Validating Threat Modeling Results with the Help of Vulnerable Test Applications
تقترح هذه الورقة وتتحقق من صحة نهج قائم على الثغرات الأمنية لتقييم اكتمال نمذجة التهديدات، وذلك من خلال إثبات أن أداة مدعومة بالنماذج اللغوية الكبيرة (ThreMoLIA) تتفوق على أداة نمذجة التهديدات من مايكروسوفت في اكتشاف الثغرات المعروفة داخل تطبيقات اختبار مصممة لتكون عرضة للثغرات بشكل متعمد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تبني قلعة. قبل أن تضع أول حجر، تريد التأكد من أنك فكرت في كل طريقة ممكنة قد يتسلل بها لص إلى الداخل. تسمى عملية التخطيط هذه "نمذجة التهديدات" (Threat Modeling). أنت ترسم خرائط لقلعتك (مخططات معمارية) وتدرج كل وسيلة محتملة لاقتحامها (التهديدات).
المشكلة الكبيرة؟ كيف تعرف أن قائمتك كاملة؟ عادةً، ستطلب من خبير أمن وحماية أن يلقي نظرة على قائمتك ويقول لك: "عمل جيد، لم يفتك شيء". ولكن ماذا لو كان الخبير متعباً، أو ما إذا كان لديه رأي مختلف عن رأيك؟ من الصعب التأكد من ذلك.
تقدم هذه الورقة البحثية طريقة ذكية جديدة لاختبار خطط الأمان هذه: اختبار "البيت الفخ" (The Trap House Test).
تجربة "البيت الفخ"
بدلاً من مجرد سؤال خبير، قام الباحثون ببناء "بيتين فخين" رقميين (تطبيقات تحتوي على ثغرات):
- AzureGoat: إعداد سحابي مصمم ليكون به ثغرات أمنية محددة ومعروفة.
- VulnBank: تطبيق بنكي وهمي مصمم ليكون مليئاً بالثغرات، بما في ذلك بعض الثغرات المعقدة المتعلقة بالذكاء الاصطناعي.
هذه البيوت لديها "بطاقة تسجيل" توضح بالضبط أماكن وجود الثغرات. لم يخبر الباحثون أدوات الأمن بمكان الثغرات؛ بل أعطوا الأدوات المخططات (الخرائط) فقط وسألوا: "أوجد التهديدات".
المتنافسون
وضع الباحثون اثنين من "محققين أمنيين" في مواجهة بعضهما البعض:
- المخضرم (MTMT): أداة نمذجة التهديدات من مايكروسوفت. وهي أداة تقليدية معروفة تتبع كتاب قواعد صارماً ومستقراً (يسمى STRIDE) للعثور على التهديدات. فكر فيها كمحقق مخضرم بارع في اكتشاف طرق كسر الأقفال وخلع النوافذ الكلاسيكية.
- الوافد الجديد (ThreMoLIA): أداة جديدة مدعومة بنموذج لغوي كبير (LLM). هذا المحقق ذكي، يقرأ المخططات، ويستخدم مكتبة ضخمة من المعرفة لتخمين أين قد يضرب الأشرار، بما في ذلك الحيل الحديثة مثل التلاعب بالذكاء الاصطناعي.
النتائج: من وجد ثغرات أكثر؟
قام الباحثون بعدّ عدد "الثغرات" المعروفة التي وجدتها كل أداة في البيوت الفخاخ.
في بيت السحابة (AzureGoat):
- ThreMoLIA (الذكاء الاصطناعي): وجد 100% من الثغرات (7 من أصل 7). لقد كشف كل شيء.
- MTMT (المخضرم): وجد 57% فقط (4 من أصل 7). لقد فاتته بعض الثغرات.
في بيت البنك (VulnBank):
- ThreMoLIA: حتى مع امتلاك المخطط الأساسي فقط، وجد 73% من الثغرات. وعندما أعطاه الباحثون سياقاً إضافياً (مثل نظرة ثانية على المستندات)، وجد 92% من الثغرات. والأهم من ذلك، أنه وجد جميع الثغرات المتعلقة بالذكاء الاصطناعي.
- MTMT: وجد 55% فقط. لقد قام بعمل جيد في المشكلات البنكية القديمة (مثل مشكلات تسجيل الدخول)، لكنه تجاهل تماماً جميع الثغرات المتعلقة بالذكاء الاصطناعي.
ماذا يعني هذا؟
تخلص الورقة البحثية إلى أن استخدام هذه "البيوت الفخاخ" هو وسيلة رائعة لاختبار أدوات الأمن لأن لديك مفتاح إجابات معروف. لا تحتاج لتخمين ما إذا كانت الأداة جيدة أم لا؛ يمكنك فقط عدّ الإصابات الناجحة.
الاستنتاج الرئيسي هو أن الأداة المدعومة بالذكاء الاصطناعي (ThreMoLIA) كانت أفضل في العث de على الثغرات من الأداة التقليدية، خاصة عندما يتضمن النظام تقنيات حديثة مثل الذكاء الاصطناعي. الأداة التقليدية لا تزال جيدة للمشكلات الكلاسيكية، لكنها تعاني مع مزيج المخاطر الأمنية الجديد والمعقد الذي يجمع بين القديم والجديد.
التحفظات (النصوص الصغيرة)
يحرص المؤلفون على ملاحظة بضع نقاط:
- الاستدعاء مقابل الدقة (Recall vs. Precision): قاس هذا الاختبار عدد الثغرات الحقيقية التي تم العثور عليها (الاستدعاء)، وليس عدد الإنذارات الكاذبة التي أطلقت. وجدت أداة الذكاء الاصطناي ثغرات حقيقية أكثر، لكن الورقة لا تدعي أنها لا تطلق إنذارات كاذبة أبداً (رغم أنها تقول إن نظامهم يقوم بتصفيتها).
- "الدرجة المدمجة": جاءت أفضل درجة للأداة الذكية من خلال دمج محاولتين مختلفتين. الأمر يشبه طلب حل اللغز من الذكاء الاصطنا_ي مرتين وأخذ أفضل الإجابات من كل منهما. هذا يتطلب جهداً أكبر قليلاً من التشغيل الواحد للأداة التقليدية.
- نطاق محدود: اختبروا تطبيقين محددين فقط. ورغم أن النتائج واعدة، إلا أنهم لم يختبروا ذلك على شبكات اتصالات حقيقية وضخمة بعد (رغم أن هذا هو هدفهم التالي).
باختصار: إذا كنت تريد معرفة ما إذا كانت أداة أمنية قادرة على رصد نقاط الضعف الحقيقية، فلا تكتفِ بسؤال خبير. أعطها مبنىً متهالكاً وانظر ما إذا كان بإمكانها العثور على جميع الشقوق. في هذا الاختبار، وجد المحقق المدعوم بالذكاء الاصطناعي شقوقاً أكثر من المحقق التقليدي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.