Noise Contrastive Estimation-based Matching Framework for Low-Resource Security Attack Pattern Recognition
تقترح هذه الورقة إطار عمل للمطابقة العصبية قائم على تقدير التباين الضوضائي، والذي يعيد صياغة رسم خرائط أنماط الهجمات التقنية (TTP) كمسألة تشابه دلالي للتغلب على تحديات فضاءات الملصقات الضخمة، والتوزيعات المنحرفة، والتعقيد الهرمي في التعرف على أنماط الهجمات الأمنية في ظل ندرة الموارد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، يعمل خبراء الأمن السيبراني كحراس لمعلوماتنا، حيث يقومون بمسح مستمر بحثًا عن أي علامات لاختراق. وللقيام بذلك بفعالية، يعتمدون على مكتبة ضخمة من أساليب الهجوم المعروفة، وهي كتالوج معياري يسمى "التكتيكات والتقنيات والإجراءات" (TTPs). فكر في هذه المصطلحات كأنها حركات محددة في كتاب خطط المجرمين: التكتيك هو الهدف، مثل سرقة البيانات أو احتجاز نظام ما رهينة؛ والتقنية هي الطة المستخدمة لتحقيق ذلك الهدف، مثل إرسال بريد إلكتروني مخادع أو إخفاء ملف؛ أما الإجراء فهو التنفيذ الدقيق خطوة بخطوة لتلك الطريقة. يقرأ محللو الأمن آلاف التقارير التي كتبها خبراء آخرون، والتي تصف كيف اخترق الهكرز الأنظمة. وتتمثل مهمتهم في قراءة هذه السرديات ومطابقة الأفعال الموصوفة مع المدخلات الصحيحة في الكتالوج. وتعد عملية "مطابقة الـ TTP" هذه بالغة الأهمية لأنها تسمح للمدافعين بالتعرف على الأنماط، والتنبؤ بالهجمات المستقبلية، وتعزيز دفاعاتهم. ومع ذلك، فإن هذا الكتالوج ضخم، حيث يحتوي على مئات التقنيات وآلاف المتغيرات، كما أن التقارير نفسها غالبًا ما تُكتب بلغة معقدة وغير منظمة لا تسمي التقنيات المستخدمة بشكل صريح.
لسنوات، حاول الباحثون تعليم الحواسيب أداء مهمة المطابقة هذه تلقائيًا. وكان النهج المعياري هو التعامل مع الأمر كاختبار متعدد الخيارات، حيث يجب على الحاسوب اختيار التقنية الصحيحة من قائمة هائلة من الاحتمالات لكل جملة أو فقرة يقرؤها. ويواجه هذا الأسلوب مشكلات كبيرة لأن قائمة الخيارات طويلة جدًا وعدد الأمثلة المتاحة للتدريب قليل جدًا. الأمر يشبه مطالبة طالب بحفظ قاموس ثم اختيار الكلمة الصحيحة لقصة ما دون أن يرى القصة من قبل. يصاب الحاسوب بالارتباك بسبب العدد الهائل من الخيارات ويجد صعوبة في تعلم الفروق الدقيقة بينها، خاصة بالنسبة لأساليب الهجوم النادرة أو غير العادية التي تظهر بشكل غير متكرر في بيانات التدريب.
اقترح فريق من الباحثين في شركة هواوي للبحث والتطوير في ميونخ طريقة مختلفة لحل هذه المشكلة. فبدلاً من إجبار الحاسوب على الاختيار من قائمة ضخمة من الخيارات، أعادوا تصور المهمة كأنها لعبة مطابقة. في هذا النهج الجديد، لا يحاول الحاسوب ترتيب كل تقنية ممكنة مقابل نص ما، بل يتعلم كيفية قياس مدى توافق معنى قطعة من النص مع وصف تقنية معينة. يأخذ النظام فقرة من تقرير تهديد ويقارنها مباشرة بالوصف المكتوب لتقنية من الكتالوج. فإذا كانت المعاني متشابهة، يمنح النظام درجة عالية؛ وإذا كانت مختلفة، يمنح درجة منخفضة. وهذا ينقل التركيز من حفظ قائمة ضخمة إلى فهم العلاقة بين قطعتين من النص.
ولجعل هذا الأمر ناجحًا مع البيانات المحدودة، طور الباحثون طريقة تدريب ذكية. فهم لا يعرضون على الحاسوب كل تقنية على حدة في وقت واحد، مما سيكون بطيئًا جدًا ومربكًا، بل يقدمون له نصًا وعدة تقنيات عشوائية للمقارنة بها. بعض هذه التقنيات هي المطابقة الصحيحة، والبعض الآخر غير صحيح. يتعلم الحاسوب دفع درجة المطابقة الصحيحة للأعلى ودرجات المطابقات غير الصحيحة للأسفل. وقد صقل الباحثون هذه العملية بتعديلين محددين للتعامل مع فوضى البيانات في العالم الحقيقي. أولاً، عدلوا التدريب لضمان أن ينتبه الحاسوب إلى المجموعة الإجمالية من الخيارات غير الصحيحة دون الارتباك بسبب ترتيبها الداخلي. ثانًا، علموا النظام أن يكون أكثر تسامحًا مع الأخطاء في بيانات التدريب؛ فبما أن الخبراء البشريين قد يغفلون أحيانًا عن تسمية تقنية في تقرير ما، فقد تعلم النظام التعامل مع بعض الإجابات "الخاطئة" على أنها قد تكون صحيحة، مما منعه من أن يصبح جامدًا للغاية.
تم اختبار نتائج هذا الإطار الجديد مقابل عدة أساليب موجودة باستخدام تقارير سيبرانية من العالم الحقيقي. وقد أنشأ الباحثون مجموعة بيانات جديدة مصنفة من قبل خبراء لضمان اختبار عادل، والتي احتوت على تسميات (labels) أكثر لكل عينة مقارنة بمجموعات البيانات السابقة. وعند إجراء التجارب، تفوق نهج المطابقة الخاص بهم باستمرار على الأساليب التقليدية التي تحاول تصنيف النصوص إلى فئات ثابتة. كان النظام الجديد جيدًا بشكل خاص في تحديد التقنيات الصحيحة، حتى عندما كانت التقاروت معقدة أو التقنيات نادرة. لقد تمكن من العثور على المطابقات الصحيحة بشكل أكثر تكرارًا من النماذج القديمة، التي كانت تميل إلى الضياع في الحجم الهائل من الاحتمالات.
كما كشفت الدراسة أن حجم بيانات التدريب يهم بدرجة أقل من جودة منطق المطابقة. فحتى مع عدد قليل نسبيًا من الأمثلة المصنفة، تعلم النظام التعميم بشكل جيد على تقارير جديدة لم يسبق رؤيتها. وهذا يشير إلى أن القدرة على فهم الارتباط الدلالي بين وصف التهديد والتقنية هي أقوى من مجرد حفظ قائمة كبيرة من الارتباطات. وجد الباحثون أن طريقتهم تعمل بشكل أفضل عندما يمكنها النظر إلى الفقرة بأكملها بدلاً من مجرد الجمل المنفصلة، مما يسمح بالتقاط السياق الكامل للهجوم. ومن خلال التركيز على العلاقة المباشرة بين النص ووصف التقنية، تجنب النظام عثرات محاولة حشر مشكلة معقدة ودقيقة في صندوق تصنيف جامد.
في النهاية، يقدم هذا العمل مسارًا أكثر كفاءة لأتمتة تحليل التهديدات السيبرانية. إنه يثبت أنه من خلال تغيير كيفية صياغة المشكلة — من مهمة اختيار ضخمة إلى مهمة مقارنة مباشرة — يمكن للحواسيب تعلم التعرف على أنماط الهجوم المتطورة حتى عندما تكون البيانات شحيحة. لا يؤدي هذا النهج إلى تحسين سرعة التحليل فحسب، بل يحسن أيضًا الدقة، مما يسمح لفرق الأمن بالاعتماد على الأدوات المؤتمتة لتحديد الأساليب المحددة التي يستخدمها المهاجمون. ومع استمرار تطور التهديدات السيبرانية وزيادة تعقيدها، ستكون القدرة على امتلاك نظام يمكنه فهم الروابط الدقيقة في تقارير التهديد أداة أساسية للحفاظ على أمن البنية التحتية الرقمية. وقد وضع الباحثون مجموعة البيانات والأساليب الجديدة الخاصة بهم تحت تصرف المجتمع، آملين في تحفيز المزيد من التقدم في هذا المجال الحيوي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.