Detection of Anomalous Network Nodes via Hierarchical Prediction and Extreme Value Theory
تقترح هذه الورقة طريقة من مرحلتين تجمع بين التنبؤ بالسلاسل الزمنية الهرمية ونظرية القيم القصوى للكشف عن عقد الشبكة الشاذة بناءً على سلوك استدعاء بروتوكول ARP غير المعتاد، مما أظهر انخفاضاً كبيراً في الإيجابيات الكاذبة على مجموعة بيانات من العالم الحقيقي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل مبنى مكاتب مزدحمًا يضم مئات الموظفين (الشبكة التي تمثل عقد الشبكة). كل يوم، يرسلون ملاحظات صغيرة لبعضهم البعض يسألون فيها: "مهلاً، من يملك عنوان البريد الإلكتروني هذا تحديدًا؟ ما هو رقم مكتبه؟" هذا يشبه نداءات ARP في شبكة الكمبيوتر — وهو عبارة عن ثرثرة مستمرة للأجهزة تسأل: "من أنت؟ وأين موقعك؟"
عادةً ما يتبع الجميع روتينًا يمكن التنبؤ به. يرسل المحاسب بضع ملاحظات في الصباح، ويرسل المصمم دفعة من الملاحظات عند الظهر، ويرسل الخادم (السيرفر) تدفقًا مستمرًا طوال اليوم.
الآن، تخيل أن جاسوسًا (برمجية خبيثة) قد تسلل إلى المبنى. وبدلاً من العمل بهدوء، يبدأ الجاسوس في الركض بجنون، ويصرخ في كل مكتب في المبنى: "من أنتم؟ وما هي أرقامكم؟ أعطوني مفاتيحكم!" هذا السلوك الفوضوي يعد علامة تحذير كبيرة، لكن من الصعب رصده لأن المبنى كبير وصاخب للغاية.
تقدم هذه الورقة البحثية نظامًا ذكيًا يتكون من خطوتين للإيقاع بذلك الجاسوس دون إطلاق إنذار كاذب في كل مرة يسقط فيها شخص ما قلمًا.
الخطوة 1: "حلقة الفريق" التنبؤية (التنبؤ الهرمي)
معظم الأنظمة الأمنية تنظر إلى كل موظف بشكل منعزل. قد يقول النظام: "جون عادةً يرسل 5 ملاحظات في الساعة. اليوم أرسل 6. هل هذا غريب؟" هذا يشبه محاولة التنبؤ بالطقس من خلال النظر إلى شجرة واحدة فقط.
يقترح المؤلفون نهجًا أكثر ذكاءً: حلقة الفريق (The Team Huddle).
بدلاً من النظر إلى شخص واحد، ينظرون إلى إيقاع المبنى بأكمله وإيقاع كل شخص معًا.
- الصورة الكبيرة: هم يعرفون أن إجمالي عدد الملاحظات المرسلة في المبنى يتبع نمطًا معينًا (على سبيل المثال: مزدحم في الصباح، هادئ وقت الغداء).
- الفرد: هم يعرفون كم يرسل جون، وسارة، والخادم عادةً.
من خلال الجمع بين هذين المنظورين، ينشئ النظام تنبؤًا لـ "حلقة الفريق". فهو يتساءل: "بما أن المبنى بأكمله يكون هادئًا عادةً في الساعة 2 ظهرًا، وجون يرسل عادةً ملاحظتين، فهل من المنطقي أن يرسل جون فجأة 50 ملاحظة؟"
تستخدم هذه الطريقة تقنية رياضية تسمى "الأثر الأدنى" (Minimum Trace) للتأكد من أن تنبؤات الأفراد تضاف بدقة لتصل إلى تنبؤ المبنى بأكمله. إنه يشبه مدربًا يعدل إحصائيات اللاعبين بحيث يتناسب مجموع الفريق مع التوقعات، مما يضمن عدم لوم أي شخص على خطأ كان في الواقع مجرد سوء فهم للتدفق العام للفريق.
الخطوة 2: إنذار "الطقس القاسي" (نظرية القيم المتطرفة)
بمجرد أن يتنبأ النظام بما يجب أن يفعله أحد العقد، فإنه ينظر إلى البواقي (residuals) (الفرق بين ما حدث وما كان متوقعًا).
- الطريقة القديمة (فخ العتبة): تخيل حارس أمن يقول: "إذا أرسل أي شخص أكثر من 10 ملاحظات، أطلق الإنذار!" المشكلة هي أن بعض الموظفين الشرعيين قد يمرون بيوم مزدحم حقًا (ما يسمى بـ "الذيل الثقيل" في البيانات). إذا وضعت المعيار منخفضًا جدًا، فستحصل على ملايين الإنذارات الكاذبة. هذا يؤدي إلى "إجهاد التنبيه" (Alert Fatigue)، حيث يصاب فريق الأمن بالتعب من كثرة الإنذارات الكاذبة لدرجة أنهم يتجاهلون الإنذارات الحقيقية.
- الطريقة الجديدة (نظرية القيم المتطرفة - EVT): بدلاً من قاعدة بسيطة "إذا/إذن"، يستخدم النظام نظرية القيم المتطرفة (Extreme Value Theory). فكر في هذا كخبير أرصاد جوية يدرس "العواصف التي تحدث مرة واحدة كل 100 عام".
تفهم نظرية القيم المتطرفة أن حركة مرور الإنترنت تشبه الطقس: تكون هادئة في الغالب، ولكن أحيانًا تحدث طفرات ضخمة ونادرة لا تتناسب مع منحنى الجرس الطبيعي.
- إذا أرسل العقد 12 ملاحظة، فهذا مجرد "يوم مشمس مع بعض السحب".
- إذا أرسل 10,000 ملاحظة، فهذا "إعصار".
لقد صُممت نظرية القيم المتطرفة خصيصًا لنمذجة هذه الأحداث النادرة والمتطرفة. فهي تسأل: "هل هذا الانحراف شديد لدرجة أنه ينتمي إلى فئة الأحداث التي تحدث 'مرة في العمر'، أم أنه مجرد يوم عمل مزدحم وطبيعي؟" ومن خلال التركيز على شكل البيانات المتطرفة، يمكنها التمييز بين يوم عمل مزدحم شرعي وبين هجوم خبيث بدقة أعلى بكثير.
النتائج: الإيقاع بالجاسوس دون الضجيج
اختبر الباحثون طريقتهم على شبكة حقيقية تضم 362 عقدة وأكثر من 10 ملايين "ملاحظة" (نداءات ARP).
- المنافسة: قارنوا طريقتهم بـ "المشفر التلقائي" (Autoencoder) الشهير (وهو نوع من الذكاء الاصطناعي الذي يحاول حفظ الأنماط). كان المشفر التلقائي مثل حارس مرتاب يصرخ "متسلل!" عند كل شيء تقريبًا. لقد أمسك بالأشرار (دقة استدعاء عالية - Recall)، ولكنه اتهم الموظفين الأبرياء باستمرار (دقة منخفضة - Precision، وإنذارات كاذبة عالية).
- الفائز: كانت طريقتهم الجديدة، خاصة عند استخدام أداة تسمى LightGBM (خوارزمية ذكية لاتخاذ القرار)، هي النجم في هذا الاختبار.
- لقد أمسكوا بالأشرار بنفس كفاءة الحارس المرتاب تقريبًا.
- والأهم من ذلك، أنها قللت من الإنذارات الكاذبة بفارق هائل. لقد كان الأمر أشبه بامتلاك حارس لا يصرخ إلا عندما يضرب الإعصار المبنى بالفعل، وليس لمجرد هطول المطر.
باخت-صار
تحل هذه الورقة البحثية مشكلة "إجهاد التنبيه" في الأمن السيبراني.
- لا تنظر إلى الأفراد في معزل عن غيرهم: استخدم سلوك الشبكة بأكملها للتنبؤ بما يجب أن يفعله جهاز واحد.
- لا تستخدم قواعد بسيطة: استخدم رياضيات متقدمة (EVT) لفهم أن "الازدحام" يبدو مختلفًا بالنسبة للأجهزة المختلفة، وقم فقط بتحديد الحالات الشاذة المتطرفة والمستحيلة حقًا.
النتيجة هي نظام أمني ذكي بما يكفي ليعرف الفرق بين موظف مشغول وجاسوس، مما يبقي فريق الأمن مركزًا على التهديدات الحقيقية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.