مشروع AI/ML لتحديد مخاطر الأمن السيبراني مع أتمتة الإستجابة

ارغب في تنفيذ مشروع تعلم الآلة وتوظيف من لديه مهارة في تنفيذه حسب نطاق العمل التالي:

تصنيف التهديدات باستخدام الذكاء الاصطناعي وتعلم الآلة والاستجابة للحوادث

نطاق العمل

نظرة عامة على المشروع:

يشمل هذا المشروع تنفيذ إطار عمل متقدم للأمن السيبراني يستفيد من خوارزميات التعلم الآلي الموجه وغير الموجه. الهدف هو تعزيز اكتشاف التهديدات وتصنيفها والاستجابة للحوادث داخل بيئة الشركة. سيتم تقييم النظام باستخدام مجموعة بيانات UNSW-NB15 ومجموعة بيانات مخصصة تم إنشاؤها من بيئة المنظمة. ما نسعى إليه هو إثبات مفهوم لأغراض التوضيح الأكاديمي وليس حلًا تجاريًا كاملًا في هذه المرحلة. ومع ذلك، قد يتطور هذا في المستقبل.

الأهداف

• اكتشاف التهديدات وتصنيفها: تنفيذ نظام يستفيد من الذكاء الاصطناعي وتعلم الآلة لتحديد وتصنيف التهديدات السيبرانية في الوقت الفعلي، مما يقلل الاعتماد على التدخل اليدوي.

• أتمتة الاستجابة للحوادث: تطوير آليات استجابة تلقائية تستفيد من الذكاء الاصطناعي/تعلم الآلة للتخفيف السريع من التهديدات المحددة، مما يقلل من الوقت بين الاكتشاف والاستجابة. الأتمتة تشمل التنبيه والأهم من ذلك، الحظر قبل حدوث الضرر وعزل الجهاز المصاب. يمكنك استخدام أدوات مفتوحة المصدر مثل XSOAR لتحقيق هذه الأتمتة أو أي أداة تراها مناسبة لهذا الغرض.

• تقييم مجموعة البيانات: بناء مجموعة بيانات مخصصة من البيئة التشغيلية وتقييمها مقارنةً بمجموعة بيانات UNSW-NB15 لتقييم أداء النظام ودقته.

• تحديد الهجوم في دورة حياة الهجوم: الوصول إلى النظام، تصعيد الامتيازات، الحركة الجانبية، استخراج البيانات، وإيقاف الهجوم في أقرب نقطة ممكنة من سلسلة القتل.

• التوسع والتكامل: ضمان أن يكون النظام قابلًا للتوسع ويمكن دمجه بسلاسة في البنية التحتية الحالية لتكنولوجيا المعلومات، مما يوفر تغطية أمنية شاملة عبر مختلف مستويات المنظمة.

المنهجية

• جمع البيانات ومعالجتها مسبقًا:

o مصادر البيانات: جمع البيانات من سجلات حركة المرور على الشبكة، سجلات الأجهزة الطرفية، سجلات الجدار الناري، سجلات أنظمة الكشف عن الاختراق (IDS/IPS)، وتغذيات استخبارات التهديدات. بالإضافة إلى ذلك، مراقبة المنتديات على الإنترنت والشبكات الاجتماعية للتهديدات الناشئة.

o المعالجة المسبقة: تنظيف وتطبيع البيانات لإزالة التناقضات، التعامل مع القيم المفقودة، وتوحيد التنسيقات. تنفيذ تقنيات استخراج الميزات لتسليط الضوء على المؤشرات الحرجة للتهديدات وتقليل الأبعاد.

• تطوير النماذج:

o التعلم الموجه: استخدام خوارزميات مثل الغابات العشوائية، وآلات التعزيز التدريجي، والشبكات العصبية العميقة للمهام التصنيفية. سيتم تدريب هذه النماذج على الأجزاء المسمى من مجموعة البيانات.

o التعلم غير الموجه: تنفيذ خوارزميات التجميع واكتشاف الشذوذ مثل غابات العزل والتشفيرات التلقائية لاكتشاف التهديدات والأنماط الجديدة داخل البيانات.

o تكامل معالجة اللغة الطبيعية (NLP): دمج تقنيات معالجة اللغة الطبيعية باستخدام نماذج مثل BERT أو GPT لمعالجة استخبارات التهديدات النصية وتعزيز قدرات اتخاذ القرار.

• خط أنابيب إدخال البيانات: بناء خط أنابيب قوي يستمر في إدخال البيانات من مصادر متنوعة، ومعالجتها، وتغذيتها في نماذج الذكاء الاصطناعي/تعلم الآلة.

• محرك اكتشاف التهديدات والاستجابة: تطوير محرك أساسي يقوم بتحليل التهديدات في الوقت الفعلي ويطلق استجابات تلقائية مناسبة بناءً على خطورة التهديدات المكتشفة.

• لوحة تحكم وتقارير: تنفيذ لوحة تحكم تفاعلية لمراقبة حالة النظام، وعرض تنبيهات التهديدات، والوصول إلى تقارير مفصلة. يجب أن تدعم لوحة التحكم قدرات التعمق لتحليل متعمق.

التقييم والتحسين المستمر:

• التقييم: تقييم النظام باستخدام مجموعة بيانات UNSW-NB15 ومجموعة البيانات المخصصة. ستشمل مقاييس التقييم دقة الاكتشاف، معدلات الإنذارات الإيجابية والسلبية الزائفة، ووقت الاكتشاف والاستجابة المتوسط (MTTD/MTTR).

• اختبار A/B: إجراء اختبار A/B لمقارنة أداء النماذج المنفذة بالطرق التقليدية. سيتم دمج ردود الفعل من المحللين الأمنيين لتحسين النماذج وزيادة دقة الاكتشاف.

• إعادة التدريب الدوري: تنفيذ آلية تعلم مستمر حيث يتم إعادة تدريب النماذج بشكل دوري على بيانات جديدة للتكيف مع التهديدات الناشئة.

• سيناريوهات الهجوم في الوقت الفعلي: تطوير سيناريوهات هجوم لكل دورة حياة تم ذكرها سابقًا، تنفيذ الهجمات والتأكد من أن النظام يكتشف ويمنعها. على سبيل المثال، يجب أن يكتشف ويمنع هجمات الفدية قبل تنفيذها. يجب أن يمنع تثبيت أدوات مثل NMAP في جهاز لتشغيل عمليات المسح، ويجب أن يمنع المواقع المستخدمة للاستطلاع. جميع هذه السيناريوهات موجودة في مجموعة بيانات UNSW-NB15 لاكتشاف التهديدات. إذا كان لديك مصادر استخباراتية أخرى للاتصال وتوفير تفاصيل إضافية للمساعدة في الاكتشاف والصد، فالرجاء تضمينها أيضًا.

هندسة النظام

• طبقة جمع البيانات: شبكة من المستشعرات وآليات التسجيل التي تجمع البيانات من أجهزة الشبكة، والأجهزة الطرفية، والجدران النارية، وتغذيات استخبارات التهديدات الخارجية.

• طبقة معالجة البيانات: بيئة معالجة عالية الأداء باستخدام Apache Spark أو أطر مشابهة للتعامل مع البيانات واسعة النطاق، وتنفيذ استخراج الميزات، وإعداد مجموعات البيانات لتدريب النماذج.

• محرك الذكاء الاصطناعي/تعلم الآلة: المكون الأساسي حيث يتم نشر نماذج التعلم الموجه وغير الموجه. سيكون هذا المحرك مسؤولًا عن اكتشاف التهديدات وتصنيفها في الوقت الفعلي.

• إدارة الاستجابة: نظام يعتمد على القواعد للتخفيف الفوري من التهديدات، مدعوم بخوارزميات التعلم المعزز التي تتكيف مع استراتيجيات الاستجابة بمرور الوقت.

• التصور والمراقبة: واجهة سهلة الاستخدام توفر رؤية في الوقت الفعلي لأداء النظام، وحالة التهديدات، وإجراءات الاستجابة. التكامل مع أدوات الطرف الثالث مثل Power BI أو Tableau للتحليلات المتقدمة.

النتائج المتوقعة

• تحسين اكتشاف التهديدات: من المتوقع أن يُحسّن النظام معدل اكتشاف التهديدات المعروفة وغير المعروفة، مما يقلل من احتمالية الهجمات السيبرانية الناجحة.

• الاستجابة التلقائية: ستقلل قدرات الاستجابة التلقائية للحوادث بشكل كبير من الوقت المستغرق لتخفيف التهديدات، مما يقلل من الأضرار المحتملة.

• التوسع: ستدعم البنية التحتية نمو المنظمة، مع القدرة على التوسع عبر بيئات تشغيلية متنوعة والتكيف مع زيادة حجم البيانات.

• نتائج التقييم: سيوفر تقييم شامل مقابل مجموعة بيانات UNSW-NB15 ومجموعة البيانات المخصصة التحقق من أداء النظام وتوجيه التحسينات المستقبلية.

• يجب استخدام Lime لتوضيح تعلم الآلة.

البيئة المقترحة

يمكن توفير البيئة من خلال Hyper-V. يجب بناء النظام في تلك البيئة. يمكننا إنشاء الأجهزة الافتراضية الإضافية المطلوبة بناءً على طلبك. يجب تنفيذ جميع الأعمال في تلك البيئة الافتراضية التي سنوفر الوصول إليها. الأهم من ذلك، سيتم طلب تسليم مفصل وشيفرة المصدر التفصيلية. يجب تقديم ملفات Python في ملفات Jupyter لتسهيل المتابعة وتنفيذ الأوامر.

لم نضف VM للذكاء الاصطناعي/تعلم الآلة وXSOAR، وسننتظر توجيهاتك بشأن الموارد المطلوبة لـ VM.

مدة المشروع

كمشروع لإثبات المفهوم وبيئة صغيرة، لا نتوقع أن يستغرق الأمر أكثر من 40 يومًا لإكماله. يجب أن يكون المشروع متقدمًا تدريجيًا مع تقديم تحديثات كل يومين حتى نتمكن من مشاركتها مع المفتشين المعينين. يجب تقديم جدول زمني للمشروع مع مراحل زمنية وتواريخ ملتزمة بها.