يظل كشف الأنشطة الخبيثة في بيئات المصائد الرقمية المعروفة بالمصائد العسلية تحديًا قائمًا بسبب حجم البيانات الملتقطة وتباينها وبسبب الطبيعة المتسلسلة لسلوك المهاجمين، فالمصيدة تلتقط آلاف التفاعلات التي يصعب على المحلل البشري تتبعها وتحليلها في وقت قريب من الحقيقي، وتقترح هذه الدراسة إطارًا مدمجًا يجمع بين مصيدة من نوع كووري ونموذج لغوي كبير منشور محليًا لتمكين الكشف المؤتمت والتحليل السلوكي شبه الفوري، إذ تلتقط تفاعلات المهاجمين وتعالج عبر مرحلة معالجة مسبقة منظمة تعيد بناء النشاط على مستوى الجلسة، ثم تحلل هذه التمثيلات باستخدام النموذج اللغوي بما يسمح بتفسير سياقي لأنماط المصادقة وتسلسلات تنفيذ الأوامر وسلوك ما بعد الاختراق، وتولد الدراسة بذلك مخرجات تحليلية منظمة تتضمن تصنيف الخطورة والتعليل والإجراءات الموصى بها
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تحويل سجلات المصائد الخام إلى معلومات أمن سيبراني منظمة وقابلة للتنفيذ تقلل عبء عمل المحلل وتحسن قابلية تفسير تحليل الاختراقات وموثوقيته في بيئات قريبة من الزمن الحقيقي، وتحقق ذلك عبر خط معالجة يبدأ بالتقاط تفاعلات المهاجمين في مصيدة كووري، ثم معالجتها مسبقًا بطريقة حتمية تعيد بناء نشاط كل جلسة من محاولات المصادقة والأوامر المنفذة وسلوك ما بعد الاختراق، ثم تمرير هذه التمثيلات إلى نموذج لغوي كبير منشور محليًا يحللها سياقيًا ويصدر مخرجات منظمة تشمل تصنيف مستوى الخطورة وتعليلًا له وإجراءات موصى بها، وقوم الإطار باستخدام سيناريوهات هجوم معزولة ومتزامنة، فاختبرت قدرته على التعرف إلى هجمات القوة الغاشمة ونشاط الاستطلاع وترسيخ الاستمرارية وأنماط التحميل والتنفيذ عبر عدد من المشاهدات المستقلة
ثانيًا: أبرز النتائج
أشارت النتائج إلى تعرف فعال إلى هجمات القوة الغاشمة ونشاط الاستطلاع وترسيخ الاستمرارية وأنماط التحميل والتنفيذ، إذ حقق الإطار دقة بلغت 94.23 في المئة بفاصل ثقة عند مستوى 95 في المئة يمتد بين 84.05 و98.79، ودقة إيجابية كاملة بلغت 100 في المئة، واستدعاء بلغ 87.50 في المئة، ومقياس توازن بلغ 93.33 في المئة، وذلك عبر تقويم موسع شمل 52 مشاهدة مستقلة دون أي إيجابيات زائفة، غير أن الدراسة تنبه إلى أن هذه الأرقام مستمدة من جولة تقويم واحدة وتقدم بوصفها تقديرات أولية لإثبات المفهوم لا أداء إنتاجيًا مستقرًا، كما بقيت المخرجات التحليلية مستقرة للجلسات المحكومة بتجاوزات خطورة حتمية، بينما أنتجت جلسة متعددة المراحل منخفضة الشدة تصنيفات خطورة غير متسقة في ظروف التزامن، بما يدل على أن مراجعة المحلل ما تزال مطلوبة في الحالات الحدية
ثالثًا: دلالات الدراسة وتطبيقاتها
تتمثل دلالة الدراسة في أن دمج المعالجة المسبقة الحتمية مع استدلال النماذج اللغوية الكبيرة يمكن من تحويل سجلات المصائد الخام إلى معلومات أمنية منظمة وقابلة للتنفيذ، فيقل عبء المحللين وتتحسن قابلية تفسير تحليل الاختراقات وموثوقيته في البيئات شبه الفورية، وتفيد هذه النتائج فرق مراكز العمليات الأمنية وباحثي الأمن السيبراني في بناء خطوط تحليل مؤتمتة للمصائد، غير أن بقاء التصنيفات غير المتسقة في الجلسات الحدية متعددة المراحل يفرض إبقاء المحلل البشري في حلقة القرار، ويشير إلى أن توسيع التقويم عبر جولات متعددة وسيناريوهات أوسع شرط للانتقال من إثبات المفهوم إلى الاعتماد التشغيلي، كما تفتح الدراسة بابًا لتوظيف الأطر ذاتها في مصادر رصد أخرى كسجلات الخوادم وأجهزة الشبكات
وتكتسب ملاحظة غياب الإيجابيات الزائفة أهمية تشغيلية خاصة، فمراكز العمليات الأمنية تعاني أصلًا إغراق التنبيهات الكاذبة التي تستنزف المحللين وتضعف ثقتهم بأي نظام كشف جديد، ولذلك فإن إطارًا يصدر مخرجات مصنفة الخطورة ومعللة دون تنبيه كاذب واحد في التقويم الأولي يخاطب نقطة الألم الحقيقية في العمل الأمني اليومي، غير أن الدراسة تحافظ على توازن علمي لافت حين تصف أرقامها بأنها تقديرات إثبات مفهوم لا أداء إنتاجيًا، وتوثق بنفسها حالة عدم الاتساق في الجلسة الحدية، وهو توثيق يرشد المطورين إلى مواضع العمل التالي، من ضبط عتبات الخطورة إلى إدارة التزامن بين الجلسات المتداخلة زمنيًا
وخلاصة القول إن إطارًا يدمج مصيدة كووري بنموذج لغوي كبير منشور محليًا نجح في كشف أنماط الهجوم الرئيسة وتحليلها سلوكيًا بدقة بلغت 94.23 في المئة دون إيجابيات زائفة في تقويم أولي من 52 مشاهدة، مع بقاء مراجعة المحلل ضرورية في الحالات الحدية، بما يقدم مسارًا واعدًا لأتمتة تحليل المصائد وتخفيف عبء المحللين الأمنيين
