در دنیای امنیت، قوانین شناسایی (Detection Rules) معمولاً با دو نوع خطا مواجه می‌شوند: خطای اول منجر به هشدار‌های کاذب (False Positive) می‌شود که سریعاً شناسایی شده و اصلاح می‌گردد. اما خطای دوم بسیار خطرناک‌تر و خاموش است؛ زمانی که یک قانون به‌ظاهر درست نوشته شده و تایید شده است، اما در محیط عملیاتی هرگز قادر به شناسایی تهدید مورد نظر نیست. این شکاف بین «آنچه قانون قرار است شناسایی کند» و «آنچه در واقعیت شناسایی می‌کند»، دقیقاً جایی است که مهاجمان از آن برای دور زدن سیستم‌ها استفاده می‌کنند.
مهندسی شناسایی مقابله‌ای (Adversarial Detection Engineering) چیست؟
برخلاف رویکرد سنتی که شناسایی را صرفاً پوشش دادن تکنیک‌ها و تیک زدن چک‌لیست‌ها می‌بیند، مهندسی شناسایی مقابله‌ای (ADE) بر این پرسش تمرکز دارد که: برای فعال شدن این قانون چه پیش‌شرط‌هایی لازم است و یک تکنیک واقعی تا چه حد می‌تواند از نسخه کتابخانه‌ای خود فاصله بگیرد تا قانون شناسایی را خاموش کند؟
تاکسونومی باگ‌های منطق شناسایی
پروژه ADE-Skills یک دسته‌بندی جامع از دلایل شکست قوانین شناسایی را ارائه می‌دهد که در چهار دسته اصلی قرار می‌گیرند:
- ADE1: بازسازی ورودی‌ها (Reformatting in Actions): تغییر شکل ورودی‌های ثبت شده در لاگ برای شکستن تطبیق رشته‌ها (String Match). مثال‌هایی مانند استفاده از نام‌های کوتاه NTFS 8.3 یا ترفندهای فاصله و کوتیشن در PowerShell.
- ADE2: نادیده گرفتن جایگزین‌ها (Omit Alternatives): زمانی که قانون تنها بخشی از یک کلاس معادل را پوشش می‌دهد. برای مثال، نظارت بر
certutil -urlcacheاما نادیده گرفتن سوییچ‌های-verifyctlیا-decodeکه به نتیجه مشابهی می‌رسند. - ADE3: توسعه بافتار (Context Development): تغییر محیط پیرامون عملیات به جای تغییر خود عملیات؛ مانند جعل نام پروسه‌های مورد اعتماد، توزیع فعالیت‌ها بین موجودیت‌های مختلف برای عبور از آستانه (Threshold) هشدار، یا جعل پروسه والد (Parent Process).
- ADE4: دستکاری منطق (Logic Manipulation): خطاهای منطقی در فیلترهای Boolean یا فیلدها. برای مثال، استفاده از فیلترهای منفی روی فیلدهایی که در تله‌متری مشتری وجود ندارند و باعث حذف تمامی نتایج مثبت (True Positive) می‌شوند.
امکانات موجود در مخزن ADE-Skills
این پایگاه دانش ابزارهای کاربردی زیر را برای تیم‌های SOC و شکارچیان تهدید فراهم می‌کند:
- کاتالوگ الگوهای باگ پلتفرم: بررسی اشتباهات رایج در Elastic Security، Microsoft Sentinel و Sigma.
- چک‌لیست منفی‌های کاذب (False-Negative Checklist): چهار دیدگاه تحلیلی برای بررسی هر قانون شناسایی جهت اطمینان از دریافت داده‌های لازم و پوشش صحیح نسخه‌های مختلف باینری‌ها و پروتکل‌ها.
- کاتالوگ یافته‌ها: لیستی از نزدیک به ۶۰۰ مورد دور زدن (Bypass) استخراج شده از مجموعه‌قوانین عمومی که به تاکسونومی ADE متصل شده‌اند.
- Redamon: مهارتی برای تیم‌های Purple Team جهت بازطراحی شبیه‌سازی مهاجم بر اساس استک SIEM یا EDR هدف.
کاربردهای عملی برای مدیران امنیت و مهندسان
استفاده از ADE-Skills به دو شکل عملیاتی میسر است: نخست، مقاوم‌سازی (Hardening) قوانین شناسایی فعلی با عبور دادن آن‌ها از فیلترهای چهارگانه ADE برای شناسایی نقاط کور. دوم، تعیین محدوده عملیات Purple Team؛ تبدیل عبارت کلی «تست شناسایی‌ها» به یک برگه کاری دقیق از اهداف اعتبارسنجی که مستقیماً به قوانین و شکاف‌های مشخص متصل است.
