ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance
يُعد ProHunter نظاماً لصيد التهديدات المتقدمة المستمرة (APT) مستقلاً عن المنصات، يعالج أوجه القصور في النهج القائمة على تتبع المصدر من خلال توظيف التجريد الدلالي، وأخذ العينات الرسومية المدفوعة بالاستدلال، والتعزيز التكيفي للميزات لتخزين بيانات المصدر واسعة النطاق بكفاءة، وتقسيم سلوكيات الهجوم بدقة، وسد الفجوات الدلالية بين تقارير استخبارات التهديدات السيبرانية (CTI) وسجلات النظام، مما يجعله يتفوق على الأنظمة الرائدة حالياً في كل من الكفاءة والدقة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن جهاز الكمبيوتر الخاص بك عبارة عن مدينة ضخمة وصاخبة. كل يوم، تحدث ملايين الأشياء: أشخاص (عمليات/Processes) يفتحون أبواباً (ملفات)، ويرسلون رسائل (بيانات شبكة)، ويتحدثون مع بعضهم البعض. في الحالات العادية، هذا هو مجرد شكل الحياة اليومية. ولكن أحياناً، تتسلل مجموعة من الجواسيس (التهديدات المتقدمة المستمرة - APTs). هم لا يفجرون البنك؛ بل يتحركون ببطء وهدوء، ويندمجون مع الحشود لشهور، ويسرقون الأسرار شيئاً فشيئاً.
اكتشاف هؤلاء الجواسيس أمر صعب للغاية لأنهم يبدون تماماً مثل المواطنين العاديين.
ProHunter هو نظام تحقيق ذكي للغاية، صُمم للعثور على هؤلاء الجواسيس. إليك كيف يعمل، مقسماً إلى ثلاثة أجزاء بسيطة باستخدام تشبيهات من الحياة اليومية.
1. المشكلة: الكثير من الأوراق الرسمية
تخيل محققاً يحاول حل جريمة من خلال قراءة كل إيصال، وتذكرة حافلة، وطلب قهوة من المدينة بأكملها لآخر 90 يوماً.
- المشكلة: كمية البيانات ضخمة جداً لدرجة أنها قد تملأ مكتبة كاملة. أدوات التحقيق التقليدية (أنظمة الأمان القديمة) تحاول قراءة هذه المكتبة بأكملها في وقت واحد. فتصاب بالارتباك، وتنفد ذاكرتها (مثل إصابة الدماغ بصداع)، ولا تستطيع مواكبة الحدث.
- الطريقة القديمة: كما أنها تواجه صعوبة في التمييز بين الجاسوس والشخص العادي لأن الجاسوس يرتدي تنكراً (باستخدام أوامر تبدو طبيعية).
2. حل ProHunter: حقيبة أدوات المحقق ذات الثلاث مراحل
يحل ProHunter هذه المشكلة عبر عملية مكونة من ثلاث مراحل، والتي يسميها البحث الورقي "خط الإنتاج" (The Pipeline).
الخطوة 1: "خزانة الملفات الذكية" (كفاءة الذاكرة)
بدلاً من الاحتفاظ بكل إيصال في كومة ضخمة، يقوم ProHunter ببناء خزانة ملفات ذكية.
- كيف تعمل: يستخدم خدعة تسمى "التجريد الدلالي" (Semantic Abstraction). بدلاً من كتابة الاسم الدقيق لكل ملف (مثل:
C:\Users\Bob\Documents\secret_plan_v2_final.doc)، يكتب فقط فئة: "مستند". - التشبيه: تخيل أنك تتبع مشتبهاً به. بدلاً من كتابة "لقد اشترى سيارة هوندا سيفيك حمراء موديل 2024"، تكتب فقط "لقد قاد سيارة". أنت تفقد قدراً ضئيلاً من التفاصيل، لكنك توفر مساحة هائلة.
- النتيجة: يستطيع ProHunter تخزين نشاط المدينة لمدة 90 يوماً في مساحة صغيرة جداً (بحجم بضعة أغاني MP3 تقريباً)، بينما كانت الأنظمة القديمة تحتاج إلى قرص صلب كامل. وهذا يسمح للنظام بالعمل على مدار الساعة دون الانهيار.
الخطوة 2: متتبع "التدفق المريب" (العثور على الجواسيس)
الآن بعد تخزين البيانات، كيف نجد الجواسيس؟
- الطريقة القديمة: الأنظمة القديمة تنتظر ظهور "ملصق مطلوب" (مثل اسم ملف سيء معروف). إذا قام الجاسوس بتغيير اسمه، فإن النظام يفوته.
- طريقة ProHunter: يبحث ProHunter عن أنماط حركة مريبة، وليس مجرد أسماء.
- التشبيه: تخيل جاسوساً يحاول سرقة ماسة.
- الشخص الطبيعي قد يفتح ملفاً ثم يغلقه.
- أما الجاسوس فقد يفتح ملفاً للنظام، ثم فجأة يرسل رسالة ضخمة إلى عنوان أجنبي، ثم يحاول تغيير الأقفال على الباب الأمامي.
- ProHunter لا يهتم بـ من فعل ذلك؛ بل يهتم بـ مسار التدفق. إذا قام "ملف نظام" فجأة بالتواصل مع "عنوان أجنبي"، فإن ProHunter يصنف هذا المسار كمسار مريب، حتى لو لم يكن يعرف اسم الجاسوس بعد.
- النتيجة: يمكنه الإمساك بالجواسيس حتى لو كانوا يستخدمون حِيلاً جديدة وغير معروفة، طالما أن سلوكهم يبدو "غريباً" مقارنة بالمواطنين العاديين.
الخطوة 3: "المترجم" (سد الفجوة)
هذا هو الجزء الأصعب.
- المشكلة: "ملصقات المطلوبين" (تقارير استخبارات التهديدات السيبرانية) مكتوبة بلغة الجواسيس: "قام الجاسوس بإجراء فحص ARP". لكن سجلات المدينة (سجلات التدقيق) مكتوبة بلغة الآلة: "قام البرنامج
cmd.exeبتشغيل أمر ما". - الطريقة القديمة: الأنظمة القديمة تحاول المطابقة حرفياً. وهي تفشل لأن "فحص ARP" لا يشبه "cmd.exe".
- طريقة ProHunter: يستخدم ProHunter ذكاءً اصطناعياً مترجماً (شبكة عصبية رسومية - Graph Neural Network).
- التشبيه: تخيل أن لديك رسماً تخطيطياً للمشتبه به رسمه شاهد عيان (ملصق المطلوب) وصورة التقطتها كاميرا مراقبة (سجل التدقيق). يبدوان مختلفين.
- الشاهد يقول: "لديه قبعة وندبة".
- الصورة تظهر: "شخص يرتدي غطاء رأس (Hoodie)".
- الذكاء الاصطناعي في ProHunter يفهم أن "القبعة" و"غطاء الرأس" كلاهما يندرج تحت "أغطية الرأس". إنه يتعلم مطابقة النية والسلوك، وليس فقط الكلمات الدقيقة. إنه يدرك أنه على الرغم من اختلاف الكلمات، إلا أن القصة واحدة.
لماذا يعد هذا أمراً مهماً؟
- سريع وخفيف: لا يحتاج إلى كمبيوتر خارق للعمل؛ فهو يتناسب مع خادم عادي.
- يصعب خداعه: لأنه ينظر إلى السلوك والأنماط بدلاً من مجرد الأسماء المحددة، فلا يمكن للجواسيس خداعه بسهولة عبر تغيير أسماء ملفاتهم.
- دقيق: في الاختبارات، وجد 100% من الهجمات في مجموعات البيانات التجريبية مع تقديم عدد شبه معدوم من الإنذارات الكاذبة (لم يتهم الأبرياء).
الملخص
ProHunter يشبه المحقق الذي:
- يلخص تاريخ المدينة بأكمله في دفتر ملاحظات صغير وسهل القراءة.
- يتتبع حركة الأموال (تدفقات البيانات المريبة) بدلاً من مجرد البحث عن وجه محدد.
- يترجم بين شفرة الجاسوس السرية وتقرير الشرطة للعثور على الحقيقة.
إنه يحول المهمة المستحيلة المتمثلة في البحث عن إبرة في كومة قش إلى مهمة يمكن إدارتها من خلال البحث عن الإبرة عبر مراقبة الطريقة الفريدة التي تبرز بها من القش.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.