الاتصالات والتدفقات
من اتصل بمن، وكم استغرق الاتصال، وفي أي اتجاه، وما حجم ما انتقل. وتُحتسب التدفقات في الاتجاهين معًا، فيكون الرفع الصامت ظاهرًا بقدر ظهور التنزيل الكثيف.
Guardian
رصد الشبكة المصرح بمراقبتها، في بيئتك أنت
يُوضع جهاز Guardian على شبكة تُشغّلها بنفسك. فيرصد الحركة التي صرّحت له بمراقبتها، ويقيّمها باستمرار، ويحفظ ما يستحق الحفظ — دون أن يُرسل شيئًا إلى أي جهة.
القدرات
ما الذي يرصده Guardian
يعيد Guardian بناء صورة النشاط من الحركة المصرح له برؤيتها. وهو لا يكسر التشفير، ولا يحتاج إلى ذلك ليكون مفيدًا.
ترجمة أسماء النطاقات
استعلامات النطاقات كما ظهرت على الشبكة — الاسم المطلوب، والعنوان المُعاد في الاستعلامات التي أُجيبت. وهذا هو السجل الذي يربط وجهة رقمية باسم يستطيع الإنسان أن يستدل به. أما الاستعلامات التي أخفقت والترجمة المشفَّرة فتُسجَّل بوصفها ثغرات في الرؤية، لا تُقدَّم على أنها إجابات.
الجلسات المشفَّرة
خصائص يمكن رؤيتها دون فك التشفير: اسم الخادم الذي طلبه العميل، وبصمة الطريقة التي تفاوض بها على الجلسة. فالحركة المشفَّرة ليست حركة معتمة تمامًا — غير أنه لا يُفك تشفير أي شيء، وما يبقى مشفَّرًا يبقى مشفَّرًا.
تحليل السلوك والشذوذ
التكرار والانتظام والتوقيت. فالنشاط الذي يتكرر وفق جدول زمني يختلف في شكله عن نشاط أحدثه إنسان، وهذا الاختلاف قابل للقياس. وتُبرز الأساليب الإحصائية وأساليب التعلّم الآلي النشاط الذي يحيد عما رسّخه الجهاز باعتباره وضعه الطبيعي.
مطابقة المؤشرات
تُقارَن الملاحظات بمجموعات مؤشرات الاختراق المحفوظة لديك، ومنها مؤشرات مرتبطة بأدوات مراقبة تجارية مستمدة من أبحاث منشورة.
سياق الشبكة
تُثرى الوجهات بمعلومات عن الشبكة — الملكية والاستضافة والموقع الجغرافي — ليوضع العنوان غير المألوف في سياقه أثناء الفرز لا بعده.
أوضاع التشغيل
طريقتان لتشغيله
يفرّق Guardian بين مراقبة بيئة ما والعمل على قضية، وهذا التمييز مفروض في البيانات نفسها لا في الواجهة وحدها. فلمهمة الرصد بداية ونهاية محددتان، ولا تستوعب أدلتها نشاطًا يقع خارج هذا الحد.
المراقبة العامة
رصد متواصل لبيئة مصرح بمراقبتها، مع اكتشاف وتنبيه فوريين. ويُستخدم لفهم السلوك الطبيعي للشبكة ولملاحظة ما يحيد عنه.
الاستحواذ ضمن قضية
مهمة رصد محدودة النطاق مرتبطة بقضية بعينها. فكل ما يُجمع داخل الحد يخص تلك القضية، وكل ما يقع خارجه لا يخصها. والحد نفسه جزء من السجل الاستدلالي.
الهوية
كل جهاز Guardian هو جهاز بعينه
الجهاز الذي يعجز عن إثبات أنه هو هذا الجهاز بعينه يُضعف الأدلة التي ينتجها. ولذلك بُنيت الهوية داخل Guardian نفسه، ولم تُضبط عليه من الخارج.
- معرّف Guardian
- يحمل كل جهاز معرّفًا ثابتًا مشتقًا من هوية عتاده. وهو ما يُصدَر الترخيص بناءً عليه، وما تُنسب الأدلة إليه.
- ترخيص مرتبط بالعتاد
- التراخيص موقَّعة تشفيريًا ومرتبطة بمعرّف Guardian بعينه. والترخيص الصادر لجهاز لا يشغّل جهازًا آخر.
- سلامة برمجية موقَّعة
- تُشحن الإصدارات ومعها بيان موقَّع يغطي مكوّنات البرمجيات. ويتحقق Guardian من نفسه في مقابله ويبلّغ بالنتيجة بصدق — بما في ذلك أن يبلّغ بأنه لا يعرف، حين لا يعرف.
- ختم الأدلة
- تُحسب قيمة تجزئة للمواد المأخوذة كأدلة وتُختم، ويُرفق بها مصدرها ووقتها وقضيتها. فيصبح أي عبث لاحق قابلًا للاكتشاف بدل أن يُستبعد افتراضًا.
- تحقق دون اتصال
- التحقق هو فحص توقيع في مقابل مفتاح منشور. وهو يعمل دون الرجوع إلينا ودون اتصال بالإنترنت.
والآليات الكامنة خلف ذلك موصوفة بالتفصيل في صفحة الأمن والثقة.
النشر
يُوضع حيث تقرر، ويُشغَّل كما تقرر
يُسلَّم Guardian جهازًا قائمًا بذاته. يرصد مقطع الشبكة المتصل به، ضمن التصريح الذي أقررته لتلك البيئة.
- لا اعتماد خارجي في التشغيل الأساسي يستمر الالتقاط والاكتشاف والتخزين والعمل على القضايا دون اتصال بالإنترنت.
- تخزين محلي تحت سيطرتك تُكتب الملاحظات وعمليات الالتقاط في وحدة تخزين داخل الجهاز نفسه.
- مُسجَّل لدى محطة التحليل تُكتشف أجهزة Guardian وتُؤكَّد هويتها وتُدار من محطة التحليل.
- حالة تشغيلية تُبلَّغ بصدق يراقب الجهاز حالته بنفسه ويُظهر أي تدهور فيها بدل أن يخفيه.
الحدود
ما لا يفعله Guardian
الوضوح بشأن الحدود جزء من المصداقية بشأن القدرات.
- ليس منتج اعتراض لشبكات لا تسيطر عليها
- صُمم لرصد بيئة تشغّلها أنت وصرّحت بمراقبتها. ولم يُبنَ ولا يُباع لاعتراض سري لاتصالات أطراف أخرى.
- لا يفك تشفير أي شيء
- يعمل بما يمكن رصده دون فك التشفير. فحيث تكون الجلسة مشفَّرة يبقى محتواها مشفَّرًا. وحيث تكون ترجمة أسماء النطاقات نفسها مشفَّرة، يسجّل Guardian أنه لم يستطع رؤيتها بدل أن يوحي بأنه رآها.
- لا يحل محل أدوات الفحص الجنائي
- تبقى منصات الاستحواذ والفحص المعتمدة ضرورية. ويضيف Guardian بُعد السلوك عبر الزمن الذي لا تغطيه تلك المنصات.
- لا يصدر الاستنتاج
- الاكتشاف يرتّب أولويات انتباه المحلل. أما الاستنتاج فهو للمحلل، والمنصة مبنية لدعم هذا الحكم لا للحلول محله.
- لا ضمان لاكتشاف أي شيء
- الرصد محدود بما هو ظاهر على مقطع الشبكة المتصل به، وخلال الفترة التي كان يعمل فيها. وغياب النتائج قول عن تلك النافذة الزمنية، لا عن الجهاز محل التحقيق.
جرّبوها على شبكتكم
يضع النشر التجريبي جهاز Guardian ومحطة تحليل داخل بيئتكم، على شبكة تحت سيطرتكم، ويشغّل فريقكم سير العمل بنفسه.