كيف يكتشف التعلم الآلي هجمات يوم الصفر (Zero-Day Attacks)

لعقود من الزمن، كان الأمن السيبراني بمثابة لعبة القط والفأر القائمة على التوقيعات (Signatures). عندما يتم اكتشاف سلالة برمجيات خبيثة جديدة أو ثغرة أمنية، يقوم باحثو الأمن بتحليلها، واستخراج توقيع رقمي فريد لها، وتوزيعه على قواعد بيانات مكافحة الفيروسات.

لكن الدفاع القائم على التوقيعات يعاني من عيب قاتل: إنه دفاع تفاعلي بالكامل. لا يمكنه إيقاف تهديد لم يره من قبل.

وهنا يأتي دور هجوم يوم الصفر (Zero-Day Attack)—وهو استغلال يستهدف ثغرة برمجية غير معروفة مسبقًا قبل أن يطلق المطور رقعة برمجية (Patch) لإصلاحها. ونظرًا لعدم وجود توقيعات، تظل جدران الحماية التقليدية وأنظمة منع التسلل عاجزة تمامًا عن رصدها.

للدفاع ضد تهديدات يوم الصفر، يمر قطاع الأمن السيبراني بنقلة نوعية: الابتعاد عن التوقيعات والتوجه نحو تحليل السلوك، المدعوم بـ التعلم الآلي (ML).

1. ما وراء التوقيعات: آليات كشف السلوك غير الطبيعي

في قلب الدفاع القائم على التعلم الآلي يكمن مفهوم كشف الشذوذ (Anomaly Detection). بدلاً من البحث عن السلوكيات الضارة المعروفة (التوقيعات)، يتم تدريب نماذج التعلم الآلي على فهم كيف تبدو الحالة “الطبيعية” في النظام أو الشبكة، والإشارة إلى أي شيء ينحرف عن هذا الخط الأساسي.

• تحديد الخط الأساسي للسلوك: تستوعب خوارزميات التعلم غير الخاضع للإشراف، مثل غابات العزل (Isolation Forests) والترميز التلقائي (Autoencoders)، كميات هائلة من حركة مرور الشبكة، وأنشطة المستخدمين، وسجلات النظام لبناء نموذج مفصل للغاية للعمليات العادية.
• تقييم الانحراف: عندما يتم تنفيذ استغلال يوم الصفر، فإنه يقوم حتمًا بإجراءات تنحرف عن الخط الأساسي—مثل تنفيذ سلسلة غير معتادة من استدعاءات واجهة برمجة التطبيقات (API)، أو فتح اتصالات منافذ غير متوقعة، أو محاولة قراءة ذاكرة النظام المقيدة. يشير نموذج التعلم الآلي فورًا إلى هذا السلوك بنتيجة شذوذ عالية.

2. استخراج الميزات الديناميكي: تحليل الملفات في الوقت الفعلي

غالبًا ما تصل استغلالات يوم الصفر عبر مرفقات البريد الإلكتروني أو التنزيلات غير المصرح بها أثناء تصفح المواقع. ونظرًا لأن أدوات فحص التوقيعات لا يمكنها تمييز هذه الملفات الجديدة، تستخدم نقاط النهاية المدعومة بالتعلم الآلي استخراج الميزات الثابت والديناميكي لتحليلها في أجزاء من الثانية.

1. التحليل الثابت: يحلل النموذج بنية الملف، ومكتبات الربط الديناميكي (DLLs) المستوردة، واستدعاءات وظائف API، والبيانات التعريفية دون تشغيل الملف. يمكن لنماذج التعلم العميق كشف الأنماط الضارة حتى لو تم تمويه الكود (Obfuscated).
2. تحليل بيئة التشغيل المعزولة (Sandbox): إذا كان التحليل الثابت غير حاسم، يتم تشغيل الملف في بيئة افتراضية آمنة ومعزولة. يراقب وكيل التعلم الآلي التنفيذ المباشر، متتبعًا سلوكيات مثل:
   • حقن العمليات (Process Injection): محاولات حقن الكود في عمليات النظام المشروعة (مثل explorer.exe).
   • تعديل سجل النظام (Registry Modification): الكتابة في مفاتيح بدء التشغيل الحسابة أو تعطيل الخدمات الأمنية.
   • ترقية الامتيازات (Privilege Escalation): طلب الوصول كمسؤول بشكل غير معتاد عبر استغلال النظام.

3. تحليل حركة الشبكة والنمذجة المتسلسلة

تتضمن العديد من هجمات يوم الصفر تنفيذ الأوامر عن بُعد، أو تسريب البيانات، أو التحرك الجانبي (Lateral Movement) عبر الشبكة. يراقب التعلم الآلي هذه الأنشطة من خلال معاملة القياسات البعادية للشبكة كتسلسل للأحداث.

• شبكات LSTM والشبكات العصبية المتكررة (RNNs): تمامًا كما تُستخدم شبكات LSTM في معالجة اللغة الطبيعية (NLP) للتنبؤ بالكلمة التالية في الجملة، تُستخدم في الأمن لنمذجة تدفقات الشبكة. يتعلم النموذج تسلسل الاتصال النموذجي بين الأجهزة ويشير إلى الانحرافات الضارة.
• الشبكات العصبية الرسومية (GNNs): ترسم شبكات GNN خريطة لطوبولوجيا الشبكة بأكملها كرسم بياني (Graph)، حيث تكون الأجهزة هي العقد والاتصالات هي الحواف. يتيح ذلك للنموذج رصد التحركات الجانبية الخفية حيث يحاول المهاجم الانتقال من خادم إلى آخر باستخدام استغلال يوم الصفر.

4. التحديات: سلاح ذو حدين للدفاع بالتعلم الآلي

رغم أن التعلم الآلي قوي للغاية، إلا أنه ليس حلاً سحريًا. يأتي تأمين الأنظمة باستخدام التعلم الآلي مع مجموعة من التحديات الهندسية الخاصة به:

• معضلة النتائج الإيجابية الزائفة (False Positives): إذا كان نموذج كشف الشذوذ حساسًا للغاية، فسيشير إلى تحديثات البرامج المشروعة أو المهام الإدارية كأنها هجمات، مما يؤدي إلى إرهاق فرق عمليات الأمن من كثرة التنبيهات.
• التعلم الآلي العدائي (Adversarial ML): يطور مجرمو الإنترنت بنشاط طرقًا لتجاوز نماذج التعلم الآلي. من خلال إدخال تعديلات طفيفة وغير ضارة على الكود، يمكنهم خداع نماذج التصنيف للاعتقاد بأن حمولة يوم الصفر آمنة تمامًا.

الخلاصة: مستقبل متعدد الطبقات وذاتي التعلم

لقد نقل التعلم الآلي الأمن السيبراني من جهود التنظيف والتفاعل بعد الكارثة إلى آلية دفاع استباقية في الوقت الفعلي. من خلال تحليل السلوك، واستخراج الميزات الديناميكية، ونمذجة متسلسلات الشبكة، يمكّن التعلم الآلي المؤسسات من إيقاف هجمات يوم الصفر قبل أن تتسبب في أضرار واسعة النطاق.

مع زيادة ذكاء المهاجمين، يكمن مستقبل الدفاع في الأنظمة التعاونية ذاتية التعلم التي تتكيف باستمرار مع التهديدات الجديدة، مما يضمن عدم قدرة حتى أكثر استغلالات يوم الصفر دهاءً على البقاء متخفية.

استكشف المزيد من الرؤى التقنية على مدونة Ghaznix →