DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models
تقترح الورقة البحثية إطار عمل DMFI، وهو إطار ثنائي الأنماط يعزز الكشف عن التهديدات الداخلية من خلال دمج تحليلات السجلات الدلالية والسلوكية عبر نماذج لغوية مضبوطة بشكل مستقل باستخدام تقنية LoRA واستراتيجية تكييف تمييزية، محققاً دقة فائقة على مجموعات بيانات CERT مقارنة بالأساليب المتطورة الحالية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل مبنى مكاتب ضخمًا يعج بالحركة. كل يوم، يدخل آلاف الموظفين، يجلسون إلى مكاتبهم، يرسلون رسائل البريد الإلكتروني، يتصفحون الويب، ثم يسجلون خروجهم. معظمهم يقومون فقط بمهام وظائفهم. ولكن من حين لآخر، يكون أحدهم "ذئبًا في ثوب حمل"، أي تهديدًا داخليًا يحاول سرقة الأسرار أو التخريب.
المشكلة هي أن هؤلاء الفاعلين السيئين أذكياء. فهم لا يبدون كالمخترقين الذين يحطمون الباب الأمامي؛ بل يبدون كموظفين طبيعيين، يقومون فقط بأشياء خارجة عن المألوف قليلًا أو في أوقات غريبة. برامج الأمن التقليدية (البرامج الحاسوبية القديمة) تشبه حراس الأمن الذين يكتفون بفحص الهويات فقط. إذا كنت تملك هوية، سيسمحون لك بالدخول. لكنهم لا يستطيعون معرفة ما إذا كنت تتصرف بشكل مريب أثناء وجودك في الداخل.
تقدم هذه الورقة البحثية DMFI، وهو نظام أمني ذكي للغاية مصمم للإيقاع بهؤلاء المتسللين الماكرين. فكر في DMF كـ فريق تحقيق مكون من شخصين يعملان معًا، مدعومين بعقل ذكاء اصطناعي متطور جدًا (نموذج لغوي كبير - LLM).
إليك كيف يعمل DMFI، مقسمًا إلى مفاهيم بسيطة:
1. المحققان: "القارئ" و"المراقب"
بدلاً من النظر إلى الصورة الكاملة دفعة واحدة، يقسم DMFI التحقيق إلى منظورين متميزين، مثل محققين لديهما تخصصات مختلفة.
المحقق (أ): القارئ (المنظور الدلالي - Semantic View)
- ماذا يفعل: هذا المحقق يقرأ محتوى ما يفعله الأشخاص فعليًا. يقرأ رسائل البريد الإلكتروني، وعناوين المواقع الإلكترونية، ورسائل الدردشة.
- التشبيه: تخيل محققًا يقرأ مذكرات مشتبه به. هو لا يتحقق فقط من متى كُتبت المذكرات؛ بل يقرأ الكلمات ليرى ما إذا كان الشخص يتحدث عن السرقة، أو التصيد الاحتيالي، أو التخطيط لعملية سطو.
- التقنية: يستخدم ذكاءً اصطناعيًا مدربًا على فهم الفروق اللغوية الدقيقة. إذا كانت رسالة بريد إلكتروني تقول: "هيا، هل يمكنك إرسال الملفات السرية لي؟"، فإن "القارئ" يكتشف الخطر فورًا.
المحقق (ب): المراقب (المنظور السلوكي - Behavioral View)
- ماذا يفعل: هذا المحقق يتجاهل الكلمات ويركز على نمط الحركة. يراقب متى سجل شخص ما دخوله، وأين كان، وماذا نقر، وأي ملفات لمسها.
- التشبيه: تخيل محققًا يراقب كاميرا مراقبة. هو لا يهتم بما يقوله الشخص؛ بل يهتم بأن الشخص يتسلل إلى غرفة الخادم في الساعة 3:00 صباحًا، ويوصل وحدة تخزين (USB)، ثم يركض نحو المخرج.
- الابتكار (خدعة "4W"): السجلات الخام (Logs) فوضوية وطويلة. لجعل هذا الأمر أسهل، ابتكر المؤلفون ملخصًا "4W" (متى، أين، ماذا، أي - When, Where, What, Which). يأخذ قائمة فوضوية من 50 إجراءً ويضغطها في جملة قصيرة وواضحة مثل: "بعد ساعات العمل، باستخدام لابتوب شخصي، وصل إلى ملفات حساسة وأرسلها إلى جهة خارجية". هذا يجعل النمط واضحًا.
2. التدريب المتخصص (LoRA)
عادةً، تعليم ذكاء اصطناعي ضخم (مثل روبوت فائق الذكاء) مهمة محددة هو أمر مكلف وبطيء. الأمر يشبه توظيف طباخ مشهور ليتعلم كيفية صنع شطيرة محددة من الصفر.
استخدم المؤلفون طريقًا مختصرًا ذكيًا يسمى LoRA.
- التشبيه: بدلاً من إعادة تدريب الطباخ بالكامل، قاموا فقط بإعطائه "بطاقة وصفة" محددة (إضافة صغيرة) لهذه الشطيرة المعينة. يحتفظ الطباخ بكل مهاراته في الطبخ ولكنه يتعلم الوصفة الجديدة بسرعة وبتكلفة منخفضة.
- النتيجة: قاموا بتدريب "طباخين" منفصلين (نماذج ذكاء اصطناعي). أحدهما أصبح خبيرًا في قراءة رسائل البريد الإلكتروني المشبوهة، والآخر أصبح خبيرًا في رصد أنماط الحركة الغريبة.
3. استراتيجية "التحقق المزدوج" (DMFI-B)
تقدم الورقة نسخة خاصة تسمى DMFI-B.
- التشبيه: تخيل نظام أمان يحتوي على إنذارين منفصلين.
- الإنذار 1 مدرب فقط على ما يفعله "الأخيار".
- الإنذار 2 مدرب فقط على ما يفعله "الأشرار".
- عندما يحدث حدث جديد، يسأل النظام كلا الإنذارين: "هل يبدو هذا أكثر شبهاً بشخص جيد أم شخص سيء؟"
- لماذا يساعد ذلك: إذا حاول شخص سيء التظاهر بأنه شخص جيد، فقد يطلق "إنذار الشخص السيئ" صوت التنبيه لأن الفرق بين الإنذارين سيكون هائلاً. هذا يجعل النظام أفضل بكثير في رصد التهديدات النادرة والماكرة التي عادة ما يتم تفويتها.
4. القرار النهائي (الدمج - The Fusion)
أخيرًا، يلتقي المحققان في غرفة اجتماعات (وحدة قرار صغيرة).
- يقول "القارئ": "الكلمات في تلك الرسالة كانت مشبوهة".
- يقول "المراقب": "التوقيت والوصول إلى الملفات كانا غريبين".
- يقومان بدمج درجاتهما. إذا اتفق كلاهما، أو إذا كان المزيج قويًا بما يكفي، يطلق النظام الإنذار: "تم اكتشاف تهديد".
لماذا يعد هذا أمرًا مهمًا؟
- إنه أذكى: الأنظمة القديمة كانت تفقد الأشياء لأنها تنظر فقط إلى الأرقام. هذا النظام يفهم المعنى والسياق.
- إنه فعال: لا يحتاج إلى كمبيوتر خارق بحجم مبنى للعمل؛ فهو خفيف بما يكفي لتستخدمه الشركات الحقيقية.
- إنه عادل: يتعامل مع حقيقة أن "الأشرار" نادرون (مثل البحث عن إبرة في كومة قش) دون أن يطلق إنذارات كاذبة بشكل مفرط.
باختًا: DMFI يشبه توظيف فريق تحقيق يمكنه قراءة عقلك (عبر رسائل البريد الإلكتروني الخاصة بك) و مراقبة خطواتك (عبر أفعالك) في آن واحد، باستخدام ذكاء اصطناعي ذكي وفعال للإيقاع بالأشرار قبل أن يسرقوا كنوز التاج.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.