Automated Root Cause Analysis of Security Incidents Using Causal Machine Learning

عندما يطلق نظام أمني إنذاراً، فإن التحدي المباشر لا يكمن ببساطة في ملاحظة أن خطباً ما قد حدث، بل في فهم مكان بدء المشكلة بالضبط. تُنتج الشبكات الحديثة تدفقاً مستمراً من البيانات: من سجل دخوله، وما البرامج التي عملت، وأي الملفات فُتحت، وكيف تغيرت الأذونات. غالباً ما يمكن لخطأ صغير واحد في بداية سلسلة من التفاعلات أن يؤدي إلى موجة من الأحداث الغريبة التي تبدو جميعها مريبة بنفس القدر. إذا نظر المحقق فقط إلى الإشارة الأكثر صخباً أو غرابة، فقد يخطئ في اعتبار العَرَض هو السبب، فيطارد أثراً ناتجاً عن المشكلة بينما تظل المشكلة الحقيقية مخفية في المنبع. ولحل هذه المعضلة، يتجه الباحثون إلى طريقة تفكير تسمى الاستدلال السببي. فبدلاً من مجرد السؤال عن الأحداث التي تقع معاً، تسأل هذه الطريقة عن الأحداث التي تسبب وقوع أحداث أخرى بالفعل. إنها تعامل النظام كمجموعة من التروس المتصلة: إذا دار ترس واحد، فإنه يدفع الترس التالي، والذي بدوره يدفع التالي. والهدف هو العثور على أول ترس تم تحريكه، وليس مجرد الترس الذي دار بأقصى سرعة.

لقد اختبرت باحثة تدعى ريهانا ديفاني طريقة محددة للعثور على ذلك الترس الأول في بيئة محاكاة خاضعة للرقابة. لا يحلل هذا البحث محاولات اختراق حقيقية أو شبكات شركات حية، بل يبني نموذجاً رقمياً لنظام أمني يتكون من ستة أجزاء متميزة، تمثل أشياء مثل الوصول، والسياسة، والتنفيذ. في هذا النموذج، يعرف الباحثون تماماً كيف ترتبط الأجزاء ببعضها البعض وكيف تؤثر في بعضها البعض. ثم قاموا بإدخال اضطراب اصطناعي محدد — وهو تغيير مفاجئ بمقدار أربع وحدات في سلوك أحد الأجزاء الأولية — وراقبوا كيفية انتشار الموجة عبر بقية النظام. يسأل التجريب سؤالاً بسيطاً ولكنه صعب: إذا رأيت النظام بأكمله يتصرف بغرابة، فهل يمكن لبرنامج كمبيوتر أن يحدد بشكل صحيح الجزء الأولي الوحيد الذي تم تغييره، أم أنه سيتشتت بسبب الضجيج الناتج عن الأجزاء التي تفاعلت مع التغيير؟

قارن الباحثون بين طريقتين للنظر في البيانات. الطريقة الأولى، التي يسمونها "التقييم الهامشي" (marginal scoring)، تشبه النظر إلى كل جزء بمعزل عن غيره والسؤال: "ما مدى غرابة هذا الجزء مقارنة بالوضع الطبيعي؟". غالباً ما تفشل هذه الطريقة لأن الجزء الذي يتفاعل فحسب مع مشكلة ما قد يبدو غريباً بقدر الجزء الذي تسبب فيها. أما الطريقة الثانية، المعروفة باسم "التقييم المتبقي" (residual scoring)، فهي أكثر تطوراً؛ إذ تستخدم خريطة الاتصالات لتسأل: "بالنظر إلى ما تفعله الأجزاء التي تغذي هذا الجزء، هل يتصرف هذا الجزء بغرابة؟". إذا كان الجزء يتصرف بغرابة فقط لأن جيرانه يتصرفون بغرابة، فإن هذه الطريقة تدرك أن هذا الجزء ليس هو المصدر. ومع ذلك، إذا كان الجزء يتصرف بغرابة حتى عندما يتصرف جيرانه بشكل طبيعي، فإنه يُصنف كمتهم محتمل.

في النسخة الأكثر نقاءً من التجربة، حيث كانت البيانات واضحة تماماً وخالية من أي ضجيج خلفي، نجحت الطريقة المتطورة بشكل ملحوظ؛ فقد حددت نقطة البداية للاضطراب بشكل صحيح في ما يقرب من 98 بالمائة من الحالات. أما الطريقة الأبسط، التي تجاهلت الروابط بين الأجزاء، فقد كانت صحيحة بنسبة 87 بالمائة تقريباً فقط. وتظهر هذه الفجوة أن فهم هيكل النظام يساعد في الفصل بين السبب الحقيقي والأعراض. ومع ذلك، اختبرت الدراسة أيضاً مدى صمود هذه الطريقة عندما تكون البيانات فوضوية، كما هو الحال غالباً في الأنظمة الواقعية. فقد أضاف الباحثون "ستاتيكية" عشوائية، أو ضجيج استشعار، إلى القياسات لمحاكاة جمع البيانات غير المثالي. ومع زيادة مستوى الضجيج، انخفضت دقة الطريقة المتطورة لتصل إلى حوالي 81 بالمائة عندما كان مستوى الضجيج متوسطاً، بينما عانت الطريقة الأبسط أكثر، حيث انخفضت إلى نحو 62 بالمائة. وتؤكد هذه النتيجة أنه رغم أن معرفة الروابط تساعد، إلا أن جودة البيانات لا تقل أهمية؛ فإذا كانت القياسات غير دقيقة للغاية، فلا يمكن حتى لأفضل خريطة أن ترشد المحقق إلى الإجابة الصحيحة.

كما استكشفت الدراسة ما يحدث إذا كانت الخريطة نفسها خاطئة قليلاً. في أحد الاختبارات، قام الباحثون عمداً بحذف اتصال معروف من النموذج، متظاهرين بأنهم لا يعرفون أن جزءاً ما يؤثر في آخر. لا تزال الطريقة تعمل بشكل جيد، حيث حددت السبب بشكل صحيح بنسبة 94 بالمالمائة في البيانات النقية، لكن الدقة انخفضت مع زيادة الضجيج. يشير هذا إلى أن النهج متسامح نوعاً ما مع المعلومات المفقودة، لكنه ليس مثالياً. كما تحقق الباحثون مما إذا كان العثور على السبب الصحيح سيساعد فعلياً في حل المشكلة؛ حيث قاموا بمحاكاة عملية إصلاح عبر عكس التغيير الذي أدخلوه في النظام. وعندما استهدفوا نقطة البداية الصحيحة، اختفى السلوك الغريب في النظام تماماً تقريباً، بينما عندما استهدفوا النقطة الخاطئة، ظل النظام مضطرباً. وقد أكد هذا أن الطريقة ليست مجرد تخمين، بل هي تحدد الرافعة المحددة التي، إذا أُعيد سحبها، ستوقف سلسلة التفاعلات.

وعلى الرغم من هذه النتائج الواعدة، يحرص البحث على توضيح ما لم يفعله. فقد جرت التجربة بأكملها داخل محاكاة حاسوبية لنموذج صغير مكون من ستة أجزاء، ولم يختبر الباحثون ذلك على شبكات شركات حقيقية، أو مخترقين حقيقيين، أو سجلات أمنية حقيقية. كما لم يدّعوا أن طريقتهم يمكنها اكتشاف أنواع جديدة من الهجمات أو أنها تعمل دون خريطة محددة مسبقاً للنظام. تثبت الدراسة أنه إذا كنت تعرف بالفعل كيف يتصل نظام ما، فيمكنك استخدام نوع معين من الحسابات للعثور على مشكلة واحدة مُدخلة بدقة أكبر من مجرد البحث عن الأرقام الأكثر غرابة. ولا يثبت هذا العمل أنه سينجح في الواقع الفوضوي والمشوش والمعقد للمؤسسات الحية. تكمن قيمة العمل في وضوحه: فهو يفصل بين فكرة العثور على سبب وبين فكرة اكتشاف الخريطة، ويظهر بدقة مدى أهمية جودة البيانات. وقبل أن يمكن استخدام هذه الطريقة لحماية المنظمات الحقيقية، يجب اختبارها في بيئات لا تكون فيها الروابط معروفة مسبقاً ولا تكون فيها البيانات نظيفة تماماً. وفي الوقت الحالي، يظل هذا العمل نموذجاً دقيقاً وقابلاً للتكرار لكيفية تحسين الاستدلال السببي لعملية البحث عن مصدر الحادث الأمني، بشرط فهم القواعد الأساسية بوضوح.