Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt
تقدم هذه الورقة نظاماً للتحكم في الوصول القائم على المخاطر في الوقت الفعلي لنظام لينكس، يستفيد من تتبع وظائف النواة عالي الدقة والتعلم الآلي لفرض سياسات SELinux ديناميكياً، مما يؤدي بفعالية إلى حظر تشفير برامج الفدية مع الحفاظ على العمليات التشفيرية المشروعة بأقل قدر من الأعباء الإضافية على الأداء.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن جهاز الكمبيوتر الخاص بك هو مبنى مكاتب مزدحم وعالي الأمن. في الداخل، توجد ملايين الوثائق (ملفاتك). عادةً، يدخل الناس ويخرجون، ويفتحون الأدراج ويغلقونها للقيام بأعمالهم. هذا أمر طبيح.
ولكن بعد ذلك، يحدث هجوم برمجيات فدية (Ransomware). تخيل هذا الأمر كأنها مجموعة من اللصوص الذين لا يكتفون بسرقة الوثائق فحسب، بل يأخذون آلة تمزيق ضخمة ويبدأون في تدمير كل ملف في المبنى، محولين إياه إلى قصاصات ورق غير قابلة للقراءة، بينما يطالبون بفدية لاستعادةها.
المشكلة هي أن هؤلاء اللصوص سريعون جداً. وبحلول الوقت الذي يدرك فيه حارس الأمن (برنامج مكافحة الفيروسات التقليدي) ما يحدث، يكون نصف المبنى قد تم تمزيقه بالفعل.
تقدم هذه الورقة نظام أمان جديداً وأكثر ذكاءً يسمى "التحكم في الوصول القائم على المخاطر" (Risk-Based Access Control). وإليك كيف يعمل، مشروحاً ببساطة:
1. الأذن فائقة الحساسية (المتتبع - The Tracer)
معظم أنظمة الأمان تستمع للأصوات العالية (مثل انغلاق الباب بقوة). يستخدم هذا النظام الجديد "أذناً فائقة الحساسية" تسمى ftrace. بدلاً من مجرد الاستماع لانغلاق الباب، فإنه يستمع إلى "نبض القلب" للنظام الكهربائي للمبنى.
إنه يراقب الخطوات الصغيرة وغير المرئية التي يتخذها الكمبيوتر أثناء معالجة البيانات. يمكنه التمييز بين أمين مكتبة ينظم الكتب بهدوء (تشفير مشروع) وبين لص يمزق الأوراق بجنون (برمجيات فدية) بمجرد مراقبة كيفية تحريك أيديهم وسرعة تنفسهم.
2. فريق أمن ثنائي الطبقات
يستخدم النظام حارسين يعملان معاً لإيقاف الهجوم قبل أن يصبح خطيراً:
- الحارس (أ): متبع القواعد (الحارس "السريع")
لديه قائمة مراجعة بسيطة. "إذا حاول شخص ما الكتابة في 50 ملفاً في ثانية واحدة، أوقف العملية". إنه سريع للغاية ولا يحتاج للتفكير بعمق. إنه يمسك باللصوص المبتدئين والخرقاء فوراً. - الحارس (ب): المحقق (الحارس "الذكي")
هذا حارس ذكاء اصطناٍعي (AI) تم تدريبه على آلاف الأمثلة من اللصوص. إنه ينظر إلى نمط الحركة. حتى لو كان اللص يحاول أن يكون متسللاً وبطيئاً، فإن المحقق يتعرف على "إيقاع التمزيق" ويقول: "هذا ليس أمين مكتبة؛ هذا مجرم".
السر السحري: يعملان معاً. إذا رأى الحارس السريع شيئاً مريباً، فإنه يوقف الإجراء. وإذا فات الحارس السريع الأمر، فإن المحقق الذكي يمسك به. إذا قال أي منهما "توقف"، يتم حظر الإجراء فوراً.
3. "القفل الذكي" (SELinux)
بمجرد أن يقول الحراس "توقف"، هم لا يكتفون بالصراخ؛ بل يقومون بقلب مفتاح رئيسي في "قفل ذكي" (يسمى SELinux).
في الكمبيوتر العادي، إذا سُمح لبرنامج بفتح ملف، فبإمكانه عادةً فعل أي شيء به. لكن هذا النظام يضيف طبقة من القواعد:
- "أنت (OpenSSL) مسموح لك بتشفير الملفات في مجلد منزلك الخاص فقط".
- "لكن ليس مسموحاً لك بتشفير الملفات في غرفة الخادم المشتركة".
- "وليس مسموحاً لك بتشفير الملفات إذا كنت تعمل بصلاحية المستخدم (ب)".
إذا حاول مخترق اختطاف برنامج موثوق (مثل أداة تشفير شرعية) لتشفير الملفات الخطأ، فإن القفل الذكي يغلق الباب في وجهه فوراً. لا يهم مدى قوة البرنامج؛ فالقواعد تقول "لا".
4. لماذا هذا أفضل من الطرق القديمة؟
- الطريقة القديمة (الصندوق الرملي - Sandbox): تخيل وضع الكمبيوتر داخل صندوق زجاجي (آلة افتراضية) لمراقبة ما يحدث. إنه آمن، لكنه بطيء، ثقيل، ومكلف. إنه يشبه وضع مبنى مكاتب كامل داخل فقاعة عملاقة لمجرد مراقبة شخص واحد.
- الطريقة القديمة (مراقب استدعاءات النظام - Syscall Monitor): هذا يشبه مراقبة من يدخل من الباب الأمامي. إنه جيد، لكنه يفتقد لما يحدث داخل الغرفة.
- هذه الطريقة: إنها مثل وجود كاميرا داخل الغرفة تراقب الأيدي. إنها ترى حركات التشفير المحددة والدقيقة قبل وقوع الضرر، دون الحاجة إلى صندوق زجاجي ثقيل.
النتيجة
قام الباحثون ببناء نموذج أولي لهذا النظام. واختبروه ضد برمجيات فدية حقيقية ووجدوا:
- السرعة: أوقف الهجمات في أجزاء من الثانية (أسرع من رمشة عين الإنسان).
- الدقة: نادراً ما منع البرامج الجيدة (مثل عندما تحفظ ملفاً بشكل مشروع)، لكنه أمسك بمعظم البرامج السيئة.
- الأمان: حتى لو سيطر مخترق على برنامج موثوق، فإن قواعد النظام منعتهم من تشفير الملفات الخطأ.
العقبة (والمستقبل)
في الوقت الحالي، هذا النظام يشبه حارس أمن عالي التقنية، وهو فعال جداً ولكنه "يتعب" قليلاً (يستهلك الكثير من ذاكرة الكمبيوتر) إذا أصبح المبنى فوضوياً للغاية. يعترف الباحثون بأنه لكي يعمل هذا النظام على كل أجهزة المكاتب في العالم، يحتاجون لجعل الحارس "أخف" وأسرع عبر نقل العمل إلى أعماق "دماغ" الكمبيوتر (النواة - Kernel).
باختصار: تقترح هذه الورقة طريقة لإيقاف برمجيات الفدية عن طريق مراقبة "نبض قلب" الكمبيوتر لرصد الجريمة في ثوانيها الأولى، باستخدام قفل ذكي قائم على القواعد لتجميد المهاجم فوراً قبل أن يتمكن من تدمير بياناتك.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.