Bending the Curve: Operational Cyber Epidemiology for Ransomware
تقترح هذه الورقة إطار عمل تشغيلي لعلم الأوبئة السيبرانية يعمل على تكييف نموذج (SEIR) مع إدارة حوادث برامج الفدية، مما يوفر لغة مشتركة ومقاييس في الوقت الفعلي مثل أرقام التكاثر لتوجيه قرارات الاحتواء والحد من ديناميكيات الانتشار عبر الحوادث المتنوعة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل عالماً لا تكتفي فيه فيروسات الكمبيوتر بالجلوس بهدوء على القرص الصلب، منتظرة أن يجدها برنامج فحص. بدلاً من ذلك، تخيلها وهي تتصرف مثل فيروس إنفلونزا متسلل في مدرسة مزدحمة. يصاب طالب واحد بالعدوى، فيعطس في الممر، وفجأة تجد الكافيتريا بأكملها تعاني من السعال. في عالم الأمن السيبراني الحقيقي، هذا هو بالضبط كيف تعمل برامج الفدية (ransomware) في كثير من الأحيان. فهي لا تضرب جهاز كمبيوتر واحد فحسب؛ بل تنتقل من جهاز إلى آخر، مستخدمةً كلمات المرور المسروقة والأدوات المشتركة لتنتشر بسرعة أكبر مما يمكن لأي شخص إيقافه. لفترة طويلة، حاولت فرق الأمن التعامل مع هذه الهجمات كأنها لعبة بسيطة من نوع "اكتشف واحذف"، حيث يبحثون عن الشخص السيئ ويطردونه. لكن مؤلفي هذه الورقة البحثية يقترحون أن هذا النهج يشبه محاولة وقف تفشي الإنفلونزا عبر علاج الشخص الذي عطس أولاً فقط، مع تجاهل حقيقة أن الفيروس ينتشر بالفعل عبر فتحات التهوية.
لفهم الحل، نحتاج إلى ثلاث أفكار بسيطة من عالم الصحة العامة. أولاً، هناك "فترة الحضانة"، وهي الوقت بين التقاط الجرثومة وبين الشعور بالمرض فعلياً أو نقل العدوى للآخرين. في أجهزة الكمبيوتر، هذا هو "وقت المكوث" (dwell time)، حيث يكون المتسللون موجودين بالفعل في الداخل، يجهزون أدواتهم بهدوء قبل أن يبدأوا في إحداث الفوضى. ثانياً، هناك "رقم التكاثر"، وهي طريقة منمقة للتساؤل: "إذا لمس شيء مصاب أشياء أخرى، فكم عدد الإصابات الجديدة التي سيسببها؟" إذا كانت الإجابة أكثر من واحد، فإن المشكلة تنمو؛ وإذا كانت أقل من واحد، فإن المشكلة تموت. أخيراً، هناك فكرة "مناعة القطيع"، حيث يكون عدد الناس محميين (أو في هذه الحالة، عدد أجهزة الكمبيوتر التي تم تحديثها وعزلها) بحيث لا يستطيع الفيروس العث de لـ "مضيف" جديد لينتقل إليه. تطرح الورقة سؤالاً كبيراً: هل يمكننا استخدام أدوات الصحة التقلية هذه لإدارة كوارث الكمبيوتر الحديثة؟
يقترح المؤلفون، بقيادة ستيفن ف. فلاورداي وزملائه، طريقة جديدة لمحاربة برامج الفدية تسمى "علم الأوبئة السيبرانية التشغيلية" (Operational Cyber Epidemiology). هم يقترحون أنه بدلاً من مجرد البحث عن البرامج الضارة، يجب على فرق الأمن أن تعمل مثل محققي الأمراض. لقد قدموا إطار عمل يربط انتشار الهجوم السيبراني بنموذج صحي كلاسيكي يسمى SEIR (المعرضون للإصابة، المعرضون للعدوى، المصابون، والمزالون). في هذه النسخة الرقمية، يكون جهاز الكمبيوتر "معرضاً للإصابة" (Susceptible) إذا كان ثغرة، و"معرضاً للعدوى" (Exposed) إذا تسلل المتسللون إليه ولكنهم لم يبدأوا في النشر بعد، و"مصاباً" (Infectious) إذا كان ينشر العدوى بنشاط إلى الأجهزة الأخرى، و"مزالاً" (Removed) إذا تم عزله وتنظيفه.
النتيجة الرئيسية للورقة هي أنه من خلال تتبع هذه المراحل، يمكن لفرق الأمن اتخاذ قرارات أذكى وأسرع. هم يجادلون بأن اللحظة الأكثر حرجاً ليست عندما يبدأ التشفير، بل خلال مرحلة "التعرض للعدوى"، عندما لا يزال المتسللون مختبئين. يقترح المؤلفون استخدام خدعة رياضية بسيطة لمعرفة ما إذا كان الهجوم رابحاً أم خاسراً. يقومون بحساب رقم يسمى "رقم التكاثر الفعال" (Re). إذا كان هذا الرقم فوق 1، فإن الهجوم ينمو، وعلى الفريق أن يصاب بالذعر ويعزل المزيد من الأنظمة. وإذا انخفض الرقم إلى أقل من 1، فإن الهجوم يتباطأ، ويمكنهم التركال على عملية التنظيف. تظهر الورقة أنه من خلال معاملة الشبكة كأنها مجموعة من السكان وليس مجرد قائمة من الأجهزة، يمكن للفرق منع "منحنى" الإصابات من الانحناء نحو الأعلى.
ومع ذلك، يحذر المؤلفون من تقديم وعود بوجود حل سحري. لقد استبعدوا صراحة فكرة أن هذا علم دقيق ومثالي لكل جهاز كمبيوتر على حدة. هم يعترفون بأن شبكات الكمبيوتر الحقيقية فوضوية ومعقدة، حيث تعمل بعض الأجهزة مثل "الناشرين الفائقين" (مثل طالب محبوب يتحدث مع الجميع) بينما الآخرون مجرد متفرجين. الرياضيات التي يستخدمونها هي "قاعدة عامة" أو دليل تقريبي للمساعدة في اتخاذ قرار بشأن متى يتم سحب مكابح الطوارئ، وليست بلورة سحرية تتنبأ بالمستقبل بدقة 100%. كما أوضحوا أن هذه الطريقة تعمل بشكل أفضل للهجمات التي تنتشر بالفعل من جهاز إلى آخر؛ فإذا قام متسلل بمجرد سرقة البيانات دون نشر العدوى، فإن "رقم التكاثر" لا ينطبق حقاً.
استخدمت الورقة أمثلة من العالم الحقيقي لإثبات وجهة نظرها، حيث نظرت في هجمات شهيرة مثل WannaCry وNotPetya واختراق SolarWinds. أظهروا كيف انتشر WannaCry مثل حريق الغابة لأنه استطاع القفز من تلقاء نفسه، بينما استخدم NotPetya خدعة "سلسلة التوريد"، حيث انتشر من خلال تحديث برمجيات موثوق به. ومن خلال تطبيق عدسة "علم الأوبياء" الجديدة، أظهروا أن أنواع الهجمات المختلفة تحتاج إلى علاجات مختلفة. فبالنسبة للهجمات سريعة الانتشار، تحتاج إلى سد الثغرات بسرعة. أما بالنسبة للهجمات التي تنتشر عبر الحسابات الموثوقة، فأنت بحاجة إلى إغلاق الوصول لمن يمتلك المفاتيح.
في النهاية، تقترح الورقة أن أفضل طريقة للتعامل مع أزمة برامج الفدية هي التوقف عن التخمين والبدء في القياس. إنها توفر قائمة مرجعية لـ "العناصر الأساسية للمعلومات" — أشياء بسيطة مثل عدد أجهزة الكمبيوتر الجديدة التي تصاب كل ساعة أو عدد قطاعات الشبكة الجديدة التي تتعرض للاختراق. إذا ارتفعت هذه الأرقام، يعرف الفريق وجوب عزل المزيد من المناطق فوراً. وإذا انخفضت، يعرف الفريق أن عملية الاحتواء ناجحة. يعتقد المؤلفون أنه من خلال التحدث بلغة مشتركة من "التفشيات" بدلاً من مجرد "الأخطاء البرمجية"، يمكن لفرق الأمن والمديرين وحتى القادة غير التقنيين فهم الموقف بشكل أفضل واتخاذ قرارات أسرع تنقذ المؤسسة. الأمر لا يتعلق بمنع كل عملية اقتحام، بل بالتأكد من أنه عندما يحدث واحد، فإنه لن يتحول إلى كارثة شاملة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.