الكشف على أساس الشذوذ هو وسيلة لتحديد التهديدات السيبرانية التي تتعرف على السلوك أو الأنشطة غير الطبيعية في النظام. تركز هذه التقنية على تحديد الأنماط غير العادية التي تختلف عن المعايير الراسخة، وبالتالي تحديد التهديدات السيبرانية المحتملة.
بداية وتطور الكشف على أساس الشذوذ
ظهر مفهوم الكشف على أساس الشذوذ لأول مرة في مجال أمن الكمبيوتر في أواخر الثمانينات. قدمت دوروثي دينينج، وهي باحثة رائدة في هذا المجال، نموذجًا لكشف التسلل يعتمد على تحليل سلوك المستخدم. تم تأسيس النموذج على فرضية أن أي نشاط ينحرف بشكل كبير عن السلوك القياسي للمستخدم يمكن تصنيفه على أنه تطفل. كان هذا بمثابة أول استكشاف مهم للكشف القائم على الشذوذ.
على مر السنين، تطور الكشف على أساس الشذوذ جنبًا إلى جنب مع تطور الذكاء الاصطناعي (AI) والتعلم الآلي (ML). ومع تزايد تعقيد التهديدات السيبرانية، ازدادت كذلك آليات التصدي لها. تم تطوير خوارزميات متقدمة للتعرف على الأنماط والتمييز بين الأنشطة العادية والأنشطة التي قد تكون ضارة.
التوسع في الكشف على أساس الشذوذ
الكشف على أساس الشذوذ هو أسلوب للأمن السيبراني يحدد التهديدات ويخففها من خلال تحليل الانحرافات عن سلوك النظام النموذجي. وهو يتضمن إنشاء خط أساس للسلوكيات "العادية" ومراقبة أنشطة النظام بشكل مستمر مقابل هذه القاعدة الثابتة. قد يشير أي تناقض بين السلوك الملحوظ وخط الأساس إلى تهديد إلكتروني محتمل، مما يؤدي إلى تنبيه لمزيد من التحليل.
وعلى النقيض من الكشف القائم على التوقيع - والذي يتطلب نمط تهديد معروف لتحديد الهجمات المحتملة - يمكن للاكتشاف القائم على الشذوذ تحديد الهجمات غير المعروفة أو هجمات اليوم الأول من خلال التركيز على السلوك الشاذ.
العمل على الكشف على أساس الشذوذ
يعمل الكشف القائم على الشذوذ في المقام الأول على مرحلتين: التعلم والكشف.
في مرحلة التعلم يقوم النظام بإنشاء نموذج إحصائي يمثل السلوك الطبيعي باستخدام البيانات التاريخية. يتضمن النموذج عوامل سلوكية مختلفة، مثل أنماط حركة مرور الشبكة أو استخدام النظام أو أنماط نشاط المستخدم.
في مرحلة الكشف، يقوم النظام باستمرار بمراقبة ومقارنة السلوك الحالي مع النموذج المحدد. إذا انحرف السلوك المرصود بشكل كبير عن النموذج - متجاوزًا حدًا محددًا - فسيتم تشغيل تنبيه، مما يشير إلى وجود حالة شاذة محتملة.
الميزات الرئيسية للكشف عن الشذوذ
- الكشف الاستباقي: قادر على تحديد التهديدات غير المعروفة وعمليات استغلال يوم الصفر.
- التحليل السلوكي: يفحص سلوك المستخدم والشبكة والنظام للكشف عن التهديدات.
- القدرة على التكيف: يتكيف مع التغييرات في سلوك النظام بمرور الوقت، مما يقلل من النتائج الإيجابية الخاطئة.
- نهج شمولي: لا يركز فقط على توقيعات التهديدات المعروفة، مما يوفر حماية أوسع.
أنواع الكشف على أساس الشذوذ
هناك في المقام الأول ثلاثة أنواع من أساليب الكشف على أساس الشذوذ:
| طريقة | وصف |
|---|---|
| كشف الشذوذ الإحصائي | ويستخدم النماذج الإحصائية لتحديد أي انحراف كبير عن السلوك المتوقع. |
| الكشف القائم على التعلم الآلي | يستخدم خوارزميات الذكاء الاصطناعي والتعلم الآلي لتحديد الانحرافات عن القاعدة. |
| اكتشاف السلوكيات الشاذة للشبكة (NBAD) | يركز بشكل خاص على حركة مرور الشبكة لتحديد الأنماط أو الأنشطة غير العادية. |
استخدام الكشف القائم على الشذوذ: التحديات والحلول
في حين أن الكشف على أساس الشذوذ يمثل نهجا متقدما للأمن السيبراني، فإنه يطرح أيضا تحديات، ويرجع ذلك في المقام الأول إلى صعوبة تحديد السلوك "العادي" والتعامل مع النتائج الإيجابية الكاذبة.
تعريف عادي: يمكن أن يتغير تعريف "العادي" بمرور الوقت بسبب التغيرات في سلوك المستخدم أو تحديثات النظام أو تغييرات الشبكة. وللتغلب على ذلك، يجب إعادة تدريب الأنظمة بشكل دوري للتكيف مع هذه التغييرات.
التعامل مع الإيجابيات الكاذبة: يمكن للأنظمة المستندة إلى الحالات الشاذة إطلاق إنذارات كاذبة إذا كانت عتبة الكشف عن الحالات الشاذة حساسة للغاية. ويمكن التخفيف من ذلك عن طريق ضبط حساسية النظام ودمج آليات التغذية الراجعة للتعلم من الاكتشافات السابقة.
مقارنات مع النهج المماثلة
| يقترب | صفات |
|---|---|
| الكشف على أساس التوقيع | يعتمد على التوقيعات المعروفة للتهديدات، ويقتصر على التهديدات المعروفة، والإيجابيات الكاذبة الأقل |
| الكشف على أساس الشذوذ | يكتشف الانحرافات عن الوضع الطبيعي، وقادر على اكتشاف التهديدات غير المعروفة والإيجابيات الكاذبة الأعلى |
مستقبل الكشف على أساس الشذوذ
يكمن مستقبل الاكتشاف القائم على الحالات الشاذة في الاستفادة من تقنيات الذكاء الاصطناعي والتعلم الآلي المتقدمة لتحسين قدرات الكشف وتقليل النتائج الإيجابية الكاذبة والتكيف مع التهديدات السيبرانية دائمة التطور. إن مفاهيم مثل التعلم العميق والشبكات العصبية تبشر بالخير في تحسين أنظمة الكشف القائمة على الشذوذ.
الخوادم الوكيلة والكشف على أساس الشذوذ
يمكن أن تستفيد الخوادم الوكيلة، مثل تلك التي توفرها OneProxy، من تنفيذ الكشف القائم على الحالات الشاذة. من خلال مراقبة أنماط وسلوكيات حركة المرور، يمكن تحديد الحالات الشاذة مثل الارتفاعات غير العادية في حركة المرور، أو أنماط تسجيل الدخول الفردية، أو طلبات البيانات غير الطبيعية، مما قد يشير إلى تهديدات مثل هجمات DDoS، أو هجمات القوة الغاشمة، أو خروقات البيانات.
