في بداية المناوبة، يفتح المحلل في شركة “HorizonPay” قائمة انتظار التنبيهات التي تم تقييمها مسبقاً بواسطة أداة فرز تعتمد على الذكاء الاصطناعي. يساعد هذا التقييم في تحديد أولويات العمل، لكنه لا يحسم ما إذا كان التنبيه يمثل حادثاً أمنياً فعلياً. وفي هذه الشركة المتخصصة في التكنولوجيا المالية (والتي تضم 1200 موظف)، سنقوم برسم مسار المهاجم قبل اختيار تدابير الدفاع المناسبة.
تُعرف سلسلة الهجوم بأنها التسلسل المترابط للأحداث بدءاً من الاتصال الأولي ووصولاً إلى التأثير على الأعمال. ويمكن للذكاء الاصطناعي تسريع وتيرة تخصيص الهجمات المعروفة وتكرارها. قد تبدأ سلسلة الهجوم في “HorizonPay” بهجوم التصيد الاحتيالي (T1566)، ثم تنتقل عبر إعادة استخدام بيانات الاعتماد وقاعدة معالجة البريد الإلكتروني، لتتحول إلى طلب دفع يندرج تحت فئة انتحال الشخصية (T1656)، وتنتهي بنقل أدوات الاختراق (T1105). وتتوافق طلبات استنساخ الصوت مع تقنية التصيد الاحتيالي الصوتي الموجه (T1566.004)، بينما تتوافق عمليات الاستطلاع المدعومة بالذكاء الاصطناعي مع المسح النشط (T1595)، وتتوافق أشكال البرمجيات الخبيثة المتغيرة مع تقنية الملفات أو المعلومات المموهة (T1027). ويمكننا تتبع النقاط التي تتقاطع فيها هذه السلسلة مع أنظمة الدفاع الخاصة بالهوية والمراسلة ونقاط النهاية.
تندرج هذه المسارات ضمن مرحلتي الكشف والفرز في دورة حياة الحادثة الأمنية. تُعد توصية الذكاء الاصطناعي بمثابة مدخلات للمحلل، وليست قراراً نهائياً بالمعالجة. وقبل أن يقوم المحلل بحظر مرسل، أو تعطيل حساب، أو تصعيد طلب دفع، يتعين عليه التحقق من مؤشرات الهوية، ومصدر الطلب، وبيانات القياس عن بُعد (telemetry) الخاصة بنقطة النهاية أو الشبكة المعنية؛ إذ توضح هذه الأدلة ما إذا كانت الملاحظات المنفصلة تدعم التسلسل ذاته.
صلاحية تجاوز التوصيةقد تؤدي اقتراحات الذكاء الاصطناعي إلى “إرهاق التنبيهات” (alert fatigue) عندما تبدو النتائج الإيجابية الخاطئة المتكررة ذات مصداقية. ويحتفظ المحلل بصلاحية تجاوز الاقتراح مع تدوين سبب ذلك.
تُظهر حالات شركة “HorizonPay” الأدلة المطلوبة قبل قبول الإجراء المقترح من قِبل الذكاء الاصطناعي.