Evolution of Log-Based Detection Rules in Public Repositories
تقدم هذه الورقة أول تحليل طولي لتطور قواعد الكشف القائمة على السجلات في المستودعات العامة، كاشفةً أن تغييرات القواعد هي في الغالب غير رتيبة ومدفوعة بالمقايضات التشغيلية المستمرة بين التغطية والإنذارات الكاذبة بدلاً من التقارب المستمر نحو شكل مستقر.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في الحصون الرقمية التي تحمي المؤسسات الحديثة، تعتمد فرق الأمن على تدفق مستمر من سجلات الكمبيوتر لرصد المشكلات. هذه السجلات هي المعادل الرقمي لكاميرات المراقبة وأجهزة استشعار الأبواب في المباني، حيث تسجل كل مرة يقوم فيها مستخدم بتسجيل الدخول، أو فتح ملف، أو تشغيل برنامج. ولجعل هذا الفيض الهائل من البيانات منطقيًا، يكتب المحللون تعليمات محددة، تُعرف باسم قواعد الكشف. تعمل هذه القواعد مثل مجموعة من الأسئلة الدقيقة: "إذا سجل مستخدم دخوله من بلد غريب ثم حاول فورًا الوصول إلى ملف حساس، أطلق الإنذار". والهدف هو الإمساك بالتهديدات الحقيقية دون إطلاق إنذارات كاذبة عند كل نشاط غير ضار. ومع ذلك، فإن البيئة التي تحرسها هذه القواعد ليست ثابتة أبدًا؛ فالمهاجمون يغيرون تكتيكاتهم، وتحديثات البرامج تغير طريقة سلوك الأنظمة، وتظهر أنواع جديدة من التهديدات. وبناءً على ذلك، يجب أن تتغير أيضًا التعليمات المكتوبة للإمساك بهم. لسنوات، درس الباحثون كيفية تطور التوقيعات المستخدمة لكشف اختراقات الشبكة، لكن دورة الحياة طويلة الأمد لقواعد السجلات هذه ظلت لغزًا، مخفية داخل الخوادم الخاصة للشركات الكبرى.
لقد تمكن فريق من الباحثين من جامعة فرجينيا الآن من كشف الستار عن هذه العملية من خلال دراسة مجموعتين ضخمتين وعامتين من هذه القواعد. فقد فحصوا آلاف القواعد من مشروع "سيغما" (Sigma)، وهو مكتبة مدعومة من المجتمع، ومستودع "سبلانك" (Splunk) للمحتوى الأمني، وهو مجموعة منسقة تستخدمها العديد من الشركات. ومن خلال النظر في تاريخ كل تغيير أُجري على هذه القواعد على مدار عقد من الزمن تقريبًا، اكتشفوا أن تطور قواعد الأمن أكثر فوضوية وبشرية مما كان يُعتقد سابقًا. فبدلاً من صقل القاعدة ببطء حتى تصل إلى شكل مثالي ومستقر، يتصارع المحللون باستمرار مع مقايضة صعبة؛ إذ يتعين عليهم الموازنة بين الإمساك بأكبر عدد ممكن من الفاعلين السيئين وبين خطر توليد الكثير من الإنذارات الكاذبة التي تهدر الوقت والموارد. وتكشف الدراسة أن عملية التوازن هذه نادرًا ما تكون خطًا مستقيمًا، بل إن القواعد غالبًا ما تتأرجح ذهابًا وإيابًا، فتصبح أكثر صرامة لتقليل الإنذارات الكذبة، ثم تصبح أكثر مرونة للإمساك بتهديدات جديدة، وغالبًا دون أن تستقر أبدًا في حالة نهائية وثابتة.
لفهم كيفية تغير هذه القواعد، كان على الباحثين النظر إلى ما وراء النص السطحي. فقد تبدو القاعدة مختلفة على الشاشة لمجرد أن ترتيب الكلمات قد تغير أو تمت إضافة مسافة، حتى لو ظل المنطق كما هو. ولحل هذه المشكلة، طور الفريق طريقة لترجمة كل قاعدة إلى خريطة معيارية لهيكلها المنطقي. وقد سمح لهم ذلك بمقارنة النسخ المختلفة من القاعدة بناءً على ما تفعله بالفعل، وليس بناءً على كيفية كتابتها. وطبقوا هذه الطريقة على ما يقرب من سبعة آلاف سجل من سجلات القواعد، متتبعين كل مرة تم فيها تعديل القاعدة لتغيير منطق الكشف الخاص بها. ووجدوا أن حوالي 56 بالمائة من هذه القواعد خضعت لتغيير واحد كبير على الأقل في كيفية كشفها للتهديدات. وهذا يعني أنه بالنسبة لأكثر من نصف القواعد، فإن طريقة بحثها عن المشاكل ليست ثابتة بل هي عملية حية ومتطورة.
لاحظ الباحثون أن هذه التغييرات نادرًا ما تكون بسيطة أو معزولة. فعندما يتم تحديث قاعدة ما، فإن الأمر غالبًا ما يتضمن تعديلات متعددة تحدث في وقت واحد. والأهم من ذلك، أن اتجاه هذه التغييرات غالبًا ما يكون غير رتيب (non-monotonic)، مما يعني أن القاعدة لا تتحسن أو تسوء في اتجاه واحد فقط. بدلاً من ذلك، قد تضيف القاعدة شرطًا جديدًا للإمساك بنوع معين من الهجمات، لتزيل ذلك الشرلم نفسه لاحقًا عندما يتسبب في الكثير من الإنذارات الكاذبة. وفي الواقع، أظهرت أكثر من نصف القواعد التي تم تعديلها علامات على إضافة وإزالة الشروط على مدار حياتها. ويشير هذا إلى أن المسار نحو الوصول إلى قاعدة عاملة ليس صعودًا سلسًا نحو المثالية، بل هو مسار متعرج من التجربة والتصحيح. ووجد الباحثون أن حوالي ربع إلى ثلث القواعد التي درسوها تأرجحت بين محاولة الإمساك بمزيد من التهديدات ومحاولة وقف الإنذارات الكاذبة، حيث تنقلت ذهابًا وإيابًا بمرور الوقت بدلًا من الاستقرار في حل واحد ثابت.
ولفهم سبب حدوث هذه التقلبات، دمج الفريق تحليلهم الهيكلي مع أداة ذكاء اصطناعي لاستنتاج القصد وراء كل تغيير. واكتشفوا أن السبب الأكثر شيوعًا لتحديث القاعدة هو توسيع نطاق التغطية، أي محاولة الإمساك بالتهديدات الجديدة أو الناشئة. ومع ذلك، غالبًا ما يتبع ذلك فترة من التضييق، حيث يتم تعديل القاعدة لتقليل ضجيج النتائج الإيجابية الكاذبة. وتخلق هذه الدورة توترًا نادرًا ما يتم حله؛ ففي كثير من الحالات، يتم توسيع نفس القاعدة للإمساك بتهديد جديد، ثم تضييقها لتقليل الإنذارات الكاذبة الناتجة، لتتم توسيعها مرة أخرى لاحقًا. وتسلط الدراسة الضوء على أن هذا الذهاب والإياب ليس بالضرورة علامة على الفشل، بل هو انعكاس للواقع المعقد للعمليات الأمنية. فالمحللون غالبًا ما يضطرون لاتخاذ خيارات صعبة بين الإمساك بكل مهاجم محتمل وبين الحفاظ على قابلية إدارة أنظمة التنبيه الخاصة بهم، والقواعد التي يكتبونها تعكس هذه التسويات المستمرة.
كما كشف البحث أن بعض القواعد تمر بعمليات ارتداد هيكلي، حيث يتم تغيير القاعدة ثم إعادتها إلى شكلها الأصلي في فترة زمنية قصيرة، وفي بعض الحالات، حدث ذلك في غضض ساعات. وغالبًا ما تنبع عمليات الارتداد هذه من عدم اليقين بشأن أفضل طريقة للتعبير عن منطق الكشف، أو من أخطاء مؤقتة في كيفية كتابة القاعدة. على سبيل المثال، قد تُعاد كتابة القاعدة لاستخدام تنسيق تقني مختلف، ليتم التراجع عنها والعودة للتنسيق السابق عندما يثبت أن التنسيق الجديد أقل فعالية أو أصعب في الصيانة. ويشير هذا إلى أن عملية كتابة قواعد الأمن هي عملية تكرارية وتجريبية، حيث يختبر المحللون مناهج مختلفة لمعرفة ما يعمل بشكل أفضل في الممارسة العملية. وتشير الدراسة إلى أن المستودعات العامة التي حللها الباحثون، رغم أنها ليست مرآة مثالية لبيئات الشركات الخاصة، إلا أنها توفر نافذة واضحة على الضغوط والقرارات التي تشكل العمليات الأمنية الحديثة.
في النهاية، يتحدى هذا العمل الفكرة القائلة بأن قواعد الأمن هي أدوات ثابتة تُكتب مرة واحدة ثم تُنسى. بدلاً من ذلك، هي آثار ديناميكية تتطور باستمرار استجابةً للتغذية الراجعة من العالم الحقيقي. ووجد الباحثون أن تطور هذه القواعد مدفوع بالمقايضات التشغيلية بدلاً من المسيرة الثابتة نحو تصميم نهائي ومثالي. وتثير النتائج أسئلة مهمة حول كيفية إنشاء هذه القواعد وصيانتها؛ فإذا كانت القواعد تتأرجح باستمرار بين حالات مختلفة، فهذا يشير إلى أن العمليات الحالية لتطويرها قد تحتاج إلى تحسين. وتدعو الدراسة إلى أدوات وطرق أفضل يمكن أن تساعد المحللين على التنقل عبر هذه المقايضات بشكل أكثر فعالية، ربما من خلال استخدام التكنولوجيا لفهم الهيكل المنطقي للقواعد بدلاً من مجرد نصها. ومن خلال فهم كيفية تغير هذه القواعد فعليًا بمرور الوقت، يمكن لفرق الأمن أن تأمل في بناء أنظمة أكثر مرونة تتكيف مع التهديدات دون أن تضيع في دوامة من المراجعات اللامتناهية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.