When Network Topology Supports Graph-Based Intrusion Detection: A Pre-Deployment Validity Framework

تضجّ الأيام في العالم الرقمي بحركة مرور مستمرة وغير مرئية من البيانات. تتحدث الحواسيب مع الخوادم، وتتصل الهواتف بأجهزة التوجيه، وتبادل الأجهزة المعلومات في شبكة واسعة ومتغيرة. لعقود من الزمن، حاول خبراء الأمن رصد الجهات السيئة في هذا الزحام من خلال النظر في محتوى الرسائل: حجم الملف، أو سرعة الاتصال، أو الأوامر المحددة التي يتم إرسالها. ولكن ظهر أسلوب جديد أكثر طموحًا؛ فبدلاً من مجرد الاستماع إلى ما يقال، يقوم هذا الأسلوب برسم خريطة لمن يتحدث مع من. إنه يعامل الشبكة كخريطة اجتماعية، حيث كل حاسوب هو شخص وكل اتصال هو مصافحة. والنظرية هي أن المهاجمين يتصرفون بشكل مختلف عن المستخدمين العاديين؛ فهم يصافحون أشخاصًا كثيرين جدًا، أو يشكلون مجموعات وثيقة الصلة بشكل غريب. ومن خلال دراسة شكل هذه الاتصالات، تأمل أنظمة الأمن في رصد المتسللين قبل أن يتسببوا في الضرر.

ومع ذلك، هناك افتراض خفي في هذا النهج ظل غير مفحوص إلى حد كبير حتى الآن. يفترض هذا الأسلوب أن الخريطة نفسها مفيدة؛ يفترض أن بنية الشبكة تفصل بشكل طبيعي بين الجهات السيئة والجيدة، مما يجعلهم يبرزون مثل منارة في ضباب. ولكن ماذا لو كانت الخريطة مجرد ضباب؟ ماذا لو كانت "المنارة" في الواقع خادمًا شرعيًا يتعين عليه ببساطة التحدث مع الآلاف من الناس للقيام بعمله؟ إذا بدت الشبكة الأساسية متشابهة سواء كانت تحت هجوم أم لا، فلن يتمكن أي قدر من البرمجيات الذكية من العثور على المتسلل؛ إذ إن البنية ببساطة لا تحتوي على الإشارة التي يبحث عنها البحث.

هذا هو السؤال الدقيق الذي سعى فريق من الباحثين في جامعة حلوان للإجابة عليه. لم يبنوا كاشفًا أفضل أو حاسوبًا أسرع، بل بنوا أداة تشخيصية لفحص الخريطة نفسها قبل أن يحاول أي شخص استخدامها. أرادوا معرفة: تحت أي ظروف يدعم شكل الشبكة بالفعل فكرة العثور على المهاجمين من خلال مراقبة الاتصالات؟ كشفت أعمالهم أن الإجابة أكثر تعقيدًا مما توقع الجميع؛ فقد وجدوا أن الشبكة يمكن أن تبدو معقدة وغير متساوية للغاية، ومع ذلك تظل عديمة الفائدة في العثون على المتسللين. وعلى العكس من ذلك، فإن الشبكة التي تبدو مسطحة ومنتظمة تقريبًا يمكنها أحيانًا إخفاء إشارة واضحة يمكن اكتشافها إذا عرفت كيف تبحث عنها.

اختبر الباحثون أفكارهم على خمسة أنواع مختلفة من بيئات الشبكات، تتراوح من الإعدادات المختبرية الصغيرة إلى الأنظمة الصناعية الضخمة وشبكات إنترنت الأشياء التي تحتوي على آلاف الأجهزة. لقد عاملوا كل شبكة كمنظر طبيعي فريد. في بعض المناظر الطبيعية، كانت الحواسيب "الشعبية" — تلك التي لديها أكبر عدد من الاتصالات — هي بالفعل المهاجمين. وفي أخرى، كانت الحواسبات الأكثر اتصالاً بريئة تمامًا، مثل البوابات المركزية أو خوادم الملفات التي تتواصل طبيعيًا مع الجميع. اكتشف الفريق أن مجرد وجود اتصالات غير متساوية لم يكن كافيًا لضمان النجاح. فقد يمكن للشبكة أن تمتلك درجة عالية من عدم المساواة، حيث تمتلك بعض الحواسيب آلاف الاتصالات بينما يمتلك معظمها اتصالًا واحدًا فقط، ومع ذلك تفشل في الكشف عن المهاجمين. يحدث هذا عندما تكون الحواسيب "الشعبية" هي مجرد البنية التحتية العادية التي تقوم بعملها اليومي، مما يؤدي إلى طمس الإشارات الدقيقة للمتسللين.

ولحل هذه المشكلة، طور الفريق فحصًا من خطوتين. أولاً، بحثوا لمعرفة ما إذا كانت الشبكة تمتلك أي أشكال أو أنماط متميزة، وأطلقوا على ذلك "التمايز الهيكلي". إذا كانت الشبكة مسطحة تمامًا، حيث يتحدث كل حاسوب مع نفس عدد الآخرين تقريبًا، فلا جدوى من محاولة العثور على المهاجمين بناءً على الاتصالات؛ فالخريطة كانت شديدة الانتظام بحيث لا تقدم أي أدلة. ولكن حتى لو كانت الشبكة غير متساوية، فقد كان ذلك مجرد العقبة الأولى. الفحص الثاني، والأكثر أهمية، كان لمعرفة ما إذا كانت الحواسيب الأكثر اتصالاً هي بالفعل السيئة؛ وقد أطلقوا على ذلك "عزل البروز". كانوا بحاجة إلى معرفة ما إذا كانت الحواسيب الأكثر نشاطًا معزولة عن بقية الحشد بطريقة توحي بوجود خطأ ما، أم أنها مجرد مراكز مزدحمة وشرعية في النظام.

كانت نتائج اختباراتهم مذهلة ومناقضة للحدس. قارنوا بين مجموعتي بيانات ضخمتين؛ جاءت إحداهما من شبكة مؤسسات معقدة تضم أكثر من 224,000 جهاز. بدت هذه الشبكة غير متساوية للغاية، حيث تمتلك بعض الحواسيب آلاف الاتصالات. وبناءً على جميع المعايير القياسية، بدت وكأنها المكان المثالي لاستخدام الكشف القائم على الاتصال. ومع ذلك، عندما طبق الباحثون طريقتهم، فشلت تمامًا. كانت الحواسيب الأكثر اتصالًا جميعها خوادم شرعية، وكان المتسللون يختبئون في وسط الحشد، غير قابلين للتمييز عن الضجيج. كانت الخريطة مزدحمة جدًا بالنشاط "الطبيعي" لدرجة تمنع بروز الجهات السيئة.

في المقابل، نظروا إلى شبكة مختلفة من مجموعة كبيرة من أجهزة إنترنت الأشياء. بدت هذه الشبكة أكثر تسطحًا؛ حيث يتحدث معظم الأجهزة مع شيء واحد فقط. في الواقع، أشار الأسلوب القياسي لقياس شكل الشبكة إلى أنها كانت شديدة الانتظام لدرجة تجعلها غير مفيدة. لكن الباحثين وجدوا كسرًا خفيًا في النمط. فبينما كان لمعظم الأجهزة اتصال واحد، كان لعدد ق handful من الأجهزة آلاف الاتصالات. لم يكن هذا منحنى سلسًا من الشعبية؛ بل كان منحدرًا حادًا. شكلت الأجهزة الشرعية سهلًا مسطحًا، بينما وقف المهاجمون على قمة بعيدة. ولأن الفجوة بين الطبيعي وغير الطبيعي كانت واسعة جدًا، استطاع الباحثون استخدام نوع مختلف من مقاييس الرسم لرصد المتسللين. وجدوا أنه من خلال تجاهل القواعد القياسية والبحث عن ذلك الكسر الحاد، تمكنوا من تحديد المهاجمين بدقة تقارب 91%. أما في الشبكة الأخرى، حيث كانت الخريطة مزدحمة بالخوادم المزدحمة، فكان أفضل ما يمكنهم تحقيقه هو دقة صفر بالمائة.

هذا التمييز يغير طريقة تفكير فرق الأمن في أدواتهم. أظهر الباحثون أنه لا يمكنك ببساء أخذ نظام كشف قائم على الرسوم البيانية وتوصيله بأي شبكة. إذا كانت بنية الشبكة تهيمن عليها البنية التحتية الشرعية ذات الحركة المرورية العالية، فسيش likely يفشل النظام، بغض النظر عن مدى تطور البرمجيات. الفشل ليس في النموذج، بل في البيئة؛ فالخريطة نفسها لا تدعم هذا الاستنتاج. حدد الفريق أيضًا سيناريو ثالثًا تبدو فيه الخريطة مكسورة فقط بسبب زيادة مؤقتة في حركة المرور، مثل زحام العطلات الذي يجعل الجميع يبدون مشغولين. في هذه الحالات، قد يفشل النظام ليوم واحد ثم يتعافى في اليوم التالي، مما يشير إلى أن المشكلة ليست عيبًا دائمًا في الشبكة بل حدث مؤقت.

اختبر الباحثون أفكارهم أيضًا على موقع إنتاج حقيقي يتلقى ملايين الطلبات يوميًا. راقبوا كيف تغير شكل الشبكة على مدار شهر. وجدوا أن القدرة على رصد المتسللين بناءً على الاتصالات تتغير بمرور الوقت. في الأيام القليلة الأولى، كان الزوار الأكثر نشاطًا غالبًا هم السيئون. ولكن مع مرور الشهر، بدأ المستخدمون الشرعيون الذين يزورون الموقع بشكل متكرر في تراكم الاتصالات، مما أدى إلى طمس الخط الفاصل بين الجيد والسيئ. لقد تضاءل "بروز" المهاجمين بسبب الحشد المتنامي من المستخدمين العاديين. أثبت هذا أن صلاحية الطريقة ليست خاصية ثابتة للشبكة، بل هي حالة تتغير مع الوقت والملاحظة.

المساهمة النهائية لهذا العمل هي طريقة جديدة للتفكير في الأمن. قبل إنفاق المال والجهد على أنظمة الكشف المعقدة القائمة على الرسوم البيانية، يجب على المؤسسات أولاً إجراء تشخيص بسيط. عليهم التحقق مما إذا كانت شبكتهم تمتلك النوع الصحيح من الشكل لجعل هذه الطريقة تعمل. إذا كانت الحواسيب الأكثر اتصالًا هي مجرد الخوادم العادية التي تقوم بعملها، فإن النظر في الاتصالات لن يساعد. وإذا كانت الشبكة مسطحة للغاية، فلا توجد إشارة للعثور عليها. ولكن إذا كان هناك قمة نشاط حادة ومعزولة تقف متميزة عن البقية، فإن الطريقة يمكن أن تكون قوية للغاية. قدم الباحثون دليلًا واضحًا وخطوة بخطوة لفرق الأمن لإجراء هذا الفحص باستخدام البيانات الخام فقط لمن يتحدث مع من، دون الحاجة لمعرفة من هم المهاجمون مسبقًا.

ينقل هذا النهج التركيز من بناء نماذج أفضل إلى فهم البيئة. ويشير إلى أن الخطوة الأكثر أهمية في كشف التسلل ليست الخوارزمية، بل تقييم التضاريد. الأداة المصممة للعثور على إبرة في كومة قش ستفشل إذا كانت كومة القش في الواقع عبارة عن كومة من الإبر. ومن خلال التمييز بين الشبكة المناسبة هيكليًا وتلك غير المناسبة، يمنع هذا البحث هدر الموارد في طرق محكوم عليها بالفشل بسبب طبيعة الشبكة نفسها. إنه يقدم حقيقة عملية هادئة: يجب أن تعرف شكل عالمك قبل أن تحاول العث หา الغريب بداخله.