تحقیقات اخیر در حوزه پاسخ به حوادث (Incident Response) نشان می‌دهد که مهاجمان با استفاده از هوش مصنوعی (AI)، در حال ترکیب آسیب‌پذیری‌های وب، سرقت اعتبارنامه‌ها (Credential Theft)، ارتقای سطح دسترسی (Privilege Escalation) و حرکت عرضی (Lateral Movement) در قالب جریان‌های کاری نفوذ خودکار (Autonomous Intrusion Workflows) هستند.
تغییر پارادایم: از تکنیک‌های مجزا به فرآیندهای نفوذ کامل
صنعت امنیت سایبری سال‌هاست که برای مقابله با خودکارسازی شناسایی و اسکن آسیب‌پذیری‌ها آماده شده است؛ اما آنچه اکنون در حال تغییر است، توانایی اتوماسیون در اتصال این فعالیت‌های پراکنده به یک زنجیره نفوذ مستمر است. الگوهای عملیاتی مشاهده شده در حوادث اخیر، شامل شناسایی سریع، تست‌های تکراری، کشف اعتبارنامه‌ها و پاکسازی سیستماتیک، نشان‌دهنده استفاده از ابزارهایی با سرعت ماشین (Machine-speed tooling) است که احتمالاً با عامل‌های هوش مصنوعی (AI Agents) یا چارچوب‌های ارکستراسیون (Orchestration Frameworks) مدیریت می‌شوند.
الگوی اول: تبدیل دسترسی به پایگاه داده به نفوذ در سطح سازمان
در یک مورد مشخص، عامل تهدید (Threat Actor) دسترسی به زیرساخت SQL را به یک نفوذ گسترده در سطح سازمان تبدیل کرد. مهاجم با استفاده از تکنیک‌های SQL Injection، موفق به فعال‌سازی xp_cmdshell شد. پس از آن، فرآیندهای SQL Server شروع به اجرای دستورات PowerShell کردند. مهاجم از این طریق به دنبال ارتقای سطح دسترسی (Privilege Escalation) از طریق حساب‌های سرویس (Service Accounts) بود و توانست اعتبارنامه‌های ذخیره شده در رجیستری و فایل‌های پیکربندی را استخراج کند. نکته قابل توجه، سرعت عمل مهاجم بود؛ از زمان شناسایی اولیه تا دستیابی به کنترل از طریق xp_cmdshell تنها ۱ ساعت و ۴۵ دقیقه زمان سپری شد.
الگوی دوم: از آپلود فایل تا دسترسی به ابر و داده‌ها
در سناریوی دوم، مهاجم با سوءاستفاده از قابلیت‌های مدیریت حساب یا بازنشانی رمز عبور، به یک نقطه آپلود فایل (File Upload Endpoint) دست یافت و چندین وب‌شل (Web Shell) در سرورهای مختلف مستقر کرد. پس از استقرار، مهاجم به سرعت به سراغ فایل‌های web.config رفت تا کلیدهای خصوصی، گواهی‌ها و اعتبارنامه‌های ویندوز را پیدا کند. همچنین، با کوئری گرفتن از سرویس متادیتای نمونه (Instance Metadata Service)، تلاش کرد تا اعتبارنامه‌های موقت ابری (Cloud Credentials) را بازیابی کند. این زنجیره نشان داد که چگونه یک سایت قدیمی و کم‌اهمیت می‌تواند به عنوان نقطه ورود، کل زیرساخت‌های حیاتی و اپلیکیشن‌های تجاری را در معرض خطر قرار دهد.
چرا این حملات با هوش مصنوعی متفاوت هستند؟
تفاوت اصلی در “تداوم عملیاتی” (Operational Persistence) است. برخلاف اپراتورهای انسانی که دچار خستگی می‌شوند، سیستم‌های خودکار می‌توانند ساعت‌ها بدون وقفه به تست کردن مسیرهای مختلف، رمزگشایی فایل‌های پیکربندی و تلاش برای تست اعتبارنامه‌های مختلف ادامه دهند. ابزارهای متن‌بازی مانند Cairn، CyberStrikeAI و CupcakeC2 نشان می‌دهند که مهاجمان می‌توانند با هزینه‌ای بسیار کم، حملات گسترده و خودکار را علیه صدها سازمان اجرا کنند.
راهکارهای دفاعی برای مقابله با جریان‌های کاری خودکار
- رفتار اپلیکیشن را به عنوان تلمتری امنیتی در نظر بگیرید: درخواست‌های مکرر در نقاط حساس مانند بازنشانی رمز عبور یا آپلود فایل باید به عنوان یک زنجیره رفتاری واحد تحلیل شوند.
- جلوگیری از اجرای فایل‌های آپلود شده: فایل‌های کنترل شده توسط کاربر باید در خارج از روت‌های اجرایی (Executable Web Roots) ذخیره و با استفاده از مکانیزم‌های ایزوله‌سازی مدیریت شوند.
- حذف اسرار (Secrets) از فایل‌های پیکربندی: استفاده از مدیریت هویت‌های مدیریت‌شده (Managed Identities) و ذخیره‌سازهای مرکزی اسرار به جای ذخیره رمز عبور در فایل‌های متنی الزامی است.
- بخش‌بندی شبکه (Network Segmentation): محدود کردن ارتباطات سرورهای وب به مقاصد و پورت‌های ضروری برای جلوگیری از حرکت عرضی.
- مانیتورینگ روابط فرآیندها: شناسایی توالی‌های مشکوک مانند اجرای دستوراتی که پس از یک آپلود فایل یا دسترسی به فایل پیکربندی رخ می‌دهند.
- طراحی مکانیزم‌های مهار خودکار (Automated Containment): با توجه به سرعت بالای حملات ماشینی، فرآیندها باید بتوانند به صورت خودکار دسترسی‌ها را لغو و سیستم‌ها را ایزوله کنند.
