المسار
كل حدث يسلك المسار المفصول نفسه تماماً: لا طبقة تستدعي التالية مباشرة، بل يمرّ كل شيء عبر ناقل رسائل. تضمن هذه البنية ثلاثة أمور معاً، المرونة (عطل معزول لا يُسقط السلسلة)، والتتبّع من طرف إلى طرف (كل قرار مرتبط بحدثه الأصلي)، وزمن استجابة مُتحكَّم به نحو 150 ms عند المئين التاسع والتسعين.
المبدأ
ثلاثة وعود تتحقّق في حلقة مستمرة، جهازاً بعد جهاز، بلا يوم راحة. هذا التسلسل، يكتشف ثم يفهم ثم يتصرّف، هو ما يميّز أمناً سيبرانياً ذاتياً حقيقياً عن مجرّد أداة تنبيه أخرى.
بدل المطابقة مع قائمة بصمات ناقصة دوماً، يتعلّم BALLA ما هو طبيعي لكل جهاز ويشير إلى أدنى انحراف، بما في ذلك الهجمات المستهدفة غير المرئية.
يُقارن كل تهديد بالمرجعيات العالمية، CVE، MITRE ATT&CK، عائلات البرمجيات الخبيثة، ثم يُشرح بوضوح. ينتقل الفريق من الدرجة إلى التشخيص.
استجابة ذاتية وقابلة للتتبّع في جزء من الثانية، حظر، عزل، إنهاء، حجر، مع مصادقة بشرية للحالات الحسّاسة.
المسار
كل حدث يسلك المسار المفصول نفسه تماماً: لا طبقة تستدعي التالية مباشرة، بل يمرّ كل شيء عبر ناقل رسائل. تضمن هذه البنية ثلاثة أمور معاً، المرونة (عطل معزول لا يُسقط السلسلة)، والتتبّع من طرف إلى طرف (كل قرار مرتبط بحدثه الأصلي)، وزمن استجابة مُتحكَّم به نحو 150 ms عند المئين التاسع والتسعين.
وكيل خفيف يعمل في الخلفية على كل جهاز يراقب باستمرار أكثر من 28 عائلة أحداث، عمليات مُطلَقة، اتصالات شبكة، وصول إلى ملفات، مصادقات، نشاط عتاد، أجهزة USB. يُطبَّع كل حدث بصيغة UCEF ثم يُوقَّع تشفيرياً قبل الإرسال. وإن انقطعت الشبكة لا يضيع شيء: يُخزَّن كل شيء محلياً مشفّراً ويُعاد بثّه عند إعادة الاتصال.
تنتقل الأحداث عبر ناقل Apache Kafka، مفصول ومرن، مُصمَّم لاستيعاب عشرات آلاف الأحداث في الثانية. يتيح هذا الفصل لكل طبقة التوسّع باستقلال ويحفظ السببية: تبقى كل أحداث الجهاز الواحد مرتّبة.
يكدّس دماغ BALLA عدة مستويات ذكاء اصطناعي متكاملة لتمييز الطبيعي من الشاذ، دون معرفة التهديد مسبقاً. هنا تُحسَم أصعب مفاضلة: التقاط الهجمات الحقيقية مع تجنّب إغراق الفرق بالإنذارات الكاذبة.
الشذوذ الخام لا يكفي للتصرّف. لذا يُوصَف كل إنذار تلقائياً عبر معلومات التهديدات: ثغرة CVE المرتبطة، عائلة البرمجية الخبيثة، تقنية وتكتيك MITRE ATT&CK، سمعة العناوين، الارتباط عبر الأجهزة. ينتقل الفريق من درجة إلى تشخيص.
يتحوّل القرار إلى إجراء ملموس، موقّع تشفيرياً (Ed25519) ويتحقّق منه الوكيل قبل التنفيذ على الجهاز. كل إجراء قابل للعكس يولّد رمز تراجع، ويُسجَّل كل شيء في سجلّ تدقيق غير قابل للتغيير، وتتطلّب القرارات الأكثر حساسية مصادقة بشرية صريحة.