LLMs for Zero-Shot Threat Detection via Structured Risk Indicators
تقترح هذه الورقة إطار عمل مكون من مرحلتين يعتمد على النماذج اللغوية الكبيرة، والذي يستفيد من التوليد المعزز بالاسترجاع لإنشاء مؤشرات مخاطر مهيكلة وقابلة للتفسير من الجداول الزمنية لأنشطة المستخدم، محققاً أداءً هو الأفضل في فئته في الكشف الصفري عن التهديدات الداخلية والتهديدات المستمرة المتقدمة (APTs) عبر إثبات أن جودة هذه المؤشرات هي المحرك الأساسي للأداء.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في الحصون الرقمية للمؤسسات الحديثة، تراقب أنظمة الأمن حركة المرور باستمرار بحثاً عن المتسللين. تقوم بعض هذه الأنظمة بمسح حركة البيانات المتدفقة بين أجهزة الكمبيوتر، بحثاً عن أنماط مشبوهة في تدفق البيانات. بينما تجلس أنظمة أخرى مباشرة على أجهزة الكمبيوتر نفسها، تراقب ما يحدث في الداخل: من يسجل الدخول، وما هي الملفات التي تُفتح، وما هي الأجهزة التي يتم توصيلها، وأي رسائل بريد إلكتروني يتم إرسالها. وتعد هذه المراقبة الداخلية أمراً بالغ الأهمية لأن التهديدات الأكثر خطورة غالباً ما تأتي من الداخل. فعندما يسرق مهاجم كلمة مرور مشروعة أو يقنع موظفاً بالتصرف ضد الشركة، يمكنه التحرك عبر النظام ليبدو تماماً مثل مستخدم طبيعي. ولإمساكهم، يجب على الفرق الأمنية التمييز بين شخص يعمل في وقت متأخر على مشروع وبين شخص يسرق بيانات حساسة بهدوء، وهي مهمة تتطلب فهم القصة الكاملة لسلوك الشخص بمرور الوقت، وليس مجرد لحظة واحدة.
قام فريق من الباحثين في جامعة كوينزلاند بتطوير طريقة جديدة لمساعدة أجهزة الكمبيوتر على إجراء هذا التمييز دون الحاجة إلى سنوات من التدريب على أمثلة محددة للسلوك السيئ. فبدلاً من مطالبة الكمبيوتر بالنظر في كومة فوضوية من سجلات الأمان الخام والصراخ فوراً بكلمة "تهديد" أو "آمن"، قاموا ببناء نظام مكون من خطوتين يعمل كأنه محلل دقيق. أولاً، يقوم النظام بتنظيم نشاط المستخدم في جدول زمني ويطلب من نموذج لغوي قوي ترجمة ذلك الجدول الزمني إلى قائمة واضحة ومنظمة من عوامل الخطر. إنه يطلب من النموذج تحديد أشياء معينة قد تكون خاطئة، مثل الوصول إلى ملفات في ساعات غير معتادة أو الاتصال بخوادم غريبة. بعد ذلك، ينظر نموذج ثانٍ إلى تسلسل قوائم المخاطر هذه بمرور الوقت لرصد الأنماط التي تشير إلى وقوع هجوم. يسمح هذا النهج للنظام باكتشاف كل من التهديدات الداخلية، حيث يتحول موظف موثوق به إلى شخص ضار، والتهديدات المستمرة المتقدمة، حيث يختبئ مهاجم خارجي متطور داخل الشبكة لفترة طويلة.
اختبر الباحثون هذه الطريقة على مجموعتين مختلفتين من بيانات الأمان. استعرضت إحدى مجموعات البيانات سيناريو تهديد داخلي شمل ما يقرب من مائة موظف على مدار ثمانية عشر شهراً، حيث رصدت كل شيء من تبادلات البريد الإلكتروني إلى عمليات نقل الملفات. أما مجموعة البيانات الأخرى، فقد حاكت هجوماً خارجياً متسللاً على شبكة، حيث تتبعت آلاف الاتصالات بين أجهزة الكمبيوتر. وفي كلتا الحالتين، تفوق النظام الجديد بشكل كبير على أفضل طريقة سابقة كانت تعتمد على النماذج اللغوية. وفي بيانات التهديد الداخلي، حسن النهج الجديد القدرة على تحديد الهجمات بشكل صحيح مع تقليل الإنذارات الكاذبة بأكثر من أحد عشر نقطة مئوية. وعلى بيانات هجوم الشبكة، كان التحسن أكثر دراماتيكية، حيث قفز بأكثر من واحد وثلاثين نقطة مئوية. وكان مفتاح هذا النجاح ليس فقط استخدام "عقل كمبيوتر" أكبر، بل تغيير كيفية معالجة المعلومات. فمن خلال إجبار النموذج الأول على تفكيك السجلات المعقدة إلى مؤشرات خطر بسيطة وقابلة للتفسير قبل اتخاذ حكم نهائي، أصبح النظام أفضل بكثير في رصد الفروق الدقيقة بين العمل الطبيعي والنشاط الضار.
كان أحد الاكتشافات الأكثر إثارة للاهتمام هو كيفية تعامل النظام مع الحاجة إلى السياق. وجد الباحثون أنه بالنسبة للنماذج اللغوية الأصغر والأقل قوة، فإن تقديم ملخص لسلوك المستخدم السابق يساعدها على توليد مؤشرات خطر أفضل بكثير. كان الأمر كما لو أن النموذج يحتاج إلى رؤية تاريخ المستخدم لفهم ما هو غير معتاد في اللحظة الراهنة. ومع ذلك، بالنسبة للنماذج الأكبر والأكثر قدرة، لم يشكل هذا السياق التاريخي الإضافي فرقاً يذكر؛ فقد كانت قادرة بالفعل على توليد مؤشرات خطر عالية الجودة بمفردها. وهذا يشير إلى أن جودة تقييم المخاطر الأولي هي العامل الأهم في كشف هذه التهديدات. فإذا أنتجت الخطوة الأولى صورة واضحة ودقيقة للخطر، يمكن للخطوة الثانية التعرف على نمط الهجوم بسهولة. وإذا كانت الخطوة الأولى غامضة أو مرتبكة، فإن النظام سيعاني، بغض النظر عن مدى قوة المصنف النهائي.
كما كشفت الدراسة أن الطريقة التي يتم بها تجميع البيانات تهم للغاية. يعمل النظام بأفضل شكل عندما ينظر إلى جميع أنشطة شخص واحد كقصة مستمرة واحدة، بدلاً من النظر إلى أحداث معزولة أو اتصالات بين الآلات. وعندما حاول الباحثون تجميع البيانات حسب الاتصال بين جهازي كمبيوتر بدلاً من الشخص الذي يستخدمهما، انخفض أداء النظام بشكل كبير. وذلك لأن سلوك المهاجم يتحدد من خلال أفعاله عبر العديد من الأدوات والسجلات المختلفة، وفقط من خلال رؤية الصورة الكاملة يمكن للنظام رؤية النطاق الكامل للتهديد. وأشار الباحثون إلى أنه بينما كان النظام ممتازاً في رصد التهديدات الداخلية في مجموعة البيانات الأولى، فإن مجموعة البيانات الثانية، التي تضمنت هجمات شبكية شديدة التخفي، مثلت تحدياً أصعب حيث كانت الإشارات أخفت بكثير. ومع ذلك، فإن النهج المنظم لا يزال يوفر أساساً صلباً للكشف، مما يثبت أن تفكيك بيانات الأمان المعقدة إلى قطع قابلة للإدارة والتفسير هو استراتيجية قوية.
في النهاية، يوضح هذا العمل أن مستقبل الكشف الآلي عن التهديدات قد لا يكمن في تدريب أجهزة الكمبيوتر على حفظ كل هجوم ممكن، بل في تعليمها التفكير في السلوك بطريقة منظمة. فمن خلال استخدام النماذج اللغوية لترجمة البيانات الخام إلى مؤشرات خطر واضحة ثم تحليل تلك المؤشرات بمرور الوقت، يمكن لأنظمة الأمان أن تصبح أكثر دقة وموثوقية. وتشير النتائج إلى أن الإعداد الأكثر فعالية يعتمد على نوع التهديد الذي يتم اصطياده وقدرات النماذج المستخدمة، ولكن المبدأ الأساسي يظل كما هو: الوضوح في الخطوات الوسيطة يؤدي إلى قرارات أفضل في النتيجة النهائية. ويقدم هذا النهج مساراً واعداً لحماية المؤسسات ضد كل من الموظف الذي ينقلب ضدها، والخارجي الذي يحاول الاختباء في وضح النهار.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.