في العالم الرقمي، تعتمد الحماية غالباً على مراقبة الباب الأمامي. تبحث الأنظمة التقليدية عن العناصر الضارة المعروفة، وتراقب الأنماط المشبوهة في حركة مرور الشبكة أو محاولات تسجيل الدخول غير المصرح بها. ومع ذلك، فإن المتسلل المحترف الذي تمكن بالفعل من تجاوز الباب الأمامي يمكنه التحرك عبر النظام بثقة هادئة تشبه ثقة المسؤول الشرعي؛ فقد يقوم بفحص الملفات، أو نسخ البيانات، أو تصعيد صلاحياته، كل ذلك بينما يظهر كأنه مستخدم طبيعي. إن التمييز بين هذا السلوك الخبيث والعمل الإداري الروتيني هو أحد أصعب التحديات في الأمن السيبراني الحديث. ولحل هذه المعضلة، توجه الباحثون إلى استراتيجية تسمى "الخداع السيبراني". فبدلاً من مجرد بناء جدران أعلى، يقومون بإنشاء مشهد مليء بالفخاخ — خدمات وهمية، وحسابات وهمية، وبيانات وهمية — تبدو ذات قيمة للمهاجم ولكنها لا تخدم أي غرض حقيقي. وعندما يتفاعل المتسلل مع هذه الفخاخ، يوفر النظام مؤشراً قوياً على وجود خطأ ما، لأنه لا يوجد مستخدم شرعي سيتعامل أبداً مع مورد وهمي.

قام فريق من الباحثين في كلية سري كريشنا للهندسة والتكنولوجيا بتطوير نهج جديد لهذه الاستراتيجية، مصمم خصيصاً لأنظمة التشغيل "لينكس" التي تشغل جزءاً كبيراً من الإنترنت. وقد أطلقوا على ابتكارهم اسم "Mirage Mesh" (شبكة السراب). وبدلاً من الاعتماد على نوع واحد من الفخاخ، قاموا ببناء إطار عمل ينشر الخداع عبر أربعة طبقات مختلفة من نظام الكمبيوتر: الشبكة، والنظام نفسه، والتطبيقات البرمجية، والبيانات. الفكرة الجوهرية هي جعل البيئة بأكملها تبدو وكأنها فخ استدراج، حيث تقدم كل طبقة نوعاً مختلفاً من الطُعم. فعلى مستوى الشبكة، أنشأوا خدمة SSH وهمية، وهي وسيلة شائعة للتحكم في الكمبيوتر عن بُعد. وعلى مستوى النظام، أعدوا حساباً إدارياً وهمياً يبدو كمستخدم رفيع المستوى ولكنه في الواقع مجرد طُعم. وبالنسبة لطبقة البرمجيات، بنوا واجهة ويب وهمية تحاكي شاشة تسجيل دخول لنظام إدارة. وأخيراً، عند طبقة البيانات، وضعوا ملفاً يحتوي على بيانات اعتماد وهمية، وهو "honeytoken" (رمز عسل)، ليس له أي استخدام حقيقي ولكنه مصمم ليجده أي شخص يبحث عن الأسرار.

تكمن عبقرية "Mirage Mesh" ليس فقط في الفخاخ نفسها، بل في كيفية تعامل الباحثين مع المعلومات التي تولدها. في العديد من الأنظمة الأمنية، يتحدث كل نوع من الفخاخ لغة مختلفة، مما يجبر الفرق الأمنية على مراقبة كل منها بشكل منفصل. وقد حل الباحثون هذه المشكلة عبر إنشاء مترجم عالمي للأحداث الأمنية. فكلما تم تفعيل أي من الفخاخ الأربعة، يقوم النظام فوراً بتحويل البيانات الخام إلى تنسيق قياسي واحد. وهذا يسمح لنظام مراقبة مركزي بمعاملة تسجيل دخول وهمي على صفحة ويب تماماً كما يعامل محاولة كلمة مرور وهمية على اتصال شبكة. هذه الرؤية الموحدة تعني أن مجموعة واحدة من القواعد يمكنها اكتشاف التهديدات عبر النظام بأكره، بغض النظر عن مكان ظهور التهديد. وقد اختبر الباحثون إطار العمل هذا عبر محاكاة هجمات ضد كل طبقة، ووجدوا أن النظام نجح في معالجة الأحداث من جميع الطبقات الأربع، وتحويلها إلى لغة مشتركة وتنبيه المراقب المركزي دون الحاجة إلى منطق منفصل لكل فخ، رغم أنه تم التأكد من عمل طبقتين فقط بشكل كامل من البداية إلى النهاية حتى الآن.

تضمنت الدراسة إجراء سلسلة من الاختبارات المنضبطة لمعرفة ما إذا كان بإمكان إطار العمل التعامل مع تعقيد الدفاع متعدد الطبقات. سجل الباحثون عشرة تفاعلات محددة، حيث حاول عميل اختبار اختراق كل طبقة من الطبقات الخداعية الأربع. عالج النظام كل حدث بنجاح، وربط إجراءات المهاجم بمراحل الاختراق المعروفة وحدد التقنيات المحددة التي يستخدمها مجرمو الإنترنت. فعلى سبيل المثال، عندما حاول عميل الاختبار مسح الشبكة، تعرف النظام على ذلك كحاولة استطلاع. وعندما حاول تخمين كلمات المرور على الحساب الوهمي، صنف النظام ذلك كهجوم "القوة الغاشمة" (brute-force). اجتاز إطار العمل ستة وتسعين اختباراً مؤتمتاً، مما أكد أن الكود الأساسي يعمل كما هو مخطط له. ومع ذلك، يوضح الباحثون بحذر أنه بينما النظام مبني بالكامل ويعمل، إلا أن طبقتين فقط من الأربع قد تم التحقق من عملهما بشكل كامل في بيئة حية ومتكاملة. أما الطبقتان الأخريان فلا تزالان في مرحلة اللمسات الأخيرة، ولم يتم اختبار النظام بعد ضد حجم هائل من حركة المرور الواقعية لقياس مدى تكرار إطلاق إنذارات خاطئة.

ما يجعل هذا العمل مهماً هو تركيزه على البساطة والقابلية للتكيف. فقد صُمم إطار العمل ليكون خفيف الوزن، باستخدام أدوات مفتوحة المصدر متاحة بسهولة، مما يجعله مناسباً للمؤسسات الصغيرة أو المختبرات الأكاديمية التي لا تستطيع تحمل تكاليف مجموعات الأمن باهظة الثمن والمخصصة للمؤسسات الكبرى. ومن خلال توحيد البيانات من مختلف الفخاخ، أنشأ الباحثون نظاماً يمكن توسيعه بسهولة؛ فإذا تم اختراع نوع جديد من الفخاخ في المستقبل، يمكن إضافته إلى إطار العمل ببسا simply عبر تعليمه كيفية التحدث باللغة المشتركة، دون الحاجة إلى إعادة كتابة نظام الكشف بالكامل. كما اقترح الباحثون طريقة لقياس مدى فعالية الخداع، من خلال النظر في عدد الطبقات التي تم تفعيلها، ومدى عمق وصول المهاجم، وسرعة استجابة النظام. ورغم أنهم لم يحسبوا بعد درجة نهائية لهذه المقاييس نظراً لافتقارهم إلى مجموعة بيانات ضخمة من النشاط الطبيعي للمقارنة بها، إلا أن إطار العمل يوفر الأدوات اللازمة للقيام بذلك في المستقبل.

يخلص البحث إلى أن "Mirage Mesh" يقدم طريقة عملية لزيادة الرؤية حول ما يفعله المهاجمون بمجرد دخولهم إلى النظام. وهو يثبت أنه من خلال نشر الخداع عبر طبقات متعددة وتوحيد الاستجابة، يمكن للفرق الأمنية الإمساك بالمتسللين الذين قد يندمجون بخلاف ذلك مع النشاط الطبيعي. ويقر الباحثون بأن مهاجماً ذكياً قد يكتشف في النهاية أن مورداً معيناً هو فخ ويتجنبه، ولهذا السبب يخططون لإضافة ميزات في المستقبل يمكنها تدوير وتغيير الطعوم تلقائياً. وفي الوقت الحالي، يقف هذا العمل كإثبات مفهوم وظيفي، يظهر أن النهج متعدد الطبقات والموحد للخداع السيبراني ليس ممكناً فحسب، بل يمكن بناؤه بالأدوات المتاحة حالياً للعديد من المؤسسات. إنه يقدم طريقة هادئة ومستمرة لمراقبة الظلال، مما يضمن أنه حتى لو تسلل متسلل عبر البوابة، فإنه لن يستطيع التحرك عبر المنزل دون ترك أثر.