Symbolic Attack Chain Generation from Atomic Red Team Techniques: An Empirical Study of Predicate Representation Granularity
تُظهر هذه الدراسة التجريبية أن تقليل درجة تفصيل تمثيل المحمول في التوليد الآلي لسلسلة الهجمات من تسع إلى خمس فئات لا يؤثر بشكل كبير على صلاحية المخطط أو التكلفة، مما يشير إلى أن الدرجة الأعلى من التفصيل تعمل أساساً على تحسين التبرير الهيكلي بدلاً من التأثير على جدوى سلاسل الهجوم المولدة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول تعليم روبوت كيفية اختراق حصن رقمي. لا يمكنك ببساطة أن تقول للروبوت: "اذهب واسرق الكنز". بل يجب عليك إعطاؤه وصفة خطوة بخطوة: "أولاً، ابحث عن الباب الخلفي. ثانياً، اختر القفل. ثالثاً، ادخل إلى الداخل". في عالم الأمن السيبراني، تُسمى هذه الوصفات بـ سلاسل الهجمات (attack chains). وهي المخططات التي يستخدمها المخترقون للانتقال من نقطة دخول صغيرة إلى عملية سطو ضخمة على البيانات. يدرس المدافعون هذه المخططات لبناء إنذارات وفخاخ أفضل.
ولصنع هذه المخططات، يستخدم العلماء نوعاً خاصاً من المنطق الحاسوبي يسمى التخطيط بالذكاء الاصطناعي (AI planning). فكر في الأمر كأنه نظام ملاحة (GPS) فائق الذكاء للمخترقين. فبدلاً من التخمين، يبحث نظام الملاحة في جميع التحركات الممكنة ويحدد المسار الأكثر كفاءة للوصول إلى الهدف. ولكن لكي يعمل نظام الملاحة هذا، عليك وصف العالم له بدقة شديدة. هل من المهم أن يمتلك المخترق أداة معينة؟ هل من المهم أن يكون مسجلاً للدخول كمسؤول (admin)؟ أم يكفي القول بأنهم "بالداخل" فقط؟ هذا هو السؤال الكبير: ما مقدار التفاصيل التي تحتاج لإعطائها للروبوت قبل أن يصاب بالارتباك أو يرتكب خطأً؟ إذا أعطيته القليل جداً، فقد يخطط لعملية سطو مستحيلة. وإذا أعطيته الكثير جداً، فقد تضيع وقتك في وصف أشياء لا تغير النتيجة فعلياً.
هذا هو بالضبط ما تبحث فيه ورقة راميا فارونسيجار البحثية. أرادت المؤلفة معرفة ما إذا كان "المعيار الذهبي" الحالي لوصف تحركات المخترقين ضرورياً حقاً، أم أنه مجرد تعقيد مبالغ فيه.
التجربة الكبرى: تبسيط الوصفة
لفترة طويلة، كان أفضل نظام لتعليم الروبوتات حول الاختراق (يُسمى AURORA) يستخدم قائمة مرجعية مفصلة للغاية تتكون من تسع فئات مختلفة لوصف كل حركة يقوم بها المخترق. كان الأمر يشبه امتلاك كتاب وصفات لا يكتفي بكتابة "أضف الملح"، بل يكتب "أضف ملح البحر من المحيط الهادئ"، و"أضف ملح البحر من الأطلسي"، و"أضف ملح البحر من الهيمالايا"، حتى لو كان الطعم هو نفسه. تساءل الباحثون: هل نحتاج حقاً إلى كل هذه الفئات التسع، أم يمكننا الاكتفاء بأقل منها؟
ولمعرفة ذلك، بنوا آلة اختبار. أخذوا مجموعة من 1 ১৬ تقنية اختراق حقيقية من العالم الواقعي (من مكتبة تسمى Atomic Red Team) وحاولوا ترجمتها إلى لغتين مختلفتين للروبوت:
- اللغة الأصلية المعقدة المكونة من تسع فئات.
- لغة جديدة مبسطة مكونة من خمس فئات ابتكروها من خلال مراقبة كيفية عمل هذه الاختراقات في الواقع الفعلي.
ثم طلبوا من محرك تخطيط فائق الذكاء (يُسمى Fast Downward) محاولة حل اللغز باستخدام كلتا اللغتين. كان الهدف هو معرفة ما إذا كانت النسخة المبسطة ستؤدي إلى فشل الروبوت، أو استهلاك وقت أكثر، أو إنتاج خطة أسوأ.
النتائج المفاجئة
كانت النتائج تشبه اكتشاف أن كاميرا عالية الدقة بدقة 8K ليست ضرورية دائماً لرؤية قطة على أريكة.
- معدل النجاح: كان الروبوت ناجحاً بنفس القدر مع القائمة البسيطة المكونة من خمس فئات كما كان مع القائمة المعقدة المكونة من تسع فئات. تمكنت النسختان من إنشاء خطة هجوم صالحة لـ 13 من أصل 16 تقنية. أي بنسبة نجاح بلغت 81.3% لكلا النسختين. لم تساعد التفاصيل الإضافية الروبوت في النجاح بشكل أكبر.
- التكلفة والسرعة: كانت "تكلفة" الخطط (عدد الخطوات التي اتخذها الروبوت) متساوية تماماً. لم تجعل النسخة المبسطة الروبوت يتخذ مساراً أطول أو دائرياً.
- فحص "الدقة" (Fidelity): عندما قارنوا خطط الروبوت بـ "الحقيقة الأرضية" (المسار المثالي المتوقع الذي وضعه البشر)، حصل الروبوت على درجة مثالية قدرها 1.0 (مطابقة تامة) في كلتا الحالتين.
العقبة الوحيدة: عندما تصبح التفاصيل مهمة
ومع ذلك، لا تقول الورقة البحثية "تخلصوا من جميع التفاصيل". فقد وجد الباحثون أن التفاصيل الإضافية في نظام الفئات التسع ساعدت في الغالب في التفسير الداخلي لسبب عمل الخطة، بدلاً من جعل الخطة نفسها تعمل بشكل أفضل.
كانت هناك حالة محددة كانت فيها التفاصيل الإضافية حاسمة. في إحدى التقنيات، يحتاج المخترق ليكون "مسؤولاً" (Administrator) للقيام بشيء ما. لكن الروبوت وجد أن مجرد كون الشخص مسؤولاً ليس كافياً؛ بل يحتاج المخترق أيضاً إلى القدرة على استخدام تلك السلطة عبر اتصال شبكة. فاتجاه نظام الفئات الخمس المبسط في البداة قد أغفل هذا الفرق الصغير ولكنه الحيوي. اضطر الباحثون لإضافة قاعدة "بيئة" (Environment) محددة لإصلاح ذلك. أظهر هذا أنه بينما يمكنك تبسيط الأمور عادةً، يجب أن تكون حذراً من دمج شيئين معاً لمجرد أنهما يبدوان متشابهين.
ماذا يعني هذا للمستقبل
الاستنتاج الرئيسي هو أنه بالنسبة لمجموعة الـ 16 تقنية اختراق التي تم اختبارها، فإن نظام الفئات التسع المعقد هو إفراط في التجهيز (overkill). فالنظام الأبسط المكون من خمس فئات يعمل بشكل جيد تماماً في إنشاء سلاسل هجوم صالحة.
تشير الورقة البحثية إلى أن خبراء الأمن السيبراني قد لا يحتاجون إلى بناء نماذج معقدة للغاية لكل موقف. يمكنهم استخدام نموذج أكثر رشاقة وبساطة، يسهل إدارته وفهمه، دون فقدان القدرة على التنبؤ بكيفية قيام المخترقين بضرباتهم. ومع ذلك، فإن المؤلفة حذرة في قولها إن هذا يعتمد على مجموعة محددة من الاختبارات. فقد وجدوا أنه بينما كانت النتيجة هي نفسها، فإن المنطق الداخلي للروبوت كان مختلفاً قليلاً. ساعدت الفئات الإضافية في النظام القديم في شرح "السبب" بمزيد من التفصيل، لكنها لم تغير "الماهية".
باخت-القول، وجد الباحثون أنك لا تحتاج دائماً إلى مجهر لرؤية الصورة الكاملة. فأحياناً، تكون نظارة طبية جيدة كافية لرصد المتسلل، بشرط أن تعرف بالضبط أين تنظر.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.