Graph Neural Networks for Provenance-Based APT Detection under a Temporal Transfer Framework: A Review

في الطبقات الخفية لأنظمة الكمبيوتر، تُشن حرب صامتة باستمرار. فالمهاجمون المعروفون باسم "التهديدات المستمرة المتقدمة" لا يقومون بتحطيم الخوادم أو سرقة البيانات في هجمة واحدة صاخبة، بل يتحركون ببطء، مثل لص يقتحم منزلاً، وينتظر حتى ينام أفراد العائلة، ثم ينتقل بهدوء من غرفة إلى أخرى، يفتح الأدراج وينسخ الوثائق على مدار أيام أو أسابوت. ولإمساك مثل هذا المتسلل الصبور، ينظر خبراء الأمن إلى تاريخ النظام، أو ما يُعرف بـ "الأصل" (provenance). وهذا هو سجل لكل إجراء يتخذه الكمبيوتر: أي برنامج فتح أي ملف، وأي عملية أرسلت رسالة إلى أخرى، ومتى حدثت هذه الأحداث. ومن خلال ربط هذه النقاط، يمكن للخبراء رؤية المسار غير المرئي الذي يتركه المهاجم خلفه. لسنوات، حاول الباحثون استخدام الذكاء الاصطناعي لقراءة هذه السجلات تلقائياً، آملين في رصد الأنماط الدقيقة للهجوم قبل فوات الأوان.

ومع ذلك، يشير مراجعة جديدة لهذا المجال إلى أن قصص النجاح الحالية قد تكون وهماً. فقد فحص الباحثون عشرات الدراسات التي زعمت بناء نماذج ذكاء اصطناعي قادرة على رصد هذه التسللات طويلة الأمد بدقة تقارب الكمال. ووجدوا أنه بينما تعمل هذه النماذج ببراعة في المختبر، إلا أنها غالباً ما تفشل في مراعاة العامل الأكثر حرجاً في الأمن الواقعي: وهو الوقت. فمعظم الدراسات التي تمت مراجعتها اختبرت نماذجها على بيانات كاملة بالفعل، مما سمح للذكاء الاصطناعي برؤية أحداث لم تكن قد وقعت بعد في اللحظة التي كان ينبغي فيها إطلاق تنبيه. الأمر يشبه إلى حد كبير تقييم طالب في امتحان تاريخ عبر السماح له بقراءة مفتاح الإجابات قبل أن يجلس للكتابة. وعندما نظر الباحثون عن كثب، اكتشفوا أن النماذج لم تكن تتعلم بالضرورة التعرف على سلوك المهاجم؛ بل كانت غالباً مجرد حفظ لتفاصيل محددة من بيانات الاختبار أو الاعتماد على معلومات لن تكون متاحة في موقف حي وفوري.

وقد قامت المراجعة، التي أجراها فريق من علماء الكمبيوتر، بتجميع نتائج تسع وعشرين دراسة مختلفة حول الكشف نُشرت بين عامي 2020 و2026. استخدمت هذه الدراسات نوعاً من الذكاء الاصطناعي يسمى "الشبكة العصبية الرسومية" (graph neural network)، وهي مصممة لفهم العلاقات بين الأشياء، تماماً مثل خريطة توضح كيفية اتصال المدن بالطرق. وفي هذا السياق، تمثل "المدن" العمليات والملفات الحاسوبية، وتمثل "الطرق" الإجراءات التي تربط بينها. وقد نظم الباحثون هذه الدراسات في إطار عمل واضح لمعرفة كيفية تعاملها مع مرور الوقت. ووجدوا أنه بينما استخدمت تسع عشرة دراسة هذه الشبكات الرسومية المتقدمة، فإن القليل جداً منها اختبر فعلياً مدى كفاءة عمل النماذج على بيانات من تاريخ لاحق. ففي العالم الحقيقي، يتم تدريب نظام أمني على بيانات من الشهر الماضي ويجب عليه اكتشاف الهجمات التي تحدث اليوم. ووجدت المراجعة أن معظم الدراسات لم تحاكي هذا التأخير، بل قامت بتدريب واختبار نماذجها على نفس مجموعة البيانات، وغالباً ما خلطت الجدول الزمني بحيث يمكن للنموذج "إلقاء نظرة" على الأحداث المستقبلية لاتخاذ قراره.

وكان أحد أهم النتائج هو أن أرقام الدقة العالية الواردة في هذه الدراسات من المرجح ألا تترجم إلى أداء في العالم الحقيقي. وقد حدد الباحثون مستويين من الاختبار لإثبات ذلك؛ المستوى الأول يسأل عما إذا كان النموذج، بمجرد تدريبه وتجميده، لا يزال قادراً على رصد الهجمات عند عرضه على بيانات جديدة من وقت لاحق. أما المستوى الثاني فيسأل عما إذا كان بإمكان النموذج التكيف والتحسن مع رؤية بيانات جديدة. وكشفت المراجعة أنه بينما ذكرت خمس دراسات طرقاً لتكييف نماذجها، لم تختبر أي منها هذه التكييفات على بيانات من فترة زمنية لاحقة. علاوة على ذلك، استخدمت العديد من الدراسات طريقة لتسمية الهجمات خلقت فخاً خفياً؛ فإذا حدد الباحثون ملفاً على أنه "سيئ" لأنه مرتبط بملف سيئ معروف، فيمكن للذكاء الاصطناعي ببساطة أن يتعلم البحث عن هذا الاتصال بدلاً من سلوك الهجوم الفعلي. وهذا يعني أن النموذج كان يجتاز الاختبار من خلال التعرف على قواعد الاختبار، وليس من خلال فهم التهديد.

كما أشار الفريق إلى خلل محدد في كيفية إعداد البيانات. ففي العديد من الدراسات، أُعطي الذكاء الاصطناعي صورة كاملة لتاريخ النظام، بما في ذلك الأحداث التي وقعت بعد ساعات أو أيام من اللحظة التي كان ينبغي فيها إطلاق تنبيه. وهذا ما يُعرف بـ "انحياز الاستشراف" (look-ahead bias). ولكي يكون النظام الأمني مفيداً، يجب أن يتخذ قراراً بناءً فقط على ما حدث حتى تلك الثانية بالضبط. ووجدت المراجعة أن دراسات قليلة جداً أفادت بما إذا كانت قد قطعت البيانات عند اللحظة الصحيحة. وبدون هذا القطع، يتم اختبار النماذج أساساً على سيناريو لا وجود له في الواقع. كما لاحظ الباحثون أن مجموعات البيانات المستخدمة في هذه الاختبارات كانت غالباً صغيرة ومتكررة، حيث تحتوي فقط على بضعة أسابيع من البيانات وحالات هجوم محدودة، مما حد من القدرة على رؤية كيف ستتعامل النماذج مع التغيرات البطيئة والدقيقة في سلوك الكمبيوتر التي تحدث على مدار أشهر أو سنوات.

ولمعالجة هذه المشكلات، اقترح المؤلفون مجموعة جديدة من المعايير لكيفية إجراء هذه الدراسات. فقد وضعوا قائمة مرجعية مكونة من واحد وعشرين بنداً يجب على الباحثين اتباعها لإثبات عمل نماذجهم في الوقت الفعلي. ويتضمن ذلك بناء الرسم البياني للبيانات فقط حتى لحظة اتخاذ القرار، وتجميد إعدادات النموذج قبل اختباره على بيانات جديدة، والإبلاغ عن عدد الإنذارات الكاذبة التي سيولدها النظام في بيئة مكتبية حقيقية. وجادلوا بأن النموذج الذي يولد الكثير من الإنذارات الكاذبة هو نموذج عديم الفائدة، بغض النظر عن دقته في رصد الهجمات، لأن الفرق الأمنية ستصاب بالإرهاق. وخلصت المراجعة إلى أنه ما لم يتم اتباع هذه المعاياي الجديدة، فإن الادعاءات بالرصد شبه المثالي في مجال أمن "الأصل" (provenance-based security) يجب أن تُقابل بالتشكيك. لقد أظهرت النماذج وعوداً، لكن الدليل على قدرتها على حماية الأنظمة في الواقع، ضد المهاجمين الذين يغيرون تكتيكاتهم بمرور الوقت، لم يُثبت بعد. إن الطريق إلى الأمام يتطلب تحولاً من مطاردة الدرجات العالية في الاختبارات الثابتة إلى إثبات قدرة هذه الأنظمة على الصمود أمام اختبار الزمن.