تخيل أنك محقق يحاول حل جريمة، ولكن بدلاً من البحث عن بصمات الأصابع أو آثار الأقدام، أنت تبحث في تدفق هائل وفوضوي من البصمات الرقمية التي يتركها جهاز كمبيوتر. هذا المجال يسمى الأمن السيبراني، و"مسرح الجريمة" هو سجل النشاط الداخلي للكمبيوتر. لفترة طويلة، حاول المحققون الإيقاع بالأشرار من خلال البحث عن "صور جنائية" محددة ومعروفة، مثل اسم ملف معين أو عنوان هكر معروف. لكن الهكرز المعاصرين ماكرون؛ فهم يغيرون ملابسهم وأقنعتهم باستمرار، لذا فإن تلك "الصور الجنائية" القديمة غالً ما تفشل.

لإمساك هؤلاء المتشكلين، يحاول العلماء الآن اتباع نهج مختلف: بدلاً من النظر إلى بصمات أقدام فردية، هم ينظرون إلى "القصة" التي ترويها تلك البصمات. يريدون فهم "سلوك" المتسلل. فكر في الأمر على هذا النحو: إذا رأيت شخصاً يدخل بنكاً، ثم يركض نحو الخزنة، ثم يكسر نافذة، وأخيراً يركض خارجاً ومعه حقيبة، فأنت لست بحاجة لمعرفة اسمه لتعرف أنه يسرق البنك. أنت فقط بحاجة لرؤية تسلسل الأفعال. يستكشف هذا البحث كيفية تحويل كومة فوضوية من سجلات الكمبيوتر إلى قصة واضحة ومقروءة لما يفعله المهاجم، ومن ثم استخدام برامج حاسوبية ذكية لمعرفة نوع "الخدعة" التي ينفذها المهاجم بالضبط.

---

أدوات المحقق الرقمي الجديدة

في عالم أمن الكمبيوتر، هناك كتاب قواعد مشهور يسمى MITRE ATT&CK. اعتبره موسوعة ضخمة لكل الحيل المختلفة التي يستخدمها الهكرز لاختراق الأنظمة. هو لا يكتفي بسرد "الأشرار" فحسب، بل يصنف حركاتهم المحددة، مثل "سرقة كلمات المرور"، أو "إخفاء الملفات"، أو "التحرك الجانبي إلى أجهزة كمبيوتر أخرى". كان الهدف من هذا البحث هو بناء نظام يمكنه النظر إلى سجلات نشاط الكمبيوتر الخام والقول: "آه، أنا أرى ما يحدث هنا؛ هذه هي خدعة 'استخراج بيانات الاعتماد' (Credential Dumping)"، أو "هذه هي خدعة 'التحرك الجانبي' (Lateral Movement)".

استخدم الباحثون أداة خاصة تسمى Sysmon. تخيل Sysmo ككاميرا مراقبة شديدة الملاحظة داخل الكمبيوتر لا ترمش أبداً. إنها تسجل كل شيء: كل برنامج يبدأ، كل ملف يتم إنشاؤه، كل اتصال يتم بالإنترنت، وكل تغيير يتم إجراؤه في إعدادات النظام. ولكن هنا تكمن المشكلة: Sysmon يسجل كل شيء، ويفعل ذلك بطريقة صاخبة وفوضوية للغاية. الأمر يشبه امتلاك كاميرا مراقبة تسجل كل رمشة عين، وكل نفس، وكل خطوة لكل شخص في المدينة، لكنها لا تخبرك من يمشي مع من أو بأي ترتيب. إذا نظرت إلى رمشة عين واحدة فقط، فلن تتعلم شيئاً. أنت بحاجة لرؤية الفيلم كاملاً.

السؤال الكبير: كيف نربط النقاط ببعضها؟

طرح الباحثون سؤالاً بسيطاً ولكنه جوهري: كيف نربط هذه الآثار الرقمية المتناثرة بأفضل طريقة لتروي قصة متماسكة؟

لقد اختبروا طريقتين رئيسيتين لربط الأحداث معاً:

1. طريقة "من هو والدك؟" (القائمة على معرف GUID): في الكمبيوتر، لكل برنامج رقم تعريف فريد. عندما يبدأ برنامج تشغيل برنامج آخر، يكون الأمر كأن لأبٍ ابناً. حاول الباحثون ربط الأحداث من خلال تتبع هذه "الأشجار العائلية". إذا بدأ البرنامج (أ) البرنامج (ب)، وقام البرنامج (ب) بفتح ملف، فإنهم يربطون تلك الأحداث معاً لأنها تنتمي إلى نفس "العائلة". هذا يشبه تتبع عصابة إجرامية من خلال تتبع شجرتها العائلية، بغض النظر عن الوقت الذي يتحركون فيه.
2. طريقة "ماذا حدث أولاً؟" (القائمة على الزمن): تربط هذه الطريقة الأحداث ببساطة عبر الوقت. إذا حدث شيئان في غضنة ثانية واحدة من بعضهما البعض، يفترض الباحثون أنهما مرتبطان. الأمر يشبه القول: "هذان الشخصان كانا في نفس الغرفة في نفس الوقت، لذا لا بد أنهما يعملان معاً".

التجربة: تعليم الكمبيوترات قراءة القصة

لاختبار هذه الطرق، لم ينتظر الباحثون وقوع اختراق حقيقي لبنك حقيقي. بدلاً من ذلك، أنشأوا مختبراً آمناً ومنضبطاً واستخدموا أداة تسمى Atomic Red Team لمحاكاة الهجمات. لقد قاموا بتمثيل حيل محددة من كتاب قواعد MITRE ATT&CK، مما ولد آلاف سجلات Sysmon التي تبدو تماماً مثل هجوم حقيقي.

بعد ذلك، قاموا بتغذية هذه السجلات في نوعين من "الطلاب" الحاسوبيين:

• الطلاب التقليديون: كانوا نماذج تعلم آلي كلاسيكية (مثل Random Forest و LightGBM). هم جيدون في رصد الأنماط ولكنهم يحتاجون إلى أن تكون البيانات منظمة ونظيفة جداً أولاً.
• القارئون الخارقون: كانت هذه نماذج ذكاء اصطناعي متقدمة تسمى Transformers (تحديداً SecBERT و SecureBERT). هؤلاء يشبهون أجهزة كمبيوتر قرأت الإنترنت بأكد، وهم خبراء في فهم معنى وسياق الكلمات والتسلسلات. يمكنهم قراءة جملة وفهم القصة الكامنة وراءها.

واجه الباحثون أيضاً مشكلة شائكة وهي: عدم توازن الفئات (Class Imbalance). في بياناتهم، كانت بعض الحيل (مثل "System Binary Proxy Execution") تحدث مئات المرات، بينما كانت حيل أخرى (مثل "Subvert Trust Controls") تحدث مرات قليلة فقط. الأمر يشبه فصلاً دراسياً حيث 90% من الطلاب اسمهم "جون"، وطالب واحد فقط اسمه "زوي". إذا دربت معلماً على تخمين الأسماء، فسوف يخمن "جون" في كل مرة ويحصل على درجة عالية، لكنه لن يتعلم أبداً من هي "زوي". حاول الباحثون طرقاً مختلفة لإصلاح ذلك، مثل ابتكار أمثلة إضافية للحيل النادرة (تقنية تسمى SMOTE) أو تعليم الكمبيوتر الانتباه الزائد للحيل النادرة (باستخدام رياضيات خاصة تسمى "Focal Loss").

النتائج: الأشجار العائلية تفوز، والقليل يعني الكثير

بعد إجراء مئات المحاكاة، كانت النتائج واضحة ومفاجئة.

1. طريقة "الشجرة العائلية" هي الأفضل
الارتباط القائم على GUID (تتبع علاقة العملية بالأصل) تفوق باستمرار على الارتباط الزمني (مجرد النظر إلى الوقت).

• لماذا؟ يشير البحث إلى أن مجرد القرب في الوقت ليس كافياً لإثبات أن حدثين مرتبطان. قد يقوم الكمبيوتر بملايين الأشياء غير المرتبطة في ثانية واحدة. لكن إذا قام البرنامج (أ) ببدء البرنامج (ب)، فهذا رابط صلب وغير قابل للكسر. طريقة "الشجرة العائلية" حافظت على العلاقات الحقيقية بين الأحداث، مما أعطى الذكاء الاصطناعي قصة أوضح ليقرأها.
• النتيجة: حقق أفضل نموذج باستخدام طريقة "الشجرة العائلية" (SecureBERT) دقة بلغت 0.586 (بمعنى أنه أصاب الإجابة الصحيحة بنسبة 58.6% من الوقت تقريباً). أما أفضل نموذج باستخدام طريقة "الزمن" فقد وصل فقط إلى 0.504.

2. "القارئون الخارقون" يهزمون "الطلاب التقليديين"
تفوق نماذج الذكاء الاصطناعي المتقدمة (SecureBERT) باستمرار على نماذج التعلم الآلي التقليدية.

• النتيجة: حقق SecureBERT مع طريقة "الشجرة العائلية" دقة 0.586. بينما حقق أفضل نموذج تقليدي (LightGBM) دقة 0.501 فقط.
• لماذا؟ كان "القارئون الخارقون" أفضل في فهم السياق المعقد للقصة. استطاعوا رؤية أن تسلسل معين من الأحداث يعني "اختراقاً"، حتى لو بدت الأجز الفردية غير ضارة في حد ذاتها.

3. المفاجأة المذهلة: لا تبالغ في تعليم الذكاء الاصطناعي
توقع الباحثون أن إصلاح مشكلة "عدم توازن الفئات" (مشكلة الحيل النادرة) سيساعد الذكاء الاصطناعي على التعلم بشكل أفضل. جربوا ابتكار أمثلة إضافية (SMOTE) للنماذج التقليدية، وقد نجح ذلك جيداً.

• ومع ذلك، بالنسبة لـ "القارئيين الخارقين" (SecureBERT)، كان عدم فعل أي شيء هو الاستراتيجية الأفضل.
• عندما حاولوا إجبار الذكاء الاصطناعي على الانتباه الزائد للحيل النادرة باستخدام رياضيات خاصة (Focal Loss)، انخفض الأداء العام للذكاء الاصطناعي.
• النتيجة: حقق النموذج الأساسي (الذكاء الاصطناعي القياسي بدون حيل خاصة لمعالجة عدم التوازن) أعلى دقة (0.586) وأفضل توازن عام. يشير البحث إلى أن القصص المترابطة والمعقدة التي تم إنتاجها بواسطة طريقة "الشجرة العائلية" كانت غنية وذات مغزى لدرجة أن الذكاء الاصطناعي استطاع تعلم الحيل النادرة بشكل طبيعي دون الحاجة إلى إجباره أو "تصحيحه" بشكل مبالغ فيه.

ماذا يعني هذا للمستقبل؟

لا يدعي هذا البحث أنه حل جميع مشاكل الأمن السيبراني. هو لا يقول إن الهكرز سيتم القبض عليهم بنسبة 100% من الآن فصاعداً. بدلاً من ذلك، هو يقترح أن طريقة تنظيم البيانات تهم أكثر من برنامج الكمبيوتر المحدد الذي نستخدمه للقراءة.

من خلال ربط الأحداث عبر "أشجارها العائلية" (علاقات العمليات) بدلاً من مجرد طوابعها الزمنية، فإننا نخلق قصة أغنى وأكثر دقة لما يفعله المهاجم. وعندما نغذي هذه القصص الغنية لنماذج الذكاء الاصطناعي المتقدمة، يمكنها التعرف على حيل الهكرز المحددة بشكل أفضل من أي وقت مضى - حتى دون الحاجة إلى دفعها اصطناعياً للانتباه للحيل النادرة.

كما يسلط البحث الضوء على نقطة قصور: هذه النتائج وُجدت في مختبر مضبوط باستخدام هجمات محاكات. يعترف الباحثون بأن بيئات الكمبيوتر في العالم الحقيقي أكثر فوضوية وتعقيداً. لذا، وبينما يعد هذا توجهاً واعداً، فإن الخطوة التالية هي معرفة ما إذا كانت قصص "الأشجار العائلية" هذه ستصمد عندما يُستخدم الكمبيوتر من قبل أشخاص حقيقيين في مكتب حقيقي، وليس فقط في مختبر تجارب.

باختصار، يعلمنا هذا البحث أنه للإمساك بلص رقمي، لا ينبغي أن تنظر فقط إلى الساعة؛ بل يجب أن تنظر إلى من يمشي معهم. وأحياناً، يكون أذكى كمبيوتر هو ذاك الذي يُسمح له بالتعلم بوتيرته الخاصة، دون تدخل كبير.