Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

تخيل أنك حارس أمن في قلعة عالية التقنية. مهمتك لا تقتصر فقط على فحص من يعبر الباب الأمامي؛ بل عليك التأكد من أنهم بمجرد دخولهم، لن يبدأوا في إعادة ترتيب الأثاث، أو طلاء اللوحات الجدارية، أو التسلل إلى غرفة الملك. في عالم الكمبيوتر، يسمى هذا الأمن السيبراني. لفترة طويلة، كان الحراس يراقبون الباب الأمامي (الشبكة) في الغالب ليروا ما إذا كان الأشرار يحاولون الاقتحام. لكن المخترقين المعاصرين أذكياء؛ فهم أحياناً يتسللون إلى الداخل ثم يحاولون تغيير طريقة تفكير الكمبيوتر وتحركاته، وكل ذلك بينما يتظاهرون بأنهم برنامج طبيعي ومفيد.

ولإمساك هؤلاء المتسللين الماكرين، يستخدم العلماء طريقة تسمى مراقبة تدفق التحكم (Control-Flow Monitoring). فكر في برنامج الكمبيوتر كأنه وصفة لخبز كعكة. "تدفق التحكم" هو ترتيب الخطوات: اخلط الدقيق، أضف البيض، اخبز، ثم زين بالكريمة. إذا قالت الوصفة فجأة "أضف الملح" مباشرة بعد "الخبز"، أو تخطت خطوة "الخلط" تماماً، فهذا يعني أن هناك خطأ ما. الأنظمة الأمنية تراقب هذه الوصفة لترى ما إذا كانت الخطوات منطقية. وإذا لم تكن كذلك، فهذا يسمى شذوذاً (Anomaly). ولكن هنا يكمن الجزء الصعب: يمكن لمخترق ذكي أن يخدع الحارس. قد يخفي خطوة "أضف الملح" في جزء من الوصفة يبدو وكأنه خطوة طبيعية لـ "تنظيف المطبخ"، أو قد يمسح الملحوظة التي تقول "أضف الملح" من لوحة ملاحظات الحارس. هذا يسمى التمويه (Camouflage). يرى الحارس خطوة غريبة، ولكن لأن الملحوظة مفقودة أو تبدو غير ضارة، يفكر الحارس: "أوه، هذه مجرد عملية تنظيف غريبة"، ويتركها تمر.

هذه الورقة البحثية، التي كتبها باحثون من ألمانيا، تتناول هذه المشكلة تحديداً: كيف تصطاد مخترقاً يجيد إخفاء آثاره؟ يقترح المؤلفون طريقة جديدة وذكية للنظر إلى هذه المشكلة من خلال الجمع بين نوعين من حراس الأمن: أحدهما يعمل داخل برمجيات الكمبيوتر ("المراقب البرمجي") والآخر يراقب من صندوق عتادي منفصل وغير قابل للاختراق ("المراقب العتادي"). ويجادلون بأنه بينما يمكن خداع الحارس البرمجي، فإن الحارس العتادي يصعب خداعه كثيراً. ومن خلال استخدامهما معاً، يمكنك الإمساك بالمخترق حتى عندما يحاول التمويه على تحركاته.

قصة الحارسين

يبدأ الباحثون بشرح كيفية عمل الأمن الحالي. عادةً، يمتلك الكمبيوتر خريطة لجميع المسارات الصالحة التي يمكن أن يسلكها البرنامج، وتسمى مخطط تدفق التحكم (CFG). إنها تشبه خريطة مترو الأنفاق التي توضح كل محطة وكل مسار. إذا حاول البرنامج القفز إلى محطة ليست موجودة على الخريطة، يطلق النظام إنذاراً. ولمعرفة سبب انطلاق الإنذار، تستخدم الفرق الأمنية شيئاً يسمى شجرة الهجوم (Attack Tree). تخيل شجرة حيث الفرع العلوي هو الشيء السيئ الذي حدث (مثل "تم دخول غرفة الملك"). الفروع أدناه هي الأسباب المحتملة: "هل نام الحارس؟" "هل قام شخص ما بفتح القفل؟" أو "هل طار لصٌ للداخل؟".

المشكلة، كما يشير المؤلفون، هي أن شجرة الهجوم ذكية بقدر المعلومات التي تتلقاها. إذا نجح المخترق في إخفاء الأدلة، فقد تستنتج شجرة الهجوم: "أوه، الحارس نام للتو"، بينما الإجابة الحقيقية هي: "اللص طار للداخل". هذه هي مشكلة التمويه. يقوم المخترق بالتلاعب بسجلات (logs) البرنامج أو مستشعراته بحيث يختفي جزء "الطيران للداخل" من التقرير.

البطل العتادي

لحل هذه المشكلة، تقترح الورقة نظاماً ثنائي الطبقات. الطبقة الأولى هي المراقب البرمجي (Software Observer)، وهو يعيش داخل الكمبيوتر. إنه يشبه كاميرا مراقبة مثبتة في الرواق. هو جيد، ولكن إذا اقتحم مخترق الرواق، يمكنه تغطية عدسة الكاميرا أو استبدال شريط الفيديو.

الطبقة الثانية هي المراقب العتادي (Hardware Observer). هذه هي الفكرة الكبرى للورقة. بدلاً من وجود كاميرا داخل الرواق، تخيل طائرة بدون طيار (درون) منفصلة وغير مرئية تطير خارج أسوار القلعة، تراقب القلعة عبر تلسكوب. هذه الطائرة متصلة بالآلات الفيزيائية للقلعة (المعالج) ولكنها ليست جزءاً من برمجيات القلعة. حتى لو سيطر المخترق على الأنظمة الداخلية للقلعة، فلا يمكنه الوصول بسهولة إلى الطائرة الموجودة في الخارج لتغيير ما تراه.

يصف الباحثون سيناريو محدداً لإظهار كيف يعمل هذا. يتخيلون خدمة مصادقة (نظام تسجيل دخول) لبوابة صناعية.

1. الهجوم: يجد مخترق ثغرة في نظام تسجيل الدخول. يتسلل عبرها حمولة ضارة تبدو كطلب "صيانة" عادي. يخدع النظام لتخطي فحص "المصادقة متعددة العوامل" (MFA) وإنشاء جلسة سرية.
2. التمويه: يستخدم المخترق بعد ذلك خدعة خاصة لإعادة كتابة سجلات البرنامج الخاصة به. يرى المراقب البرمجي تقريراً يقول: "لقد قمنا ببعض الصيانة، ثم رفضنا الطلب، ثم... أوه، تم إنشاء جلسة، لكن السجلات غير منظمة قليلاً". يفكر المراقب البرمجي: "همم، ربما نظام التسجيل به خلل تقني فقط. هذا مشكلة برمجية بسيطة". وتتفق شجرة الهجوم مع ذلك وتصنف الأمر كخطأ بسيط في الإعدادات.
3. الحقيقة العتادية: في هذه الأثناء، يراقب المراقب العتادي الإشارات الكهربائية الفعلية للمعالج. إنه يرى المسار الحقيقي: المخترق قفز من كتلة "الصيانة" مباشرة إلى كتلة "الاختراق"، وتخطى فحص المصادقة (Mota) تماماً، ثم حجب السجلات. يرى المراقب العتادي القفزة غير القانونية التي فاتت المراقب البرمجي.

التشخيص يتغير

عندما يغذي الباحثون بيانات المراقب العتادي في نفس شجرة الهجوم، يتغير التشخيص تماماً. لم تعد الشجرة ترى "سجلاً معطلاً"، بل ترى "قفزة غير قانونية"، "فحص أمني مفقود"، و"تلاعب بالسجلات". فجأة، يتحول التشخيص من "خطورة منخفضة: خطأ في الإعدادات" إلى "خطورة عالية: حقن كود واختطاف تدفق التحكم".

تظهر الورقة أنه من خلال الجمع بين الاثنين، لا تكتفي بالإمساك بمزيد من الهجمات فحسب، بل تفهمها بشكل أفضل أيضاً. قد يقول الحارس البرمجي: "هناك شيء غريب"، لكن الحارس العتادي يقول: "إليك بالضبط ما هو الشيء الغريب، وهو أمر خطير".

ما يعنيه هذا (وما لا يعنيه)

يلاحظ المؤلفون بحذر أن هذه فكرة أولية. لقد بنوا أجزاء من هذا النظام واختبروه في عمليات محاكاة، لكنهم لم يدمجوه بالكامل في منتج واقعي بعد. وهم يعترفون بوجود تحديات. على سبيل المثال، المراقب العتادي ليس سحرياً؛ فإذا امتلأت ذاكرة التخزين المؤقت (buffer overflow) أو إذا هاجم المخترق العتاد الفيزيائي نفسه، فقد يفشل النظام. أيضاً، قراءة البيانات العتادية تستغرق وقتاً وقوة معالجة، لذا لا يمكنك مراقبة كل شيء طوال الوقت.

بدلاً من ذلك، تقترح الورقة استراتيجية ذكية: استخدم الحارس البرمجي لمراقبة كل شيء بتكلفة منخفضة. إذا رأى الحارس البرمجي شيئاً مريباً، حينها فقط قم بإيقاظ الحارس العتادي لإلقاء نظرة أكثر دقة وتفصيلاً. بهذه الطريقة، تحصل على أفضل ما في العالمين: سرعة البرمجيات وموثوقية العتاد.

في النهاية، لا تدعي هذه الورقة أنها حلت مشكلة الأمن السيبراني إلى الأبد. هي لا تعد بدرع مثالي. لكنها تقدم طريقة واعدة جداً للتفكير في المشكلة: لا تثق فقط في تقرير الدرجات الخاص بالكمبيوتر. اجعل شاهداً مستقلاً يراجع الواجب المنزلي. من خلال إضافة تلك العين الثانية المستقلة، يمكننا منع المخترقين من إخفاء حيلهم في وضح النهار.