QUT-DV25: A Dataset for Dynamic Analysis of Next-Gen Software Supply Chain Attacks
تقدم الورقة البحثية QUT-DV25، وهي مجموعة بيانات تحليل ديناميكي جديدة تتميز بآثار تنفيذ في الوقت الفعلي من أكثر من 14,000 حزمة بايثون، والمصممة لسد الفجوة في اكتشاف هجمات سلاسل توريد البرمجيات المعقدة ومتعددة المراحل التي تتهرب من طرق الكشف التقليدية القائمة على التحليل الساكن والبيانات الوصفية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
"حصان طروادة" في صندوق أدواتك الرقمي: شرح QUT-DV25
تخيل أنك نجار محترف. للقيام بعملك، تشتري أدوات من مستودع عالمي ضخم يسمى "مستودع الأدوات" (هذا يشبه PyPI، وهو المكان الذي يحصل منه المبرمجون على أكواد جاهزة). معظم الأدوات رائعة، ولكن في بعض الأحيان يتسلل شخص سيء النية بـ "حصان طروادة" إلى المستودع.
هذه ليست مجرد مطارق مكسورة؛ بل هي أدوات "ذكية". قد يبدو المفك طبيعيًا تمامًا على الرف، ولكن بمجرد إحضاره إلى ورشتك والبدء في استخدامه، يفتح قسم مخفي صغير، ويخرج منه جاسوس مصغر ويبدأ في سرقة مخططاتك أو فتح بابك الخلفي.
المشكلة: حارس الأمن الذي يكتفي بـ "النظر إلى الصور فقط"
في الوقت الحالي، تعتمد "حراس الأمن" الذين يحمون المستودع الرقمي بشكل أساسي على النظر إلى الملصقات الموجودة على الصناديق (البيانات الوصفية - Metadata) أو المخططات الخاصة بالأدوات (التحليل الساكن - Static Analysis).
إذا كان اللص ذكيًا، يمكنه جعل الصندوق يبدو متطابقًا مع علامة تجارية مشهورة، وجعل المخططات تبدو آمنة تمامًا. سيرى حارس الأمن ملصق "مطرقة قياسية" ومخططًا لـ "فولاذ صلب" ويسمح بمرورها. الحارس لا يستخدم المطرقة فعليًا ليرى ما إذا كانت تحتوي سرًا على جاسوس. لهذا السبب تنجح الهجمات الحديثة "من الجيل التالي"؛ فهي تنتظر حتى تصبح داخل منزلك قبل أن تكشف عن طبيعتها الحقيقية.
الحل: QUT-DV25 (مختبر المراقبة عالي التقنية)
قام فريق من الباحثين من أستراليا ببناء شيء أكثر ذكاءً بكثير: QUT-DV25.
بدلاً من مجرد النظر إلى الصندوق، قاموا ببناء "مختبر اختبار" معزول وعالي التقنية (Sandbox). عندما تصل أداة جديدة، هم لا يكتفون بالنظر إليها فحسب؛ بل يأخذونها بالفعل إلى المختبر، ويضعونها قيد العمل، ويراقبونها عبر كاميرا مجهرية عالية السرعة.
للقيام بذلك، يستخدمون تقنية تسمى eBPF. فكر في eBPF كأنه "مستشعر فائق" مدمج في جدران المختبر نفسها. هو لا يراقب الأداة فحسب، بل يراقب كل حركة صغيرة تقوم بها:
- "آثار الأقدام" (إدخال وإخراج الملفات - File I/O): هل قامت الأداة بنقل ملفات لم يكن من المفترض أن تحركها؟
- "المكالمات الهاتفية" (حركة مرور الشبكة - Network Traffic): هل حاولت الأداة "الاتصال بالمنزل" بشخص غريب ومشبوه؟
- "نبض القلب" (نداءات النظام - System Calls): هل بدأت الأداة فجأة في التصرف بشكل غير طبيعي أو تحاول السيطرة على إمدادات الطاقة في المختبر؟
ماذا وجدوا؟
اختبر الباحثون أكثر من 14,000 "أداة" ووجدوا أن عددًا كبيرًا منها كان يخفي أسرارًا خبيثة.
الجزء الأكثر إثارة للإعجاب؟ نظام "المستشعر الفائق" الخاص بهم كان جيدًا جدًا لدرجة أنه كشف عن أربع حزم برمجية خبيثة كان الجميع يعتقد أنها آمنة تمامًا. كانت هذه الحزم تمتلك آلاف التنزيلات وتقبع في "المستودع" دون أن يتم اكتشافها. وبمجرد أن وجدها الباحثون، قاموا بالإبلاغ عنها، وتمت إزالة الحزم الخبيثة.
لماذا يهمك هذا؟
حتى لو لم تكن مبرمجًا، فأنت تعيش في عالم مبني على هذا الكود. التطبيقات على هاتفك، والبرامج في سيارتك، والأنظمة التي تدير مصرفك، كلها تعتمد على هذه "الأدوات".
من خلال إنشاء QUT-DV25، قدم هؤلاء الباحثون "دليل تدريب" جديدًا لحراس الأمن القائمين على الذكاء الاصطناعي. لقد منحوا العالم وسيلة للانتقال من مرحلة "النظر إلى الملصق" إلى مرححة "مراقبة السلوك"، مما يجعل من الصعب جدًا على الجواسيس الرقميين الاختباء في وضح النهار.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.