🟣و شروع عصر جدید امنیت
🔴خطر در تصویر فوق : دقت کنید

✅️و اما ما در این وضع چه باید بکنیم ؟

ظهور ابزارهای هوش مصنوعی مخرب، صرفاً یک تهدید جدید نیست؛ بلکه یک تغییر پارادایم (Paradigm Shift) است که نیازمند تحول بنیادین در رویکردهای مهندسی کشف (Detection Engineering) و شکار تهدید (Threat Hunting) است.

تیم‌های امنیتی دیگر نمی‌توانند به روش‌های سنتی تکیه کنند. در ادامه، تغییرات کلیدی که این دو حوزه باید اتخاذ کنند، به تفصیل شرح داده شده است:



۱. تحول در مهندسی کشف (Detection Engineering)

مهندسی کشف، که وظیفه ساخت و نگهداری سیستم‌های هشداردهنده (Detection Rules) را بر عهده دارد، باید از رویکردهای ایستا به سمت رویکردهای پویا و رفتاری حرکت کند.

الف) گذار از شاخص‌های نفوذ (IOCs) به سمت تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs):

* مشکل رویکرد سنتی: بدافزارهای تولید شده توسط MalwareGPT یا WormGPT می‌توانند چندریختی (Polymorphic)باشند. یعنی هر بار که تولید می‌شوند، هش (Hash) فایل، آدرس IP سرور کنترل و فرمان (C2)، و دیگر شاخص‌های ایستا (IOCs) در آن‌ها تغییر می‌کند. بنابراین، قوانین مبتنی بر IOC بلافاصله منسوخ می‌شوند.
* راه حل جدید: به جای تمرکز بر "چه چیزی" (What)، باید بر "چگونه" (How) تمرکز کرد. مهندسان کشف باید قوانینی بنویسند که رفتارها و الگوهای حمله را شناسایی کنند. این رفتارها در چارچوب MITRE ATT&CK دسته‌بندی می‌شوند.
* مثال:
* قانون قدیمی (مبتنی بر IOC): Alert if file hash =='abcde12345'
* قانون جدید (مبتنی بر TTP):Alert if a Microsoft Word process spawns a PowerShell process, which then makes an outbound network connection to a domain registered in the last 7 days.
این قانون، صرف‌نظر از اینکه بدافزار چیست، یک تکنیک رایج در زنجیره حمله را شناسایی می‌کند.

ب) استفاده از هوش مصنوعی و یادگیری ماشین برای دفاع (AI/ML for Defense):

مبارزه با هوش مصنوعی مهاجم، نیازمند هوش مصنوعی مدافع است.

* تحلیل رفتار کاربر و موجودیت (UEBA - User and Entity Behavior Analytics):سیستم‌های UEBA یک خط مبنا (Baseline) از رفتار عادی کاربران و سیستم‌ها ایجاد می‌کنند. ایمیل فیشینگ تولید شده توسط FraudGPT ممکن است بسیار متقاعدکننده باشد و کاربر را فریب دهد، اما UEBA می‌تواند رفتار غیرعادی کاربر پس از کلیک را شناسایی کند. مثلاً: "چرا حسابدار شرکت ناگهان در حال دسترسی به فایل‌های سورس کد در ریپازیتوری توسعه‌دهندگان است؟"
* تشخیص ناهنجاری (Anomaly Detection):به جای جستجوی الگوهای "بد" شناخته‌شده، باید به دنبال هر چیزی بود که "عادی" نیست. این شامل ناهنجاری در ترافیک شبکه، استفاده از CPU، توالی فراخوانی‌های API و... می‌شود.

ج) غنی‌سازی داده‌ها و تمرکز بر تله‌متری اندپوینت (Endpoint Telemetry):

برای تحلیل رفتاری، به داده‌های غنی و با جزئیات نیاز است.

* فراتر از لاگ‌ها: صرفاً بررسی لاگ فایروال کافی نیست. مهندسان کشف به داده‌های دقیق از Endpoint Detection and Response (EDR) نیاز دارند: ساختار درختی فرآیندها (Process Tree)، آرگومان‌های خط فرمان (Command-line Arguments)، تغییرات رجیستری، و فراخوانی‌های سیستمی. این داده‌ها زمینه (Context) لازم برای شناسایی TTPها را فراهم می‌کنند.

د) آزمایش مداوم قوانین با حملات شبیه‌سازی‌شده (Adversary Emulation):

* تیم‌های امنیتی باید از ابزارهای هوش مصنوعی (حتی ابزارهای قانونی مانند ChatGPT) برای تولید کدهای حمله و ایمیل‌های فیشینگ استفاده کنند و با آن‌ها سیستم‌های دفاعی و قوانین کشف خود را بیازمایند. این کار یک حلقه بازخورد مداوم برای بهبود دفاع ایجاد می‌کند.


۲. تحول در شکار تهدید (Threat Hunting)

شکار تهدید یک فرآیند کنشگرانه (Proactive) برای یافتن تهدیداتی است که از سیستم‌های دفاعی خودکار عبور کرده‌اند. این حوزه نیز باید متحول شود.

الف) فرضیه‌های شکار مبتنی بر قابلیت‌های هوش مصنوعی مهاجم:

شکارچیان تهدید باید فرضیه‌های خود را بر اساس آنچه ابزارهای مخرب AI قادر به انجام آن هستند، تنظیم کنند.

* فرضیه قدیمی: "یک مهاجم ممکن است از ابزار شناخته‌شده Mimikatz برای سرقت اعتبارنامه‌ها استفاده کند."
* فرضیه جدید:"یک مهاجم ممکن است با استفاده از WormGPT یک اسکریپت سفارشی و مبهم‌سازی‌شده (Obfuscated) برای اجرای تکنیک‌های Living-off-the-Land (استفاده از ابزارهای موجود در خود سیستم‌عامل) ایجاد کرده باشد. بیایید به دنبال اجرای غیرعادی PowerShell،WMI یا Bitsadmin` بگردیم که توسط فرآیندهای غیرمرتبط (مانند یک فایل PDF) آغاز شده‌اند."

ب) شکار الگوهای "غیرانسانی" در محتوا و کد:

ادامه دارد👇👇