إنذار لا يترك شيئا للتقدير

لكل مصدر كشف تشتريه سعران. واحد مكتوب في عرض السعر. والآخر يُدفع في الدقائق التي يقضيها المحلل وهو يقرر إن كان الإنذار يعني شيئا، ويُدفع مرة أخرى عن كل إنذار ينتجه المصدر ما دام يعمل. جدول المقارنة يحمل السعر ونسبة الكشف، أما السعر الثاني فلا سطر له في ملف الشراء، والطابور هو الذي يعيش معه. وهناك صنف من المصادر سعره الثاني غير معتاد، وهذا الفارق يستحق نقاشا في الميزانية وحده.

ما تكلفة دقيقة واحدة من الفرز

وحدة الكلفة في فريق الأمن ليست الإنذار، بل القرار الذي يفرضه الإنذار. في دراسة USENIX Security 2022 عن ممارسي مراكز عمليات الأمن، من إعداد الأحمدي وأكسون ومارتينوفيتش من جامعة أكسفورد، أخبر أحد المشاركين الباحثين أن فريقه يعلم أن 99 في المئة من الإنذارات التي يولّدها إنذارات كاذبة، وأنهم مضطرون مع ذلك للنظر فيها كلها. النصف الثاني من هذه الجملة هو النصف المكلف.

ثم يفكك المؤلفون هذا الرقم، بعد استبيان مع عشرين ممارسا ومقابلات مع واحد وعشرين. فمعظم ما يسميه المحللون إنذارا كاذبا هو ما سماه أحد المشاركين محفزا حميدا، أي إنذار صحيح أطلقه سلوك مشروع قررت المؤسسة تجاهله. لا شيء معطل حتى يُضبط، فيعود الإنذار غدا بالكلفة نفسها، والدراسة تربط هذا النوع من أعمال التحقق بإرهاق الإنذارات ثم بفقدان الحساسية تجاهها.

الجواب المعروض اليوم على هذه المشكلة هو طبقة فرز بالذكاء الاصطناعي، مساعد يقرأ الطابور ويخبر المحلل من أين يبدأ. وهو يستحق أن يؤخذ على محمل الجد، لأنه يخفض كلفة الترتيب لمصدر احتمالي. أما ما لا يخفضه فهو كلفة الخطأ، فطابور احتمالات أرخص يبقى طابور احتمالات.

مصدر ينتج واقعة لا احتمالا

وكيل النهاية الطرفية يمنح شجرة العمليات درجة بمقارنتها بما تفعله العمليات عادة، ومستشعر الشبكة يمنح التدفق درجة بمقارنته بخط أساس مستخرج من حركتك أنت، ثم يربط الـ SIEM الاثنين وينتج احتمالا يحمل بطاقة خطورة. والمحلل يحوّل ذلك إلى نعم أو لا بسياق لم يكن لدى الأداة.

المصيدة تلغي هذه الخطوة بحكم بنائها. لا حساب له حق فيها، ولا خدمة تعتمد عليها، ولا مهمة نسخ احتياطي تلمسها، ولا سبب لدى أي نظام في الإنتاج ليسأل عن اسمها في الـ DNS. ولأن لا شيء مشروع يلمسها، فإن التفاعل معها ليس دليلا على اختراق. التفاعل نفسه هو الاختراق، وما يتبقى تحقيق لا تحقق.

ومن هنا تخرج نتيجة غريبة. طبقة الفرز تحسّن ترتيب الأحداث التي تحتاج حكما، وحدث المصيدة لا يحتاج حكما، فلا شيء فيه لتحسينه. الفرز الآلي لا يكاد يضيف شيئا إلى المصدر الذي لا يكلف فرزه شيئا أصلا. وهذه حجة لتشغيل الاثنين معا لا للاختيار بينهما.

والمصائد تنتج أيضا أحداثا ليست مهاجمين، وهي تأتي من جهتك أنت، ماسح ثغرات يجتاح نطاقا أو وكيل نسخ احتياطي وُزّع على البيئة كلها. كل واحد منها واقعة إعداد لها إصلاح دائم، لا دورة ضبط تعود بعد ثلاثة أشهر.

المقايضة التي تعقدها فعليا

المصيدة لا تبلّغ إلا حين يلمسها مهاجم. ومن يصل إلى خادم ملفات ببيانات اعتماد صالحة ويأخذ ما جاء من أجله قد لا يلمس أي مصيدة. الخداع مصدر دقته عالية ومعدل التقاطه منخفض، وكشف النهايات الطرفية يقف عند الطرف الآخر من المقايضة نفسها. والسؤال ليس أيهما يجد أكثر، بل أي القيدين عندك هو القيد الملزم. فإذا كان طابورك يغلق تذاكر أقل مما يفتح، فزيادة الالتقاط تضيف عملا إلى القيد الملزم، وزيادة الدقة تضيف إليه طاقة.

معدل الالتقاط هو الجزء الذي تستطيع التأثير فيه، لأن المصيدة لا تُلمس إلا إذا مر مسار المهاجم بها. والاستطلاع الآلي يوسّع هذا المسار، لأن مسحا يعدّ شبكة فرعية كاملة لا يميز الأجهزة التي لا سبب لدى موظف لفتحها. لذلك فإن الأسئلة التي تُطرح على أي بائع في هذه الفئة تدور حول الموضع والصيانة.

• كيف تصل المصيدة إلى قطاع لن يعيد أحد بناءه من أجلك، وماذا تترك خلفها على جهاز إنتاج
• ما الذي يمنع ماسحك وعميل النسخ الاحتياطي ومهمة جرد الأصول من إنتاج مئة حدث بعد التركيب
• كيف تبقى المصيدة مقنعة بعدما يتغير حولها اصطلاح التسمية ومستوى الترقيع
• ماذا يخرج من المنصة حين تُلمس مصيدة، وهل يستقبل الـ SIEM حدثا أم حالة
• من يتصرف بناء على ذلك الثالثة فجرا، ومن يملك صلاحية فصل الجهاز

النصف الآخر من المقايضة هو الميزانية، وللخداع هنا عيب محدد. NIST يدرج المصائد في كتالوج الضوابط تحت الرمز SC-26، وNIST Special Publication 800-53B الذي يوزع الضوابط على خطوط الأساس منخفضة ومتوسطة وعالية الأثر لا يضع SC-26 في أي منها. لن يطلبه منك تدقيق، فهو يكسب بحجة الطابور أو لا يكسب. وداخل الفئة نفسها يقف Thinkst Canary عند طرف الأجهزة القليلة الموضوعة يدويا، بينما يولّد Attivo، وهو اليوم جزء من SentinelOne، وAcalvio المصائد على نطاق واسع.

القطاعات التي يضيق فيها الخيار

في شبكة التقنية التشغيلية تكون مسارات الكشف المعتادة مغلقة، ومعيار عام يقول ذلك. NIST Special Publication 800-82r3، دليل أمن التقنية التشغيلية، يصف هذه الأنظمة بأنها مقيدة الموارد ويذكر أن موارد الحوسبة اللازمة لتزويد مكونات OT بقدرات الأمن الحالية قد لا تكون متاحة. وهذا يغلق مسار الوكيل. والوثيقة نفسها تطلب من مشغلي OT حذرا شديدا في المسح النشط، لأن عمليات المسح النشط قد تسبب عدم استقرار الجهاز أو تتدخل في حالة عمليته.

وفي قسمه عن تقنية الخداع يشرح الدليل نفسه سبب صمود هذه الطريقة داخل القيد. فلأن المصائد لا تتفاعل بنشاط مع بقية مكونات الشبكة، تستطيع تقنيات الخداع أن تدعم مراقبة النشاط الخبيث وكشفه دون تعريض العملية المتحكم بها للخطر. المصيدة جهاز منفصل على القطاع. لا تضيف برمجية إلى PLC ولا حملا على متحكم، وإذا سقطت في منتصف الوردية لا يتوقف شيء، لأن لا شيء يعتمد عليها. أما وكيل يسقط على HMI فهو انقطاع يتبعه تقرير سلامة.

والشكل نفسه يظهر في بيئات نقاط البيع وفي كل قطاع لن يُفتح فيه منفذ مرآة.

ما لا يفعله الخداع

إنه لا يمنع شيئا. فحين تبلّغ المصيدة يكون أحدهم في الداخل ببيانات اعتماد تعمل أو باستغلال يعمل، والحدث يصف إخفاقا وقع بالفعل. الادعاء الأمين أضيق من ذلك. إنه يقصّر المسافة بين الاختراق واللحظة التي يعرف فيها أحد بوقوعه، ويفعل ذلك دون أن يضيف عملا إلى الطابور.

وليس منتجا تركّبه ثم تنساه. MITRE Engage، إطار التعامل مع الخصم الصادر عن MITRE، يقسم العمل إلى ثلاث مراحل هي Prepare وOperate وUnderstand، ويقول إن الخداع عملية لا كومة تقنية تُركّب وتُنسى. وما يضعه Engage في مرحلة التحضير هو ما لا يغطيه أي ترخيص، أي الهدف التشغيلي، ومعايير العتبة التي تحدد إلى أي مدى يُسمح للمتسلل بالتقدم، ونموذج التهديد الذي بُنيت المصائد لتكون مثيرة لاهتمامه. ومع تغير البيئة حول المصيدة تتآكل قابليتها للتصديق، فاحسب كلفة الصيانة إلى جانب الترخيص.

المنتج خلف هذه الحجة

في هذه المحفظة هذا المنتج هو GuardPot. يحمل أنظمة المصائد وحسابات المصائد وخدمات المصائد وتحليل سلوك المهاجم ومخرجات الاستخبارات في منتج واحد بدل توزيعها على عائلة منتجات، ويضعها عبر قطاعات الشبكة والبيئات السحابية والنهايات الطرفية دون تركيب أي شيء على أجهزة الإنتاج. اللوحة الفنية المنشورة قصيرة، ولم نضف إليها سطرا لا ينشره المورّد على موقعه. وطريقة حسم النقاش أعلاه تجربة في قطاع واحد تتضمن نافذة مسح.