SoK: Harmonizing Attack Graphs and Intrusion Detection Systems

إليك ملخص تقني مفصل لورقة البحث بعنوان: "SOK: التناغم بين مخططات الهجوم وأنظمة كشف التسلل".

1. بيان المشكلة

تتناول الورقة التحدي الحرج المتمثل في اكتشاف والاستجابة للهجمات السيبرانية المعقدة ومتعددة المراحل في بيئات الشبكات ذات الحجم الكبير. فبينما تُعد أنظمة كشف التسلل (IDSs) فعالة في تحديد السلوكيات الشاذة الفردية، إلا أنها غالباً ما تعاني من:

• الإيجابيات الكاذبة (False Positives): تؤدي أحجام حركة المرور الضخمة إلى الإرهاق من التنبيهات.
• نقص الارتباط (Lack of Correlation): عدم القدرة على ربط التنبيهات المنعزلة عبر عقد مختلفة لإعادة بناء حملة هجوم كاملة.
• العمى السياقي (Contextual Blindness): صعوبة في فهم القصد الاستراتيجي للمهاجم.

على العكس من ذلك، توفر مخططات الهجوم (Attack Graphs - AGs) نموذج تهديد شامل يرسم مسارات استغلال الثغرات الأمنية والمسارات المحتملة للهجوم، مما يساعد في تخطيط الاستجابة وتقييم المخاطر. ومع ذلك، تعاني مخططات الهجوم من:

• مشكلات القابلية للتوسع (Scalability Issues): الانفجار التوافقي لمسارات الهجوم المحتملة يجعل التوليد في الوقت الفعلي أمراً صعباً.
• الطبيعة الاستاتيكية (Static Nature): تفشل مخططات الهجوم التقليدية غالباً في التكيف مع التغيرات الديناميكية في الشبكة في الوقت الفعلي.

الفجوة الجوهرية: رغم الاعتراف المبكر بالتآزر بين أنظمة كشف التسلل ومخططات الهجوم، إلا أن الأبحاث الحالية مجزأة. فالدمج الحالي عادة ما يكون أحادي الاتجاه (مثل استخدام تنبيهات نظام كشف التسلل لتقليم مخططات الهجوم، أو استخدام مخططات الهجوم لتصفية تنبيهات نظام كشف التسلل) واستاتيكياً (تكوين لمرة واحدة). هناك نقص في وجود إطار عمل موحد ومستمر يعامل نظام كشف التسللم ومخطط الهجوم كنظام متماسك ومتكيف قادر على التحسين التكراري.

2. المنهجية

أجرى المؤلفون دراسة لنظم المعرفة (Systematization of Knowledge - SoK) تضمنت مراجعة دقيقة لـ 73 ورقة بحثية أولية تم اختيارها من أصل 102 مقالاً مبدئياً.

• استراتيجية البحث: تم تنفيذ عمليات الاستعلام عبر قواعد البيانات البيبليوغرافية الرئيسية (ACM، IEEE، Springer، إلخ) باستخدام كلمات رئيسية تتعلق بـ "كشف التسلل"، "مخططات الهجوم"، "كشف الشذوذ"، و"ارتباط التنبيهات".
• معايير الاختيار: تم إدراج الأوراق فقط إذا كانت تصف صراحةً دمج مخططات الهجوم مع أنظمة كشف التسلل، مع تفصيل محركات الكشف المحددة، ونماذج مخططات الهجوم، وأهداف الدمج.
• تطوير التصنيف (Taxonomy): بناءً على أسئلة البحث (السؤال الأول: كيف يتم الربط بينهما؟ والسؤال الثاني: لأي غرض؟)، طور المؤلفون تصنيفاً جديداً يصنف النهج إلى أربعة أنواع متميزة:
  1. AG|IDS (توليد مخطط الهجوم بناءً على نظام كشف التسلل): استخدام مخرجات نظام كشف التسلل (التنبيهات) لبناء أو تحديث مخططات الهجوم.
  2. IDS[AG] (نظام كشف تسلل مدمج بمخطط الهجوم): دمج معرفة مخطط الهجوم مباشرة في خط معالجة الكشف الخاص بنظام كشف التسلل لتحسين القواعد أو الكشف أثناء التشغيل.
  3. IDS → AG (تحسين نظام كشف التسلل بناءً على مخطط الهجوم): استخدام مخططات الهجوم الموجودة مسبقاً للتحقق من صحة، أو تصفية، أو تحسين تنبيهات نظام كشف التسلل (على سبيل المثال، تقليل الإيجابيات الكاذبة).
  4. النهج الهجينة (Hybrid Approaches): الجمع بين اثنين أو أكثر من الفئات المذكورة أعلاه.

3. المساهمات الرئيسية

أ. التصنيف والتحليل الشامل

تقدم الورقة أول تصنيف منهجي لدمج مخططات الهجوم مع أنظمة كشف التسلل. وتشمل النتائج الرئيسية لتحليل 73 ورقة بحثية ما يلي:

• هيمنة التدفقات أحادية الاتجاه: يركز معظم البحث على مشكلات معزولة (مثل تقليل الإيجابيات الكاذبة فقط أو توليد المخططات فقط) بدلاً من التكامل الشامل.
• الانحياز التكنولوجي: هناك اعتماد كبير على أنظمة كشف التسلل القائمة على الشبكة (NIDS) والأنظمة القائمة على التواقيع (SIDS) لأن مخرجاتها الحتمية تتوافق بسهولة مع عقد مخطط الهجوم. أما أنظمة كشف الشذوذ (AIDS) وأنظمة كشف التسلل المستندة إلى المضيف (HIDS) فهي أقل استخداماً بسبب الفجوات الدلالية.
• محدودية البيانات: يعاني المجال من نقص في مجموعات البيانات الواقعية. تعتمد العديد من الدراسات على مجموعات بيانات قديمة (مثل DARPA2000) أو محاكاة اصطناعية، مما يحد من قابليتها للتطبيق في العالم الحقيقي.
• ضعف الاستفادة من تعلم الآلة (ML): بينما يُستخدم تعلم الآلة، إلا أنه غالباً ما يقتصر على النماذج البسيطة (شبكات بايز، سلاسل ماركوف). أما الشبكات العصبية الرسومية (GNNs) المتقدمة والنهج العصبي الرمزي (Neuro-Symbolic) فهي غير مستغلة إلى حد كبير رغم ملاءمتها للبيانات ذات البنية الرسومية.

ب. دورة حياة (AG-IDS) المقترحة

لمعالجة التجزئة والطبيعة الاستاتيكية للحلول الحالية، يقترح المؤلفون دورة حياة مستمرة لـ (AG-IDS). يؤسس هذا الإطار لحلقة تغذية راجعة ثنائية الاتجاه:

1. نظام كشف التسلل يُحسّن مخطط الهجوم: تُستخدم تنبيهات نظام كشف التسلل لتوليد أو تقليم مخططات الهجوم ديناميكياً، مع التركيز فقط على مسارات الهجوم النشطة وذات الصلة (مما يحسن القابلية للتوسع).
2. مخطط الهجوم يُحسّن نظام كشف التسلل: يتم تغذية نماذج مخطط الهجوم المحدثة مرة أخرى في نظام كشف التسلل لتعديل قواعد الكشف، والتحقق من التنبيهات، وتقليل الإيجابيات الكاذبة (مما يحسن الدقة).
3. التكيف التكراري: يقوم النظام بتحديث كل من قاعدة بيانات الثغرات ونماذج الكشف باستمرار، مما يسمح باستجابات سريعة للتهديدات الناشئة (مثل هجمات اليوم صفر/Zero-days).

ج. تنفيذ إثبات المفهوم (PoC)

قام المؤلفون بتنفيذ إثبات مفهوم باستخدام مجموعة بيانات CIC-IDS2017 للتحقق من دورة الحياة.

• الإعداد: عمل مصنف "شجرة القرار" (Decision Tree) كمحرك لنظام كشف التسلل، مدمجاً مع مخطط هجوم تم توليده من قواعد "التهديدات الناشئة" (Emerging Threats).
• التجارب: اختبروا ثلاث مراحل:
  1. AG|IDS: توليد مخططات الهجوم بناءً على تنبيهات نظام كشف التسلل.
  2. IDS[AG]: حقن وجود مسار مخطط الهجوم كخاصية (Feature) داخل نظام كشف التسلل.
  3. IDS → AG: استخدام مخططات الهجوم لمعالجة التنبؤات وتغيير نتائج الإيجابيات الكاذبة.

4. النتائج

أظهرت النتائج التجريبية تحسينات كبيرة في الأداء عبر دورات حياة النظام:

• القابلية للتوسع (AG|IDS):

  • أنتج التوليد الكلاسيكي لمخطط الهجوم 11,842 مسار هجوم (وقت الحوسبة: 32.23 ثانية).
  • أنتج التوليد القائم على نظام كشف التسلل 360 مساراً فقط (وقت الحوسبة: 0.37 ثانية)، مع التركيز فقط على الثغرات المستغلة.
  • النتيجة: التوليد المدفوع بنظام كشف التسلل أكثر كفاءة ووعياً بالسياق بشكل كبير.

• دقة الكشف (IDS[AG]):

  • أدى دمج معلومات مسار مخطط الهجوم في نظام كشف التسلل إلى تحسين الدقة (Accuracy) ومقياس F1 بنحو 1.4% وتقليل معدل الإيجابيات الكاذبة (FPR) بنحو 1.26%.
  • كانت المكاسب أكثر وضوحاً عندما كانت بيانات التدريب محدودة أو الخصائص غير موثوقة، مما يثبت أن مخطط الهجوم يعمل كسابقة هيكلية قوية.

• التحسين (IDS → AG):

  • استخدام مخططات الهجوم للتحقق من تنبؤات نظام كشف التسلل قلل من معدل الإيجابيات الكاذبة بنسبة ~1.27%.
  • كان التحسين أكثر فعالية عندما كان لنظام كشف التسلل أداء أساسي معقول، مما يؤكد أن مخططات الهجوم تعمل كـ "اختبار منطقي" (Sanity Check) للجدوى الهيكلية.

• المتانة (Robustness): حافظت دورة الحياة على مكاسب الأداء حتى مع تدهور جودة مخطط الهجوم (بإضافة مسارات عشوائية)، وإن كانت النتائج المثلى تتحقق مع مخططات عالية الجودة ومصممة خصيصاً.

5. الأهمية والتوجهات المستقبلية

تكمن أهمية هذه الورقة في نقل المجال من التكاملات المجزأة والاستاتيكية إلى دورة حياة ديناميكية وشاملة.

• الأثر النظري: وضعت الورقة تصنيفاً موحداً وحددت "الحلقة المفقودة" في الأبحاث الحالية: وهي غياب التكيف المستمر وثنائي الاتجاه.
• الأثر العملي: يثبت إثبات المفهوم (PoC) أن دمج مخططات الهجوم مع أنظمة كشف التسلل ليس سليماً نظرياً فحسب، بل هو أمر قابل للتطبيق عملياً، حيث يوفر تحسينات ملموسة في القابلية للتوسع (توليد أسرع للمخططات) والدقة (تقليل الإيجابيات الكاذبة).
• الفرص المستقبلية: حدد المؤلفون عدة اتجاهات بحثية حاسمة:
  • الذكاء الاصطناعي العصبي الرمزي (Neuro-Symbolic AI): الجمع بين الاستدلال الرمزي لمخطط الهجوم والتعلم العصبي من أجل كشف قابل للتفسير ومتكيف.
  • توحيد مجموعات البيانات: إنشاء مجموعات بيانات شاملة تتضمن كلاً من حركة مرور الشبكة وجرد الثغرات الأمنية.
  • التكامل متعدد المصادر: تجاوز مصادر (IDS/AG) الفردية للتعامل مع بيئات المؤسسات المعقدة متعددة الطبقات (مثل السحابة، إنترنت الأشياء، وأنظمة SCADA).
  • الأتمتة: الاستفادة من أدوات مثل LangChain للأنظمة الوكيلة (Agentic Systems) لأتمتة رسم خرائط التكتيكات والتقنيات والإجراءات (TTPs).

في الختام، تجادل الورقة بأن مستقبل أمن الشبكات يكمن في التناغم بين الكشف (IDS) والنمذجة (AG) في حلقة ذاتية التحسين، بدلاً من معاملتهما كأدوات منفصلة واستاتيكية.