CAMF-Zero: Contradiction-Aware Reasoning for Zero-Day Threat Detection in Federated Multi-Cloud Environments
تقترح هذه الورقة إطار عمل CAMF-Zero، وهو إطار استدلال مدرك للتناقض يستفيد من درجة تناقض مبتكرة واعية بالاتساق (CACS) للكشف عن تهديدات اليوم صفر في بيئات السحابة المتعددة الاتحادية من خلال التقييم الصريح للخلافات الدلالية عبر مصادر القياس عن بُعد غير المتجانسة، مما يحسن بشكل كبير من استدعاء الكشف ويقلل من الإيجابيات الكاذبة مقارنة بالطرق الحالية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالمنا الرقمي الحديث، غالبًا ما تنشر المنظمات الكبيرة أعمالها الحوسبية عبر العديد من الخدمات السحابية المختلفة، مثل تلك التي تديرها أمازون أو مايكروسوفت أو جوجل. هذا النهج، المعروف باسم بيئة السحابة المتعددة الاتحادية، يوفر مرونة وقدرة كبيرة على الصمود، ولكنه يخلق أيضًا متاهة معقدة يتعين على فرق الأمن التنقل فيها. فبدلاً من امتلاك رؤية واحدة واضحة لأنظمتها، يجب على هذه المنظمات مراقبة مزيج فوضوي من تدفقات البيانات: السجلات النصية التي تسجل من فعل ماذا، والخرائط المعقدة التي توضح كيفية اتصال الموارد الحاسوبية المختلفة ببعضها البعض، والأرقام اللحظية التي تتبع أداء النظام مثل سرعة المعالج وحركة مرور الشبكة. إن التهديدات الأكثر خطورة ليست الهجمات الصاخبة والواضحة التي تطلق إنذارات في تدفق بيانات واحد؛ بل إن أخطر التهديدات هي تهديدات "اليوم صفر" (zero-day)—وهي هجمات جديدة وغير مرئية تختبئ من خلال الظهور بشكل طبيعي في نوع واحد من البيانات بينما تتصرف بغرابة في نوع آخر. إنها تتسلل عبر الثغرات لأن كل دليل بمفرده لا يبدو مريبًا، إذ لا يصبح الخطر مرئيًا إلا عند النظر في كيفية تعارض قطع الأدلة المختلفة مع بعضها البعض.
لقد طور الباحثان دلفاه الصادي وأحمد الزهري نظامًا جديدًا يسمى CAMF-Zero لحل هذه المشكلة تحديدًا. يركز عملهما على تعليم الحواسيب كيفية التفكير في هذه التناقضات بدلاً من مجرد جمع نقاط البيانات. غالبًا ما تحاول أدوات الأمن التقليدية اكتشاف الهجمات من خلال البحث عن أنماط تطابق السلوكيات السيئة المعروفة، أو ببساطة عبر دمج مصادر بيانات مختلفة لمعرفة ما إذا كانت تتفق فيما بينها. ومع ذلك، يرى المؤلفان أن هذا النهج يفشل أمام تهديدات "اليوم صفر" لأن هذه الهجمات مصممة لتبدو بريئة في عزلتها. ويقترح الباحثان أن المفتاح للعثور على هذه التهديدات الخفية يكمن في تحديد التناقضات الدقيقة. فعلى سبيل المثال، قد يكون للمستخدم إذن مشروع للوصول إلى ملف وفقًا للسجلات النصية، ولكن إذا أظهرت خريطة الشبكة أن هذا الملف يتم الوصول إليه من موقع غريب في نفس الوقت الذي تظهر فيه مقاييس النظام نشاطًا غير عادي، فإن الجمع بين هذه الحقائق يخلق صراعًا منطقيًا. تم تصميم النظام لرصد هذا الصراع، حتى لو بدا كل جزء من البيانات بمفرده غير ضار.
ولتحقيق ذلك، بنى الفريق إطار عمل يعمل مثل فريق من المحللين المتخصصين، حيث يدرس كل منهم نوعًا مختلفًا من البيانات. يحلل أحد المحللين السجلات النصية، ويدرس آخر خرائط الشبكة، ويراقب ثالث أرقام أداء النظام. وبدلاً من مجرد الإبلاغ عن نتائجهم بشكل منفصل، يقوم هؤلاء المحللون بإنشاء فرضيات محددة عما يحدث. ثم يستخدم النظام آلية استرجاع لجلب معرفة خارجية، مثل سجلات قواعد الأمن السابقة أو أنماط الهجوم المعروفة، للمساعدة في تفسير هذه الفرضيات. الابتكار الجوهري هو طريقة جديدة لحساب "درجة التناقض". هذه الدرجة لا تقيس فقط مدى تشابه البيانات؛ بل تبحث بنشاط عن الخلافات. فهي تتساءل عما إذا كانت القصة التي ترويها السجلات منطقية عند مقارنتها بالقصة التي ترويها خريطة الشبكة وأرقام النظام. فإذا قالت السجلات إن كل شيء على ما يرام، ولكن خريطة الشبكة أظهرت اتصالًا مريبًا، فإن النظام يصنف هذا كتعارض. وتتحد هذه العملية مع طريقة لقياس عدم اليقين، مما يسمح للنظام بالاعتراف عندما لا يكون متأكدًا، بدلاً من تقديم تخمين واثق قد يكون خاطئًا.
اختبر الباحثون نظامهم باستخدام بيانات من معايير الأمن السيبراني العامة، والتي قاموا بتعديلها بعناقة لمحاكاة الظروف الفوضوية وغير المكتملة الموجودة في بيئات السحابة الواقعية. لقد أدخلوا سيناريوهات حيث تكون البيانات مفقودة أو متأخرة أو مشوشة، محاكيين بذلك الواقع الذي نادرًا ما تمتلك فيه فرق الأمن رؤية مثالية ومتزامنة لبنيتها التحتية بأكملها. وفي هذه الاختبارات، تفوق النظام الجديد باستمرار على الأساليب الموجودة. وبينما كافحت الأدوات القديمة لاكتشاف الهجمات الموزعة والدقيقة، نجح الإطار الجديد في تحديدها بدقة أعلى بكافية. وتحديدًا، حسن النظام اكتشاف هذه التهديدات غير المعروفة بنسبة تتراوح بين 18 و25 بالمائة مقارنة بأفضل الأساليب السابقة، مع تقليل عدد الإنذارات الكاذبة في الوقت نفسه بنسبة تتراوح بين 30 و40 بالمائة. وهذا يعني أنه أفضل بكثير في العث de على الخطر الحقيقي دون إطلاق إنذارات خاطئة بشكل مفرط.
كان جزء حاسم من الدراسة هو إثبات أن النظام يظل موثوقًا حتى عندما تكون البيانات التي يتلقاها غير كاملة. ففي عمليات المحاكاة، أزال الباحثون ما يصل إلى 40 بالمائة من البيانات من أحد المصادر لمعرفة كيفية تعامل النظام مع الأمر. وحتى مع وجود هذه الفجوة الكبيرة في المعلومات، حافظ الإطار على مستوى عالٍ من أداء الكشف، في حين شهدت الأساليب الأخرى انخفاضًا حادًا في دقتها. وتأتي هذه المرونة من قدرة النظام على ملء الأجزاء المفقودة باستخدام السياق المقدم من مصادر البيانات الأخرى وقدرته على وزن موثوقية كل قطعة من الأدلة. فإذا كان أحد تدفقات البيانات مشوشًا أو مفقودًا، يقوم النظام تلقائيًا بالوثوق في التدفقات الأخرى أكثر، مما يضمن أن القرار النهائي يستند إلى أقوى الأدلة المتاحة.
كما تناولت الدراسة التحدي العملي المتعلق بالسرعة. نظرًا لأن النظام يتضمن خطوات استدلال معقدة، فقد كان الباحثون قلقين من احتمال كونه بطيئًا جدًا للاستخدام في الوقت الفعلي. لقد اختبروا النظام في بيئة بث حيث تصل البيانات باستمرار، تمامًا كما يعمل مركز عمليات أمنية حي. ووجدوا أنه من خلال ضبط أحجام النوافذ الزمنية التي يحللونها وعمق الاستدلال، يمكنهم تحقيق التوازن بين السرعة والدقة. وفي التكوين القياسي، يمكن للنظام معالجة نافذة من البيانات في حوالي 320 مللي ثانية، وهي سرعة كافية للمراقبة في الوقت الفعلي. كما أظهروا أنه باستخدام تقنيات التحسين، مثل التخزين المؤقت للمعلومات المتكررة الاستخدام، يمكنهم جعل النظام أسرع حتى دون التضحية بقدرة الكشف الخاصة به.
في النهاية، يشير العمل الذي قام به الصادي والزهري إلى أن مستقبل أمن السحابة لا يكمكن في جمع المزيد من البيانات، بل في التفكير بشكل أفضل في البيانات التي نمتلكها بالفعل. ومن خلال تحويل التركيز من مطابقة الأنماط البسيطة إلى الكشف النشط عن التناقضات، يمكن للنظام الكشف عن التهديدات التي كانت غير مرئية سابقًا. وتشير النتائج إلى أنه عندما تروي مصادر المعلومات المختلفة قصصًا متضاربة، فإن هذا التضارب غالبًا ما يكون الإشارة الأكثر موثوقية لهجوم جديد وغير مرئي. يقدم هذا النهج طريقة أكثر قوة لحماية البنى التحتية الرقمية المعقدة، مما يوفر لفرق الأمن أداة يمكنها التفكير في التناقضات واتخاذ القرارات حتى عندما تكون الصورة غير مكتملة. ويؤكد البحث أنه من خلال نمذجة هذه التناقضات صراحةً ومراعاة عدم اليقين، فمن الممكن اكتشاف التهديدات الأكثر خطورة في السحابة بدقة أكبر وأخطاء أقل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.