خوض مشغّلو شبكات الإنترنت غير الرسمية سباق تسلح مستمر منذ سنوات ضد موردي جدران الحماية. إليكم خطة تحايل نموذجية رصدناها لدى أحد مشغّلي شبكات الإنترنت في منطقة الشرق الأوسط وشمال أفريقيا الذين نتعاون معهم، وكيف كشف جدار الحماية كل خطوة من خطوات التحايل.
الخطوة 1 - تدوير معرّف المُرسِل
قام المهاجم بتسجيل أكثر من 50 معرّفًا للمرسلين عبر 12 هوية تجارية وهمية. استُخدم كل معرّف لحوالي 10,000 رسالة قبل إيقافه. لم تتمكن جدران الحماية التقليدية (قبل استخدام تقنيات التعلم الآلي) من رصد هذا الأمر؛ إذ لم تستطع أنظمة القواعد رصد جميع المتغيرات. لكنّ تقنيات التعلم الآلي السلوكية رصدت الأمر في غضون 6 ساعات: حيث يشير نمط الإنتاجية، وبصمة المحتوى، وتداخل المستلمين إلى وجود نشاط مترابط عبر معرّفات المُرسِلين.
الخطوة الثانية - تنويع المحتوى
يقوم المهاجم بإدخال أحرف عشوائية في القالب لتجنب إزالة التكرارات باستخدام تجزئة المحتوى. يتحول جدار الحماية إلى استخدام MinHash + تشابه n-gram، مما يسمح بتحديد القالب الأساسي من خلال التشويش.
الخطوة 3 - تغيير المسار
ينتقل المهاجم بين ثلاثة مجمعين أجانب كل ساعة. يقوم جدار الحماية بالربط بين هذه المجمعات بناءً على نمط رقم هاتف الوجهة (قائمة معروفة بالعملاء المستهدفين بالتصيد الاحتيالي) ويحظرها بناءً على نمط المستلم، وليس المصدر.
درس
لا تستطيع محركات القواعد وحدها مواكبة التطورات. يمكن للتعلم الآلي السلوكي فعل ذلك، شريطة تدريبه على بيانات خاصة بكل مشغّل، وليس على بيانات عامة لمنصات الاتصالات السحابية. وهذا أحد أسباب تفوق جدار حماية SMS من BroadNet، الذي تم تدريبه على حركة رسائل مشغّلي منطقة الشرق الأوسط وشمال أفريقيا منذ عام 2003، بشكل ملحوظ على موردي جدران الحماية العالمية الذين يقومون بتحديث أنظمتهم لتناسب المنطقة.