An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation
تقدم هذه الورقة Auto-Prov، وهو إطار عمل متكامل (end-to-end) يستفيد من النماذج اللغوية الكبيرة لبناء رسوم بيانية للمنشأ (provenance graphs) غنية بشكل تلقائي من سجلات غير متجانسة، مما يعزز أداء أنظمة كشف الشذوذ وقابليتها للتفسير مع دعم استقصاء المحللين من خلال ملخصات هجمات باللغة الطبيعية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن جهاز الكمبيوتر الخاص بك عبارة عن مدينة صاخبة. في كل مرة يعمل فيها برنامج، أو يُفتح ملف، أو يتم إجراء اتصال، يكون الأمر أشبه بمواطن يسير في شارع، أو يدخل مبنى، أو يتحدث إلى جار. في مجال الأمن السيبراني، نسمي هذه التفاعلات "السجلات" (Logs).
ما هي المشكلة؟ تولد المدن ملايين من هذه "الخطوات" كل يوم. معظمها طبيعي (مثل خباز يشتري الدقيق)، لكن بعضها قد يكون جزءًا من مؤامرة سرية (مثل جاسوس يسرق مخططات). يحاول خبراء الأمن (المحللون) العثور على الجواسيس من خلال فحص هذه السجلات، لكن السجلات فوضوية، ومكتوبة بلغات مختلفة، ومليئة بالتفاصيل المربكة مثل "معرف الخيط 404" (Thread ID 404) بدلاً من "الخباز".
حالياً، يتعين على الخبراء كتابة كتب قواعد معقدة يدوياً لترجمة هذه السجلات الفوضوية إلى خريطة واضحة توضح من فعل ماذا وبمن. وهذا أمر بطيء، وهش، وينهار بمجرد تغير تخطيط المدينة.
إليك Auto-Prov: "المخطط الذكي للمدينة"
يقدم البحث نظام Auto-Prov، وهو نظام يعمل كمخطط مدينة ذكي ومتكيف. بدلاً من الحاجة إلى إنسان لكتابة كتاب القواعد، يستخدم Auto-Prov ذكاءً اصطناعياً فائق الذكاء (يسمى النموذج اللغوي الكبير أو LLM) للقيع بالمهام الشاقة.
إليك كيف يعمل، مقسماً إلى أربع خطوات بسيطة:
1. المحقق الذي يتعلم أثناء العمل (تجميع السجلات - Log Clustering)
تخيل محققاً يدخل مدينة حيث تتغير لافتات الشوارع باستمرار. في يوم ما، يبدو السجل كملف JSON؛ وفي اليوم التالي، يبدو كرسالة نصية.
- الطريقة القديمة: يتوقف المحقق ويسأل بشراً: "ماذا تعني هذه اللافتة الجديدة؟"
- طريقة Auto-Prov: ينظر المحقق إلى شكل اللافتات. "آه، هذه اللافتات الثلاث تبدو متشابهة؛ لا بد أنها من نفس نوع الشارع". إنه يقوم بتجميع السجلات المتشابهة تلقائياً دون الحاجة إلى دليل تعليمات يدوي. إنه يفهم "لغة" السجلات أثناء عمله.
2. المترجم (بناء الخريطة)
بمجرد تجميع السجلات، يحتاج Auto-Prov إلى تحويلها إلى رسم بياني للمصدر (Provenance Graph). فكر في هذا الرسم البياني كشجرة عائلة ضخمة أو خريطة مترو توضح من أثر في من.
- التحدي: السجلات الخام تشبه كومة فوضوية من الإيصالات. "العملية 123 كتبت في الملف 456 في الساعة 5:00 مساءً". هي لا تقول لماذا أو ما هي هذه الأشياء حقاً.
- الحل: يستخدم Auto-Prov ذكاءً اصطناعياً قوياً (مثل GPT-4) لقراءة عينات قليلة من السجلات والقول: "حسناً، هذه 'العملية 123' هي في الواقع 'متصفح الويب'، وهي تقوم بـ 'تحميل' ملف".
- السحر: بمجرد أن يفهم الذكاء الاصطناعي النمط، فإنه يكتب قاعدة بسيطة وقابلة لإعادة الاستخدام (مثل الوصفة) يمكنها معالجة ملايين السجلات فوراً، محولةً الكومة الفوضوية إلى خريطة نظيفة ومترابطة.
3. شارة "المسمى الوظيفي" (السياق الوظيفي - Functional Context)
هذا هو الابتكار الأكبر في البحث.
- المشكلة: في الخريطة العادية، قد يكتفي العقد (Node) بذكر "الملف أ". ولكن هل "الملف أ" هو آلة حاسبة غير ضارة أم فيروس خطير؟ بدون معرفة وظيفته، يصعب التمييز بينهما.
- الحل: يمنح Auto-Prov كل عقدة في الخريطة شارة مسمى وظيفي.
- بدلاً من مجرد "العملية X"، يقول "معالج نصوص".
- بدلاً من "الاتصال Y"، يقول "متصفح ويب".
- لماذا هذا مهم؟ إذا حاول "معالج نصوص" فجأة "إرسال بريد إلكتروني سري" إلى شخص غريب، فهذا أمر مريب! لكن إذا قام "متصفح الويب" بذلك، فهو أمر طبيعي. من خلال فهم وظيفة الكيان، يمكن للنظام رصد السلوك الغريب بشكل أسرع بكثير. إذا رأى كياناً جديداً وغير معروف، فإنه ينظر إلى ما يفعله (سلوكه) ويخمن مسمّاه الوظيفي بناءً على ذلك.
4. الحكواتي (تلخيص الهجوم - Attack Summarization)
عندما يرصد النظام تهديداً، فإنه لا يكتفي بالصراخ "تنبيه!" وعرض رسم بياني ضخم ومربك.
- الطريقة القديمة: "إليك رسم بياني يحتوي على 5000 عقدة. حظاً سعيداً في العثور على المعتدي".
- طريقة Auto-Prov: يعمل كـ حكواتي. يأخذ الرسم البياني المعقد ويكتب قصة قصة باللغة الإنجليزية البسيطة (أو لغة مفهومة) للمحلل البشري.
- مثال: "بدأ المهاجم بخداع متصفح الويب (الوصول الأولي)، ثم استخدمه لتحميل أداة مخفية (التنفيذ)، وأخيراً حاول سرقة ملفات من محرر المستندات (تسريب البيانات)".
- حتى أنه يخمن هدف المهاجم (على سبيل المثال: "هذا يبدو كتاكتيك 'سرقة بيانات'") بحيث يعرف المحلل بالضبط ما الذي يجب أن يبحث عنه.
لماذا هذا مهم؟
فكر في الطريقة القديمة كمحاولة البحث عن إبرة في كومة قش عبر فحص كل قطعة قش يدوياً باستخدام عدسة مكبرة. Auto-Prov يشبه جهاز كشف المعادن الذي لا يجد الإبرة فحسب، بل يخبرك أيضاً: "هذه الإبرة هي على الأرجه جزء من خريطة كنز للقراصنة"، ويرسم لك صورة لسفينة القراصنة أيضاً.
النتائج:
اختبر الباحثون هذا النظام على بيانات واقعية مع أنواع مختلفة من أجهزة الكمبيوتر وأنواع مختلفة من المخترقين. ووجدوا أن:
- إنه يعمل بشكل أفضل: فهو يكتشف المزيد من الهجمات ويفوت عدداً أقل منها.
- إنه يتكيف: عندما يتغير نظام الكمبيوتر أو يتم تثبيت برامج جديدة، يستطيع Auto-Prov فهم الأمر تلقائياً دون الحاجة إلى تدخل بشري لإعادة كتابة القواعد.
- إنه يساعد البشر: الملخصات التي ينشئها واضحة ومفيدة، مما يجعل مهمة المحلل أسهل بكثير.
باخت الانتصار، يحول Auto-Prov الضجيج الرقمي الفوضوي والمربك إلى قصة واضحة ومفهومة لما يحدث في جهاز الكمبيوتر الخاص بك، مما يساعدك على رصد الأشرار قبل أن يتسببوا في المشاكل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.