‏تحليل السلوك

في الأمن، تحليل السلوك هو ممارسة فحص النشاط الرقمي الملاحظ للأشخاص داخل مؤسسة, موظفين ومتعاقدين ومسؤولي أنظمة, لفهم ما هو معتاد ورصد ما ليس كذلك. ووحدة التحليل ليست ملفاً أو رسالة منفردة، بل أنماط نشاط عبر الزمن: متى يعمل الأشخاص، وأي التطبيقات والمواقع يستخدمونها، ومع من يتواصلون، وأي البيانات يتعاملون معها، وبأي شدة.

والفكرة الأساسية: معظم حوادث التهديد الداخلي تسبقها تغيرات ملاحظة في السلوك. موظف يستعد للمغادرة، وحساب استولى عليه طرف خارجي، ومستخدم يتجاوز بكثير نطاقه المعتاد, كلٌّ منها يظهر أولاً كانحراف عن نمط راسخ. وتحليل السلوك طريقة منظمة لالتقاط هذه التغيرات مبكراً بدلاً من إعادة تركيبها بعد الحادث.

سواء أجراه محلل أو محرك مؤتمت، يتبع تحليل السلوك دورة متكررة:

والناتج ليس حكماً بل أولوية: قائمة مرتبة من الأشخاص الذين يستحق نشاطهم الأخير نظرة أقرب، مع ربط كل انحراف بالأحداث الكامنة وراءه.

1. 1

   الجمع

   تُسجَّل بيانات النشاط من نقاط النهاية والقنوات: استخدام التطبيقات والويب، والبريد والمراسلة، وعمليات الملفات، وتوصيل الأجهزة، والطباعة.

2. 2

   خط الأساس

   يُبنى ملف للنشاط المعتاد لكل مستخدم أو دور أو مجموعة، على مدى فترة تكفي للإمساك بإيقاع العمل.

3. 3

   المقارنة

   يُقارَن النشاط الجاري بخط الأساس وبعتبات السياسات, عدادات وأحجام تُعلِّم الابتعاد عن المألوف.

4. 4

   التقييم

   تُصنَّف الانحرافات حسب الفئة, احتمال فقدان بيانات، أو مخالفة سياسة، أو إشارات عدم ولاء, ويُعطى لها مستوى خطر يعكس الخطورة والتكرار.

5. 5

   الاستجابة

   الخطر المؤكد يقود إلى تنبيه أو تحقيق أو إجراء وقائي؛ أما النتائج المستبعدة فتضبط خطوط الأساس والعتبات.

خط الأساس هو ملف يصف النشاط الطبيعي لمستخدم أو دور أو مجموعة، ويُبنى خلال فترة كافية لالتقاط إيقاع العمل. الانحراف ابتعاد قابل للقياس عن هذا الملف. قد يكون الفعل نفسه روتينياً لشخص وإشارةً لآخر، لذلك تُفوّت القاعدة الثابتة التي تُكتب للجميع حالات حقيقية، أو تُغرق الفريق بتنبيهات كاذبة. مقارنة كل شخص بسجله الخاص وبزملائه في الدور نفسه تحافظ على فائدة الإشارة. تعتمد خطوط الأساس على بيانات مراقبة نشاط المستخدمين المجمّعة أصلاً، وتُقرأ الانحرافات في ضوء أنماط معروفة من التهديدات الداخلية.

مراجعة الانحراف لا تقل أهمية عن اكتشافه. يتحقق المحللون من الأحداث الكامنة وراء كل تغيير مُعلَّم، وتعود قراراتهم إلى خط الأساس، فيتوقف النمط غير الضار، مثل تقرير إقفال الشهر، عن توليد التنبيهات.

• ساعات العمل مقارنةً بالجدول المعتاد للشخص وإيقاع فريقه
• حجم الرسائل والملفات والتنزيلات في الساعة أو اليوم أو الأسبوع
• التطبيقات والمواقع والمستلمون الذين يستخدمهم الشخص عادةً
• المستودعات والمجلدات المشتركة والأنظمة التي يفتحها الشخص عادةً

في الأمن، يتعامل تحليل السلوك حصرياً مع الأفعال الملاحظة على أنظمة الشركة: أي الموارد جرى الوصول إليها، وما أُرسل وإلى أين ومتى وبأي حجم. وهو لا يستنتج سمات الشخصية أو المواقف أو النوايا، ولا يتنبأ بما قد يفعله الشخص بعيداً عن أنظمة العمل. والتصنيف النفسي نشاط مختلف بحدود قانونية أشد بكثير, وليس هو ما تفعله تحليلات خطر الأطراف الداخلية.

ولهذا التمييز أهمية قانونية: الجهات التنظيمية تقبل مراقبة النشاط المرتبط بالعمل عندما تكون متناسبة وشفافة ومحدودة الغرض، بينما تقييم الشخصيات أو الحياة الخاصة معالجة حساسة تقيّدها أغلب الأطر أو تحظرها. فالبرنامج القابل للدفاع يسمّي المؤشرات التي يتتبعها، ولا يصف شخص صاحبها.

وحدٌّ آخر: تحليل سلوك المستخدمين والكيانات (UEBA) هو الفئة التقنية التي تؤتمت تحليل السلوك بالنماذج الإحصائية؛ أما تحليل السلوك نفسه فهو الممارسة الأوسع، التي يجريها المحللون كما تجريها المحركات.

يظهر معظم هذه الأنماط أولاً كتغيّر مقارنةً بخط الأساس الخاص بالشخص نفسه. تُعلّمها أدوات UEBA الآلية، ويقرر المحللون معنى كل منها.

في وحدة Insider Threat Detection يحمل كل حادث مستوى خطر وفئة، فيرى مسؤول الأمن أين يتركز الخطر قبل فتح أي حدث منفرد.

1 / 2

• 
• 

لأنه مبني على مراقبة الموظفين، يحكم تحليلَ السلوك قانونُ العمل وحماية البيانات. ففي الاتحاد الأوروبي والمملكة المتحدة يقتضي GDPR أساساً مشروعاً، وغرضاً محدداً، وتناسباً، وشفافية, إذ يجب أن يعرف الموظفون أن المراقبة قائمة وما تغطيه، وقد يلزم استشارة ممثلي العاملين. وتضع ولايات قضائية أخرى قواعد إبلاغ خاصة بها؛ أما تقليل البيانات فينطبق في كل مكان: اجمع ما يقتضيه الغرض، ولا شيء أكثر.

ضمانات عملية: سياسة مراقبة مكتوبة تُبلَّغ للموظفين، وقصر سجلات السلوك على أدوار محددة، وحدود للاحتفاظ، وفصل واضح بين تحليل الأمن وتقييم الأداء. فالخط القانوني يفصل بين مشاهدة النشاط على أصول الشركة والمراقبة الخفية للأفراد.

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم بالقنوات التي تُستخدم فعلياً. يحتاج برنامج واضح لـإدارة المخاطر الداخلية إلى قائمة قصيرة من المؤشرات، تستطيع المؤسسة شرحها لموظفيها.

قبل أن يتحول الانحراف إلى استنتاج، راجع الأحداث التي تقف وراءه وسياق العمل. الانحراف سؤال يحتاج إلى جواب، وليس حكماً على الشخص.

للمزيد من القراءة: التنميط النفسي.