Network-Centric Ransomware Intrusion Detection Framework

في العالم الرقمي، تطور نوع معين من التهديدات من مجرد إزعاج إلى أزمة عالمية. فعلى مدى عقود، قامت البرمجيات الخبيثة المعروفة باسم "برامج الفدية" (ransomware) باحتجاز البيانات الحاسوبية رهينة، حيث تقوم بتشفير الملفات والمطالبة بدفع مبالغ مالية مقابل إطلاق سراحها. وبينما يمكن لبرامج الحماية المثبتة على أجهزة الكمبيوتر الفردية أن توقف هذه البرامج في كثير من الأحيان قبل أن تبدأ، فقد تعلم المهاجمون الأذكياء كيفية إخفاء أفعالهم، والتسلل متجاوزين هذه الدفاعات. وعندما يتم اختراق جهاز كمبيوتر بالفعل، فإن الرؤية الوحيدة المتبقية لما يحدث غالباً ما تأتي من الشبكة نفسها — أي تدفق البيانات الذي ينتقل بين الأجهزة. وهنا يكمن خط الدفاع الأخير. فمن خلال مراقبة حركة المرور المتدفقة بين جهاز الكمبيوتر وخوادم الملفات المركزية حيث تُخزن البيانات، يأمل خبراء الأمن في رصد البصمة الفريدة لهجوم قيد التنفيذ، حتى لو حاول البرنامج الخبيث التمويه على نفسه.

لقد طور فريق من الباحثين في جامعة "لا تروب" (La Trobe) في أستراليا طريقة جديدة لمراقبة حركة المرور الرقمية هذه، حيث أنشأوا إطار عمل مصمماً للإيقاع ببرامج الفدية التي اخترقت النظام بالفعل. يتجاوز نهجهم مجرد البحث عن الجهات السيئة المعروفة، ويركز بدلاً من ذلك على سلوك البيانات نفسها. لقد قدموا طريقة أطلقوا عليها اسم "حركة المرور ذات الاهتمام" (Traffic of Interest)، والتي تعمل كمرشح لتجميع حزم محددة من المعلومات التي تروي قصة عما يفعله جهاز الكمبيوتر. وبدلاً من تحليل كل قطعة بيانات تعبر الشبكة، وهو أمر قد يكون مرهقاً ومبطئاً، تعزل هذه التقنية اللحظات المحددة التي يقوم فيها جهاز الكمبيوتر بقراءة أو كتابة أو تعديل الملفات على محرك أقراص مشترك. ومن خلال التركيز على هذه اللحظات الحرجة، يمكن للنظام التمييز بين مستخدم يقوم ببساطة بعمل نسخة احتياطية لعمله، وبين برنامج خبيث يقوم بتشفير كل شيء في طريقه.

بنى الباحثون بيئة اختبار لمعرفة ما إذا كان هذا الأسلوب يمكن أن ينجح في العالم الحقيقي. فقد أنشأوا شبكة افتراضية تضم خادم ملفات وعدة أجهزة كمبيوتر عميلة، ثم أدخلوا مجموعة واسعة من عائلات برامج الفدية، بدءاً من السلالات القديمة وصولاً إلى أحدث المتغيرات المكتشفة بين عامي 2013 و2022. والأهم من ذلك، أنهم لم يختبروا هذه الهجمات ضد نشاط حاسوبي هادئ وطبيعي فحسب، بل قاموا أيضاً بتشغيل تطبيقات سليمة تقوم بعمليات مكثفة على الملفات، مثل ضغط المجلدات الكبيرة، أو تشفير البيانات لأغراض الخصوصية، أو نسخ كميات هائلة من الملفات. هذه الإجراءات المشروعة يمكن أن تبدو أحياناً مشابهة جداً لبرامج الفدية، وقد واجهت العديد من أنظمة الكشف السابقة صعوبة في التمييز بينهما، مما يؤدي غالباً إلى إطلاق إنذارات كاذبة. ومن خلال تدريب نظامهم على التعرف على الفروق الدقيقة بين قيام مستخدم بضغط ملف وبين قيام فيروس بتشفيره، هدف الباحثون إلى إنشاء جهاز كشف يكون حساساً للتهديدات وهادئاً تجاه النشاط الطبيعي.

كانت نتائج تجاربهم مذهلة. فعندما تم اختبار النظام ضد النطاق الكامل للهجمات، حدد برنامج الفدية بدقة تقترب من 99.64 بالمائة. ولعل الأهم من ذلك، هو أنه فشل في اكتشاف هجوم برامج الفدية مرة واحدة فقط من بين كل ألف محاولة، وهو معدل منخفض للغاية لدرجة أنه يكاد يكون صفراً. وهذا يعني أن النظام نادراً ما يغفل عن التهديد. وفي الوقت نفسه، نادراً ما "يطلق إنذاراً كاذباً"؛ حيث صنف تطبيقاً غير ضار على أنه خبيث أربع مرات فقط من بين كل مائة ألف عملية فحص. كما أظهر الباحثون أن هذا الكشف يمكن أن يحدث في مرحلة مبكرة من الهجوم؛ فمن خلال تحليل الدقائق العشرين الأولى من النشاط المشبوه، استطاع النظام تحديد الاختراق بدقة 99.44 بالمائة، وغالباً قبل وقوع الضرر. وتعد قدرة الإنذار المبكر هذه أمراً حيوياً، لأنها تمنح المسؤولين وقتاً لإيقاف الهجوم قبل فقدان البيانات الحساسة.

وإلى جانب نموذج تعلم الآلة الذي يدعم عملية الكشف، توصل الفريق أيضاً إلى مجموعة من الأدلة السلوكية، المعروفة باسم "مؤشرات الاختراق" (indicators of compromise)، والتي تنفرد بها برامج الفدية. هذه ليست مجرد قوائم بسيطة لعناوين أو أسماء ملفات، والتي يمكن للمهاجمين تغييرها بسهولة، بل هي أنماط في كيفية انتقال البيانات. على سبيل المثال، وجد الباحثون أن برامج الفدية غالباً ما تنشئ نوعاً معيناً من ملفات الرسائل بحجم ثابت لإخبار الضحية بما يجب فعله، وتتبع تسلسلاً محدداً جداً من الأوامر عند قفل الملفات. وتظل هذه الأنماط مرئية حتى عندما يحاول المهاجمون إخفاء آثارهم. وقد جمع الفريق هذه الأنماط في مستودع يمكن استخدامه كبصمة للتهديدات المعروفة، مما يوفر طبقة ثانية من الدفاع تعمل جنباً إلى جنب مع نموذج تعلم الآلة.

تتحدى الدراسة صراحةً فكرة أن طرق الكشف السابقة كانت كافية. إذ يرى المؤلفون أن العديد من الدراسات السابقة اعتمدت على مجموعات بيانات لم تتضمن تطبيقات مشروعة تتصرف مثل برامج الفدية، مما أدى إلى نتائج متفائلة للغاية لا تصمد في مكتب مزدحم بالعمل. كما أشاروا إلى أن العديد من الأدوات الحالية تعتمد على رؤية بيانات غير مشفرة، وهو أمر أصبح أقل شيوعاً مع اعتماد الشبكات لتقنيات تشفير أقوى. ومع ذلك، تم اختبار إطار عملهم باستخدام حركة مرور مشفرة وغير مشفرة، مما أثبت قدرته على الرؤية عبر الضجيج بغض النظر عن إعدادات الأمان. ومن خلال التركيز على السلوك الفعلي لعمليات الملفات بدلاً من مجرد الكود الثابت للفيروس، قدم الباحثون طريقة أكثر قوة لحماية الشبكات. ويشير العمل إلى أنه بينما ستستمر برامج الفدية في التطور، فإن مراقبة تدفق البيانات بعين ثاقبة لأنماط سلوكية محددة يوفر مساراً موثوقاً لإيقافها.