‏اكتشاف الشذوذ السلوكي

الشذوذ انحراف عن نمط متوقع، وهو كبير بما يكفي، أو غير مألوف في سياقه بما يكفي، ليستحق الاهتمام. ويأتي التوقع من خط أساس: نموذج للسلوك المعتاد يُبنى من تاريخ الشخص نفسه، ومن مجموعة نظرائه في الدور ذاته، ومن السلوك المتوقع لذلك الدور.

ليس كل شذوذ خبيثًا. فالمواعيد النهائية ورحلات العمل والمشاريع الجديدة تنتج أيضًا انحرافات مشروعة، لذلك يقدّم الكشف مؤشرات لا أحكامًا. ويحدث التأكيد أثناء التحقيق، وتُوصف الإشارات المهمة في مؤشرات التهديد الداخلي.

المصطلحات مترابطة لكنها غير متبادلة. تحليل السلوك هو المنهجية الأوسع: دراسة طريقة استخدام الأشخاص لأنظمة المؤسسة، وتحديد المعتاد، وتفسير الانحرافات. يمارسه المحللون والبرمجيات معًا.

اكتشاف الشذوذ السلوكي هو المهمة التقنية المحددة ضمن هذا العمل: وضع علامة تلقائية على النشاط الذي يستوفي معايير انحراف محددة عن خط أساس. أما تحليل سلوك المستخدمين والكيانات (UEBA) فهو فئة المنتجات التي تؤتمت المسار كله. وباختصار، يطرح تحليل السلوك الأسئلة، ويكون اكتشاف الشذوذ هو المحفّز، وتؤتمت UEBA الحلقة.

تهيمن ثلاث عائلات من الأساليب، وتجمع معظم عمليات النشر بينها.

لا يوجد أسلوب متفوق تفوقًا مطلقًا. قواعد العتبة شفافة لكنها جامدة. النماذج الإحصائية تضيف سياقًا شخصيًا وسياق النظراء. أما تعلم الآلة فيكشف أنماطًا أدق، لكنه أصعب في الشرح والضبط. وتبدأ برامج كثيرة بالعتبات والإحصاء، لأن كل تنبيه يمكن تبريره أمام المدققين، ولا تضيف التعلم إلا حيث تستحق الحساسية الإضافية ثمن العتامة.

الإيجابيات الزائفة هي المشكلة التشغيلية المحورية. تنشأ من تغييرات مشروعة لم يستوعبها خط الأساس بعد، كالمواعيد النهائية والسفر وإعادة التنظيم والذروات الموسمية. وتنشأ أيضًا من كواشف مضبوطة بإحكام زائد.

تُبنى خطوط الأساس عبر التنميط، فتضيف ضجيجها الخاص. فالبداية الباردة تحدث حين لا يملك موظف جديد أي تاريخ، فيعتمد الكشف على أنماط النظراء. أما الانجراف فيحدث حين تجعل المشاريع والجداول المتغيرة نموذجًا قديمًا يعلّم نشاطًا عاديًا.

يتحول ذلك إلى إنهاك للتنبيهات: يتوقف المحللون عن الثقة بها، وتضيع الانحرافات الحقيقية في الضجيج.

احتواء المشكلة عملية متدرجة. اضبط العتبات على التغير المعتاد المقيس. أضف سياق مجموعة النظراء كي لا تُعلَّم أنماط الفريق كله عضوًا بعضو. غذِّ القواعد بالنتائج الحميدة. وعزِّز الإشارات الضعيفة بدليل مستقل، مثل فحص ما نُقل فعلًا، قبل التصعيد.

لا يكون للكشف قيمة إلا إذا غيّر مخرجه نتيجة. ينتقل الانحراف المعلَّم إلى الفرز ضمن تحقيق في حادثة أمنية، حيث يتبع المحلل ثلاث خطوات.

1. 1

   تأكيد الخطورة

   يقيّم المحلل مدى جدية الانحراف.

2. 2

   جمع السياق

   يراجع ما الذي تم الوصول إليه، وما الذي أُرسل، ومن أين.

3. 3

   اتخاذ القرار

   يغلق الحالة، أو يواصل مراقبتها، أو يتدخل.

تظهر آليتا العتبة في واجهة Anexet كقواعد إحصائية وتنبيهات بقيمة المخاطر، وكلتاهما جزء من ميزة اكتشاف التهديدات الداخلية.

1 / 2

• 
• 

لأن التقنية تقوم على مراقبة الموظفين، فإنها تعمل ضمن حدود قانونية. وفي معظم الولايات القضائية، بما فيها GDPR، تتطلب المراقبة غرضًا محددًا وتناسبًا وشفافية تجاه الموظفين.

يوثّق البرنامج المتين ما تقيسه خطوط الأساس، ومن يرى النتائج، والمدة التي تُحفظ فيها السجلات.

للمزيد من القراءة: كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.