یک مدل تشخیص تهدیدات جدید که خلا امنیت سایبری را برطرف می کند

شناسایی تهدیدها با علم داده

با اعمال مستقیم تکنیک‌های علم داده و یادگیری ماشین روی ترافیک شبکه می‌توان این نیازمندی‌ها را رفع کرد. جدیدترین مدل تشخیص تهدید از هر دو این تکنیک برای یافتن پیش‌دستانه حمله‌های پنهان شبکه استفاده می‌کند.

چرا علم داده؟

علم داده و یادگیری ماشین ورد زبان همگان در این صنعت شده است و هزاران ادعا و کاربرد درموردشان وجود دارد. نباید فراموش کرد که این دو فقط ابزار هستند، نه آب حیاتی که همه مشکلات امنیتی را بشویند و با خود ببرد.

لازم است که آورده این رویکردها، تفاوت آن‌ها با دیگر رویکردها و نقاط ضعف و قوت آن‌ها را دقیقاً شناخت، تا از افسون بازاریابی در امان ماند.

علم داده موجب یک تغییر اساسی در امنیت شده است. برخلاف رویکردهای مبتنی بر امضا که به‌عنوان اقدام متقابل یک نگاشت یک‌به‌یک میان تهدیدها ایجاد می‌کند، علم داده برای شناسایی پیش‌دستانه تهدیدهایی که پیش‌ازاین مشاهده نکرده، از آموخته جامعی استفاده می‌کند که از تمام حملات پیشین کسب کرده است.

به‌بیان‌دیگر، لازم است که «چرایی»، «چگونگی»، «چیستی» و «زمان» درک شود. دانش و فهم واقعی زمانی سودمندتر است که بتواند یک مسئله جدید و پیش‌تر دیده‌شده را ارزیابی و حل کند.

و این وجه تمایز بسیار مهم استفاده از علم داده برای شناسایی تهدیدهاست. یک مدل سنتی باید تمام پاسخ‌ها را از قبل داشته باشد تا بتواند خوب کار کند. برای مثال، چون دامنه ACME.com قبلاً رفتار مخربی داشته، ازاین‌پس همیشه مخرب شناخته می‌شود.

انتظار می‌رود که علم داده به پرسش‌های واقعی پاسخ دهد و از آموخته‌ای جامع برای ارزیابی یک مسئله ناآشنا استفاده کند.

در سناریو دیگری ACME123.com پیش‌تر هرگز رفتار مخربی نداشته است، اما با نگاه به ترافیک فعلی آن می‌توان چهار رفتار مختلف را دید که ترکیب آن‌ها با رفتار حمله فرماندهی و کنترل مشابهت دارد.

بر اساس دانش جمعی گردآمده از تهدیدهای جهان واقعی، می‌توان این دامنه را به‌عنوان موجودیتی شناسایی کرد که رفتار مخرب دارد.

اهمیت داده‌های مستقیم دست‌اول

مدل‌های علم داده به کیفیت داده‌هایی که تحلیل می‌کنند وابسته هستند، و این مسئله در حوزه امنیت سایبری از تأثیر بیشتری برخوردار است. راهکارهای امنیت سایبری برای یافتن تهدیدهای پنهانی که از پدافندهای سنتی عبور می‌کنند، نیاز دارند که به ترافیک شبکه دسترسی مستقیم و دست‌اول داشته باشند.

اکثر رویکردهایی که از علم داده برای تشخیص تهدیدها استفاده می‌کنند، روی مجموعه داده‌های بزرگی از گزارش رویدادها، داده‌کاوی انجام می‌دهند. اگرچه این رویکرد قادر به یافتن همبستگی میان گزارش‌هایی است که قبلاً از قلم‌ افتاده بودند، اما با محدودیت‌هایی روبه‌رو است.

این گزارش‌ها منبع دست‌دوم هستند که یک رویداد را خلاصه می‌کنند. اطلاعاتی که در گزارش نیامده‌اند، از دست می‌روند و نمی‌توان آن‌ها را تحلیل کرد. به‌علاوه، کیفیت این گزارش‌ها وابسته به سامانه‌ای است که آن‌ها را تولید می‌کند. اگر یک دیوار آتش بالادستی یا دستگاه امنیتی قادر به تشخیص یک تهدید نباشد، گزارش برای بررسی و تحلیل نخواهد بود.

محدودیت‌های داده موجود در گزارش‌ها همه‌چیز را مختل می‌کند. وظیفه یک راهکار امنیت سایبری یافتن تهدیدهایی است که به لایه‌های استاندارد پدافند نفوذ می‌کند. منطقی نیست که انتظار داشت دستگاه‌هایی که نتوانسته‌اند یک تهدید را شناسایی کنند، گزارشی مفید از آن ثبت نمایند.

منطقی نیست که انتظار داشت دستگاه‌هایی که نتوانسته‌اند یک تهدید را شناسایی کنند، گزارشی مفید از آن ثبت نمایند.

این مسئله درمورد NetFlow و دیگر خلاصه جریان‌ها صادق است. داده مربوط به جریان برای نظارت بر و پیگیری عملکرد سراسر ساختار شبکه است. این گزارش‌ها در پیگیری مسیر و حجم ترافیک شبکه خلاصه می‌شوند و شفافیت لازم را به‌عنوان داده دست‌اول و مستقیم برای یافتن تهدیدهای پنهان بسیار فرار ندارند.

مدل‌های علم داده روی‌داده‌های باکیفیت‌تر عملکرد بسیار بهتری دارند. مدل جدید تشخیص تهدید به‌جای داده‌کاوی روی منابع ناقص، تکنیک‌های علم داده و یادگیری ماشین را روی سطح بسته‌ها در ترافیک شبکه اجرا می‌کند.

این دسترسی مستقیم دست‌اول به ترافیک یک شیوه کاملاً جدید از تشخیص تهدید است. در تشخیص پیشرفته تهدید، به‌جای ایجاد ارتباط میان رویدادها یا آموختن یک نمونه مبنا، از مدل‌های بی‌درنگ برای شناسایی رفتار مخرب ترافیک استفاده می‌شود.

حمله‌های سایبری همیشه در حال رشد و تکامل هستند. اما مدل جدید تشخیص تهدید با بهره‌گیری از شفافیت دست‌اول ترافیک قادر است خود را برای شناسایی تکنیک‌ها و استراتژی‌های جدید حمله مهیا کند. این وجه تمایز برجسته‌ای با سامانه‌ها مبتنی بر جریان و گزارش است که همیشه وابسته به داده منابع بالادستی هستند.

نقش یادگیری ماشین در علم داده

علم داده به‌طور عام مربوط به شیوه‌های است که می‌توان دانش را از داده‌ها استخراج کرد. چشم‌انداز فراگیر آن حاوی شاخه‌های متنوعی ازجمله ریاضیات، آمار، یادگیری ماشین و بسیاری دیگر از روش‌های تجزیه‌وتحلیل است.

باید توجه داشت که یادگیری ماشین زیرشاخه‌ای از علم داده است. مدل جدید تشخیص تهدید از طیف گسترده‌ای از تکنیک‌های علم داده مانند یادگیری ماشین با ناظر و بی ناظر، مدل‌های ابتکاری ریاضی برای تشخیص، مدل‌سازی آماری و تحلیل‌های رفتاری استفاده می‌کند.

نرم‌افزارها به کمک یادگیری ماشین می‌توانند طی تکرارهایی دانش موجود در داده‌ها را بیاموزند و بدون اینکه مستقیماً کدی برایشان نوشته شود، قادر به انجام هدف موردنظر باشند. یادگیری ماشین در حوزه تشخیص تهدیدها، الگوها و رفتارهایی را می‌آموزد که بیانگر یک حمله هستند.

یادگیری ماشین در حوزه تشخیص تهدیدها، الگوها و رفتارهایی را می‌آموزد که بیانگر یک حمله هستند.

یادگیری ماشین با ناظر و بی ناظر

شناسایی تهدیدها به دو مجموعه داده سطح بالا نیاز دارد. مجموعه اول شامل تجربه‌ها و نمونه‌های کلی است که نشان می‌دهد تهدیدها با ترافیک عادی و بی‌خطر چه تفاوتی دارند. دوم مجموعه‌ای از تجربه‌ها و نمونه‌های محلی است که رفتار مخرب و غیرعادی را در یک محیط مشخص نشان می‌دهند.

رویکرد اول رفتارهایی را شناسایی می‌کند که همیشه مخربند، فارغ از اینکه در چه شبکه‌ای رخ می‌دهند؛ و رویکرد دوم باتوجه‌ به داخل سازمان تهدید را می‌یابد. هردو مورد برای تشخیص تهدیدها ضروری هستند و باید با همکاری هم کار کنند.

یادگیری ماشین با ناظر با تحلیل و بررسی بدافزارها، تهدیدها و تکنیک‌های حمله شناخته‌شده، به رویکرد اول مربوط می‌شود.. این تحلیل‌ها به‌عنوان ورودی به الگوریتمی داده می‌شوند که ماهیت رفتار مخرب را در ترافیک شبکه شناسایی می‌کند.

اگرچه دانش جمعی بسیار مفید است، اما برخی از حمله‌ها تنها از روی درک داخل سازمان شبکه مورد هدف قابل‌شناسایی هستند. یادگیری ماشین بی ناظر به مدل‌هایی گفته می‌شود که به‌طور کنش‌گرایانه تشخیص می‌دهند که در یک شبکه معین چه چیزی عادی است و چه زمانی یک رفتار از حالت عادی منحرف‌شده است.

هر دو سبک از یادگیری ماشین ضروری هستند و در کنار هم تهدیدهای پنهان را کشف می‌کنند. همچنین، در هر دو سبک می‌توان از الگوریتم‌های تشخیصی استفاده کرد که بر اساس اطلاعات گردآمده از بازه‌های زمانی طولانی کار می‌کنند.

مدل جدید تشخیص تهدید به‌جای شناسایی از روی یک بسته یا جریان داده در عرض چند صدم ثانیه، می‌آموزد که الگوهای رفتار حمله را در چند ثانیه و اگر لازم باشد در چند هفته شناسایی کند.