HADES: Detecting Active Directory Attacks via Whole Network Provenance Analytics
يُعد HADES نظاماً مبتكراً لكشف التسلل قائماً على تتبع المصدر، يتغلب على قيود النهج الحالية المعتمدة على الأجهزة الفردية من خلال توظيف تقسيم التنفيذ القائم على جلسات تسجيل الدخول وتتبع الشبكة بأكملها عند الطلب للكشف بفعالية عن هجمات Active Directory المتخفية وتحليلها.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل مبنى مكاتب ضخم وعالي التقنية يسمى Active Directory (AD). يمتلك هذا المبنى المفاتح الرئيسية لكل غرفة وحاسوب وملف في شبكة الشركة. ولأن هذا المبنى مهم للغاية، فإن القراصنة (تحديداً النوع المتسلل طويل الأمد المعروف باسم "التهديدات المتقدمة المستمرة" أو APTs) يحبون اختراقه.
بمجرد أن يضعوا قدمهم داخل الباب، لا يكتفون بسرقة ملف واحد فحسب؛ بل يحاولون الانتقال من غرفة إلى أخرى، وسرقة المفاتيح على طول الطريق لفتح أكثر الأسرار قيمة.
المشكلة هي أن حراس الأمن التقليديين (أنظمة كشف التسلل القياسية) جيدون في رصد الشخص الذي يحطم نافذة باستخدام عتلة (برمجيات خبيثة)، لكنهم سيئون جداً في رصد شخص يسير بهدوء عبر الردهة باستخدام بطاقة موظف مسروقة، ويندمج مع الحشد.
هنا يأتي دور HADES، وهو نظام أمني جديد صممه الباحثون في هذه الورقة البحثية. فكر في HADES ليس كحارس يراقب كل شخص، بل كمحقق ذكي للغاية يستيقظ فقط عندما يسمع همساً مشبوهاً، ثم يعيد بناء القصة الكاملة لما حدث.
إليك كيف يعمل HADES، مقسماً إلى مفاهيم بسيطة:
1. استراتيجية المحقق "ذات المرحلتين"
لا يهدر HADES طاقته في مراقبة المبنى بأكمله على مدار الساعة. إنه يعمل في خطوتين:
المرحلة الأولى: مستشعر الحركة (كشف خفيف الوزن)
يستمع HADES أولاً لـ "همسات غريبة" في سجل الأحداث الخاص بالمبنى. إنه يبحث عن شذوذ في عمليات المصادقة—لحظات يحاول فيها شخص ما استخدام مفتاح بطريقة لا تبدو منطقية (مثل استخدام "تجزئة كلمة المرور" لتسجيل الدخول بدلاً من كلمة المرور نفسها).- التشبيه: تخيل حارساً لا يرفع رأسه إلا إذا سمع صوت فتح باب في الساعة 3 صباحاً. إذا فُتح الباب بشكل طبيعي في الساعة 9 صباحاً، يتجاهله الحارس. هذا يجعل النظام سريعاً وفعالاً.
المرحلة الثانية: إعادة بناء مسرح الجريمة (التتبع العميق)
بمجرد أن يعمل "مستشعر الحركة"، ينتقل HADES إلى وضع المحقق الكامل. يقوم بسحب خريطة ضخمة للمبنى ويبدأ في تتبع مسار المتسلل.- المشكلة في الخرائط القديمة: حاولت الأنظمة السابقة ربط كل جهاز لمس الأجهزة الأخرى عبر الشبكة. هذا خلق شبكة ضخمة وفوضوية من الاتصالات (مثل ربط كل شخص في المبنى صافح شخصاً آخر). كانت فوضوية للغاية لدرجة أنها أصبحت عديمة الفائدة.
- حل HADE S: يستخدم HADES مفهوماً يسمى "تقسيم التنفيذ القائم على جلسة تسجيل الدخول" (Logon Session Based Execution Partitioning).
- التشبيه: تخيل فندقاً. قد يستخدم الكثير من الناس نفس المصعد (اتصال الشبكة)، لكنهم في غرف مختلفة (جلسات تسجيل دخول). الأنظمة القديمة ستقول: "كل من استخدم المصعد متصل ببعضه!". أما HADES فيقول: "لا، لننظر إلى بطاقة المفتاح (معرف جلسة تسجيل الدخول - Logon Session ID). سوف نتتبع مسار الشخص المحدد الذي يحمل ذلك المفتاح فقط". هذا يقلل من الضجيج ويظهر بالضبط أين ذهب المتسلل، غرفة بغرفة.
2. حل لغز "سرقة الهوية"
غالباً ما يسرق القراصنة بيانات اعتماد المستخدم (مثل كلمة المرور) ويتظاهرون بأنهم هم.
- التحدي: إذا سرق قرصان كلمة مرور "أليس" وسجل دخوله إلى خادم، سيرى النظام أن "أليس" هي من تسجل الدخول. كيف يعرف HADES أن هذا هو القرصان فعلياً؟
- الحل: ينظر HADES إلى معرف جلسة تسجيل الدخول (Logon Session ID). حتى لو كان الاسم هو "أليس"، فقد يكون معرف الجلسة مختلفاً إذا سجل القرصان دخوله عبر طريقة معينة (مثل سطح المكتب البعيد) بدلاً من "أليس" الحقيقية. لدى HADES وحدات خاصة لتحديد كيف تمت عملية تسجيل الدخول وإعادة تعيين "معرف الجلسة" الصحيح للأنشطة، مما يضمن أن يتبع المحقق المسار الصحيح ولا يرتبك بالخيوط المضللة.
3. "درجة التهديد" (تحديد ما يهم)
بمجرد أن يبني HADES خريطة للهجوم، فإنه لا يطلق "إنذاراً!" لكل شيء. إنه يستخدم "درجة تهديد" (Threat Score) ليقرر مدى خطورة الموقف.
- يسأل: "هل سرقوا بيانات الاعتماد؟ هل حاولوا الانتقال إلى جهاز كمبيوتر جديد؟ هل حاولوا الوصول لمرتبة المدير (تصعيد الامتيازات)؟"
- إذا كانوا قد اكتفوا بالنظر حولهم، فالدرجة منخفضة. أما إذا سرقوا مفاتيح المدير وانتقلوا إلى الخزنة، فالدرجة عالية. هذا يساعد فرق الأمن على التركيز على حالات الطوارئ الحقيقية أولاً.
4. ما وجدته الورقة البحثية بالفعل
اختبر الباحثون HADES باستخدام هجمات محاكية لمجموعات قراصنة حقيقية (مثل APT29 و Oilrig).
- مقابل القواعد القياسية: قارنوا HADES بمجموعات قواعد مفتوحة المصدر شهيرة (مثل Sigma و Elastic). كانت القواعد القياسية مثل شبكة بها ثقوب: فاتهم هجمات حقيقية (نتائج سلبية خاطئة) أو ارتبكوا بسبب نشاط المستخدم الطبيعي (نتائج إيجابية خاطئة). بينما اصطاد HADES الهجمات الحقيقية وتجاهل الضجيج.
- مقابل المنتجات التجارية: اختبروا أيضاً منتجاً تجارياً رفيع المستوى وباهظ الثمن. ومن المثير للدهشة أن المنتج التجاري فاته معظم الهجمات (نسبة عالية من النتائج السلبية الخاطئة) لأنه كان صارماً للغاية ولم ينظر بعمق كافٍ في سجلات النظام. بينما اصطاد HADES كل شيء.
- السرعة: لأن HADES يقوم بالتتبع العميق فقط عندما يشتبه في وجود مشكلة، فإنه سريع جداً. يمكنه تحليل شبكة ضخمة وإنتاج خريطة هجوم مفصلة في ثوانٍ.
الملخص
HADES هو أداة أمنية جديدة تتوقف عن محاولة مراقبة الجميع طوال الوقت. بدلاً من ذلك، ينتظر إشارة مشبوهة، ثم يستخدم نظام "بطاقة المفتاح" الخاص به (معرفات جلسة تسجيل الدخول) لتتبع مسار القرصان الدقيق عبر الشبكة دون أن يضيع في بحر من الاتصالات الزائفة. إنه أسرع، وأكثر دقة، وأفضل في رصد القراصنة المتسللين من الأدوات القياسية الحالية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.