يعمل الذكاء الاصطناعي على تغيير اقتصاديات تطوير البرمجيات والهجمات الإلكترونية. تقوم المؤسسات بشحن التعليمات البرمجية بشكل أسرع من أي وقت مضى، وذلك بشكل متزايد بمساعدة وكلاء وأدوات الذكاء الاصطناعي التي تقوم بإنشاء البرامج وتعديلها ونشرها بمراجعة بشرية محدودة. وفي الوقت نفسه، أصبح بإمكان المهاجمين الآن الوصول إلى تلك القدرات نفسها. يمكن للذكاء الاصطناعي تحليل التعليمات البرمجية غير المألوفة، وتحديد نقاط الضعف، وتسريع عملية تطوير استغلال الثغرات بطرق تؤدي إلى ضغط الوقت بين الكشف عن الثغرات الأمنية والاستغلال بشكل كبير.
بالنسبة لفرق العمليات الأمنية، لا يعد هذا مجرد تحول تكنولوجي آخر. إنه يتحدى أحد الافتراضات الأساسية التي تم بناء العمليات الأمنية الحديثة حولها: أن المدافعين لديهم الوقت. حان الوقت للتحقيق في التنبيه وجمع السياق وتحديد التأثير وتحديد كيفية الاستجابة. ومع استمرار تقلص الجداول الزمنية للاستغلال، يصبح من الصعب على نحو متزايد الحفاظ على النموذج التقليدي لجمع السياق بعد إطلاق التنبيه.
ولا يقتصر الرد على إضافة المزيد من الأتمتة فحسب. إنها إعادة التفكير في كيفية عمل العمليات الأمنية. في عالم يعتمد على الذكاء الاصطناعي، ستكون الفرق التي تنجح هي تلك التي يمكنها فهم بيئتها بشكل مستمر، ومراقبة فئات جديدة من النشاط، والتحقيق في الحوادث بسرعة الآلة. يكمن وراء هذه الثلاثة متطلبات واحدة: السياق.
تتحدث الصناعة غالبًا عن الذكاء الاصطناعي كما لو أنه يفيد المهاجمين والمدافعين على حد سواء. لا أعتقد أن هذا صحيح. يكتسب المهاجمون السرعة، لكن المدافعين يكتسبون شيئًا أكثر قيمة: القدرة على التفكير في السياق الكامل لبيئتهم. الذكاء الاصطناعي هو في الأساس محرك سياق، ويمتلك المدافعون معلومات لن يمتلكها المهاجمون أبدًا – العلاقات بين أعباء العمل والهويات ومخازن البيانات والموارد السحابية والتعليمات البرمجية ووظائف الأعمال. ويكمن التحدي في إتاحة هذا السياق قبل الحاجة إليه.
التحضير: يجب أن يكون السياق موجودًا قبل وقوع الحادث
لا تزال معظم فرق الأمن تعمل بشكل تفاعلي، وتاريخيًا كان ذلك منطقيًا. في الواقع، تم بناء الكثير من العمليات الأمنية الحديثة – والعديد من عمليات سير العمل المعتمدة على SIEM – حول هذا الافتراض. اكتشف التنبيه أولاً، ثم اجمع السياق اللازم لفهم التأثير وتحديد الاستجابة.
وفي عصر الذكاء الاصطناعي والسحابة، أصبحت هذه العملية عائقًا.
أول تغيير رئيسي لقوات الذكاء الاصطناعي في العمليات الأمنية هو أنه لم يعد من الممكن جمع السياق أثناء التحقيق. يجب أن تكون موجودة مسبقا. تحتاج فرق الأمان إلى فهم محدث باستمرار لبيئتها: ما هي أعباء العمل التي يتم تشغيلها، وما هي الهويات التي يستخدمونها، وما هي البيانات التي يمكنهم الوصول إليها، وكيفية اتصالهم ببعضهم البعض، والغرض التجاري الذي يخدمونه.
ويصبح هذا التحدي أكثر صعوبة مع انتشار التطبيقات التي تعمل بالذكاء الاصطناعي. يظهر الوكلاء والخدمات ومسارات العمل الجديدة المدعومة بالذكاء الاصطناعي بشكل أسرع مما تستطيع معظم المؤسسات جردهم يدويًا. يصبح الحفاظ على فهم دقيق للبيئة أمرًا مستحيلًا من خلال العمليات اليدوية وحدها.
والنتيجة العملية هي أن كل عبء عمل يجب أن يكون قابلاً للتفسير عند الطلب. يجب أن يكون المحلل قادرًا على الفهم الفوري لما تفعله الخدمة، وما يمكنها الوصول إليه، ومن يملكها، وما هو تأثير التسوية. إن بناء هذا المستوى من الفهم والحفاظ عليه على نطاق السحابة يتطلب بشكل متزايد الذكاء الاصطناعي نفسه، مدعومًا بنموذج بيانات يجعل العلاقات عبر البيئة واضحة ويسهل اجتيازها بواسطة وكلاء الذكاء الاصطناعي.
الرصد: تم توسيع سطح الهجوم
التحول الثاني هو ما يجب على فرق الأمن مراعاته.
تقدم تطبيقات الذكاء الاصطناعي طبقة جديدة من النشاط لا تتناسب تمامًا مع أساليب المراقبة التقليدية. في الماضي، ركزت فرق الأمان بشكل أساسي على البنية التحتية وأعباء العمل وسلوك المستخدم. والآن يحتاجون أيضًا إلى رؤية التفاعلات التي تحدث بين المستخدمين والتطبيقات والنماذج. في Wiz، نفكر في الرؤية عبر ثلاث طبقات: طبقة النموذج، وطبقة عبء العمل، وطبقة السحابة
في طبقة النموذج، تحتاج المنظمات إلى رؤية واضحة للمدخلات والمخرجات. غالبًا ما تصبح محاولات الحقن الفوري، والكشف عن البيانات الحساسة، وإساءة استخدام النماذج، وأساليب الهجوم الأخرى الخاصة بالذكاء الاصطناعي مرئية أولاً من خلال سجلات الاستدعاء. سواء اختارت المؤسسات فحص الطلبات بشكل مضمن أو تحليل السجلات بعد ذلك، فإن ذلك أقل أهمية من ضمان وجود الرؤية.
في طبقة عبء العمل، تظل مراقبة وقت التشغيل مهمة أكثر من أي وقت مضى، كما أن قيمة السياق أعلى. قد لا يكون تنفيذ عملية مشبوهة أو اتصال خارجي أو طلب خدمة بيانات تعريفية ذا معنى بمعزل عن الآخر؛ ومع ذلك، عند دمجها مع الأدلة على التلاعب الفوري أو نشاط النموذج غير المعتاد، يمكن أن تصبح نفس الإشارة ذات أهمية كبيرة. لم يعد التحدي يتمثل في جمع بيانات القياس عن بعد؛ إنها فهم الأحداث ضمن السياق الأوسع لعبء العمل الذي يولدها.
الطبقة السحابية هي المكان الذي يصبح فيه هذا مهمًا بشكل خاص. يتفاعل وكلاء الذكاء الاصطناعي بشكل متزايد مع قواعد البيانات وتطبيقات SaaS وواجهات برمجة التطبيقات والبنية التحتية السحابية باستخدام هويات الجهاز والأذونات المفوضة. ونتيجة لذلك، فإن العديد من الإشارات الأكثر أهمية لا تظهر في النموذج نفسه، ولكن في الإجراءات المتخذة نيابة عنه. قد يشير وكيل الذكاء الاصطناعي الذي يقوم بتعديل البيانات الحساسة، أو الوصول إلى الموارد خارج نطاقه المتوقع، أو الحصول على امتيازات مرتفعة، إلى سلوك يستدعي التحقيق حتى لو كانت الإجراءات الأساسية تبدو مشروعة ظاهريًا.
ولذلك تحتاج فرق الأمن إلى الرؤية عبر الطبقات الثلاث، والأهم من ذلك، القدرة على ربطها. قد يبدو حدث الإدخال الفوري، وتنفيذ العملية المشبوهة، والتعديل غير المتوقع لقاعدة البيانات غير مرتبطين عند عرضهما بشكل منفصل. عند الاتصال من خلال رسم بياني لأعباء العمل والهويات والأذونات ومخازن البيانات والموارد السحابية، فإنها تصبح جزءًا من سرد متماسك. إن نموذج البيانات الأساسي مهم لأنه يحدد ما إذا كان بإمكان عملاء الذكاء الاصطناعي التفكير عبر البيئة أو مجرد تحليل الأحداث المعزولة.
الرد: مواكبة الهجمات الآلية
اليوم، يقضي المحلل الكثير من وقته في جمع المعلومات بدلاً من اتخاذ القرارات. غالبًا ما تتطلب التحقيقات التركيز على أدوات متعددة لجمع السجلات السحابية، وقياس وقت التشغيل عن بعد، وقوائم جرد الأصول، وكود المصدر، وعلاقات الهوية، والتحف الجنائية قبل أن تبدأ في الظهور. نادرًا ما يكون عنق الزجاجة هو الوصول إلى البيانات، بل هو تجميع السياق ذي الصلة بسرعة كافية لفهم ما حدث.
هذا هو المكان الذي يتمتع فيه الذكاء الاصطناعي بالقدرة على خلق ميزة ذات معنى للمدافعين.
يعمل المهاجم من الخارج إلى الداخل. وحتى بمساعدة الذكاء الاصطناعي، يقتصر عمله على المعلومات التي يمكنه اكتشافها أو الحصول عليها. يعمل المدافعون من الداخل إلى الخارج. لديهم إمكانية الوصول إلى البيئة الكاملة: قوائم جرد الأصول، وعلاقات الهوية، وأنماط الوصول إلى البيانات، والنشاط التاريخي، وكود المصدر، وتعريفات البنية التحتية، والسياق التنظيمي.
نظرًا لأن عملاء الذكاء الاصطناعي يقدمون أفضل أداء عند إعطائهم سياقًا غنيًا، فإن المدافعين في وضع فريد يمكنهم من الاستفادة منهم.
يمكن لوكلاء تحقيق الذكاء الاصطناعي الفعالين تحليل الأحداث السحابية ونشاط وقت التشغيل وسجلات الاستدعاء والتعليمات البرمجية المصدرية والأدلة الجنائية في وقت واحد. ويمكنه تحديد ليس فقط ما إذا كان هناك شيء مريب قد حدث، ولكن أيضًا ما إذا كان عبء العمل قد تصرف بطريقة لا تتفق مع الغرض المقصود منه.
وهذا التمييز مهم. غالبًا ما تطغى فرق الأمن على التنبيهات التي تبدو مشبوهة ولكن يتبين أنها سلوك متوقع. يتحول السؤال من “هل حدث شيء غير عادي؟” إلى “هل حدث شيء لم يكن عبء العمل هذا مصممًا للقيام به على الإطلاق؟”
تتطلب الإجابة على هذا السؤال سياقًا، ولكنه أيضًا المكان الذي يتمتع فيه المدافعون بأكبر ميزة لهم. قد يكون المهاجمون قادرين على أتمتة الاستغلال، لكنهم لا يستطيعون بسهولة تكرار الفهم الداخلي لدى المنظمات حول بيئاتهم الخاصة.
وهذه القدرات ليست في الأفق. لقد انتقل عملاء الذكاء الاصطناعي بالفعل إلى ما هو أبعد من التحليل الثابت وقاموا بجمع الأدلة بنشاط كجزء من التحقيقات المباشرة. بدلاً من انتظار المحلل لاسترداد السجلات أو فحص التعليمات البرمجية أو فحص تعريفات البنية التحتية، يقوم وكلاء الذكاء الاصطناعي بتنفيذ هذه المهام تلقائيًا، ويقومون بتجميع المعلومات اللازمة للتوصل إلى نتيجة. يظل المحللون البشريون مسؤولين عن الحكم والتصعيد والاستجابة، لكنهم يقضون وقتًا أقل في جمع الحقائق ووقتًا أطول في التصرف بناءً عليها. يعد Wiz’s Blue Agent أحد الأمثلة الملموسة على ذلك في الممارسة العملية: عندما يتم اكتشاف تهديد، فإنه يقوم تلقائيًا بالتحقيق وجمع الأدلة الجنائية وإصدار الحكم – مع شرح شفاف لكل خطوة – قبل أن يفتح محلل بشري التنبيه.
قواعد اللعب الخاصة بـ SecOps الجديدة
العمليات الأمنية تدخل مرحلة انتقالية. إن سير العمل والافتراضات ونماذج الأدوات التي تطورت حول بيئات أبطأ الحركة تواجه تحديًا من عالم يتم فيه إنشاء البرامج بشكل أسرع ويمكن للمهاجمين التحرك بسرعة الآلة.
سيتم تحديد المنظمات التي تتكيف بنجاح من خلال مدى فعاليتها في تفعيل السياق الموجود لديها بالفعل، وليس فقط الأدوات التي تستخدمها.
لن يتم تحديد مركز عمليات الأمان (SOC) المستقبلي بعدد التنبيهات التي يعالجها أو مقدار الأتمتة التي ينشرها. وسيتم تحديده من خلال مدى فعاليته في فهم بيئته وتطبيق هذا الفهم أثناء التحقيق. سوف يصبح الذكاء الاصطناعي أساساً للعمليات الأمنية ليس لأنه يحل محل المحللين، بل لأنه يمكّن المدافعين من التفكير في بيئات معقدة على نطاق وسرعة لا يستطيع البشر تحقيقها بمفردهم.
