وقتی صحبت از حمله سایبری به یک سازمان می‌شود، معمولا تصویری از یک هکر در ذهن شکل می‌گیرد که با استفاده از یک آسیب‌پذیری به سامانه‌ای نفوذ می‌کند. بااین‌حال، نفوذ به شبکه‌های سازمانی همیشه از یک حفره امنیتی مشخص آغاز نمی‌شود. گاهی چندین ضعف کوچک در ساختار دسترسی‌ها و تنظیمات امنیتی کنار یکدیگر قرار می‌گیرند و مسیری برای رسیدن مهاجم به حساس‌ترین بخش‌های شبکه ایجاد می‌کنند.

شناسایی این مسیرها یکی از موضوعاتی است که در پژوهش‌های بیست‌وسومین کنفرانس بین‌المللی انجمن رمز ایران مورد توجه قرار گرفته است. در این کنفرانس که روزهای ۲۹ و ۳۰ مهرماه ۱۴۰۵ در دانشگاه صنعتی امیرکبیر برگزار شد، پژوهشگران به بررسی ابعاد مختلف امنیت اطلاعات، رمزنگاری و تهدیدهای سایبری پرداخته‌اند.

بر اساس کتابچه این کنفرانس، ۱۰۴ مقاله از ۴۰ دانشگاه و مرکز علمی و پژوهشی به دبیرخانه این رویداد ارسال شده و  از میان این آثار، حوزه هوش مصنوعی و امنیت با ۲۴ مقاله بیشترین سهم را به خود اختصاص داده است. پس از آن، مبانی رمزنگاری با ۱۵ مقاله در جایگاه دوم قرار دارد. در نهایت نیز ۲۵ مقاله پس از ارزیابی‌های علمی پذیرفته شده‌اند.

Active Directory؛ یکی از اهداف مهم مهاجمان در شبکه‌های سازمانی

یکی از پژوهش‌های پذیرفته‌شده در این کنفرانس با عنوان «Golden Path Discovery: A Transparent, Weighted Algorithm for Prioritizing Attack Paths in Enterprise Active Directory Networks»  به بررسی مسیرهای حمله در شبکه‌های سازمانی مبتنی بر Active Directory می‌پردازد.

Active Directory  یکی از زیرساخت‌های اصلی مدیریت هویت و دسترسی در سازمان‌هاست. این سامانه امکان مدیریت کاربران، تجهیزات و سطح دسترسی آنها را فراهم می‌کند و به همین دلیل، در صورت وجود ضعف‌های امنیتی می‌تواند به یکی از اهداف مهم مهاجمان تبدیل شود.

پژوهشگران این مقاله توضیح می‌دهند که مهاجمان می‌توانند با سواستفاده از زنجیره‌ای از پیکربندی‌های نادرست، مجوزهای دسترسی بیش‌ازحد یا آسیب‌پذیری‌ها، مسیر خود را به سمت دارایی‌های حساس سازمان باز کنند. کنترل‌کننده‌های دامنه (Domain Controllers) از جمله اهداف مهم در این مسیرها هستند.

در شبکه‌های بزرگ، تعداد مسیرهای احتمالی حمله می‌تواند آن‌قدر زیاد باشد که بررسی دستی همه آنها برای تحلیلگران امنیتی دشوار شود. این مسئله تشخیص مسیرهایی را که خطر بیشتری برای دارایی‌های حیاتی سازمان دارند، پیچیده می‌کند.

الگوریتم Golden Path Discovery چگونه مسیر نفوذ را پیدا می‌کند؟

پژوهشگران برای پاسخ به این مسئله، الگوریتمی با نام Golden Path Discovery یا GPD ارائه کرده‌اند. این الگوریتم با تمرکز بر دارایی‌های حیاتی سازمان که در مقاله از آنها با عنوان Golden Assets یاد شده است، مسیرهای حمله را بر اساس میزان خطر اولویت‌بندی می‌کند.

روش پیشنهادی بر پایه یک گراف وزن‌دار معکوس عمل می‌کند. در این ساختار، ارتباط میان اجزای مختلف شبکه بررسی می‌شود و هر گره بر اساس فاصله وزن‌دار خود تا دارایی‌های حساس، امتیاز ریسک دریافت می‌کند.

این فرایند به الگوریتم کمک می‌کند مسیرهای مستقیم‌تر و اثرگذارتر را از میان تعداد زیادی مسیر احتمالی شناسایی کند. در نتیجه، تحلیلگران امنیتی می‌توانند بررسی خود را بر مسیرهایی متمرکز کنند که احتمال دسترسی به دارایی‌های حیاتی از طریق آنها اهمیت بیشتری دارد.

یکی از ویژگی‌های مهمGPD ، شفافیت در عملکرد آن است. برخلاف برخی ابزارهای صنعتی که سازوکار تصمیم‌گیری آنها به‌طور کامل قابل بررسی نیست، الگوریتم پیشنهادی مستند و قابل ممیزی طراحی شده است. همچنین وزن ارتباط میان اجزای شبکه را می‌توان با توجه به مدل تهدید هر سازمان تنظیم کرد.

کاهش بیش از ۹۹ درصدی مسیرهای نیازمند بررسی

پژوهشگران برای ارزیابی عملکرد الگوریتم Golden Path Discovery از محیط شبیه‌سازی GOAD استفاده کرده‌اند. نتایج این ارزیابی نشان می‌دهد که الگوریتم پیشنهادی توانسته است تعداد مسیرهای نیازمند بررسی تحلیلگران را بیش از ۹۹.۹ درصد کاهش دهد. همچنین تمام مسیرهای حمله بحرانی شناسایی‌شده در سناریوهای مستند، در میان پنج نتیجه نخست رتبه‌بندی قرار گرفته‌اند.

این پژوهش در کنار روش‌هایی مانند جست‌وجوی سطحی بدون وزن (BFS)، الگوریتم PageRank و مرکزیت بینابینی (Betweenness Centrality) ارزیابی شده است.

بر اساس نتایج منتشرشده، الگوریتم GPD می‌تواند حجم مسیرهای نیازمند بررسی را کاهش دهد و به تحلیلگران کمک کند زمان و ظرفیت خود را برای شناسایی مسیرهای پرخطرتر به کار بگیرند.

امنیت سایبری در کنفرانس انجمن رمز ایران؛ از تشخیص بدافزار تا تحلیل فایروال

موضوع شناسایی مسیرهای نفوذ، تنها محور مرتبط با امنیت سایبری در مقالات این کنفرانس نیست. بررسی فهرست مقالات پذیرفته‌شده نشان می‌دهد پژوهشگران به بخش‌های مختلف زنجیره دفاع سایبری پرداخته‌اند.

برای نمونه، مقاله‌ای با عنوان «PHALANX: A Reproducible Multi-Vendor Framework for Structural Firewall Policy Analysis and Finding Prioritization»  به بررسی مشکلات ساختاری در سیاست‌های فایروال می‌پردازد.

در این پژوهش، تغییرات مداوم قوانین فایروال و احتمال ایجاد دسترسی‌های ناخواسته، تداخل قوانین یا باقی ماندن تنظیمات غیرضروری بررسی شده است. چارچوب PHALANX با تحلیل پیکربندی فایروال در چند پلتفرم مختلف، یافته‌های امنیتی را شناسایی و بر اساس اولویت مرتب می‌کند.

مقاله‌ای دیگری با عنوان «An Uncertainty-Aware Deep Reinforcement Learning Framework for Adaptive Malware Detection Under Concept Drift»  به تشخیص تطبیقی بدافزار اختصاص دارد. این پژوهش از یادگیری تقویتی عمیق برای شناسایی بدافزارهایی استفاده می‌کند که رفتار و ویژگی‌های آنها در طول زمان تغییر می‌کند.

همچنین مقاله «DualShield: Confidence-Aware Selective Escalation for Lightweight IoT Intrusion Detection and Post-Gate Novelty Analysis»  روشی چندمرحله‌ای برای شناسایی نفوذ در شبکه‌های اینترنت اشیا پیشنهاد می‌دهد. در این روش، نمونه‌هایی که تشخیص آنها با اطمینان کمتری انجام شده است، برای بررسی دقیق‌تر به مرحله بعدی فرستاده می‌شوند.

از شناسایی تهدید تا بازیابی شواهد دیجیتال

یکی دیگر از محورهای پژوهشی کنفرانس، جمع‌آوری و حفظ شواهد دیجیتال پس از وقوع رخدادهای امنیتی است. مقاله «The Agile Forensic Collector: Automated Forensic Evidence Recovery from Ephemeral Container Layers in Living-off-the-Land Attacks»  به مسئله از بین رفتن شواهد حمله در محیط‌های کانتینری می‌پردازد.

در این پژوهش توضیح داده شده است که با حذف یک کانتینر، لایه قابل‌نوشتن فایل‌سیستم آن نیز ممکن است از بین برود؛ درحالی‌که همین لایه می‌تواند تنها محل ثبت بخشی از فعالیت مهاجم باشد.

پژوهشگران برای مقابله با این مسئله، ابزاری با نام Agile Forensic Collector طراحی کرده‌اند که فرایند شناسایی و حفظ شواهد را به‌صورت خودکار انجام می‌دهد. این ابزار در آزمایش‌های انجام‌شده توانسته است شواهد را در سناریوهای ارزیابی‌شده بازیابی کند.

امنیت سایبری؛ مسئله‌ای فراتر از یک لایه دفاعی

مرور مقالات بیست‌وسومین کنفرانس بین‌المللی انجمن رمز ایران نشان می‌دهد بخش مهمی از پژوهش‌های این دوره به شناسایی تهدیدها، تحلیل آسیب‌پذیری‌ها، حفاظت از زیرساخت‌ها و بهبود روش‌های تشخیص حملات اختصاص دارد. از مدیریت دسترسی‌ها در شبکه‌های سازمانی تا تحلیل سیاست‌های فایروال، تشخیص بدافزار و حفظ شواهد دیجیتال، این پژوهش‌ها بخش‌های مختلفی از چالش امنیت سایبری را پوشش می‌دهند.

در این میان، پژوهش Golden Path Discovery یک مسئله مهم را برجسته می‌کند: در شبکه‌های پیچیده سازمانی، شناخت نقاط ضعف به‌تنهایی کافی نیست؛ تحلیلگران باید بدانند کدام ترکیب از ضعف‌ها می‌تواند مهاجم را به دارایی‌های حساس برساند و کدام مسیرها باید زودتر مورد بررسی قرار گیرند.