تتبادل مليارات الأجهزة البيانات عبر الإنترنت كل يوم، مما يخلق شبكة تواصل واسعة وغير مرئية. معظم هذه الحركة هي حركة غير ضارة، تتدفق مثل نهر مستمر من الطلبات والاستجابات الروتينية. ومع ذلك، يختبئ داخل هذا المجرى فاعلون خبيثون يحاولون اختراق الأنظمة، أو سرقة المعلومات، أو تعطيل الخدمات. ويعد رصد هؤلاء المتسللين تحدياً مستمراً لفرق الأمن لأن المهاجمين أذكياء؛ فهم يغيرون تكتيكاتهم بشكل متكرر وغالباً ما يحاكون السلوك الطبيعي لتجنب الكشف. تعتمد أدوات الأمن التقليدية على معرفة شكل الهجوم بدقة، من خلال مقارنة حركة المرور الجديدة بمكتبة من التهديدات المعروفة. هذا النهج يعمل بشكل جيد مع المخاطر المألوفة، لكنه يفشل عندما يظهر نوع جديد وغير مرئي من الهجمات. ولحل هذه المشكلة، بدأ الباحثون في التوجه إلى استراتيجية مختلفة: تعليم الحواسيب كيف تفهم ما هو "طبيعي" بعمق بحيث يبرز أي انحراف فوراً، تماماً مثل حارس أمن يعرف الإيقاع المنتظم لمبنى ما ويلاحظ على الفور عندما يتحرك شخص ما بطريقة غير مألوفة.

في دراسة حديثة، اقترح فريق من الباحثين من فرنسا نظاماً جديداً يسمى GraphIDS لمعالجة هذه المشكلة. فبدلاً من محاولة حفظ أنماط هجوم محددة، يتعلم نظامهم البنية الطبيعية لحركة مرور الشبكة السليمة. إنهم يعاملون الشبكة ليس كقائمة من الرسائل المنعزلة، بل كخريطة حية حيث تكون أجهزة الكمبيوتر هي المواقع، والبيانات المتدفقة بينها هي الطرق. ومن خلال دراسة هذه الخريطة، يمكن للنظام رؤية كيف تتواصل الأجهزة مع بعضها البعض عادةً. ووجد الباحثون أنه من خلال الجمع بين نوعين قويين من الذكاء الاصطناعي، استطاعوا بناء نموذج يتعلم هذا السلوك الطبيعي دون الحاجة إلى أي أمثلة لهجمات للتدريب عليها. يعمل النظام من خلال محاولة إعادة إنشاء أنماط حركة المرور الطبيعية التي رآها. وعندما يواجه قطعة من حركة المرور غريبة أو مشبوهة، فإنه يكافح لإعادة إنشائها، وهذا الكفاح يشير إلى تهديد محتمل.

يكمن جوهر هذه الطريقة الجديدة في كيفية تنظيم الباحثين للبيانات. فقد أخذوا السجلات الخام لحركة مرور الشبكة، المعروفة باسم بيانات NetFlow، وحولوها إلى رسم بياني (Graph). في هذا الرسم البياني، يكون كل كمبيوتر في الشبكة نقطة، وكل اتصال بين كمبيوترين هو خط. ويحمل كل خط تفاصيل حول المحادثة، مثل عدد الحزم المرسلة أو نوع البيانات المنقولة. الجزء الأول من نظامهم، وهو شبكة عصبية رسومية (Graph Neural Network)، يعمل كمراقب محلي. فهو ينظر إلى اتصال محدد ويفحص الجيران المباشرين لأجهزة الكمبيوتر المعنية. ويتساءل أسئلة مثل: "مع من يتحدث هذا الكمبيوتر الآن؟" و"هل هذه المحادثة نموذجية لهذه المجموعة؟". وهذا يسمح للنظام بفهم السياق المحلي لتدفق بيانات واحد، واقتناص الأنماط صغيرة النطاق التي تحدد السلوك الروتيني.

بمجرد أن يفهم النظام هذه التفاصيل المحلية، فإنه يمرر المعلومات إلى جزء ثانٍ، وهو محرك قائم على تقنية "المحول" (Transformer) ينظر إلى الصورة الأكبر. يقوم هذا المكون بتجميع العديد من الاتصالات معاً ويحلل كيفية ارتباطها ببعضها البعض عبر الشبكة بأكملها. إنه يتعلم العادات العالمية للنظام، مثل المجموعات التي تميل أجهزة الكمبيوتر فيها إلى التواصل بشكل متكرر أو كيف تتدفق حركة المرور عادةً خلال أوقات مختلفة. ولتعليم هذا النظام، استخدم الباحثون تقنية تسمى "المشفر التلقائي المقنع" (Masked Autoencoder). تخيل أنك تعرض على النظام صورة كاملة لحركة مرور طبيعية، ولكنك تقوم بعد ذلك بإخفاء قطع صغيرة منها. مهمة النظام هي تخمين كيف يجب أن تبدو القطع المخفية بناءً على بقية الصورة. ولأنه مدرب فقط على حركة مرور آمنة وطبيعية، فإنه يصبح بارعاً جداً في التنبؤ بما يجب أن تبدو عليه الوصلة الصحية. إنه يتعلم قواعد اللعبة جيداً لدرجة أنه يمكنه ملء الفراغات لأي تدفق طبيعي يواجهه.

وتتجلى القوة الحقيقية لهذا النهج عندما يواجه النظام شيئاً جديداً. فإذا ظهر تدفق ضار، فإنه يكسر القواعد التي تعلمها النظام. عندما يحاول النظام التنبؤ بما يجب أن يبدو عليه هذا التدفق الغريب بناءً على تدريبه، فإنه يفشل. يكون التنبؤ ضعيفاً، ويكون الفرق بين ما توقعه النظام وما حدث بالفعل كبيراً. ويسمي الباحثون هذا الفرق "خطأ إعادة البناء" (Reconstruction Error). وفي اختباراتهم، وجدوا أن هذا الخطأ كان إشارة موثوقة للاختراق. فالتدفقات التي كانت جزءاً من هجوم أنتجت باستمرار أخطاء عالية، بينما أنتجت حركة المرور الطبيعية أخطاء منخفضة. وقد سمح هذا للنظام برصد التهديدات المحتملة دون أن يتم عرضه على مثال واحد لهجوم خلال مرحلة التدريب.

اختبر الفريق نظامهم على مجموعتي بيانات كبيرتين من الواقع تحتويان على ملايين من تدفقات الشبكة من بيئات مختلفة. جاءت إحدى مجموعتي البيانات من شبكة أصغر، بينما مثلت الأخرى بنية تحتية أكبر وأكثر تعقيداً. وفي كلتا الحالتين، أدى النظام أداءً دقيقاً بشكل ملحوظ. ففي مجموعة البيانات الأصغر، حدد النظام جميع الهجمات تقريباً مع الحفاظ على معدل منخفض جداً من الإنذارات الكاذبة. وفي مجموعة البيانات الأكبر والأكثر تحدياً، لا يزال النظام يتفوق على الأساليب الحالية بفارق كبير، محققاً درجات تقترب من المثالية في بعض المقاييس. وقارن الباحثون عملهم بالأنظمة المتقدمة الأخرى التي تحاول أيضاً اكتشاف الشذوذ دون بيانات هجوم مصنفة. وقد تصدر نظامهم باستمرار، مما أثبت أن الجمع بين الرؤية المحلية للشبكة العصبية الرسومية والرؤية العالمية للمحول كان أكثر فعالية من استخدام أي منهما بمفرده.

كان أحد أهم النتائج هو أن النظام لم يكن بحاجة إلى أن يُخبر ما هو الهجوم ليتعلم كيفية رصده. فمن خلال التركيز بالكامل على إعادة إنشاء السلوك الطبيعي، تعلم النموذج بشكل طبيعي رفض أي شيء لا يتناسب معه. وهذه ميزة حاسمة لأن المهاجمين في العالم الحقيقي يبتكرون دائماً خدعاً جديدة، وغالباً لا تملك فرق الأمن بيانات مصنفة كافية لتعليم الكمبيوتر كل تنويع ممكن للتهديد. يتجاوز نظام GraphIDS هذه المشكلة من خلال تعلم "شكل الأمان". فإذا بدت حركة المرور آمنة، يمكن للنظام إعادة إنشائها بسهولة. وإذا بدت خطيرة، فإن النظام يتعثر، وهذا التعثر هو الإنذار.

استكشف الباحثون أيضاً ما يحدث إذا أزالوا أجزاء معينة من نظامهم. فعندما أخذوا المكون الرسومي (Graph component) وغذوا النظام بالبيانات الخام فقط، انخفض أداؤه، خاصة في الشبكة الأكبر والأكثر تعقيداً. وقد أظهر هذا أن فهم الروابط بين الأجهزة كان ضرورياً لرصد الهجمات الدقيقة. وبالمثل، عندما استبدلوا محرك "المحول" المتقدم بمحرك أبسط، ظل النظام يعمل بشكل جيد ولكنه كان أقل اتساقاً وأقل دقة قليلاً. أكدت هذه الاختبارات أن كلاً من السياق المحلي والأنماط العالمية كانا ضروريين لوصول النظام إلى كامل إمكاناته. وتشير الدراسة إلى أن أفضل طريقة لاكتشاف التسلل هي بناء نموذج يفهم بنية الشبكة وعاداتها بعمق، بدلاً من مجرد حفظ قائمة بالسلوكيات السيئة.

بينما تعد النتائج واعدة، إلا أن الباحثين يقرون بأنه لا يوجد نظام مثالي. يفترض نموذجهم أن الشبكة تسلك سلوكاً ثابتاً نسبياً بمرور الوقت. فإذا تغيرت الشبكة بشكل جذري، مثل حدوث ترقية كبرى أو تحول مفاجئ في سلوك المستخدمين، فقد يرتبك النظام ويطلق إنذارات كاذبة. ويقترحون أن العمل المستقبلي يمكن أن يتضمن تعليم النظام كيفية التكيف باستمرار مع تطور الشبكة، بدلاً من طلب إعادة تدريب كاملة. كما أشاروا إلى أنه في السيناريوهات التي يتم فيها مراقبة جهاز واحد فقط، يمتلك النظام معلومات أقل للعمل بها لأنه لا يستطيع رؤية سياق الشبكة الأوسع. ورغم هذه القيود، تظهر الدراسة خطوة كبيرة للأمام في كيفية حماية البنية التحتية الرقمية. فمن خلال توحيد دراسة الاتصالات المحلية والأنماط العالمية، يقدم نظام GraphIDS طريقة قوية ذاتية الإشراف للحفاظ على سلامة الشبكات، حيث يتعلم إيقاع الطبيعة ليتمكن من سماع نشاز المتسللين.