 שעות. ניתוח מקרה אחד אורך 40-50 דקות: כרונולוגיה, ארטיפקטים וצמתים שנפגעו נאספים אוטומטית, האנליסט בודק קשרים וסוגר את האירוע.

כיסוי לפי מטריצת הטכניקות נבדק אחת לרבעון — טקטיקות חדשות נכנסות לכללים לפני שמתחילים לבדוק אותן ברשת שלנו.

מה לעשות אם כבר פרוסה מערכת SIEM?

NDR לא דורש להרוס את מה שכבר עובד: הפתרון נכנס למערך האבטחה הקיים כחיישן רשת, ו-SIEM נשאר מערכת רישום ונקודת ניתוח אירועים אחודה. השאלה המעשית אינה «או-או», אלא כיצד לבנות אינטגרציה עם SIEM ולהפריד אזורי אחריות כדי שאותה קורלציה לא תיספר פעמיים.

המפתח — העברת אירועים. למעלה לא נשלחות חבילות, אלא זיהויים מוכנים עם מאפיינים: צמתים, שירותים, כיוון, שלב התקיפה לפי MITRE ATT&CK.

כפילות פונקציות מופיעה במקום שבו שני המערכים אוספים בנפרד טלמטריית רשת ובונים כללים משלהם — אז האנליסט מקבל שתי התראות על אותו אירוע ומפסיק לתת אמון בשתיהן.

בהמשך התפעול מכריע את הכל: מהנדסים מתארים אילו אירועים עולים למעלה, באיזו תדירות, מה לעשות כשיש פער בין פסקי דין. ניתוח האירוע נשאר בקונסולה אחת, ועל שכבת הרשת אחראי NDR — המערך לא מתרחב, ובמקביל הכיסוי גדל ולא נבנה מחדש.

ספקות טכניים: חיישנים, עומס ופרטיות

התנגדויות טכניות למערכת AI NDR מצטמצמות בדרך כלל לשלוש שאלות: האם הרשת תיפגע, מה בדיוק נשמר מהתעבורה ומי имеет אליו גישה, עד כמה רועשת ההתראה. להלן תשובות קצרות וכיצד זה מכוונן בפועל.

מה בדיוק נשמר מהתעבורה ומי רואה את הנתונים?

כברירת מחדל המערכת עובדת על מטא-נתונים: כתובות, פורטים, זמן, נפח, סימני הפעלות — זה מספיק לרוב התרחישים. תוכן החבילות מופעל נקודתית ולפרק אחסון מוגבל; הגישה מופרדת לפי תפקידים, והייצוא נרשם ביומן. תת-רשתות עם נתונים רגישים מוחרגות מהניתוח וממוסכות בשלב הפריסה.

עד כמה רעש יהיה בזיהוי?

המודל נשען על מאפיינים התנהגותיים, ולא על רשימות חתימות, ולכן התראות שווא מגיעות בעיקר מאנומליות לגיטימיות — מיפויים, גיבוי לילי, עדכונים. ספים מכווננים על נתונים היסטוריים של הלקוח, ואירועים שאושרו בניתוח חוזרים לאימון. נקודת ייחוס — תור שהתורן מטפל בו במשמרת אחת, ולא זרם של אלפי שורות.

נדון במשימה שלכם: ממה מתחילים את העבודה

כדי לחזור עם תוכנית הטמעה והערכת זמנים, ולא עם מילים כלליות, אנחנו צריכים מינימום של נתוני פתיחה. מספיק לתאר את המשימה בצורה חופשית: אילו מקטעי רשת נמצאים בשליטה, איזה סוג איומים מדאיג בראש ובראשונה, מה כבר מותקן מאמצעי ההגנה ואיזו היסטוריית תעבורה זמינה.

מה נדרש מכם להתחלה:

• רשימת מקטעים ונקודות איסוף תעבורה — היכן מנטרים והיכן יכולים להשפיע על חיבורים;
• עומק שמירת ההיסטוריה: לאיזו תקופה יש נתונים כדי לאמן מודל על התעבורה שלכם ולא על סינתטיקה;
• אמצעי הגנה ויומנים קיימים — כדי לא לשכפל את מה שכבר עובד;
• תרחישים שחשוב לסגור: חיבורים חיצוניים, תנועה בתוך הרשת, פניות לכתובות נדירות;
• דרישות לתגובה: התראה בלבד או חסימה אוטומטית בהיקף;
• אחראי מצדכם, מי מאשר התראות שווא ומתקן כללי זיהוי.

מה נחזיר בתשובה:

• סכמת חיבור לרשת שלכם עם גבול ברור בין ניטור לפעולות אקטיביות;
• הרכב העבודות לפי שלבים: איסוף נתונים, כיונון כללים, אימון על התעבורה שלכם, תפעול ניסיוני;
• הערכת זמנים לכל שלב ונקודות שבהן נדרש אישור שלכם;
• סט מדדי תוצאה: שיעור התרחישים המכוסים, מספר התראות שווא במשמרת, זמן מהאירוע עד ההתראה.

נדון במשימה — תארו את נתוני הפתיחה, ונחזור עם תוכנית, הרכב עבודות וזמנים. ההחלטה על ההתחלה נשארת בידיכם.