سيمون إدواردز، الرئيس التنفيذي والمؤسس لشركة SE Labs – سلسلة المقابلات

Simon Edwards, الرئيس التنفيذي والمؤسس لشركة SE Labs، هو خبير في اختبار الأمن السيبراني يمتلك أكثر من ثلاثة عقود من الخبرة تشمل البحث الأمني، تقييم المنتجات، الصحافة التقنية، ومعايير الصناعة. قبل تأسيس SE Labs في عام 2015، كان إدواردز يدير Dennis Technology Labs، حيث قاد مبادرات اختبار الأمن، وقضى سنوات عديدة كصحفي ومحرر تقني. كما شغل مناصب قيادية عليا في منظمة معايير اختبار البرامج الضارة (AMTSO)، بما في ذلك رئيس مجلس الإدارة، مدير، ورئيس مشارك. يختبر إدواردز منتجات الأمن منذ منتصف التسعينات وكان رائدًا في أساليب اختبار البرامج الضارة الواقعية المبكرة التي صُممت لتقييم أداء تقنيات الأمن ضد هجمات كاملة تُنقل عبر الإنترنت بدلاً من عينات برامج ضارة منفصلة.

SE Labs هي شركة مستقلة لاختبار الأمن السيبراني وتقديم الاستشارات تقوم بتقييم أداء تقنيات الأمن ضد هجمات واقعية. يقوم باحثوها بتكرار تقنيات المهاجم عبر سلسلة الهجوم بالكامل لتقييم المنتجات بما في ذلك حماية النقاط الطرفية، كشف واستجابة النقاط الطرفية (EDR)، خدمات الأمن السحابي، الجدران النارية، أمان البريد الإلكتروني، وتقنيات كشف الشبكة. إلى جانب الاختبارات المقارنة العامة، تقدم SE Labs شهادات، اختبارات أمنية متقدمة، توثيق المنتجات، وخدمات استشارية للمؤسسات وبائعي الأمن السيبراني. تنشر الشركة منهجيات اختبارها وأطر محاكاة التهديدات وهي حاصلة على شهادة ISO/IEC 27001:2022 و BS EN ISO 9001:2015 لتقديم اختبار منتجات أمن تكنولوجيا المعلومات.

يمتد مسار حياتك المهنية لأكثر من ثلاثة عقود عبر الصحافة التقنية، الاستشارات الأمنية، الاختبار المستقل، وأدوار القيادة في منظمة معايير اختبار البرامج الضارة (AMTSO). كيف شكلت هذه الخبرة الطريقة التي تفرق فيها بين التقدم الحقيقي في الأمن السيبراني المدعوم بالذكاء الاصطناعي وبين التقنيات التي تُصنَّف أساسًا كـ “الذكاء الاصطناعي” لأغراض التسويق؟

علمتني الصحافة أن أشكك في الادعاءات، بينما علمني الاختبار المستقل أن الجواب الموثوق الوحيد يأتي من الأدلة. تستخدم شركات الأمن السيبراني التعلم الآلي واتخاذ القرار الآلي منذ سنوات عديدة، لذا فإن إضافة “AI” إلى اسم المنتج لا يعني بالضرورة وجود تقدم تقني.

ثلاثة أمور أساسية يجب مراعاتها: ما الذي يفعله الذكاء الاصطناعي فعليًا؟ ما النتيجة الأمنية القابلة للقياس التي يحسنها؟ وهل يمكن لمختبر مستقل إعادة إنتاج هذا التحسين؟

إذا كان الجواب ببساطة أن المنتج يحلل كمية كبيرة من البيانات أو يُؤتمت عملية موجودة، فقد يكون تصنيف الذكاء الاصطناعي أكثر عن الترويج من القدرة الفعلية.

التقدم الحقيقي يعمل بكفاءة ضد هجمات غير مألوفة أو جديدة كليًا، يحسن الحماية أو الاستجابة، يقلل العبء عن المحللين، ويؤدي ذلك دون إدخال مخاطر غير مقبولة. أي شيء آخر إما ليس تحسينًا أو يُعد تراجعًا!

أصبح “AI-driven” ادعاءً شائعًا عبر منتجات الأمن السيبراني. ما هي أهم القدرات التي يجب اختبارها بشكل مستقل قبل أن تقبل المؤسسة أن منصة الأمن المدعومة بالذكاء الاصطناعي تقدم فعلاً ما يوعده البائع؟

لن أبدأ باختبار ما إذا كان المنتج يحتوي على الذكاء الاصطناعي. سأبدأ باختبار الادعاءات الأمنية المقدمة بشأنه. لا يهمني حقًا كيف يعمل المنتج، طالما أنه يعمل. هذا هو الهدف الدقيق لبرنامج الاختبار PIVOT، الذي يكتسب حاليًا زخمًا كبيرًا في الصناعة.

الاختبار بهذه الطريقة يعني تعريض المنتج لهجمات كاملة وقياس كيفية استجابته. من المفترض أن يكتشف النشاط وربما يواصل منع تقدم الهجوم. هذا يعتمد على كيفية بناء المنتج وتكوينه، وكذلك على الادعاءات التسويقية التي يطرحها البائع.

نحتاج أيضًا إلى فحص السرد التحقيقي المقدم للعميل. هل فهم النظام ما حدث، وربط الأحداث ذات الصلة وجعل الأدلة مرئية للشخص الذي يجب أن يتصرف بناءً عليها؟

يجب أن يتضمن الاختبار تنوعات غير مألوفة، وتكوينات عميل واقعية، ونشاط تجاري عادي. كما يجب أن يقيس الإيجابيات الكاذبة، ومتطلبات الموارد، والإجراءات التي قد تُعتبر غير آمنة. إذا كان النظام ذاتيًا، فنحتاج إلى معرفة متى يتصرف، ولماذا يتصرف، وما الأذونات التي يستخدمها، وما إذا كان يمكن عكس قراراته.

لقد رأينا بعض القصص في الأخبار عن أمان الذكاء الاصطناعي يخرج عن السيطرة ويتجاوز حدوده وربما القانون. السؤال المهم ليس ما إذا كانت المنصة تبدو ذكية، بل ما إذا كانت تنتج نتائج أمنية أفضل وأكثر أمانًا باستمرار.

يمكن للوكلاء الذكاء الاصطناعي المستقلين تنفيذ الاستطلاع، الاستغلال، التحرك الجانبي، ومراحل أخرى من الهجوم بسرعة تفوق بكثير سرعة المهاجم البشري. كيف يجب أن يتغير اختبار الأمن السيبراني عندما تبدأ الهجمات بالعمل بسرعة الآلة؟

يجب أن يتغير وحدة الاختبار من التقنية الفردية إلى الحملة الكاملة التي تعمل تحت ضغط الوقت. أعني بذلك أنه بدلاً من تجربة طرق مختلفة للهجوم على مدار صباح أو أسبوع، يجب أن يتم اختبار بعض الإجراءات الأمنية بسرعة. وإلا لن يكون ذلك واقعيًا، والواقعية مهمة جدًا.

قد تترك الاختبارات التقليدية فجوات مريحة بين المراحل بحيث يمكن فحص كل حدث على حدة. قد يضغط المهاجم المستقل الاستطلاع والاستغلال والتحرك الجانبي إلى فترة أقصر بكثير. وهذا قد يكشف عن نقاط ضعف لا تظهر في الاختبارات الأبطأ، بما في ذلك التأخيرات في جمع البيانات، الأنظمة المثقلة والإجراءات الدفاعية التي لا تصل إلا بعد أن يحقق الهجوم هدفه.

لإعطائك مثالًا بسيطًا للغاية، إذا اخترقنا جهاز ماك، وحملنا جميع ملفاته وسرقنا كلمات مرور الحسابات، فلن يكون ذلك مفيدًا كثيرًا إذا ظهر برنامج مكافحة الفيروسات بعد يوم بخبر سيء.

لذلك تحتاج اختبار استجابات الأمان لمهاجمي الذكاء الاصطناعي إلى أدوات قياس عالية الدقة وقياس دقيق لتأخير الكشف والاستجابة. يجب أن يفحص ما إذا كان الأداء يتدهور مع زيادة حجم وسرعة النشاط، وما إذا كان الدفاع قادرًا على قطع الهجوم دون انتظار قرار بشري في كل مرحلة.

قد يتكيف الهجوم أيضًا مع ما يكتشفه. يجب أن يعكس الاختبار ذلك مع الحفاظ على الحقيقة الأرضية والأدلة وإمكانية إعادة التشغيل. لا ينبغي أن يعني السرعة الآلية التخلي عن منهجية منضبطة. نحتاج إلى الاستمرار في تصميم اختبارات منضبطة يمكنها تشغيل وقياس الأحداث بنفس سرعة الأنظمة التي يتم تقييمها.

تستخدم SE Labs سيناريوهات هجوم واقعية تستند إلى تكتيكات وتقنيات مجموعات التهديد مثل Scattered Spider. كيف تعيد إنشاء هؤلاء الخصوم في بيئة منضبطة مع ضمان أن الاختبار يعكس كيفية تطور هجوم حقيقي بدلاً من مجرد اختبار ضد قائمة مراجعة محددة مسبقًا؟

نبدأ بأهداف الخصم، وسلوكياته المعروفة، واحتمالات اتخاذه للقرارات، بدلاً من اعتبار تقنياته قائمة تسوق.

يتبع الاختبار سلسلة هجوم واقعية عبر الاستطلاع، الوصول الأولي، التنفيذ، تصعيد الامتيازات، النشاط بعد الاختراق والتحرك الجانبي. والأهم من ذلك، يمكن للمختبر استخدام فقط المعلومات التي تم اكتشافها فعليًا خلال الاستطلاع والهجوم. لا نمنح المهاجم معرفة لن تكون متاحة في مشاركة حقيقية.

السيناريو محدود ومتحكم فيه بعناية، لكنه ليس مجرد تسلسل من ضغطات الأزرار المحددة مسبقًا. إذا تم حجب مسار ما، قد يتبع المهاجم بديلًا معقولًا ضمن قواعد الاختبار. وهذا يسمح لمنتج الأمان بالتأثير على كيفية تطور السيناريو.

في الوقت نفسه، يتم تسجيل كل إجراء مهم وكل نتيجة حتى نتمكن من شرح النتيجة ومقارنة المنتجات بعدل. التحكم لا يعني بالضرورة أن يكون مكتوبًا بصرامة. يجب أن يعني آمنًا، قابلًا للملاحظة ومدعومًا بالأدلة.

تم تقييم منتجات الأمن السيبراني تقليديًا بشكل كبير بناءً على قدرتها على اكتشاف التهديدات. لماذا يجب على المؤسسات أن تنظر بشكل متزايد إلى الحماية والاحتواء والاستجابة للحوادث عند تقييم الأنظمة الأمنية المدفوعة بالذكاء الاصطناعي؟

الكشف ليس هو نفسه الدفاع. يمكن للمنصة إصدار تنبيه دقيق مع استمرار قدرة المهاجم على تحقيق هدفه. لهذا السبب يتضمن برنامج اختبار PIVOT كلًا من الكشف والحماية كجزءين مشتركين ومنفصلين من الاختبار الشامل.

يمكنك مقارنة كشف الأمن السيبراني بكاميرا مراقبة CCTV. يجب أن تلاحظ الاختراق وتزودك بإشارات حول ما حدث، لكنها لن توقف المتسلل فعليًا. الحماية في الأمن السيبراني أكثر نشاطًا. يمكنها طرد المهاجم أو تحييده بطريقة ما، مما يمنع الضرر.

تحتاج المؤسسات إلى معرفة ما إذا كان المنتج قد منع النشاط الأولي، أو قطع سلسلة الهجوم، أو قيد التحرك الجانبي، أو حمى الأصول المهمة ودعم التعافي. إذا نجح الهجوم، تكون الأسئلة التالية هي مدى سرعة احتوائه وما إذا كان العميل قد تلقى معلومات موثوقة كافية للاستجابة بفعالية.

يصبح هذا مهمًا بشكل خاص مع الأنظمة المدفوعة بالذكاء الاصطناعي لأنه، رغم أنها قد تنتج ملخصات مقنعة للغاية لما حدث، فإن الشرح المقنع لا يُعَد بديلاً عن الحماية. يجب أن يكون الشرح مدعومًا بالأدلة ويؤدي إلى إجراء مناسب.

لذلك نقيس الكشف والحماية بشكل منفصل. كما نفحص ما إذا كان الكشف المزعوم مرئيًا ومفيدًا حقًا للعميل. في النهاية، تكمن قيمة نظام الأمان في تغيير نتيجة الهجوم، وليس مجرد ملاحظته.

مع إدخال منصات الأمان لوكلاء مستقلين قادرين على التحقيق في التنبيهات واتخاذ إجراءات تصحيحية، كيف ينبغي للمختبرات المستقلة اختبار سير العمل البشري والذكائي بالكامل بدلاً من تقييم تقنية الكشف الأساسية بمعزل عن غيرها؟

يجب أن يتبع الاختبار العملية بأكملها من أول نشاط خبيث إلى النتيجة الأمنية النهائية، والتي قد تكون إيقاف الهجوم أو نجاحه تمامًا – أو شيء ما بينهما.

نحتاج إلى فحص ما رآه الوكيل، وما استنتجه، وما أوصى به أو فعله، وما عُرض على المشغل البشري وكيف استجاب المشغل (أو ما الخيارات التي قُدمت له). يشمل ذلك جودة الأدلة، وضوح عملية التسليم، والوقت المستغرق، وعدد التدخلات، وما إذا كان الإنسان قادرًا على فهم القرار أو تحديه أو عكسه.

تختلف أوضاع التشغيل أيضًا في أهميتها. فالوكيل الذي يوصي بإجراء للموافقة يُشكل خطرًا مختلفًا عن ذلك القادر على عزل الأنظمة تلقائيًا أو تعطيل الحسابات أو تغيير ضوابط الأمان.

لم ينجح النظام لمجرد أن كاشفه الأساسي حدد الهجوم. إذا كان يُنشئ طابورًا غير مفهوم، أو يُخفي أدلةً مهمة، أو يوصي بالاستجابة الخاطئة أو يتخذ إجراءً معطلاً، فإن سير العمل ككل قد فشل. يجب أن تقيس الاختبارات المستقلة الأداء المشترك للتقنية ومكوناتها الذاتية والأشخاص المتوقع أن يستخدموها.

أحد المخاطر المرتبطة بمعايير الأمان الموحدة هو أن البائعين يمكنهم تحسين منتجاتهم خصيصًا للاختبار. كيف يمكن للاختبار المستقل أن يبقى قابلًا لإعادة الإنتاج وعادلاً مع إدخال قدر كافٍ من عدم التوقع للكشف عن أداء المنتجات ضد هجمات غير مألوفة؟

إعادة الإنتاج لا تتطلب إعطاء المشاركين أسئلة الامتحان مسبقًا.

يجب أن ينشر اختبار موثوق منهجيته والبيئة ومبادئ التقييم وتكوين المنتج ومتطلبات الأدلة. يجب أن يفهم البائعون القواعد ويحصلوا على فرصة عادلة للتحقق من أن منتجاتهم تعمل بشكل صحيح. ومع ذلك، يجب أن تظل حملة الهجوم الدقيقة والحمولات وبعض مسارات الهجوم غير معروفة حتى يُجرى الاختبار.

على سبيل المثال، في PIVOT لا نكشف عن مجموعات الهجوم التي سنحاكيها إلا بعد إكمال الاختبار. لا يحصل الأهداف الحقيقية على تنبيه مسبق قبل بدء الهجوم!

يمكننا دمج نواة قياسية تدعم المقارنة عبر الزمن مع تنوعات غير مألوفة تختبر القدرة العامة. يمكن أن يحدد الخط الأساسي وفترة الصمت المخفية سلوك المنتج قبل الهجوم. ثم يجب التحكم في التكوين، وحفظ السجلات، والتحقق من أي ادعاءات مقابل أدلة المختبر نفسه.

الإنصاف يعني تطبيق نفس القواعد ومعايير الأدلة على كل مشارك. ولا يعني ذلك تكرار هجوم بشكل متوقع بحيث يستطيع البائع التعرف على المعيار بدلًا من التعرف على التهديد.

بالإضافة إلى ذلك، تساعد الشفافية الجذرية البائعين على إعادة إنتاج الهجمات، وهو أمر مهم إذا أرادوا إصلاح أي مشاكل يواجهونها، مثل الفشل في اكتشاف أو الحماية من تهديد. تقوم SE Labs أساسًا بتدريب عملائها عندما يواجهون مشكلات.

تُدخل الوكلاء الأمنيون المستقلون فئة مختلفة من المخاطر لأن قرارًا خاطئًا قد يُطلق إجراءً تصحيحيًا غير ضروري أو حتى معطل. كيف ينبغي للاختبار أن يقيس الإيجابيات الكاذبة، والاستدلال غير الصحيح، والإجراءات الذاتية الضارة المحتملة إلى جانب دقة الكشف التقليدية؟

اختبار الإيجابيات الكاذبة التقليدي هو مجرد الطبقة الأولى. مع وكيل مستقل، نحتاج إلى التمييز بين تنبيه كاذب، واستنتاج غير مدعوم، وإجراء غير صحيح. كل منها يحمل تأثيرًا محتملًا مختلفًا.

يجب أن تعرض الاختبارات النظام لنشاط شرعي يشبه السلوك الضار، وكذلك أدلة غير مكتملة أو غامضة أو مضللة. إذا كان الوكيل يستهلك محتوى غير موثوق، يجب أن يفحص الاختبار ما إذا كان ذلك المحتوى يمكن أن يؤثر على قراراته بشكل غير صحيح.

يجب الحكم على الاستدلال بناءً على ما إذا كان الاستنتاج مدعومًا بالأدلة المتاحة، وليس على مدى مقبولية أو ثقة الشرح. بالنسبة للإجراءات الذاتية، ينبغي قياس النطاق، والملاءمة، واستخدام الأذونات، وضوابط الموافقة، وقابلية التدقيق، وإمكانية التراجع.

يجب أن يعكس التقييم العواقب. إن تنبيه غير ضروري يُعد إزعاجًا؛ وتعطيل حساب مهم أو عزل نظام حيوي قد يعطل المنظمة. لذا فإن إجراء السلامة المفيد يحتاج إلى مراعاة كل من تواتر الأخطاء والضرر الذي قد يسببه كل خطأ.

كل ذلك مع ذلك، أحيانًا يختار العميل سياسة تُسبب مشكلات. وهذا ليس بالضرورة خطأ مزود الأمان.

تقلل نماذج الذكاء الاصطناعي التوليدي والنماذج المفتوحة المصدر المتزايدة القدرة من الحواجز أمام أتمتة أجزاء من عملية الهجوم. هل تتوقع أن تجعل الذكاء الاصطناعي الهجمات الإلكترونية أكثر تعقيدًا جوهريًا، أم أن الخطر الأكبر هو أن يتمكن المهاجمون ببساطة من العمل على نطاق وسرعة أكبر بكثير؟

توقعتي هي أن الخطر الأكثر إلحاحًا هو النطاق والسرعة وتخفيض التكلفة.

يمكن للذكاء الاصطناعي مساعدة المهاجمين في جمع المعلومات، وتخصيص الهندسة الاجتماعية، وتعديل الشيفرة، وتنسيق أجزاء من حملة. ستصبح بعض الهجمات أكثر تعقيدًا نتيجة لذلك، خاصة عندما يساعد الذكاء الاصطناعي في ربط التقنيات القائمة أو تعديلها لتستهدف هدفًا معينًا. لكن الذكاء الاصطناعي لا يلغي الحاجة إلى الوصول، أو الاعتمادات، أو الثغرات القابلة للاستغلال، أو الأخطاء من قبل المدافعين.

كما أن الذكاء الاصطناعي ليس جيدًا جدًا في إنتاج استغلالات موثوقة، وهذا صعب بما فيه الكفاية حتى للإنسان الماهر. لذا فإن ذلك يقلل من احتمال حدوث هجمات أكثر تعقيدًا جوهريًا، في رأيي القوي.

التغيير الأكبر هو أن الأنشطة التي كانت تتطلب وقتًا أو مهارة أو فريقًا من الأشخاص يمكن الآن محاولة تنفيذها بسرعة أكبر وعلى عدد أكبر من الأهداف. يمكن للذكاء الاصطناعي رفع كفاءة المهاجمين العاديين نسبيًا بينما يسمح للمهاجمين المتمكنين بإدارة عمليات أكثر في وقت واحد.

هذا أمر مهم حتى لو لم تكن تقنيات الهجوم الأساسية ثورية. الخطر ليس بالضرورة شكلًا جديدًا تمامًا من الهجمات الإلكترونية. بل هو هجمات مألوفة تصبح أسرع وأرخص وأكثر تخصيصًا وأكثر عددًا بكثير.

مع تزايد استقلالية وكلاء الذكاء الاصطناعي الدفاعية والهجومية، كيف يجب أن يبدو بيئة اختبار الأمن السيبراني الموثوقة لمواكبة ذلك؟ هل قد نصل في النهاية إلى نقطة تحتاج فيها منتجات الأمان إلى تحدي مستمر من قبل خصوم ذكاء اصطناعي متكيفين بدلاً من تقييمها أساسًا عبر اختبارات أمنية دورية؟

يجب أن تشبه البيئة الموثوقة منظمة حية بدلاً من مجموعة من الأهداف المعزولة. ينبغي أن تشمل نقاط النهاية، وأنظمة الهوية، والبريد الإلكتروني، والشبكات، وخدمات السحابة، والمستخدمين الواقعيين، والنشاط التجاري العادي. كما يجب أن توفر أدوات قياس كاملة بحيث يمكن إعادة بناء كل قرار وعاقبة.

يمكن إعطاء الخصوم المتكيفين أهدافًا وحدودًا، ثم السماح لهم باختيار المسارات بناءً على ما يكتشفونه وكيفية استجابة المنتج الدفاعي. لا يزال الاختبار يحتاج إلى ظروف بدء محكومة، ووصف موثوق لما حدث فعليًا، والقدرة على إعادة تشغيل الأحداث المهمة. بدون هذه العناصر، قد يصبح الاختبار المتكيف يبدو مبهرًا لكنه ضعيف علميًا.

أتوقع أن يصبح الاختبار أكثر استمرارية، خاصة عندما يمكن للمنتجات والنماذج والسياسات أن تتغير بشكل متكرر. ومع ذلك، يجب أن يكمل التحدي المستمر الاختبار المقارن الدوري بدلاً من استبداله. تحتاج المؤسسات إلى كليهما: معايير محكومة مثل PIVOT تدعم المساءلة والمقارنة، وتقييم مستمر متكيف يكشف كيف تتصرف الأنظمة مع تغير التهديدات والمنتجات نفسها.

أعتقد أنه يجب أن نقلق أكثر من حقيقة أن البشر غير الماهرين نسبيًا يمكنهم اختراق الأنظمة والشبكات، بدلاً من الروبوتات التي تخلق الجيل التالي من تقنيات الهجوم السيبراني.

شكرًا لكم على هذه المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا SE Labs.