Operationalizing Cyber Threat Intelligence with GraphRAG
تُثبت هذه الورقة أن استخدام Microsoft GraphRAG لاسترجاع الرسوم البيانية للمعرفة، بدلاً من تقنية RAG التقليدية القائمة على المتجهات، يتيح التوليد التلقائي لخطط كشف التهديدات السيبرانية التي تعتمد على مؤشرات أكثر ديمومة وعالية المستوى، مما يؤدي إلى استمرارية أعلى بكثير في الكشف ضد تقنيات التهرب التي يستخدمها المهاجمون.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة حيث يحاول الأشرار باستمرار التسلل إلى المباني. عندما يمسك الباحثون الأمنيون هؤلاء اللصوص، يكتبون تقريراً يسرد الأدلة: مقاس حذاء اللص، ولوحة ترخيص سيارة هروبه، والعلامة التجارية المحددة لأداة فتح الأقفال التي استخدمها. في الماضي، كانت الفرق الأمنية تكتفي بنسخ هذه الأدلة في "قائمة محظورات" وتأمل في تحقيق أفضل النتائج. لكن المشكلة هنا هي أن الأشرار سريعين؛ فإذا حظرت لوحة ترخيص معينة، يمكنهم استئجار سيارة جديدة في غض_ض ساعة. وإذا حظرت مقاس حذاء، يمكنهم ببساطة شراء زوج آخر. هذا يشبه محاولة إيقاف نهر برمي حصاة واحدة؛ فالماء سيتدفق ببساطة حولها.
لحل هذه المشكلة، يستخدم خبراء الأمن مفهوماً يسمى "هرم الألم" (Pyramid of Pain). تخيل هرماً حيث الطبقات السفلية هي أدلة سهلة التغيير (مثل لوحات السيارات) والطبقات العليا هي عادات وخطط اللص الفعلية (مثل كيفية فتح القفل أو لماذا اختار ذلك المبنى). تغيير العادة أمر صعب ويستغ_رق شهوراً، بينما تغيير لوحة السيارة يستغ_رق دقائق. الهدف هو بناء دفاعات تستهدف قمة الهرم. وفي هذه الأثناء، ظهر نوع جديد من أدوات الذكاء الاصطناعي يسمى "GraphRAG". فكر في الذكاء الاصطنا_عي القياسي كطالب يقرأ كتاباً ويحدد الجمل التي تبدو مشابهة للسؤال. أما "GraphRag" فهو كطالب يرسم أولاً خريطة تربط بين جميع الشخصيات والأماكن والأحداث في الكتاب، ثم يستخدم تلك الخريطة لإيجاد الإجابة. تسأل هذه الورقة سؤالاً بسيطاً: إذا استخدمنا "الخريطة" بدلاً من مجرد "الجمل المحددة"، فهل ستدوم خططنا الأمنية لفترة أطول؟
معضلة المحقق: الخرائط مقابل أجهزة التحديد
عندما تنشر شركة أمنية تقريراً عن هجوم سيبراني، فإن الأمر يشبه تسليم محقق رواية سميكة مليئة بالأدلة. مهمة المحقق هي تحويل تلك الرواية إلى مجموعة من التعليمات لقوة الشرطة (الفريق الأمني) للإيقاع بالأشرار. عادةً ما تكون هذه عملية بطيئة ويدوية؛ إذ يتعين على الإنسان قراءة النص بالكامل، واختيار الأجزاء المفيدة، وكتابة قواعد محددة لبرمجيات الأمن. يستغ_رق الأمر أياماً، وبحلول الوقت الذي تصبح فيه القواعد جاهزة، يكون الأشرار قد غيروا تكتيكاتهم بالفعل.
حاولت بعض الفرق تسريع هذه العملية باستخدام الذكاء الاصطناعي، حيث قدموا للذكاء الاصطناعي التقرير وطلبوا منه كتابة القواعد. استخدم الذكاء الاصطناعي طريقة شائعة تسمى "RAG القياسي". يمكنك التفكير في هذا كطالب يؤدي اختباراً ويبحث فقط عن الكلمات المطابقة تماماً لما ورد في الكتاب المدرسي. إذا كان السؤال عن "سيارة حمراء"، سيجد الطالب الفقرة التي تذكر "سيارة حمراء" وينسخها. المشكلة هي أن هذا النهج حرفي للغاية؛ فهو يركز على الأدلة سهلة التغيير ("السيارة الحمراء") ويغفل عن القصة الأعمق (حقيقة أن اللص يقود سيارة حمراء فقط في أيام الثلاثاء). ولأن الأشرار يمكنهم تغيير "سيارتهم الحمراء" إلى "شاحنة زرقاء" في يوم واحد، فإن قواعد الذكاء الاصطناعي تتوقف عن العمل فوراً.
تجربة GraphRAG
أراد الباحثون في معهد IIT Bombay معرفة ما إذا كان نهج ذكاء اصطناعي أكثر ذكاءً يمكنه حل هذه المشكلة. قارنوا بين طريقتين لمعالجة التقارير الأمنية نفسها:
- RAG القياسي: طريقة "التحديد" التقليدية التي تجد فقط كتل النصوص المتشابهة.
- GraphRAG: طريقة تبني أولاً "رسم بياني للمعرفة" (Knowledge Graph). تخيل أخذ التقرير ورسم شبكة من الروابط: هذا المخترق استخدم هذا البرنامج الضار لمهاجمة هذا الخادم. إنه يربط النقاط ببعضها قبل محاولة الإجابة على السؤال.
لقد غدوا كلا الطريقتين بنفس التقارير وطلبوا منهما كتابة نفس النوع من خطط صيد التهديدات. ثم استخدموا "قاضياً" من الذكاء الاصطناعي لتقييم الخطط. لم يكن التقييم يتعلق فقط بعدد القواعد التي كتبها الذكاء الاصطناعي، بل كان يتعلق بـ أين تقع تلك القواعد في "هرم الألم". هل اعتمدت الخطة على أدلة سهلة التغيير (أسفل الهرم)، أم ركزت على السلوكيات الصعبة التغيير (قمة الهرم)؟
النتائج: الخريطة تفوز
كانت النتائج واضحة، وإن كان هناك تمييز مهم. في تعمق في تقرير محدد عن مجموعة مخترقين مشهورة (APT28)، اختبر الباحثون مدى صمود الخطط. قاموا بمحاكاة سيناريو حيث غير الأشرار كل دليل سهل (عناوين IP، أسماء الملفات، النطاقات) في ذلك التقرير.
- خطة RAG القياسي (طريقة التحديد) استمرت في العمل لـ 29% فقط من عمليات الكشف. لقد كانت معتمدة بشكل مفرط على الأدلة المحددة والقابلة للتغيير.
- خطة GraphRAG (طريقة الخريطة) استمرت في العمل بنسبة 100% من عمليات الكشف في هذه الحالة الدراسية المحددة. ولأنها ركزت على العلاقات والسلوكيات (قمة الهرم)، لم تهتم الخطة بتغيير الأشرار لـ "سيارتهم الحمراء" إلى "شاحنة زرقاء".
وعندما كرر الباحثون هذا الاختبار مع تسعة تقارير مختلفة من أربعة موردين أمنيين مختلفين، ظل النمط ثابتاً: حققت خطط GraphRAG باستمرار مستويات أعلى في الهرم، مما جعلها أصعب بكثير على المهاجمين لتجنبها. وبينما كانت نسبة بقاء 100% نتيجة بارزة من دراسة حالة APT28 المنفردة، أكدت التجارب الأوسع أن خطط GraphRAG تفوقت باستمرار على RAG القياسي في استهداف الأدلة المتينة والصعبة التجنب، حتى عندما سجلت الطريقتان درجات جودة عامة متشابهة.
ماذا يعني هذا؟
تشير الورقة البحثية إلى أنه لكي تتمكن الفرق الأمنية من تحويل التقارير تلقائياً إلى دفاعات فعالة، عليهم التوقف عن مجرد "قراءة" النص والبدء في "رسم خرائط" للروابط. وجدت الدراسة أن الطريقة التي يسترجع بها الذكاء الاصطناعي المعلومات (الخريطة مقابل التحديد) تهم بقدر أهمية الذكاء الاصطناعي نفسه. وبينما تكون طريقة "التحديد" جيدة للأسئلة البسيطة، فإن طريقة "الخريطة" هي الطريقة الصحيحة معمارياً لبناء خطط صيد لا تنتهي صلاحيتها بمجرد أن يغير الأشرار أحذيتهم.
ومع ذلك، أشار المؤلفون أيضاً إلى بعض العقبات. فأحياناً، إذا كان التقرير قصيراً جداً، فإن طريقة "الخريطة" تصبح مرتبكة ولا تجد روابط كافية لبناء خطة جيدة. كما أن "القاضي" من الذكاء الاصطناعي ارتكب أحياناً أخطاء حسابية عند تقييم الخطط الطويلة، وهو ما اضطر الباحثون لإصلاحه باستخدام كود إضافي بسيط. ولكن بشكل عام، تشير الأدلة إلى أن بناء رسم بياني للمعرفة هو المفتاح لجعل قواعد الأمن المولدة بالذكاء الاصطناعي فعالة ومستدامة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.