From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
تقدم هذه الورقة AUTOSIGMA، وهو إطار عمل مؤتمت يحول استخبارات التهديدات السيبرانية غير المنظمة إلى قواعد سيجما (Sigma rules) قابلة للتنفيذ من خلال الجمع بين الإثراء القائم على المعرفة، والتأصيل القائم على القوالب، والتحقق القائم على النماذج اللغوية الكبيرة (LLM) للتغلب على قيود القابلية للتوسع والدقة في عملية إنشاء القواعد اليدوية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الأمن السيبراني عالي المخاطر، يجد المدافعون أنفسهم غالباً في حالة رد فعل تجاه الهجمات بعد وقت طويل من بدئها. عادة ما تصل المعلومات حول هذه الهجمات في شكل تقارير مفصلة يكتبها خبراء الاستخبارات. تصف هذه الوثائق كيف تتسلل مجموعات إجرامية متطورة، تُعرف باسم "التهديدات المستمرة المتقدمة" (APTs)، إلى الشبكات، وتتحرك داخلها، وتسرق البيانات. ومع ذلك، تُكتب هذه التقارير بلغة بسيطة، مليئة بالتفاصيل السردية والسياق البشري، مما يجعل من الصعب على الحواسيب قراءتها والتعامل معها فوراً. ولإيقاف هجوم في الوقت الفعلي، تحتاج الأنظمة الأمنية إلى تعليمات محددة تسمى "قواعد الكشف". تعمل هذه القواعد كمرشحات دقيقة، حيث تقوم بمسح ملايين الأحداث الرقمية للعثور على الأنماط الدقيقة لتهديد معين. إن إنشاء هذه القواعد يدوياً هو عملية بطيئة ومعرضة للخطأ وتتطلب خبرة عميقة، وبحلول الوقت الذي ينتهي فيه المحلل البشري من كتابة قاعدة لتهديد جديد، قد يكون المهاجمون قد غيروا أساليبهم بالفعل.
يكمن التحدي الجوهري في سد الفجوة بين قصة مكتوبة بشرياً حول هجوم وبين الكود التقني الصارم الذي يحتاجه الحاسوب لمطاردته. تحتاج الفرق الأمنية إلى طريقة لترجمة هذه السرديات غير المهيكلة تلقائياً إلى منطق كشف قابل للتنفيذ دون فقدان التفاصيل الدقيقة التي تجعل التهديد حقيقياً. إذا أمكن أتمتة هذه الترجمة، فستتمكن المؤسسات من نشر الدفاعات في اللحظة التي يُكتشف فيها تهديد جديد، بدلاً من الانتظار لأيام أو أسابيد من التحليل اليدوي. هذه هي المشكلة التي سعى فريق من الباحثين لحلها من خلال تطوير نظام جديد مصمم لقراءة تقارير التهديدات وتوليد الضمانات الرقمية اللازمة فوراً.
ابتكر الباحثون نظاماً يسمى "AUTOSIGMA"، والذي يعمل كمترجم آلي بين الاستخبارات البشرية والدفاع الآلي. بدلاً من مجرد مطالبة الحاسوب بتخمين القواعد بناءً على وصف نصي، يتبع النظام عملية دقيقة متعددة الخطوات تحاكي طريقة تفكير الخبير البشري، ولكن بسرعة الآلة. أولاً، يقرأ النظام تقرير التهديد الخام ويقوم بتفكيكه، حيث يحدد اللاعبين الرئيسيين، والأدوات المستخدمة، والخطوات المحددة التي اتخذها المهاجمون. ثم يذهب إلى خطوة أبعد عبر استشارة قواعد بيانات خارجية ضخمة للثغرات الأمنية وتقنيات الهجوم المعروفة لاستكمال أي تفاصيل مفقودة. إذا ذكر التقرير خللاً برمجياً معيناً دون شرح كيفية عمله، يبحث النظام عن هذا الخلل في قاعدة بيانات عالمية لفهم سلوكه بشكل كامل. يضمن ذلك امتلاك النظام لصورة كاملة للهجوم، حتى لو كان التقرير الأصلي غامضاً أو ناقصاً.
بمجرد أن يفهم النظام النطاق الكامل للهجوم، يقوم بتفكيك السيناريو المعقد إلى خطوات صغيرة فردية. قد يتضمن الهجوم الواحد عشرات الإجراءات، ومحاولة اصطيادها جميعاً في قاعدة واحدة سيكون أمراً غير فعال. ومن خلال تقسيم الهجوم إلى أجزاء ذرية، يمكن للنظام إنشاء قاعدة محددة لكل خطوة، مما يجعل الكشف أكثر دقة. المرحلة التالية هي المرحلة التي يستمد فيها النظام خبرته من التجربة الجماعية للمجتمع الأمني؛ حيث يبحث في مكتبة ضخمة ومحدثة باستمرار من قواعد الكشف الموجودة للعثور على القواعد المشابهة للخطوات التي حددها للتو. فكر في الأمر كبناء رئيس ينظر إلى مكتبة من المخططات المثبتة قبل بناء منزل جديد؛ يستخدم النظام هذه الأنماط الموجودة والمحققة كقاعدة أساسية. هذا يمنع النظام من ابتكار قواعد من الصفر قد تكون معيبة أو تخطئ الهدف، مما يضمن أن تكون القواعد الجديدة قائمة على منطق تم اختباره بالفعل من قبل الخبراء.
مع وجود أساس متين وفهم واضح للتهديد، يقوم النظام بعد ذلك بتوليد قاعدة الكشف الفعلية. ومع ذلك، فإنه لا يتوقف عند هذا الحد. فقد صمم الباحثون آلية فحص فريدة حيث يعمل نموذجان من الذكاء الاصطناعي معاً في حلقة مستمرة. يعمل أحد النموذجين كـ "مبتكر"، حيث يكتب القاعدة بناءً على تفاصيل التهديد والمخطط المختار. أما النموذج الثاني فيعمل كـ "قاضٍ صارم"، حيث يراجع القاعدة ليرى ما إذا كانت منطقية، وما إذا كانت تتبع التنسيق التقني الصحيح، وما إذا كانت ستكتشف التهديد بالفعل دون التسبب في إنذارات كاذبة. إذا وجد القاضي خطأً، فإنه يعيد القاعدة إلى المبتكر مع ملاحظات محددة حول كيفية إصلاحها. تتكرر هذه الدورة حتى تصبح القاعدة مثالية. هذه العملية المتبادلة أمر بالغ الأهمية لأنها تكتشف الأخطاء التي قد يغفل عنها نموذج واحد، مثل تفصيل مفقود أو فجوة منطقية، مما يضمن أن المخرج النهائي موثوق بما يكفي لاستخدامه في الأنظمة الأمنية في العالم الحقيقي.
اختبر الباحثون هذا النظام باستخدام تقارير من الواقع لبعض أكثر المجموعات الإجرامية السيبرانية شهرة في التاريخ، بما في ذلك APT41 وAPT28 وAPT29. وقارنوا القواعد التي ولدها نظام AUTOSIGMA بالقواعد التي أنتجتها أدوات مؤتمتة أخرى وبالنتائج التي حققتها نماذج لغوية متقدمة تم استخدامها بمفرده. أظهرت النتائج أن نظامهم كان أفضل بكثير في إنتاج قواعد صحيحة تقنياً وذات صلة بالتهديدات الموصوفة تحديداً. لقد تمكن من تغطية المزيد من تقنيات الهجوم المعروفة وكان أكثر قوة عند التعامل مع التقارير سيئة التنسيق أو التي تفتقر إلى التفاصيل. تشير الدراسة إلى أنه من خلال الجمع بين المعرفة الخارجية، ونماذج القواعد الموجودة، وعملية فحص ذاتي صارمة، فمن الممكن أتمتة إنشاء قواعد كشف عالية الجودة. هذا النهج لا يسرع العملية فحسب، بل يحسن جودة الدفاع، مما يسمح للفرق الأمنية بالاستجابة للتهديدات المتطورة بمستوى من الدقة والسرعة لا يمكن للطرق اليدوية مضاهاته.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.