💻 computer science

From IOCs to Regex: Automating CTI Operationalization for SOC with LLMs

تقدم هذه الورقة البحثية IOCRegex-gen، وهو نظام مؤتمت يعتمد على النماذج اللغوية الكبيرة (LLM) يقوم بتحويل مؤشرات الاختراق (IoCs) من تقارير استخبارات التهديدات السيبرانية (CTI) إلى تعبيرات نمطية (regular expressions) دقيقة دلالياً وصحيحة تركيبياً من خلال آلية واعية بالمجموعات ومسار تحقق تكراري، محققاً معدل إصابة بنسبة 99.1% ومقللاً بشكل كبير من الجهد اليدوي في العمليات الأمنية.

المؤلفون الأصليون: Pei-Yu Tseng, Lan Zhang, ZihDwo Yeh, Xiaoyan Sun, Xushu Dai, Peng Liu

نُشر 2026-04-15

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Pei-Yu Tseng, Lan Zhang, ZihDwo Yeh, Xiaoyan Sun, Xushu Dai, Peng Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة البحث بعنوان "من مؤشرات الاختراق (IOCs) إلى التعبيرات النمطية (Regex): أتمتة تشغيل استخبارات التهديدات السيبرانية لمركز العمليات الأمنية (SOC) باستخدام النماذج اللغوية الكبيرة (LLMs)" باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: مشكلة "الضياع في الترجمة"

تخيل أنك حارس أمن (محلل SOC) في ناطحة سحاب ضخمة. كل يوم، تتلقى كومة من "ملصقات المطلوبين" (تقارير استخبارات التهديدات السيبرانية) من وكالات أمنية أخرى. تصف هذه الملصقات الأشرار وتعطيك أدلة حول كيفية رصدهم، مثل: "سيحاول اللص الدخول من الباب الخلفي باستخدام مفتاح أحمر يحمل اسم '11.bat'."

في العالم الرقمي، تُسمى هذه الأدلة مؤشرات الاختراق (IOCs).

المشكلة:
ملصقات "المطلوبين" مكتوبة بلغة بشرية عادية. لكن كاميرات المراقبة وأنظمة الإنذار لديك (السجلات/Logs) لا تتحدث الإنجليزية (أو أي لغة بشرية)، بل تتحدث فقط كوداً آلياً صارماً يسمى التعبيرات النمطية (Regular Expressions أو Regex).

لإمساك اللص، عليك ترجمة الدليل المكتوب باللغة البشرية ("مفتاح أحمر باسم '11.bat'") إلى كود معقد يقول: "ابحث عن أي ملف ينتهي بـ .bat، ولكن تجاهل الرقم المحدد، لأن اللص قد يغيره إلى '12.bat' غداً."

حالياً، يتعين على المحللين البشريين القيام بهذه الترجمة يدوياً. وهي عملية بطيئة، مملة، وعرضة للأخطاء. إذا تعب المحلل، فقد يكتب الكود بشكل خاطئ، وينفذ اللص خطته ويتجاوز نظام الإنذار.

الحل: الروبوت "المدقق الخارق"

قام مؤلفو هذه الورقة ببناء نظام ذكاء اصطناعي جديد يسمى IOCRegex-gen. فكر فيه كأنه روبوت "مترجم خارق" يأخذ الأدلة المكتوبة باللغة البشرية ويكتب فوراً الكود الآلي المثالي لنظام الإنذار.

لكن هنا تكمن المشكلة: الذكاء الاصطعي العادي (مثل برامج الدردشة البسيطة) سيء في هذا الأمر. إذا طلبت من ذكاء اصطناعي عادي كتابة الكود، فقد يرتبك، أو يكتب رموزاً غير مفهومة، أو يجعل الكود فضفاضاً للغاية (مثل قول "ابحث عن أي ملف"، مما سيؤدي لتفعيل الإنذار في كل مرة يفتح فيها شخص ما مستنداً نصياً).

حل نظام المؤلفين هذه المشكلة باستخدام خدعتين خاصتين:

الخدعة الأولى: "المحدد الذكي" (إيجاد مجموعات الالتقاط)

تخيل أن الدليل هو: "يستخدم اللص الملف C:\Users\Public\11.bat."
الخبير البشري يعرف أن C:\Users\Public هو جزء قياسي وغير قابل للتغيير في الكمبيوتر (مثل عنوان المبنى)، بينما 11.bat هو الجزء الذي يمكن للص thief تغييره (مثل الاسم المكتوب على المفتاح).

الطريقة القديمة: قد يحاول الذكاء الاصطناعي البسيط مطابقة السلسلة النصية بأكملها بدقة. إذا غير اللص الاسم إلى 12.bat فلن يعمل الإنذار.
الطريقة الجديدة: يستخدم النظام رسم بياني معرفي (Knowledge Graph) (وهو بمثابة موسوعة رقمية ضخمة لكيفية عمل أجهزة كمبيوتر ويندوز) لمعرفة أي الأجزاء "ثابتة" وأيها "متغيرة".
- يقوم بتحديد C:\Users\Public كـ مجموعة التقاط (Capture Group) (الجزء الذي يجب أن نراه حتماً).
- ويتعامل مع 11.bat كـ مجموعة غير ملتقطة (Non-Capture Group) (الجزء الذي يمكن أن يتغير).
- النتيجة: يكتب الروبوت كوداً يقول: "ابحث عن العنوان C:\Users\Public متبوعاً بـ أي اسم ملف ينتهي بـ .bat."

الخدعة الثانية: "المحرر ذاتي التصحيح" (الاستنتاج التكراري)

حتى مع وجود "المحدد الذكي"، قد يرتكب الذكاء الاصطناعي أخطاء. لذلك، يستخدم النظام حلقة استنتاج (Reasoning Loop).

المسودة: يكتب الذكاء الاصطناعي مسودة الكود.
الاختبار: تحاول أداة "تصحيح الأخطاء" (Debugger) تشغيل الكود مقابل الدليل الأصلي.
التغذية الراجعة: إذا فشل الكود، تخبر الأداة الذكاء الاصطناعي: "لقد نسيت الشرطة المائلة المائلة (backslash)!" أو "لقد جعلت الكود فضفاضاً جداً؛ إنه يطابق ملفات بريئة أيضاً!".
إعادة المحاولة: يقوم الذكاء الاصطناعي بإصلاح الكود ويحاول مرة أخرى.
التقييم: أخيراً، يقوم النظام بإنشاء خمس نسخ مختلفة من الكود ويختار النسخة "المثالية" (Goldilocks version)—ليست شديدة الصرامة، وليست فضفاضة جداً، بل متوازنة تماماً.

النتائج: ما مدى جودة هذا الروبوت؟

اختبر الباحثون هذا النظام على أكثر من 3,000 تقرير تهديد حقيقي وقارنوه بـ 2,400 مثال لهجوم حقيقي من إطار عمل شهير لاختبار الأمن (MITRE ATT&CK).

الدقة: نجح النظام في كشف 99.1% من الهجمات الحقيقية.
الإنذارات الكاذبة: لم يطلق إنذاراً كاذباً إلا في 0.8% من الحالات فقط.
المقارنة: عندما قارنوا هذا النظام الذكي بمجرد سؤال ذكاء اصطناعي قياسي لـ "كتابة الكود"، كان النظام الذكي أفضل بنسبة 30%.

لماذا يهم هذا الأمر؟

تخيل عالم الأمن الحالي كمكتبة تصل إليها "ملصقات مطلوبين" جديدة كل ثانية. الحراس البشريون لا يمكنهم قراءتها جميعاً بالسرعة الكافية، وهم يصابون بالتعب.

تقدم هذه الورقة البحثية أمين مكتبة روبوتياً يمكنه:

قراءة الملصق فوراً.
فهم الفرق بين عنوان المبنى وبين تنكر اللص المتغير.
كتابة كود الإنذار المثالي تلقائياً.
مراجعة عمله بنفسه لضمان كماله قبل تسليمه للحراس.

يسمح هذا لفرق الأمن بالتوقف عن قضاء ساعات في كتابة الكود يدوياً والبدء في التركيز على إيقاف المخترقين فعلياً. إنه يحول "استخبارات التهديدات" (المعلومات) إلى "دفاع قابل للتنفيذ" (حماية مؤتمتة) بسرعة لا يمكن للبشر مضاهاتها.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "من مؤشرات الاختراق (IOCs) إلى التعبيرات النمطية (Regex): أتمتة تشغيل استخبارات التهديدات السيبرانية (CTI) لمركز العمليات الأمنية (SOC) باستخدام النماذج اللغوية الكبيرة (LLMs)."

1. بيان المشكلة

توفر تقارير استخبارات التهديدات السيبرانية (CTI) مؤشرات الاختراق (IOCs) الضرورية لمراكز العمليات الأمنية (SOCs). ومع ذلك، توجد فجوة حرجة بين مؤشرات الاختراق الخام المستخرجة من هذه التقارير وبين تشغيلها في أنظمة إدارة المعلومات والأحداث الأمنية (SIEM).

الفجوة: غالبًا ما تكون مؤشرات الاختراق (مثل مسارات الملفات، مفاتيح السجل، وسيطات سطر الأوامر) مرتبطة بسياقات محددة. تفشل عملية المطابقة المباشرة للنصوص لأن سجلات النظام تختلف في حالة الأحرف، وفواصل المسارات، ومعاملات التنفيذ.
القصور الحالي: المعيار الصناعي هو تحويل مؤشرات الاختراق يدويًا إلى تعبيرات نمطية (regex) للتعامل مع هذه الاختلافات. هذه العملية بطيئة، وعرضة للخطأ، وغير مستدامة نظرًا لحجم تقارير الـ CTI.
فجوات الذكاء الاصطناعي الحالية: بينما تقوم نهج النماذج اللغوية الكبيرة (LLM) الحديثة بأتمتة استخراج مؤشرات الاختراق، إلا أنها تتوقف عند إنتاج النصوص الخام؛ فهي تفشل في ترجمة هذه النصوص إلى تعبيرات نمطية (regex) قابلة للنشر. علاوة على ذلك، فإن طرق توليد التعبيرات النمطية الموجودة (سواء القائمة على معالجة اللغات الطبيعية أو القائمة على القواعد) تواجه تحديات خاصة بالأمن:
1. تحديد مجموعات الالتقاط (Capture Group Identification): تحديد أي أجزاء من مؤشر الاختراق هي ثابتة (مجموعات الالتقاط) مقابل الأجزاء المتغيرة (مجموعات عدم الالتقاط).
2. الصحة النحوية (Syntactic Validity): غالبًا ما تولد النماذج اللغوية الكبيرة أنماطًا غير صالحة أو غير مكتملة.
3. الإفراط في التعميم (Over-Generalization): تميل النماذج اللغوية الكبيرة إلى إنتاج أنماط واسعة للغاية (مثل .*) تفتقر إلى قيمة الكشف.

2. المنهجية: IOCRegex-gen

يقترح المؤلفون نظام IOCRegex-gen، وهو نظام مؤتمت بالكامل يعتمد على النماذج اللغوية الكبيرة، مصمم لترجمة مؤشرات الاختراق المستخرجة إلى تعبيرات نمطية صحيحة نحويًا ودقيقة دلاليًا. يعمل النظام عبر مرحلتين أساسيتين:

المرحلة الأولى: إيجاد مجموعات الالتقاط

تعالج هذه المرحلة تحدي التمييز بين مكونات النظام الثابتة (مجموعات الالتقاط) والمكونات المتغيرة التي يتحكم فيها المهاجم (مجموعات عدم الالتقاط).

قاعدة بيانات رسومية معززة بالمعرفة: يستخدم النظام قاعدة بيانات رسومية (Neo4j) مُعدة مسبقًا تحتوي على مسارات ملفات ويندوز الأصلية، ومفاتيح السجل، ووسيطات سطر الأوامر لمختلف إصدارات أنظمة التشغيل.
الهيكل الشجري والخوارزميات:
- تُخزن مسارات الملفات ومفاتيح السجل كهياكل هرمية (Trees).
- يتم هيكلة وسيطات سطر الأوامر بحيث تكون الأوامر هي العقد الأبوية والمعاملات هي العقد التابعة.
الخوارزمية:
1. المعالجة المسبقة: تطبيع مؤشرات الاختراق (مثل توسيع متغيرات البيئة، وتوحيد جذور السجل مثل HKCU).
2. المطابقة: يقوم النظام بتقسيم مؤشر الاختراق إلى نصوص فرعية ويستعلم من قاعدة البيانات الرسومية.
3. تحديد أطول تسلسل: يحدد النظام أطول تسلسل من العقد المتجاورة في قاعدة البيانات الرسومية لتحديد مجموعة الالتقاط.
4. التصفية: إذا كان مؤشر الاختراق لا يحتوي على مجموعات التقاط صالحة (أي أنه بالكامل تحت سيطرة المهاجم أو يمثل نتيجة إيجابية خاطئة)، يتم استبعاده.

المرحلة الثانية: توليد التعبيرات النمطية القائم على الاستدلال

تستخدم هذه المرحلة حلقة استدلال تكرارية لتوليد وتحسين التعبير النمطي، مما يعالج الأخطاء النحوية والإفراط في التعميم.

سير العمل التكراري:
1. التوليد الأولي: يقوم النموذج اللغوي الكبير بتوليد تعبير نمطي أولي بناءً على مؤشر الاختراق ومجموعات الالتقاط المحددة.
2. حلقة التصحيح (Debugging Loop): يقوم مصحح التعبيرات النمطية باختبار النمط مقابل مؤشر الاختراق الأصلي. إذا فشل، يتم تغذية تفاصيل الخطأ للنموذج اللغوي الكبير من أجل التحسين.
3. التحقق من مجموعات عدم الالتقاط: يتحقق النظام مما إذا كان التعبير النمطي يتضمن عناصر "عدم الالتقاط" عن غير قصد. إذا حدث ذلك، يتم توجيه النموذج اللغوي لإزالتها.
4. فحص الإفراط في التعميم: يقوم النظام بتوليد 10 نصوص عشوائية لاختبار ما إذا كان التعبير النمطي يطابق كل شيء. إذا فعل ذلك، يُعتبر النمط واسعًا جدًا، ويُعاد بدء عملية التوليد.
التقييم والاختيار:
- يقوم النظام بتوليد عدة مرشحات للتعبيرات النمطية (عادةً 5) لكل مؤشر اختراق.
1. صيغة التقييم (Scoring Formula): يتم تقييم المرشحين بناءً على عدد مكونات مجموعة الالتقاط الصحيحة ( $n_{cg}$ ) والجزاءات المفروضة على تضمينات عدم الالتقاط ( $n_{wc}$ ) عبر الصيغة ( $Score = \alpha \cdot n_{cg} - \beta \cdot n_{wc}$ ).
- يتم اختيار التعبير النمطي صاحب الدرجة الأعلى كناتج نهائي.

3. المساهمات الرئيسية

نظام IOCRegex-gen: إطار عمل مبتكر يؤتمت المسار الكامل من مؤشرات الاختراق الخام إلى تعبيرات SIEM القابلة للنشر، مما يسد الفجوة بين استخراج التهديدات والكشف الفعلي.
تجميع مجموعات الالتقاط المعزز بالمعرفة: آلية فريدة تستخدم قاعدة بيانات رسومية لهياكل أنظمة التشغيل لتحديد مجموعات الالتقاط بدقة، مما يحل مشكلة تعثر النماذج اللغوية الكبيرة بسبب نقص السياق المعرفي.
خط أنابيب الاستدلال التكراري: سير عمل تحقق متعدد المراحل (التصحيح، التحقق من عدم الالتقاط، وفحص الإفراط في التعميم) يضمن الصحة النحوية والدقة الدلالية دون الاعتماد على الضبط الدقيق (Fine-tuning) المكلف.
تقييم شامل: أول تقييم واسع النطية لتوليد التعبيرات النمطية لمؤشرات الاختراق الأمنية باستخدام حقائق أرضية (Ground Truth) من العالم الحقيقي.

4. النتائج التجريبية

تم تقييم النظام باستخدام 3,156 تقريرًا حقيقيًا من تقارير CTI وأكثر من 2,400 نص من الحقائق الأرضية التي تم جمعها من إطار عمل تقييم MITRE ATT&CK (بشكل مستقل عن تقارير CTI).

معدل الإصابة (Recall): حققت التعبيرات النمطية المولدة متوسط معدل إصابة قدره 99.1% عبر جميع مجموعات البيانات. وفي عدة سيناريوهات (مثل Enterprise2024 LockBit، وTurla Snake)، وصل معدل الإصابة إلى 100%.
معدل الإيجابيات الخاطئة (False Positive Rate): كان متوسط معدل الإيجابيات الخاطئة منخفضًا للغاية بنسبة 0.8%.
التعقيد: حققت التعبيرات النمطية المولدة متوسط درجة تقييم فوق 3، مما يشير إلى تعقيد هيكلي جوهري (يتضمن مجموعات التقاط متعددة) بدلاً من مجرد مطابقة حرفية بسيطة.
التعميم: بلغ متوسط درجة التشابه بين التعبيرات النمطية المولدة ومؤشرات الاختراق المصدرية 0.4، مما يثبت أن النظام نجح في إدخال التباين الضروري لمطابقة سياقات النظام المختلفة دون أن يصبح واسعًا للغاية.
دراسة الاستئصال (Ablation Study): أدى إزالة إما مكون "إيجاد مجموعات الالتقاط" أو مكون "التوليد القائم على الاستدلال" إلى انخفاض كبير في الأداء:
- انخفضت معدلات الإصابة بأكثر من 16.7%.
- زادت معدلات الإيجابيات الخاطئة بأكثر من 23.3%.
- يؤكد هذا أن كلا المكونين ضروريان لإنتاج تعبيرات نمطية عالية الجودة.

5. الأهمية

الكفاءة التشغيلية: يقلل IOCRegex-gen بشكل كبير من الوقت اللازم لتشغيل الـ CTI، مما قد يقلل ساعات أو أيام من العمل اليدوي للمحللين إلى ثوانٍ معدودة.
القابلية للتوسع: يمكن للنظام معالجة آلاف التقارير، مما يمكن مراكز العمليات الأمنية (SOCs) من مواكبة الحجم المتزايد للتهديدات السيبرانية العالمية.
الدقة والموثوقية: من خلال دمج المعرفة بالمجال (قاعدة البيانات الرسومية) مع استدلال النماذج اللغوية الكبيرة، يتغلب النظام على مشكلات "الهلوسة" و"الإفراط في التعميم" الشائعة في نهج النماذج اللغوية البحتة، مما ينتج تعبيرات نمطية جاهزة للنشر الفوري في أنظمة SIEM.
المصدر المفتوح: أصدر المؤلفون الكود المصدري، مما يعزز إمكانية إعادة الإنتاج ومزيد من الأبحاث.

في الختបញ្ចប់، يمثل هذا العمل قفزة نوعية في تشغيل استخبارات التهديدات السيبرانية، حيث يتجاوز مجرد الاستخراج البسيط ليصل إلى توليد قواعد كشف عالية الدقة وقابلة للتنفيذ.