Mining the YARA Ecosystem: From Ad-Hoc Sharing to Data-Driven Threat Intelligence
تكشف هذه الدراسة أن منظومة "يارا" (YARA) مفتوحة المصدر، رغم اعتمادها الواسع، تعاني من بنية مركزية وراكدة ومنخفضة الجودة تعمل كـ "سلسلة توريد استاتيكية" من التوقيعات غير الموثوقة، مما يستلزم تحولاً جذرياً من الجمع العشوائي إلى هندسة القواعد الصارمة القائمة على البيانات.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل عالم الأمن السيبراني كمكتبة ضخمة ومزدحمة مخصصة للإيقاع باللصوص الرقميين. "الكتب" في هذه المكتبة تسمى قواعد YARA. فكر في قاعدة YARA كأنها "ملصق مطلوب" محدد يستخدمه حراس الأمن (برامج مكافحة الفيروسات) لرصد المجرمين. إذا تطابقت ملف في جهاز الكمبيوتر الخاص بك مع الوصف الموجود على الملصق (مثل: "يرتدي قبعة حمراء وشاربًا مزيفًا")، فإن الحارس يطلق الإنذار.
لسنوات، كان مجتمع الأمن السيبراني يبني هذه المكتبة عبر مشاركة هذه "الملصقات المطلوبة" مجانًا على الإنترنت. كان الافتراض هو: كلما زادت الملصقات التي نملكها، زاد أماننا.
هذه الورقة البحثية هي بمثابة عملية تدقيق شاملة لتلك المكتبة. فقد دخل الباحثون، وعدّوا كل ملصق، وتحققوا من هو من كتبها، واختبروا ما إذا كانت تعمل بالفعل. وما وجدوه كان صادمًا: المكتبة في حالة فوضى. إنها ضخمة، لكنها مليئة باللافتات القديمة، والمكسورة، والمربكة التي قد تسبب مشا ගැ في الواقع أكثر من الحلول التي تقدمها.
إليك تفصيل نتائجهم باستخدام تشبيهات بسيطة:
1. مشكلة "النسخ واللصق" (التكرار المفرط)
تخيل لو أن 1,000 شخص في مدينة ما كتبوا جميعًا "ملصق مطلوب" لنفس اللص. ولكن بدلاً من مشاركة الأصل، قام الجميع فقط بعمل نسخة ضوئية لنسخة ضوئية، مع إضافة خطأ مطبعي صغير، أو تغيير لون الخط.
- النتيجة: وجد الباحثون 8.4 مليون قاعدة، ولكن بعد تنظيفها، تبين أنها في الواقع حوالي 94,000 فكرة فريدة فقط.
- التشبيه: الأمر يشبه مكتبة تحتوي على 8 ملايين كتاب، لكن 90% منها هي مجرد نسخ ضوئية من 94,000 قصة أصلية. هذا يخلق "سلسلة توريد استاتيكية". فعندما يقوم المؤلف الأصلي بتحديث ملصقه، فإن آلاف النسخ الضوئية الموجودة على الرفوف الأخرى لا يتم تحديثها. فتتحول إلى قواعد "زومبي" (ميتة)—معلومات ميتة تبدو وكأنها حية.
2. "المؤلفون المشاهير" (المركزية)
قد تعتقد أن الآلاف من الناس يكتبون هذه القواعد، لكنها في الواقع نادٍ صغير جدًا.
- النتيجة: 10 أشخاص فقط (حوالي 1.3% من جميع المؤلفين) مسؤولون عن 80% من القواعد التي يستخدمها الجميع بالفعل.
- التشبيه: الأمر يشبه بلدة حيث يكتب 10 طهاة مشهورين جميع الوصفات التي يأكلها الجميع. إذا توقف هؤلاء الطهاة العشرة عن الطبخ أو ارتكبوا خطأً، فستتضور البلدة جوعًا أو تصاب بالتسمم الغذائي. بقية المجتمع يكتفي فقط بنسخ ما فعله "العشرة الكبار" منذ سنوات.
3. مشكلة "الأخبار القديمة" (الركود)
المكتبة مليئة بالكتب، لكنها قديمة للغاية.
- النتيسة: متوسط الوقت بين إنشاء القاعدة وظهورها في مكتبات الآخرين هو 4.2 سنة. بعض القواعد عمرها أكثر من 12 عامًا.
- التشبيه: تخيل كشكًا للصحف لا يبيع إلا صحفًا من عام 2010. إذا بدأ مجرم جديد باستخدام هاتف ذكي في عام 2024، فسيظل الحراس يبحثون عن مجرم يحمل هاتفًا بدائيًا (Flip Phone). المكتبة هي "كبسولة زمنية"، وليست بثًا مباشرًا.
4. "العقوبة المزدوجة" (أسوأ أنواع القواعد)
هذا هو الاكتشاف الأكثر خطورة. اختبر الباحثون القواعد مقابل برمجيات خبيثة حقيقية وبرمجيات "جيدة". ووجدوا فئة من القواعد سيئة بطريقتين في آن واحد:
- إنها بطيئة: تجعل الكمبيوتر يعمل ببطء شديد (مثل حارس يستغرق 10 دقائق لفحص شخص واحد).
- إنها خاطئة: تصرخ "لص!" عندما يكون الملف في الواقع غير ضار (مثل حارس يعتقل ساعي البريد).
- التشبيه: هذه هي "القواعد السامة". استخدامها يشبه توظيف حارس أمن كسول (بطيء) ومرتاب (يعتقل الأبرياء). تستمر الشركات في استخدامها لأنها "مجانية"، لكنها في الواقع تكلف الشركة المال والوقت.
5. "النقطة العمياء" (التهديدات الخاطئة)
المكتبة مهووسة بالمجرمين الخطأ.
- النتيجة: القواعد تركز بشدة على برامج الفدية (Ransomware) (المجرمين الصاخبين والملفتين للنظر الذين يقفلون ملفاتك ويطالبون بالمال). ومع ذلك، فهي سيئة جدًا في رصد أدوات التحميل والسرقة (Loaders and Stealers) (اللصوص الهادئين والمتسللين الذين يدخلون أولاً لسرقة كلمات مرورك).
- التشبيه: الحراس جميعهم يقفون عند الباب الأمامي، يصرخون في وجه أي شخص يحمل خزنة كبيرة وصاخبة (برامج الفدية). وفي الوقت نفسه، يسير اللصوص الصغន់ (النشالون) بجانبهم بهدوء، ويسرقون محفظتك، ولا يلاحظ أحد ذلك. لقد استجابت المكتبة فورًا للجرائم الصاخبة (0 يوم تأخير)، لكنها استغرقت 12 عامًا لكتابة قاعدة لواحد من اللصوص الهادئين والخطيرين.
الخلاصة الكبرى
تجادل الورقة بأننا بحاجة إلى التوقف عن معاملة هذه القواعد المشتركة كـ "تفريغات بيانات مجانية" والبدء في معاملتها كـ برمجيات هندسية تحتاج إلى هندسة دقيقة.
- الوضع الحالي: "إليكم كومة من 8 ملايين قاعدة. حظًا موفقًا!" (مشاركة عشوائية).
- الوضع المطلوب: "إليكم تغذية منتقاة، مختبرة، ومحدثة من القواعد عالية الجودة." (تقييم قائم على البيانات).
باختًا: نظام YARA مفتوح المصدر هو مستودع ضخم ومغبر مليء بـ "الملصقات المطلوبة" القديمة، والمكسورة، والمكررة. للبقاء آمنين، لا يمكن لفرق الأمن مجرد التقاط حفنة من هذه الملصقات؛ بل يجب أن يكونوا أكثر حذرًا، وانتقائية، واستباقية بشأن القواعد التي يستخدمونها بالفعل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.