تقنيات التعلم الآلي المطبقة على الأمن السيبراني للكمبيوتر

يُسمع الكثير عن الذكاء الاصطناعي، وخاصةً أحد أبرز فروعه، مثل "التعلم الآلي". إلا أن الذكاء الاصطناعي ليس جديدًا؛ فقد وُجد معنا منذ أواخر الخمسينيات عندما اجتمع العلماء في دارتمود وصاغوا المصطلح عام ١٩٥٦. واليوم، امتد تأثيره إلى قطاعات ومجالات متعددة، منها: قطاع السيارات، والطاقة، والصناعة، والقطاع المصرفي، والصحة، والدفاع السيبراني، والأمن السيبراني.

يتألف التعلم الآلي من إنشاء نماذج أو خوارزميات لتحليل البيانات، والتعلم منها، والتنبؤ بسلوكها المحتمل في الوقت المناسب أو في المواقف المتوقعة. ولهذه الأسباب، لم يكن قطاع الأمن السيبراني بمنأى عن نمو ونشر وتطبيق تقنيات تحسين أمن الحاسوب، باستخدام نماذج وتقنيات التعلم الآلي، مما يسمح باستجابة أكثر ملاءمة تتماشى مع المتطلبات الحالية. تُحسّن هذه الممارسات وتُمكّن من تحليل التهديدات، وتُعد أكثر فعالية في إيقاف أو منع الحوادث الأمنية. حاليًا، نجد العديد من تطبيقات الذكاء الاصطناعي، من خلال التعلم الآلي، في مجال الأمن السيبراني للحاسوب، من بينها: الكشف عن احتيال البطاقات المصرفية، وكشف التسلل، وتصنيف البرامج الضارة، والكشف عن هجمات رفض الخدمة، على سبيل المثال. اذكر بعضًا منها.

لا شك أن ظهور الإنترنت قد حقق العديد من المزايا والتحسينات في ظروف معيشة الكثيرين. على سبيل المثال، يُعدّ العمل عن بُعد والتعليم الافتراضي مجالين أو قطاعين استفادا من الأدوات والمنصات المتاحة للعمل أو الدراسة من المنزل دون الانغماس في مشاكل النقل وانعدام الأمن المتواصلة في مدننا الكبرى.

التعلم الآلي والتجارة الإلكترونية

من المؤكد أن التجارة الإلكترونية قد استفادت من تطور الإنترنت وانتشاره الواسع. فقد انغمست الشركات في الحاجة إلى ابتكار استراتيجيات إعلامية وتواصلية جديدة مع عملائها، مما يتيح لها تحقيق حجم المبيعات اللازم لتحسين الأرباح. ولأسباب كهذه، تُعد التجارة الإلكترونية أداةً قيّمةً لقسم المبيعات في الشركات. ولكن، من ناحية أخرى، وكما ازدادت فوائد ومزايا استخدام الإنترنت في العديد من الأدوات والمنصات ومواقع الاستشارات والبوابات المالية والمصرفية، فقد ازدادت أيضًا المخاطر والتهديدات واحتمالات الاختراقات من قِبل أشخاص عديمي الضمير وذوي النوايا السيئة.

لقد أدى التوسع والتطور المتسارع في مجال الاتصالات، وانتشار الأجهزة المحمولة والذكية، والتقدم في التقنيات مثل إنترنت الأشياء (IoT) إلى زيادة أهميتها وتعقيدها؛ وهنا يقف علم البيانات مع خيار لتحسين آليات تحليل المتطلبات في أنظمة الكمبيوتر وتوليد خيار أفضل ضد أنواع مختلفة من المخاطر الأمنية الموجودة اليوم.

من ناحية أخرى، تتزايد وتيرة الهجمات والاختراقات لأنظمة الحاسوب ومواقع الويب والتطبيقات، مما يجعل استخدام آليات مستقلة لمنع تلف المعلومات أو فقدانها أمرًا ضروريًا. يُعدّ أمن بيانات الأعمال والبيانات الشخصية والتطبيقات بالغة الأهمية جوانب يجب على المؤسسات تجنبها بأي ثمن، خاصةً إذا كانت معرضة للخطر. وهنا يأتي دور التطور والتحسين المستمرين في تقنيات التعلم الآلي، إذ تأخذ هذه التقنيات البيانات التاريخية أو الحالية في الاعتبار، بهدف التنبؤ أو وضع توقعات لمجموعة معينة من البيانات، أو لفترات زمنية محددة، لتحديد أوجه التشابه فيما يتعلق بأنماط أو خصائص السلوك.

يجب الأخذ في الاعتبار أنه بفضل التعلم الآلي، يستطيع نظام الحاسوب تحديد السلوكيات الغريبة والمواقف الشاذة في كميات هائلة من البيانات، والتي تُعرف بالأنماط. يكتشف التعلم الآلي المواقف غير العادية التي تحاول اختراق شبكة النظام. يمكننا إيجاد حلين محتملين: نظام كشف التسلل الاستدلالي ونظام كشف التسلل القائم على القواعد.

أنظمة الكشف عن المعرفات الاستدلالية

نظام كشف التسلل (IDS) هو نظام كشف التسلل، المسؤول عن مراقبة حركة المرور الواردة والمميزة لموقع الويب وتسجيل سلوكها. يتيح هذا النظام مراقبةً تكشف عن الأنشطة المشبوهة وتُصدر تنبيهات عند اكتشافها. بناءً على هذه التنبيهات، يمكن لمحلل مركز عمليات الأمن (SOC) أو المستجيب للحوادث التحقيق في المشكلة واتخاذ الإجراءات المناسبة لمعالجة التهديد. صُممت أنظمة كشف التسلل (IDS) للاستخدام في بيئات مختلفة. وكما هو الحال مع العديد من حلول الأمن السيبراني، يمكن أن تكون أنظمة كشف التسلل (IDS) قائمة على المضيف أو قائمة على الشبكة. الآن، لنتعرف أكثر على الأنواع المختلفة لأنظمة كشف التسلل (IDS).

نظام اكتشاف التسلل المستند إلى المضيف (HIDS): يُنشر نظام كشف التسلل عالي النقاء (HIDS) على نقطة نهاية مُحددة مُصممة للحماية من التهديدات الداخلية والخارجية. قد يكون هذا النوع من أنظمة كشف التسلل قادرًا على مراقبة حركة مرور الشبكة الواردة والصادرة من جهاز الكمبيوتر، ومراقبة العمليات الجارية، وفحص سجلات النظام. تقتصر رؤية نظام كشف التسلل عالي النقاء على جهاز الكمبيوتر المُضيف، مما يُقلل من سياق اتخاذ القرارات. مع ذلك، يتمتع برؤية مُعمّقة للمكونات الداخلية لجهاز الكمبيوتر المُضيف.

أنظمة الكشف عن التسلل القائمة على الشبكة (NIDS): صُمم نظام كشف التهديدات الوطنية (NIDS) لمراقبة شبكة محمية بالكامل. يتمتع النظام برؤية شاملة لجميع حركة البيانات المتدفقة عبر الشبكة، ويتخذ قراراته بناءً على البيانات الوصفية ومحتويات الحزم. يوفر هذا المنظور الأوسع سياقًا أوسع وقدرة على اكتشاف التهديدات الشاملة. ومع ذلك، تفتقر هذه الأنظمة إلى رؤية شاملة للمكونات الداخلية لنقاط النهاية التي تحميها. يُنصح باستخدام حل موحد لإدارة التهديدات، يدمج التقنيات في نظام واحد لتوفير أمان أكثر شمولاً. نظرًا لاختلاف مستويات الرؤية، فإن تطبيق نظام كشف التهديدات الوطنية (HIDS) أو نظام كشف التهديدات الوطنية (NIDS) معزول يوفر حماية غير كاملة لنظام التهديدات في المؤسسة.

طرق الكشف عن IDS

تختلف حلول IDS في الطريقة التي تحدد بها عمليات الاختراق المحتملة:

كشف التوقيع – تستخدم حلول أنظمة كشف التسلل القائمة على التوقيعات بصمات التهديدات الإلكترونية المعروفة لتحديدها. بمجرد تحديد البرامج الضارة أو أي محتوى ضار آخر، يُولّد توقيع ويُضاف إلى القائمة التي يستخدمها نظام كشف التسلل لفحص المحتوى الوارد. يتيح هذا لنظام كشف التسلل تحقيق معدل كشف عالٍ للتهديدات دون نتائج إيجابية خاطئة، حيث تُولّد جميع التنبيهات بناءً على اكتشاف محتوى ضار معروف. ومع ذلك، يقتصر نظام كشف التسلل القائم على التوقيعات على اكتشاف التهديدات الإلكترونية المعروفة، وليس على اكتشاف الثغرات الأمنية.

اكتشاف الشذوذ – تُنشئ حلول أنظمة كشف التسلل القائمة على الشذوذ نموذجًا للسلوك "الطبيعي" للنظام المحمي. ويُراجع هذا النموذج جميع السلوكيات المستقبلية، وتُصنف أي شذوذات كتهديدات إلكترونية محتملة وتُطلق تنبيهات. على الرغم من أن هذا النهج قادر على اكتشاف التهديدات الإلكترونية الجديدة، إلا أن صعوبة إنشاء نموذج دقيق للسلوك "الطبيعي" تعني أن هذه الأنظمة يجب أن تُوازن بين النتائج الإيجابية الخاطئة والنتائج السلبية الخاطئة.

الكشف الهجين – يستخدم نظام كشف التسلل الهجين كلاً من الكشف القائم على التوقيع والكشف القائم على الشذوذ. هذا يسمح له باكتشاف عدد أكبر من الهجمات المحتملة بمعدل خطأ أقل مقارنةً باستخدام أيٍّ من النظامين بشكل منفصل.

أنظمة الكشف عن التسلل وجدران الحماية

أنظمة كشف التسلل وجدران الحماية هي حلول للأمن السيبراني يمكن تطبيقها لحماية نقطة النهاية أو الشبكة. ومع ذلك، تختلف أغراضها اختلافًا كبيرًا. نظام كشف التسلل هو جهاز مراقبة سلبي يكتشف التهديدات السيبرانية المحتملة ويُصدر تنبيهات، مما يسمح للمحللين في مركز عمليات الأمن للاستجابة للحوادث بالتحقيق في الحادث المحتمل والاستجابة له. ومع ذلك، فهو لا يوفر حماية مطلقة لنقطة النهاية أو الشبكة. من ناحية أخرى، صُمم جدار الحماية ليكون بمثابة نظام حماية يُحلل البيانات الوصفية لحزم الشبكة، ويسمح بحركة المرور أو يحظرها بناءً على قواعد محددة مسبقًا، مما يضع حدًا لا يمكن لأنواع معينة من حركة المرور أو البروتوكولات تجاوزه.

بمعنى آخر، جدار الحماية هو جهاز حماية فعال، أشبه بنظام منع التطفل (IPS). يشبه نظام منع التطفل نظام كشف التسلل (IDS)، إلا أنه يحجب التهديدات الإلكترونية المُحددة بفعالية بدلاً من مجرد إصدار تنبيه. يُكمل نظام كشف التسلل وظيفة جدار الحماية، والعديد من جدران الحماية من الجيل التالي (NGFWs) مُدمجة في نظام كشف التسلل/نظام منع التطفل، مما يسمح بتطبيق قواعد تصفية مُحددة مسبقًا واكتشاف التهديدات الإلكترونية الأكثر تعقيدًا (IDS/IPS) والاستجابة لها.

أنظمة الكشف عن المتسللين القائمة على القواعد

هو الحل الذي يبدأ بمطابقة الأنماط، بحيث يتمكن النظام من اكتشافها تلقائيًا وإطلاق تحذير. من الأمثلة على ذلك Snort، وSuricata، وOssec، وSamhain، وBro، وKismet. جميع هذه الأنظمة مبنية على قواعد يجب تهيئتها مسبقًا للعمل تلقائيًا ودون إشراف. من المهم أيضًا تذكر أن فعاليتها تعتمد على تحديث قواعد بياناتها المتعلقة بالتهديدات المعروفة.

كيفية اختيار حل IDS؟

يُعد نظام كشف التسلل (IDS) مكونًا أساسيًا في تطبيق الأمن السيبراني لأي مؤسسة. يوفر جدار الحماية البسيط أساسًا لأمن الشبكة، ولكن العديد من التهديدات السيبرانية المتقدمة قد تمر دون أن تُلاحظ. يُضيف نظام كشف التسلل (IDS) خط دفاع سيبراني إضافي، مما يُصعّب على المهاجمين الوصول إلى شبكة المؤسسة دون أن يُكتشفوا.

عند اختيار نظام كشف التسلل (IDS)، من المهم مراعاة سيناريو النشر. في بعض الحالات، قد يكون نظام كشف التسلل هو الخيار الأمثل، بينما في حالات أخرى، قد تكون الحماية المدمجة لنظام منع التسلل (IPS) خيارًا أفضل. يوفر جدار الحماية من الجيل التالي (NGFW) المزود بوظائف IDS/IPS المدمجة حلاً متكاملاً، ويُبسط اكتشاف التهديدات السيبرانية وإدارة الأمن.

ختاماً

لا تتوقف الهجمات الإلكترونية، ويتعين على الشركات تطبيق تدابير أمنية متنوعة لضمان سلامة المعلومات وتوافرها، وضمان حسن سير العمل في النظام بأكمله. ومن بين هذه التدابير الأمنية التي يمكن اعتمادها، نظام كشف التسلل. وفي كثير من الأحيان، نجد بين أدوات الأمن التي تستخدمها الشركة أنظمة مختلطة تجمع بين نظام كشف التسلل وجدار الحماية.

في حين يقوم كلا النظامين بمراقبة وتحليل الشبكة والأجهزة بحثًا عن التهديدات السيبرانية الشاذة، فإن الاختلاف الرئيسي بين نظام الكشف عن التسلل ونظام منع التسلل هو أن الأخير يمكنه منع الهجمات لأنه يلعب دورًا وقائيًا واستباقيًا.

فيما يتعلق بجدار الحماية، فهو يحظر جميع حركات المرور، ويصفّي فقط حركة المرور أو حزم البيانات المسموح بها في تكوينه. أما نظام كشف التسلل (IDS) فيقوم بالعكس؛ إذ يسمح بمرور جميع حركات المرور، ويفحصها بحثًا عن البيانات أو الأنشطة الضارة. لذلك، يجب أن يعمل نظام كشف التسلل وجدار الحماية معًا، حيث يقوم الثاني بتصفية حركة المرور المسموح بها، بينما يقوم الأول بتحليلها بحثًا عن أي تهديدات أو شذوذ.