🤖 machine learning

A Consensus-Bayesian Framework for Detecting Malicious Activity in Enterprise Directory Access Graphs

تقترح هذه الورقة إطار عمل بايزي قائماً على التوافق، يعمل على نمذجة الوصول إلى دليل المؤسسة كرسم بياني للتفاعلات متعدد المستويات للكشف عن الأنشطة الضارة من خلال تحديد الاضطرابات المنطقية في المكونات المتصلة بقوة عبر ديناميكيات الرأي وتصنيف الشذوذ المتطور زمنياً.

المؤلفون الأصليون: Pratyush Uppuluri, Shilpa Noushad, Sajan Kumar

نُشر 2026-03-05

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Pratyush Uppuluri, Shilpa Noushad, Sajan Kumar

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل مبنى مكاتب ضخمًا يعج بالحركة (المؤسسة)، حيث يتحرك آلاف الموظفين (المستخدمين) باستمرار بين غرف مختلفة، وخزائن ملفات، وخزائن رقمية (الأدلة).

في الحالة الطبيعية، يلتزم الناس بفرقهم الخاصة. فريق التسويق يتواجد في غرفة التسويق؛ والمهندسون يبقون في مختبر الهندسة. إنهم يعرفون من يثقون به، ومع من يعملون، وما هي الملفات التي يتعاملون معها عادةً. هذا هو "التدفق الطبيعي" داخل المبنى.

ولكن ماذا يحدث عندما يتسلل جاسوس (فاعل ضار)؟ أو عندما يرتبك موظف ويبدأ في التجول في غرف لم يدخلها من قبل؟ حراس الأمن التقليديون ينظرون فقط إلى بطاقات الهوية (التشفير) أو يفحصون السجلات بعد وقوع الجريمة (التحقيق الجنائي). تقترح هذه الورقة طريقة أذكى: "شبكة إشاعات" ترصد المشاكل قبل انتشارها.

إليك كيف يعمل نظام المؤلفين، مقسماً إلى مفاهيم بسيطة:

1. خريطة "الإشاعات" (ديناميكيات الرأي)

تخيل أن لكل موظف "رأياً" حول ما يجب عليه فعله.

الحالة الطبيعية: في الفريق الصحي، يتفق الجميع على الخطة. إذا قرر فريق التسويق العمل على مشروع معين، فإنهم جميعاً يتحركون في تناغم. "آراؤهم" تتقارب.
الرسم البياني (الغراف): يرسم النظام خريطة توضح من يؤثر في من. إذا كانت "أليس" عادةً تطلب المساعدة من "بوب"، فهناك خط يربط بينهما. إذا توقف "بوب" فجأة عن الاستماع إلى "أليس" وبدأ يستمع إلى شخص غريب، فإن الخريطة تتغير.

2. "دوائر الثقة" (المكونات المتصلة بقوة)

يقوم النظام بتجميع الناس في دوائر مترابطة وثيقة (تسمى SCCs).

الدوائر المغلقة: هذه هي الفرق التي تتحدث مع بعضها البعض فقط. لديها قواعدها الداخلية الخاصة. إذا اتفقوا جميعاً، فهم مستقرون.
الدوائر المفتوحة: هذه هي الفرق التي تأخذ النصيحة من الخارج.
القاعدة: طالما أن الجميع داخل الدائرة يتبعون نفس "المنطق" (مثلاً: "نحن نفتح فقط الملفات من الخادم")، تظل المجموعة هادئة ومستقرة.

3. "المبلغ عن المخالفات" (رصد الشذوذ)

يحدث السحر عندما يكسر شخص ما القواعد.

السيناريو: تخيل أن مخترقاً (أو موظفاً مرتبكاً) بدأ في الوصول إلى ملفات لا ينبغي له الوصول إليها. فجأة، المستخدم (أ) الذي كان عادةً يتحدث فقط مع المستخدم (ب)، بدأ يتلقى أوامر من المستخدم (ز) (شخص غريب في قسم آخر).
التحول: هذا يغير "المنطق" الخاص بالمجموعة. اتفاق المجموعة الداخلي ينكسر. بدلاً من أن يتحرك الجميع في تناغم، يبدأون في الجدال أو التحرك في اتجاهات مختلفة.
الإشارة: يقيس النظام التباين (Variance). فكر في هذا كـ "مستوى الضجيج" في الغرفة.
- طبيعي: ضجيج منخفض. الجميع يغني نفس اللحن.
- شذوذ: ضجيج مرتفع. شخص ما يصرخ بأغنية مختلفة. يرى النظام هذا الارتفاع في "الضجيج" (التباين) ويعرف أن هناك خطباً ما.

4. "المحقق الذكي" (التقييم البايزي)

النظام لا يصرخ "إنذار!" بمجرد سماع ضجيج. إنه يعمل كمحقق ذكي يستخدم المنطق البايزي (Bayesian Logic) (وهي طريقة لتحديث المعتقدات بناءً على أدلة جديدة).

الافتراض المسبق: يبدأ المحقق بحدس: "من المرجح أن الوضع آمن، لكنني أراقب". (احتمالية منخفضة لوجود جريمة).
الدليل: في كل مرة يزداد فيها "الضجيج" (التباين)، يقوم المحقق بتحديث حدسه.
- ضجيج صغير: "ربداً مجرد سوء تفاهم". (الاحتمالية ترتفع قليلاً).
- ضجيج عالٍ ومستمر: "حسناً، هذا بالتأكيد اقتحام!". (الاحتمالية تقفز إلى 99%).
النتيجة: يعطي النظام درجة من 0 إلى 100%. إذا أصبحت الدرجة عالية جداً، فإنه يصنف المستخدم على أنه ضار.

5. لماذا هذا أفضل من الطرق القديمة؟

الطريقة القديمة: "لقد وصلت إلى ملف لم تلمسه من قبل. اعتقلك!" (الكثير من الإنذارات الكاذبة؛ فالناس يغيرون وظائفهم ويحتاجون لملفات جديدة).
هذه الطريقة: "لقد وصلت إلى ملف جديد، ولكنك أيضاً توقفت عن الاستماع إلى فريقك، وبدأت تستمع إلى غريب، وفريقك بأكمله الآن مرتبك. هذا أمر مثير للريبة."
إنها تنظر إلى العلاقات، وليس فقط إلى الفعل المنفرد. إنها تفهم أن تحرك الفريق معاً أمر طبيعي، لكن تفكك الفريق بسبب شخص واحد هو علامة خطر.

الصورة الكبيرة

تبني هذه الورقة جهاز مناعة رقمي للشركات. بدلاً من مجرد التحقق مما إذا كان المفتاح يناسب القفل، فإنه يراقب كيف تتفاعل "الخلايا" (المستخدمين). إذا بدأت خلية في التصرف بغرابة وإصابة جيرانها، فإن النظام يكتشف "العدوى" (النشاط الضار) فوراً من خلال قياس مدى اختلال انسجام المجموعة.

باخت تختصر: إنها تحول الضجيج الفوضوي لمكتب مزدحم إلى إشارة واضحة، وتكتشف الأشرار من خلال الطريقة التي يعطلون بها إيقاع الفريق.

ملخص تقني لورقة بحثية بعنوان: "إطار عمل توافقي-بايزي للكشف عن الأنشطة الخبيثة في رسوم الوصول البيانية للمجلدات المؤسسية"

1. بيان المشكلة

أصبحت التهديدات الأمنية المؤسسية، وخاصة التهديدات الداخلية والأنماط السلوكية الشاذة، أكثر تعقيداً بشكل متزايد. غالباً ما تعتمد تحليلات سلوك المستخدم والكيان (UEBA) التقليدية على خطوط أساس ثابتة أو بيانات تاريخية، مما يتطلب إعادة تدريب متكررة مع تغير سلوكيات المستخدمين. علاوة على ذلك، تفشل الطرق الحالية غالباً في الاستفادة الكاملة من الهيكل الهرمي متعدد المستويات للعلاقات بين المستخدم والمجلدات (مثل الفرق التي تصل إلى مستودعات مشتركة).

التحدي الجوهري هو تطوير نموذج كشف تكيفي يمكنه:

نمذجة التبعيات المنطقية بين المستخدمين والمجلدات كرسم بياني ديناميكي.
الكشف عن الانحرافات عن سلوك التوافق الطبيعي دون الاعتماد فقط على عتبات ثابتة.
تحديد كمية عدم اليقين في الوقت الفعلي للتمييز بين التحولات السلوكية الحميدة (مثل تغيير الأدوار) والاضطرابات المنطقية الخبيثة.

2. المنهجية

يقترح المؤلفون إطار عمل توافقي-بايزي (Consensus-Bayesian Framework) يدمج نظرية ديناميكيات الرأي (Opinion Dynamics) مع الاستدلال البايزي (Bayesian Inference) لنمذجة واكتشاف الشذوذ في رسوم الوصول البيانية للمؤسسات.

أ. نمذجة الرسم البياني (Graph Modeling)

يصنف النظام البيئة المؤسسية كـ رسم بياني تفاعلي متعدد المستويات $G(W, C)$ :

رسم تشابه المجلدات ( $G[W]$ ): مصفوفة $W$ ذات احتمالية صفية (row-stochastic) تلتقط التشابه القائم على المحتوى أو السلوك بين المجلدات (المواضيع).
رسوم تبعية المستخدم ( $G[C_i]$ ): لكل مجلد $D_i$ $D_{i}$ ، تقوم المصفوفة $C_i$ $C_{i}$ بترميز التبعيات المنطقية بين المستخدمين.
- يتم تجميع المستخدمين في مكونات متصلة بقوة (SCCs)، والتي تمثل مجموعات طبيعية مثل فرق التطوير.
- تُصنف هذه المكونات (SCCs) إلى مغلقة (تأثير داخلي فقط) أو مفتوحة (تستقبل تأثيراً خارجياً).
- يتم تحديث المصفوفة $C_i$ ديناميكياً بناءً على أنماط الوصول المرصودة (تكرار القراءة/الكتابة).

ب. صياغة ديناميكيات الرأي

يكيف الإطار نظريات التوافق من الأدبيات (تحديداً Ye et al. [9]) لنمذجة كيفية تطور "آراء" المستخدمين (سلوكيات الوصول):

شروط التقارب: في ظل الظروف المستقرة، تتقارب الآراء داخل المكونات المتصلة بقوة المغلقة (closed SCCs) نحو حالة مستقرة.
محفزات التباعد: يتم نمذجة الشذوذ كـ اضطرابات منطقية (على سبيل المثال، مستخدم يصل فجأة إلى مجلد ليس له تبعية منطقية تجاهه، أو يغير أوزان تبعيته الذاتية).
النظريات المطبقة:
- النظرية 2/3: تتنبأ بالتقارب للمكونات المتصلة بقوة المغلقة أو المواضيع الفردية.
- النظرية 4: تتعامل مع المكونات المتصلة بقوة المفتوحة ذات التبعيات الخارجية.
- أنماط الفشل: إذا تغير الهيكل المنطي (على سبيل المثال، تختلف مصفوفات $C_i$ عبر الوكلاء في مكون واحد)، أو كانت المدخلات الخارجية غير متسقة، فإن النظام يتباعد ويفشل في تحقيق التوافق.

ج. آلية كشف الشذوذ

يعمل مسار الكشف عبر ثلاث مراحل:

تفكيك المكونات المتصلة بقوة (SCC Decomposition): يقوم النظام بتفكيك مصفوفات المنطق بشكل متكرر إلى مكونات (SCCs) ويخصص النظريات القابلة للتطبيق بناءً على هياكل التبعية.
التباين كإشارة: يراقب النظام تباين الرأي المقيّس ( $\Delta v$ $Δ v$ ) عبر الوكلاء.
- التشغيل الطبيعي: تباين منخفض ومستقر.
- الشذوذ: ارتفاع مفاجئ في التباين يشير إلى عدم اتفاق هيكلي أو عدم اتساق منطقي.
التسجيل البايزي (Bayesian Scoring): لتحديد كمية عدم اليقين، تقوم آلية التحديث البايزي بحساب درجة الشذوذ $\pi_t$ $π_{t}$ :
$\pi_t = \frac{L \cdot \pi_{t-1}}{L \cdot \pi_{t-1} + (1-L)(1-\pi_{t-1})}$
- الأرجحية (Likelihood - $L$ ): مشتقة من الخرائط الأسية لتحول التباين ( $\Delta v$ ).
- الاحتمال القبلي (Prior - $\pi_{t-1}$ ): يمكن أن يكون ثابتاً (Static) أو متصلاً عبر الإنترنت (Online - يتم تحديثه تكرارياً مع الاحتمال اللاحق)، مما يسمح للنظام بأن يصبح أكثر حساسية للتباعد التراكمي بمرور الوقت.

3. المساهمات الرئيسية

إطار عمل مبتكر: أول من يربط بين ديناميكيات الرأي (المستخدمة عادة في الشبكات الاجتماعية) وبين تحليلات سلوك المستخدم والكيان (UEBA) للأمن السحابي، حيث يتم التعامل مع المجلدات كـ "مواضيع" والمستخدمين كـ "وكلاء".
ضمانات نظرية: يستخدم نظريات التقارب الرسمية لتحديد الحالة "الطبيعية" للنظام، مما يجعل اكتشاف الشذوذ مسألة اكتشاف فشل التوافق بدلاً من مجرد اكتشاف القيم المتطرفة إحصائياً.
تسجيل بايزي تكيفي: يقدم آلية تسجيل تتطور بمرور الوقت، مما يميز بين الضوضاء العابرة والتحولات الهيكلية الخبيثة المستمرة.
تحليل الرسم البياني متعدد المستويات: ينمذج صراحةً التسلسل الهرمي لتفاعلات المستخدم والمجلد، ملتقطاً التبعيات المحلية (مستخدم-إلى-مستخدم) والعالمية (مجلد-إلى-مجلد).

4. النتائج التجريبية

تحقق المؤلفون من صحة الإطار باستخدام محاكاة اصطناعية:

التحقق: نجح في إعادة إنتاج نتائج ورقة بحثية تأسيسية حول ديناميكيات الرأي [10]، مما أكد صحة منطق التقارب والتباعد.
حقن الشذوذ: تمت محاكاة هجوم عند الزمن $T=5$ $T = 5$ حيث بدأ المستخدمون في أحد المكونات (D1–D3) في التأثير على مستخدمين في مكون منفصل (D4–D5) بأوزان قابلة للضبط.
- الملاحظة: مع زيادة وزن التأثير ( $w_t$ )، ارتفع تباين الرأي في النظام، وارتفعت درجة الشذوذ البايزي.
- الاحتمالات القبلية الثابتة مقابل المتصلة: نهج الاحتمال القبلي المتصل (Online Prior) اكتشف الشذوذ في وقت أبكر واستجاب بقوة أكبر للاضطرابات ذات الوزن المنخفض مقارنة بـ الاحتمال القبلي الثابت (Static Prior)، الذي مال إلى التشبع مبكراً.
المتانة: أظهر النظام حساسية عالية لعدم الاتساق المنطقي (تغييرات في مصفوفات $C_i$ ) حتى عندما ظل الهيكل الطوبولوجي للرسم البياني متشابهاً بصرياً.

5. الأهمية والعمل المستقبلي

الأهمية:
ينتقل هذا العمل إلى ما وراء الخطوط الأساسية الثابتة من خلال توفير طريقة استباقية ومؤسسة نظرياً للكشف عن التهديدات الداخلية. من خلال صياغة الشذوذ الأمني كـ "فشل في التوافق" في شبكة منطقية، فإنه يقدم وسيلة قوية لاكتشاف الانحرافات السلوكية الدقيقة التي قد تغفل عنها نماذج تعلم الآلة التقليدية. وتضيف المكونة البايزية طبقة حاسمة من تحديد كمية عدم اليقين، وهو أمر ضروري لتقليل الإيجابيات الكاذبة في البيئات المؤسسية الديناميكية.

التحديات والخطوات التالية:

القابلية للتوسع: العمليات الحالية القائمة على المصفوفات مكثفة حوسبياً بالنسبة لآلاف المستخدمين؛ ويتطلب العمل المستقبلي التحسين (مثل التحديثات الكسولة أو المعالجة الموزعة).
الإيجابيات الكاذبة: لا يزال تحقيق التوازن بين الحساسية للشذوذ والقدرة على تحمل التغييرات المشروعة في الأدوار (مثل الانتقال بين الفرق) يمثل تحدياً.
التكامل: تشمل الخطط المستقبلية دمج السياق التنظيمي (الأدوار، مستويات الحساسية)، وتطوير أدوات القابلية للتفسير (تتبع مصادر الشذوذ)، وتعبئة إطار العمل كإضافة لأنظمة SIEM/UEBA.

في الختام، تقدم الورقة نهجاً رياضياً صارماً لأمن المؤسسات، حيث تحول سجلات الوصول إلى شبكة رأي ديناميكية يتم فيها اكتشاف النشاط الخبيث كانهيار جوهري في التوافق المنطقي.