ثغرات اكتشاف تهديدات الذكاء الاصطناعي

عرضت منصة الكشف عن التهديدات المدعومة بالذكاء الاصطناعي لدى مورّد خدمات تقنية لوحة معلومات للتغطية تُظهر حالة المراقبة عبر البيئة التقنية للمورّد: طبقات الشبكة ونقاط النهاية والسحابة والتطبيقات والهوية. وظهرت كل فئة تغطية باللون الأخضر، دلالةً على وجود مراقبة نشطة وتغطية فعّالة للكشف. وكان فريق الأمن لدى المورّد قد أعدّ لوحة المعلومات عند نشر المنتج قبل ستة أشهر، وكانت مؤشرات التغطية تعكس فئات التهديدات وأنواع التقنيات التي أُدرجت في الإعداد الأولي. وبعد ثلاثة أشهر من النشر، بدأت مجموعة من الجهات الفاعلة في التهديد تستهدف شركات الخدمات التقنية باستخدام تقنية جديدة للحركة الجانبية، إذ تسيء استخدام API في إحدى الخدمات السحابية الأصلية لتنفيذ حركة جانبية خفية بطرق لا تطابق أيًّا من توقيعات الكشف أو النماذج السلوكية المُعدّة مسبقًا في منتج الذكاء الاصطناعي. وتلقّى فريق استخبارات التهديدات لدى المورّد نشرة تحذيرية من ISAC بشأن هذه التقنية بعد أربعة أسابيع من بدء المجموعة في استخدامها. وجرى الإقرار بالنشرة، لكنها لم تؤدِّ إلى تحديث إعدادات الكشف في منتج الذكاء الاصطناعي. وظلت لوحة المعلومات تُظهر اللون الأخضر لجميع الفئات المُعدّة. ولم تكن التقنية الجديدة ضمن أي فئة مُعدّة، فلم تظهر على لوحة المعلومات إطلاقًا. لم تكن لوحة المعلومات الخضراء بالكامل دليلًا على كشف جميع التقنيات، بل كانت دليلًا على أن جميع فئات الكشف المُعدّة تُنتج نتائج ضمن المعايير المتوقعة. أما الفئات غير المُعدّة، ومنها التقنية الجديدة التي كانت تُستغل فعليًا، فكانت غائبة ببساطة.

ما فجوات الكشف عن التهديدات بالذكاء الاصطناعي في حقيقتها؟

فجوات الكشف عن التهديدات بالذكاء الاصطناعي هي فئات التقنيات وأنماط الهجوم وسلوكيات الجهات الفاعلة في التهديد التي لا تكشفها منصة مراقبة أمنية مدعومة بالذكاء الاصطناعي، إما لأن تغطية الكشف لتلك الفئات لم تُعَدّ قط، أو لأن بيانات تدريب الذكاء الاصطناعي لم تتضمن أمثلة تمثيلية لتلك التقنيات، أو لأن التقنيات مصممة خصيصًا لتجنب منطق الكشف في الذكاء الاصطناعي. وتُخفي تصميماتُ لوحات المعلومات التي تعرض حالة التغطية للفئات المُعدّة فقط فجواتِ كشف التهديدات بصورة منهجية، فتوحي بتغطية شاملة بينما تلتزم لوحة المعلومات في الواقع الصمت إزاء التقنيات غير المُعدّة.

تمثل مشكلة اكتمال الإعداد الآلية الرئيسية لنشوء الفجوات. فمنصات الكشف عن التهديدات بالذكاء الاصطناعي تتطلب إعدادًا: إذ يجب تعريف قواعد الكشف والنماذج السلوكية وتغطية المراقبة وتفعيلها لكل فئة تقنيات يُراد من المنصة مراقبتها. وتعرض لوحات معلومات التغطية حالة الفئات المُعدّة، ولا تعرض ما لم يُعَدّ. وقد تُظهر لوحة المعلومات اللون الأخضر في جميع الفئات المعروضة، بينما تخلو في الوقت نفسه من أي إعداد لفئات تقنيات تُستغل فعليًا، فهذه الفئات لا تظهر باللون الأحمر أو الكهرماني على لوحة المعلومات، بل تغيب ببساطة.

تمثل مشكلة تطور مشهد التهديدات البُعد الزمني. فإعدادات المراقبة الأمنية الدقيقة عند النشر تصبح أقل اكتمالًا تدريجيًا مع تطور مشهد التهديدات: إذ تظهر تقنيات جديدة، وتُعدَّل التقنيات القائمة للتهرب من الكشف، وتتكيف مجموعات الجهات الفاعلة في التهديد لتجنب التوقيعات والنماذج السلوكية التي دُرّبت عليها منصات الكشف. وقد تعاني منصة كشف التهديدات المُعدّة وفق مشهد التهديدات قبل ستة أشهر من فجوات كبيرة في التغطية إزاء مشهد التهديدات الحالي، ولن تظهر هذه الفجوات على لوحة المعلومات ما لم يبادر أحدهم بإضافة إعدادات مراقبة لفئات التقنيات الجديدة.

تمثل فجوة الانتقال من الاستخبارات إلى الإعداد الإخفاقَ التشغيلي المحدد في السيناريو الافتتاحي. فقد تلقّى فريق استخبارات التهديدات لدى المورّد نشرة تحذيرية من ISAC بشأن تقنية الحركة الجانبية الجديدة وأقرّ بها. غير أن الإقرار بالنشرة لا يعني تحديث إعدادات منصة الكشف لمراقبة هذه التقنية. والفجوة بين تلقّي استخبارات التهديدات عن تقنية جديدة وتطبيق إعدادات الكشف الخاصة بها هي النافذة الزمنية التي يمكن خلالها استخدام التقنية في البيئة دون توليد أي تنبيهات.

لماذا يهم هذا

تكتسب فجوات الكشف عن التهديدات بالذكاء الاصطناعي أهميتها في TPRM لأن لوحات الكشف الخضراء بالكامل كثيرًا ما تُقدَّم دليلًا على تغطية شاملة، وتقبلها فرق TPRM التي تراجع الوضع الأمني للمورّدين على هذا الأساس. فلوحة المعلومات تؤكد أن الكشف المُعدّ يعمل، لكنها لا تؤكد أن الإعداد مكتمل إزاء مشهد التهديدات الحالي.

أين تخطئ معظم الفرق

الإخفاق الأكثر تكرارًا هو قبول حالة التغطية في لوحة المعلومات دليلًا على اكتمال الكشف. فحالة التغطية تصف أداء المراقبة المُعدّة، أما اكتمال التغطية فيصف ما إذا كان الإعداد يعالج مشهد التهديدات ذي الصلة، وهو سؤال مختلف وأكثر أهمية.

• قبول تغطية لوحة المعلومات دليلًا على الاكتمال
• لم يُقيَّم اكتمال الإعداد إزاء مشهد التهديدات الحالي
• لم تُقيَّم فجوة الانتقال من الاستخبارات إلى الإعداد: كم يستغرق تطبيق الكشف للتقنيات الجديدة
• لم تُقيَّم تغطية التقنيات الجديدة تحديدًا
• عدم مراقبة دمج ISAC واستخبارات التهديدات في تهيئة الاكتشاف

كيف تبدو الممارسة الجيدة

تُقيّم برامج الكشف عن التهديدات بالذكاء الاصطناعي الناضجة اكتمال التغطية إزاء مشهد التهديدات الحالي، فتقيّم تحديدًا ما إذا كانت تغطية تقنيات MITRE ATT&CK محدَّثة، وما إذا كانت استخبارات التهديدات الواردة من ISAC تتحول إلى تحديثات لإعدادات الكشف، وما إذا كانت مقاييس فجوات الكشف تُتتبَّع إلى جانب مقاييس أداء التغطية.

• خريطة تغطية ATT&CK محدَّثة كل ربع سنة وفق مشهد التهديدات الحالي
• SLA من الاستخبارات إلى الإعداد: مدى سرعة تحوّل النشرات التحذيرية عن التقنيات الجديدة إلى تحديثات للكشف
• تتبّع فجوات الكشف: التقنيات الواردة في نشرات ISAC التحذيرية دون كشف مقابل
• عملية اكتشاف التقنيات الجديدة: كيف تدخل سلوكيات المهاجمين الجديدة إلى قائمة الكشف
• تقييم اكتمال التهيئة: بمعزل عن حالة لوحة المعلومات

الأدوات

تغطية ATT&CK: MITRE ATT&CK Navigator لرسم خرائط تغطية الاكتشاف

يعرض ATT&CK Navigator تغطية الاكتشاف مرئيًا مقابل مصفوفة أساليب ATT&CK، فيبيّن الأساليب التي تشملها تغطية الاكتشاف والأساليب التي لا تشملها. وتحديث خريطة ATT&CK Navigator فصليًا في ضوء استخبارات التهديدات الحالية يوفر تقييمًا للاكتمال لا توفره حالة لوحة المعلومات. وبالنسبة إلى ممارسي TPRM، فإن طلب خريطة تغطية ATT&CK لدى المورد المحدّثة خلال الفصل الأخير يوفر سؤالًا محددًا عن اكتمال التغطية.

تحديات الحوكمة

يتمثل تحدي الحوكمة في فجوات الكشف عن التهديدات بالذكاء الاصطناعي في وهم لوحة المعلومات، أي الثقة التي تمنحها الحالة الخضراء بالكامل لقيادة الأمن ولمراجعي TPRM. ويكمن الحل الحوكمي في استكمال حالة لوحة المعلومات بتقييم لاكتمال التغطية، والسؤال تحديدًا عن كيفية اختيار الفئات المُعدّة في لوحة المعلومات، وعمّا إذا كان هذا الاختيار مواكبًا لمشهد التهديدات الحالي.

• اطلب خريطة تغطية ATT&CK محدَّثة خلال الربع الأخير، لا حالة لوحة المعلومات فحسب
• اسأل عن SLA للانتقال من الاستخبارات إلى التهيئة: مدى سرعة تحول النشرات الاستشارية من ISAC إلى تحديثات للاكتشاف
• اسأل عمّا إذا كانت تقنية الحركة الجانبية الجديدة الواردة في نشرات ISAC التحذيرية الأخيرة تحظى بتغطية للكشف
• اسأل عن تتبّع فجوات الكشف: كيف تُحدَّد فجوات التقنيات غير المُعدّة وتُتتبَّع
• استكمل مراجعة لوحة المعلومات بتقييم لاكتمال الإعداد

إذا كنت فريقًا صغيرًا

في أي منصة لاكتشاف التهديدات بالذكاء الاصطناعي، اطرح سؤال ISAC: خلال الأشهر الستة الماضية، كم عدد النشرات الاستشارية من ISAC أو من مصادر استخبارات التهديدات بشأن أساليب مستجدة التي تلقاها فريقكم، وما الجدول الزمني لكل منها من تلقي النشرة إلى تهيئة الاكتشاف الفعال في منصتكم؟ يكشف هذا السؤال الفجوة بين الاستخبارات والتهيئة، أي النافذة الزمنية بين العلم باستخدام أسلوب ما وامتلاك قدرة على اكتشافه. والنشرة التي تُلقيت قبل أربعة أسابيع ولم تتحول بعد إلى تهيئة للاكتشاف تمثل فجوة اكتشاف مدتها أربعة أسابيع لذلك الأسلوب.

• اطلب الجدول الزمني من الاستخبارات إلى الإعداد لنشرات ISAC التحذيرية الأخيرة
• اطلب خريطة تغطية ATT&CK محدَّثة خلال الربع الأخير
• اسأل عمّا إذا كانت تقنيات جديدة محددة من النشرات التحذيرية الأخيرة تحظى بتغطية للكشف
• اسأل عن آلية تتبّع فجوات الكشف بين النشرات التحذيرية والإعداد

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«بالنسبة إلى نشرات ISAC التحذيرية التي تلقّاها فريقكم خلال الأشهر الستة الماضية، ما الجدول الزمني من استلام النشرة إلى تفعيل إعدادات الكشف في منصتكم؟ وهل يمكنكم تأكيد ما إذا كانت تقنية الحركة الجانبية السحابية الأصلية الجديدة الواردة في أحدث نشرة تحظى بإعدادات كشف مفعّلة؟»

ما تتوقعه دليلًا

• الجدول الزمني للانتقال من الاستخبارات إلى التهيئة في النشرات الاستشارية الأخيرة
• خريطة تغطية ATT&CK محدَّثة خلال الربع الأخير
• تأكيد الاكتشاف الفعال لأساليب محددة نبّهت إليها ISAC
• عملية تتبّع فجوات الاكتشاف

ينبغي أن يُطلب من المورّد الذي يؤكد أن حالة الكشف خضراء بالكامل إثباتُ اكتمال تغطية ATT&CK. فحالة لوحة المعلومات تؤكد أن الكشف المُعدّ يعمل، أما خريطة التغطية فتؤكد ما إذا كان الإعداد مكتملًا إزاء مشهد التهديدات الحالي.

كيف تُثبت ذلك

• سجلات خريطة تغطية ATT&CK
• توثيق SLA من الاستخبارات إلى الإعداد
• سجلات تتبّع فجوات الكشف
• الجدول الزمني من نشرة ISAC التحذيرية إلى إعداد الكشف

الخلاصة الرئيسية

لوحة معلومات خضراء بالكامل. أسلوب مستجد في نشرة استشارية من ISAC قبل أربعة أسابيع. أُقرّ باستلام النشرة. تهيئة الاكتشاف: لم تُحدّث. الأسلوب المستجد: لم يُكتشف. أظهرت لوحة المعلومات اللون الأخضر لأن جميع الفئات المُهيأة كانت تعمل ضمن المعايير، ولم يكن الأسلوب المستجد ضمن أي فئة مُهيأة. لم يكن أحمر، بل كان غائبًا. تؤكد الحالة الخضراء بالكامل في لوحة المعلومات أن الاكتشاف المُهيأ يعمل، ويؤكد اكتمال التغطية وفق ATT&CK ما إذا كانت التهيئة تتناول مشهد التهديدات الحالي. وتكشف الفجوة بين الاستخبارات والتهيئة النافذة الزمنية بين العلم بوجود أسلوب وامتلاك قدرة على اكتشافه. لوحة المعلومات هي مقياس الأداء، وخريطة التغطية هي مقياس الاكتمال. وكلاهما مطلوب، ولا يغني أحدهما عن الآخر.