Aray: Deterministic-First Synthesis of Benign Artifacts for YARA Validation
تُعد Aray نظاماً يعتمد على المنهجية الحتمية أولاً، حيث يقوم بتخليق قطع برمجية حميدة وغير ضارة للتحقق من صحة قواعد YARA، محققاً نسبة نجاح بلغت 97.6% في إنشاء نماذج مطابقة لقواعدها الأصلية دون الحاجة إلى الوصول إلى عينات البرمجيات الخبيثة الأساسية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الأمن السيبراني، يعتمد المدافعون على البصمات الرقمية لرصد البرمجيات الخطيرة. هذه البصمات، المعروفة باسم "القواعد"، تصف أنماطًا محددة من البايتات (bytes)—وهي قطع صغيرة من البيانات—التي تظهر في البرامج الخبيثة. عندما يقوم جهاز كمبيوتر بفحص ملف ويجد تطابقًا، فإنه يطلق إنذارًا. ومع ذلك، تبرز مشكلة كبيرة عندما يحتاج فرق الأمن إلى اختبار هذه القواعد. لإثبات فعالية قاعدة ما، يحتاجون عادةً إلى قطعة حقيقية من البرمجيات الخبيثة لتفعيلها. لكن تخزين ونقل البرمجيات الخبيثة الفعلية أمر خطير ومكلف، وغالبًا ما يكون مستحيلاً في البيئات الآمنة حيث يتم حظر الوصول إلى الإنترنت أو حيث يجب الاحتفاظ بالبيانات في خزائن معزولة. وهذا يخلق عنق زجاجة: الفرق تمتلك القواعد للإيقاع بالتهديدات، لكنها لا تستطيع اختبارها بأمان دون المخاطرة بالتهديدات التي تحاول احتواءها نفسها.
قام فريق من الباحثين بتطوير حل يكسر هذه الحلقة. لقد أنشأوا أداة تسمى "أراي" (Aray)، والتي تعمل كبناء لملفات اختبار آمنة وغير ضارة. بدلاً من محاولة إعادة إنشاء فيروس، تقوم "أراي" بقراءة وصف لما يبدو عليه الفيروس وتقوم ببناء ملف حميد تمامًا يحتوي فقط على الأنماط المحددة التي تبحث عنها القاعدة. تخيل حارس أمن يحتاج إلى التحقق مما إذا كان جهاز كشف المعادن يعمل؛ بدلاً من إحضار مسدس حقيقي للاختبار، وهو أمر خطير ويتطلب تصاريح خاصة، يستخدم الحارس أداة لبناء نسخة بلاستيكية غير ضارة تطلق الإنذار بنفس الطريقة تمامًا. تفعل "أراي" ذلك للقواعد الرقمية؛ فهي تأخذ التعليمات المعقدة لتوقيع برمجية خبيثة وتجمع ملفًا يلبي تلك التعليمات دون احتواء الكود الضار، أو آليات الاستمرار، أو السلوكيات الخطيرة للتهديد الأصلي.
اختبر الباحثون هذا النهج على مجموعة كبيرة تضم 416 قاعدة أمنية عامة. أرادوا معرفة ما إذا كان بإمكان الأداة بناء ملف اختبار بنجاح لكل قاعدة دون الحاجة إلى لمس قطعة واحدة من البرمجيات الخبيثة الحقيقية. تتضمن العملية مرحلتين رئيسيتين: أولاً، يقوم النظام بتحليل القاعدة لفهم ما تحتاجه. بعض القواعد بسيطة ويمكن التعامل معها بالكامل عبر الكود القياسي لجهاز الكمبيوتر، أما القواعد الأخرى فهي أكثر تعقيدًا وتتضمن أنماطًا يصعب تحديدها؛ وبالنسبة لهذه القواعد، يستخدم النظام نموذج لغة كبير (LLM)—وهو نوع من أنواع الذكاء الاصطناعي—لاقتراح كيفية تبسيط القاعدة إلى شيء يمكن بناؤه. ومن الأهمية بمكان أن الباحثين صمموا النظام بحيث لا يصل الذكاء الاصطناعي أبدًا إلى كتابة الملف النهائي أو الوصول إلى الأنظمة الأساسية للكمبيوتر. الذكاء الاصطناعي يقدم الاقتراحات فقط، بينما يقوم الكود القياسي للكمبيوتر بالتحقق من كل اقتراح قبل بناء أي شيء. يضمن ذلك عدم قدرة الذكاء الاصطناعي على إنشاء شيء خطير بالخطأ أو كسر سلامة النظام.
كانت نتائج الاختبار ناجحة للغاية. تمكن النظام من بناء ملفات اختبار صالحة لـ 406 من أصل 416 قاعدة، بنسبة نجاح تقارب 98 بالمائة. أما القواعد العشر التي فشلت، فلم يكن السبب فيها خطأ في الأداة، بل لأن تلك القواعد المحددة طلبت أشياءً يستحيل بناؤها رياضيًا، مثل ملف يجب أن يمتلك بصمة تشفيرية (hash) محددة لمحتواه بالكامل، وهو أمر لا يمكن تزييفه. بالنسبة للحالات الـ 406 الناجحة، تحقق الباحثون من أن الملفات الجديدة قد فعلت بالفعل قواعد الأمن الأصلية عند فحصها. وقد أكد هذا أن الأداة أنشأت ملفات مكافئة وظيفيًا للملفات الخطيرة لأغراض الاختبار، ولكنها آمنة تمامًا للتخزين والنقل والاستخدام في تمارين التعافي من الكوارث.
إن ما يجعل هذا العمل مهمًا بشكل خاص هو كيفية تعامله مع العلاقة بين الذكاء الاصطناعي والمخرج النهائي. في العديد من الأنظمة الحديثة، يُسمح للذكاء الاصطناعي بإنشاء كود أو ملفات مباشرة، مما قد يؤدي إلى نتائج غير متوقعة أو غير آمنة. تتخذ "أراي" مسارًا مختلفًا؛ فهي تعامل الذكاء الاصطناعي كمستشار يمكنه فقط اقتراح الأفكار، بينما يتم البناء الفعلي بواسطة برامج كمبيوتر صارمة ومتوقعة تتبع قواعد محددة. حتى أن الباحثين وضعوا فحص سلامة حيث تم إخبار الذكاء الاصطناعي بالاتصال بخادم غير موجود؛ فإذا حاول الذكاء الاصطناعي التواصل، سيفشل الاختبار فورًا. وقد اجتاز النظام هذا الفحص بشكل مثالي، مما أثبت أن الذكاء الاصطناعي لم يحاول أبدًا تجاوز حدود السلامة خلال العملية بأكملها. هذا الفصل في المهام يسمح للنظام باستخدام إبداع الذكاء الاصطناعي لحل المشكلات الصعبة مع إبقاء الأجزاء الخطيرة من العملية تحت سيطرة حتمية وصارمة.
إن تداعيات هذا العمل على العمليات الأمنية عملية وفورية. فالمنظمات التي تفحص الملفات المرفوعة إلى التخزين السحابي أو تلك التي تحتاج إلى اختبار خطط التعافي من الكوارث الخاصة بها، يمكنها الآن القيام بذلك دون الحاجة إلى الاحتفاظ بمكتبة من الفيروسات الحية. يمكنهم إنشاء ملف اختبار آمن عند الطلب، ورفعه إلى بيئة اختبار، والتحقق من أن أنظمة الكشف لديهم تعمل بشكل صحيح. إذا فشل النظام في اكتشاف ملف الاختبار، ستعرف الفرق أن لديهم مشكلة في قواعدهم أو في الماسح الضوئي الخاص بهم، ويمكنهم إصلاح ذلك قبل وقوع هجوم حقيقي. هذا يلغي الحاجة إلى الاحتفاظ بالبرمجيات الخبيثة الخطيرة في كل بيئة اختبار، مما يقلل من خطر التسريبات العرضية وتكلفة صيانة المختبرات المعزولة والآمنة. لا تدعي الأداة أنها ستحل كل مشكلة أمنية ممكنة أو أنها تفهم كل تفاصيل كل فيروس، لكنها توفر طريقة موثوقة وقابلة للتدقيق لتحويل وصف التهديد الرقمي إلى كائن آمن وقابل للاختبار.
لقد كان الباحثون حذرين في تحديد حدود عملهم. فهم لم يثبتوا أن أداتهم يمكنها التعامل مع كل نوع من أنواع القواعد الأمنية الموجودة، ولم يدعوا أن الملفات التي تنشئها هي النسخ الوحيدة الممكنة للمطابقة. بدلاً من ذلك، أثبتوا أنه بالنسبة لغالبية عظمى من القواعد الشائعة، يمكن للأداة إنتاج "شاهد" (witness) بشكل موثوق—وهو ملف واحد يثبت أن القاعدة تعمل. كما أظهروا أن العملية شفافة؛ إذ يمكن تتبع كل خطوة من القاعدة الأصلية إلى الملف النهائي والتحقق منها. ومن خلال إبقاء الذكاء الاصطناعي في دور داعم وترك الكود القياسي يقود عملية البناء، أنشأوا نظامًا قويًا وآمنًا في آن واحد. يقدم هذا النهج طريقة جديدة للمضي قدمًا في اختبار الأمن السيبراني، مما يسمح للفرق بالتحقق من دفاعاتهم بثقة دون الحاجة أبدًا إلى التعامل مع القطع الخطيرة التي صُمموا لإيقافها.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.