أصبح الذكاء الاصطناعي في الأمن السيبراني من أكثر المجالات التي يظهر فيها تأثير AI بشكل عملي ومباشر، لأن أنظمة الحماية الحديثة تتعامل مع كميات هائلة من البيانات يصعب على الإنسان مراجعتها يدويًا. كل ثانية قد تمر داخل شبكة شركة آلاف أو ملايين الأحداث: مستخدم يسجل الدخول، جهاز يتصل بخادم، تطبيق يرسل طلبًا، ملف يتم تحميله، عنوان IP يحاول الوصول إلى خدمة، وبرنامج يبدأ عملية جديدة داخل النظام. وسط كل هذا النشاط قد توجد إشارة صغيرة جدًا إلى هجوم حقيقي.
المشكلة أن الهجمات الإلكترونية لا تأتي دائمًا بصورة واضحة. المهاجم قد يحاول التصرف مثل المستخدم الطبيعي، ويغير أدواته باستمرار، ويقسم نشاطه إلى خطوات صغيرة حتى لا يلفت الانتباه. هنا تصبح القواعد الأمنية الثابتة وحدها غير كافية في كثير من الحالات، لأنك تستطيع كتابة قاعدة تمنع نمطًا معروفًا، لكن ماذا عن السلوك الجديد الذي لم يُكتب له توقيع أمني مسبق؟
هنا يدخل Machine Learning وDeep Learning وتحليل السلوك. بدل أن يبحث النظام فقط عن "علامة هجوم معروفة"، يمكنه أن يتعلم كيف يبدو النشاط الطبيعي، ثم يراقب الانحرافات، أو يتعلم من أمثلة سابقة للهجمات، أو يجمع عشرات الإشارات الضعيفة ليكوّن منها إنذارًا أقوى. ومع تطور نماذج اللغة، أصبح AI يستخدم أيضًا في تحليل التنبيهات، وقراءة السجلات، وتلخيص الحوادث، ومساعدة فرق الأمن على التحقيق بسرعة أكبر.
لكن الذكاء الاصطناعي ليس درعًا سحريًا. إذا كانت البيانات سيئة، أو النموذج غير مضبوط، أو النظام يعطي آلاف الإنذارات الكاذبة، فلن تتحقق الفائدة. بل قد يستخدم المهاجمون أنفسهم الذكاء الاصطناعي لتحسين رسائل التصيد أو أتمتة بعض مراحل الهجوم. لذلك فإن فهم كيفية استخدام AI في الأمن يجب أن يشمل الدفاع والهجوم والقيود معًا.
 |
| كيف يستخدم الذكاء الاصطناعي في الأمن السيبراني وكشف الهجمات؟ |
ما المقصود باستخدام الذكاء الاصطناعي في الأمن السيبراني؟
المقصود هو استخدام خوارزميات قادرة على تحليل بيانات الأنظمة والشبكات والمستخدمين والملفات بهدف اكتشاف أنماط غير طبيعية، أو تصنيف نشاط على أنه آمن أو ضار، أو ترتيب التنبيهات حسب مستوى الخطورة، أو دعم المحللين أثناء التحقيق في حادث أمني.
قد يكون النظام نموذجًا يتعلم من سجلات الشبكة، أو خوارزمية تفحص ملفات مشبوهة، أو نموذج سلوك يراقب حسابات المستخدمين، أو مساعدًا لغويًا يقرأ آلاف سجلات النظام ثم يلخص أهم الأحداث.
AI لا يستبدل أدوات الأمن التقليدية
الجدار الناري، وإدارة الهوية، والتشفير، والتحديثات، وأنظمة الحماية التقليدية ما تزال أساسية. AI يضيف طبقة تحليل متقدمة تساعد على اكتشاف أنماط قد تمر عبر القواعد الثابتة.
لماذا يحتاج الأمن السيبراني إلى AI أصلًا؟
السبب الأول هو الحجم. مؤسسة متوسطة قد تنتج ملايين السجلات الأمنية يوميًا. لا يمكن لفريق بشري مراجعتها كلها يدويًا.
السبب الثاني هو السرعة. بعض الهجمات تتحرك خلال دقائق. إذا استغرق اكتشاف النشاط غير الطبيعي ساعات، فقد يكون المهاجم قد وصل بالفعل إلى البيانات.
السبب الثالث هو تغير الهجمات
المهاجم لا يستخدم النمط نفسه دائمًا. قد يغير عنوان IP أو الملف أو طريقة التنفيذ.
ولهذا فإن الأنظمة القادرة على تعلم السلوك قد توفر قيمة إضافية إلى جانب الأنظمة التي تعتمد على توقيعات ثابتة.
ما الفرق بين Signature-Based Detection وAI Detection؟
الأنظمة التقليدية تعتمد كثيرًا على Signatures، أي أنماط معروفة مرتبطة بهجوم أو ملف ضار.
إذا ظهر ملف يحمل بصمة معروفة، يمكن للنظام اكتشافه بسرعة.
لكن ماذا عن الهجوم الجديد؟
إذا تغير الملف أو السلوك ولم يعد يطابق التوقيع، قد لا تعمل الطريقة التقليدية.
هنا يمكن للنماذج السلوكية النظر إلى ما يفعله البرنامج بدل التركيز فقط على شكله.
كيف يتعلم AI شكل السلوك الطبيعي؟
تخيل شبكة تعمل فيها مئات الأجهزة. لكل جهاز نمط: أوقات تسجيل الدخول، والخوادم التي يتصل بها، وحجم البيانات المعتاد، والبرامج المستخدمة.
يمكن للنموذج أن يتعلم هذا النمط مع الوقت.
ثم يبدأ البحث عن الانحراف
إذا كان حساب موظف يسجل الدخول عادة من جهاز واحد بين الثامنة صباحًا والخامسة مساءً، ثم ظهر فجأة تسجيل دخول من بيئة مختلفة تلاه تحميل ضخم للملفات، فإن النظام قد يعتبر هذا السلوك غير معتاد.
الاختلاف لا يعني تلقائيًا وجود اختراق، لكنه يستحق التحقيق.
ما هو Anomaly Detection في الأمن؟
اكتشاف الحالات الشاذة Anomaly Detection هو البحث عن أحداث تختلف بصورة واضحة عن السلوك المعتاد.
هذا الأسلوب مفيد عندما لا نملك أمثلة كافية لكل نوع من الهجمات.
المشكلة أن غير المعتاد ليس دائمًا خبيثًا
قد يسافر الموظف إلى دولة أخرى، أو يعمل في وقت متأخر، أو يبدأ مشروعًا يحتاج إلى نقل ملفات كثيرة.
لذلك يحتاج النظام إلى سياق إضافي قبل إطلاق حكم قوي.
كيف يستخدم Supervised Learning في اكتشاف الهجمات؟
إذا كانت لدينا بيانات تاريخية تحتوي على نشاط مصنف إلى "طبيعي" و"ضار"، يمكن تدريب نموذج Supervised Learning.
يتعلم النموذج العلاقة بين Features والـLabel.
ما نوع Features المستخدمة؟
قد تشمل عدد الاتصالات، ومدة الجلسة، والبروتوكول، وحجم البيانات، وعدد محاولات تسجيل الدخول، ونوع العملية التي بدأها برنامج معين.
المهم أن تكون الخصائص مرتبطة فعليًا بالسلوك الأمني.
اكتشاف هجمات الشبكات باستخدام Machine Learning
داخل الشبكة تمر حزم واتصالات كثيرة. يمكن تحليل Network Flows بدل فحص كل بايت دائمًا.
كل Flow قد يحتوي على معلومات مثل المصدر والوجهة والمدة والحجم والبروتوكول.
النموذج يبحث عن أنماط
إذا كان جهاز واحد يبدأ فجأة اتصالات مع مئات الوجهات خلال ثوانٍ، فقد يشير ذلك إلى مسح للشبكة.
وإذا بدأ جهاز داخلي بإرسال كميات ضخمة من البيانات إلى وجهة غير معتادة، قد يستحق ذلك التحقيق.
ما هو IDS وIPS؟
Intrusion Detection System هو نظام يحاول اكتشاف النشاط المشبوه، بينما Intrusion Prevention System يمكن أن يتخذ إجراءات لمنع النشاط وفق قواعده.
AI يمكن أن يضاف إلى هذه الأنظمة لتحسين اكتشاف الأنماط.
لكن الحظر التلقائي يحتاج إلى حذر
إذا أخطأ النموذج وحظر نشاطًا مشروعًا، قد يوقف خدمة مهمة.
لذلك قد تستخدم المؤسسات AI للإنذار أولًا، ثم تضيف الأتمتة تدريجيًا.
كيف يكتشف AI البرمجيات الخبيثة؟
البرامج الضارة يمكن تحليلها بطريقتين أساسيتين: Static Analysis وDynamic Analysis.
التحليل الثابت ينظر إلى الملف دون تشغيله، بينما التحليل الديناميكي يراقب سلوكه أثناء التشغيل في بيئة آمنة.
AI يمكنه التعلم من الخصائص الثابتة
مثل بنية الملف، والمكتبات، وبعض الأنماط داخل الكود.
ويمكنه التعلم من السلوك
مثل الملفات التي يعدلها البرنامج، والعمليات التي ينشئها، واتصالات الشبكة التي يقوم بها.
هذا قد يساعد في اكتشاف ملفات جديدة تشبه سلوك البرامج الضارة حتى إذا اختلفت بصمتها.
كيف يكتشف الذكاء الاصطناعي برامج الفدية Ransomware؟
برامج الفدية عادة تحاول تشفير عدد كبير من الملفات بسرعة.
قد يراقب النظام عدد عمليات تعديل الملفات، وطبيعتها، وسرعة تغير الملفات، والعمليات التي تنفذها.
السلوك السريع يعطي إشارة مبكرة
إذا بدأت عملية واحدة في فتح وتعديل مئات الملفات خلال وقت قصير بطريقة غير معتادة، يمكن أن يرفع النظام مستوى التنبيه.
لكن يجب التعامل مع برامج شرعية قد تقوم أيضًا بمعالجة ملفات كثيرة.
الذكاء الاصطناعي وتحليل البريد الاحتيالي
Phishing يعتمد على خداع المستخدم برسالة تبدو شرعية. يمكن لـAI تحليل موضوع الرسالة والنص والروابط وعنوان المرسل وخصائص أخرى.
النموذج قد يتعلم أنماطًا لغوية أو فنية مرتبطة بالتصيد.
لكن المهاجمين يتطورون أيضًا
رسائل التصيد القديمة كانت أحيانًا مليئة بالأخطاء. أما اليوم، فيمكن إنشاء رسائل أكثر إقناعًا باستخدام نماذج توليدية.
وهذا يجعل كشف التصيد اعتمادًا على اللغة وحدها أصعب.
كيف يكتشف النظام الروابط المشبوهة؟
يمكن تحليل خصائص عنوان URL مثل الطول، وعدد النطاقات الفرعية، وبعض الأنماط النصية، إلى جانب معلومات عن الدومين والسلوك.
النموذج يجمع إشارات صغيرة
إشارة واحدة قد لا تكون كافية، لكن مجموعة من العلامات قد تعطي احتمالًا أعلى بأن الرابط خطر.
تحليل سلوك المستخدم UEBA
مصطلح User and Entity Behavior Analytics يشير إلى تحليل سلوك المستخدمين والكيانات مثل الأجهزة والخوادم.
الهدف هو بناء Baseline ثم اكتشاف الانحراف.
مثال عملي
موظف قسم المحاسبة يصل عادة إلى ثلاثة أنظمة فقط. إذا بدأ حسابه فجأة باستكشاف خوادم هندسية وتحميل ملفات ضخمة في منتصف الليل، يمكن للنظام رفع التنبيه.
قد يكون الحساب مسروقًا، أو قد يكون هناك سبب مشروع. هنا يأتي دور التحقيق.
كيف يكتشف AI سرقة الحسابات؟
يمكن مراقبة عدة إشارات مثل موقع الدخول، والجهاز، والوقت، والسرعة بين موقعين، وسلوك المستخدم بعد تسجيل الدخول.
Impossible Travel مثال مشهور
إذا سجل حساب الدخول من مكان ثم بعد دقائق من مكان بعيد لا يمكن الوصول إليه في هذا الزمن، قد تكون هناك مشكلة.
لكن استخدام VPN أو شبكات سحابية قد يسبب أنماطًا مشابهة، لذلك لا ينبغي الاعتماد على إشارة واحدة.
ما هو Risk Scoring؟
بدل إصدار قرار "آمن أو ضار"، يمكن للنظام حساب درجة خطورة.
يجمع عدة إشارات ثم يعطي الحدث Risk Score.
هذا يساعد فرق الأمن على تحديد الأولوية
إذا كان لديك ألف تنبيه، تحتاج إلى معرفة أيها يستحق الفحص أولًا.
AI يمكن أن يساعد في ترتيبها بدل التعامل معها كلها بالتساوي.
مشكلة Alert Fatigue
أنظمة الأمن قد تنتج آلاف التنبيهات. إذا كان معظمها غير مهم، يبدأ المحللون في تجاهلها.
هذه تسمى Alert Fatigue.
AI يمكن أن يقلل الضوضاء
عن طريق تجميع التنبيهات المتشابهة، وربط الأحداث المرتبطة، وترتيبها حسب الخطورة.
القيمة هنا ليست فقط اكتشاف هجوم جديد، بل مساعدة الفريق على رؤية المهم وسط الضوضاء.
كيف يربط AI الأحداث المتفرقة؟
قد لا يكون حدث واحد خطيرًا، لكن سلسلة الأحداث تكشف قصة كاملة.
مثلًا: تسجيل دخول غير معتاد، ثم إنشاء عملية جديدة، ثم اتصال بخادم خارجي، ثم ضغط ملفات، ثم رفع بيانات.
كل حدث منفرد قد يبدو عاديًا
لكن تجميعها زمنيًا يكشف مسارًا قد يشير إلى اختراق.
AI يمكن أن يساعد في Event Correlation وربط هذه الإشارات.
ما هو SIEM؟
Security Information and Event Management يجمع السجلات والأحداث من مصادر مختلفة في مكان مركزي.
يمكن إضافة تحليلات وAI إلى SIEM للمساعدة في اكتشاف الأنماط وربط الأحداث.
الـSIEM يوفر البيانات وAI يساعد في تحليلها
لكنه لا يعوض عن جودة إعداد مصادر السجلات.
إذا لم ترسل الأجهزة الأحداث المهمة، فلن يجد النموذج شيئًا لتحليله.
ما هو SOC وكيف يستخدم AI؟
Security Operations Center هو الفريق أو المركز المسؤول عن مراقبة الأمن والاستجابة للحوادث.
يمكن لـAI مساعدة محللي SOC في فرز التنبيهات، وتلخيص السجلات، والبحث داخل قواعد المعرفة، وإعداد تقارير أولية.
المحلل لا يختفي
بل يحصل على أدوات تقلل الوقت المستهلك في المهام المتكررة.
كيف تساعد نماذج اللغة في التحقيقات الأمنية؟
السجلات الأمنية معقدة وقد تحتوي على آلاف الأسطر. نموذج لغة يمكنه تلخيص ما حدث، أو تفسير أمر Shell، أو تنظيم الأدلة.
RAG مهم جدًا في هذا السياق
يمكن ربط النموذج بإجراءات الاستجابة الخاصة بالمؤسسة وقاعدة المعرفة الداخلية، ثم استرجاع الخطوات المناسبة للحادث.
هذا يقلل الاعتماد على ذاكرة النموذج العامة.
مثال عملي: تحليل حادث تسجيل دخول مشبوه
لنفترض أن النظام اكتشف دخولًا غير معتاد. يبدأ المحلل بالنظر إلى الجهاز والموقع، ثم يجد أن الحساب بعد الدخول حاول الوصول إلى ملفات لم يستخدمها سابقًا.
AI يمكن أن يجمع الأحداث زمنيًا ويقدم ملخصًا مثل: "بدأت الجلسة في الساعة كذا، ثم حدثت محاولة وصول إلى النظام X، ثم نقلت كمية بيانات Y."
الملخص يوفر وقتًا
لكن المحلل يجب أن يتحقق من الأحداث الأصلية قبل اتخاذ قرار حساس.
كيف يستخدم AI في اكتشاف التهديدات داخل Endpoint؟
Endpoint Detection and Response أو EDR يراقب الأجهزة النهائية مثل الحواسيب.
يسجل العمليات والملفات والاتصالات وسلوك النظام.
Machine Learning يضيف تحليلًا للسلوك
قد يكتشف أن برنامجًا شرعي الاسم يتصرف بطريقة غير معتادة، مثل تشغيل أدوات نظام متعددة أو محاولة قراءة بيانات حساسة.
ما هو Behavioral Detection؟
هو الاعتماد على ما يفعله البرنامج أو المستخدم، لا فقط على اسمه أو بصمته.
هذا مهم لأن المهاجم قد يستخدم أدوات موجودة أصلًا في النظام.
Living off the Land
بعض الهجمات تعتمد على برامج وأدوات إدارية شرعية موجودة في الجهاز.
في هذه الحالة، التوقيع وحده قد لا يكون كافيًا؛ السياق والسلوك يصبحان أكثر أهمية.
كشف الحركة الجانبية Lateral Movement
بعد اختراق جهاز واحد، قد يحاول المهاجم الانتقال إلى أجهزة أخرى داخل الشبكة.
AI يمكن أن يراقب علاقات الاتصالات بين الأجهزة ويبحث عن أنماط جديدة.
الشبكة نفسها يمكن تمثيلها كـGraph
الأجهزة عقد Nodes، والاتصالات علاقات Edges.
وهذا يفتح المجال لاستخدام Graph Analytics وبعض خوارزميات التعلم لاكتشاف المسارات غير المعتادة.
ما هو Graph Machine Learning في الأمن؟
بدل تحليل كل حدث منفرد، ننظر إلى العلاقات بين المستخدمين والأجهزة والخوادم.
إذا ظهر حساب يرتبط فجأة بعشرات الأنظمة التي لم يستخدمها من قبل، يمكن أن يكون ذلك إشارة.
العلاقات تكشف ما لا تكشفه السجلات المنفصلة
وهذا مهم خصوصًا في الهجمات متعددة المراحل.
كشف محاولات استخراج البيانات Data Exfiltration
المهاجم الذي وصل إلى النظام قد يحاول نقل البيانات إلى خارج المؤسسة.
يمكن للنموذج مراقبة حجم البيانات والوجهة والوقت ونوع الملفات.
ليس كل نقل كبير للبيانات هجومًا
قد يكون Backup أو مزامنة مشروعة.
السياق مرة أخرى هو العنصر الفاصل.
هل يمكن للذكاء الاصطناعي اكتشاف Zero-Day؟
مصطلح Zero-Day يشير إلى ثغرة أو استغلال لم يكن معروفًا أو لم يتوفر له إصلاح في الوقت المناسب.
AI لا يستطيع ضمان كشف كل هجوم جديد، لكنه قد يساعد على ملاحظة السلوك غير المعتاد الناتج عنه.
السلوك قد يكشف ما لا يعرفه التوقيع
حتى إذا لم نعرف اسم الثغرة، يمكن أن نلاحظ أن عملية بدأت تتصرف بطريقة خطرة.
لكن هذا ليس ضمانًا، ويجب ألا يُسوّق AI على أنه حل كامل لـZero-Day.
كيف يستخدم الذكاء الاصطناعي في Threat Intelligence؟
فرق الأمن تجمع معلومات عن حملات وهجمات ومؤشرات اختراق.
نماذج اللغة يمكن أن تساعد في تصنيف التقارير، واستخراج أسماء الملفات أو النطاقات، وربط المعلومات.
المشكلة هي الكم الهائل من النصوص
AI يساعد على تحويل التقارير غير المنظمة إلى معلومات قابلة للبحث والتحليل.
كيف يستخدم AI في اكتشاف الثغرات؟
يمكن استخدام نماذج في تحليل الكود للبحث عن أنماط مرتبطة بأخطاء برمجية، أو لمساعدة المطور في مراجعة الشيفرة.
لكن النموذج قد يفوّت ثغرة أو يبلغ عن مشكلة غير حقيقية.
Static Analysis التقليدي ما يزال مهمًا
AI يضيف طبقة مساعدة، لكنه لا يلغي أدوات الفحص واختبارات الأمان الأخرى.
هل يمكن للذكاء الاصطناعي إصلاح الثغرات تلقائيًا؟
يمكنه اقتراح تعديلات أو Patch في بعض الحالات، لكن التغيير يجب أن يخضع لاختبارات.
إصلاح ثغرة بطريقة خاطئة قد يسبب Bug آخر.
السرعة لا تعني الثقة المطلقة
كل تغيير أمني يحتاج إلى مراجعة واختبار.
الذكاء الاصطناعي في كشف الاحتيال Fraud Detection
رغم أن الاحتيال ليس مساويًا للأمن السيبراني، هناك تداخل كبير. يمكن للنموذج تحليل المعاملات والبحث عن أنماط غير طبيعية.
مثال
مستخدم يجري عمليات صغيرة عادة، ثم تظهر معاملات كثيرة بمبالغ كبيرة وفي مواقع مختلفة.
النموذج يجمع هذه الإشارات ويرفع مستوى الخطورة.
لماذا البيانات المتوازنة مهمة؟
الهجمات الحقيقية أقل عددًا بكثير من النشاط الطبيعي. قد تكون 99.99% من الأحداث سليمة.
هذا يجعل Dataset شديدة عدم التوازن.
Accuracy قد تكون مضللة
نموذج يقول "كل شيء طبيعي" قد يحقق رقمًا مرتفعًا لكنه عديم الفائدة.
لذلك تستخدم مقاييس مثل Precision وRecall وF1 وPR-AUC حسب المهمة.
Precision أم Recall في الأمن؟
إذا ركزت على Recall، تحاول اكتشاف أكبر عدد من الهجمات، لكن قد تزيد False Positives.
إذا ركزت على Precision، تقل الإنذارات الكاذبة لكن قد تفوت بعض الهجمات.
الاختيار يعتمد على الاستخدام
في نظام شديد الحساسية، قد نقبل مزيدًا من التنبيهات. في بيئة ضخمة، كثرة False Positives قد تجعل النظام غير قابل للاستخدام.
ما هو Concept Drift في الأمن؟
سلوك المستخدمين والهجمات يتغير مع الوقت.
النموذج الذي تدرب على بيانات العام الماضي قد يصبح أضعف اليوم.
المهاجم يتكيف أيضًا
هذه نقطة تختلف عن كثير من المجالات؛ الطرف الآخر يتعمد تغيير سلوكه لتجاوز النظام.
لذلك الأمن بيئة Adversarial.
ما المقصود بـAdversarial Machine Learning؟
هو دراسة كيفية التأثير على نماذج Machine Learning أو خداعها أو استغلال نقاط ضعفها.
يمكن للمهاجم محاولة تعديل المدخلات بطريقة تجعل النموذج يصنفها بصورة خاطئة.
النموذج نفسه يصبح سطح هجوم
وهذا يعني أن تأمين نظام AI جزء من الأمن السيبراني أيضًا.
Data Poisoning: ماذا لو لوّث المهاجم بيانات التدريب؟
إذا استطاع مهاجم إدخال بيانات ضارة أو مضللة إلى مجموعة التدريب، يمكن أن يؤثر على النموذج.
هذا يسمى Data Poisoning.
جودة مصدر البيانات قضية أمنية
ليس كافيًا أن تجمع بيانات كثيرة. يجب معرفة من أين جاءت ومن يستطيع تعديلها.
Model Evasion: كيف يحاول المهاجم تجاوز الكشف؟
قد يغير المهاجم سلوكه قليلًا حتى يبقى تحت Threshold أو يشبه النشاط الطبيعي.
هذه لعبة مستمرة بين الدفاع والهجوم
لهذا تحتاج النماذج إلى مراقبة وإعادة تدريب واختبار ضد سيناريوهات جديدة.
كيف يستخدم المهاجمون Generative AI؟
يمكن استخدام النماذج التوليدية لإنشاء رسائل تصيد أكثر إقناعًا، أو ترجمة المحتوى، أو أتمتة البحث في المعلومات العامة.
لكن وجود AI لا يحول المهاجم تلقائيًا إلى خبير متقدم.
الدفاع أيضًا يستفيد من التقنية نفسها
يمكن استخدام AI لتحليل الرسائل واكتشاف الأنماط وتسريع التحقيق.
إنها تقنية يمكن للطرفين استغلالها.
Deepfakes والهندسة الاجتماعية
النماذج التوليدية يمكن أن تنتج أصواتًا أو صورًا أو فيديوهات مقنعة.
هذا يزيد تحديات Social Engineering، لأن المهاجم قد يحاول انتحال شخصية.
التحقق من الهوية لا يجب أن يعتمد على الصوت أو الصورة وحدهما
المؤسسات تحتاج إلى إجراءات تحقق مستقلة، خصوصًا في العمليات الحساسة.
كيف يمكن للذكاء الاصطناعي تقوية المصادقة؟
يمكن تحليل السلوك أثناء تسجيل الدخول، وليس كلمة المرور فقط.
قد ينظر النظام إلى الجهاز والموقع وطريقة الاستخدام.
Adaptive Authentication
إذا كان النشاط طبيعيًا، قد تكون العملية بسيطة. وإذا ارتفع الخطر، يمكن طلب تحقق إضافي.
هذه طريقة تجعل الأمان يتكيف مع مستوى المخاطر.
AI وZero Trust
مفهوم Zero Trust يقوم على عدم منح الثقة الدائمة لمجرد أن المستخدم داخل الشبكة.
يتم التحقق باستمرار من الهوية والسياق.
AI يمكن أن يوفر Risk Signals
مثل تغير الجهاز أو السلوك أو نمط الوصول.
لكن قرار السماح يجب أن يعمل ضمن سياسة أمنية واضحة.
هل يمكن للـAI الاستجابة للهجوم تلقائيًا؟
نعم في بعض السيناريوهات منخفضة أو محددة المخاطر. يمكن مثلًا عزل جهاز أو تعطيل جلسة عند تحقق شروط واضحة.
هذه تدخل ضمن SOAR – Security Orchestration, Automation and Response.
لكن الأتمتة الخاطئة قد توقف العمل
إذا عزلت خادمًا مهمًا بسبب False Positive، قد تسبب أزمة.
لذلك نحتاج إلى درجات من الأتمتة.
Human-in-the-Loop في الأمن السيبراني
في الحالات الحساسة، يمكن للنظام اقتراح الإجراء ويترك القرار النهائي للمحلل.
مثلًا: "درجة الخطورة 92/100، أوصي بعزل الجهاز."
هذا يجمع السرعة مع الرقابة
ومع زيادة الثقة في سيناريو محدد يمكن أتمتة بعض الخطوات لاحقًا.
كيف تستخدم AI Agents في الأمن؟
يمكن بناء Agent يجمع معلومات عن تنبيه، ويبحث عن الجهاز، ويراجع سجلات الدخول، ويفحص Threat Intelligence، ثم يكتب تقريرًا.
لكن الصلاحيات يجب أن تكون محدودة
Agent قادر على حذف مستخدم أو إيقاف خادم يحتاج إلى ضوابط قوية جدًا.
القاعدة نفسها التي ناقشناها سابقًا: أقل صلاحية ممكنة.
مثال كامل: اكتشاف اختراق حساب
لنفترض أن النظام لاحظ تسجيل دخول من جهاز جديد. وحده هذا الحدث قد يكون طبيعيًا.
بعد دقائق، بدأ الحساب بتنزيل ملفات من قسم لم يدخله سابقًا، ثم أنشأ API Token جديدًا.
AI يجمع الأحداث
النظام يربطها ويحسب Risk Score أعلى من كل حدث منفرد.
بعد ذلك يمكن أن يطلب تحققًا إضافيًا أو يرسل التنبيه إلى SOC.
هذه هي قيمة التحليل السياقي.
مثال آخر: اكتشاف جهاز مصاب
جهاز موظف يبدأ تنفيذ PowerShell بصورة غير معتادة ثم يتصل بنطاق جديد ويرسل بيانات.
كل حدث منفرد قد يكون مشروعًا، لكن تسلسلها غير مألوف.
Temporal Pattern مهم
ترتيب الأحداث يضيف معنى.
لهذا قد تستخدم نماذج السلاسل الزمنية أو طرق Event Correlation.
ما دور Explainable AI في الأمن؟
المحلل يحتاج إلى معرفة لماذا رفع النظام التنبيه.
مجرد القول "النموذج يعتقد أن هذا هجوم" غير كافٍ.
التفسير العملي
يمكن إظهار أن السبب هو: جهاز جديد + موقع غير مألوف + حجم تحميل مرتفع + وصول إلى ملفات حساسة.
هذا يساعد الإنسان على اتخاذ قرار أسرع.
كيف نقيم نموذج أمن سيبراني؟
لا يكفي التدريب والاختبار على Dataset عامة. يجب اختباره على بيانات تشبه البيئة الحقيقية.
الهجمات في مختبر قد تختلف عن بيئة الشركة.
نحتاج أيضًا إلى قياس زمن الكشف
نموذج يكتشف الهجوم بعد ساعتين قد يكون أقل قيمة من نموذج أقل دقة قليلًا لكنه ينبه خلال دقيقة.
الأمن يجمع بين الدقة والسرعة.
ما هو MTTD؟
Mean Time to Detect هو متوسط الزمن المطلوب لاكتشاف الحادث.
ويوجد أيضًا MTTR الذي قد يشير إلى زمن الاستجابة أو المعالجة حسب السياق المستخدم في المؤسسة.
AI يمكن أن يقلل الزمن
عبر ترتيب التنبيهات وربط الأحداث وتقديم ملخص أولي للمحلل.
كيف يبدأ مشروع AI أمني ناجح؟
ابدأ بمشكلة محددة. لا تقل "نريد استخدام AI في الأمن".
قل مثلًا: "لدينا عدد كبير من تنبيهات تسجيل الدخول ونريد تقليل False Positives."
ثم قس الأداء الحالي
كم تنبيهًا يوميًا؟ كم منها حقيقي؟ كم يستغرق المحلل؟
بعدها تستطيع معرفة هل AI أضاف قيمة فعلية.
لا تبدأ بنموذج ضخم إذا كانت قاعدة بسيطة تكفي
إذا كانت لديك حالة يمكن اكتشافها بقاعدة مؤكدة، استخدم القاعدة.
Machine Learning يصبح مفيدًا عندما تكون العلاقات معقدة أو السلوك متغيرًا.
البساطة ميزة أمنية
النظام البسيط أسهل في الفهم والاختبار.
لا تستخدم AI لمجرد استخدام AI.
قالب Prompt جاهز لمحلل أمني مساعد
يمكن استخدام القالب التالي مع نموذج ذكاء اصطناعي لتحليل بيانات أو سجلات تملك صلاحية العمل عليها، مع إبقاء إجراءات الاستجابة الحساسة تحت مراجعة مختص بشري:
تصرف كمحلل أمن سيبراني دفاعي. سأعطيك مجموعة من السجلات والتنبيهات من أنظمة أملك صلاحية تحليلها. هدفك هو ترتيب الأحداث زمنيًا، وتحديد المؤشرات غير الطبيعية، وربط الأحداث التي قد تنتمي إلى الحادث نفسه. لا تفترض وجود اختراق لمجرد وجود حدث غير معتاد، ولا تخترع معلومات غير موجودة في السجلات. صنف كل استنتاج إلى: حقيقة من السجلات، احتمال يحتاج إلى تحقق، أو معلومة غير متوفرة.
ابدأ بالخطوات التالية:
1. لخص الفترة الزمنية التي تغطيها البيانات.
2. حدد الحسابات والأجهزة وعناوين الشبكة الأساسية الموجودة في الحادث.
3. استخرج الأحداث غير المعتادة واذكر سبب اعتبار كل حدث غير معتاد.
4. رتب الأحداث في Timeline واحد.
5. حدد الفرضيات المحتملة دون اعتبارها حقائق.
6. اذكر البيانات الإضافية التي يحتاجها المحلل للتحقق من كل فرضية.
7. لا تقترح تنفيذ إجراء قد يوقف خدمة أو يحذف بيانات أو يعطل حسابًا إلا كتوصية تحتاج إلى موافقة بشرية.
8. اختم بملخص قصير يوضح مستوى الخطورة بناءً على الأدلة المتاحة فقط.
السجلات والتنبيهات:
[ضع البيانات هنا]
السلوك الطبيعي المعروف للبيئة:
[ضع المعلومات المتاحة هنا]
الأنظمة الحساسة أو الحرجة:
[ضع الأنظمة هنا]
هذا النوع من الأوامر يجعل نموذج اللغة مساعدًا في تنظيم الأدلة وليس بديلًا عن أنظمة الحماية أو المحلل الأمني.
مثال تطبيقي مبسط لكيفية استخدام القالب
إذا كان لديك سجل يقول إن حسابًا معينًا سجل الدخول الساعة 02:10، ثم نفذ عملية وصول إلى مجلد حساس في 02:13، ثم نقل كمية كبيرة من البيانات في 02:18، فلا تطلب من AI أن يقول فقط "هل الحساب مخترق؟".
الأفضل أن تجعله يقسم المعلومات إلى حقائق واستنتاجات:
الحقيقة: حدث تسجيل دخول في 02:10.
الحقيقة: تم الوصول إلى المجلد الحساس في 02:13.
الحقيقة: حدث نقل بيانات مرتفع في 02:18.
الاحتمال: قد تشير السلسلة إلى إساءة استخدام الحساب إذا كان هذا النشاط خارج النمط المعتاد.
المعلومة المطلوبة: هل المستخدم كان يعمل في هذا الوقت؟ هل الجهاز معروف؟ هل عملية نقل البيانات معتادة؟
بهذه الطريقة يساعدك AI على التفكير بطريقة أكثر انضباطًا بدل القفز من تنبيه إلى حكم نهائي.
الخلاصة: الذكاء الاصطناعي يجعل الأمن أكثر قدرة على رؤية الأنماط لا أكثر قدرة على معرفة الحقيقة تلقائيًا
الذكاء الاصطناعي في الأمن السيبراني مفيد لأنه يستطيع معالجة كميات ضخمة من البيانات واكتشاف علاقات يصعب على الإنسان متابعتها يدويًا. يمكنه تحليل سلوك المستخدمين، واتصالات الشبكة، والبرامج، والملفات، والبريد، والسجلات، ثم البحث عن إشارات ترتبط بالهجمات أو الانحراف عن السلوك المعتاد.
في الأنظمة الخاضعة للإشراف، يتعلم النموذج من أمثلة سابقة للهجمات. وفي Anomaly Detection يتعلم شكل النشاط الطبيعي ثم يبحث عن الانحراف. وفي أنظمة SOC يمكن لنماذج اللغة أن تلخص التنبيهات وتجمع الأحداث وتسترجع المعلومات من قواعد المعرفة. ومع AI Agents يمكن أتمتة بعض مراحل التحقيق والاستجابة ضمن صلاحيات محددة.
لكن أصعب تحدٍ هو أن الأمن ليس بيئة ثابتة. المستخدمون يتغيرون والمهاجمون يتكيفون والبرامج تتحدث باستمرار، لذلك تحتاج النماذج إلى مراقبة وإعادة تقييم. كما يجب الانتباه إلى False Positives وData Poisoning وAdversarial Attacks وPrompt Injection عند استخدام الأنظمة التوليدية.
الأهم من ذلك أن الذكاء الاصطناعي لا يعرف تلقائيًا أن الحدث "خبيث" بالمعنى المطلق. هو يرى أنماطًا واحتمالات. دور الإنسان والقواعد الأمنية والسياسات هو تحويل هذه الإشارات إلى قرار مناسب.
أفضل نظام أمني ليس الذي يعلن أنه يستخدم أحدث نموذج، بل الذي يستطيع اكتشاف النشاط المهم بسرعة، وتقديم أدلة مفهومة، وتقليل الضوضاء، ومساعدة المحلل على الوصول إلى القرار الصحيح قبل أن يتحول النشاط المشبوه إلى حادث كبير.
وهنا تتضح القيمة الحقيقية لـAI في الأمن السيبراني: ليس استبدال خبراء الأمن، بل منحهم قدرة أكبر على رؤية ما يحدث داخل كمية من البيانات أصبحت أكبر من أن يستطيع الإنسان متابعتها وحده.
0 تعليقات