A Study of Kernel Telemetry Options for Security-Oriented Provenance
تحلل هذه الورقة مناهج القياس عن بُعد للنواة، وتحدد تقنية eBPF كأكثر الخيارات واعدةً من خلال اختبارات القياس الدقيقة، وتقيم ثمانية أنظمة للمنشأ وخمسة وكلاء للالتقاط لتكشف أن الأدوات الحالية تعاني من تنفيذ غير متجانس وتفشل في ضمان السلامة والتوافر المطلوبين لحالات الاستخدام الموجهة نحو الأمن.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل حاسوبك كمدينة صاخبة وعالية التأمين. في كل مرة يقوم فيها تطبيق ما بفعل شيء ما — مثل فتح ملف، أو الاتصال بالإنترنت، أو تشغيل برنامج جديد — فإن الأمر يشبه مواطنًا يقدم طلبًا في مبنى البلدية. في عالم الأمن السيبراني، نحتاج إلى الاحتفاظ بمذكرات مثالية وغير قابلة للاختراق توضح من فعل ماذا، ومتى، وكيف. هذه المذكرات تسمى الأصل (provenance). إنها ليست مجرد قائمة بالأحداث؛ بل هي خريطة للسبب والنتيجة، توضح كيف أدى فعل واحد إلى فعل آخر. إذا تسلل مخترق، يحتاج المحققون إلى هذه الخريطة لتتبع خطواته، ومعرفة كيف دخل، ومنعه من العودة مجددًا.
لكن الجزء الصعب هنا هو أن الاحتفاظ بهذه المذكرات أمر عسير. "بلدية" الحاسوب هي النواة (kernel)، وهي اللب الداخلي العميق حيث يحدث كل شيء. لكتابة المذكرات، تحتاج إلى نظام قياس عن بُعد (telemetry) — وهو بمثابة حارس أمن شديد الملاحظة يراقب النواة دون إبطاء حركة المدينة أو التعرض للخداع من قبل الأشرار. لسنوات، جادل خبراء الأمن حول أفضل طريقة لبناء هذا الحارس. بعض الحراس يقفون خارج المبنى (مساحة المستخدم - user space)، بينما يعمل آخرون داخل الجدران (مساحة النواة - kernel space). السؤال الكبير هو: أي حارس سيكون سريعًا بما يكفي لمواكبة العمل، وذكيًا بما يكفي لرؤية كل شيء، وقويًا بما يكفي للبقاء صادقًا حتى عندما يحاول مخترق رشوة أو خداعه؟
هذه الورقة البحثية تشبه قصة بوليسية، حيث يخرج المؤلفون لاختبار الأنواع المختلفة من حراس الأمن لمعرفة أي نوع منها يعمل حقًا لبناء خريطة أصل موثوقة. لم يكتفوا بالتخمين؛ بل أنشأوا مختبرًا، وأجروا آلاف الاختبارات، وقاسوا بدقة مقدار الإبطاء الذي سببه كل حارس للمدينة وعدد الأحداث التي فاتته.
تبدأ القصة بالنظر في الطرق المختلفة لرصد هذه الأحداث. وجد المؤلفون أن الحراس من الطراز القديم، مثل أولئك الذين يقفون خارج المبنى أو الذين يستخدمون أدوات مخصصة وثقيلة، كانوا إما بطيئين جدًا، أو مكفوفين، أو سهلي الخداع. لقد استبعدوا العديد من الأساليب الشائعة، موضحين أنها غالبًا ما تفقد تفاصيل حاسمة أو يمكن التلاعب بها من قبل مهاجم ذكي. سلطت الورقة الضوء على حارس جديد أكثر واعدًا يسمى eBPF (مرشح الحزمة الموسع - extended Berkeley Packet Filter). فكر في eBPP ككاميرا أمنية فائقة القدرة وقابلة للبرمجة تعيش داخل جدران المدينة مباشرة. إنها سريعة، وآمنة، ويمكن برمجتها لمراقبة ما تحتاجه بالضبط.
ومع ذلك، اكتشف المؤلفون أن مجرد امتلاك كاميرا eBPF ليس كافيًا؛ بل يجب أن تعرف كيف تستخدمها. لقد اختبروا أربعة "أنماط" مختلفة لهذه الكاميرات. أحد الأنماط، المسمى LSM، تبين أنه نجم العرض. لماذا؟ لأنه الوحيد الذي يمكنه فحص الطلب بعد معالجته بالكامل وتقرير ما إذا كان مسموحًا به أو محظورًا، كل ذلك في خطوة واحدة. أما الأنماط الأخرى، فقد اضطرت لفحص الطلب مرتين (مرة عند وصوله، ومرة عند مغادرته)، مما ضاعف عملها وأدى إلى إبطائها. توضح الورقة أن استخدام نمط LSM يشبه امتلاك حارس يتخذ القرار النهائي فورًا، بدلًا من الركض ذهابًا وإيابًا إلى المشرف.
كما اختبر الباحثون كيفية تصفية الضجيج. في مدينة مزدحمة، لا تريد تسجيل كل عطسة؛ بل تريد فقط تسجيل أفعال أشخاص محددين، مثل أولئك الموجودين في مبنى معين (حاوية - container). وجدوا أن أفضل طريقة للقيام بذلك هي إخبار الحارس بمراقبة ذلك المبنى المحدد قبل وقوع الحدث حتى. إذا أخبرت الحارس أن يراقب الجميع ثم تتخلص من البيانات غير ذات الصلة لاحقًا، فستتوقف المدينة عن العمل. طريقة "التصفية المسبقة" (pre-filtering)، التي يمكن لـ LSM القيام بها بشكل طبيعي، حافظت على سير المدينة بسلاسة مع الاستمرار في ضبط الأشرار.
أخيرًا، نظر المؤلفون في الأدوات الفعلية التي يستخدمها الناس اليوم لبناء خرائط الأصل هذه. اختبروا ثمانية أنظمة وخمسة "وكلاء التقاط" (أدوات جمع البيانات). كانت النتائج صادمة نوعًا ما. كانت العديد من الأدوات الشائعة تفتقد أجزاءً ضخمة من القصة. بعضها أسقط أكثر من 90% من الأحداث التي كان من المفترض أن يسجلها، مما يعني أن الخرائط التي بنتها كانت مليئة بالثغرات. وأخرى كانت بطيئة جدًا لدرجة جعلت الحاسوب غير قابل للاستخدام. الأداة الوحيدة التي تمكنت من تسجيل كل شيء دون إبطاء العمل لم تكن تبني خريطة أصلاً؛ بل كانت تخرج فقط تدفقًا خامًا من البيانات.
تخلص الورقة إلى أنه بينما نمتلك التكنولوجيا لبناء مذكرات أمنية مثالية، فإن معظم الأدوات الحالية ليست جاهزة للمهمة. فهي إما بطيئة جدًا، أو تسريبية (غير دقيقة)، أو هشة. يقترح المؤلفون أن المستقبل يكمن في استخدام نمط LSM الخاص بـ eBPF مع التصفية الذكية قبل الحدث. إنه المزيج الوحيد الذي يعد بمنحنا سجلًا كاملاً وصادقًا وسريعًا لما يحدث في مدننا الرقمية، وهو أمر ضروري إذا أردنا يومًا ما القبض على اللصوص الرقميين في التلبس.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.