Accurate and Scalable Detection and Investigation of Cyber Persistence Threats
تقدم هذه الورقة نظام كاشف الاستمرارية السيبرانية (CPD)، وهو نظام مبتكر يستفيد من تحليلات المصدر مع التبعية الزائفة والحواف الموجهة من قبل الخبراء للربط السببي بين مرحلتي إعداد التنفيذ والتنفيذ، مما يحقق كشفًا دقيقًا وقابلًا للتوسع للتهديدات المتقدمة المستمرة مع تقليل الإيجابيات الكاذبة بنسبة 93% مقارنة بالطرق المتطورة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن الهجوم السيبراني ليس مجرد اقتحام واحد، بل هو احتلال طويل الأمد. في عالم التهديدات المستمرة المتقدمة (APTs)، لا يكتفي المخترقون بكسر نافذة، وسرقة حاسوب محمول، ثم المغادرة؛ بل يريدون البقاء. إنهم يريدون إنشاء باب سري غير قابل للكسر يسمح لهم بالعودة إلى منزلك متى أرادوا، حتى بعد أن تقوم بتغيير الأقفال أو إعادة تشغيل نظام الأمان. يُسمى هذا الاستمرارية (Persistence).
يقدم البحث نظام أمان جديداً يسمى CPD (كاشف الاستمرارية السيبرانية) المصمم خصيصاً للإمساك بهؤلاء "المستوطنين لفترات طويلة". وإليك كيف يعمل، مشروحاً من خلال تشبيهات بسيطة.
المشكلة: ضجيج "الإنذارات الكاذبة"
تخيل أنك حارس أمن في مبنى مكاتب ضخم. مهمتك هي رصد المتسللين.
- الأنظمة القديمة (الضجيج): أنظمة الأمان التقليدية تشبه الحراس الذين يصرخون "متسلل!" في كل مرة يلمس فيها شخص ما مقبض الباب. إذا فتح موظف شرعي باباً للسماح لعامل توصيل بالدخول، سيصرخ الحارس. وإذا فتح مخترق باباً للسماح لعميل سري بالدخول، سيصرخ الحارس أيضاً.
- النتيجة: يصرخ الحارس آلاف المرات يومياً. في معظم الأوقات، يكون هذا إنذاراً كاذباً (موظف عادي). وبسبب ذلك، يصاب فريق الأمن بـ "إجهاد التنبيه"؛ فهم متعبون جداً من الصراخ لدرجة أنهم يبدأون في تجاهل التنبيهات، أو قد يفوتهم الخطر الحقيقي لأنهم غارقون في الضجيج.
حل CPD: ربط النقاط ببعضها
أدرك المؤلفون أن هجوم الاستمرارية الحقيقي يحدث في مرحلتين متميزتين، مثل رقصة من خطوتين:
- الإعداد (The Setup): يزرع المخترق فخاً سرياً (مثل إخفاء مفتاح احتياطي تحت ممسحة الأرجل أو تغيير إعداد في السجل/Registry).
- التنفيذ (The Execution): لاحقاً، يستخدم المخترق (أو برنامجهم الآلي) ذلك الفخ للتسلل والعودة للسيطرة.
الأنظمة القديمة تنظر إلى هاتين الخطوتين بشكل منفصل. فهي ترى "وضع الفخ" وتصرخ "إنذار!" فوراً، حتى لو لم يتم استخدامه أبداً. كما أنها تفشل في إدراك الرابط بين وضع الفخ وبين عملية التسلل اللاحقة.
نظام CPD يغير قواعد اللعبة عبر الانتظار وربط النقاط ببعضها.
1. "الحافة الزائفة" (Pseudo-Edge): الخيط الخفي
تخيل أن المخترق وضع فخاً يوم الاثنين (الإعداد) واستخدمه يوم الجمعة (التنفيذ). في سجلات الحاسوب، سيبدو هذان الحدثان كحدثين مختلفين تماماً وغير مرتبطين.
- خدعة CPD: يقوم CPD بإنشاء "خيط خفي" خاص يسمى الحافة الزائفة (pseudo-edge). ينظر إلى حدث يوم الاثنين، ينتظر، ثم يمسح أحداث يوم الجمعة. إذا رأى اتصالاً مشبوهاً يتم إنشاؤه في يوم الجمعة يمكن ربطه بالفخ الذي وُضع يوم الاثنين، فإنه يربطهما معاً بهذا الخيط.
- النتيجة: بدلاً من تنبيهين منفصلين ومربكين، تحصل على قصة واحدة واضحة: "شخص ما وضع فخاً يوم الاثنين، واستخدمه يوم الجمعة". هذا يحول فوضى البيانات إلى سرد واضح.
2. "الحافة الموجهة من قبل الخبراء" (Expert-Guided Edge): ملء الفراغات
أحياناً، تفشل "كاميرا المراقبة" الخاصة بالحاسوب (السجلات) في رصد خطوة ما.
- التشبيه: تخيل أن المخترق يأمر روبوتاً (برنامج نظام) بفعل شيء سيء. يقوم الروبوت بذلك، لكن الكاميرا ترى فقط حركة الروبوت، وليس الأمر الذي أعطاه المخترق. هنا ينقطع الرابط.
- إصلاح CPD: يستخدم CPD ما يسمى بـ "الحواف الموجهة من قبل الخبراء". فكر في هذا كأنه محقق يعرف كيف يعمل المبنى. حتى لو فات الكاميرا رؤية الأمر، فإن المحقق يعرف: "إذا تحرك الروبوت بهذه الطريقة مباشرة بعد أن كتب المخترق ذلك الأمر، فلا بد أنهما مرتبطان".
- الفائدة: يتيح ذلك لـ CPD العثور على الأشرار حتى عندما تكون السجلات غير مكتملة، كما يوفر مساحة هائلة من التخزين لأنه لا يحتاج لتسجيل كل التفاصيل الصغيرة.
3. "خوارزمية الفرز" (Triage Algorithm): المرشح الذكي
حتى مع فحص الخطوتين، قد تبدو بعض البرامج العادية (مثل أداة التحديث التلقائي في حاسوبك) مشبوهة قليلاً. فهي تضع "فخاً" (مهمة مجدولة) للتحقق من التحديثات والاتصال بالإنترنت.
- الطريقة القديمة: يصرخ النظام "متسلل!" لأنه يرى مهمة مجدولة واتصالاً بالإنترنت.
- طريقة CPD: يعمل CPD كمحقق ذكي. فهو يتساءل: "هل يبدو هذا كهجوم حقيقي؟"
- الهجوم الحقيقي: يضع المخترق فخاً، ينتظر، ثم يستخدمه لسرقة الأسرار أو الانتقال إلى أجهزة أخرى.
- النشاط الطبيعي: أداة التحديث تضع فخاً، تنتظر، ثم تتصل بخادم معروف وآمن لتحميل تحديث (Patch).
- التقييم: يعطي CPD كل تنبيه "درجة تهديد" (Threat Score). إذا كان السلوك يشبه عملية تحديث عادية، تكون الدرجة منخفضة ويتم تجاهلها. أما إذا بدا وكأنه هجوم متعدد الخطوات بترميزات غريبة واتصالات مريبة، فإن الدرجة تكون عالية ويتم تمييزه للمراجعة البشرية.
النتائج: هدوء ودقة
اختبر البحث نظام CPD على عمليات محاكاة لهجمات واقعية وبيانات عامة.
- تقليل الضجيج: مقارنة بأفضل الأنظمة الموجودة، نجح CPD في تقليل الإنذارات الكاذبة بنسبة 93%. لقد منع الفريق الأمني من الصراخ بسبب الموظفين العاديين.
- السرعة: يمكنه معالجة هذه الاتصالات المعقدة في أقل من دقيقة.
- الوضوح: بدلاً من إعطاء محلل أمني آلاف الأسطر من الأكواد المربكة، يمنحه CPD خريطة مرئية نظيفة توضح بالضبط كيف حدث الهجوم، بدءاً من الإعداد الأولي وصولاً إلى الاختراق النهائي.
الملخص
فكر في CPD ليس كحارس يصرخ عند كل باب، بل كـ محقق يشاهد الفيلم كاملاً. إنه ينتظر ليرى ما إذا كان "الإعداد" سيؤدي إلى "جريمة". إذا حدث ذلك، فإنه يرسم خطاً بينهما. وإذا لم يحدث، فإنه يتجاوز الأمر. وهذا يسمح لفرق الأمن بالتركيز فقط على التهديدات الحقيقية، مما يوفر الوقت ويمنعهم من تفويت الأشرار المختبئين وسط الضجيج.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.