قواعد الكشف عن الثغرات الأمنية في يوم الصفر التي لا يمكن للذكاء الاصطناعي إعادة صياغتها

تعيش صناعة الأمن السيبراني في حالة استجابة دائمة. فكل ربع سنة يجلب معه فئة جديدة من التهديدات، وتقنية جديدة للالتفاف على الأنظمة، واختصارًا جديدًا يوعد بإعادة تعريف مفهوم الدفاع. وهذا يخلق معضلةً أمام مديري الأمن السيبراني (CISO) ومديري التكنولوجيا (CTO) المسؤولين عن اتخاذ قرارات البنية التحتية ذات الأفق الطويل: حيث يجب أن تظل استراتيجيات الكشف صالحة لمدة تتراوح بين خمس إلى عشر سنوات، حتى مع تغير مشهد التهديدات كل بضعة أشهر. لذا، فإن الدفاعات متعددة الطبقات أمر ضروري. والسؤال المطروح هو: ما الذي يجب أن ترتكز عليه هذه الطبقات حتى تصمد مع تطور التهديدات؟

إن بناء هذه الاستراتيجية المستدامة يعني النظر إلى ما وراء التغيرات التي تطرأ على مشهد التهديدات، وتحديد العناصر الثابتة التي لا تتغير: وهي القيود الأساسية التي تستمر في تشكيل سلوك التهديدات بغض النظر عن كيفية أدوات . توفر هذه العناصر الثابتة أساسًا متينًا تستند إليه الدفاعات متعددة الطبقات، بحيث تظل بنية الكشف فعالة مع تغير التهديدات والتقنيات المحددة. في هذا المنشور، نركز على ثلاثة من هذه العناصر الثابتة نظرًا لتأثيرها المباشر الأكبر على الطريقة التي يجب بها بناء مسارات الكشف الحديثة.

الدفاع الثابت مجرد وهم مؤقت. فالمهاجمون يقومون بعملية عكس هندسة منطق الكشف، ويتبادلون تقنيات التهرب، ويكررون محاولاتهم باستمرار. وبمجرد نشر أي تقنية دفاعية وتركها دون تغيير، لا تظل أي منها فعالة لفترة طويلة في مواجهة خصم مصمم على التغلب عليها. وقد ظل هذا الأمر ساريًا منذ نشر أول بيئة اختبار (ساندبوكس)، كما أن البرامج الضارة التي يُنتجها الذكاء الاصطناعي لا تؤدي إلا إلى تسريع هذه الدورة.

والنتيجة العملية هي أن البرامج الضارة المُراوغة لا تحتاج إلى التغلب على كل طبقات الكشف. بل يكفيها التغلب على الطبقة التي تعتمد عليها. وأصبح من الممكن الآن إنتاج المتغيرات بسرعة أكبر، واختبارها في مواجهة الضوابط الدفاعية، وصقلها في دورات متتالية. وما كان يستغرق أسابيع من التطوير في الماضي، أصبح الآن ممكنًا في دورات تُقاس بالساعات.

في بيئات OT، تتفاقم مشكلة التكييف. فدورات إصدار التصحيحات طويلة، وغالبًا ما تكون الأنظمة خاضعة لسيطرة الموردين، وتصل البرامج عبر تحديثات البرامج الثابتة وحزم الموردين أدوات الميدانية أدوات يصعب استبدالها. وتصبح تلك الملفات نفسها آليات توزيع مثالية لأنها متوقعة وموثوق بها ويصعب فحصها دون تعطيل العمليات.

يمكن تنقية بعض هذه الملفات، في حين يتعذر تنقية البعض الآخر. فالملفات القابلة للتنفيذ وصور البرامج الثابتة وملفات التصحيح يجب أن تعمل على النحو المقصود، مما يحد من المجالات التي يمكن فيها تطبيق عمليات إزالة التهديدات وإعادة البناء. وهذا يترك مجموعة أضيق من طرق الفحص القابلة للتطبيق، وغالبًا ما يصبح الفحص الثابت هو الإجراء الافتراضي في العديد من هذه البيئات، على الرغم من أنه يمثل السطح الذي تعلم المهاجمون كيفية التحايل عليه.

لا يوجد محرك كشف واحد قادر على تحقيق النتائج المثلى بمفرده. ولا يُعد هذا قيدًا يقتصر على تقنية معينة، بل هو خاصية إحصائية تنشأ عن الجمع بين مصنفات مستقلة. فعندما تقوم محركات متعددة بتقييم الملف نفسه باستخدام أساليب مختلفة، لا تتراكم معدلات الخطأ الخاصة بها بطريقة خطية، بل تتعاضد، مما ينتج عنه قدرة كشف مجمعة تتفوق باستمرار على أي محرك بمفرده، بغض النظر عن مدى تقدمه.

النتيجة واضحة، حتى لو كانت غير مريحة. فالبرامج الضارة المراوغة لا تحتاج إلى التغلب على كل آلية حماية ممكنة، بل يكفيها التغلب على الآلية التي تعتمد عليها أكثر من غيرها. فالملف الذي يتجاوز فحوصات السمعة لكنه يثير مؤشرات سلوكية، أو يتجنب الكشف عن التوقيعات لكنه يُظهر تشابهاً غير عادي مع عائلة معروفة من البرامج الضارة، يُكتشف في مسار متعدد الطبقات. أما في النموذج أحادي المحرك، فيستمر في التقدم.

تستخدم معظم البيئات بالفعل أدوات متعددة، لكن الإشارات التي تولدها غالبًا ما تكون غير مترابطة. فهناك نظام يُصنف ملفًا ما على أنه مشبوه، وآخر يعتبره سليمًا، وثالث يُنتج مؤشرات تتطلب تفسيرًا يدويًا. وبذلك يقع عبء الربط بين هذه العناصر على عاتق المحلل.

وهذا يؤدي إلى ظهور حالتين متسقتين من حالات الفشل:

1. يتم التهرب بنجاح وبهدوء عندما يتجاوز التهديد آلية المراقبة الأولية ولا يؤدي أبدًا إلى إجراء فحص أعمق

1. يزداد حجم التنبيهات عندما تؤدي الإشارات المتداخلة أو المتضاربة إلى حدوث تشويش يفتقر إلى الوضوح

وعلى نطاق واسع، لا يمكن لأي من هذين السيناريوهين أن يستمر. ففي البيئات عالية الإنتاجية، إما أن يفوت الكشف عن الأمور المهمة، أو أن يثقل كاهل الفريق المسؤول عن الاستجابة.

يعالج MetaDefender هذه المشكلة من خلال تنظيم عملية الكشف على شكل مسار موحد بدلاً من مجموعة من الفحوصات المستقلة. تقوم كل طبقة بتقييم الملف نفسه من منظور مختلف، ثم يتم دمج النتائج في نتيجة واحدة مترابطة.

مسار الكشف عن "MetaDefender ومساهمة الإشارات

تجيب كل طبقة على سؤال مختلف. تتناول "السمعة" ما هو معروف بالفعل، بينما يكشف "التحليل الديناميكي" ما هو غير معروف. ويوفر "تقييم المخاطر" السياق، في حين يربط "البحث عن التهديدات" بين الأحداث المنفصلة ليشكلها في شكل معلومات قابلة للتنفيذ. والنتيجة النهائية هي قرار واحد يستند إلى جميع الأدلة المتاحة، وليس أربعة نتائج منفصلة. وعبر الطبقات الأربع جميعها، يحقق مسار العمل كفاءة في الكشف عن هجمات "اليوم صفر" بنسبة 99.9%.

قامت مؤسسة مالية عالمية، تعالج ما يقرب من 1000 رسالة بريد إلكتروني مشبوهة يوميًا، بإجراء تحليل ديناميكي داخل مركز عمليات الأمن (SOC) من خلال بيئة اختبار (sandbox) قائمة على آلة افتراضية ومتكاملة مع أنظمة الأتمتة SOAR. كان النظام يعمل بشكل جيد إلى أن زاد حجم الرسائل. فازدادت Sandbox ، وأجبرت الحوادث ذات الأولوية العالية على التدخل اليدوي، وأصبحت الأتمتة عائقًا بدلاً من أن تكون عاملًا مضاعفًا للقوة.

من خلال نشر MetaDefender على مستوى الشبكة الخارجية، قامت المؤسسة بنقل عملية دمج الإشارات إلى مرحلة مبكرة. وأصبح يتم تحليل الملفات قبل تسليمها بدلاً من بعد تنفيذها على أجهزة المستخدمين. وقد تم التخلص من الاختناقات في قوائم الانتظار، وانخفض وقت التحليل من دقائق إلى ثوانٍ، واستعاد مركز العمليات الأمنية (SOC) قدرته على التركيز على التحقيقات بدلاً من إدارة الأعمال المتراكمة.

هناك فرق جوهري بين نظام الكشف الذي يعتمد على موجزات التهديدات الخارجية ونظام الكشف الذي ينتج معلوماته الاستخباراتية بنفسه. فالكشف القائم على الموجزات يواجه حاجزًا هيكليًا: فهو لا يستطيع سوى تحديد ما سبق أن اكتشفه شخص آخر ووثّقه وشاركه. أما التهديدات الجديدة، والمتغيرات المعدلة، والهجمات الموجهة المصممة لتفادي البنية التحتية العامة للكشف، فتقع خارج نطاق هذا الحاجز.

التحليل الديناميكي يغير هذا الوضع. فعندما يتم تنفيذ ملف ما من خلال الفحص القائم على المحاكاة، لا تقتصر النتيجة على مجرد حكم نهائي، بل تنتج مؤشرات سلوكية ونشاطًا شبكيًا وبيانات تكوين وآثار التنفيذ. وتصبح هذه المعلومات بمثابة معلومات استخباراتية مباشرة تتيح إجراء عمليات البحث الرجعي وتجميع المتغيرات والحجب الاستباقي استنادًا إلى السلوك الملحوظ، بدلاً من المؤشرات المبلغ عنها.

في مجالات البنية التحتية الحيوية الخدمات المالية والدفاع، لا يُعد وجود أدلة قابلة للتحقق مجرد تفضيل على مستوى البنية التحتية، بل هو مطلب تشغيلي مرتبط بالامتثال وإمكانية التدقيق.

تتزايد توقعات الأطر التنظيمية بإجراء تحليلات قابلة للتحقق بشأن التهديدات المجهولة، وليس مجرد التحقق القائم على قواعد البيانات. فالحكم الثنائي الذي يفتقر إلى الأدلة الداعمة لا يصمد أمام التدقيق أو التحقيق. ويجب أن تكون أنظمة الكشف قادرة على توضيح كيفية تصرف الملف، والمؤشرات التي تم استخلاصها، وكيفية التوصل إلى القرار.

ويؤدي ذلك أيضًا إلى تغيير الطريقة التي تفهم بها المؤسسات المخاطر التي تواجهها. فالبيئة التي تولد معلوماتها الاستخباراتية بنفسها تُشكّل رؤية محلية لأنشطة التهديدات بمرور الوقت. وتظهر أنماط متكررة عبر الحملات، وإعادة استخدام البنية التحتية، وأنماط السلوك المتكررة التي تستهدف مسارات عمل محددة. وتوفر المصادر الخارجية، إلى جانب المعلومات الاستخباراتية المُنتجة داخليًّا، عمقًا أكبر في التحليل.

يقوم MetaDefender بتوليد المعلومات الاستخباراتية كجزء من مسار الكشف الخاص به. ويُنتج كل ملف يتم تحليله من خلال التحليل الديناميكي القائم على المحاكاة مؤشرات سلوكية، وعناصر مستخرجة، وإشارات مترابطة يتم إعادة تغذيتها إلى النظام. وبذلك يصبح الكشف عملية تعلم مستمرة بدلاً من أن يكون قراراً يُتخذ لمرة واحدة.

ولا تظل هذه المعلومات الاستخباراتية معزولة. بل يتم إدخالها في نظام الذكاء الاصطناعي التنبئي «Predictive Alin AI»، حيث تُستخدم الثغرات الأمنية «صفر يوم» التي تم تأكيدها في بيئة الاختبار لإعادة تدريب نماذج الكشف قبل التنفيذ. فكل تهديد يتم تأكيده يعزز قدرة النظام على التعرف على الأنماط المماثلة في وقت أبكر، قبل أن يتم التنفيذ. وهذا يخلق حلقة تغذية مرتدة بين التحليل المتعمق والتنبؤ السريع.

تُظهر إحدى الوكالات الحكومية الوطنية المسؤولة عن حماية الأنظمة الحساسة وبيانات المواطنين الفرق في الأداء العملي. فقد كانت بيئة الاختبار السابقة التي تستخدمها تُصدر تقارير مفصلة، لكنها كانت تُجبر المحللين على تفسير الإشارات السلوكية المتفرقة يدويًّا، مما أدى إلى تآكل الثقة في قدرتها على كشف الثغرات الأمنية في يومها الأول، حيث كانت العينات المُراوغة تتسلل عبرها.

بعد نشر MetaDefender تحولت تقنية "الصندوق الرملي" من مجرد أداة مستقلة لإعداد التقارير إلى مسار كشف موحد يقدم تقييمًا واحدًا لكل ملف، مدعومًا بأدلة سلوكية منظمة وتقييم لمستوى التهديد. وكان هذا هو النوع من المعلومات الاستخباراتية التي تمكنت الوكالة أخيرًا من الاستفادة منها بشكل مباشر.