PyGraphistry: تحليلات الرسوم البيانية لاكتشاف التهديدات في بيانات المؤسسات

نشر باحثون مسار عمل كاملًا قائمًا على PyGraphistry — وهي أداة مفتوحة المصدر لتحليلات الرسوم البيانية — لاكتشاف الشذوذ والتحقيق في الحوادث ضمن بيانات الوصول المؤسسية. يعمل المسار مباشرة في Colab ولا يتطلب بنية تحتية معقدة.

من أين تأتي البيانات

يستند مسار العمل إلى مجموعة بيانات اصطناعية تحاكي بيئة مؤسسية حقيقية. تضم خمسة كيانات: المستخدمين والأجهزة وعناوين IP والخدمات والأدوار، مع وسم إضافي للمواقع الجغرافية. ويُبنى الرسم البياني من هذه البيانات: يشكّل المستخدم ← الجهاز ← عنوان IP ← الخدمة سلسلة من العُقد والحواف.

تتيح المجموعة الاصطناعية اختبار المسار دون استخدام بيانات مؤسسية حقيقية. ومع ذلك، فإن بنيتها قريبة عمدًا مما يوجد في أنظمة SIEM المؤسسية وسجلات Active Directory.

ماذا يحدث للرسم البياني

بعد بناء البنية الأساسية، يُثرى الرسم البياني بعدة طبقات من التحليلات:

• درجات المخاطر — تقييم رقمي لخطورة كل عقدة استنادًا إلى خصائصها وروابطها
• مقاييس المركزية — PageRank وbetweenness centrality ومؤشرات أخرى تقيس وزن العقدة في الشبكة
• كشف المجتمعات — تجمّع الخوارزمية العُقد تلقائيًا في عناقيد
• Isolation Forest — خوارزمية تعلم آلي لاكتشاف العُقد الشاذة: فالعُقد التي يصعب عزلها في شجرة عشوائية تحصل على درجة شذوذ مرتفعة
• توزيع UMAP — خفض غير خطي للأبعاد يضع الكائنات المتشابهة متجاورة بشكل متراص

تضيف كل طبقة سمة إلى العُقد والحواف، وتظهر في العرض التفاعلي على هيئة لون أو حجم أو تلميح منبثق.

ثلاثة أنماط للعرض

يُنشئ PyGraphistry مع PyVis ثلاث واجهات عرض للرسم البياني نفسه.

يُظهر الرسم البياني الكامل شبكة الترابطات بأكملها — الأجهزة والمستخدمين والخدمات وعناوين IP — ويُستخدم للاطلاع الأولي. ويرى المحلل فورًا أي العُقد تشكّل عناقيد كثيفة وأيها يقف منعزلًا.

يركّز الرسم البياني المتمحور حول عقدة (ego-graph) على عقدة محددة ومحيطها المباشر. وهذا هو النمط الأساسي للتحقيق: فعندما تحوم الشبهة حول مستخدم أو عنوان IP بعينه، يعرض هذا الرسم جميع الروابط المباشرة وغير المباشرة للكائن دون ضوضاء زائدة.

أما العرض عالي الخطورة فيُصفّي ويُبقي فقط على العُقد ذات درجة الخطورة المرتفعة — تلك التي رصدت فيها خوارزمية Isolation Forest انحرافًا عن المعتاد. وهذا يقلّص نطاق التحقيق عشرات المرات: فبدلًا من آلاف الكائنات، يعمل المحلل مع عشرات منها.

لماذا يهم نهج الرسوم البيانية في الأمن

يعمل التحليل التقليدي في أنظمة SIEM مع جداول أحداث مسطحة: سطرًا بعد سطر وحدثًا بعد حدث. وهذا يجعل اكتشاف الهجمات المعقدة متعددة المراحل صعبًا، لأن كل حدث على حدة يبدو غير ضار.

يقلب الرسم البياني هذا المنطق: فبدلًا من التسلسل الزمني، يرى المحلل بنية الشبكة. ويصبح مسار الهجوم — سلسلة من العُقد ذات الروابط الشاذة — مرئيًا بصريًا. وعند الجمع مع Isolation Forest، لا يظهر الشذوذ كقيمة رقمية شاذة فحسب، بل أيضًا كعقدة معزولة بصريًا أو مفرطة الترابط على الرسم البياني.

ماذا يعني ذلك

ظلّت تحليلات الرسوم البيانية في الأمن السيبراني زمنًا طويلًا حكرًا على المنصات التجارية باهظة الثمن. ويخفّض مسار العمل المفتوح القائم على PyGraphistry عتبة الدخول: إذ تحصل فرق الأمن الصغيرة على أداة جاهزة يمكن تكييفها مع سجلات Active Directory أو CloudTrail الحقيقية.