الإثبات والتقييم
الأدلة والاختبار وإرشادات التقييم - النتائج الموثقة، وكيفية إجراء إثبات مفهوم ذي معنى، وما يجب سؤاله لأي مورّد حلول وقاية؟

هل تجتاز Cyber Crucible اختبارات محاكاة برامج الفدية؟
الإجابة الأفضل هي...أن الأمر يعتمد على جودة ودقة محاكاة برامج الفدية، ولكننا لم نصادف الكثير من الاختبارات عالية الجودة التي تضاهي أدوات وسلوكيات الهجمات الحقيقية. 
 
 
 تفحص Cyber Crucible الأنماط السلوكية الكامنة في الوصول إلى الملفات، وسلوكيات الذاكرة، وسلوكيات العمليات، والسلوكيات التشفيرية لتحديد أنشطة ابتزاز البيانات وإيقافها بالتزامن مع الهجوم. 
 تطورت بعض عمليات محاكاة برامج ابتزاز البيانات بمرور الوقت لتصبح تمثيلًا أكثر دقة للهجمات الحقيقية. 
 واجهنا عمليات محاكاة بدا أنها تركز على التحقق من إجراءات مواجهة ابتزاز البيانات التي أفصح عنها بعض البائعين، وليس على أساليب أدوات الابتزاز والمهاجمين أنفسهم. ويمكن التعبير عن ذلك بالقول: "اختبار الإجراء المضاد، وليس اختبار الهجوم نفسه". 
 استجابةً لذلك، لا نتردد أبدًا في إجراء الاختبارات مقابل محاكاة المهاجمين، واختبارات الاختراق، أو أدوات الابتزاز. نقوم بشكل روتيني بمهاجمة برنامجنا الخاص، وإعادة تنفيذ أساليب المهاجمين التي نلاحظها في النقاشات عبر الإنترنت أو التي نعثر عليها (ونوقفها) في بيئات العملاء.

هل توجد لدى Cyber Crucible نتائج إيجابية كاذبة؟ وما هو معدل النتائج الإيجابية الكاذبة؟
تسعى Cyber Crucible جاهدة لتحقيق بيئة منتج خالية تمامًا من النتائج الإيجابية الكاذبة. ومع ذلك، تحدث أحيانًا نتائج إيجابية كاذبة. دعونا نناقش من أين تنشأ هذه الحالات. 
 حاليًا، يبلغ معدل النتائج الإيجابية الكاذبة استجابة واحدة تقريبًا شهريًا لكل 1800 عملية نشر/وكيل، مع مساءلة كاملة عن أسباب حدوث تلك الاستجابات. 
 برنامج تالف يقوم بعمليات ملفات سريعة 
 سواء عن قصد أو نتيجة برمجة رديئة، تتلف بعض البرامج نفسها أحيانًا، أو تُتلف بواسطة برامج أخرى أثناء التشغيل. نلاحظ ذلك كثيرًا مع الميزات الجديدة في حزم البرامج الكبيرة، مثل Microsoft Office، أو البرمجيات المخصصة الاحتكارية. 
 ما يحدث هو أن ذاكرة البرنامج تصبح تالفة، مما يزيد من مستوى الفحص للبرنامج. إذا تبع ذلك سلوك وصول إلى الملفات يشبه سلوك الابتزاز، تضطر Cyber Crucible إلى إيقاف البرنامج. نحن نتحسن باستمرار في تحديد الأخطاء البرمجية المعروفة، وستتمكن على الأقل من تشغيل برنامجك حتى يتعطل (بعضها يعيد التشغيل تلقائيًا، والبعض الآخر لا يفعل ذلك). 
 في عالم لا يستخدم فيه المهاجمون نظام الملفات، بل يخترقون ذاكرة البرامج قيد التشغيل بدلًا من ذلك، يتعين علينا توخي الحذر الشديد. 
 تمتلك Cyber Crucible الآن القدرة على إنشاء إذن، بحيث إنه إذا تسبب البرنامج A، بالوسائط Arguments A، في إتلاف البرنامج B، بالوسائط Arguments B - يمكننا إنشاء استثناء مؤقت لـ: 
 (البرنامج A + الوسائط A) يفتح (البرنامج B + الوسائط B) 
 بهذه الطريقة، لا يُفترض وجود خطر إضافي بتورط أحد المخترقين، ما لم يستخدم بالمصادفة نفس الوسائط بالضبط. 
 مثال ممتاز على ذلك كان عندما قدمت Microsoft لأول مرة إمكانية فتح مستندات Office من داخل برنامج المحادثة الخاص بها لسطح المكتب. كان ذلك يتسبب في إتلاف برنامج Office...في كل...مرة....ثم كان برنامج Office يبدأ بفحص جميع المستندات على الجهاز في حوالي 25% من الحالات. تلك الحالة...كانت بحاجة إلى استثناء. 
 إذا واجهت تعطلاً، استخدم زر الدعم، وسنساعدك في إنشاء استثناء، إلى أن يقوم المورّد بإصلاح المشكلة. 
 برامج الأمان 
 تتعايش Cyber Crucible بشكل جيد جدًا مع برامج الأمان. على عكس ما يعتقده معظم العملاء الجدد، تميل أدوات الأمان الأكثر تقدمًا إلى استخدام تفاعلات نظام أكثر تطورًا مقارنة ببرامج مكافحة الفيروسات التي تستخدم تقنيات أقدم. في الواقع، تشغل بعض أدوات الأمان المجانية أو الرخيصة مجموعة متنوعة من نصوص Powershell غير الآمنة كجزء أساسي من حمايتها، بدلًا من برامج فعلية. 
 بصفتها أداة أمان قائمة على النواة (kernel) وعالية المرونة، من الأفضل النظر إلى Cyber Crucible على أنها "أدنى" أو "أقرب" إلى الأجهزة مقارنة بمعظم الأدوات الأخرى. تقوم Cyber Crucible تلقائيًا بتحديد وإضافة أدوات الأمان الأخرى إلى النماذج السلوكية. وطالما لم تُظهر أدوات الأمان علامات على أنها مخترقة، يُسمح لها بالعمل بشكل طبيعي. 
 في بعض الأحيان، قد تتسبب إحدى أدوات الأمان في عدم استقرار النظام، عندما تفشل محاولاتها في إيقاف تشغيل برنامج Cyber Crucible أو التداخل معه. في تلك الحالات، من الأفضل إدراج Cyber Crucible ضمن القائمة البيضاء في أداة الأمان الأخرى، لمنعها من المحاولة (والفشل) في تعطيل Cyber Crucible أو التداخل معه. 
 لا تتردد في فتح تذكرة دعم مع Cyber Crucible، عبر بوابة الويب، لمناقشة الأمر. 
 الأدوات الإدارية أو أدوات النسخ الاحتياطي 
 في بعض الحالات، يجب إنشاء سلوك مخصص لأداة إدارية أو أداة نسخ احتياطي، بينما يقوم فريق Cyber Crucible بتطوير نموذج سلوكي محسّن. في هذه الحالة، سيساعد فريق Cyber Crucible في إنشاء استثناء في النموذج السلوكي، والذي سيحدد البرنامج والوسائط لنافذة زمنية صغيرة للغاية لاحتمال وقوع هجوم.

هل تختبر Cyber Crucible جميع أنواع برامج الفدية الممكنة بشكل شامل؟
تعمل Cyber Crucible استنادًا إلى نمذجة سلوكية على مستوى النواة (kernel)، لاكتشاف سرقة البيانات وسرقة بيانات الاعتماد وسلوكيات تشفير برامج الفدية بسرعة كبيرة. تُتخذ القرارات السلوكية باستخدام معلومات من سلوك العمليات، والسلوكيات المستمدة من الذاكرة، وبعض أنواع السلوكيات المستمدة من الملفات، لاتخاذ قرار في اللحظة التي يوشك فيها الابتزاز على الحدوث. 
 على الرغم من العدد الكبير جدًا من عينات برامج الفدية والبرمجيات ذات الطابع الابتزازي، يمكن تصنيفها سلوكيًا إلى عدد صغير نسبيًا من المجموعات. 
 ومع ذلك، على السطح، تواجه الدفاعات "السطحية" التي تستخدمها مجموعة متنوعة من أدوات الأمان عددًا كبيرًا جدًا من أدوات الابتزاز التي يجب مواجهتها. من المهم فهم أن تحليلاتنا السلوكية تتعمق بشكل أكبر في أدوات المهاجمين وأساليبهم، مما يقلل بشكل كبير من الحاجة إلى نوع من الاختبار الشامل (المستحيل) لجميع البرمجيات الخبيثة الممكنة في جميع الأوقات. 
 يقوم مطورو Cyber Crucible بتصنيف سلوكيات الذاكرة والعمليات والملفات على مستوى النواة الخاصة بأداة الابتزاز، ثم يضمنون أنها تندرج ضمن إحدى القدرات الدفاعية المعروفة. في بعض الأحيان، وعلى غرار اللقاح، يمكن تعديل الصيغة قليلاً لإنتاج استجابة أكثر دقة. 
 نادرًا جدًا ما يظهر شيء جديد تمامًا. 
 يعمل فريق Cyber Crucible بشكل شامل لاكتشاف التقنيات الجديدة بشكل استباقي والتي لم تُلاحظ بعد لدى قاعدة عملائنا، أو في معلومات التهديدات الاستخباراتية. 
 ما هي النتيجة؟ 
 1. دفاع Cyber Crucible ضد أدوات الابتزاز شامل ضد جميع متغيرات برامج الفدية المعروفة. 
 2. يتم حظر متغيرات برامج الفدية الجديدة حتى قبل أن تصل إلى أول العملاء. نحن في الواقع لا نعرف حتى ماذا نسمي معظم البرمجيات التي ندافع ضدها لمدة تصل إلى حوالي 120 يومًا، إلى أن "يلحق" الباحثون بالركب. 
 3. يتصل بنا أحيانًا مطورو برامج الفدية وأدوات الابتزاز لمعرفة ما نقوم به، في محاولة لإيجاد ثغرة. لسوء الحظ، يبدو أن الإحباط الناتج عن وجودنا يحفز أحيانًا على التطور من جانبهم، مما يجعل الأدوات الأخرى أقل فعالية. 
 4. نرحب باختبار برنامجنا. عندما ينضم مختبرو الاختراق، أو محللو البرمجيات الخبيثة، أو متخصصو محاكاة الخصوم إلى عملية البيع - نشعر بالحماس!

ما الدليل على أن Cyber Crucible توقف الهجمات فعليًا؟
إجابة موجزة: عمليات نشر موثقة لدى العملاء، واختبار مستقل أجرته إحدى كبرى شركات المحاسبة والاستشارات، وحالات متكررة لإيقاف هجمات يوم الصفر قبل أشهر من إبلاغ الموردين الآخرين عنها. 
 نتائج موثقة 
 
 الخدمات المالية: اعتراض ما يقارب 10,000 عملية خبيثة بشكل مستقل خلال 60 يومًا، منها 98% على مزرعة خوادم Microsoft SQL ذات صلاحيات مرتفعة — دون أي تنبيهات من ثلاثة أنظمة EDR منشورة، أو من نظام MDR، أو من مركز عمليات أمنية (SOC) متعاقد عليه من ضمن أفضل 50 مركزًا. 
 الاختبار المستقل: قامت إحدى أكبر شركات المحاسبة والاستشارات في أمريكا الشمالية بإخضاع Cyber Crucible لتقييمها الخاص أمام سيناريوهات برامج الفدية، وسرقة البيانات، والاحتيال في الهوية. 
 متقدمة على الصناعة: أوقفت Cyber Crucible هجمات يوم الصفر متعددة على شبكات العملاء قبل ما يصل إلى 90 يومًا من إبلاغ أو استجابة أي مورّد آخر لها. 
 الهجمات المستندة إلى المتصفح: ابتداءً من الربع الرابع من عام 2023، ارتفعت الاستجابات الآلية ضد نشاط Chrome وEdge وChromium من الصفر إلى الآلاف، مع نشر ثغرات CVE ذات صلة لاحقًا من قبل Google وMicrosoft. 
 مدفوعات الفدية: دفع نحو 90% من ضحايا برامج الفدية في عام 2023. أما عملاء Cyber Crucible فقد دفعوا 0 دولار. 
 
 الصمود في مواجهة الهجوم المباشر 
 في عملية نشر بحرية، صعّد المهاجمون هجومهم إلى اختطاف بيانات اعتماد Windows وقفل الأنظمة على مستوى BIOS بعد فشل المحاولات التقليدية. ومع عميلين آخرين، حاول المهاجمون الذين لم يتمكنوا من التغلب على محرك القرار في النواة (kernel) بدلاً من ذلك منع إشعار العميل عبر مهاجمة مكدس الشبكة الخاص بنظام التشغيل — وفشلوا، لأن اتصالات الشبكة الخاصة بـ Cyber Crucible مستقلة عن نظام التشغيل.

كيف ينبغي لنا إجراء إثبات مفهوم (proof of concept) لأداة وقائية؟
إجابة موجزة: انشرها جنبًا إلى جنب مع مجموعة أدواتك الحالية في بيئة إنتاج حقيقية، وقارن ما تراه كل أداة. النتيجة الأكثر إفادة ليست اختبارًا مخبريًا — بل الفجوة بين ما تنبّه إليه أدواتك الحالية وما يتم اعتراضه فعليًا. 
 لماذا يعمل النشر جنبًا إلى جنب بشكل أفضل 
 قامت شركة الخدمات المالية في الحالة الأكثر توثيقًا لدينا بذلك بالضبط. لم تُزل أي شيء. أضافت Cyber Crucible خصيصًا لمعرفة ما كان يفوت استثمارها الحالي، وحصلت على إجابة قاطعة في غضون 60 يومًا. 
 ما الذي يجب قياسه 
 
 الاعتراضات التي لم تنبّه إليها مجموعة أدواتك الحالية أبدًا. هذه هي الإشارة الأساسية. 
 الوقت اللازم لاتخاذ القرار. يجب أن تكتمل الوقاية قبل حدوث الضرر، وليس قبل إغلاق التذكرة. 
 تعطل الأعمال. احسب فترات التوقف، وإعادة التشغيل، والانقطاعات الناتجة عن الإيجابيات الكاذبة. 
 ساعات عمل المحللين المستهلكة. يجب أن تقلل الوقاية المستقلة من عبء العمل، لا أن تضيف طابور انتظار. 
 
 تحذير بشأن الاختبار المخبري 
 غالبًا ما يقيس الاختبار مقابل عينات مأخوذة من قواعد بيانات البرمجيات الخبيثة القليل جدًا، لأن المهاجمين يصممون البرمجيات الخبيثة لتبقى خاملة ما لم تتلقَّ إشارة تحقق من خادم قيادة وتحكم حي لا يزالون يشغّلونه. العينة التي لا تفعل شيئًا في مختبرك لا تثبت شيئًا بشأن هجوم حقيقي.

ما الأسئلة التي ينبغي طرحها على أي مورّد لأمن نقاط النهاية؟
إجابة موجزة: اسأل عن مكان اتخاذ القرارات، وما الذي يحدث في حال انقطاع الاتصال، وما الذي تعتمد عليه الأداة لتعمل، وهل تقوم بالمنع أم تكتفي بالإبلاغ. تكشف الإجابات بسرعة الفرق بين البنية المعمارية الحقيقية والتسويق. 
 أسئلة تستحق الطرح 
 
 أين يُتخذ القرار الوقائي — على نقطة النهاية أم في السحابة الخاصة بكم؟ لا يمكن لجولة اتصال عبر الشبكة ضمن المسار الحرج أن تتفوق على هجوم يحدث خلال أجزاء من الثانية. 
 ماذا يحدث عندما يكون الجهاز غير متصل بالإنترنت أو معزولًا (air-gapped)؟ إذا تراجعت الحماية، فهذا يعني أنها لم تكن محلية أصلًا. 
 هل يعتمد العميل (agent) الخاص بكم على مكتبات نظام Windows ليعمل؟ إذا كانت الإجابة نعم، فإن أي مهاجم يخترق تلك المكتبات في الذاكرة يمكنه تعطيله أو إسكاته. 
 هل تتطلبون توقيعات (signatures) أو تغذية بمعلومات التهديدات؟ إذا كانت الإجابة نعم، فإن الحماية تتأخر عن المهاجم بحكم التعريف. 
 هل تتطلب الاستجابة تدخلًا بشريًا؟ إذا كانت الإجابة نعم، فإن زمن الاستجابة محكوم بحدود القدرة البشرية. 
 هل تُخزّنون مفاتيح التشفير الخاصة بنا أو ترفعون بيانات حساسة للتحليل؟ التخزين المركزي يخلق هدفًا محتملًا ومخاطر الإفصاح القسري. 
 ما معدل الإيجابيات الكاذبة لديكم، وما الذي تقوم به الاستجابة فعليًا؟ إن كان الإغلاق الكامل للنظام هو الخيار الوحيد للاحتواء، فذلك مكلف للغاية في مستشفى أو منشأة تشغيلية. 
 
 لماذا تُعد هذه الأسئلة مهمة 
 تبدو معظم أدوات أمن نقاط النهاية متشابهة في أوراق البيانات. تكشف هذه الأسئلة عن القرارات المعمارية التي تحدد ما إذا كانت الأداة قادرة على التصرف في الوقت المناسب — أم أنها قادرة فقط على شرح ما حدث، بعد فوات الأوان.

ماذا حدث لنموذج "الجامع الغبي" في صناعة الأمن؟
إجابة مختصرة: لسنوات، نصح البائعون بأن المعالجة المحلية على نقاط النهاية أصبحت عتيقة، ودفعوا نحو عملاء خفيفين (agents) ينقلون بيانات القياس الخام (telemetry) إلى التحليلات السحابية. الهجمات الحديثة داخل الذاكرة والتي تستهدف مكتبات نظام التشغيل الأساسية كشفت عيوب هذا النموذج — فالعملاء تبقى قيد التشغيل لكنها تصبح فعليًا عمياء وصامتة. 
 لماذا تم تبني هذا النموذج 
 كان بناؤه أقل تكلفة. الهندسة على مستوى النواة (kernel) صعبة ومكلفة؛ ونقل بيانات القياس إلى السحابة سمح للبائعين بشحن برمجيات نقاط نهاية غير مكلفة، وتحقيق الدخل من مساحات التخزين السحابية الكبيرة، والترويج لقدرات الذكاء الاصطناعي السحابي. وقد صُمم النموذج لتحقيق اقتصاديات التطوير، لا الدفاع. 
 لماذا يفشل الآن 
 تعتمد هذه العملاء بشكل كامل على مكونات نظام التشغيل الأصلية للعمل وجمع البيانات. وعندما يخترق المهاجمون تلك المكونات في الذاكرة، لا ينهار العميل — بل يستمر في العمل دون أن يُبلّغ عن أي شيء، تاركًا لوحة تحكم تُظهر أن كل شيء على ما يرام في حين يجري تسريب البيانات. 
 كما توجد حالات موثقة من التدخل المتعمد: مهاجمون، وفي بعض الحالات الموثقة منافسون يسعون لإخفاء عيوبهم الخاصة، يستغلون بنشاط هذه الاعتماديات على المكتبات لإجبار إنهاء أو تخريب دفاعات نقاط النهاية. 
 الطريق المسدود من الناحية المعمارية 
 لإصلاح هذا الأمر، يتعين على البائعين التقليديين التخلي عن خطوط أنابيب بيانات القياس القائمة على السحابة أولًا، وإعادة البناء نحو الحوسبة المحلية عند الحافة على مستوى النواة (kernel) — وهو جهد يمتد لسنوات عديدة. وتُظهر عمليات الاستحواذ الأخيرة واستثمارات رأس المال الجريء أن الصناعة تتحرك أكثر نحو التحليلات السحابية وبحيرات البيانات المركزية عوضًا عن ذلك.

لماذا يولّد المنع القائم على النية ضوضاء تنبيهات أقل مقارنة بالكشف القائم على التوقيعات؟
إجابة موجزة: لأنه يطرح سؤالًا أضيق نطاقًا. تُصدر أدوات التوقيعات والاستدلال (heuristic) تنبيهًا كلما شابه شيء ما نمطًا معروفًا بأنه ضار، تاركةً للبشر مهمة الفرز. أما المنع القائم على النية فيسأل عمّا إذا كان برنامج معين يقوم، في هذه اللحظة، بفعل شيء ضار عند نقطة دخول معروفة لسرقة البيانات — وهو سؤال له إجابات أقل غموضًا بكثير. 
 
 للاطلاع على معدل الإيجابيات الكاذبة المقاس لدى Cyber Crucible، راجع المقال الموجود بعنوان "هل لديكم إيجابيات كاذبة؟ ما هو معدل الإيجابيات الكاذبة لديكم؟" توضح هذه الصفحة السبب المعماري وراء اختلاف نمط الضوضاء. 
 
 لماذا يختلف نمط الضوضاء 
 تُصدر أدوات التوقيعات والاستدلال تنبيهات عندما يشبه شيء ما نمطًا معروفًا بأنه ضار، ثم تعتمد على الفرز البشري لتمييز الحقيقي من غير ذي الصلة. وهذا ما ينتج عنه أكثر من 100 تنبيه لكل نقطة نهاية يوميًا في العديد من البيئات. 
 أما التقييم القائم على النية فيطرح سؤالًا أضيق نطاقًا: هل يقوم هذا البرنامج، في هذه اللحظة، بفعل شيء ضار عند نقطة دخول معروفة لسرقة الهوية أو البيانات؟ لهذا السؤال إجابات أقل غموضًا بكثير. 
 ما يعنيه هذا من الناحية التشغيلية 
 
 لا يضطر المحللون إلى ملاحقة تنبيهات ذات ثقة منخفضة. 
 لا حاجة إلى ضبط قواعد YARA أو الصيد اليدوي للتهديدات للحفاظ على مستوى ضوضاء يمكن التعامل معه. 
 بما أن الاستجابة تُوقِف فقط العملية المخالفة، فإن أي اعتراض غير صحيح لا يؤدي إلى تعطيل النظام. 
 
 للاطلاع على المعدلات المقاسة الحالية في بيئة مشابهة لبيئتكم، تواصلوا مع ممثل Cyber Crucible — وراجعوا المقال الموجود "هل لديكم إيجابيات كاذبة؟" للحصول على تفاصيل على مستوى المنتج.