لم يُصدر نظام كشف تهديدات الهوية لدى مورّد للخدمات المالية أي تنبيه خلال سبع وعشرين دقيقة نشط فيها مهاجم داخل بيئته، عقب هجوم ناجح بحشو بيانات الاعتماد على حساب محلل مالي. وتبيّن من تحليل ما بعد الحادث أن سلوك المهاجم تضمّن إشارات متعددة كانت كل منها شاذة بمفردها: مصادقة في الساعة 02:14 من عنوان IP نيجيري، ووصول متتابع إلى سبعة عشر تطبيقًا خلال اثنتين وأربعين دقيقة، وتنزيل ستمئة ملف من نظام إدارة المستندات، وتسجيل خروج أعقبه فورًا تسجيل دخول ثانٍ من عنوان IP مختلف. لم تُطلق أيٌّ من هذه الإشارات تنبيهًا. فقد كان الكشف الجغرافي مضبوطًا للتنبيه عند الوصول من قائمة دول محظورة، ولم تكن نيجيريا ضمن القائمة. وكانت عتبة كشف عدد التطبيقات التي يُوصل إليها عشرين تطبيقًا في الساعة، وسبعة عشر أقل منها. وكانت عتبة كشف تنزيل الملفات ألف ملف في الجلسة، وستمئة أقل منها. وكان كشف تسجيلات الدخول المتتالية مضبوطًا للتنبيه على الجلسات المتزامنة، لا على تسجيلات الدخول المتتابعة من عناوين مختلفة. كانت كل إشارة بمفردها دون عتبتها أو في فئة الكشف الخاطئة. وقد حدّد محلل أمني راجع نمط الوصول المجمّع أثناء تحليل ما بعد الحادث أنه حدث شاذ بوضوح خلال ثلاثين ثانية من رؤية الخط الزمني المجمّع.
ما هي فجوات كشف الشذوذ في الهوية فعلًا؟
كشف الشذوذ في الهوية هو القدرة على تحديد أنماط الوصول التي تنحرف عن السلوك الطبيعي الثابت، أي كشف أحداث المصادقة وأنماط الوصول وعمليات نقل البيانات وخصائص الجلسات التي لا تتسق مع السلوك الأساسي للمستخدم أو التي تمثل أنماط هجوم معروفة. ويتطلب الكشف الفعال عن الشذوذ قدرتين متكاملتين: قواعد قائمة على العتبات تكشف أحداثًا محددة عالية المخاطر تتجاوز عتبات محددة، وتحليلات سلوك تكشف الأنماط الشاذة نسبةً إلى خط الأساس الثابت للمستخدم حتى عندما لا تُتجاوز أي عتبة فردية.
فجوة الكشف القائم على العتبات وحدها هي القيد البنيوي الذي يوضحه السيناريو الافتتاحي. تحدد أنظمة الكشف القائمة على القواعد عتبات محددة لإشارات محددة: إذا تجاوزت س القيمة ص، يصدر تنبيه. وهذه القواعد فعالة في الهجمات التي تنتج إشارات فوق عتباتها. لكنها تفوّت الهجمات التي تكون فيها كل إشارة فردية دون عتبتها بينما يكون مجموع الإشارات شاذًا بوضوح. فالمهاجم الذي يتعمد البقاء دون كل عتبة فردية، فينزّل 600 ملف بدلًا من 1,000، ويصل إلى 17 تطبيقًا بدلًا من 20، ويصادق من دولة ليست ضمن القائمة المحظورة، قد عاير سلوكه وفق العتبات المعلنة لنظام الكشف. لكل قاعدة عتبة استراتيجية للتهرب منها. أما تحليلات السلوك المجمّعة فيصعب التهرب منها كثيرًا لأن خط الأساس هو النمط الطبيعي للمستخدم الفردي، لا عتبة معلنة للجميع.
تُعد مشكلة تقادم خط الأساس فجوة ثانوية في كشف الشذوذ. فتحليلات السلوك تضع خطوط أساس للنشاط الطبيعي للمستخدم: ساعات العمل المعتادة، وأنماط الوصول المعتادة، واستخدام التطبيقات المعتاد. وخطوط الأساس التي وُضعت لموظف كان يعمل أساسًا في مكتب لندن تصبح غير دقيقة عندما ينتقل هذا الموظف إلى نموذج العمل عن بُعد، أو يتولى مهمة دولية، أو يغيّر وظيفته. وسيُولّد نظام كشف الشذوذ الذي يعمل على خط أساس متقادم إيجابيات كاذبة لتغييرات الوصول المشروعة، ويفوّت حالات شذوذ حقيقية تقع ضمن النطاق المتوقع لخط الأساس (الذي أصبح غير دقيق). إن صيانة خط الأساس، أي تحديث خطوط الأساس باستمرار لتعكس السلوك الطبيعي الحالي، لا تقل أهمية عن وضعه.
- الكشف القائم على العتبات وحدها: عتبات لإشارات فردية دون تحليل الأنماط السلوكية المجمّعة
- التهرب بالهجمات دون العتبات: سلوك المهاجم معايَر للبقاء دون عتبات الكشف الفردية
- خطوط أساس متقادمة: خطوط أساس سلوكية لم تُحدَّث لتعكس السلوك الطبيعي الحالي
- عدم توافق فئات الكشف: سلوك شاذ يقع في فئة كشف لا تغطيها مجموعة القواعد
- غياب الربط بين الإشارات المجمّعة: تقييم كل إشارة على حدة بدلًا من تقييمها ضمن ملف وصول مجمّع
لماذا يهم هذا
يكتسب كشف الشذوذ في الهوية أهمية في TPRM لأن موظفي المورّد الذين يصلون إلى بيئات العملاء يُنشئون نمطًا لسلوك الهوية ينبغي أن يكون قابلًا للكشف بوصفه شاذًا عندما ينحرف عن نشاط الدعم أو التشغيل الطبيعي. فالمهاجم الذي اخترق بيانات اعتماد مهندس دعم لدى المورّد ويصل إلى بيئات العملاء في أوقات غير معتادة أو بأنماط غير معتادة أو بسلوك غير معتاد في الوصول إلى البيانات، ينبغي أن يكون قابلًا للكشف بنظام كشف شذوذ مضبوط جيدًا. وتمثل فجوات الكشف الموصوفة في السيناريو الافتتاحي الأداء الفعلي لأنظمة الكشف التي تعتمد على قواعد العتبات دون تحليلات السلوك.
يتمثل تحدي كشف وصول المورّدين في مشكلة جودة خط الأساس. فوصول دعم المورّد إلى بيئات العملاء غالبًا ما يكون متقطعًا ومتغيرًا؛ إذ يتصل مهندسو الدعم عندما تواجه العملاء مشكلات، في أوقات تحددها جداول الحوادث لا أنماط منتظمة. ووضع خط أساس سلوكي موثوق لمهندس دعم يتصل ثلاث مرات شهريًا استجابةً للحوادث أصعب من وضع خط أساس لموظف يصل إلى الأنظمة نفسها يوميًا في أوقات ثابتة. وتؤدي الجودة الأدنى لخط الأساس في وصول المورّدين إلى معدلات أعلى من الإيجابيات الكاذبة وفعالية أقل في كشف الشذوذ، وذلك تحديدًا لدى فئة الهويات التي يكون الكشف فيها أشد أهمية.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم قدرة الكشف بناءً على قائمة القواعد المضبوطة بدلًا من أداء تلك القواعد أمام سيناريوهات هجوم واقعية. فالقائمة الشاملة لقواعد العتبات تصف بنية الكشف. أما اختبار تلك القواعد أمام سيناريوهات الهجوم الفعلية التي صُممت لكشفها، بما فيها الهجمات التي تبقى دون العتبات وتتطلب تحليل الإشارات المجمّعة، فيصف أداء الكشف. وكثيرًا ما يختلف الاثنان اختلافًا كبيرًا.
- تقييم الكشف بقائمة القواعد بدلًا من الأداء أمام سيناريوهات الهجوم
- غياب الربط بين الإشارات المجمّعة: تقييم الإشارات كلٌّ على حدة
- معايرة العتبات غير مختبرة أمام هجمات واقعية
- عدم صيانة خطوط الأساس السلوكية لتواكب أنماط النشاط الحالية
- عدم وضع خطوط أساس لوصول المورّدين: الوصول المتقطع للمورّدين بلا خط أساس
كيف تبدو الممارسة الجيدة
تجمع برامج كشف الشذوذ في الهوية الناضجة بين قواعد العتبات للإشارات المعروفة عالية المخاطر وتحليلات السلوك التي تقيّم ملفات الوصول المجمّعة مقابل خطوط الأساس الفردية، مستخدمةً تعلّم الآلة لتحديد الأنماط التي تنحرف عن السلوك الطبيعي الثابت حتى عندما لا تُتجاوز أي عتبة فردية.
- UEBA مع خطوط أساس سلوكية فردية: وضع خط أساس للنمط الطبيعي لكل مستخدم وكشف الانحرافات عنه
- الربط بين الإشارات المجمّعة: تقييم عدة إشارات دون العتبة بوصفها ملفًا مجمّعًا
- صيانة خطوط الأساس: تحديث خطوط الأساس باستمرار لتعكس السلوك الطبيعي الحالي
- اختبار سيناريوهات الهجوم: التحقق من أداء الكشف مقابل أنماط هجوم واقعية، بما فيها سيناريوهات تبقى دون العتبات
- وضع خطوط أساس لوصول المورّدين: خطوط أساس محددة لأنماط وصول حسابات المورّدين وحسابات الدعم
الأدوات
UEBA: Exabeam، Microsoft Sentinel UEBA، Varonis
تُنشئ منصات تحليلات سلوك المستخدمين والكيانات خطوط أساس سلوكية فردية وتكتشف الانحرافات عنها عبر التعلم الآلي، فتقيّم أنماط الوصول بشكل شامل بدلاً من فحوص حدود مستقلة. وتستخدم Exabeam تحديداً نهجاً قائماً على التسلسل الزمني يربط إشارات متعددة عبر جلسة المستخدم في درجة شذوذ مجمعة. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان المورد يستخدم UEBA بخطوط أساس سلوكية فردية إضافةً إلى الاكتشاف القائم على الحدود يمثل سؤالاً محدداً عن القدرة على التحليل المجمع.
كشف التهديدات المتعلقة بالهوية: Microsoft Entra ID Protection
يوفر Microsoft Entra ID Protection تقييمًا للمخاطر يجمع بين إشارات هوية متعددة، هي مخاطر تسجيل الدخول، ومخاطر المستخدم، والسفر المستحيل، وبيانات الاعتماد المسرّبة، وحالات الشذوذ السلوكي، في درجة مخاطر مركّبة يمكنها أن تُطلق تحديات الوصول المشروط أو تحظر الوصول. ويعالج نهج التقييم المركّب مشكلة الإشارات الفردية الواقعة دون العتبة من خلال تقييم الإشارات مجتمعةً. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم تقييم المخاطر المركّب في قرارات المصادقة يوفر سؤالًا عن تحليل الإشارات المجمّعة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في كشف الشذوذ في الهوية في المفاضلة بين إرهاق التنبيهات وفوات الكشف. فالعتبات الحساسة للكشف وهوامش التسامح المنخفضة مع الانحراف عن خط الأساس تولّد تنبيهات متكررة، كثير منها إيجابيات كاذبة. وتبدأ فرق الأمن التي تعاني إرهاق التنبيهات في تجاهل التنبيهات دون تحقيق، مما يخفض معدل الكشف الفعلي للهجمات الحقيقية. ويكمن تحدي المعايرة في ضبط العتبات وهوامش التسامح مع الانحراف بحيث ترصد الهجمات الحقيقية مع إنتاج معدل إيجابيات كاذبة يمكن إدارته، ولا يُحدث إرهاق التنبيهات الذي يؤدي إلى فوات التنبيهات الحقيقية.
- اسأل عن قدرة الكشف التي كانت سترصد السيناريو الافتتاحي: وصول في الثانية صباحًا، ووصول إلى تطبيقات متعددة، وتنزيل دون العتبة
- اسأل عمّا إذا كان UEBA منشورًا إلى جانب قواعد العتبات
- اسأل عمّا إذا كان الكشف قد اختُبر أمام سيناريوهات هجوم واقعية دون العتبات
- اسأل عن وضع خطوط أساس لوصول المورّدين، وعمّا إذا كان الوصول المتقطع للمورّدين له خط أساس
- أدرج أداء كشف الشذوذ في التقييم الأمني للمورّد، لا مجرد تأكيد وجود القدرة
إذا كنت فريقًا صغيرًا
اعرض السيناريو الافتتاحي على فريق الأمن لدى أعلى مورّديك مخاطرة: في الثانية صباحًا، صادق أحد حسابات مهندسي الدعم لديكم من لاغوس، ووصل إلى سبعة عشر تطبيقًا خلال أربعين دقيقة، ونزّل ستمئة ملف قبل تسجيل الخروج. هل كان ذلك سيُطلق تنبيهًا؟ استعرض معهم بنية الكشف لديهم في مواجهة هذا السيناريو تحديدًا. فإذا كانت الإجابة أنه لا تنبيه لأن نيجيريا غير محظورة وعدد التنزيلات دون العتبة، فإن الكشف لديهم يعتمد على قواعد العتبات دون تحليل سلوكي مجمّع. وتكشف تلك المحادثة أداء الكشف أفضل من أي استبيان.
- اعرض السيناريو الافتتاحي واسأل عمّا إذا كان سيُطلق تنبيهًا
- اسأل عما إذا كان UEBA منشوراً بخطوط أساس سلوكية فردية
- اسأل عمّا إذا كان الربط بين الإشارات المجمّعة موجودًا أم تُقيَّم الإشارات كلٌّ على حدة
- اسأل عمّا إذا كانت أنماط وصول حسابات المورّدين والدعم لها خطوط أساس محددة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«لو صادق أحد مهندسي الدعم لديكم في الثانية صباحًا من لاغوس، ووصل إلى سبعة عشر تطبيقًا خلال أربعين دقيقة، ونزّل ستمئة ملف، فهل كان ذلك سيُطلق تنبيهًا بشذوذ في الهوية في نظام الكشف لديكم، وما قاعدة الكشف المحددة التي كانت ستنطلق؟»
«هل يستخدم نظام كشف الشذوذ في الهوية لديكم تحليلات السلوك مع خطوط أساس فردية للمستخدمين لكشف حالات الشذوذ في ملفات الوصول المجمّعة، أم يعتمد أساسًا على قواعد قائمة على العتبات لإشارات فردية؟»
ما تتوقعه دليلًا
- تحليل كشف سيناريو الهجوم: أيّ الإشارات كان الهجوم الموصوف سيُطلقها
- نشر UEBA مع خطوط أساس سلوكية فردية
- قدرة الربط بين الإشارات المجمّعة
- إجراءات وضع خطوط أساس لوصول المورّدين
المورّد الذي لم يكن نظام الكشف لديه ليُصدر تنبيهًا في السيناريو الافتتاحي قد أكّد وجود فجوة الاعتماد على العتبات وحدها. أما المورّد الذي يستطيع أن يصف بدقة أيّ الإشارات المجمّعة كانت ستُطلق تنبيهًا وفي أي لحظة من الجلسة، فقد أكّد امتلاكه قدرة تحليلات السلوك. السيناريو هو الاختبار. طبّقه.
كيف تُثبت ذلك
- سجلات اختبار سيناريوهات الكشف
- تأكيد نشر UEBA مع توثيق خطوط الأساس
- قدرة الربط بين الإشارات المجمّعة
- سجلات خطوط أساس وصول المورّدين
الخلاصة الرئيسية
كان الهجوم واضحًا لأي إنسان نظر إلى الخط الزمني المجمّع. لكن نظام الكشف لم يرَ الخط الزمني المجمّع قط؛ بل قيّم كل إشارة على حدة مقابل عتبتها. لم تكن الثانية صباحًا ساعة محظورة. ولم تكن لاغوس في دولة محظورة. وكانت سبعة عشر تطبيقًا دون عتبة التطبيقات. وكانت ستمئة ملف دون عتبة التنزيل. اجتازت كل إشارة الفحص بمفردها. أما الملف المجمّع فقد أخفق بوضوح. يرصد الكشف القائم على العتبات الهجمات التي تتجاوز عتباته. وترصد تحليلات السلوك الهجمات التي يكون ملفها المجمّع شاذًا حتى عندما تكون كل إشارة فردية دون العتبة. فالمهاجم الذي يعرف العتبات يبقى دونها. لكنه لا يستطيع البقاء دون خط أساس سلوكي لم يره قط.