هوش مصنوعی چطور می‌تواند در خدمت کشف APT باشد

✍روزبه نوروزی

مقدمه‌ای بر شبکه‌های مولد تخاصمی (GANها)

شبکه‌های مولد تخاصمی ، که توسط ایان گودفلو و همکارانش در سال ۲۰۱۴ معرفی شدند، یک چارچوب قدرتمند در یادگیری ماشین و به ویژه در یادگیری بدون نظارت هستند. ایده اصلی GAN بر پایه یک “بازی” بین دو شبکه عصبی استوار است: مولد (Generator) و متمایزکننده (Discriminator). مولد تلاش می‌کند داده‌های مصنوعی (مانند تصاویر، متن، یا صدا) تولید کند که تا حد امکان به داده‌های واقعی شباهت داشته باشند. در مقابل، متمایزکننده سعی می‌کند تشخیص دهد که داده ورودی واقعی است یا توسط مولد ساخته شده. این دو شبکه به طور همزمان آموزش می‌بینند و در یک فرآیند رقابتی، مولد در تولید داده‌های واقعی‌تر و متمایزکننده در تشخیص داده‌های جعلی ماهرتر می‌شوند، تا جایی که مولد بتواند داده‌هایی تولید کند که متمایزکننده قادر به تفکیک آن‌ها از داده‌های واقعی نباشد.

نمونه واقعی:

چگونه می‌توانست GAN در کشف حمله‌ی SolarWinds مؤثر باشد؟ (بدافزار Sunburst):

شرح مختصر حمله: مهاجمان به زنجیره تأمین نرم‌افزار نفوذ کرده و یک در پشتی (بدافزار Sunburst) را در به‌روزرسانی‌های قانونی پلتفرم مانیتورینگ Orion شرکت SolarWinds جاسازی کردند. این بدافزار پس از نصب، برای مدتی غیرفعال می‌ماند، سپس با یک دامنه تولید شده الگوریتمی (DGA) برای دریافت دستورات و کنترل (C2) ارتباط برقرار می‌کرد. ارتباطات C2 طوری طراحی شده بود که شبیه ترافیک عادی Orion به نظر برسد.
ببینیم چگونه GAN می‌توانست کمک کند:

ناهنجاری در الگوی DNS و HTTP/S:
حتی اگر ارتباطات C2 سعی در تقلید ترافیک عادی داشت، GAN می‌توانست تفاوت‌های ظریف را تشخیص دهد. برای مثال:
زمان‌بندی بیکن‌ها: بیکن‌های C2 ممکن است دارای یک الگوی زمانی بسیار منظم (مثلاً هر X دقیقه با دقت بالا) یا بالعکس، یک الگوی تصادفی باشند که با الگوهای عادی درخواست‌های Orion متفاوت است.
مقصد ارتباط: حتی اگر نام دامنه سعی در تقلید داشت (مثلاً avasoftware[.]com برای Sunburst)، خود این دامنه برای مدل GAN که روی ترافیک عادی آموزش دیده، “جدید” و “غیرمنتظره” بود. اگرچه ممکن است از نظر معنایی شبیه به نظر برسد، اما از نظر آماری و ارتباطی، یک مقصد جدید است.
ویژگی‌های ارتباطی سطح پایین: اندازه بسته‌ها، توالی پرچم‌های TCP، یا حتی ویژگی‌های رمزنگاری TLS (مانند ciphersuites) برای ارتباطات C2 ممکن است با آنچه مدل از ارتباطات عادی Orion یاد گرفته بود، تفاوت‌های جزئی داشته باشد.
شناسایی “اولین تماس”: اولین باری که یک میزبان داخلی آلوده سعی در برقراری ارتباط با دامنه C2 جدید می‌کرد، به عنوان یک ناهنجاری برجسته توسط GAN شناسایی می‌شد، زیرا این الگو (میزبان X در حال صحبت با دامنه Y) قبلاً در داده‌های آموزشی “نرمال” دیده نشده بود.
کشف سریع‌تر: به جای ماه‌ها، این ناهنجاری‌ها می‌توانستند در عرض چند روز یا هفته پس از فعال شدن بدافزار شناسایی شوند، قبل از اینکه مهاجمان به اهداف اصلی خود برسند یا حجم زیادی از داده‌ها را استخراج کنند.


در واقع ؛ هنگام حمله فوق از GAN استفاده نشد اما این مقاله نشان داد میتوان از یادگیری ماشینی در کشف APT مانند فوق استفاده کرد

#آکادمی_روزبه
مرکز تخصصی CISSP