SCOPE: Rethinking Attack Analysis as Uncertainty-Aware Security Reasoning under Incomplete Observations
تقدم هذه الورقة البحثية SCOPE، وهو إطار عمل مدرك لعدم اليقين وخالٍ من التدريب، يعيد بناء سلوكيات الهجوم المتماسكة في ظل الملاحظات غير المكتملة من خلال دمج التجميع المرتكز على السلوك، ورسم خرائط توزيع تقنيات وأساليب وإجراءات (TTP) التوزيعية، واستدلال تسلسل "Top-K Viterbi"، ليتفوق على النماذج المرجعية الحالية في الدقة والمتانة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تتعرض فرق الأمن لفيض مستمر من تدفقات البيانات من أجهزة الكمبيوتر والخوادم. تسجل هذه السجلات كل إجراء يتخذه الجهاز: فتح ملف، بدء برنامج، أو إنشاء اتصال. لسنوات، كان الهدف من الأمن السيبراني هو تجميع هذه الملاحظات المتناثرة لرؤية الصورة الأكبر للهجوم. التحدي يكمن في أن الملاحظات غالبًا ما تكون غير مكتملة؛ فالمهاجمون ماهرون في إخفاء آثارهم، أو حذف السجلات، أو بعثرة ترتيب الأحداث. علاوة على ذلك، يمكن لإجراء واحد في الكمبيوتر أن يعني أشياء مختلفة تمامًا اعتمادًا على السياق؛ فبدء تشغيل برنامج قد يكون تحديثًا غير ضار أو بداية لعملية سرقة. تحاول الأساليب التقليدية حل هذه المشكلة عن طريق مطابقة أنماط محددة مع تهديدات معروفة، لكنها غالبًا ما تفشل عندما تكون الأدلة فوضوية أو عندما يستخدم المهاجمون أدوات مألوفة بطرق جديدة وغير متوقعة.
اقترح فريق من الباحثين في جامعة غاتشون في كوريا الجنوبية طريقة جديدة للتفكير في هذه المشكلة، وأطلقوا على نظامهم اسم SCOPE. بدلاً من محاولة حشر كل مدخل سجل في صندوق جامد، يعامل SCOPE التحليل كعملية استدلال تحت حالة عدم اليقين. فهو يتقبل حقيقة أن البيانات التي يتلقاها معيبة وغير كاملة، ويبني نموذجًا يمكنه التعامل مع القطع المفقودة دون أن ينهار. اختبر الباحثون نظامهم مقابل مجموعة من خمسة وثلاثين سيناريو هجوم معروفًا حيث تم توثيق التسلسل الحقيقي للأحداث بالفعل. ووجدوا أن SCOSE يمكنه إعادة بناء المسار العام للهجوم بدقة أعلى بكما في الأساليب الحالية، حتى عندما كان نصف الأدلة الرقمية مفقودًا. والأهم من ذلك، استطاع النظام تحديد أنماط هجوم معقدة لم يسبق له رؤيتها من قبل، بشرط أن تكون تلك الأنماط مكونة من لبنات بناء معروفة مرتبة بترتيب جديد.
إن الصعوبة الجوهرية في تحليل هذه السجلات هي أن الأحداث الفردية صغيرة جدًا بحيث لا تستطيع سرد قصة بمفردها. قد يظهر مدخل سجل واحد إنشاء ملف، لكنه لا يشرح السبب. ولحل ذلك، قام الباحثون أولاً بتجميع الأحداث ذات الصلة معًا في كتل أكبر وذات معنى. إنهم يبحثون عن الأحداث التي تقع في أوقات متقاربة، أو تشترك في عمليات كمبيوتر واحدة، أو تتعامل مع نفس الملفات والاتصالات الشبكية. هذا يخلق "مجموعة سلوكية" تمثل خطوة متماسكة في الهجوم، مثل محاولة مخترق لسرقة كلمات المرور، بدلاً من مجرد قائمة من التغييرات المنعزلة في الملفات. صُمم هذا التجميع ليكون قويًا؛ فإذا فُقدت بعض الأحداث في المنتوا أو حُذفت، فلا يزال بإمكان النظام التعرف على المجموعة لأن القطع المتبقية مرتبطة بسياقها المشترك.
بمجرد تشكيل هذه المجموعات، يواجه النظام التحدي التالي: تحديد ما تمثله كل مجموعة بالفعل. في الماضي، كانت الأنظمة تحاول تعيين تسمية واحدة للمجموعة، مثل "سرقة كلمة المرور". وإذا كانت تلك التسمية خاطئة، فإن التحليل بأكمله سينهار. يتجنب SCOPE هذا الفخ عبر إبقاء احتمالات متعددة مفتوحة في وقت واحد. فلكل مجموعة سلوكية، يقوم النظام بإنشاء قائمة بالتسميات المحتملة مع مستويات مختلفة من الاحتمالية. إنه لا يفرض قرارًا نهائيًا على الفور، بل يبقي هذه الخيارات في حالة من عدم اليقين، مما يسمح للنظام بالنظر إلى الصورة الكاملة قبل الاستقرار على إجابة. هذا النهج يقر بأن الفعل نفسه قد يبدو كأشياء مختلفة اعتمادًا على ما يحدث بعد ذلك.
الخطوة النهائية هي ربط هذه المجموعات في سلسلة كاملة. يستخدم الباحثون طريقة تقيم مدى ملاءمة اتباع حدث معين لآخر بناءً على عاملين رئيسيين: التدفق المنطقي للهجوم والارتباط الفيزيائي بينهما. هم يعلمون أن أنواعًا معينة من الإجراءات تحدث عادةً بترتيب محدد، مثل الحصول على الوصول إلى النظام قبل سرقة البيانات. كما يبحثون أيضًا عن الروابط الفيزيائية، مثل ملف تم إنشاؤه في خطوة ما واستُخدم في الخطوة التالية. ومن خلال الجمع بين هذه القرائن المنطقية والفيزيائية، يمكن للنظام ملء الفجوات حيث تكون الأدلة مفقودة. إذا كانت هناك خطوة مفقودة، فإن النظام لا يتوقف؛ بل ببساطة يربط الخطوات الناجية، مع الإقرار بأن القفزة أكبر من المعتاد ولكنها لا تزال ممكنة. وهذا يسمح للنظام بإعادة بناء قصة مستمرة حتى لو تم محو أجزاء من الجدول الزمني.
اختبر الباحثون هذا النهج باستخدام مجموعة بيانات تضم خمسة وثلاثين سيناريو هجوم تتضمن سجلات "الحقيقة الأرضية" (ground-truth) لما حدث بالضبط. وقارنوا SCOPE بعدة أساليب رائدة أخرى، بما في ذلك الأنظمة القائمة على القواعد التي تبحث عن أنماط محددة، والأنظمة القائمة على الرسوم البيانية (graphs) التي ترسم الروابط، والأنظمة التي تستخدم النماذج اللغوية الكبيرة لتخمين القصة. تفوق SCOPE على جميعها؛ فقد حدد التقنيات المحددة المستخدمة في الهجمات بنسبة 84% تقريبًا عند النظر في أفضل خمسة تخمينات. وعند قياس مدى نجاحه في إعادة بناء تسلسل الأحداث بأكمله، حقق درجة قدرها 0.68، وهي أعلى بكثير من أفضل طريقة تالية.
لعل الاكتشاف الأكثر أهمية هو كيفية تعامل النظام مع البيانات المفقودة. فقد قام الباحثون بمحاكاة موقف تمت فيه إزالة ما يصل إلى 50% من أحداث السجل عشوائيًا، لمحاكاة سيناريو نجح فيه المهاجم في مسح آثاره. وبينما انخفض أداء الأنظمة الأخرى بشكل حاد مع اختفاء البيانات، ظل SCOPE مستقرًا. فحتى مع فقدان نصف الأدلة، حافظ على درجة إعادة بناء تبلغ حوالي 0.57، وهي لا تزال أعلى من أفضل درجة حققتها أي طريقة أخرى عندما كانت جميع البيانات موجودة. يشير هذا إلى أن قدرة النظام على الاستدلال بشأن عدم اليقين وربط القطع الناجية من الأدلة تجعله أكثر مرونة تجاه فقدان البيانات في العالم الحقيقي.
كما أظهر النظام قدرة على التعرف على تركيبات الهجوم الجديدة. في الأمن السيبراني، غالبًا ما يأخذ المهاجمون أدوات معروفة ويستخدمونها بطرق جديدة. تفشل الأنظمة التقليدية هنا غالبًا لأنها مدربة فقط على تسلسلات محددة ومعروفة. ومع ذلك، فإن SCOPE لا يعتمد على حفظ تسلسلات معينة، بل يفهم مدى توافق خطوات الهجوم المختلفة. وفي الاختبارات، نجح في إعادة بناء سلاسل متماسكة من التقنيات المعروفة التي لم تظهر معًا من قبل في بيانات التدريب. لقد حقق معدل "تماسك-جديد" (coherent-novel) قدره 0.83، مما يعني أنه استطاع تحديد وربط هذه التركيبات الجديدة في 83% من الحالات التي ظهرت فيها. وهذا يشير إلى أن النظام يمكنه تعميم معرفته للتهديدات غير المرئية، طالما أن المكونات الفردية مألوفة.
يتمثل أحد الخيارات التصميمية الرئيسية في SCOPE في كيفية استخدامه للذكاء الاصطناعي. استخدم الباحثون نموذجًا لغويًا كبيرًا، وهو نوع من الذكاء الاصطناعي القادر على فهم اللغة الطبيعية، ولكن لمهمة واحدة محددة: وصف المجموعات السلوكية بنص بسيط. النموذج لا يتخذ القرارات النهائية بشأن ماهية الهجوم أو كيفية ترابط القطع معًا؛ بل تُتخذ هذه القرارات بواسطة عملية رياضية حتمية تقوم بتقييم الروابط بين الخطوات. هذا الفصل يضمن أن النظام لا "يهلوس" أو يبتكر تفاصيل غير مدعومة بالبيانات. يعمل النموذج اللغوي فقط كمترجم، يحول سجلات الكمبيوتر الخام إلى وصف يمكن لنظام التقييم فهمه، بينما يظل نظام التقييم هو الحكم الصارم في السلسلة النهائية.
يقر الباحثون بأن عملهم يستند إلى مجموعة بيانات خاضعة للرقابة، وأن بيئات الشركات في العالم الحقيقي أكثر تعقيدًا بكثير. وهم يشيرون إلى أن نظامهم ليس بديلاً لمحفزات الكشف منخفضة المستوى، بل هو أداة لجعل المعنى من البيانات التي تنتجها تلك المحفزات. تم تصميم النظام للعمل مع الطبيعة غير المكتملة والمشوشة للسجلات الحقيقية، مما يوفر وسيلة لاستعادة سرد الهجوم حتى عندما تكون الأدلة مجزأة. ومن خلال معاملة تحليل الهجوم كمسألة استدلال تحت حالة عدم اليقين بدلاً من مجرد مطابقة الأنماط، نجح الباحثون في إنشاء إطار عمل أكثر قوة تجاه الحيل التي يستخدمها المهاجمون لإخفاء آثارهم. وتشير النتائج إلى أن مستقبل تحليل الهجمات قد لا يكمن في العثود على المزيد من البيانات، بل في الاستدلال بفعالية أكبر باستخدام البيانات المتبقية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.