Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs
تقترح هذه الورقة طريقة مبتكرة للكشف عن التهديدات المستمرة المتقدمة تستفيد من التضمينات الدلالية المولدة بواسطة النماذج اللغوية الكبيرة لسجلات النظام التي تمت معالجتها بواسطة المشفر التلقائي، مما يظهر أداءً فائقاً على النماذج المرجعية التقليدية غير الخاضعة للإشراف على مجموعة بيانات DARPA Transparent Computing من خلال الالتقاط الفعال للقصد الدلالي لسلوكيات الهجوم المتخفية والبطيئة والمستمرة.
المؤلفون الأصليون:Waleed Khan Mohammed, Zahirul Arief Irfan Bin Shahrul Anuar, Mousa Sufian Mousa Mitani, Hezerul Abdul Karim, Nouar AlDahoul
تخيل مدينة ضخمة وصاخبة حيث تحدث ملايين الأشياء في كل ثانية: أشخاص يسيرون، سيارات تقود، أضواء تضاء وتطفأ، وأبواب تُفتح. في العالم الرقمي، هذه المدينة هي شبكة حاسوبية، و"الأشياء التي تحدث" هي سجلات النظام (System Logs). هذه السجلات هي كاميرات المراقبة وتقارير الشرطة للمدينة، حيث تسجل كل إجراء يتخذه برنامج ما.
المشكلة: "إبرة في كومة قش" تبدو مثل القش تماماً عادةً، تبحث أنظمة الأمان عن "الأشرار" من خلال رصد الأشياء الغريبة أو النادرة. لكن الأشرار في هذه القصة هم التهديدات المستمرة المتقدمة (APTs). فكر فيهم ليس كلص يقتحم بنكاً بصخب، بل كجاسوس محترف:
هم لا يقتحمون؛ بل يتسللون.
هم لا يركضون؛ بل يمشون ببطى وهدوء.
يستخدمون أدوات المدينة نفسها (مثل عامل نظافة يستخدم دلو ممسحة لإخفاء سلاح) للقيام بأعمالهم القذرة.
ولأن هؤلاء الجواسيس يتصرفون بشكل مشابه جداً للناس العاديين، فإن طرق الأمان القديمة (التي تكتفي فقط بعدّ عدد مرات ظهور الكلمات أو البحث عن غرابة إحصائية) غالباً ما تخطئهم. الأمر يشبه محاولة العثور على جاسوس في حشد من الناس عبر مجرد عدّ كم شخصاً يرتدي قبعة حمراء؛ فإذا كان الجاسوس يرتدي قبعة حمراء أيضاً، فستفقدونه.
الحل: "المترجم" و"مرآة الذاكرة" قام مؤلفو هذه الورقة البحثية ببناء نظام جديد يسمى MPNet-AE. وقد استخدموا أداتين رئيسيتين للإيقاع بهؤلاء الجواسيس:
المترجم (LLM/MPNet): بدلاً من النظر إلى أكواد الحاسوب الخام والفوضوية، يعمل النظام أولاً كمترجم. فهو يأخذ سجلات النظام الجافة والتقنية (مثلاً: "Process 1054 started /bin/bash") ويحولها إلى جمل باللغة الإنجليزية الطبيعية يمكن للإنسان قراءتها.
تشبيه: تخيل تحويل قائمة من مواد البقالة إلى قصة: "الشيف أمسك بسكين وبدأ بتقطيع البصل".
بعد ذلك، يستخدم النظام عقلاً ذكياً للغاية (يُسمى MPNet، وهو نوع من النماذج اللغوية الكبيرة) لفهم معنى تلك القصة. فهو ينشئ "بصمة دلالية" لكل إجراء، وهذه البصمة تلتقط النية من وراء الإجراء، وليس مجرد الكلمات.
مرآة الذاكرة (Autoencoder): بعد ذلك، يستخدم النظام نموذج تعلم آلي يسمى Autoencoder. فكر في هذا كطالب يدرس فقط "السلوك الجيد".
يُعرض على الطالب آلاف الأمثلة على الأنشطة الآمنة والطبيعية في المدينة (البيانات "السليمة").
يحاول الطالب حفظ هذه الأنماط بدقة تامة.
عندما يرى الطالب حدثاً جديداً، فإنه يحاول "إعادة بناء" (Reconstruct) هذا الحدث من ذاكرته.
الخدعة: إذا كان الحدث طبيعياً، يمكن للطالب إعادة بنائه بدقة. ولكن إذا كان الحدذا حدثاً لجاسوس يقوم بشيء مخادع (حتى لو بدا طبيعياً على السطح)، فسيصاب الطالب بالارتباك ويفشل في إعادة بنائه بدقة.
هذا "الفشل في إعادة البناء" هو جرس الإنذار. فكلما زاد الخطأ، زاد احتمال وجود جاسوس.
الاختبار: مسرح الجريمة الرقمي اختبر الباحثون هذا النظام باستخدام بيانات من مشروع DARPA Transparent Computing. هذا المشروع يشبه محاكاة ضخمة وواقعية لمدينة تتعرض للهجوم، تم إنشاؤها بواسطة "فرق حمراء" (هكرز أخلاقيين) لمعرفة ما إذا كان بإمكانهم الاختراق.
كانت البيانات فوضوية للغاية وغير متوازنة بشكل كبير: فمن بين ملايين الأفعال الطبيعية، لم تكن هناك سوى نسبة ضئيلة جداً (أقل من 0.004%) تمثل هجمات فعلية.
قارنوا نظامهم الجديد "المترجم + المرآة" ضد ثلاث طرق قديمة:
Isolation Forest: مثل محاولة العثور على إبرة عبر هز كومة القش.
OC-SVM: مثل رسم دائرة ضيقة حول الأشياء الطبيعية والقول بأن أي شيء خارجها هو شيء سيء.
PCA: مثل ضغط جسم ثلاثي الأبعاد إلى ثنائي الأبعاد لرؤية شكله.
النتائج فاز النظام الجديد بفارق ساحق.
نجح "المترجم": من خلال فهم معنى السجلات، استطاع النظام التمييز بين مسؤول نظام يعيد تعيين كلمة مرور (أمر طبيعي) وبين مخترق يقوم بنفس الفعل تماماً ولكن بنية خبيثة (أمر غير طبيعي).
أمسك "المرآة" بالجواسيس: حدد النظام الهجمات بدقة أعلى بكثير (مقاسة بمقياس يسمى AUC-ROC) مقارنة بالطرق القديمة.
لماذا فاز؟ الطرق القديمة كانت تنظر إلى بصمة الإصبع وتعدّ خطوطها؛ أما الطريقة الجديدة فقد نظرت إلى القصة التي ترويها تلك البصمة. حتى عندما حاول الجواسيس الاندماج، فإن "قصتهم" لم تتطابق مع "قصة" المدينة الطبيعية، فكشفهم النظام.
باختصار تظهر هذه الورقة أنه للإمساك بجاسوس محترف يختبئ في وضح النهار، لا يمكنك مجرد عدّ الأشياء؛ بل يجب عليك فهم القصة وراء الأفعال. من خلال ترجمة سجلات الحاسوب إلى لغة ذات معنى واستخدام "مرآة ذاكرة" لرصد القصص التي لا تتناسب مع السياق، يمكننا اكتشاف هذه الهجمات السيبرانية المتسللة وطويلة الأمد بشكل أفضل بكثير من ذي قبل.
ملخص تقني: الكشف عن التهديدات المتقدمة المستمرة (APT) القائم على الدلالات باستخدام المشفرات التلقائية (Autoencoders) على سجلات النظام المشفرة بواسطة النماذج اللغوية الكبيرة (LLM)
بيان المشكلة تمثل التهديدات المتقدمة المستمرة (APTs) تحديًا حرجًا في الأمن السيبراني نظرًا لطبيعتها المتخفية، وطويلة الأمد، ومنهجية "العمل ببطء وهدوء" (low-and-slow). غالبًا ما يستخدم المهاجمون تقنيات "العيش على موارد النظام" (living off the land)، عبر استغلال أدوات النظام المشروعة (مثل PowerShell وWMI) لدمج الأنشطة الخبيثة مع المهام الإدارية العادية. تعتمد طرق الكشف التقليدية، بما في ذلك الأساليب الإحصائية وتقنيات التعلم الآلي الضحلة مثل "غابة العزل" (Isolation Forest - IForest)، و"آلات ناقلات الدعم أحادية الفئة" (One-Class SVM)، و"تحليل المكونات الرئيسية" (PCA)، بشكل كبير على تكرار الرموز (tokens) أو الخصائص الإحصائية. تفشل هذه الأساليب "الضحلة" في التقاط القصد الدلالي والعلاقات السياقية داخل سجلات النظام. وبناءً على ذلك، فإنها تواجه صعوبة في التمييز بين الإجراءات الإدارية الحميدة والهجمات المتطورة عندما يكون الاحتمال الإحصائي لإدخالات السجل متشابهًا. علاوة على ذلك، فإن الحجم الهائل لسجلات النظام غير المنظمة يجعل التحليل اليدوي مستحيلاً، مما يستلزم كشفًا آليًا للأنماط الشاذة يفهم "المعنى" وراء البيانات بدلاً من مجرد تكرارها.
المنهجية: إطار عمل MPNet-AE يقترح البحث إطار عمل MPNet-AE، وهو إطار عمل غير خاضع للإشراف للكشف عن الشذوذ، يعمل على سد الفجوة بين سجلات النظام الخام والفهم الدلالي. تمر المنهجية عبر ثلاث مراحل رئيسية:
أصل البيانات والتحويل النصي: يستخدم إطار العمل مجموعة بيانات DARPA Transparent Computing (TC)، والتي تحتوي على آثار دقيقة للمصدر (تنفيذ العمليات، استدعاءات النظام، الوصول إلى الملفات، والاتصالات الشبكية). يتم تطبيع هذه السجلات الخام وتحويلها إلى أوصاف لغة طبيعية مهيكلة. على سبيل المثال، يتم تحويل سجل عملية إلى جملة مثل: "بدأت العملية 1054 تشغيل /bin/bash واتصلت بالمقبس 192.168.1.5:80 وغيرت الملف /etc/passwd." يلتقط هذا التحويل العلاقات السياقية (مثل روابط العمليات الأب-الابن، والتفاعلات الشبكية) التي تُفقد في تنسيقات السجلات الخام.
توليد التضمين الدلالي (Semantic Embedding): بدلاً من استخدام ميزات قائمة على الرموز التقليدية أو نسخ BERT السابقة، يستخدم النظام نموذج all-mpnet-base-v2 المدرب مسبقًا (المستند إلى بنية MPNet من مايكروسوفت). يقوم هذا النموذج، الذي يجمع بين نمذجة اللغة المقنعة (MLM) ونمذجة اللغة المتبادلة (PLM) مع الضبط الدقيق التبايني، بتشفير جمل اللغة الطبيعية الناتجة إلى متجهات دلالية كثيفة عالية الأبعاد (768 بُعدًا). تمثل هذه التضمينات الدلالات السلوكية عالية المستوى لأنشطة النظام بدلاً من مجرد الكلمات المفتاحية السطحية.
كشف الشذوذ عبر المشفر التلقائي (Autoencoder): يتم تغذية التضمينات الدلالية في مشفر تلقائي (AE) بسيط. يتم تدريب المشفر التلقائي حصريًا على التضمينات المستمدة من سلوكيات النظام الحميدة (الطبيعية). تتكون البنية من مشفر يضغط المدخلات ذات الـ 768 بُعدًا إلى مساحة كامنة مكونة من 128 بُعدًا، وفك تشفير يعيد بناء المدخلات الأصلية.
آلية الكشف: أثناء الاستدلال، يحسب النموذج خطأ إعادة البناء (متوسط مربع الخطأ - MSE) لكل عينة. نظرًا لأن المشفر التلقائي مدرب فقط على البيانات الطبيعية، فإنه يعيد بناء الأنماط الحميدة بخطأ منخفض. أما الأنشطة الخبيثة أو الشاذة، التي تمتلك هياكل دلالية مختلفة، فتؤدي إلى أخطاء إعادة بناء عالية. يتم تطبيق عتبة (threshold) على هذه الأخطاء لتصنيف العينات كأنماط شاذة.
المساهمات الرئيسية
إطار عمل مبتكر: يقترح المؤلفون انتقالًا من الكشف الإحصائي للشذوذ إلى الكشف الدلالي عبر دمج نماذج المحولات (Transformers) المدربة مسبقًا (تحديدًا MPNet) مع المشفرات التلقائية للكشف عن التهديدات المتقدمة المستمرة (APTs) بناءً على الاختلافات الدلالية بدلاً من التكرار.
التقييم المقارن: تقدم الدراسة تقييمًا مقارنًا صارمًا مقابل ثلاثة خطوط أساس (baselines) معروفة غير خاضعة للإشراف: غابة العزل (IForest)، وOC-SVM، وPCA.
استخدام مجموعة البيانات: يستفيد البحث من مجموعات بيانات مشروع DARPA TC (بما في ذلك سيناريوهات 5DIR، وCADETS، وCLEARSCOPE، وTHEIA، وTRACE)، وهي معايير مرجعية معترف بها تحتوي على سيناريوهات هجوم APT واقعية وعالية عدم التوازن تم إنشاؤها بواسطة فرق هجوم (Red Teams).
النتائج التجريبية تم تقييم إطار العمل على خمسة سياقات مصدر مختلفة (ProcessEvent، وProcessExec، وProcessParent، وProcessNetflow، وProcessAll) عبر أنظمة تشغيل متعددة (BSD، وWindows، وLinux، وAndroid).
مقاييس الأداء: تم قياس الأداء باستخدام المساحة تحت منحنى خصائص تشغيل المستقبِل (AUC-ROC)، وهو مقياس مناسب للبيانات شديدة الانحراف حيث تشكل الأحداث الخبيثة أقل من 0.004% من السجلات.
الميزة التنافسية: تفوق نهج MPNet-AE باستمرار على الخطوط الأساسية التقليدية (IForest، وOC-SVM، وPCA). وفي 11 حالة من أصل 23 حالة تجريبية، حقق النموذج درجات AUC أعلى من 0.95.
المتانة: أكدت عمليات التصور باستخدام t-SNE أن الأنشطة الطبيعية تشكل مجموعات متراصة بينما تظهر الأنماط الشاذة كنقاط معزولة في الفضاء الدلالي. أظهر النموذج متانة خاصة في السيناريوهات المعقدة والمشوشة (مثل TRACE ProcessNetflow) حيث عانت الطرق التقليدية مثل OC-SVM من انخفاض في الأداء.
التقارب: أشارت منحنيات التدريب إلى تقارب سريع مع حد أدنى من الإفراط في التخصيص (overfitting)، مما يؤكد قدرة النموذج على تعميم أنماط السلوك الطبيعي.
الأهمية والادعاءات يؤكد البحث أن دمج الفهم الدلالي مع نمذجة إعادة البناء يوفر ميزة حاسمة في الكشف عن التهديدات المتقدمة المستمرة (APT). من خلال التقاط القصد والسياق لأنشطة النظام، يمكن لإطار عمل MPNet-AE تحديد السلوكيات الهجومية الدقيقة وغير الخطية والمتخفية التي غالبًا ما تغفل عنها التقنيات التقليدية التي تعتمد على الخصائص الإحصائية. يدعي المؤلفون أن هذا النهج يعالج بفعالية قيود التعلم "الضحل" في مواجهة التهديدات المتطورة ومنخفضة التكرار.
تخلص الدراسة إلى أنه بينما يعد إطار العمل الحالي فعالاً، يجب أن يركز العمل المستقبلي على الضبط الدقيق للنماذج اللغوية خصيصًا لسجلات الأمن السيبراني، واستكشاف التبعيات الزمنية والقائمة على الرسوم البيانية (graph-based) للهجمات متعددة المراحل، ودمج آليات القابلية للتفسير (explainability) للنشر العملي في بيئات المؤسسات الحية.