💻 computer science

Carbon-Aware Intrusion Detection: A Comparative Study of Supervised and Unsupervised DRL for Sustainable IoT Edge Gateways

تقترح هذه الورقة وتقيم نظامي كشف تسلل جديدين قائمين على التعلم التعزيزي العميق، وهما DeepEdgeIDS وAutoDRL-IDS، واللذان يدمجان صياغات مكافأة متعددة الأهداف واعية بالكربون لتحقيق دقة كشف عالية وكفاءة في استهلاك الطاقة للتخفيف من هجمات حجب الخدمة الموزعة (DDoS) على بوابات الحافة لإنترنت الأشياء محدودة الموارد.

المؤلفون الأصليون: Saeid Jamshidi, Foutse Khomh, Kawser Wazed Nafi, Amin Nikanjam, Samira Keivanpour, Omar Abdul-Wahab, Martine Bellaiche

نُشر 2026-05-21

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Saeid Jamshidi, Foutse Khomh, Kawser Wazed Nafi, Amin Nikanjam, Samira Keivanpour, Omar Abdul-Wahab, Martine Bellaiche

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: حماية "المدينة الذكية" دون حرق الكوكب

تخيل إنترنت الأشياء (IoT) كمدينة ضخمة وصاخبة حيث تتواصل مليارات الأجهزة الذكية (مثل أجهزة تنظيم الحرارة، والكامات، والمستشعرات) مع بعضها البعض باستمرار. هذه المدينة لديها حارس أمن عند مدخل كل حي، يُسمى بوابة الحافة (Edge Gateway).

تتناول الورقة مشكلتين رئيسيتين في هؤلاء الحراس:

أنهم جامدون للغاية: الحراس التقليديون يتعرفون فقط على المجرمين الذين رأوهم من قبل (مثل "ملصق مطلوب"). إذا ظهر مجرم يرتدي قناعاً جديداً (هجوم "اليوم الصفر" أو zero-day)، فإن الحارس سيفشل في رصده.
أنهم ثقيلون للغاية: يحاول الحراس أن يكونوا أذكياء لدرجة أنهم يستنزفون البطاريات ويخلقون بصمة كربونية ضخمة، وهو أمر سيء للبيئة.

يقترح المؤلفون نوعين جديدين من "الحراس الخارقين" بناءً على التعلم التعزيزي العميق (DRL). فكر في الـ DRL كحارس لا يكتفي بحفظ كتاب القواعد فحسب، بل يتعلم من خلال الفعل والتجربة في العالم، ويتحسن باستمرار في اكتشاف المشاكل.

الحارسان الجديدان: DeepEdgeIDS و AutoDRL-IDS

تقدم الورقة نهجين مختلفين لتدريب هؤلاء الحراس.

1. DeepEdgeIDS: "المحقق الحدسي" (غير مُوجّه/Unsupervised)

كيف يعمل: تخيل محققاً لم يسبق له رؤية مجرم من قبل. بدلاً من النظر إلى ملصق "مطلوب"، يتعلم هذا المحقق كيف يبدو "الوضع الطبيعي" من خلال مراقبة المدينة لفترة من الوقت. إنه يبني نموذجاً ذهنياً لما هو "طبيعي".
الخدعة: عندما يحدث شيء غريب (مثل تدفق مفاجئ للناس يركضون في اتجاه واحد)، لا يحتاج المحقق إلى تسمية تقول "هذا شغب". هو فقط يعرف: "مهلاً، هذا لا يتناسب مع النمط المعتاد!" فيقوم برصده فوراً.
القوة الخارقة: ولأنهم لا يحتاجون إلى قائمة مكتوبة مسبقاً للجرائم، فهم بارعون للغاية في اصطياد الهجمات الجديدة وغير المعروفة (تهديدات اليوم الصفر).
التكلفة: لكي يظل بهذا الذكاء، يقوم هذا المحقق بإعادة تقييم الموقف باستمرار، مما يستهلك المزيد من الطاقة وقوة المعالجة (CPU).

2. AutoDRL-IDS: "الشرطي المخضرم" (مُوجّه/Supervised)

كيف يعمل: تم تدريب هذا الحارس على مكتبة ضخمة من القضايا السابقة التي كانت نتيجتها معروفة بالفعل (بيانات مصنفة/Labeled data). إنه مثل شرطي مخضرم درس آلاف الملصقات لـ "مطلوبين" ويعرف تماماً كيف يبدو لص البنوك.
الخدة: يستخدم أداة ذاكرة محددة (LSTM) لتذكر تسلسل الأحداث. إذا رأى نمطاً يطابق جريمة معروفة، فإنه يتحرك بسرعة.
القوة الخارقة: هم فعالون للغاية ومستقرون. بمجرد معرفة القواعد، لا يحتاجون للتفكير بعمق، لذا يوفرون الطاقة ويعملون بهدوء أكبر.
نقطة الضعف: إذا استخدم مجرم طريقة جديدة تماماً ليست موجودة في مكتبتهم، فقد يفتقدونها أو يستغرقون وقتاً أطول في اكتشافها.

اللمسة "الواعية بالكربون": نظام المكافآت الصديق للبيئة

عادةً، تهتم الأنظمة الأمنية بشيء واحد فقط: "هل أمسكت بالمجرم؟"

أضافت هذه الورقة قاعدة جديدة للعبة. الحراس الآن لا يُكافأون فقط على صيد المجرمين، بل أيضاً على مدى كفاءة قيامهم بذلك.

لوحة النتائج: في كل مرة يتخذ فيها الحارس قراراً، يحصل على نقاط لصيد التهديد، لكنه يخسر نقاطاً إذا:
- استغرق وقتاً ط quá (زمن الاستجابة/Latency).
- استخدم ذاكرة كبيرة (RAM).
- استهلك الكثير من الكهرباء (الطاقة).
- نتج عنه الكثير من التلوث الكربوني.

تخيل الأمر كأنها لعبة فيديو تحصل فيها على "نجمة ذهبية" للفوز، ولكن إذا استخدمت الكثير من أدوات القوة (Power-ups)، فستحصل بدلاً من ذلك على "نجمة برونزية". يجبر هذا النظام الذكاء الاصطناعي على إيجاد أذكى وأكثر الطرق خضرة لإيقاف الهجوم.

النتائج: من فاز في السباق؟

اختبر الباحثون كلا الحارسين في "مدينة" حقيقية (منصة اختبار فيزيائية مع أجهزة توجيه وأجهزة حقيقية) تحت الهجوم.

1. صيد الأشرار (الدقة):

المحقق الحدسي (DeepEdgeIDS) فاز. لقد اصطاد 98% من الهجمات، بما في ذلك الهجمات الجديدة والمراوغة. كان أسرع في الاستجابة لأنه لم يكن مضطراً للتحقق من مكتبة بيانات؛ بل شعر ببساطة بـ "غرابة" حركة البيانات.
الشرطي المخضرم (AutoDRO-IDS) أدى بشكل جيد أيضاً، حيث اصطاد 94%، لكنه كان أبطأ قليلاً في التكيف مع الحيل الجديدة تماماً.

2. فاتورة الطاقة (الاستدامة):

الشرطي المخضرم (AutoDRL-IDS) كان الفائز هنا. نظرًا لاعتماده على قواعده المتعلمة مسبقاً، فقد استهلك كهرباء أقل وأنتج كربوناً أقل. كان هو الخيار "الأخضر" للبيئات المستقرة.
المحقق الحدسي (DeepEdgeIDS) استهلك طاقة أكثر. كان عليه أن "يفكر" ويحدث عقله باستمرار في الوقت الفعلي ليبقى متيقظاً. ومع ذلك، تجادل الورقة بأن هذه الطاقة الإضافية تستحق العناء مقابل الأمان الإضافي الذي يوفره ضد التهديدات غير المعروفة.

3. السرعة:

DeepEdgeIDS كان أسرع في اتخاذ القرارات (زمن استجابة أقل) لأنه لم يكن مضطراً لمعالجة تسلسلات طويلة من التاريخ لاتخاذ قرار. لقد استجاب فوراً لـ "غرابة" الموقف.

الخلاصة

تخلص الورقة إلى أنه لا يوجد حارس "مثالي" واحد. الأمر يعتمد على ما تحتاجه:

إذا كنت تحتاج إلى أقصى درجات الأمان ضد التهديدات المتطورة وغير المعروفة ويمكنك تحمل القليل من الطاقة الإضافية، فاختر DeepEdgeIDS (المحقق الحدسي).
إذا كنت تحتاج إلى أقصى درجات الكفاءة وكانت تهديداتك معظمها معروفة، فاختر AutoDRL-IDS (الشرطي المخضرم).

يثبت كلا النظامين أنه يمكننا بناء أمن ذكي لإنترنت الأشياء لا يكون فعالاً فحسب، بل يهتم أيضاً بالبيئة من خلال الحفاظ على مستويات استخدام الطاقة وانبعاثات الكربون تحت السيطرة.

ملخص تقني: كشف التسلل الواعي بالكربون للبوابات الطرفية لإنترنت الأشياء المستدامة

بيان المشكلة
أدى التوسع السريع لإنترنت الأشياء (IoT) إلى تكثيف التحديات السيبرانية، لا سيما فيما يتعلق بهجمات حجب الخدمة الموزعة (DDoS) عند حافة الشبكة. تواجه أنظمة كشف التسلل (IDS) التقليدية قيوداً حرجة: فهي تعاني في مواجهة هجمات "اليوم صفر" (zero-day) بسبب الاعتماد على التواقيع الثابتة، وغالباً ما تنتج معدلات عالية من الإنذارات الكاذبة في النماذج القائمة على كشف الشذوذ. علاوة على ذلك، تفتقر نماذج التعلم التعزيزي العميق (DRL) الحالية المستخدمة في أنظمة كشف التسلل إلى القدرة على التكيف مع حركة المرور الديناميكية، كما أنها تتجاهل عوامل الاستدامة؛ فهي لا تأخذ في الاعتبار كفاءة الطاقة والبصمة الكربونية لعمليات التعلم العميق، وهو أمر يزداد أهمية في بوابات إنترنت الأشياء الطرفية واسعة النطاق والمحدودة الموارد. هناك فجوة بحثية في معالجة التحدي المزدوج المتمثل في القدرة على التكيف (كشف التهديدات المتطورة) والاستدامة (تقليل الأثر البيئي) في آن واحد.

المنهجية
تقترح الورقة البحثية بنيتين مختلفتين لأنظمة كشف التسلل القائمة على التعلم التعزيزي العميق (DRL)، مصممتين للبوابات الطرفية، وكلاهما يتضمن صياغة مكافأة "واعية بالكربون" متعددة الأهداف تعمل على تحسين أداء الكشف، وزمن الاستجابة (latency)، واستخدام الذاكرة، وهدر الطاقة، والانبعاثات الكربونية المقدرة بشكل مشترك.

نظام DeepEdgeIDS (هجين غير خاضع للإشراف بين AE و DRL):

البنية: يدمج مشفر تلقائي (Autoencoder - AE) لاستخراج الميزات غير الخاضعة للإشراف مع شبكة Q العميقة (DQN) للتخفيف التكيفي.
الآلية: يتعلم المشفر التلقائي (AE) التمثيلات المضغوطة لحركة المرور الحميدة. يتم اكتشاف الشذوذ عبر خطأ إعادة البناء ( $A_s$ ). هذا الخطأ، جنباً إلى جنب مع إحصائيات حركة المرور (معدل الحزم، عدادات SYN/ACK)، يشكل متجه الحالة لوكيل DQN.
نموذج التعلم: يعمل في بيئة عبر الإنترنت (online) خالية من التصنيفات (label-free)، حيث لا يتطلب تصنيفات حقيقية لتعلم السياسة في الوقت الفعلي.
دالة المكافأة: تستخدم إشارات التغذية الراجعة المتاحة أثناء النشر، بما في ذلك ثقة الشذوذ (المستمدة من خطأ إعادة البناء) واستقرار حركة المرور بعد التخفيف، بدلاً من المقاييس المعتمدة على البيانات الحقيقية مثل معدل الكشف أو معدل الإنذارات الكاذبة.
الأساس النظري: ثبت تقاربه عبر خاصية انكماش بلمان (Bellman contraction) تحت مكافآت محدودة. يتم ضمان الاستقرار من خلال تحليل ليابونوف (Lyapunov analysis)، مما يضمن الاستقرار التقاربي تحت قيود الطاقة والكربون المحدودة.

نظام AutoDRL-IDS (نموذج LSTM-DRL خاضع للإشراف):

البنية: يعزز مفهوم DeepEdgeIDS بشبكة ذاكرة طويلة قصيرة المدى (LSTM) لالتقاط التبعيات الزمنية في أنماقات حركة المرور، مقترنة بوكيل DQN.
الآلية: يستفيد من البيانات المصنفة أثناء التدريب الخاضع للإشراف (offline) لتحسين سياسات الكشف.
نموذج التعلم: يربط بين التدريب الخاضع للإشراف (offline) وبين التكيف مع السياسة عبر الإنترنت (online).
دالة المكافأة: تتضمن مقاييس تعتمد على البيانات الحقيقية (معدل الكشف ومعدل الإنذارات الكاذبة) خلال مرحلة التدريب الخاضع للإشراف، جنباً إلى جنب مع عقوبات الاستدامة (الطاقة، الكربون، زمن الاستجابة).
الأساس النظري: تمت صياغته كمشكلة تحكم عشوائي مقيدة باستخدام مضاعفات لاغرانج للتعامل مع قيود الطاقة والذاكرة. تم إثبات التقارب عبر شروط كوش-كون-تاكر (KKT) وتقريب روبينز-مونرو العشوائي.

المساهمات الرئيسية

تصميم ثنائي النماذج: تقديم حلين متميزين لكشف التسلل القائم على DRL: نموذج LSTM-DRL خاضع للإشراف (AutoDRL-IDS) لتحقيق الدقة في السيناريوهات المهيكلة، وهجين AE-DRL غير خاضع للإشراف (DeepEdgeIDS) للكشف عن الشذوذ بدون تصنيفات.
التحسين الواعي بالكربون: الدمج الصريح للانبعاثات الكربونية واستهلاك الطاقة كمتغيرات تغذية راجعة مستمرة ضمن دالة مكافأة DRL، مما يسمح باتخاذ قرارات واعية بالاستدامة.
التحقق من الواقع العملي: نشر وتقييم كلا النموذجين على بوابات طرفية فعلية (Raspberry Pi 4) أثناء هجمات DDoS حية، مما يوفر أول مقارنة معيارية واعية بالكربون لأنظمة كشف التسلل القائمة على DRL عند الحافة.
الدقة النظرية والإحصائية: إثبات تقارب DeepEdgeIDS عبر انكماش بلمان وتحليل استقرار ليابونوف، مكملاً باختبار تحليل التباين (ANOVA) للتحقق إحصائياً من فروق الأداء عبر مقاييس متعددة.

النتائج التجريبية
تم تقييم النماذج باستخدام مجموعة بيانات Bot-IoT ومنصة اختبار فيزيائية تشمل أجهزة ESP32 وبوابات Raspberry Pi 4 تحت سيناريوهات هجمات DDoS مختلفة، بما في ذلك محاكاة هجمات "اليوم صفر".

دقة الكشف: حقق DeepEdgeIDS دقة بنسبة 98.0% (في التقييم غير المتصل) و97.6% في الاستدعاء (recall)، متفوقاً على AutoDRL-IDS الذي حقق 94.0% دقة. أظهر DeepEdgeIDS قدرة فائقة على التكيف مع هجمات اليوم صفر وطفرات حركة المرور العابرة.
زمن الاستجابة والكمون (Latency): أظهر DeepEdgeIDS زمن استجابة أقل وأوقات استجابة أسرع (استقر خلال 0.65 ثانية من بدء الهجوم) مقارنة بـ AutoDRL-IDS. أكدت نتائج ANOVA أن DeepEdgeIDS تفوق بشكل كبير على AutoDRL-IDS في كفاءة زمن الاستجابة ( $p < 0.05$ ).
كفاءة الموارد:
- الطاقة والكربون: أظهر AutoDRL-IDS كفاءة أعلى في الطاقة وانبعاثات كربونية أقل، محافظاً على ملف مستقر مناسب للأجهزة محدودة الموارد. بينما تحمل DeepEdgeIDS عبئاً إجمالياً أعلى في المعالجة المركزية (CPU)، والطاقة، والكربون بسبب التكيف المستمر عبر الإنترنت واستخراج الميزات.
- المعالج والذاكرة: حافظ AutoDRL-IDS على استخدام أقل للمعالج (حوالي 25% مقابل حوالي 35% لـ DeepEdgeIDS). لم تكن الاختلافات في استخدام الذاكرة ذات دلالة إحصائية، حيث ظل كلا النموذجين ضمن الحدود المقبولة للبوابات الطرفية.
الدلالة الإحصائية: أكدت اختبارات ANOVA أن تفوق DeepEdgeIDS في احتمالية الكشف وزمن الاستجابة كان ذا دلالة إحصائية، بينما لم تكن الاختلافات في زمن الاستجابة كذلك. أشارت قيمة التأثير (effect size) إلى أن بنية النموذج كانت عاملاً مهماً في فعالية الكشف.

الأهمية والادعاءات
تدعي الورقة أنها أرست معياراً جديداً للأمن السيبراني المستدام من خلال إثبات إمكانية تحسين أنظمة كشف التسلل القائمة على DRL ليس فقط من حيث الدقة، بل أيضاً من حيث الأثر البيئي. وتبرز الدراسة مقايضة جوهرية: يقدم DeepEdgeIDS قدرة فائقة على التكيف، واستجابة أسرع لتهديدات اليوم صفر، ودقة كشف أعلى على حساب استهلاك أعلى للطاقة والكربون. وفي المقابل، يوفر AutoDRL-IDS حلاً أكثر كفاءة في الطاقة، واستقراراً، وقابلية للتنبؤ، وهو مناسب للبيئات محدودة الموارد حيث تتوفر البيانات المصنفة للتدريب.

يؤكد المؤلفون أن عملهم يسد فجوة حرجة من خلال الانتقال لما وراء دقة الك विशة الصرفة ليشمل الاستدامة كهدف تحسين أساسي. ويخلصون إلى أن هذه البنى تساهم في تطوير أطر أمنية ذاتية التكيف ومستدامة للأنظمة البيئية لإنترنت الأشياء من الجيل القادم، مما يوفر أساساً عملياً للموازنة بين الدقة، وكفاءة الموارد، والمتانة في الشبكات الطرفية الديناميكية.