PIDSMaker: Building and Evaluating Provenance-based Intrusion Detection Systems
تقدم هذه الورقة PIDSMaker، وهو إطار عمل مفتوح المصدر يوحد ثمانية من أنظمة كشف التسلل القائمة على تتبع المصدر والأكثر تطوراً في بنية معيارية ذات بروتوكولات موحدة، مما يتيح تقييماً ومقارنة قابلة للتكرار وعادلة وفعالة داخل مجتمع أبحاث أنظمة كشف التسلل القائمة على تتبع المصدر (PIDS).
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول بناء نظام أمني لمدينة ضخمة وصاخبة. هذه المدينة هي حاسوبك، والناس الذين يتحركون، ويفتحون الأبواب، ويتحدثون مع بعضهم البعض هم العمليات البرمجية والملفات.
لسنوات، حاول باحثون أمنيون بناء "كاميرات ذكية" (تسمى أنظمة كشف التسلل القائمة على المصدر - Provenance-based Intrusion Detection Systems أو PIDS) لمراقبة هذه المدينة. هذه الكاميرات لا تكتفي بالبحث عن شخص يرتدي قناعاً فحسب؛ بل تراقب تاريخ الأفعال. هل دخل ذلك الشخص إلى البنك، ثم المكتبة، ثم محطة الطاقة بترتيب غريب؟ هذا هو "رسم المصدر البياني" (Provenance Graph) — وهو خريطة توضح من فعل ماذا، ومتى، وكيف.
المشكلة: الجميع يستخدم مساطر مختلفة
يوضح البحث أنه بينما تصبح هذه الكاميرات الذكية أفضل في رصد "التهديدات المتقدمة المستمرة" (Advanced Persistent Threats) — أي المخترقين المتسللين والمراوغين — فإن مقارنتها أمر كابوسي. الأمر يشبه محاولة الحكم على سباق حيث:
- العداء (أ) يقيس المسافة بـ الأميال.
- العداء (ب) يقيس بـ الكيلومترات.
- العداء (ج) يبدأ السباق متأخراً بـ 10 دقائق.
- العداء (د) يحسب خط النهاية بشكل مختلف.
في عالم الأبحاث، يعني هذا أن كل فريق يستخدم طرقاً مختلفة لتنظيف البيانات، وطرقاً مختلفة لتقسيم بيانات الاختبار الخاصة بهم، وقواعد مختلفة لما يعتبر "فوزاً". وهذا يجعل من المستح المستحيل معرفة أي نظام هو الأفضل حقاً. بالإضافة إلى ذلك، إذا أراد باحث جديد اختبار فكرة جديدة، فعليه إعادة بناء مضمار السباق بأكمله من الصفر في كل مرة، مما يضيع شهوراً من العمل.
الحل: PIDSMAKER (مضمار السباق العالمي)
قام المؤلفون ببناء PIDSMAKER. فكر في هذا كـ مجموعة قطع "ليجو" (LEGO) ضخمة ونمطية لبناء الأنظمة الأمنية.
بدلاً من أن يقوم كل باحث ببناء مضمار سباق خاص به، يوفر PIDSMAKER مضماراً واحداً موحداً حيث يجب على الجميع الركض فيه. إليك كيف يعمل ذلك بتبسيط:
1. المطبخ النمطي (البنية التحتية)
تخيل مطبخاً عالي التقنية حيث يمكنك استبدال الأجهزة دون إعادة بناء الغرفة بأكملها.
- المكونات (البيانات): يأخذ PIDSMAKER البيانات "الفوضوية" الخام من المدينة وينظفها بطريقة معيارية (مثل غسل وتقطيع الخضروات).
- الأدوات (المكونات): يمكنك مزج واستخدام أجزاء مختلفة. هل تريد استخدام "شبكة عصبية رسومية" (عقل متطور) من النظام (أ)، ولكن "تمثيل نصي" (طريقة لفهم الكلمات) من النظام (ب)؟ لا مشكلة. فقط قم بتركيب القطع معاً.
- الوصفة (تكوين YAML): ليس عليك أن تكون طباخاً ماهراً (مبرمجاً) لتغيير الوصفة. ما عليك سوى كتابة قائمة بسيطة (ملف YAML) تقول: "استخدم الخلاط من اليسار، والفرن من اليمين، واخبز لمدة 20 دقيقة".
2. ميزة "حفظ اللعبة" (التخزين المؤقت - Caching)
في الأيام الخوالي، إذا أردت اختبار درجة حرارة فرن جديدة، كان عليك غسل الخضروات وتقطيعها بالكامل مرة أخرى. PIDSMAKER ذكي: فهو يتذكر الخضروات المقطعة. إذا قمت بتغيير درجة حرارة الفرن فقط، فسيتخطى عملية التقطيع وينتقل مباشرة إلى الخبز. هذا يوفر ساعات من وقت الحوسبة.
3. "الحكم العادل" (التقييم المعياري)
يعمل PIDSMAKER كحكم صارم. فهو يضمن:
- أن الجميع يركض على نفس البيانات.
- أن الجميع يستخدم نفس تعريف "الرجل السيئ" (الحقيقة الأرضية - Ground Truth).
- أن الجميع يجري السباق عدة مرات للتأكد من أن الفائز لم يكن مجرد محظوظ (التحقق من عدم الاستقرار).
لماذا هذا مهم؟
قبل PIDSMAKER، كانت مقارنة الأنظمة الأمنية تشبه مقارنة التفاح بالبرتقال لأن الجميع استخدم مقاييس مختلفة. الآن، أصبحت تشبه مقارنة التفاح بالتفاح على مقياس واحد تمت معايرته بدقة.
- للباحثين: يمكنهم التوقف عن إضاعة الوقت في إعادة بناء نفس الأدوات والبدء في ابتكار طرق جديدة للإيقاع بالمخترقين.
- للمجتمع العلمي: إنه يخلق لغة مشتركة. إذا تفوق النظام (X) على النظام (Y) في PIDSMAKER، فيمكننا حقاً الوثوق بأن النظام (X) هو الأفضل.
الخلاصة
PIDSMAKER هو مجموعة أدوات تحول العالم الفوضوي والمضطرب لأبحاث الأمن السيبراني إلى علم منظم وعادل وفعال. إنه يسمح للباحثين بالتوقف عن الجدال حول قواعد اللعبة والبدء في اللعب للفوز ضد المخترقين الحقيقيين في العالم الواقعي.
باختاً: إنه "جهاز التحكم عن بعد العالمي" لاختبار أمن الكمبيوتر، مما يسمح لك باستبدال الأجز، وإجراء اختبارات عادلة، ومعرفة أي نظام أمني هو البطل الحقيقي أخيراً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.