PyGraphistry: تحليل الرسوم البيانية لاكتشاف التهديدات في بيانات الشركات

نشر الباحثون سير عمل كامل على PyGraphistry — أداة تحليل الرسوم البيانية مفتوحة المصدر — للكشف عن الشذوذ والتحقيق في الحوادث في بيانات الوصول الموارد البشرية. يعمل خط الأنابيب مباشرة في Colab ولا يتطلب بنية تحتية معقدة.

من أين تأتي البيانات

في قلب سير العمل يوجد مجموعة بيانات اصطناعية تحاكي بيئة الشركات الحقيقية. يحتوي على خمس كيانات: المستخدمون والأجهزة وعناوين IP والخدمات والأدوار — تم وضع علامة إضافية عليها بالجيولوكاية. يتم بناء رسم بياني من هذه البيانات: المستخدم → الجهاز → IP → الخدمة تشكل سلسلة من العقد والحواف. تسمح المجموعة الاصطناعية باختبار خط الأنابيب دون استخدام بيانات الشركات الحقيقية. ومع ذلك، فإن البنية قريبة عن قصد من ما يوجد في أنظمة SIEM الموارد البشرية وسجلات Active Directory.

ما الذي يحدث للرسم البياني

بعد بناء البنية الأساسية، يتم إثراء الرسم البياني بعدة طبقات من التحليل:

• درجات المخاطر — تقييم عددي للخطر لكل عقدة بناءً على خصائصها وارتباطاتها
• مقاييس المركزية — PageRank والمركزية الوسيطة ومؤشرات أخرى لوزن العقدة في الشبكة
• كشف المجتمع — الخوارزمية تجمع تلقائياً العقد في مجموعات
• Isolation Forest — خوارزمية التعلم الآلي للكشف عن العقد الشاذة: تلك التي يصعب عزلها في شجرة عشوائية تحصل على درجة شذوذ عالية
• تخطيط UMAP — تقليل الأبعاد غير الخطي الذي يضع الكائنات المتشابهة بشكل مضغوط بالقرب من بعضها البعض

تضيف كل طبقة سمة للعقد والحواف وتظهر في التصور التفاعلي كلون أو حجم أو تلميح.

ثلاثة أنماط تصور

يقوم PyGraphistry مع PyVis بإنشاء ثلاث آراء للرسم البياني نفسه. يعرض الرسم البياني الكامل شبكة الترابط كاملة — الأجهزة والمستخدمون والخدمات وعناوين IP — ويستخدم للنظرة العامة الأولية. يرى المحلل على الفور أي عقد تشكل مجموعات كثيفة وأيها تبرز.

الرسم البياني الأناني ينصب التركيز على عقدة محددة ومحيطها الفوري. هذا هو الوضع الأساسي للتحقيق: عندما تقع الاشتباه على مستخدم أو عنوان IP محدد، يعرض الرسم البياني الأناني جميع الاتصالات المباشرة وغير المباشرة للكائن دون ضوضاء إضافية. يتصفح عرض المخاطر العالية العقد فقط ذات درجات الخطر العالية — تلك التي اكتشفت فيها Isolation Forest انحرافاً عن القاعدة. هذا يقلل مساحة التحقيق بأوامر من حيث الحجم: بدلاً من آلاف الكائنات، يعمل المحلل مع العشرات.

لماذا يعتبر منهج الرسم البياني مهماً للأمان

يعمل التحليل التقليدي في SIEM مع جداول الأحداث المسطحة: صف تلو صف، حدث تلو حدث. هذا يجعل من الصعب اكتشاف الهجمات المعقدة متعددة المراحل لأن كل حدث فردي يبدو غير ضار. يقلب الرسم البياني المنطق: بدلاً من التسلسل الزمني، يرى المحلل هيكل الشبكة. مسار الهجوم — سلسلة من العقد ذات الاتصالات الشاذة — يصبح واضحاً بصرياً. بالاقتران مع Isolation Forest، يكون الشذوذ مرئياً ليس فقط كقيمة شاذة عددية، بل كعقدة معزولة بصرياً أو مفرطة الاتصال على الرسم البياني.

ماذا يعني هذا

ظل تحليل الرسوم البيانية لأمان الدول الموارد البشرية لفترة طويلة في مجال المنصات التجارية مكلفة. يقلل سير العمل المفتوح على PyGraphistry من عتبة الدخول: تحصل فرق الأمان الصغيرة على أداة جاهزة يمكن تعديلها لسجلات Active Directory الحقيقية أو CloudTrail.