ما الذي يتغير عندما يستنتج المهاجم
يفترض الكشف القائم على التوقيعات أن الشيفرة الخبيثة وتسلسلات الأوامر مستقرة بما يكفي لالتقاطها كآثار: تجزئات الملفات، أنماط البايتات، سلاسل الأوامر المعروفة. يصح هذا الافتراض عندما تنفذ أداة اختراق نصًا برمجيًا ثابتًا. لكنه يفشل عندما تختار الأداة إجراءها التالي من لوحة من النماذج في وقت التشغيل.
في مثل هذا النظام، الحمولة ليست أثرًا واحدًا بل سياسة على الإجراءات. يمكن لكل تنفيذ أن ينتج تسلسلًا مختلفًا: قراءة ملف هنا، استدعاء API هناك، نقل صغير في مكان آخر. اللوحة لا تخترع أوليات جديدة؛ بل تختار من بين أوليات تبدو مشروعة. النتيجة أن التوقيعات الثابتة ومطابقة التجزئة تتلاشى بسرعة، لأن المخرجات القابلة للملاحظة توزيع وليست سلسلة ثابتة. تقارير عن برمجيات خبيثة تدمج نماذج لغوية لتكييف السلوك توضح اتجاه التطور [1].
يتقلص زمن البقاء مع تكيف الحلقة مع ما تسمح به البيئة. إذا كان API معينًا مراقبًا، يمكن للحلقة تجنبه. إذا كانت وجهة محظورة، يمكنها اختيار أخرى. يصبح الاختراق مسألة بحث في فضاء من الإجراءات المسموحة، وليس سلسلة قتل ثابتة.
الكشف السلوكي لحركة مرور على شكل وكيل
الاستجابة الدفاعية هي وضع خط أساس للسلوك بدلًا من الآثار. لأي هوية — مستخدم، حساب خدمة، أو وكيل — الإشارات ذات الصلة هي تسلسل استدعاءات الأدوات وتوزعها، وليس فقط حجم حركة المرور.
آلية ملموسة: بناء نموذج انتقال لكل هوية على استدعاءات الأدوات. لكل هوية، سجّل أي استدعاءات أدوات تتبع أي استدعاءات أخرى، وبأي معاملات، وبأي معدل. الاختراق المدفوع بنموذج سينتج تسلسلات معقولة محليًا لكن غير معتادة عالميًا: قراءة ملف تكوين يتبعها استدعاء لنقطة نهاية بيانات وصفية سحابية، ثم خروج صغير إلى وجهة غير مألوفة. لا خطوة واحدة خبيثة. التركيبة هي الإشارة.
تصعيد الصلاحيات مناسب بشكل خاص لهذا النهج لأنه غالبًا ما يأتي كسلسلة من خطوات غير ضارة فرديًا. افتراض دور، قراءة سياسة، تبادل رمز، كتابة إلى مورد كان للقراءة فقط سابقًا. كل خطوة ضمن السياسة. التسلسل ليس كذلك. لذلك يجب أن يقيّم الكشف المسار، وليس النقطة.
التركيبات غير المعتادة من نطاق القراءة ووجهة الخروج إشارة عالية القيمة أخرى. هوية تقرأ عادة من قاعدة بيانات واحدة وتكتب إلى قائمة انتظار واحدة ليس لديها سبب للقراءة من مخزن أسرار والخروج إلى نطاق جديد. نطاق القراءة والوجهة مسموحان فرديًا؛ لكن اقترانهما ليس كذلك.
المقايضة الصادقة: تتطلب خطوط الأساس السلوكية فترة تسخين وتنتج إيجابيات كاذبة عندما يتغير العمل المشروع. نشر جديد، أو ترحيل، أو طرح وكيل مشروع سيبدو كانحراف. يجب على الفرق أن تقرر مقدار التسامح المسموح، وهذا التسامح هو بالضبط المساحة التي سيستخدمها متسلل متكيف. لا يوجد عتبة تلغي كلا من الإيجابيات الكاذبة والتهرب؛ هناك فقط خيار حول نمط الفشل المقبول.
الآثار على منصات الوكلاء
ترث منصات الوكلاء هذه المشكلة مباشرة. ملف استخدام الأدوات الخاص بالوكيل — سلسلة من قراءات الملفات، واستدعاءات API، ونقل صغير — لا يمكن تمييزه عن ملف مخترق ما لم تُربط الهوية والقصد في وقت الاستدعاء. لا تستطيع المنصة معرفة ما إذا كان الاستدعاء قد ت
الأثر الأول هو أن العزل وسياسة الخروج يجب أن يفرضهما وقت التشغيل، لا أن يُطلبا في prompt. تعليمات prompt اقتراح؛ سياسة وقت التشغيل قيد. إذا أمكن إقناع الوكيل بتجاهل التعليمات، فلم تكن التعليمات أبدًا ضابطًا. يجب أن يفرض وقت التشغيل ما يُسمح للوكيل بفعله، بغض النظر عما طُلب منه فعله.
الأثر الثاني هو أن التسجيل يجب أن يلتقط القرار، وليس الإجراء فقط. سجل يسجل "قراءة الملف X" غير كافٍ. سجل يسجل "قراءة الملف X لأن المخطط اختار الإجراء A بالنظر إلى السياق C، تحت السياسة P" يسمح للمراجع بإعادة بناء سبب السماح بالاستدعاء. هذا هو الفرق بين مسار تدقيق وقائمة أحداث.
ربط الهوية والقصد في وقت الاستدعاء هو الآلية التي تجعل هذا ممكنًا. يحمل كل استدعاء أداة تأكيدًا موقّعًا بمن قام به، وتحت أي سياسة، ولأي غرض معلن. يتحقق وقت التشغيل من التأكيد قبل التنفيذ. إذا كان التأكيد مفقودًا أو غير متسق مع السياسة، يُرفض الاستدعاء. هذا لا يمنع اختراق وكيل، لكنه يحد مما يمكن لوكيل مخترق فعله ويجعل الاختراق مرئيًا في سجل القرارات.
مقايضة أخرى: ربط القصد في وقت الاستدعاء يضيف زمن استجابة وتعقيدًا. كل استدعاء يتطلب الآن خطوة تحقق وتقييم سياسة. لأنظمة الوكلاء عالية الإنتاجية، يمكن أن يكون هذا تكلفة كبيرة. البديل — الوثوق بوصف الوكيل لقصدها — أرخص لكنه لا يوفر حدودًا أمنية. يجب على الفرق اختيار مكان وضع الحدود، وهذا الاختيار يحدد ما يمكن للمتسلل الوصول إليه.
ما العمل التالي
الخطوات العملية غير مبهرة. ضع خط أساس لتسلسل وتوزع استدعاءات الأدوات لكل هوية. تعامل مع التركيبات غير المعتادة من نطاق القراءة ووجهة الخروج كإشارة. افرض العزل وسياسة الخروج في وقت التشغيل. سجّل القرار، وليس الإجراء فقط. اربط الهوية والقصد في وقت الاستدعاء.
لا شيء من هذه الخطوات دفاع كامل. سيتحقق متسلل متكيف من الحدود ويستخدم أي تسامح ممنوح. لكنها تنقل مشكلة الكشف من الآثار، التي تتلاشى بسرعة، إلى السلوك، الذي يصعب تنويعه دون أن يصبح مرئيًا. هذا هو الموقف الدائم الوحيد عندما يختار المهاجم خطوته التالية بنفسه.