في العالم الرقمي، يعتمد الأمن غالباً على فكرة بسيطة: بناء جدار قوي حول داخل الشبكة والسماح للاشيء مريب بالمرور من خلاله. هكذا تعمل جدران الحماية وأنظمة كشف التسلل؛ فهي تقف حارسة عند المحيط، تراقب المهاجمين الذين يحاولون الاختراق من الخارج. ومع ذلك، فإن هذه الاستراتيجية بها نقطة عمياء. فبمجرد أن ينجح المهاجم في خداع الجدار الخارجي وتجاوزه واختراق جهاز كمبيوتر واحد في الداخل، فإنه لا يحتاج لكسر الجدار مرة أخرى للوصول إلى هدفه النهائي. بدلاً من ذلك، يمكنه استخدام ذلك الجهاز المخترق الأول كحجر زاوية، أو "نقطة ارتكاز" (pivot)، للقفز إلى أجهزة أخرى أكثر حماية في أعماق الشبكة. ولأن حركة المرور التي تتحرك بين هذه الأجهزة الداخلية تبدو طبيعية وموثوقة تماماً، فإنها تمر بسلام من حراس المحيط. هذه التقنية، المعروفة باسم "الارتكاز" (pivoting)، تسمح للمهاجمين بالتحرك بصمت عبر الشبكة، وسرقة البيانات أو نشر البرامج الضارة دون أن يتسببوا أبداً في إطلاق الإنذارات المصممة لإيقافهم.

المشكلة تكمن في أن اكتشاف هذه الحركة أمر صعب للغاية. فبيانات التدفق بين أجهزة الكمبيوتر الداخلية غالباً ما تبدو تماماً مثل العمل المشروع للأشخاص الذين يستخدمونها. لقد عانت الحلول الموجودة لمحاولة الإمساك بهؤلاء المهاجمين من مقايضة صعبة: فإما أنها بطيئة جداً بحيث لا تكون مفيدة في الوقت الفعلي، أو أنها تتطلب تعاون كل جهاز كمبيوتر في الشبكة (وهو أمر مستحيل غالباً في البيئات الحديثة والمرنة)، أو أنها تولد الكثير من الإنذارات الكاذبة لدرجة تجعل الفرق الأمنية مثقلة وتفقد التهديدات الحقيقية. ولحل هذه المشكلة، طور باحثون من جامعة دالهاوزي وجامعة فرجينيا نظاماً جديداً يسمى "ستيتش" (Stitch). فبدلاً من محاولة مراقبة الشبكة بأكملها من نقطة مركزية، يعيش "ستيتش" مباشرة على أجهزة الكمبيوتر الفردية نفسها. إنه يعمل كمراقب محلي يراقب كيف تتعامل العمليات الداخلية للكمبيوتر مع حركة مرور الشبكة، بحثاً عن البصمة المحددة لمهاجم يستخدم جهازاً واحداً للتحدث مع جهاز آخر.

إن الرؤية الجوهرية وراء "ستيتش" هي أنه لكي تمسك بعملية ارتكاز، يجب عليك ربط النقاط بين ما يدخل إلى جهاز الكمبيوتر وما يخرج منه، ويجب أن تعرف أي برنامج هو المسؤول عن هذه الحركة. كانت الطرق السابقة تنظر فقط إلى توقيت وحجم حزم البيانات، مفترضة أنه إذا وصلت تدفقات من البيانات وغادرت في أوقات متشابهة وبأحجام متشابهة، فهي مرتبطة ببعضها. هذا النهج معيب لأنه يخطئ كثيراً في اعتبار حركة المرور الروتينية غير الضارة هجمات، مما يؤدي إلى فيض من الإنذارات الكاذبة. يتجنب "ستيتش" هذا التخمين باستخدام تقنية خاصة مدمجة في نظام التشغيل لينكس تسمى "eBPF". تتيح هذه التقنية للنظام إدخال برامج صغيرة مخصصة بأمان داخل "النواة" (kernel) - وهي قلب نظام التشغيل - دون الحاجة إلى إبطاء الكمبيوتر أو طلب الإذن من كل جهاز آخر في الشبكة.

يعمل "ستيتش" عن طريق تتبع حياة "العملية" (process)، وهي ببساطة برنامج قيد التشغيل، من اللحظة التي تستقبل فيها قطعة من البيانات إلى اللحظة التي ترسل فيها قطعة جديدة من البيانات للخارج. عندما تصل حزمة من البيانات إلى جهاز الكمبيوتر، يقوم "ستيتش" بوضع علامة عليها ويتبعها أثناء انتقالها إلى برنامج معين. إذا قام ذلك البرنامج بعد ذلك بفتح اتصال جديد لإرسال بيانات إلى مكان آخر، يتحقق "ستيتش" مما إذا كان الاتصال الصادر الجديد مرتبطاً بالاتصال الوارد الأصلي. وهو يفعل ذلك من خلال مراقبة "نداءات النظام" (system calls) - وهي الطلبات التي يقدمها البرنامج إلى نظام التشغيل - ليرى ما إذا كانت نفس العملية التي استلمت البيانات هي التي ترسل البيانات الجديدة. إذا اكتشف النظام أن عملية ما تقوم بنقل حركة المرور من مكان إلى آخر، فإنه يتحقق بعد ذلك من خصائص تلك الحركة. فهو ينظر في مقدار الوقت الذي مضى بين البيانات الواردة والصادرة ومدى تشابه أحجامها.

ولضمان عدم إطلاق إنذارات كاذبة، يقوم "ستيتش" أيضاً بالاحتفاظ بسجل للمكان الذي يرسل إليه الكمبيوتر بياناته عادةً. فإذا كان الكمبيوتر يتحدث بشكل متكرر مع خادم معين لأسباب مشروعة، مثل التحقق من قاعدة بيانات أو إدارة حساب مستخدم، يتعلم "ستيتش" التعرف على هذا كأنه سلوك طبيعي ويتجاهله. هو لا يطلق الإنذار إلا إذا بدا نمط حركة المرور وكأنه عملية ارتكاز وكان متجهاً إلى وجهة نادراً ما تُزار. هذا المزيج من تتبع عملية البرمجيات، وتحليل تدفق البيانات، وتعلم العادات الطبيعية للكمبيوتر، يسمح لـ "ستيتش" بأن يكون دقيقاً للغاية. وفي الاختبارات باستخدام هجمات محاكية، حسن "ستيتش" دقة الكشف بنحو 31 بالمائة مقارنة بأفضل الطرق الموجودة التي تعتمد فقط على توقيت وحجم حركة المرور. والأهم من ذلك، أنه قلل معدل الإنذارات الكاذبة إلى أقل من خمس واحد في المائة، وهو تحسن هائل مقارنة بالأنظمة السابقة التي كانت غالباً ما تصنف حركة المرور غير الضارة على أنها خطيرة.

لم يتوقف الباحثون عند المحاكاة فحسب، بل قاموا بتثبيت "ستيتش" على خوادم حقيقية داخل شبكة جامعية كبيرة تخدم آلاف الطلاب وأعضاء هيئة التدريس والموظفين. وقد قاموا بتشغيل النظام لأكثر من 80 يوماً على خادم أعضاء هيئة تدريس مشترك وخادم ويب عام. خلال هذه الفترة، راقب النظام ملايين الأحداث الشبكية دون إبطاء الخوادم أو طلب أي تغييرات في إعدادات الأمن الحالية للشبكة. وعلى خادم أعضاء هيئة التدريس، نجح النظام في تحديد جميع هجمات الاختبار التي أطلقها الباحثون، والتي تضمنت استخدام أنفاق "الصدفة الآمنة" (SSH tunnels) لنقل البيانات. ولم يولد سوى عدد ضئيل جداً من الإنذارات الكاذبة، والتي نتج معظمها عن مهام إدارية مشروعة مثل إعادة توجيه المنافذ للوصول إلى قواعد البيانات. وعلى خادم الويب العام، عمل النظام لمدة 32 يوماً دون إصدار إنذار واحد، مما أكد قدرته على التمييز بين حركة مرور الويب العادية ومحاولات الارتكاز المحتملة.

تظهر النتائج أن "ستيتش" يقدم طريقة عملية للدفاع ضد هذه الهجمات المتسللة دون الحاجة إلى تغيير شامل للبنية التحتية للشبكة. فهو يعمل بشكل مستقل على كل جهاز كمبيوتر، مما يعني أنه لا يهم إذا كانت الأجهزة الأخرى في الشبكة تعمل ببرامج مختلفة أو إذا كانت طوبولوجيا الشبكة تتغير باستمرار. النظام خفيف الوزن، حيث يستخدم أقل من 350 ميجابايت من الذاكرة ولا يضيف أي حمل إضافي تقريباً على معالج الكمبيوتر. وحتى تحت أحمال حركة المرور الثقيلة، حافظ على قدرته على رصد الهجمات. وجد الباحثون أن النظام يمكنه التعامل مع آلاف الاتصالات الشبكية الجديدة في الثانية مع الاستمرار في تتبع مسارات البيانات بدقة. هذه الكفاءة أمر بالغ الأهمية لأن الشبكات الحديثة ديناميكية ومزدحمة؛ فأداة الأمن التي تكون ثقيلة جداً أو بطيئة ستكون غير عملية للاستخدام في العالم الحقيقي.

من خلال التركيز على العلاقة بين العمليات البرمجية وحركة مرور الشبكة، يحل "ستيتش" مشكلة التمييز بين مستخدم شرعي يقوم بعمله وبين مهاجم يستخدم جهاز الكمبيوتر الخاص بهذا المستخدم كجسر. هو لا يعتمد على تعاون كل جهاز في الشبكة، ولا يتطلب تخزين كميات هائلة من البيانات التاريخية لإيجاد الأنماط. بدلاً من ذلك، يراقب السياق المباشر لحركة المرور أثناء حدوثها. وقد أثبت الباحثون أن هذا النهج فعال ضد الأدوات الشائعة التي يستخدمها المهاجمون، مثل SSH وNmap وChisel، والتي تُستخدم بشكل متكرر لإنشاء أنفاق الارتكاز هذه. نجح النظام في تحديد هذه الهجمات حتى عندما كانت مموهة داخل نشاط شبكي طبيعي.

كما يسلط العمل الضوء على أهمية النظر إلى الصورة الكاملة عند تأمين الشبكة. فالاعتماد فقط على المحيط لم يعد كافياً، والاعتماد فقط على إحصائيات حركة المرور معرض جداً للخطأ. ومن خلال الجمع بين مراقبة العمليات النظامية وتحليل تدفق الشبكة، يوفر "ستيتش" رؤية أكثر اكتمالاً لما يحدث داخل جهاز الكمبيوتر. يخطط الباحثون لإصدار الكود المصدري للنظام للجمهور، مما يسمح للآخرين باختبار عملهم والبناء عليه. ويهدف هذا الشفافية إلى مساعدة مجتمع الأمن الأوسع على تحسين الدفاعات ضد التهديدات المتقدمة المستمرة (APTs)، وهي هجمات متطورة وطويلة الأمد تشنها غالباً مجموعات منظمة. يشير نجاح "ستيتش" إلى أن التحول نحو الكشف القائم على المضيف في الوقت الفعلي، والذي يفهم سياق حركة المرور، هو مسار قابل للتطبيق وضروري لأمن الشبكات.

في النهاية، تقدم الورقة نظاماً يتسم بالدقة والكفاءة، ويملأ فجوة في أدوات الأمن الحالية. إنها تثبت أنه من الممكن اكتشاف هجمات الارتكاز في الوقت الفعلي دون توليد فيض من الإنذارات الكاذبة أو طلب تغيير سلوك الشبكة بأكملها. إن قدرة النظام على العمل بشكل مستقل على المضيفين الفرديين تجعله قابلاً للتكيف مع بيئات مختلفة، من شبكات المكاتب الصغيرة إلى البنى التحتية الجامعية الكبيرة والمعقدة. تشير النتائج إلى أنه من خلال دمج تتبع مستوى النظام مع تحليل الشبكة، يمكن لفرق الأمن الحصول على رؤية أوضح بكثير للتهديدات الكامنة داخل شبكاتهم، مما يسمح لهم بالاستجابة للهجمات قبل أن تتسبب في أضرار جسيمة. ويعد هذا العمل دليلاً على أن الأمن الفعال لا يتطلب دائماً أجهزة أكثر تعقيداً أو تكلفة، بل يتطلب طريقة أذكى للنظر في البيانات الموجودة بالفعل.