إعادة تنفيذ سجلات استدعاءات البرمجيات الخبيثة بأمان: قياس قابلية إعادة إنتاج السلوك وتوليد بيانات قياس طرفية موسومة

يعتمد تحليل البرمجيات الخبيثة السلوكي على سجلات التحليل الديناميكي، وهي تسلسلات من استدعاءات واجهة برمجة تطبيقات نظام ويندوز تسجلها بيئات معزولة مثل بيئة كيب، ويفترض المحللون أن هذه السجلات تمثل آثار البرمجية الخبيثة وسلوكها تمثيلًا أمينًا يمكن البناء عليه في الاكتشاف والتصنيف، غير أن هذا الافتراض التأسيسي لم يخضع للاختبار من قبل عبر إعادة تنفيذ الاستدعاءات المسجلة نفسها، فإذا كانت نسبة كبيرة من السلوك المسجل غير قابلة لإعادة الإنتاج فإن الاستنتاجات المبنية على السجلات تصبح موضع تساؤل منهجي يستحق القياس الدقيق

وتقدم هذه الدراسة أداة جديدة تعيد تنفيذ الاستدعاءات المسجلة بوصفها استدعاءات حقيقية لنظام التشغيل دون الحاجة إلى الملف التنفيذي للبرمجية الخبيثة، وبذلك تقيس كميًا قابلية إعادة إنتاج سجلات التحليل الديناميكي وتفتح طريقًا آمنًا لتوليد بيانات قياس طرفية موسومة بالعائلات من السجلات الثابتة وحدها، وهي إمكانية تهم الباحثين العرب في أمن المعلومات والتحقيقات الرقمية ممن يواجهون صعوبة في تشغيل عينات خبيثة حية أو الحصول على بيانات قياس موسومة لتدريب نماذج الاكتشاف

أولًا: أهداف الدراسة ومنهجيتها

هدفت الدراسة إلى قياس مدى قابلية سلوك البرمجيات الخبيثة المسجل في سجلات التحليل الديناميكي لإعادة الإنتاج بأمان، وتعيد الأداة المقترحة المسماة وين إيه بي آي ريبلاي تنفيذ كل استدعاء مسجل من استدعاءات وين 32 والاستدعاءات الأصلية لنظام إن تي استدعاءً حقيقيًا لنظام التشغيل دون ملف البرمجية، مستخدمة خريطة مقابض موحدة تدير سلاسل المقابض عبر الطبقات وبيئة معزولة ثلاثية المستويات تحصر كل أثر جانبي في أماكن قابلة للتجاهل، وطبقت الأداة على 500 عينة من قاعدة وين ميت تنتمي إلى خمس عائلات من البرمجيات الخبيثة، مع دراسة إبطال لعزل أثر مكونات الأداة وتصنيف رباعي لمصادر السلوك غير المعاد إنتاجه

ثانيًا: أبرز النتائج

1، أعيد إنتاج 74.04 في المئة من استدعاءات نطاق السلوك في الطبقة الأولى المشمولة بالنمذجة، بفاصل ثقة بطريقة التمهيد الإحصائي عند مستوى 95 في المئة يمتد من 71.02 إلى 76.75

2، يغطي نطاق الطبقة الأولى 57.98 في المئة من جميع الاستدعاءات المسجلة، ويبلغ المعدل المتحفظ بعد استبعاد الاستدعاءات المستبدلة 71.15 في المئة

3، عزت دراسة الإبطال هذا الأداء سببيًا إلى المنفذين المصنفين بحسب الفئة، إذ تنهار صلاحية المقابض من 94.9 في المئة إلى 10.2 في المئة عند إزالتهم من الأداة

4، لم يفلت أي أثر جانبي من البيئة المعزولة على القنوات التي تنمذجها الأداة وتراقبها، وكانت إعادة التنفيذ شبه حتمية إذ بلغ معدل استقرارها 98.90 في المئة، وعزا التصنيف الرباعي معظم الباقي غير المعاد إنتاجه إلى سلوك جوهري معتمد على البيئة

5، ولدت الأداة بأمان تحت مراقبة نظام سيسمون بيانات قياس للملفات والسجل موسومة بالعائلات للجزء المعاد إنتاجه بلغت 46150 حدثًا، وحقق مصنف مبني عليها دقة قدرها 92.0 في المئة بمنهج ترك واحد خارجًا على 100 عينة، وهي دقة لا تختلف إحصائيًا عن خط الأساس القائم على فئات الاستدعاءات، كما استعاد سجل نتائجها وسائط عمليات البرمجية ووجهاتها الشبكية

ثالثًا: دلالات الدراسة وتطبيقاتها

تقدم الأداة وفق علم الباحثين أول قياس كمي لقابلية إعادة إنتاج سجلات التحليل الديناميكي ضمن غلاف أمان مثبت تجريبيًا، وتوفر طريقًا آمنًا لتوليد بيانات قياس طرفية موسومة ومتسقة مع البيئة من السجلات الثابتة وحدها دون تعريض الأنظمة لعينات خبيثة حية، بما يدعم تدريب نماذج اكتشاف البرمجيات الخبيثة وتقويمها ويعزز الثقة المنهجية في الأدلة السلوكية المستخدمة في التحقيقات الرقمية

وتفتح الأداة أيضًا إمكانات لتدقيق جودة السجلات ذاتها لدى منتجي بيئات التحليل المعزولة، إذ يمكن استخدام معدلات إعادة الإنتاج مؤشرًا لمقارنة البيئات وضبط إعداداتها بما يرفع أمانة تمثيلها لسلوك العينات المدروسة

وخلاصة القول إن هذه الدراسة تختبر افتراضًا تأسيسيًا في تحليل البرمجيات الخبيثة السلوكي وتقيسه كميًا لأول مرة، مثبتة أن نحو ثلاثة أرباع السلوك المسجل في الطبقة الأولى قابل لإعادة الإنتاج الآمن والحتمي تقريبًا، ومبرهنة سببيًا على دور المنفذين المصنفين في هذا النجاح، بما يفتح للباحثين العرب في أمن المعلومات بابًا عمليًا لإنتاج بيانات قياس موسومة آمنة وتطوير أدوات اكتشاف أكثر موثوقية