البنية والتكنولوجيا
كيف يعمل Cyber Crucible من الداخل - الذكاء الاصطناعي الجيني، التشغيل على مستوى النواة، Rogue Process Prevention، الاستقلالية عن نظام التشغيل، ولماذا تُتخذ القرارات على نقطة النهاية.
- لماذا تستجيبون عن طريق تعليق البرامج؟
- هل يمنع Cyber Crucible جميع عمليات حقن العمليات؟
- ما هي هذه الملفات الغريبة التي تبدو عشوائية والتي أراها؟
- ما الذي يميز ملفات الكناري (canary files) الخاصة بـ Cyber Crucible؟
- أين توجد ملفات الكناري؟
- كيف تستخدم Cyber Crucible تحليلات الذاكرة؟
- كيف يختلف تحليل السلوك الخاص بالذاكرة (Memory Behavioral Analysis) من Cyber Crucible عن فحص الذاكرة؟
- ماذا يحدث عندما يكتشف Cyber Crucible هجمات الذاكرة
- ما هو الذكاء الاصطناعي الجيني (Genetic AI)، وما الفرق بينه وبين نموذج اللغة الكبير (LLM)؟
- كيف تتخذ Cyber Crucible قرارًا في أقل من 200 ميلي ثانية؟
- ما هي ميزة منع العمليات المارقة (Rogue Process Prevention – RPP)؟
- ما الدور الذي تؤديه تحليلات الذاكرة عبر المنصة؟
- لماذا تعمل Cyber Crucible على مستوى النواة؟
- ماذا يعني أن Cyber Crucible مستقل عن مكتبات Windows؟
- هل تعمل Cyber Crucible في وضع عدم الاتصال أو في البيئات المعزولة عن الشبكة (air-gapped)؟
- لماذا تستجيب Cyber Crucible من خلال تعليق عملية بدلاً من إيقاف تشغيل النظام؟
لماذا تستجيبون عن طريق تعليق البرامج؟
لقد تعلّم المجرمون أن العمل في الذاكرة فقط، باستخدام تقنيات مثل حقن العمليات (process injection)، يوفر مجموعة متنوعة من المزايا:
الاستيلاء على هوية المستخدم الخاصة بذلك البرنامج.
التهرب من فحوصات إدارة الهوية.
التهرب من قواعد جدار الحماية القائمة على التطبيقات والقوائم البيضاء.
التهرب من أدوات منع فقدان البيانات على الخوادم.
حذف جميع الأدلة الموجودة في الذاكرة تقريبًا عند إنهاء العملية.
حذف جميع الأدلة الموجودة في الذاكرة تقريبًا بمجرد إعادة تشغيل الحاسوب.
من خلال تعليق البرامج الخاضعة لسيطرة المهاجم، يتم تجميد الأدلة في الوقت الذي وقعت فيه.
كما يتم تجميد المهاجم أيضًا.
تصبح الأدلة متاحة لأدوات الطب الشرعي الرقمي كجزء من عملية التحقيق.
إذا لم تكن المؤسسة مجهزة لإجراء التحليل الجنائي الرقمي في ذلك الوقت، فإن مجرد إعادة تشغيل بسيطة من قِبل المهاجم ستعيد النظام إلى حالة سليمة. كما أن إنهاء البرنامج المُعلَّق قسرًا وإعادة تشغيله عادةً ما يحقق الأثر المطلوب أيضًا.
هل يمنع Cyber Crucible جميع عمليات حقن العمليات؟
لا!
هناك مجموعة متنوعة من الأنشطة التي تحدث على الأنظمة وتُعد من نوع حقن العمليات، لكنها ليست بالضرورة ضارة.
يجعل Cyber Crucible جميع أنشطة حقن العمليات هذه مرئية لأغراض البحث عن التهديدات وتحليل السبب الجذري، لكنه لا يوقف النشاط إلا إذا بدأت أنشطة ابتزاز البيانات المتمثلة في سرقة البيانات أو تشفير برامج الفدية.
فيما يلي مثال على حقن العمليات الذي يقوم به برنامج أمان نقاط النهاية الخاص بـ PC Matic، والمسمى PCPitStop. من المرجح أن يكون هذا سلوكًا يقومون به لفحص العمليات قيد التشغيل.
بفضل التحليلات السلوكية على مستوى النواة (kernel) الخاصة بـ Cyber Crucible، تحصل على رؤية كاملة لجميع الأنشطة، بغض النظر عن مستوى صلاحيات البرنامج (بما في ذلك برامج مايكروسوفت أو موردي مكافحة الفيروسات ذات الصلاحيات العالية).
في حال تنفيذ استجابة تلقائية، يمكن البحث في هذه الصفحة، وفي صفحة إنشاء العمليات (Process Creations)، للحصول على نتائج تحقيق سريعة.
بالإضافة إلى ذلك، يمكن لفرق البحث عن التهديدات الاستفادة من واجهة برمجة التطبيقات REST API للاستعلام عن مؤشرات وجود أساليب ضارة محتملة داخل الذاكرة.
ما هي هذه الملفات الغريبة التي تبدو عشوائية والتي أراها؟
يتلقى برنامج منع ابتزاز البيانات لدينا مؤشرات سلوكية من عدة محركات قبل اتخاذ قرار فوري بشأن ما إذا كان هناك هجوم جارٍ. أحد هذه المحركات، وهو محرك مراقبة الملفات، يستخدم ملفات خاصة في عدة مواقع.
تلك الملفات التي تراها أحيانًا، ولا تراها أحيانًا أخرى، موجودة بفعل Cyber Crucible. اعتمادًا على كيفية قيام تطبيق ما بإدراج الملفات، قد تظهر لك. على سبيل المثال، برنامج يستخدم مستكشف الملفات (File Explorer) لإدراج الملفات لحفظها أو فتحها، سيُظهرها لك الآن.
نطلق على تلك الملفات اسم "canaries"، على غرار عبارة "الكناري في منجم الفحم" (wiki).
ما الذي يميز ملفات الكناري (canary files) الخاصة بـ Cyber Crucible؟
تحتوي ملفات الكناري على بيانات خاصة مخفية داخلها، في حال سرقتها يومًا من قِبل أحد المهاجمين. يمكن لـ Cyber Crucible تتبع الملف وإعادته إلى مالكه الأصلي.
تكون أسماء الملفات شبه عشوائية (تُعرف بالعشوائية الزائفة) بطريقة تجعل من المستحيل على المهاجمين التعرف عليها وتجنبها. يتم إنشاء الأسماء باستخدام معادلة رياضية خاصة من Cyber Crucible، تتيح لبرنامجنا التعرف على الملف كملف كناري، حتى لو اختلفت الأسماء من جهاز إلى آخر أو من ملف إلى آخر.
إن قدرة برنامج Cyber Crucible على التعرف على هذه الملفات تعني أيضًا أنه لا يلزم سوى ملف كناري واحد لكل خادم، حتى لو كانت آلاف محطات العمل تستخدم ذلك الخادم.
أين توجد ملفات الكناري؟
توجد ملفات الكناري في أماكن متعددة داخل نظام الملفات لديك.
في أي وقت يظهر فيه مصدر جديد للملفات على نظامك، من أي مستخدم محتمل، يقوم Cyber Crucible تلقائيًا بالتحقق مما إذا كانت ملفات الكناري قد وُضعت بالفعل. ويشمل ذلك محركات الأقراص القابلة للإزالة مثل عصي USB، ومصادر الملفات الشبكية، والتخزين السحابي للملفات.
كيف تستخدم Cyber Crucible تحليلات الذاكرة؟
تتتبع تحليلات نواة Cyber Crucible حالة ذاكرة البرنامج طوال دورة حياته بالكامل، من بدء تشغيل البرنامج إلى انتهائه. كما تتتبع حالة التفاعلات داخل الذاكرة مع البرامج الأخرى.
تراقب المراقبة السلوكية الحالات غير الآمنة في ذاكرة البرنامج. وقد يعني ذلك حدوث ثغرة استغلال، أو خطأ برمجي، أو هجمات معروفة تتم داخل الذاكرة (تُعرف أيضًا بـ"الهجمات بلا ملفات").
تُنفَّذ هذه المراقبة بشكل حي على البرامج بطريقة عالية الكفاءة، لضمان عدم تأثر عمليات النظام والعميل بتحليل Cyber Crucible.
عند نقطة احتمال وجود سلوك مهاجم يستهدف سرقة الهوية أو البيانات أو الابتزاز، يتم تضمين هذا التتبع والتحليل السلوكي للذاكرة ضمن بيانات القياس عن بُعد الأخرى التي يتم جمعها، لتحديد ما إذا كان ينبغي تعليق البرنامج أم لا.
كيف يختلف تحليل السلوك الخاص بالذاكرة (Memory Behavioral Analysis) من Cyber Crucible عن فحص الذاكرة؟
ما هو فحص الذاكرة؟
فحص الذاكرة هو ممارسة أخذ كتلة من الذاكرة، وعادةً ما يتم نسخها إلى موقع مختلف في النظام لغرض التحليل، ثم فحصها لأغراض التحليل.
صورة فوتوغرافية مقابل حدث حي
هذا ليس فحصًا حيًا للبرنامج أثناء عمله، بل هو لقطة زمنية للبرنامج. فكر في الأمر وكأنه صورة فوتوغرافية مقارنة ببث مباشر. قد تختلف حالة البرنامج اختلافًا كبيرًا من لحظة إلى أخرى، لذا فهو الأكثر فائدة كتمرين جنائي في بيئة خاضعة للسيطرة. وهو أقل فائدة في بيئة غير خاضعة للسيطرة، مثل بيئة العميل. فكلما ازدادت مشغولية الجهاز، أو ازداد ما يقوم به البرنامج، ازدادت صعوبة الحصول على صورة دقيقة للحالة الحالية للبرنامج.
بدأت Cyber Crucible باستخدام مكثف لفحص الذاكرة، محاولةً التقاط الكثير من "الصور" لحالات ذاكرة البرامج. ومع ازدياد سرعتنا، واجهنا اختناقات متعددة تتعلق بمدى سرعة أخذ لقطات الذاكرة، وعبر برامج متعددة.
مخاوف استهلاك موارد وحدة المعالجة المركزية (CPU) أو وحدة معالجة الرسومات (GPU)
يمكن أن يكون فحص الذاكرة هذا مستهلكًا للموارد بشكل كبير، وقد يستغرق بعض الوقت بالنسبة للبرامج الكبيرة. عندما كانت Cyber Crucible تستخدم فحص الذاكرة، بدلاً من المراقبة السلوكية الذكية للذاكرة، كان يتم تخصيص نواة معالجة كاملة (CPU core) لعملية الفحص.
تمتلك Intel تقنية مبتكرة تُدعى Intel TDT AMS، وهي متوفرة على معماريات محددة قائمة على معالجات Intel مزودة بوحدة معالجة رسومات (GPU) مدمجة من Intel.
تقوم هذه التقنية بفحص ذاكرة البرنامج عند بدء تشغيله لأول مرة، مستخدمةً وحدة معالجة الرسومات (GPU) للمساعدة على عدم إثقال وحدة المعالجة المركزية (CPU). كما أن وحدة معالجة الرسومات أكثر كفاءة في أداء نوع الفحص الذي يتم تنفيذه (المزيد حول ذلك لاحقًا).
منهجية الفحص
يتم إجراء فحص الذاكرة للبحث عن أكواد أو "سلاسل نصية" (strings) محددة. وغالبًا ما تكون هذه هي نفس أجزاء البيانات التي تبحث عنها أدوات مكافحة الفيروسات/EDR في الملفات التي يُحتمل أن تكون ضارة.
فحص الذاكرة على وجه التحديد أكثر محدودية من بعض عمليات البحث المعقدة التي يمكن إجراؤها على ملف.
لذلك، يبحث الفحص بشكل افتراضي عن عناصر معروفة مسبقًا، مثل البرمجيات الخبيثة القديمة، لكنه محدود في قدرته على القيام بذلك.
كانت Cyber Crucible تقوم سابقًا بفحص أجزاء الذاكرة بحثًا عن مواد تشفيرية، لكن ذلك أثبت محدوديته الشديدة بالنسبة للبيئات الحديثة، فابتكرنا طريقة مختلفة لمراقبة السلوكيات، باستخدام منطق قائم على النواة (kernel-based logic).
المنهجيات القائمة على السلوك مقابل منهجيات الفحص
انتقلت Cyber Crucible من منهجية قائمة على الفحص إلى منهجية قائمة على السلوك لعدة أسباب.
سلبيات الفحص
السبب الأول هو ضرورة استخدام صورة حية عبر جميع البرامج. كانت اللقطات الزمنية صعبة للغاية لإكمال حتى تحليل محدود، قبل أن تكون هناك حاجة إلى لقطة أخرى. كان الكثير من نشاط البرنامج يُفوَّت، تمامًا مثل كاميرا فيديو تعمل بمعدل إطارات منخفض جدًا. وقد تفاقم هذا الأمر مع الحاجة إلى مراقبة جميع البرامج في الوقت نفسه. الخوادم أو محطات العمل المزدحمة، والتي يمكن القول إنها الأجهزة الأكثر حاجة للمراقبة والأكثر أهمية، انتهى بها الأمر بأقل نسبة من المراقبة الفعلية. وبغض النظر عن الشركة أو المنتج، كانت القيود التقنية واضحة وغير عملية.
السبب الثاني هو أن الفحص، بعيدًا عن استهلاك الموارد، يتطلب بشكل افتراضي البحث عن شيء معروف. لذا، يجب أن يكون فحص الذاكرة قائمًا على التوقيعات (signature-based). كذلك، يجب أن يكون فحص التوقيعات هذا مجموعة فرعية محدودة من فحص التوقيعات الأكثر اكتمالًا الموجود في فحص مكافحة الفيروسات القائم على الملفات. لقد تمكن المهاجمون بالفعل من التهرب من دفاعات التوقيعات القائمة على الملفات لسنوات؛ وهناك فرصة ضئيلة جدًا لاكتشاف المهاجمين بواسطة نظام قائم على التوقيعات أقل قدرة.
مزايا التحليل السلوكي
لا تتطلب المراقبة السلوكية للذاكرة من Cyber Crucible توقيعات، وتستفيد من الوصول إلى ذاكرة النواة (kernel memory) لتتبع سلوكيات جميع البرامج في الوقت نفسه. دعونا نفصّل ذلك.
أولاً، تعني المراقبة السلوكية أنه يمكن اكتشاف البرمجيات الخبيثة الجديدة، أو تلك التي عدّلها المهاجمون لتبدو جديدة، بسهولة وفي الوقت الفعلي. يعتمد الفحص القائم على التوقيعات، سواء للذاكرة أو الملفات، على سبق رؤية تلك القطعة المحددة من البرمجيات الخبيثة من قبل. لقد ظل المهاجمون يتهربون من الدفاعات القائمة على التوقيعات لسنوات، على الرغم من وجود مجموعة كاملة من تقنيات الفحص ضد الملفات. أما تقنيات الفحص المتاحة ضد الذاكرة فهي مجموعة فرعية من ذلك، وهي أقل فعالية.
ثانيًا، تتمكن المراقبة السلوكية المبتكرة للذاكرة من Cyber Crucible من البقاء في الوقت الفعلي عبر جميع البرامج في آنٍ واحد، طوال مدة تنفيذ البرامج بالكامل. يعاني فحص الذاكرة من اختناقات شديدة في الموارد تزداد سوءًا مع تشغيل المزيد من البرامج. عادةً ما يقوم المهاجمون بتشغيل العشرات من عينات البرمجيات الخبيثة في وقت واحد، مما يخنق تحليل فحص الذاكرة من خلال سرعة وعدد البرامج التي يجب فحصها في آنٍ واحد، بغض النظر عما إذا كانت برمجية خبيثة جديدة (zero day) أو قديمة.
ماذا يحدث عندما يكتشف Cyber Crucible هجمات الذاكرة
أولاً، من المهم جداً ملاحظة أن تعديلات الذاكرة تحدث لعدة أسباب مختلفة:
الهجمات داخل الذاكرة
التفاعل بين البرامج
أخطاء البرمجيات
الثغرات المستغَلة
لذلك، فإن استخدام تقنية حقن العمليات أو تعديل الذاكرة، حتى بين البرامج، ليس بالضرورة عملاً ضاراً.
إذا كان أحد البرامج قد تعرّض لحدث ذاكرة يُرجَّح أنه ضار (أي البند رقم 1 أو 4 أعلاه) وكان متورطاً في استجابة تلقائية من قِبل Cyber Crucible، تحدث عملية جمع بيانات تلقائية.
يتم حفظ الجزء من الذاكرة الذي تم تعديله في البرنامج، بالإضافة إلى الحالة "قبل" التعديل، في تنسيق منظّم خاص بـ Cyber Crucible يُسمى .ccdiff
يتم حفظ ذلك الجزء المحقون أو المعدَّل من الذاكرة، ويكون متاحاً للتنزيل من بوابة Cyber Crucible الإلكترونية.
لماذا لا يتم إرسال هذا تلقائياً إلى Virustotal (وما شابهها) للتحليل؟
في بعض الظروف، يحتوي الشيفرة الضارة المستخدمة في الهجوم على متغيرات فريدة بالنسبة للهجوم، وتحديداً بالنسبة للضحية.
إن إرسال هذه الشيفرة الضارة إلى محرك تحليل عام مثل Virustotal يمثل إفصاحاً غير مرغوب فيه عن معلومات تُعرّف الضحية أمام مجتمع الأمن.
لماذا قد يكون إرسال هذه البيانات الثنائية إلى Virustotal (وما شابهها) مفيداً؟
تبحث أدوات مكافحة الفيروسات وEDR المعتمدة على التوقيعات عن سلاسل نصية أو بايتات من الشيفرة شوهدت في هجمات سابقة. حتى لو لم تكن هذه البرمجية الخبيثة قد شوهدت من قبل، فقد تصبح بعد فترة معروفة لدى مجتمع الأمن. عادةً لا تحتاج أدوات الفحص هذه إلى أن تكون الشيفرة بتنسيق ثنائي صحيح لكي تربطها بقطعة معروفة من البرمجيات الخبيثة.
ما هو الذكاء الاصطناعي الجيني (Genetic AI)، وما الفرق بينه وبين نموذج اللغة الكبير (LLM)؟
الإجابة المختصرة: الذكاء الاصطناعي الجيني (Genetic AI) هو ذكاء اصطناعي أمني مصمم خصيصًا من قبل Cyber Crucible. فهو يقوم بنمذجة كيفية سلوك البرامج — في الذاكرة، وعبر العمليات، ومقابل الملفات — ويكتشف الانحرافات الخبيثة في الوقت الفعلي. إنه ليس نموذج لغة كبيرًا (LLM)؛ فنماذج اللغة الكبيرة تحلل أنماط النصوص، وهي مشكلة مختلفة تمامًا.
ما الذي يميزه
- مصمم خصيصًا للأمن، وليس مُكيّفًا من نموذج نصي عام.
- سلوكي وليس معتمدًا على التوقيعات — لا توجد توقيعات، ولا تغذيات لمعلومات التهديدات، ولا انتظار لاكتشاف شخص آخر للهجوم أولًا.
- مستقل بالكامل — تعتمد الأدوات التقليدية على التعاون بين الإنسان والآلة؛ بينما يقوم الذكاء الاصطناعي الجيني (Genetic AI) باتخاذ القرار والتصرف من تلقاء نفسه.
- قبل التنفيذ — فهو يحظر السلوك الخبيث قبل تنفيذه، بدلًا من وصفه بعد وقوعه.
الذكاء الاصطناعي الرأسي (Vertical AI)
يُعد الذكاء الاصطناعي الجيني (Genetic AI) مثالًا على الذكاء الاصطناعي الرأسي (vertical AI): وهو ذكاء اصطناعي مُخصص للتحديات المحددة لقطاع واحد بدلًا من الاستدلال العام الغرض. وفي مجال الأمن، هذا التخصص هو ما يتيح اتخاذ قرار بشأن النية في أقل من 200 ميلي ثانية.
النتائج قابلة للقياس — فقد أوقفت Cyber Crucible العديد من هجمات يوم الصفر على شبكات العملاء قبل ما يصل إلى 90 يومًا من إبلاغ أي مورد آخر عنها أو الاستجابة لها.
كيف تتخذ Cyber Crucible قرارًا في أقل من 200 ميلي ثانية؟
الإجابة المختصرة: تعمل من خلال حلقة من ثلاث خطوات — Detect-Decide-Respond — بالكامل على نقطة النهاية (Endpoint) على مستوى النواة (kernel)، باستخدام محرك تحليلات حوسبة طرفية (edge computing) مسجّل ببراءة اختراع. ونظرًا لعدم الحاجة إلى إرسال أي بيانات إلى خدمة سحابية والانتظار حتى تعود، وعدم وجود تدخل بشري في الحلقة، تكتمل الدورة بأكملها في أقل من 200 ميلي ثانية.
الحلقة
- الاكتشاف (Detect) — تقوم مستشعرات مبتكرة على مستوى النواة بتحديد الأنماط السلوكية الضارة في الذاكرة، ونشاط العمليات، والوصول إلى الملفات.
- القرار (Decide) — يقوم النموذج السلوكي المعزز بالذكاء الاصطناعي بتقييم نية وصول البرنامج إلى البيانات على الفور.
- الاستجابة (Respond) — إذا كانت النية ضارة، يتم اعتراض البرنامج وإيقافه.
لماذا تُعد المعالجة المحلية أمرًا لا غنى عنه
إن إرسال بيانات القياس عن بُعد (telemetry) إلى خادم سحابي، وانتظار التحليل، ثم تلقي الاستجابة، يضيف من الوقت ما سيستغله المهاجم بكل سرور. وللتوضيح حجم السرعة المطلوبة: يحدث هذا القرار بشكل أسرع من انتقال النبضة العصبية من عينك إلى دماغك. أي بنية تعتمد على جولة اتصال شبكية (round trip) ضمن المسار الحرج تكون قد خسرت هذا السباق بالفعل.
لا تزال البيانات الخام لقياس عن بُعد تُنسخ إلى الخوادم لاحقًا لأغراض الأدلة والإثراء — لكن قرار الحماية لا ينتظر ذلك أبدًا.
ما هي ميزة منع العمليات المارقة (Rogue Process Prevention – RPP)؟
إجابة موجزة: منع العمليات المارقة هو نهج Cyber Crucible الحاصل على براءة اختراع للتدخل ضد العملية الخبيثة بدلاً من مجرد مراقبتها. سواء كانت برمجية فدية بدأت في تشفير الملفات أو برمجية سرقة معلومات تحاول الوصول إلى رمز جلسة، يتم إيقاف العملية قبل أن تخرج البيانات من الجهاز.
المراقبة مقابل التدخل
معظم سوق أمن نقاط النهاية مبني على المراقبة. أما Rogue Process Prevention فمبني على التدخل. الفرق يشبه الفرق بين كاميرا مراقبة تسجّل عملية سرقة لمراجعتها لاحقًا، وحارس أمني يوقف اللص عند الخزنة.
ما الذي يحمي منه
تتعامل ميزة Rogue Process Prevention مع التهديدات الأساسية الثلاثة معًا، لأن الهجمات الحديثة تكون غالبًا متعددة الجوانب:
- سرقة الهوية — الوصول إلى المفاتيح والرموز وكلمات المرور، وغالبًا بدون أي تفاعل من الموظف على الإطلاق.
- سرقة المعلومات — استخراج كميات كبيرة من البيانات بسرعة الآلة.
- برمجيات الفدية — تحليل سلوكي مع تقنية خداع القراصنة التي تمنع تشفير حتى ملف واحد.
الدفاع الذي يركز بشكل ضيق على برمجيات الفدية فقط سيفوّت المرحلتين الأولى والثانية، وهما غالبًا حيث يبدأ الضرر الحقيقي.
ما الدور الذي تؤديه تحليلات الذاكرة عبر المنصة؟
الإجابة المختصرة: تحليلات الذاكرة هي الأساس الذي يُبنى عليه كل شيء آخر. فهي المصدر الاستشعاري والتحليلي الذي يغذي جميع النماذج السلوكية — حماية البيانات، وحماية الهوية، و FortressAI على حد سواء. فكل قرار تتخذه هذه القدرات يقوم على معرفة ما يفعله البرنامج فعليًا في الذاكرة.
أساس واحد، ثلاث قدرات
تتابع Cyber Crucible حالة ذاكرة البرنامج عبر دورة حياته الكاملة، من البداية إلى النهاية، بما في ذلك تفاعلاته داخل الذاكرة مع البرامج الأخرى. وهذا التدفق التحليلي الواحد هو ما يجعل بقية القدرات ممكنة:
- حماية البيانات — هل تتصرف هذه العملية بطريقة تشير إلى أنها على وشك التشفير أو التسريب؟
- حماية الهوية — هل هذه العملية هي المالك الشرعي لبيانات الاعتماد التي تحاول الوصول إليها، أم أنها استُولي عليها؟
- FortressAI — هل ما زالت أداة الذكاء الاصطناعي هذه على طبيعتها، وهل يقع وصولها إلى البيانات ضمن السياسة المحددة؟
هذه ليست ثلاثة محركات منفصلة بثلاث مجموعات مستقلة من أجهزة الاستشعار. بل هي ثلاث سياسات تُعبَّر عن نفسها فوق نموذج سلوكي واحد للذاكرة.
لماذا تُعد الذاكرة الأساس الصحيح
تميل الهجمات الحديثة بشكل متزايد إلى عدم ترك أي ملف يمكن فحصه. فيتم حقن التعليمات البرمجية داخل عمليات موثوقة وبناؤها في الذاكرة، بحيث يكون المكان الوحيد الذي يمكن فيه رؤية النشاط هو حالة ذاكرة البرنامج قيد التشغيل. وأي دفاع لا يستطيع الرؤية في هذا المكان يكون عاجزًا تمامًا عن رصد هذه الفئة الكاملة من الهجمات.
كما يجيب تحليل الذاكرة عن السؤال الأهم قبل منح الوصول إلى أي شيء حساس: هل ما زال هذا البرنامج كما يزعم أنه؟ فالتطبيق الموثوق الذي جرى العبث بعمليته أو بمكتباته لم يعد جديرًا بالثقة، ولا يمكن الكشف عن ذلك إلا من خلال الفحص على مستوى الذاكرة.
ليس فحص الذاكرة (Memory Scanning)
هذا تتبع سلوكي حي، لا فحص دوري. فالفحص ينسخ جزءًا من الذاكرة ويحلل تلك اللقطة — أي أنه بمثابة صورة فوتوغرافية لا لقطة فيديو مباشرة. وعلى جهاز نشط، قد تكون حالة البرنامج مختلفة تمامًا بعد لحظة واحدة، مما يجعل اللقطات الثابتة مفيدة في التحقيقات الجنائية الرقمية المضبوطة، لكنها أضعف بكثير كأداة للدفاع في الوقت الحقيقي.
راجع أيضًا مقالات Memory Analytics الحالية للحصول على التفاصيل التقنية حول كيفية اختلاف هذا الأسلوب عن فحص الذاكرة، وما يحدث عند اكتشاف هجوم يستهدف الذاكرة.
لماذا تعمل Cyber Crucible على مستوى النواة؟
الإجابة المختصرة: النواة هي الطبقة الأعمق والأكثر امتيازًا في نظام التشغيل. العمل عند هذا المستوى يتيح لـ Cyber Crucible رؤية جميع أنشطة النظام والتحكم فيها، وتحديد نية العملية الخبيثة، وإيقافها في غضون أجزاء من الثانية — كما يجعل من الصعب جدًا على المهاجم العبث بالأداة أو تعطيلها.
ما الذي يوفره الوصول إلى النواة
- رؤية كاملة لسلوك الذاكرة، وسلوك العمليات، والوصول إلى الملفات، بما في ذلك الأنشطة التي لا تصل أبدًا إلى القرص.
- القدرة على التصرف، وليس مجرد المراقبة — إذ يمكن إلغاء الأذونات وتعليق العمليات في لحظة اكتشاف النية الخبيثة.
- المرونة، لأن المهاجمين سيحاولون حتمًا تعطيل أداة الأمان نفسها.
حول الانتقادات الموجهة لتطوير النواة
يثني بعض اللاعبين الراسخين في السوق والمحللين عن تطوير برمجيات على مستوى النواة. فهندسة النواة صعبة ومكلفة حقًا، وهذا بالضبط سبب تجنب جزء كبير من السوق لها — وهو ما جعل نقاط النهاية تعتمد على بيانات القياس عن بعد في مساحة المستخدم، والتي يمكن للهجمات على مستوى الجذر تعطيلها.
يتم التحقق من جودة Cyber Crucible ومقاومتها للعبث من خلال برنامج توافق أجهزة Windows الخاص بمايكروسوفت (WHCP).
ماذا يعني أن Cyber Crucible مستقل عن مكتبات Windows؟
إجابة موجزة: لا تعتمد Cyber Crucible على مكتبات نظام Windows التي تقوم بحمايتها. فقد تم فصلها عنها عمدًا، بحيث عندما يخترق المهاجمون تلك المكتبات أو يتسببون في تعطلها أو الاستيلاء عليها، تستمر Cyber Crucible في العمل، وتستمر في التطبيق (enforcement)، وتستمر في إعداد التقارير.
لماذا تم بناء هذا
في النصف الثاني من عام 2025، تحوّل المهاجمون إلى إصابة مكتبات Windows الأساسية في الذاكرة. ونظرًا لأن معظم مزودي الحلول الأمنية تقريبًا يعتمدون على هذه المكتبات ذاتها للعمل، فقد أدت هذه الخطوة الواحدة إلى إعماء جزء كبير من السوق.
استغرقت Cyber Crucible نحو تسعة أشهر لابتكار مستشعرات جديدة (sensors)، إضافة إلى جهد هندسي استمر خمسة أشهر أخرى لإزالة الاعتماد على مكتبات Windows بالكامل — بما في ذلك إزالة الاعتماديات المتقلبة على MiniFilter.
كيف يبدو ذلك من الناحية المعمارية
تُشغّل البنية المعمارية سبعة أنظمة فرعية مستقلة تمامًا داخل النواة (kernel)، بما في ذلك التشفير الخاص بها المعزول، والشبكات، وتحليل البيانات الوصفية (metadata)، وتتبع الأحداث. وتستبدل مرحلة إضافية من هذا العمل مكتبة شبكات Windows القياسية (ws32_2.dll) بمكدّس شبكات مخصص على مستوى النواة.
أثبتت جدواها في الميدان
مع عميلين، قام محرك القرار الذي يعمل على مستوى النواة فقط (kernel-only) بمنع المهاجمين، فحاول هؤلاء المهاجمون بعد ذلك منع إبلاغ العميل من خلال مهاجمة طبقة الشبكات الخاصة بنظام التشغيل. ونظرًا لأن اتصالات الشبكة في Cyber Crucible مستقلة عن نظام التشغيل، ظلت الحماية قائمة ووصلت المعلومات الاستخباراتية إلى العميل رغم ذلك.
هل تعمل Cyber Crucible في وضع عدم الاتصال أو في البيئات المعزولة عن الشبكة (air-gapped)؟
الإجابة المختصرة: نعم. تتم جميع عمليات التحليل والتطبيق محليًا على نقطة النهاية، لذا توفر Cyber Crucible حماية كاملة دون الحاجة إلى اتصال بالإنترنت، أو خدمة سحابية، أو أي إشارة من أي نوع. وهي مناسبة للشبكات المعزولة (air-gapped)، وبيئات التقنيات التشغيلية (OT) وأنظمة التحكم الصناعي (ICS)، والعمليات الميدانية غير المتصلة.
لماذا تعمل دون اتصال
نظرًا لأن حلقة Detect–Decide–Respond تعمل بالكامل داخل النواة (kernel) على الجهاز، فلا يُشترط وجود اتصال أبدًا لاتخاذ قرار حماية. تتم مزامنة القياس عن بُعد (telemetry) بشكل انتهازي لأغراض الأدلة وإعداد التقارير عند توفر اتصال، لكن الحماية لا تعتمد على ذلك.
أثبتت جدواها في البحر
في عملية نشر بحرية، عملت Cyber Crucible بشكل مستقل خلال رحلات استمرت عدة أيام دون وجود موظفي تقنية معلومات على متن السفينة، وتكيّفت مع روابط الأقمار الصناعية ذات النطاق الترددي المنخفض والمتقطعة مع انقطاعات بسبب الأحوال الجوية، واحتفظت بسجلات جنائية غنية طوال فترات الانقطاع الطويلة لتحليلها بعد انتهاء الرحلة. وتراوحت الأنظمة المحمية بين محطات الترفيه الموجهة للركاب وأنظمة التحكم البحرية بالغة الأهمية للمهام.
وهذا أيضًا هو السبب في أن العميل ذاته يناسب مصانع التصنيع، وأساطيل الخدمات اللوجستية، وغيرها من البيئات الطرفية حيث يكون الاتصال السحابي غير موثوق أو غائبًا عمدًا.
لماذا تستجيب Cyber Crucible من خلال تعليق عملية بدلاً من إيقاف تشغيل النظام؟
إجابة موجزة: تعليق العملية الخبيثة فقط — ويُطلق عليها أحيانًا اسم التجميد الانتقائي (Selective Freeze) — يُبطل مفعول الهجوم بينما يستمر كل شيء آخر في العمل. لا يوجد إغلاق كامل للنظام، ولا إعادة تشغيل، ولا انقطاع للعمل المشروع.
المشكلة في الاستجابات ذات طابع الإغلاق التام
عندما تحدد العديد من أدوات الكشف وجود شذوذ، تكون خيارات الاحتواء المتاحة فظّة: عزل الجهاز أو إخراجه عن الخدمة. في مستشفى أو مصنع أو عملية تداول، يمكن أن تكون هذه الاستجابة ضارة تقريبًا بقدر الهجوم نفسه.
ما الذي يحققه التعليق الانتقائي
يتم تعليق الهجوم في الذاكرة. لا تتوقف المعاملات المشروعة أبدًا. في عملية النشر الخاصة بالخدمات المالية، حيث تم اعتراض ما يقارب 10,000 عملية خبيثة، استمرت معاملات SQL المشروعة دون انقطاع طوال الوقت — ولم تتوقف العمليات أبدًا عن العمل.
هذا ما يجعل الوقاية متوافقة مع استمرارية الأعمال بدلاً من أن تكون مقايضة على حسابها.