صيد التهديدات: وضع الفرضيات والبحث عن الإشارات باستخدام الذكاء الاصطناعي

المكاسب:

• افهم كيف يبدأ البحث عن التهديدات بفرضية قابلة للاختبار، وليس إنذارًا، وكيف يساعد الذكاء الاصطناعي في توليد الفرضيات وصياغة الاستعلامات.
• القدرة على تطبيق أن الإشارة المعاكسة/النادرة التي أبرزها الذكاء الاصطناعي لا تعني تلقائيًا نية خبيثة، وأنه يجب تأكيد الفرضية بأدلة أولية.
• القدرة على التحقق من الأرقام التقنية لـ MITRE ATT&CK ومعرفات الأحداث المقدمة من الذكاء الاصطناعي مع المصدر الرسمي والتخلص من التفاصيل الفنية الملفقة

تعمل المراقبة الأمنية الكلاسيكية بمنطق "انتظر الإنذار، وانظر عندما يأتي". لكن المهاجمين الأكثر خطورة يحاولون عدم إثارة الإنذارات: فهم يستخدمون أدوات مشروعة (وهذا ما يسمى "الاستغلال" - أي إساءة استخدام الأدوات الموجودة بالفعل على النظام، مثل PowerShell، وWMI)، ويتحركون ببطء، ويتدخلون في حركة المرور العادية. ولهذا السبب وُلدت عملية البحث عن التهديدات: دون انتظار إنذار، "إذا كان هناك مهاجم لم يتم اكتشافه حاليًا في مؤسستي، فأين سيكون؟" البحث بشكل استباقي عن الآثار باستخدام السؤال: يبدأ مطاردة التهديد بفرضية، وليس بإنذار.

الذكاء الاصطناعي مفيد جدًا في مكانين في صيد التهديدات. الأول هو توليد الفرضيات: أعط تقنية للهجوم واسأل "إذا تم استخدام هذه التقنية في مؤسستي، على أي سجلات وبأي نمط ستترك أثرًا؟" يمكنك أن تسأل. والثاني هو استخراج الإشارة: يمكنه تسليط الضوء على الأشياء النادرة والغريبة و"المختلفة عن العادية" في البيانات الضخمة. لكن الذكاء الاصطناعي لا يعرف ما هو الطبيعي بالنسبة لمؤسستك وقد يقع في فخ الاعتقاد بأن الفرضية "تم إثباتها". في صيد التهديدات، يعد الذكاء الاصطناعي شريكًا للعقل وماسحًا ضوئيًا؛ يقرر الصياد (المحلل) ما إذا كانت الفريسة تجد تهديدًا حقيقيًا وما إذا كان سيتم الإبلاغ عن ذلك.

خطوات مطاردة التهديد

1. الفرضية. جملة ملموسة وقابلة للاختبار: "قد يقوم أحد المهاجمين بمسح الشبكة الداخلية خلال ساعات العمل خارج ساعات العمل باستخدام حساب مخترق." يمكنك استخدام الذكاء الاصطناعي للعصف الذهني هنا.
2. تحديد مصدر البيانات. أي سجل يثبت/ يدحض الفرضية؟ (على سبيل المثال، سجلات جدار الحماية ونظام أسماء النطاقات لفحص الشبكة، وسجلات الهوية لتصعيد الامتيازات.)
3. تصميم الاستعلام. الاستعلام الذي سيبحث عن النمط المستهدف (لغة استعلام SIEM، KQL، يشبه SQL). يساعد الذكاء الاصطناعي في صياغة الاستعلامات؛ ولكن يمكنك مراجعة الاستعلام وتشغيله.
4. استخراج النتيجة. قم بتصفية الإشارة الحقيقية من مئات الخطوط الناتجة. هنا يقوم الذكاء الاصطناعي بالتجميع والتلخيص.
5. تأكيد أو دحض. تأكد باستخدام الأدلة الأولية والسياق ما إذا كان الأثر الذي تم العثور عليه خبيثًا أم بريئًا حقًا.
6. توثيق النتيجة وتحويلها إلى قرار. تحويل النمط الفعلي الذي تم العثور عليه إلى قاعدة كشف دائمة؛ إذا فشلت الفرضية، سجل ذلك أيضًا (النتيجة السلبية هي أيضًا معلومات).

المصطلحات: TTP (التكتيكات والتقنيات والإجراءات - النمط السلوكي للمهاجم). MITRE ATT&CK هي مكتبة معدودة وموثقة لتقنيات المهاجم (على سبيل المثال T1078 "الحسابات الصالحة")؛ فهو يوفر لغة مشتركة في صيد التهديدات. IOC (مؤشر الانتهاك — عنوان IP سيئ، تجزئة، مجال). الضوضاء البيضاء (القائمة البيضاء/الجيدة المعروفة) هي سلوك طبيعي معروف بالتضحية بالفريسة.

جدول أساليب صيد التهديدات

النهج

نقطة البداية

مساهمة الذكاء الاصطناعي

انتبه

الصيد على أساس الفرضية

"إذا كان هناك مثل هذا المهاجم ..."

توليد الفرضيات، وصف النمط

الفرضية ليست دليلا

مطاردة تعتمد على اللجنة الأولمبية الدولية

مؤشر سيء معروف

مطابقة IOCs للسجلات

تضليل اللجنة الأولمبية الدولية القديمة/غير الصحيحة

الصيد القائم على TTP/ATT&CK

تقنية (رقم T)

تحويل التقنية إلى نمط السجل

تقنية ≠ نمط واحد

الصيد على أساس الشذوذ

الانحراف الإحصائي

تسليط الضوء على الخارجة

مخالف ≠ سوء النية

تحليل تردد المكدس

"ما هو أندر؟"

العثور على الحدث النادر

نادر ≠ خطير

ثلاث حالات صغيرة

الحالة 1 - العثور على النادر. قد يتساءل أحد الصيادين: "ما هي العملية التي تتم على الشبكة الداخلية والتي يتم تشغيلها على أقل عدد من أجهزة الكمبيوتر ولكنها تنشئ أكبر عدد من اتصالات الشبكة؟" يؤسس فرضيته. يسلط الذكاء الاصطناعي الضوء على نمط من بيانات اتصال العملية المجهولة: عملية تسمى svchost32.exe، تظهر على جهازين فقط، وتتصل بـ 340 عنوانًا خارجيًا مختلفًا. يفحص الصياد هذا. يعثر على برنامج ضار يحاكي ملف svchost.exe الشرعي. قام الذكاء الاصطناعي بتصفية النادر؛ قام الصياد بالتشخيص والتدخل.

الحالة 2 - المطاردة الفاشلة (لكنها ذات قيمة). تساءل أحد الصيادين "هل يمكن أن يكون هناك تنزيل جماعي للبيانات خارج ساعات العمل؟" يؤسس فرضيته؛ يقوم الذكاء الاصطناعي بكتابة مسودة الاستعلام ذات الصلة. النتيجة: تم تنزيل 3 مستخدمين ليلاً، لكن الثلاثة جميعهم موظفون في مكاتب خارجية ويعملون أثناء ساعات العمل بسبب اختلافات المنطقة الزمنية. تم دحض الفرضية. يوثق الصياد هذا على أنه "نتيجة سلبية" ويلاحظ أن هؤلاء المستخدمين الثلاثة كاستثناءات لعمليات الصيد المستقبلية. حتى المطاردة الفاشلة سمحت لنا بالتعرف على المؤسسة بشكل أفضل.

الحالة 3 - فخ تقني مفتعل. صياد يسأل الذكاء الاصطناعي "كيف أبحث عن تقنية T1055 في مؤسستي؟" يقول. يكتب الذكاء الاصطناعي استعلامًا وتأكيدًا مقنعًا بأن "T1055 ينشئ معرف الحدث التالي"؛ لكن معرف الحدث الذي قدمه خاطئ والنموذج يتكون من تقنية فرعية ATT&CK. يفتح Avcı سجل MITRE ATT&CK، ويؤكد الوصف الفني ومصادر السجل الحقيقية، ويصحح معرف الحدث غير الصحيح. الدرس المستفاد: التحقق من كل التفاصيل الفنية التي يقدمها الذكاء الاصطناعي (معرف الحدث، رقم T، حقل السجل) مع المصدر الرسمي.

موجه ضعيف / موجه قوي

حث ضعيف:

معرفة ما إذا كان هناك مهاجم على شبكتي.

هذا الادعاء خالي من الفرضيات، وخالي من البيانات، وغير محدود، ولا يمكن التحقق منه. يقوم الذكاء الاصطناعي بإنتاج قائمة عامة أو مختلقة؛ لا فائدة منه.

مطالبة قوية:

دورك: المساعد الذي يقدم الأفكار والخطوط العريضة لصائد التهديدات. لا تقرر، لا تقل "هناك تهديد". فرضيتي: "قد يقوم الحساب المخترق بفحص المنافذ الداخلية خلال ساعات عدم العمل." أنشئ ما يلي: (1) قم بإدراج مصادر السجل التي ستثبت هذه الفرضية وتبطلها، (2) قم بوصف النمط الملموس الذي سيتم البحث عنه (أي الحقول، ما هي الحدود)، (3) اكتب مسودة لاستعلام نموذجي وقم بالتعليق على كل سطر، (4) اكتب التفسيرات البريئة التي سيتم حذفها في النتيجة الناتجة. اقترح تقنية MITRE ATT&CK ذات الصلة، ولكن ضع علامة على رقم T ومعرف الحدث كـ "[يجب التحقق من MITRE]"، ولا تقم باختلاقها.

يبدأ الادعاء القوي بفرضية ملموسة، ويحدد ميزان الأدلة/التفنيد، ويوضح الاستفسار، ويترك التفاصيل الفنية للتحقق.

قوالب سريعة قابلة للنسخ

نموذج إنشاء الفرضية لمؤسستي [الكيان: على سبيل المثال قم بإنشاء فرضيات قابلة للاختبار لصيد التهديدات في سياق [Active Directory / cloud / endpoint]5. لكل فرضية: (1) سلوك المهاجم الذي يستهدفه، (2) مصدر السجل الذي سيوفر الدليل/الدحض، (3) النمط المتوقع. اصنع جملًا قابلة للاختبار، وليس جملًا عامة.

نمط نمط التقنية سأبحث عن أسلوب الهجوم التالي في مؤسستي [اسم التقنية]. إنشاء: (1) مناطق السجل التي تترك فيها التقنية بصماتها عادةً، (2) أنماط وعتبات ملموسة يجب البحث عنها، (3) مواقف بريئة (إيجابية كاذبة) يمكن أن تؤدي إلى هذا النمط. تقديم رقم T ذي الصلة بـ MITRE ATT&CK ولكن مع علامة "[يجب التحقق من MITRE]"؛ لا تعطي معرف/رقم الحدث الملفق.

قالب مسودة الاستعلاماكتب مسودة استعلام [SIEM/KQL/SQL] تبحث عن النمط التالي: [وصف النمط]. قم بالتعليق على كل سطر، واشرح الحقل الذي تقوم بتصفيته ولماذا، وقم بوضع علامة على مخاطر الأداء. سأقوم بمراجعة الاستعلام وتشغيله؛ لا تفترض أنك سوف تقوم بتشغيله. اترك أسماء الحقول مميزة بـ "[تصحيح المخطط]" وفقًا للمخطط الذي أعرفه.

نتيجة إزالة القالب أسفرت نتيجة بحثي عن الأسطر التالية (مجهول): [لصق]. قم بتجميعها، واكتب لكل مجموعة (1) سيناريو خبيث، (2) تفسيرين بريئين على الأقل، و (3) أدلة إضافية للبحث عنها للتمييز. صناعة القرار؛ لا تدعني أفصل بينكما. ضع علامة "[لا أساس]" على الادعاء الذي ليس له دليل.

الأخطاء الشائعة

• الصيد دون فرضيات. إن قول "اعثر على شيء ما" يدفع الذكاء الاصطناعي إلى التخمين والاختلاق؛ تبدأ عملية البحث بجملة ملموسة وقابلة للاختبار.
• الخلط بين الفرضية والأدلة. الصيد يختبر الاحتمال. الأثر الذي تم العثور عليه لا يشكل "تهديدًا" حتى يتم تأكيده بالأدلة الأولية.
• تلقائياً اعتبار العكس أمراً سيئاً. نادر/الغريب غالبا ما يكون بريئا (الصيانة، البرامج الجديدة، وظيفة لمرة واحدة)؛ غربل مع السياق.
• عدم التحقق من التفاصيل الفنية. يمكن للذكاء الاصطناعي مطابقة معرف الحدث ورقم T وحقل السجل؛ قم بالتأكيد باستخدام MITRE ATT&CK ووثائق المنتج.
• رمي المصيد الضائع. والنتيجة السلبية هي أيضًا المعرفة: التعرف على المنظمة بشكل أفضل، مما يقلل من الإيجابيات الكاذبة المستقبلية؛ وثيقة.

نصيحة: يجب أن تكون فرضية البحث عن التهديدات الجيدة "قابلة للاختبار": ادعاء ملموس قد يتبين أنه صحيح أو خاطئ. "هل هناك أي شيء سيء في شبكتي؟" لا يمكن اختبارها؛ "هل اتصل الحساب X بأكثر من 50 عنوان IP داخلي خلال ساعات عدم العمل؟" يمكن اختبارها.

انتبه: يتم إجراء عملية البحث عن التهديدات فقط على الأنظمة المصرح لك بالقيام بها. إن مطالبة الذكاء الاصطناعي "بالتحقيق" مع منظمة أخرى أو شخص أو شبكة ليس لديك إذن بها هي محاولة للحصول على وصول غير مصرح به وهي خارج هذه الوحدة.

في ملخص

إن صيد التهديدات هو البحث بشكل استباقي عن آثار المهاجم المخفي دون انتظار إنذار، ويبدأ بفرضية وليس إنذار. يقدم الذكاء الاصطناعي مساهمتين قويتين في هذه العملية: إنشاء فرضيات ومسودات استعلام قابلة للاختبار، وتصفية الإشارات النادرة/المتطرفة من البيانات الضخمة. لكن الذكاء الاصطناعي لا يعرف ما هو الطبيعي بالنسبة لمؤسستك، فمن الممكن أن يختلق تفاصيل فنية ويقع في فخ الخلط بين الفرضية والأدلة. لذا فإن الصيد يتكون من ست خطوات (الفرضية، البيانات، الاستعلام، الاستخراج، التحقق، التوثيق) وفي كل خطوة يعود القرار للصياد. مناقضة ≠ سيئة، فرضية ≠ دليل، تفاصيل فنية مقدمة من الذكاء الاصطناعي ≠ صحيحة؛ تم تأكيد كل ذلك بالأدلة الأولية وMITRE ATT&CK.

مهمة التطبيق

احصل على 5 فرضيات لصيد التهديدات من الذكاء الاصطناعي باستخدام قالب "إنشاء الفرضية" لمؤسستك الخاصة (أو نموذج بيئة). اختر الأكثر قابلية للاختبار، وقم بصياغة استعلام باستخدام قوالب "Pattern Technique" و"Query Draft"، وتحقق من صحة كل صف في الاستعلام وكل رقم T مقترح في MITRE ATT&CK. اكتب النتيجة (هل تم تأكيد الفرضية أم دحضها، وماذا تعلمت) في مذكرة بحث قصيرة.

قائمة مرجعية

• [ ] لقد بدأت بحثي بفرضية ملموسة وقابلة للاختبار.
• [ ] لقد حددت مصادر السجل التي من شأنها إثبات الفرضية ودحضها.
• [ ] لقد قمت بمراجعة كل سطر في مسودة الاستعلام وقمت بتكييفه مع مخططي الخاص.
• [ ] لقد قمت بالتحقق من تقنية MITRE ATT&CK ومعرفات الأحداث المقترحة مع المصدر الرسمي.
• [ ] لقد أكدت كل إشارة بالأدلة الأولية والسياق؛ ولم أعتبر العكس أمرًا سيئًا تلقائيًا.
• [ ] وقمت أيضاً بتوثيق الفرضية التي فشلت (النتيجة السلبية هي المعلومات).
• [ ] لقد قمت بالصيد فقط على الأنظمة المصرح لي بصيدها.