تهدیدات سایبری دیگر آن چیزی نیستند که صرفاً با یک آنتی‌ویروس یا فایروال قابل شناسایی باشند. مهاجمان امروزی با استفاده از تکنیک‌های پیشرفته، حملاتی را طراحی می‌کنند که نه ردپایی به‌جا می‌گذارند و نه فایل مشکوکی تولید می‌کنند. در چنین شرایطی، سازمان‌ها به پلتفرمی نیاز دارند که بتواند رفتارهای غیرعادی و پنهان را شناسایی، تحلیل و خنثی کند.
یکی از قدرتمندترین این راهکارها، Kaspersky Anti Targeted Attack Platform (KATA) است؛ یک سیستم پیشرفته برای مقابله با حملات هدفمند، بدون فایل، و پیچیده.

تهدیداتی که KATA برای مقابله با آن‌ها طراحی شده

1. حملات بدون فایل (Fileless Attacks)

در این حملات، مهاجم از هیچ فایلی استفاده نمی‌کند که روی دیسک ذخیره شود. این حملات از طریق ابزارهای قانونی ویندوز (مثل PowerShell، WMI) انجام می‌شود و در حافظه (RAM) اجرا می‌شوند. چون فایلی روی هارد دیسک نیست، آنتی‌ویروس‌های سنتی نمی‌توانند آن را شناسایی کنند. KATA با تحلیل رفتاری و ثبت رخدادهای حافظه، این نوع تهدیدات را شناسایی می‌کند.

مثال واقعی: اجرای اسکریپت PowerShell در پس‌زمینه پس از کلیک روی لینک فیشینگ.

2. حملات Living off the Land (LotL)

این نوع حملات از ابزارهای بومی سیستم‌عامل مثل netsh، certutil یا حتی مرورگر سیستم برای اجرای حمله استفاده می‌کنند. چون ابزار مورد استفاده معتبر است، شناسایی این حملات بسیار دشوار است.

نقش KATA: از طریق ماژول EDR و تحلیل پیوسته فعالیت‌ها، زمانی که اجرای غیرمنتظره‌ای از این ابزارها رخ دهد، بلافاصله هشدار صادر می‌کند.

3. بهره‌برداری از آسیب‌پذیری‌های روز صفر (Zero-Day)

حملاتی که از نقاط ضعف ناشناخته سیستم‌ها استفاده می‌کنند. تا زمانی که وصله امنیتی منتشر نشده، این نوع حملات تقریباً غیرقابل پیش‌بینی هستند. KATA به‌جای اتکا به امضا، رفتار مشکوک ناشی از exploit را تحلیل کرده و نمونه‌ها را به sandbox برای آزمایش ارسال می‌کند.

4. APT (حملات پیشرفته پایدار)

APTها پروژه‌هایی هستند که هدف مشخصی دارند و با صرف زمان زیاد، از تکنیک‌های مختلف برای دستیابی به سیستم قربانی استفاده می‌کنند. مهاجم در این نوع حمله برای مدت‌ طولانی بدون اینکه شناسایی شود، در شبکه حضور دارد.

نقش KATA: پایش مداوم، اتصال نقاط داده مختلف (ترافیک، لاگ‌ها، رفتارهای کاربر) و تحلیل توالی رویدادها برای تشخیص APTها.

معماری فنی KATA: چگونه کار می‌کند؟

1. Network Traffic Analysis (NTA)

• تحلیل بسته‌های شبکه در سطح لایه ۷ برای شناسایی الگوهای غیرعادی

• بررسی ارتباطات خروجی مشکوک (مثلاً تماس با IPهای ناشناخته یا دامنه‌های تازه ثبت‌شده)

• تشخیص tunneling یا C2 communication

2. Sandbox – محیط آزمایش ایزوله

• اجرای فایل‌های مشکوک در محیطی امن و مشاهده رفتار آنها

• شبیه‌سازی تعامل کاربر واقعی برای تشخیص رفتارهای نهفته

• تولید گزارش دقیق شامل فایل‌های ایجاد شده، registry تغییر یافته، تماس به IP خارجی و …

3. EDR – نظارت مداوم بر Endpoint

• ثبت فعالیت‌ تمامی پردازش‌ها و فایل‌های سیستمی

• شناسایی رفتارهای مشکوک در سیستم عامل (مانند privilege escalation، credential dumping)

• هشدار بلادرنگ به تیم SOC

4. ادغام با Threat Intelligence

• استفاده از دیتابیس تهدیدات جهانی کسپرسکی

• شناسایی IoCهای تازه در حملات روز

• آپدیت مداوم الگوریتم‌های تحلیل بر اساس جدیدترین رفتارهای شناسایی‌شده در سطح بین‌المللی

📊 جدول: مقایسه KATA با ابزارهای سنتی امنیتی