GRASP -- Graph-Based Anomaly Detection Through Self-Supervised Classification
يُعد GRASP نظاماً للتحقق من أصل العمليات يعتمد على التعلم الذاتي والرسوم البيانية، حيث يقوم بحجب وإعادة بناء معلومات الملفات التنفيذية للعمليات لتحديد الشذوذ دون الاعتماد على عتبات محددة مسبقاً، مما يحقق كشفاً قوياً لكل من التهديدات المتقدمة المستمرة المعروفة وغير المعروفة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن حاسوبك عبارة عن مدينة صاخبة. في هذه المدينة، هناك الملايين من الأنشطة اليومية: أشخاص (عمليات/processes) يفتحون الأبواب، يقرؤون الخرائط، يكتبون الرسائل، ويتحدثون مع الجيران. عادةً ما تتبع هذه الأنشطة إيقاعاً يمكن التنبؤ به. ولكن أحياناً، يتسلل جاسوس (مهاجم) إلى الداخل. الجزء المخادع هو أن الجاسوس لا يحضر معه سلاحاً جديداً ومخيف المظهر؛ بل يستخدم أدوات المدينة المشروعة نفسها — مثل كتاب من مكتبة عامة أو شاحنة توصيل قياسية — لارتكاب الجرائم. وهذا ما يسمى بـ "العيش على خيرات الأرض" (Living off the Land).
أنظمة الحراسة التقليدية (أنظمة الكشف القديمة) تحاول رصد هؤلاء الجواسيس عبر وضع قواعد جامدة. فهم يقولون: "إذا قادت شاحنة بسرعة تزيد عن 50 ميلاً في الساعة، أوقفها!" أو "إذا فتح شخص أكثر من 10 أبواب في دقيقة واحدة، أطلق الإنذار!". المشكلة هي أن الجواساء أذكياء. فهم يقودون بسرعة 49 ميلاً في الساعة، أو يفتحون 10 أبواب بالضبط. إذا كانت القواعد صارمة جداً، فستفوتهم عملية التجسس. وإذا كانت القواعد فضفاضة جداً، فسيصرخ الحراس "حريق!" في كل مرة يفتح فيها شخص حقيقي باباً، مما يجعل الناس يتجاهلون الخطر الحقيقي (وهذا ما يسمى بـ "إجهاد التنبيه" أو alert fatigue).
إليك GRASP: حارس الحي الحدسي
تقدم الورقة البحثية نظاماً جديداً يسمى GRASP (الكشف عن الشذوذ القائم على الرسم البياني من خلال التصنيف ذاتي الإشراف). بدلاً من استخدام حدود سرعة جامدة أو قواعد عدّ الأبواب، يعمل GRASP كحارس حي حدسي للغاية، يعرف تماماً كيف ينبغي استخدام كل أداة في المدينة بناءً على من يمسك بها ومن يتحدث إليه.
إليك كيف يعمل، مقسماً إلى مفاهيم بسيطة:
1. قاعدة الحي "ذات الخطوتين"
لا ينظر GRASP إلى شخص واحد (عملية) فحسب؛ بل ينظر إلى جيرانه في خطوتين.
- الخطوة 1: مع من يتحدث هذا الشخص الآن؟ (مثلاً: "متصفح ويب" يقرأ ملفاً).
- الخطوة 2: مع من يتحدث هؤلاء الأشخاص؟ (مثلاً: هذا الملف تم كتابته للتو بواسطة عملية "تحديث النظام").
من خلال النظر في شبكة الاتصالات هذه، يبني GRASP خريطة ذهنية لكيفية تفاعل الأشياء عادةً. فهو يتعلم أن "متصفح الويب" يتحدث عادةً مع "ملفات الصور"، لكنه نادراً ما يتحدث مع "ملفات تكوين النظام".
2. لعبة التدريب "بالعصابة"
لتعلم هذه الخريطة، يلعب GRASP لعبة "خمن من؟" خلال مرحلة التدريب.
- تخيل أنك تعرض مشهداً على الحارس: شخص يمسك أداة، يقرأ ملفاً، ويتحدث مع جار.
- الخدعة: تضع عصابة على العين فوق الأداة (الملف التنفيذي/executable). أنت تخفي ماهية هذه الأداة فعلياً.
- المهمة: يجب على الحارس أن يخمن: "بناءً على الملف الذي يقرؤه والجار الذي يتحدث إليه، ما هي الأداة التي يمسك بها هذا الشخص؟"
- إذا كان الشخص يقرأ ملف إعدادات ويتحدث مع عملية نظام، سيتعلم الحارس أن يخمن "أداة إعدادات النظام". إذا خمن "متصفح ويب"، فسيكون مخطئاً.
يقوم النظام بهذا ملايين المرات. إنه يتعلم "شخصية" كل أداة بناءً على محيطها.
3. الإمساك بالجاسوس (كشف الشذوذ)
بمجرد انتهاء التدريب، يبدأ الحارس في دوريته.
- تمر عملية تقوم بشيء غريب.
- ينظر الحارس إلى المحيط ويسأل: "ما هي هذه الأداة؟"
- إذا كانت الظروف المحيطة تشير إلى أنها يجب أن تكون "آلة حاسبة"، لكن الأداة هي في الواقع "سكربت مخفي"، سيقول الحارس: "انتظر لحظة! هذا لا يبدو منطقياً!".
- ولأن سلوك الأداة لا يتطابق مع "القصة" التي يرويها جيرانها، يقوم GRASP بتمييزها كنشاط مشبوه.
لماذا هذا أفضل من الحراس القدامى؟
- لا توجد قواعد جامدة (لا توجد عتبات): الأنظمة القديمة تحتاج إلى "رقم سحري" (مثل "أكثر من 50 إنذاراً"). GRASP لا يحتاج إلى ذلك. هو فقط يعرف عندما يكون الشيء "غير طبيعي". هذا يعني أنه لن يفوت الجواسيس لمجرد أنهم بقوا تحت الحد المسموح به بقليل.
- إنه يصطاد "المجهول": إذا أحضر جاسوس أداة جديدة تماماً لم يسبق رؤيتها، سيكتشفها GRASP فوراً لأن ليس لها "قصة جيران". سيصنفها كـ "مجهول"، وهو ما يعد علامة خطر كبيرة.
- إنه مستقر: توضح الورقة أن الأنظمة الأخرى (مثل ORTHUS و VELOX) تشبه دوارات الرياح؛ إذا غيرت الرياح قليلاً (غيرت البيانات أو الإعدادات)، فإن نتائجها تتأرجح بجنون. أما GRASP فهو مثل المنارة؛ يعطي إشارة ثابتة وموثوقة في كل مرة.
المقايضة: ضجيج أكثر، سلامة أفضل
تعترف الورقة بأن GRASP يرفع عدد التنبيهات أكثر من الأنظمة القديمة.
- النظام القديم: "أرى 5 أشياء مشبوهة. سأبلغ عن واحد فقط لتجنب إزعاج المدير". (الخطر: قد يفقد المدير الهجوم الحقيقي).
- GRASP: "أرى 500 شيء مشبوه. إليك القائمة. أنت، يا محلل البيانات البشري، اختر ما يهم حقاً".
يرى المؤلفون أن هذا أفضل في الواقع. من الأفضل أن يكون لديك قائمة بـ 500 شيء لفحصه بدلاً من امتلاك نظام يقول لك بثقة "كل شيء على ما يرام" بينما المدينة تحترق. في اختباراتهم، وجد GRASP 100% من الهجمات الموثقة في معظم مجموعات البيانات، بينما فات الكثير منها الأنظمة الأخرى.
مشكلة "أندرويد"
تشير الورقة إلى استثناء واحد: في أجهزة أندرويد (مجموعة بيانات Clearscope)، واجه النظام صعوبة. لماذا؟ لأن في تلك "المدينة" تحديداً، تقوم أداة واحدة بكل شيء تقريباً، ويبدو شكل الجيران متشابهاً للجميع. إنه مثل مدينة يرتدي فيها الجميع نفس الزي ويتحدثون مع نفس الشخص؛ من الصعب تمييز من هو الجاسوس. لم يستطع GRASP تعلم "شخصية" الأدوات هناك. ولكن بالنسبة لأنظمة Linux و Windows، فقد عمل ببراعة.
الملخص
GRPASP هو نظام أمني يتعلم من خلال لعب لعبة التخمين ببياناته الخاصة. بدلاً من وضع قواعد صارمة، يتعلم "الدائرة الاجتماعية" لكل برنامج كمبيوتر. عندما يبدأ برنامج في الاختلاط بالرفقة الخطأ أو استخدام الأدوات الخاطئة للموقف، يرفع GRASP صوت الإنذار. قد يطلق الإنذار بشكل متكرر أكثر من الأنظمة القديمة، لكنه يضمن عدم تسلل أي جاسوس عبر الثغرات.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.