← أحدث الأبحاث
🤖 machine learning

Temporal Analysis of NetFlow Datasets for Network Intrusion Detection Systems

تعالج هذه الورقة نقص الميزات الزمنية في مجموعات بيانات NetFlow الحالية من خلال إنشاء مجموعة بيانات عامة جديدة وإجراء تحليل زمني وتحليل للتردد الزمني لإثبات كيف يمكن لأنماط الهجوم الفريدة أن تعزز كشف التسلل للشبكات القائم على تعلم الآلة.

المؤلفون الأصليون: Majed Luay, Siamak Layeghy, Seyedehfaezeh Hosseininoorbin, Mohanad Sarhan, Nour Moustafa, Marius Portmann

نُشر 2026-05-01
📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة
CC BY 4.0

المؤلفون الأصليون: Majed Luay, Siamak Layeghy, Seyedehfaezeh Hosseininoorbin, Mohanad Sarhan, Nour Moustafa, Marius Portmann

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل مركز مراقبة حركة المرور في مدينة ما. لسنوات، حاول حراس الأمن رصد السائقين الخطيرين (المخترقين) من خلال النظر إلى قائمة السيارات التي مرت. كانوا يعرفون لوحة رقم السيارة، وجهتها، وكمية الوقود التي استهلكتها. لكنهم كانوا يفتقدون قطعتين حاسمتين من اللغز: مدة بقاء السيارة على الطريق وسرعة وصول السيارات الواحدة تلو الأخرى.

هذه الورقة البحثية تتحدث عن إصلاح هذه المعلومات المفقودة.

المشكلة: "اللقطة الثابتة" مقابل "الفيلم"

يوضح المؤلفون أن أنظمة الأمن الحالية غالبًا ما تنظر إلى حركة مرور الشبكة كأنها سلسلة من اللقطات الثابتة. هم يعرفون ماذا حدث، لكنهم يفتقدون إيقاع حدوثه.

  • التشبيه: تخيل أنك تحاول تحديد هوية لص في حشد من الناس. إذا كان لديك فقط صورة فوتوغرافية للص، فمن الصعب تمييزه عن الشخص العادي. ولكن إذا كان لديك فيديو يظهره وهو يركض، ثم يتوقف، ثم ينطلق بسرعة في نمط معين، فسيصبح من الأسهل بكثير رصده.
  • المشكلة: مجموعات البيانات القياسية (التي تُستخدم كـ "كتيبات تدريب" لأنظمة أمن الكمبيوتر) التي يستخدمها الباحثون كانت تشبه تلك الصور الثابتة؛ فقد كانت تفتقر إلى تفاصيل التوقيت اللازمة لرؤية "الفيلم" الخاص بالهجوم.

الحل: مجموعات بيانات "NF3"

قام الباحثون بأخذ أربع مجموعات بيانات شهيرة وموجودة بالفعل تُستخدم لتدريب الأنظمة الأمنية وقاموا بترقيتها. وأطلقوا على هذه النسخة الجديدة اسم NF3.

  • ما الذي أضافوه: لقد أضافوا "ميزات زمنية" (Temporal Features). وببساء التعبير، يعني هذا أنهم أضافوا ساعة إيقاف وجهاز مراقبة نبضات القلب لكل حزمة بيانات.
    • مدة التدفق (Flow Duration): كم استمر الاتصال؟ (هل قادت السيارة لمدة 5 ثوانٍ أم 5 ساعات؟)
    • وقت وصول الحزم البيني (IAT): كم من الوقت مر بين حزمة بيانات واحدة والتي تليها؟ (هل وصلت السيارات في تيار ثابت، أم في دفعة عشوائية وسريعة؟)

لقد جعلوا مجموعات البيانات الجديدة والمطورة هذه متاحة مجانًا حتى يتمكن الباحثون الآخرون من استخدامها.

ما الذي وجدوه: "بصمات" الزمن

بمجرد حصولهم على هذه "الأفلام" الجديدة لحركة مرور الشبكة، بدأوا في تحليلها لمعرفة ما إذا كانت أنواع مختلفة من الهجمات تمتلك أنماطًا زمنية فريدة.

1. طول الاتصال:

  • حركة المرور الطبيعية: عادة ما تكون قصيرة وسريعة، مثل مهمة سريعة.
  • حركة المرور الضارة: بعض الهجمات، مثل "الأبواب الخلفية" (Backdoors - مداخل سرية)، تميل إلى البقاء مفتوحة لفترة طويلة، مثل سيارة تقف في ممر المنزل لساعات. أما هجمات مثل "DDoS" (إغراق النظام)، فتبدو مثل ازدحام مروري هائل وفوضوي حيث تصل السيارات في دفعات ضخمة وغير منتظمة.

2. الإيقاع (IAT):

  • بحث الباحثون في الفجوات الزمنية بين حزم البيانات. ووجدوا أن الهجمات المختلفة لها "نبضات" مختلفة.
  • التشبيه: المحادثة الطبيعية لها إيقاع طبيعي. أما الروبوت الذي يحاول اختراق نظام ما، فقد يرسل رسالة بإيقاع روبوتي منتظم تمامًا، أو إيقاع محموم وعشوائي. وجدت الورقة أن هذه الأنماط الزمنية غالبًا ما تكون فريدة لنوع الهجوم، مما يجعلها تعمل مثل بصمة زمنية.

3. "صوت" الهجوم (تحليل الوقت والتردد):

  • استعار المؤلفون حيلة من هندسة الموسيقى والراديو تسمى تحليل الوقت والتردد (Time-Frequency Analysis).
  • التشبيه: إذا نظرت إلى موجة صوتية، سترى مستوى الصوت بمرور الوقت. ولكن إذا استخدمت "المخطط الطيفي" (Spectrogram) - وهو خريطة بصرية للصوت - يمكنك رؤية طبقة الصوت والتردد وهما يتغيران بمرور الوقت.
  • قاموا بتحويل حركة مرور الشبكة إلى هذه "الخرائط الصوتية" البصرية. واكتشفوا أن الهجمات المختلفة (مثل "الدودة/Worms" مقابل "الثغرات/Exploits") تخلق أنماطًا بصرية مختلفة على هذه الخرائط. الأمر يشبه كيف يبدو إيقاع الطبل مختلفًا عن عزف الكمان على جهاز عرض بصري للصوت. وهذا يشير إلى أن أجهزة الكمبيوتر يمكنها تقنيًا "الاستماع" إلى إيقاع الشبكة لرصد المتسللين بسهولة أكبر.

الخلاصة

لا تدعي هذه الورقة أنها صنعت نظامًا أمنيًا جديدًا ومثاليًا بعد. بدًا من ذلك، تدعي أنها صنعت مكتبة أفضل لبيانات التدريب.

  • قبل: كان الباحثون يحاولون تعليم أجهزة الكمبيوتر كيفية رصد اللصوص باستخدام الصور فقط.
  • الآن: أصبح لديهم مكتبة من الفيديوهات التي تظهر سرعة اللصوص، وإيقاعهم، ومدة وجودهم.

من خلال توفير هذه البيانات الغنية، يأمل المؤلفون في مساعدة الجيل القادم من الأنظمة الأمنية على فهم توقيت الهجمات، مما يجعل من الصعب جدًا على المخترقين الاختباء وسط ضجيج حركة المرور الطبيعية للشبكة.

غارق في أبحاث مجالك؟

تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.

جرّب Digest →

أبحاث مشابهة

عرض الكل في هذا التصنيف 🤖 cs.LG →