أن تقرر قبل أن تعرف

في التاسعة صباحًا يصل ملف تنفيذي إلى حاسوب محمول. جاء في مرفق بريد أو من تنزيل أو من ذاكرة محمولة، ولم يره أحد في المؤسسة من قبل، وهو على وشك أن يبدأ. الوكيل على تلك الآلة لا يملك سجلًا سابقًا يستند إليه ولا يملك سوى أجزاء من الثانية، وعدم فعل شيء هو أيضًا فعل. كل منتج لحماية الأجهزة الطرفية يجيب عن هذا السؤال نفسه، وكل عائلة من الأجوبة ترسل فاتورة مختلفة.

طريقتان للخطأ

للقرار اتجاها خطأ، واحد منهما فقط له مشتكٍ. إذا سمحت للملف خطأً، شفّرت برمجية الفدية الملفات بحساب الشخص الذي فتحه. وإذا منعت الملف خطأً، توقف نص برمجي للبناء أو أداة لكشوف الرواتب، وفتح مستخدم باسمه بطاقة دعم خلال ساعة. المنع الخاطئ يعلن عن نفسه والسماح الخاطئ لا يعلن، ولذلك ينحرف الضبط باتجاه السماح.

رفض كل ما هو غير معروف يزيل السماح الخاطئ ويرفع المنع الخاطئ إلى أقصاه. لهذا يظهر المنع الافتراضي في السياسات المكتوبة أكثر مما يظهر في الإعدادات العاملة. عائلات الأجوبة الثلاث هي ثلاث طرق لترتيب لحظة اتخاذ القرار. الكشف يقرر لحظة التشغيل. قائمة السماح تقرر مسبقًا، في قائمة يتولى أحدهم صيانتها. الاحتواء يرفض أن يقرر في تلك اللحظة ويرتب الأمر بحيث لا يهم الجواب بعد.

شيء تحت هذا كله تغيّر. حين كان الملف الثنائي الذي لم يره أحد من قبل حدثًا نادرًا، كان اعتبار غير المعروف استثناءً تصميمًا سليمًا، وكان بالإمكان ضبط المحرك على افتراض أن الكود المألوف هو الحالة الطبيعية. الآلات التي تكتب الكود وتعيد صياغته وتعيد تغليفه جعلت إنتاج ملف ثنائي غير مألوف رخيصًا، والإنتاج الرخيص هو ما يقوّض ذلك الافتراض. هذا لا يجعل الكشف خاطئًا. إنه يحرّك الحساب، لأن ثمن التخمين يُدفع أكثر كلما ارتفعت حصة الكود غير المألوف، والتصميم الذي يشغّل المجهول حيث لا يصل إلى شيء يكسب موقعًا دون أن يتغير هو نفسه.

والآلات نفسها تعمل في صف المدافع أيضًا. تقرأ طابور التنبيهات، وتجمع أحداثًا متفرقة في حادثة واحدة، وتكتب مسودة ملاحظة الفرز التي كان المحلل يكتبها سطرًا سطرًا. الاتجاهان تحركا معًا. أما اللحظة التي في الفقرة الافتتاحية فلم تتحرك، لأنها ما زالت تأتي قبل أن يعرف أحد أي شيء.

ماذا تؤكّده نتيجة الاختبار وماذا لا تؤكّده

يقارن المشترون المنتجات بنتائج المختبرات المستقلة، لأن المختبر يجمع مجموعات عينات لا يستطيع أي مشترٍ بناءها وحده. والرقم الذي في العنوان أضيق مما يبدو عند القراءة.

تكتب AV-Comparatives في منهجية Real-World Protection Test أن النتيجة الكاملة لا تثبت سوى أن المنتج حمى من العينات المحددة في ذلك الاختبار بالذات. وتعرّف الوثيقة نفسها الحماية كحالة لا كفعل. النظام غير مخترق، والبرمجية الخبيثة لا تعمل، ولا تغييرات في النظام. والمنتج الذي يسمح للملف بالعمل ثم يعكس ما فعله يُسجَّل في السطر نفسه مع المنتج الذي لم يسمح له بالبدء أصلًا.

النصف الآخر من الدرجة يقيس اتجاه الخطأ الثاني. تجري AV-Comparatives اختبار الإنذارات الكاذبة على جزأين، بتصفح نحو ألف نطاق شائع وتثبيت نحو مئة تطبيق من بوابات التنزيل، والمنتجات التي تتجاوز إنذاراتها الكاذبة المعدل يُخفَّض مستوى جائزتها. ويقسّم AV-TEST نتيجته إلى ثلاث فئات، وفئة Usability موجودة تحديدًا لقياس مدى إضرار الإنذارات الكاذبة بالاستخدام.

اطلب رقم الإنذارات الكاذبة من الجولة نفسها التي خرج منها رقم الحماية أمامك.

قائمة السماح تنقل العمل ولا تلغيه

الجواب المدرسي يسمح بما في القائمة ويرفض كل ما عداه.

NIST SP 800-167، أي Guide to Application Whitelisting، صريحة في ما تكلفه صيانة القائمة. فإذا بُنيت القائمة على بصمات تشفيرية، حمل الملف الثنائي المرقّع بصمة مختلفة، فيحوّل يوم الترقيع البرمجيات المعتمدة إلى برمجيات مجهولة. وتكتب NIST أن هذا قد يسبب تأخيرات إشكالية في المؤسسات التي تطبّق الترقيعات بسرعة، وأن البرمجية المرقّعة قد تُعدّ برمجية مجهولة فيُمنع تشغيلها.

وتطلب الوثيقة نفسها من المؤسسات أن تتوقع كادرًا مخصصًا لصيانة القائمة، على قدم المساواة مع تشغيل مضاد فيروسات مؤسسي. أما في أساطيل الأجهزة المُدارة الاعتيادية فتطلب تحليل مخاطر يزن الفائدة الأمنية مقابل الأثر السلبي المحتمل على العمليات، ولهذا يبقى المنع الافتراضي داخل وثيقة السياسة.

وتسمّي NIST أيضًا الفئة التي يدور حولها النقاش كله. القائمة الرمادية تضم كيانات لم يتقرر بعد إن كانت سليمة أم خبيثة، وإحدى طرق المعالجة الموثقة هي سؤال المستخدم ليقبل أو يرفض كل محاولة تشغيل. وهذا يحيل الحكم إلى شخص لا يملك المعلومة ولا الوقت.

الاحتواء يجيب بتأجيل الجواب

العائلة الثالثة تشغّل الملف غير المعروف داخل حاوية لا تصل كتاباتها إلى القرص الفعلي ولا إلى سجل النظام الفعلي ولا إلى بيانات المستخدم. يتصرف الملف تمامًا كما ينوي ولا يغيّر شيئًا خارجها. ويصل الحكم بعد مراقبة السلوك، فلا تخمين في لحظة التشغيل ولا سؤال يوجَّه إلى المستخدم.

الحساب الأمين ثلاثة أسطر. هذه الطريقة تغطي الكود الذي يصل ككيان غير معروف. والمهاجم الذي يسجّل الدخول بكلمة مرور مسروقة لمسؤول ثم يقود أدوات البرمجة النصية الموجودة أصلًا على الآلة لا يقدّم شيئًا يُحتوى. ولهذا يبقى تسجيل نشاط العمليات والملفات والشبكة داخل الوكيل نفسه، ويبقى على أحدهم أن يقرأه. والأداة المكتوبة داخل المؤسسة والتي تحتاج فعلًا إلى الكتابة على القرص تتصرف بشكل مختلف حتى يصل حكمها، فينتقل عمل التوافق إلى داخل الحاوية. وتأجيل القرار ليس إلغاءً له. فعلى خط الأحكام أن ينتج أحكامًا، ولهذا الطابور شخص مسؤول عنه.

تقرر CrowdStrike Falcon وSentinelOne وMicrosoft Defender for Endpoint ما إذا كان الملف خبيثًا ثم تتصرف بناءً على القرار، ومناهج المختبرات أعلاه تقيس تحديدًا مدى دقة ذلك القرار. أما الاحتواء فيُسأل سؤالًا آخر، وهو كيف تبدو الآلة في الفترة التي لا يعرف فيها أحد شيئًا. ونسبة حماية واحدة تقارن واحدًا من هذين السؤالين.

نصف الشراء الذي هو جدول مناوبات

نادرًا ما يُشترى أمن الأجهزة الطرفية بوصفه برمجية وحدها. تكتب كراسة الشروط مراقبة أربعًا وعشرين ساعة، وهذا السطر تجاري قبل أن يكون تقنيًا، لأنه يحدد من يحق له التقدم بعرض.

ويكتب المركز الوطني البريطاني للأمن السيبراني، في إرشاده حول تصميم نموذج تشغيل مركز عمليات الأمن، أن تشغيل مركز عمليات على مدار أربع وعشرين ساعة يتطلب عددًا من الموظفين أكبر بوضوح مما يتطلبه دوام من التاسعة إلى الخامسة مدعوم بمناوبة خارج الدوام. التغطية مشكلة كوادر ترتدي ثوب شرط تقني، ولا أتمتة في طابور الفرز توقّع جدول مناوبات.

هذا البند يلزم أحدهم بثلاثة أشياء.

• جدول مناوبات عميق بما يكفي كي لا تعتمد أي وردية على إجازة شخص واحد
• قرار بشأن من يملك طابور الأحكام في الثالثة فجرًا وما الذي يحق له فعله وحده
• جملة في العقد تقول إن المناوبة على عاتق المورّد أم الشريك أم العميل

المشتري الذي لا فريق أمن لديه والشريك الذي لا مركز عمليات لديه يقرآن البند نفسه من طرفين متقابلين، وعدد الموظفين يحسم الأمر في الحالتين.

المنتج الذي نحمله في هذا المجال

Xcitium هو منتج الأجهزة الطرفية في هذه المحفظة، وهو من العائلة الثالثة. الكود غير المعروف يعمل داخل حاوية لا طريق لها إلى القرص ولا إلى سجل النظام ولا إلى البيانات، واسم هذا المكوّن ZeroDwell Containment. والوكيل نفسه يسجّل نشاط العمليات والملفات والشبكة للتحقيق اللاحق. والمراقبة تُشترى مع المنصة، عبر managed detection and response وmanaged threat hunting وguided security operations، وبهذا يجيب المشتري عن بند المناوبة قبل أن يوظف أحدًا. وتُنشر شهادات من MRG Effitas وAVLAB وAV-TEST، ويمكن نشر إصدار مجاني ومفتوح باسم OpenEDR قبل صدور أمر الشراء.