الربط والتحليل الفني للأدلة

مقدمة

الارتباط (Correlation) هو عملية ربط الأحداث المنعزلة عبر مصادر متعددة لبناء جدول زمني للحادثة. في سياق الذكاء الاصطناعي، يهدف الارتباط إلى تتبع رحلة "المطالبة" منذ لحظة إدخالها حتى وصول تأثيرها إلى أصول المؤسسة أو خروجها عبر الشبكة.

المفهوم الأساسي

يعتمد نموذج الارتباط على معرفات مشتركة (Correlation Identifiers) ونوافذ زمنية ضيقة. يتم الربط بين سجلات الهوية، ونقاط النهاية، والشبكة، وبيئات التطوير (Git/CI/CD)، وأنظمة DLP، مع الأخذ في الاعتبار أن سجلات الذكاء الاصطناعي توفر "خيط البداية".

مثال عملي

عند اكتشاف تسريب كود، نبحث عن actor.id و repo.name في وقت الحادثة. ثم نربط ذلك بـ session.id في سجلات Cursor أو Copilot لنبحث عمّا إذا كان نشاط الوكيل مرتبطاً بمستودع أو سياق برمجي آخر، ونطابق ذلك مع سجلات الشبكة (source_ip) للتأكد من عدم وجود اتصال مشبوه.

ماذا يثبت السجل؟

تثبت المعرفات المشتركة مثل session.id و conversation.id و actor.id أن سلسلة الأحداث تنتمي لنفس التفاعل. كما تثبت سجلات تغيير الإعدادات (Change Records) الحالة الأمنية للمنصة وقت وقوع الحدث، مما يساعد في بناء "خط زمن الأدلة".

ماذا لا يثبت؟

لا يثبت الارتباط الآلي بالضرورة وجود هجوم؛ فقد يكون ناتجاً عن نشاط تطوير طبيعي. الارتباط يوفر "طرف خيط" للتحقيق (Investigation Lead) ولكنه يحتاج لمحلل أمني لتأكيد النية التخريبية أو الخطأ البشري.

ماذا تطبق عملياً؟

يجب تفعيل تسجيل المعرفات الفريدة في جميع الطبقات. يُنصح باستخدام أدوات SIEM لربط حقول host و project و IP تلقائياً، مع التركيز على بناء تنبيهات تعتمد على "تقاطع الأحداث" (Cross-event alerting) بدلاً من الأحداث المنفردة.

خلاصة عملية

بناء جدول زمني للأدلة يتطلب توحيد الهوية والمكان والزمان عبر سجلات الوكيل والبنية التحتية. الارتباط هو ما يحول البيانات المشتتة إلى قصة مفهومة قابلة للتحقق.