RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

في العالم الرقمي، اعتمدت حماية المعلومات القيمة لفترة طويلة على استراتيجية بسيطة مكونة من جزأين: مراقبة المتسللين والاحتفاظ بنسخة احتياطية من عملك. يعمل برنامج الأمن كحارس، حيث يمسح الملفات والبرامج لرصد اللصوص المعروفين أو السلوكيات المشبوهة. وإذا رأى شيئاً خطيراً، فإنه يطلق إنذاراً. وبشكل منفصل، يعمل نظام النسخ الاحتياطي كشبكة أمان، حيث يحفظ نسخاً من الملفات على فترات منتظمة، مثل دقات الساعة كل ساعة أو كل يوم. لعقود من الزمن، عمل هذان النظامان بشكل مستقل؛ فالحارس كان يصرخ إذا رأى تهديداً، لكن ساعة النسخ الاحتياطي كانت تستمر في الدوران وفق جدولها الخاص، غير مدركة للخطر. هذا الانفصال خلق ثغرة أمنية؛ إذ تعلم اللصوص المعاصرون، وتحديداً أولئك الذين يحتجزون البيانات مقابل المال، كيف يضربون بسرعة وغالباً ما يستهدفون أنظمة النسخ الاحتياطي نفسها، عبر حذف النسخ القديمة أو قفلها ومنع الوصول إليها قبل إتمام عملية نسخ جديدة. إن القاعدة القديمة المتمثلة في الاحتفاظ بثلاث نسخ في مكانين مختلفين مع وجود نسخة واحدة خارج الموقع، صُممت لزمن كانت فيه النسخ الاحتياطية أهدافاً سلبية، لا ساحات معارك نشطة.

اقترح باحثون في جامعة العلوم الطبية في أوندو، نيجيريا، طريقة جديدة لسد هذه الفجوة. فقد بنوا نظاماً يسمى "رانسون شيلد" (RansomShield)، يربط الحارس بشبكة الأمان ليعملا كوحدة واحدة تتنفس معاً. وبدلاً من مجرد إنذار بسيط يعمل بنظام التشغيل/الإيقاف، يقوم نظامهم بحساب "درجة تهديد" مستمرة. ترتفع هذه الدرجة وتنخفض بناءً على ما يراه النظام يحدث داخل الكمبيوتر. إذا كانت الدرجة منخفضة، يتصرف النظام بشكل طبيعي، ويحفظ الملفات بوتيرة معتادة. وإذا بدأت الدرجة في الارتفاع، مما يشير إلى حدوث شيء مريب، يقوم النظام تلقائياً بتشديد دفاعاته؛ حيث يبدأ في حفظ النسخ بشكل أكثر تكراراً، ويقفل تلك النسخ بحيث لا يمكن تعديلها، ويعزلها عن بقية الشبكة. النظام لا ينتظر اليقين المطلق ليتخذ إجراءً، بل يستجيب بشكل يتناسب مع مستوى الخطر الذي يدركه.

لبناء هذا النظام، دمج الباحثون أربع طرق مختلفة لمراقبة الكمبيوتر. أولاً، راقبوا ذاكرة الكمبيوتر، وهي المساحة المؤقتة حيث تعيش البرامج النشطة، بحثاً عن علامات محددة للشيفرات الخبيثة. ثانياً، تتبعوا تسلسل الأوامر التي يرسلها البرنامج إلى نظام التشغيل، بحثاً عن أنماط نموذجية لتشفير الملفات. ثالثاً، راقبوا كيفية كتابة البيانات على القرص الصلب، مع التحقق من وجود طفرات مفاجئة في النشاط أو تغييرات غريبة في أنواع الملفات. وأخيراً، قاسوا مدى عشوائية البيانات التي يتم كتابتها؛ إذ تبدو الملفات المشفرة مثل الضجيج الساكن النقي، وهو أمر متميز رياضياً عن المستندات أو الصور العادية. يزن النظام هذه الإشارات الأربع معاً، ويقوم بتنعيم النتائج لتجنب الإنذارات الكاذبة الناتجة عن الأعطال اللحظية. هذه الدرجة المجمعة هي التي تقود وحدة تحكم تقرر بدقة كيفية حماية البيانات.

اختبر الباحثون هذه الفكرة باستخدام بيانات من أرشيفات عامة ومن خلال محاكاة هجمات من سبع عائلات مختلفة من برامج الفدية (Ransomware). وفي هذه المحاكاة، نجح النظام في تحديد كل هجوم. وفي المتوسط، اكتشف النظام التهديد بعد مراقبة ثلاثة عشر حدثاً فقط في نظام الملفات، وهو وقت قصير جداً في عالم العمليات الرقمية. وبمجرد رصد التهديد، رفع النظام مستوى استجابته فوراً؛ حيث انتقل من الحالة العادية إلى حالة التأهب، حيث يقوم بحفظ نسخة كاملة من البيانات كل ثلاثين ثانية. تم جعل هذه النسخ "غير قابلة للتغيير" (Immutable)، مما يعني أنها أُغلقت بطريقة تمنع حتى المهاجم من حذفها أو تغييرها، ووُضعت في بيئة معزولة، معزولة فعلياً (Air-gapped) عن الجهاز المخترق. لم يصل النظام إلى أعلى مستويات التأهب لديه، والذي كان سيتضمن إيقاف جميع العمليات، لأن الهجمات المحاكات تم اكتشافها مبكراً بما يكفي لتفعيل الاستجابة القوية ولكن غير المتطرفة.

كما بحثت الدراسة في مدى تكرار حدوث حالات "الإنذار الكاذب". في سيناريو شهد نشاطاً حاسوبياً عادياً وغير ضار، صنف النظام نشاطاً كتهديد محتمل في حوالي 5% من الأحداث. ورغم أن هذه النسبة منخفضة، إلا أن الباحثين أشاروا إلى أنه في بيئة واقعية، قد يؤدي ذلك إلى عمل إضافي غير ضروري، مثل حفظ الملفات بشكل متكرر أكثر من اللازم. ومع ذلك، كان النظام ذكياً بما يكفي لإبقاء هذه الإنذارات الكاذبة عند مستوى معتدل؛ فلم يتصاعد أبداً إلى التدابير الأكثر تطرفاً وإزعاجاً للنشاط الطبيعي. وأظهرت النتائج أن "مراقب الذاكرة" كان الأداة الفردية الأكثر قوة، حيث حدد النشاط الخبيث بدقة تقارب الكمال في الاختبارات. أما الأدوات الأخرى، فبالرغم من كونها أقل دقة بمفردها، فقد أضافت سياقاً قيماً عند دمجها.

لا يزال هذا العمل يمثل "إثبات مفهوم"، وهو عرض يوضح أن الفكرة ناجحة في بيئة محكومة. فقد استخدم الباحثون هجمات محاكاة بدلاً من فيروسات حية في شبكة حقيقية، ولم يختبروا النظام بعد في مستشفى أو شركة. كما أقروا بأن القواعد التي استخدموها للحكم على سلوك الكمبيوتر كانت مصممة يدوياً، وأن النظام يحتاج إلى مزيد من الاختبار لمعرفة كيفية تعامله مع التهديدات المتنوعة في العالم الحقيقي. يقترح المؤلفون أن العمل المستقبلي يجب أن يتضمن اختبار النظام ضد برمجيات خبيثة حية في بيئة معزولة (Sandbox)، وتحسين القواعد بناءً على بيانات حقيقية، وفي النهاية نشره في المؤسسات التي تعاني من محدودية الموارد. الخلاصة الجوهرية واضحة: من خلال ربط اكتشاف التهديد مباشرة بكثافة استجابة النسخ الاحتياطي، يمكن إنشاء دفاع يكون أسرع وأكثر مرونة من الطرق التقليدية المنفصلة. النظام لا يكتفي بمراقبة المشاكل فحسب، بل يكيف درعه في الوقت الفعلي، ويشد قبضته في اللحظة التي يبدأ فيها الخطر في التصاعد.