Modeling Sparse and Bursty Vulnerability Sightings: Forecasting Under Data Constraints
تقيم هذه الورقة طرقاً مختلفة للتنبؤ بالسلاسل الزمنية لرصد الثغرات الأمنية المتفرقة والمنفجرة، لتجد أنه في حين تقدم درجات الشدة المستمدة من نماذج المحولات (transformer) تحسناً محدوداً، فإن النماذج القائمة على العد مثل انحدار بواسون ودوال الاضمحلال الأسي البسيطة توفر بدائل أكثر استقراراً وعملية لنماذج SARIMAX التقليدية في مجال استخبارات التهديدات السيبرانية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك خبير في الأرصاد الجوية، ولكن بدلاً من التنبؤ بهطول الأمطار أو سطوع الشمس، أنت تحاول التنبؤ بالهجمات السيبرانية. تحديداً، أنت تحاول تخمين مقدار "الضجيج" الذي ستحدثه ثغرة أمنية معينة (ثقب رقمي في جدار) في الأيام القادمة. هل سيبدأ الناس بالحديث عنها؟ هل سيكتب المخترقون أكواداً لاستغلالها؟ هل ستبدأ أدوات الفحص الأمني في رصدها؟
هذه الورقة البحثية تتحدث عن رحلة المؤلفين لبناء "بلورة سحرية" لرصد هذه "المشاهدات للثغرات الأمنية". لقد جربوا عدة أدوات مختلفة لجعل هذه التنبؤات ممكنة، لكنهم واجهوا مشكلة رئيسية: البيانات فوضوية، نادرة، وغير متوقعة.
إليك تفصيل لمغامرتهم باستخدام تشبيهات بسيطة:
المشكلة: "الألعاب النارية" مقابل "الرذاذ"
تعمل معظم نماذج الطقس بشكل جيد للأشياء التي تحدث بانتظام، مثل المطر (رذاذ مستمر). لكن الثغرات الأمنية السيبرانية تشبه الألعاب النارية.
- متفرقة (Sparse): تمر أسابيع دون حدوث أي شيء (صفر مشاهدات).
- انفجارية (Bursty): ثم فجأة، يحدث انفجار هائل في النشاط (عندما يصدر شخص ما "إثبات مفهوم" للاختراق)، ثم يهدأ الأمر بنفس السرعة.
- قصيرة (Short): غالباً ما يكون لدينا أيام قليلة فقط من البيانات للعمل بها قبل أن نحتاج إلى إجراء تنبؤ.
أراد المؤلفون استخدام هذه البيانات لإخبار فرق الأمن: "مهلاً، هذا الثقب تحديداً على وشك أن يحظى بالكثير من الاهتمام. قم بإصلاحه الآن!"
المحاولة الأولى: "المسطرة الصلبة" (SARIMAX)
حاول المؤلفون في البداية استخدام أداة إحصائية كلاسيكية تسمى SARIMAX. تخيل هذا كأنك تحاول قياس ارتفاع حبة "الفاصوليا القافزة" باستخدام مسطرة صلبة.
- كيف عملت: قاموا بتغذية النموذج بعدد المشاهدات اليومية وأضافوا حتى "درجة الخطورة" (مدى خطورة الثغرة) لمساعدة النموذج على التخمين.
- ما الذي حدث خطأً: لأن البيانات "متعرجة" جداً (الكثير من الأصفار والارتفاعات المفاجئة)، انكسرت المسطرة الصلبة.
- حاولت رسم خط مستقيم عبر سلسلة جبال متعرجة.
- توقعت أحياناً أرقاماً سالبة (وهذا مستحيل — لا يمكنك امتلاك -5 أشخاص يتحدثون عن ثغرة).
- أصبحت "فترات الثقة" الخاصة بها (النطاق الذي تعتقد أن الإجابة تقع فيه) واسعة جداً لدرجة أنها أصبحت عديمة الفائدة (مثلاً: "عدد المشاهدات سيكون بين -5 و 1,000,000").
- الدرس المستفاد: لا يمكنك استخدام أداة مصممة للاتجاهات السلسة والمستقرة على بيانات فوضوية ونادرة.
المحاولة الثانية: "جرة العدّ" (Poisson Regression)
بعد إدراكهم أن المسطرة الصلبة لم تنجح، انتقلوا إلى انحدار بواسون (Poisson Regression). تخيل هذا كأنه جرة مصممة خصيصاً لعدّ الكرات الزجاجية.
- لماذا هي أفضل: إنها تدرك أنه لا يمكنك امتلاك نصف كرة زجاجية (أو نصف مشاهدة). فهي تجبر التنبؤ على أن يكون رقماً صحيحاً ولا يكون سالباً أبداً.
- النتيجة: كانت أكثر استقراراً بكثير. أعطت تخمينات معقولة لعدد المشاهدات، خاصة عندما قاموا بتجميع البيانات حسب الأسبوع بدلاً من اليوم.
- العقبة: لا تزال تعاني عندما تكون هناك بيانات قليلة جداً (مثل محاولة تخمين مستقبل جرة تحتوي على 3 كرات فقط).
المحاولة الثالثة: نماذج "دورة الحياة" (النموذج الأسي واللوجستي)
أدرك المؤلفون أن مشاهدات الثغرات الأمنية غالباً ما تتبع مسار قصة محددة، مثل فيلم أو اتجاه رائج (Trend). جربوا نموذجين جديدين يناسبان هذه القصص:
الاضمحلال الأسي (الصدى المتلاشي):
- التشبيه: تخيل أنك تصرخ في وادٍ سحيق. الصدى يكون عالياً في البداية، ثم يصبح أضعف فأضعف حتى يختفي.
- حالة الاستخدام: يعمل هذا بشكل أفضل للثغرات القديمة التي شهدت طفرة كبيرة في الاهتمام وهي الآن تتلاشى ببطء.
النمو اللوجستي (منحنى S):
- التشبيه: فكر في فيديو انتشر بشكل فيروسي. يبدأ ببطء، ثم ينفجر في الشعبية (الجزء الحاد من المنحنى)، يصل إلى ذروته، ثم يستقر مع مرور الوقت حيث يكون الجميع قد شاهدوه بالفعل.
- حالة الاستخدام: يعمل هذا بشكل أفضل للثغرات الجديدة تماماً والتي بدأت للتو في جذب الانتباه.
استراتيجية "المفتاح الذكي"
أكبر استنتاج من الورقة البحثية هو أن الحجم الواحد لا يناسب الجميع.
- إذا كانت الثغرة جديدة وصاعدة، استخدم نموذج النمو اللوجستي (منحنى S).
- إذا كانت الثغرة قديمة ومتلاشية، استخدم نموذج الاضمحلال الأسي.
- إذا حاولت استخدام "المسطرة الصلبة" (SARIMAX) مع هذه الحالات، فسوف تفشل.
يقترح المؤلفون بناء "مفتاح ذكي" ينظر إلى الاتجاه الأخير (هل هو في صعود أم هبوط؟) ويختار تلقائياً النموذج المناسب لإجراء التنبؤ.
السلاح السري: "درجة الخطورة"
طوال الورقة البحثية، ذكروا أداة تسمى VLAI. فكر في هذا كأنه نظام تقييم الخطورة الذي يقرأ وصف الثغرة ويعطيها درجة (مثل تصنيف الأفلام: G، PG، R، أو NC-17).
- حاولوا استخدام هذه الدرجة لمساعدة النماذج في التنبؤ بالمستقبل.
- النتيجة: ساعدت قليلاً، ولكن بما أن "تقييم الخطورة" للثغرة عادة لا يتغير من يوم لآخر، لم تكن هي الحل السحري. إنها تلميح مفيد، لكنها ليست القصة بأكملها.
الخلاصة
التنبؤ بالهجمات السيبرانية أمر صعب لأن البيانات فوضوية.
- لا تستخدم نماذج معقدة ذات خطوط سلسة لبيانات متعرجة ونادرة.
- استخدم نماذج تفهم عملية "العدّ" (مثل الكرات في الجرة).
- اختر النموذج بناءً على "قصة" الثغرة (هل هي في صعود أم تلاشٍ؟).
- اجمع المزيد من البيانات بمرور الوقت لجعل التنبؤات أكثر دقة.
يخلص المؤلفون إلى أنه بينما لا يمكننا التنبؤ بالمستقبل بشكل مثالي، فإن استخدام نماذج "دورة الحياة" الصحيحة يساعد فرق الأمن في الحصول على تنبيه مسبق حول الثغرات التي ستصبح العنوان الأبرز في الأخبار قريباً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.