مقدمة

الإدراج في القائمة البيضاء للتطبيقات، في سياق Cyber Crucible، هو منح تطبيق ما الإذن بأداء إجراء معين قد يُعتبر خلاف ذلك مشبوهًا أو ضارًا.

تُوجد تقنية الإدراج في القائمة البيضاء للتطبيقات عادةً في أساليب الدفاع القائمة على التحليل السلوكي، رغم أن بعض المهاجمين يستخدمونها أيضًا (وهو أمر غير مشمول هنا) في عملياتهم.

تخيّل الأمر مثل المدرسة، حيث لم يكن يُسمح للطلاب عادةً بالتجول في الممرات أثناء الحصص الدراسية. ومع ذلك، إذا مُنحوا "تصريح مرور" بشكل ما من قبل شخصية ذات سلطة، فلم يكن الطلاب يُعادون إلى فصلهم الدراسي أو يُرسلون إلى مكتب المدير.

أنواع الإدراج في القائمة البيضاء للتطبيقات - وصف غير تقني

إذا واصلنا استخدام تشبيه "تصريح المرور"، يمكن أن توجد تقنيات مختلفة تعلمها مسؤولو إدارة المدرسة، ساعدت في إضفاء الطابع الرسمي على السلوكيات التي قد يحاول بعض الطلاب (وبالتأكيد ليس رئيسنا التنفيذي دينيس) الإفلات بها. ولهذه جميعًا علاقة مباشرة بعمليات الأمن.

تصريح المرور الواضح والمرهق (أمر جيد)

هل تتذكر يومًا حصولك على تصريح مرور، أو مفتاح لغرفة ما، كان كبيرًا وواضحًا بشكل مبالغ فيه؟

كان هناك سببان وجيهان لذلك:

1. حتى لا يُفقد.

2. لتقليل الوقت والجهد المستثمَر من قبل الشخصية ذات السلطة، في التحقق السريع من الأنشطة المعتمدة للطالب.

لن "يفقد" البرنامج الجيد قائمة بيضاء، ولكن برنامج القائمة البيضاء للتطبيقات ينبغي أن يُمكّن من التحقق السريع والفعّال من حيث الموارد من أن التطبيق قد تم فحصه.

تصريح المرور العام (على الأرجح ليس أمرًا جيدًا)

ربما يكون هذا الأقل فائدة بالنسبة لمراقبة التطبيقات وللمدارس على حد سواء، لكنه يتطلب أقل قدر من الإدارة أو الخبرة.

في هذه الحالة، يُسمح للطالب بإنجاز مهمته في الممر. قد يعلم المعلم بذلك، على سبيل المثال، لكن لا يوجد تحقق من مراقبي الممر بشأن ما يفعله الطالب. كذلك، إذا كانت هناك محاولة للتحقق، فهناك مستويان من الاستثمار الكبير في الموارد:

1. مستوى الجهد اللازم للاقتراب من الطالب واستجوابه بشأن سلوكياته ونيته

2. مستوى الجهد اللازم للتأكد من صدق الطالب، للتحقق من تفسير الطالب

مع التطبيقات، يُشاهَد هذا غالبًا عندما يُضاف برنامج إلى قائمة بيضاء، دون أي تحقق إضافي من السلوكيات أو الأنشطة المسموح بها. ولسوء الحظ، فإن القدرة على اكتساب سياق سلوكيات التطبيق لا تكون عادةً متاحة للحصول عليها ما لم تُتَبَّع خارجيًا بواسطة إطار عمل آخر.

تصريح المرور العام المحدد

لا يُخلط بينه وبين، "تفضل أيها التطبيق، افعل ما تشاء!"

لنعد إلى تصريح دورة المياه، لأنه ملائم جدًا هنا. نظرًا لوضوح التصريح، من السهل نسبيًا تقييم ما ينبغي أن يقوم به الطالب. يمكن تقييم السلوكيات الفادحة التي تخرج عن نطاق سلوكيات "الذهاب إلى دورة المياه" دون صعوبة كبيرة.

الإدراج في القائمة البيضاء للتطبيقات ذات الحدود العامة للأنشطة هو الأكثر شيوعًا، رغم أن هذه الحدود في كثير من الحالات تعادل السماح لطالب يحمل تصريح دورة المياه باللعب في الملعب.

تصريح المرور المحدد تحديدًا

لا يُخلط بينه وبين "تصريح المرور العام المحدد"!

بينما نعلم، مع تصريح المرور العام المحدد، أن الطالب يستخدم دورة المياه - في مدرسة كبيرة، لا نعلم
1. من منح الطالب الإذن

2. من أين أتى للتو.

3. أي دورة مياه كانت في ذهن الشخصية ذات السلطة عندما منحت الموافقة.

4. منذ متى والطالب "خارجًا ومتجولًا".

تطلّب هذا مزيدًا من العمل على إطار السلطة الخاص بالمدرسة.

وللعودة إلى الإدراج في القائمة البيضاء للتطبيقات، يكون التحليل السلوكي أكثر دقة كلما زادت المتغيرات المضافة إلى أي قدرة على اتخاذ القرار.

بالإضافة إلى ذلك، عند التحقق من تصريح مرور صادر، لا تحتاج عادةً إلى تتبع سلسلة من 5 معلمين للوصول إلى المصدر. كما يمكنك دائمًا تقريبًا الوثوق بأن المعلم لم يكن نوعًا من "المعلم السيئ" الذي يوجّه الطلاب للتصرف بشكل غير لائق. الإدراج في القائمة البيضاء للتطبيقات، في مثال القائمة البيضاء المحددة تحديدًا، يتطلب العمل بشكل عكسي، لفحص كل تطبيق أب أو سلف فتح التطبيق التالي. على سبيل المثال، قد تكون قطعة من البرمجيات الخبيثة قد فتحت أداة شرعية من أدوات Windows.

الأسئلة التالية تعادل تقريبًا "تصريح مرور الطالب" أعلاه:

1. لأي غرض بدأ التطبيق، أو ماذا طُلب منه أن يفعل؟ نحتاج إلى معرفة السلوك المقصود.

2. من قام بتشغيل التطبيق؟ عادةً ما يكون هذا برنامجًا آخر.

3. أي برامج "أب" أو "سلف" أدت إلى فتح هذا البرنامج؟ ماذا كان كل منها يفعل، أو ينوي فعله؟

التطبيق المخترق

هل تتذكر في مختلف أعمال الخيال العلمي، أو أدب وأفلام الرعب، عندما يستولي محتال ما بطريقة ما

على السيطرة على سلوك شخصية ما؟ في المدارس، لا توجد فرصة تُذكر لأن يستولي كائن فضائي على معلّم.

الاستيلاء على التطبيق هو تقنية مفضلة لدى المهاجمين لأنه، كما في الأفلام، لا يلاحظ معظم المراقبين شيئًا غير طبيعي حتى فوات الأوان.

في هذه الحالة، يأخذ المهاجم برنامجًا قيد التشغيل، محملاً حاليًا في الذاكرة. وبذلك، يُتجاهل البرنامج السليم تمامًا الموجود في نظام الملفات. يُعدَّل البرنامج الموجود في الذاكرة لإضافة شيفرة المهاجم. تمامًا مثل كائن فضائي داخل جسد إنسان. يقوم المهاجم بأنشطته الإجرامية، وعندما ينتهي تشغيل البرنامج، تختفي معظم الأدلة. عندما يعمل البرنامج الشرعي مرة أخرى، إذا لم يُعدّل المهاجم الشيفرة مرة أخرى، فإنه يعمل تمامًا كما قصد المبرمجون الشرعيون الأصليون. ربما يكون التشبيه الأنسب، في هذه الحالة، هو المستذئب؟

عندئذٍ، تحتاج القائمة البيضاء للتطبيقات إلى عمل إضافي لضمان أن البرنامج، وأي أسلاف أو برامج أب، سليمة دون أن يُعدّلها القراصنة أثناء تشغيلها.

بإيجاز - أسئلة يجب طرحها عند فحص قدرة القائمة البيضاء للتطبيقات

احرص على فهم حدود ما تسمح به القائمة البيضاء، عند مناقشة الإدراج في القائمة البيضاء للتطبيقات مع فريق التقنية أو المورّد لديك.

1. هل تفحص هذه القدرة وتتبّع ما يُفترض أن يقوم به البرنامج، وتقارن السلوكيات المتوقعة بالسلوكيات الفعلية المُلاحَظة؟

2. ما مقدار التفاصيل التي تلتقطها قدرة القائمة البيضاء في عملية اتخاذ القرار؟ أكثر أم أقل من تصريح مرور طالب مفصّل؟

3. هل تتتبّع قدرة القائمة البيضاء البرامج الأب والسلف وتفحصها بحثًا عن أي نية خبيثة؟ (البرنامج A يفتح B، يفتح C، يفتح D - أمر شائع جدًا)

4. هل تتحقق قدرة القائمة البيضاء من أن البرنامج قيد التشغيل لم يُعبث به؟

قراءة معمقة من المعهد الوطني للمعايير والتقنية (NIST)

منشور موثوق ليس مخصصًا للقراءة العابرة، لكنه وصفي للغاية.

رغم أنه لا يغطي كل سيناريو، ولا تُحدَّث التفاصيل بشكل متكرر بما يكفي لمواكبة كل سيناريو، فإن الأوصاف استراتيجية بما يكفي لتكون ذات قيمة في معظم الظروف.

يُقدّر فريق Cyber Crucible دائمًا الرؤى المستمدة من منشورات NIST، ويخصص وقتًا لذلك وفقًا لذلك.

https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-167.pdf