ملخص تقني: تحسين الرسوم البيانية العملي والنماذج القائمة على الذكاء الاصطناعي لتعزيز أمن الدليل النشط (Active Directory)

1. تعريف المشكلة

يعمل نظام "مايكروسوفت أكتيف دايركتوري" (Microsoft Active Directory - AD) كنظام أساسي لإدارة الهوية والوصول لما يقرب من 90% من شركات "فورتشن 500" (Fortune 500). ورغم انتشاره الواسع، إلا أن بيئات الـ AD تتعرض للاختراق بشكل متكرر، حيث يحقق مختبرو الاختراق اختراقاً كاملاً في ما يصل إلى 82% من الشبكات التي يتم تقييمها. وتكمن الثغرة الأساسية في "الانحراف غير الآمن" (insecure drift)، حيث تؤدي العمليات اليومية (مثل تسجيل دخول مسؤولي النظام ذوي الامتيازات العالية إلى محطات عمل منخفضة الامتيازات) إلى إنشاء مسارات هجوم عابرة للمستويات تنتهك "مبدأ المصدر النظيف" (Clean Source Principle).

يعتمد المدافعون تقليدياً على الرسوم البيانية للهجمات (مثل تلك التي يتم إنشاؤها بواسطة BloodHound) لتصور هذه المسارات. ومع ذلك، تواجه أساليب التحصين الحالية ثلاث قيود حرجة:

1. الافتراضات الساكنة (Static Assumptions): تعامل معظم النماذج الرسم البياني لـ AD ككيان ساكن، متجاهلة الحواف الديناميكية (مثل حواف HasSession) التي تظهر وتختفي بناءً على نشاط المستخدم، مما يؤدي إلى دفاعات دون المستوى في السيناريوهات الواقعية.
2. آليات دفاع محدودة: يركز البحث الحالي بشكل حصري تقريباً على إزالة الحواف (سحب الأذونات). وهو يفتقر إلى نماذج للدفاع النشط، مثل التوزيع الاستراتيجي لمصائد المخترقين (Honeypots) أو الطعوم (Decoys)، والتي يمكنها اعتراض المهاجمين دون تعطيل العمليات.
3. الافتقار إلى قابلية التوسع مع وجود العنصر البشري (Human-in-the-Loop Scalability): يتطلب التحصين العملي موافقة مسؤول تكنولوجيا المعلومات. النماذج الحالية إما تفترض أن جميع الحواف القابلة للإزالة معروفة مسبقاً (وهو أمر غير عملي) أو تستعلم عن الحواف واحداً تلو الآخر (وهو أمر غير قابل للتوسع). هناك حاجة لنماذج تكيفية تتعلم أنماط قرار المسؤول لتقليل جهد الاستعلام مع ضمان قطع مسارات الهجوم.

تعالج هذه الأطروحة هذه الفجوات من خلال تطوير نماذج قائمة على نظرية الألعاب والتحسين مصممة خصيصاً لرسوم الهجوم من نوع AD، مع إثبات التعقيد الحسابي لهذه المشكلات، واقتراح خوارزميات قابلة للتوسع تتراوح بين البرمجة الصحيحة المختلطة (MIP) والتعلم التعزيزي (RL).

2. المنهجية والمساهمات

تتمحور الأطروحة حول أربع مساهمات رئيسية، تعالج كل منها أهدافاً بحثية محددة تتعلق بالدفاع النشط، والديناميكيات الزمنية، والتفاعل التكيفي مع البشر.

المساهمة 1: وضع مصائد المخترقين في الرسوم البيانية الساكنة والديناميكية (الفصل 3)

المشكلة: كيف يمكن وضع ميزانية محدودة من مصائد المخترقين (Honeypots) على عقد الـ AD لاعتراض المهاجمين، مع مراعاة المهاجمين "البسطاء" (الذين لا يمكنهم اكتشاف المصائد) والمهاجمين "الأكفاء" (الذين يمكنهم الملاحظة والتجنب).
المنهجية:

• صياغة نظرية الألعاب: يتم نمذجة المشكلة كـ "لعبة ستيكلبرج" (Stackelberg game). يسعى المدافع لتقليل احتمالية نجاح المهاجم ضد مزيج من المهاجمين البسطاء والأكفاء.
• التعقيد: ثبت أن المشكلة هي NP-hard ضد المهاجمين البسطاء، و W[1]-hard ضد المهاجمين الأكفاء.
• الحل الساكن: تم تطوير صياغة للبرمجة الصحيحة المختلطة (MIP). ومن خلال الاستفادة من البنية الشبيهة بالشجرة لرسوم AD البيانية، يحقق الحل كفاءة عالية حتى في الرسوم الكبيرة (تصل إلى ~137 ألف عقدة).
• الحل الديناميكي: إدراكاً بأن رسوم AD تتطور عبر حواف HasSession ، تقترح الأطروحة dyMIP(m)، والتي تعمل على التحسين عبر $m$ من لقطات الرسم البياني. وللتعامل مع قابلية التوسع، تم تقديم خوارزميتين استكشافيتين (Heuristics):
  • القائمة على التصويت (Voting-based): تشغل MIP على دفعات من اللقطات وتختار العقد التي تظهر بشكل متكرر.
  • القائمة على التجميع (Clustering-based): تستخدم تجميع k-means على سمات الرسم البياني لاختيار لقطات ممثلة، وحل الـ MIP فقط على هذه المجموعة المختزلة.
    النتائج: تُظهر التجارب على بيانات اصطناعية وواقعية أن الخوارزمية الاستكشافية القائمة على التجميع تنتج خطط حظر قريبة من المثالية بتكلفة حسابية أقل بكثير من حل جميع اللقطات. وتتوسع هذه الطريقة لتشمل رسوماً بمليارات الحواف، متفوقة على الدفاعات الساكنة فقط التي تفشل في مراعاة ظهور الحواف الدينమైనية.

المساهمة 2: تحسين وقت الاستجابة السيبرانية في الرسوم البيانية الزمنية (الفصل 4)

المشكلة: في الإعداد الزمني، قد "يتربص" المهاجمون في عقدة ما بانتظار توفر حافة معينة. الهدف ليس فقط حظر المسارات ولكن تعظيم وقت الاستجابة (RT) — وهو المدة بين تفعيل أول طعم واختراق مسؤول النطاق (DA).
المنهجية:

• المقياس: يُعرف RT بأنه الفرق الزمني بين أول تفعيل للمصيدة واختراق الـ DA. يهدف المدافع إلى تعظيم أسوأ حالات RT.
• التعقيد: ثبت أن مشكلة التحسين هي NP-hard عبر الاختزال من مشكلة الفصل الزمني الصارم $(s, d)$.
• الخوارزمية: يتم استخدام خوارزمية تحسين التنوع التطوري (EDO) لإيجية استراتيجيات دفاع متنوعة وعالية الجودة.
• التحسينات:
  • تقييم اللياقة الأسرع: تم اقتراح خوارزمية جديدة تعتمد على Dijkstra لحساب "مسار الوصول المبكر" في الرسوم البيانية الزمنية. وهي تستغل حقيقة أن معظم حواف AD ثابتة، مما يحقق تسريعًا بمقدار 5 أضعاف مقارنة بخوارزميات مسار الزمن المتطورة (Wu et al.).
  • التعامل مع القيود: تم تقديم تقنيتين للتعامل مع صعوبة إيجاد حلول قابلة للتنفيذ (cuts) في البحث التطوري:
    1. إصلاح ILP: يستخدم البرمجة الصحيحة (Integer Linear Programming) لـ "ترقيع" الأبناء غير القابلين للتنفيذ وتحويلهم إلى قطع صالحة.
    2. اللياقة المساعدة بالبديل (Surrogate-Assisted Fitness): يستخدم دالة بديلة خفيفة الوزن تقيم فقط مجموعة من المسارات "المهمة"، ويتم تحديثها بشكل تكراري مع مسارات الهجوم المثلى الجديدة التي يجدها المهاجم.

النتائج: تصل طريقة (EST) المساعدة بالبديل إلى حلول قابلة للتنفيذ أسرع بحوالي 108 مرة من خوارزمية EDO التقليدية، وتتفوق على الإصلاح القائم على ILP بنسبة ~23% في مقاييس وقت الاستجابة، مع تجنب أخطاء نفاذ الذاكرة (Out-of-Memory) في الرسوم الكبيرة.

المساهمة 3: المعالج التكيفي لإزالة المسارات عبر المستويات (الفصل 5)

المشكلة: كيف يمكن الاستعلام التفاعلي من مسؤول تكنولوجيا المعلومات لإزالة الحواف وقطع مسارات الهجوم بأقل عدد من الاستعلامات، دون معرفة أي الحواف قابلة للإزالة مسبقاً.
المنهجية:

• إزالة المسارات التكيفية (APR): يعرض "المعالج" (Wizard) مسار هجوم إلى المسؤول كطقم من خيارات متعددة (الحواف الموجودة في ذلك المسار). يختار المسؤول حافة واحدة لإزالتها. وتتكرر العملية حتى يتم قطع المسار أو استنفاد الميزانية.
• التعقيد: ثبت أن إيجاد السياسة التكيفية المثلى هو مشكلة #P-hard.
• الخوارزميات:
  • الدقيق (OPT): نهج البرمجة الديناميكية للرسوم الصغيرة.
  • التقريبي (APP): خوارزمية تقريب فرعي (submodular) تكيفية.
  • الاستكشافي القابل للتوسع (DPR): خوارزمية "البرمجة الديناميكية مع القيود" التي تبني على الطرق الدقيقة ولكنها تتوسع للرسوم الأكبر.
  • نهج RL: خوارزمية استدلالية قائمة على التعلم التعزيزي (Reinforcement Learning) يتم تدريبها خارج الخط (offline) لضمان وقت استدلال منخفض.
    النتائج: تقدم خوارزمية DPR أقوى النتائج، حيث تضمن القضاء على جميع مسارات $s-t$ عند توفر ميزانية كافية. وهي تتفوق بشكل كبير على الاستراتيجيات غير التكيفية الأساسية في تقليل عدد الاستعلامات المتوقع.

المساهمة 4: اختبار الاتصال التكيفي القائم على السمات (F-ACT) (الفصل 6)

المشكلة: توسيع نموذج الاستعلام التكيفي لتعميم قرارات المسؤول بناءً على سمات الحواف (مثل خصائص الكائنات) بدلاً من الاستعلام عن الحواف بشكل فردي.
المنهجية:

• إطار عمل F-ACT: بدلاً من السؤال "هل أزيل الحافة $e$؟"، يعرض المعالج حافة مع متجه سماتها. ينطبق قرار المسؤول (قطع/إبقاء) على جميع الحواف التي تشترك في نمط تلك السمة.
• حل RL (اسم RL4FT): يتم تدريب وكيل تعلم تعزيزي لتعلم سياسة استعلام تكيفية.
  • التحسين الذاتي: آلية تسمح للوكيل بالتحسن فوق أي سياسة مرجعية معطاة.
    كتب.
  • تشكيل المكافأة (Reward Shaping): مخطط غير متغير للسياسة للتعامل مع المكافآت الشحيحة.
  • إعادة التشغيل ذات الأولوية (Prioritized Experience Replay): ذاكرة تخزين مؤقت مخصصة للتركيز على الانتقالات عالية القيمة.
    النتائج: يضمن RL4FT التحسن فوق أي سياسة مرجعية ويتفوق بشكل كبير على خطوط الأساس الحديثة (بما في ذلك خوارزمية DPR من الفصل 5) في تقليل عدد الاستعلامات المتوقع، مما يثبت فعالية التعميم القائم على السمات في تعزيز الأمن.

3. النتائج الرئيسية والأهمية

تثبت هذه الأطروحة أن:

1. الدفاع الديناميكي أمر بالغ الأهمية: تتدهور استراتيجيات وضع مصائد المخترقين الساكنة بشكل كبير عند تطبيقها على رسوم AD الديناميكية. تحقق الخوارزميات الاستكشافية القائمة على التجميع والتصويت في الرسوم الديناميكية أداءً قريباً من المثالية مع قابلية توسع عالية.
2. الوعي الزمني يعزز الاستجابة: من خلال نمذجة الرسم البياني زمنياً وتعظيم وقت الاستجابة، يكتسب المدافعون نافذة حرجة للاستجابة للحوادث. تجعل خوارزميات تقييم اللياقة القائمة على Dijkstra وخوارزميات EDO المساعدة بالبديل هذا الأمر ممكناً من الناحية الحسابية للشبكات واسعة النطاق.
3. وجود العنصر البشوي في الحلقة قابل للتوسع: تنجح نماذج الاستعلام التكيفي (APR و F-ACT) في تقليل العبء الإداري للتحصين. من خلال تعميم القرارات عبر سمات الحواف (F-ACT) أو استخدام اختيار المسارات التكيفي (APR)، يقلل النظام من عدد الاستعلامات المطلوبة لتأمين الشبكة مع ضمان قطع المسارات.
4. التعقيد الحسابي: تثبت الأطروحة بصرامة أن المشكلات الأساسية (وضع مصائد المخترقين، تعظيم القطع الزمني، الاستعلام التكيفي) هي مشكلات مستعصية حسابياً (NP-hard, W[1]-hard, #P-hard)، مما يبرر الحاجة إلى الخوارزميات الاستكشافية والتقريبية المقترحة.

الأهمية:
يعد هذا العمل جسراً بين نماذج أمن الرسوم البيانية النظرية وتحصين الـ Active Directory العملي. فهو يتجاوز مجرد قواعد إزالة الحواف البسيطة ليوفر مجموعة أدوات شاملة تتضمن الدفاع النشط (مصائد المخترقين)، والوعي الزمني (تحسين وقت الاستجابة)، والأتمتة التي تركز على الإنسان (المعالجات التكيفية). تم تصميم الخوارزميات المقترحة لتتوسع لتشمل شبكات المؤسسات (مئات الآلاف من العقد)، معالجة القيود المحددة لبيئات AD الواقعية حيث تكون استمرارية العمل وحمل العمل الإداري أمراً بالغ الأهمية. وتخلص الأطروحة إلى أنه بينما المشكلات صعبة نظرياً، فإن النهج القائمة على الذكاء الاصطناعي والتحسين توفر حلولاً عملية وفعالة لأمن الـ AD الحديث.