A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

في عالم الأمن السيبراني عالي المخاطر، يُعد الوقت هي العملة الأكثر قيمة، ومع ذلك فهو أيضاً الأكثر مراوغة. يعمل المدافعون تحت ضغط مستمر لاكتشاف التسللات والاستجابة قبل وقوع الضرر، لكن واقع الهجمات السيبرانية الحديثة يتسم بتأخر محبط. فالمهاجمون، الذين غالباً ما يعملون كمجموعات متطورة ومستمرة، يمكنهم الاختباء داخل الشبكة لشهور، والتحرك ببطء وهدوء. وفي الوقت نفسه، غالباً ما تكون أنظمة المدافعين الخاصة غارقة في الإنذارات الكاذبة ومثقلة بالحجم الهائل من البيانات التي يجب عليهم غربلتها. وهذا يخلق فجوة خطيرة بين وقت حدوث الهجوم والوقت الذي يفهم فيه المدافعون أخيراً ما يجري ويتمكنون من التحرك لإيقافه. لعقود من الزمن، حاول علماء الكمبيوتر نمذجة هذه اللعبة القائمة على "القط والفأر" باستخدام الرياضيات، لكن العديد من هذه النماذج افترضت أن كلا الجانبين يمكنهما الاستجابة فوراً، كما لو أن الزمن غير موجود. لقد تجاهل هذا الافتراض الواقع الفوضوي والبطيء لكيفية انتقال المعلومات عبر الفريق الأمني وكيف يكيف المهاجمون تكتيكاتهم على مدار أيام أو أسوت.

تتحدى دراسة جديدة أجراها سينا كيهانيان هذه الرؤية المبسطة من خلال بناء نموذج أكثر واقعية للصراع السيبراني. فبدلاً من افتراض ردود فعل فورية، تعامل البحث مع المعركة كصراع تطوري بطيء الحركة بين مجموعتين سكانيتين: المدافعون، الذين يجب أن يقرروا ما إذا كانوا سيطاردون التهديدات بنشاط أم يراقبون أنظمتهم بسلبية، والمهاجمون، الذين يختارون بين التكتيكات الهجومية سريعة الحركة أو التكتيكات المتخفية وبطيئة الاشتعال. يركز جوهر النموذج على التأخير في المعلومات؛ فالمدافعون لا يرون المهاجمين بشكل مباشر، بل يرون فقط تدفقاً من التنبيهات التي تصل متأخرة وغالباً ما تكون مشوشة. ولتحليل ذلك، يستخدم المدافعون مرشحاً رياضياً، وهو نوع من عملية المتوسط الذكي، لتخمين ما يفعله المهاجمون. قدمت الدراسة نوعين محددين من التأخير في هذا النظام: الوقت المستغرق لاكتشاف التسلل، والوقت المستغرق لإصلاح المشكلة بمجرد العثور عليها. ومن خلال إجراء عمليات محاكاة معقدة تأخذ في الاعتبار هذه الفترات الزمنية المتأخرة، اكتشف الباحثون أن النظام يسلك سلوكاً مختلفاً تماماً عما كان يُعتقد سابقاً.

إن النتيجة الأكثر أهمية هي وجود نقطة تحول دقيقة لمدى طول الفترة التي يمكن للمدافع أن يتحمل فيها الانتظار قبل أن تصبح استجابته غير مستقرة. فإذا ظل التأخير في اكتشاف الهجوم تحت حد معين، يستقر المدافعون والمهاجمون في توازن يمكن التنبؤ به. ومع ذلك، بمجرد أن يتجاوز التأخير ذلك الحد، لا يسوء النظام قليلاً فحسب، بل يبدأ في التذبذب بجنون. حيث يقوم المدافعون، استجابةً لمعلومات قديمة، بالمبالغة في الالتزام بالصيد العدواني، مما يؤدي إلى إغراق أنظمتهم بالإنذارات الكاذبة والإرهاق. وهذا يدفعهم للتراجع، تاركين الشبكة عرضة للخطر في اللحظة التي يرى فيها المهاجمون هذا التراخي ويشنون موجة جديدة من العدوان. وتتكرر هذه الدورة، مما يخلق نمطاً متكرراً من الاختراقات والاستجابات المحمومة التي لا تنتهي أبداً. وتثبت الدراسة أن عدم الاستقرار هذا ليس خللاً عشوائياً، بل هو حتمية رياضية تحدث عندما يصبح الفارق الزمني طويلاً جداً بالنسبة لسرعة تعلم المدافعين.

ومن الأهمية بمكان أن توضح الدراسة أن مجرد محاولة اكتشاف الهجمات بشكل أسرع ليس كافياً دائماً لإنقاذ الموقف. فقد وجد الباحثون أنه إذا كان المهاجمون يتمتعون بقدرة عالية على التكيف وكان المدافعون بطيئين في التعلم من البيانات، فلن تمنع أي سرعة في الاكتشاف النظام من الانهيار في الفوضى. هناك حد أدنى للسرعة التي يجب أن يعالج بها المدافعون المعلومات ويحدثوا بها تصوراتهم عن العدو. وإذا انخفضوا عن هذه السرعة، فإن الدفاع محكوم عليه بالفشل بغض النظر عن مدى سرعة رصدهم للاختراق الأولي. وهذا يشير إلى أن الاستثمار في أجهزة استشعار أفضل أو أنظمة تنبيه أسرع هو نصف المعركة فقط؛ فالقدرة على التعلم والتكيف بسرعة لا تقل أهمية عن ذلك. كما يكشف النموذج عن تفاعل مفاجئ بين نوعي التأخير؛ فبينما قد يفترض المرء أن وجود تأخير في الاكتشاف وتأخير في إصلاح المشكلة سيؤدي ببساطة إلى تفاقم الأمور، تظهر الدراسة أن التأخير المعتدل في إصلاح المشكلة يمكن أن يساعد في استقرار النظام، مما يسمح بفترة تأخير أطول قليلاً في الاكتشاف دون التسبب في انهيار.

ولضمان أن هذه النتائج لم تكن مجرد نظريات، اختبر الباحثون نموذجهم مقابل بيانات من العالم الحقيقي. فقد حللوا أكثر من 300,000 حادثة أمنية من مجموعة بيانات ضخمة قدمتها شركة مايكروسوفت، والتي تضمنت سجلات لكيفية فرز المحللين للتنبيهات وتقييمها. كما فحصوا سجلات مكاتب خدمات تكنولوجيا المعلومات لفهم الوقت الذي يستغرقه بالفعل حل المشكلات. وأكدت البيانات أن منظمة واحدة تتعلم عن سلوك المهاجم بمعدل 0.07 مرة في اليوم، مما يعني أن الأمر يستغرق حوالي أسبوعين للتكيف استراتيجيتها بالكامل. ومع ذلك، عندما تتشارك عدة منظمات بياناتها، تقفز سرعة التعلم هذه إلى حوالي ثلاث مرات في اليوم، وهو تحسن هائل يطيل بشكل كبير الوقت الذي يمكن للمدافعين تحمله قبل أن يصبح نظامهم غير مستقر. ورغم هذا التحسن، وجدت الدراسة أنه حتى مع مشاركة البيانات، فإن الوقت المعتاد لبقاء المهاجم داخل الشبكة — والذي غالباً ما يكون حوالي 14 يوماً — لا يزال أطول مما يمكن للنظام التعامل معه بأمان.

كما بحث البحث في الوقت المستغرق لإصلاح المشكلات، والمعروف باسم المعالجة. ومن خلال تحليل سجلات حل الحوادث الحقيقية، وجد الفريق أنه بينما يتم حل العديد من المشكلات بسرعة، فإن عدداً قليلاً من المشكلات المعقدة يستغرق أسابيع أو حتى شهوراً لحلها. وهذا "الذيل الطويل" من الحلول البطيئة هو ما يهدد استقرار الدفاع حقاً. فالنظام يكون في أقصى حالات الضعف ليس عندما يستغرق متوسط الإصلاح وقتاً طويلاً، بل عندما تتراكم هذه الحالات النادرة والصعبة وتخلق تراكمات في العمل. وتخلص الدراسة إلى أن الفرق الأمنية لا ينبغي أن تنظر إلى أدائها كهدف واحد، مثل "متوسط وقت الاستجابة"، بل كميزانية مشتركة من ثلاثة عوامل مترابطة: مدى سرعة التعلم، ومدى سرعة الاكتشاف، ومدى سرعة المعالجة. فإذا تأخر أي من هذه العوامل كثيراً عن الآخرين، فإن آلية الدفاع بأكملها تخاطر بالوقوع في دورة من الفشل. ويوفر هذا العمل تحذيراً رياضياً واضحاً بأنه في المشهد السيبراني الحديث، تعد سرعة التعلم حيوية بقدر سرعة رد الفعل، وأنه بدون نهج متوازن، ستؤدي التأخيرات الطبيعية للنظام في النهاية إلى اختراقات متكررة ولا مفر منها.