في إطار شهر التوعية بالأمن السيبراني، سلط فريق Bug Bounty في GitHub الضوء على باحث أمني متميز، وهو @r31n، المعروف باكتشاف مشكلات عالية التأثير في GitHub Enterprise Server. هذه المبادرة جزء من التزام GitHub بتعزيز أمان وموثوقية التعليمات البرمجية لملايين المشاريع حول العالم، مع التأكيد على دور التعاون مع الباحثين الخارجيين.
ناقش @r31n منهجه في البحث عن الثغرات، وكيف يطور مهاراته الأمنية خارج بيئات عمله اليومية، مستكشفًا منتجات وتقنيات وهياكل مختلفة قد لا يصادفها عادةً. يرى الباحث أن GitHub يمثل هدفًا جذابًا باستمرار بسبب حجمه وتعقيده وتغيره الدائم مع إطلاق الميزات الجديدة.
منهج @r31n في اكتشاف الثغرات
لا يفضل @r31n فئة معينة من الثغرات، بل ينجذب أكثر إلى «سلاسل الاستغلال» (exploit chains) التي تجمع بين عدة نقاط ضعف تبدو غير ضارة لتُشكل معًا تهديدًا أكبر بكثير. مثال على ذلك، يمكن لعملية إعادة توجيه مفتوحة (open redirect)، محدودة التأثير بحد ذاتها، أن تصبح جزءًا فعالًا من سلسلة أكبر إذا اقترنت بثغرة SSRF تسمح بتتبع عمليات إعادة التوجيه.
للحفاظ على مهاراته وتتبع أحدث اتجاهات الثغرات، يعتمد @r31n على مزيج من المدونات الأمنية، وتحليلات الثغرات، والمحادثات في المؤتمرات، والأوراق البحثية، والتدريبات. لكنه يؤكد أن الفهم العميق لا يتحقق إلا بالتجربة العملية وإعادة إنتاج الثغرات بنفسه، مما يساعده على التعرف على أنماط مماثلة في أهداف حقيقية لاحقًا.
بالنسبة للأدوات وسير العمل، يفضل @r31n التحقيق اليدوي والبرمجيات الصغيرة المخصصة على سلاسل الأدوات الآلية الكبيرة. يعتقد أن طريقة التفكير أهم من الأدوات، فالعقلية الفضولية والمثابرة تدوم أكثر من أي أداة تتغير تقنياتها باستمرار. منهجه العام يبدأ برسم خريطة للتطبيق لفهم كيفية عمل أجزائه، ثم يركز على الوظائف المعقدة ونقاط الثقة، مفكرًا في «المصادر» (sources) و«المستقبلات» (sinks) لتتبع تدفق البيانات الحساسة.
الذكاء الاصطناعي: أداة مساعدة أم بديل غير موثوق؟
يستخدم @r31n الذكاء الاصطناعي بشكل كبير، لكن كـ«مسرع» للعمل وليس كبديل للعقل البشري. يعتمد عليه في تصفح التعليمات البرمجية غير المألوفة، وتتبع البيانات، وفهم بنية الأنظمة، وكتابة نصوص إثبات المفهوم (PoC) بمجرد تحديد الثغرة. ويُؤكد أن فعالية الذكاء الاصطناعي تزداد بشكل كبير كلما كانت الأسئلة محددة وذات سياق واضح.
ومع ذلك، يحذر @r31n من الاعتماد الكلي على الذكاء الاصطناعي. فالتوهمات والنتائج الإيجابية الخاطئة والافتراضات السيئة والإجابات غير الصحيحة شائعة، مما يستدعي التحقق اليدوي لكل الاستنتاجات. الذكاء الاصطناعي يسرع العمل، لكنه لا يحل محل فهم التطبيق أو تطوير الحدس أو إثبات أن شيئًا ما يعمل بالفعل.
يوصي @r31n باستخدام الذكاء الاصطناعي لتحسين البحث، وليس للتخلي عن المسؤولية عنه. فإذا أخبرك الذكاء الاصطناعي بأنه وجد ثغرة، فهذا لا يعني أنك وجدت واحدة حقيقية. يجب عليك إعادة إنتاجها بنفسك وفهم المشكلة بدقة، بما في ذلك الحدود الأمنية التي تم اختراقها والتأثير الحقيقي. لقد خفض الذكاء الاصطناعي حاجز الدخول إلى البحث الأمني، وهو أمر رائع، لكنه أدى أيضًا إلى زيادة في التقارير غير المُتحقق منها التي يتعين على الفرق التعامل معها.
ماذا يعني هذا للمطورين؟
تُقدم تجربة @r31n رؤى قيمة للمطورين والمصممين حول أفضل الممارسات في الأمن السيبراني. أولاً، أهمية التعلم المستمر والتجربة العملية لتطوير المهارات الأمنية. ثانيًا، أن فهم بنية التطبيق وتفاعلاته أهم بكثير من الاعتماد على الأدوات الآلية وحدها. أخيرًا، يُظهر هذا اللقاء الدور المتنامي للذكاء الاصطناعي كمساعد قوي في البحث الأمني، لكنه يشدد على أنه لا يمكن أن يحل محل الفهم البشري والتحقق اليدوي للمشكلات. الاستفادة من AI تتطلب منك أن تكون خبيرًا بما يكفي لتوجيهه والتدقيق في نتائجه، وهو ما يُعد تحديًا وفرصة للمطورين في آن واحد.
المصدر: github.blog