💻 computer science

The Needle is a Thread: Finding Planted Paths in Noisy Process Trees

مدفوعاً بتطبيقات الأمن السيبراني، تقدم هذه الورقة مشكلة "المسار المزروع" وتقترح خوارزمية لإيجاد التطابقات الضبابية بين الأشجار، مما يثبت فعاليتها في تحديد تسلسلات الأحداث ذات المعنى ضمن بيانات العمليات المشوبة بالضجيج.

المؤلفون الأصليون: Maya Le, Paweł Prałat, Aaron Smith, François Théberge

نُشر 2026-02-05

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Maya Le, Paweł Prałat, Aaron Smith, François Théberge

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك محقق يحاول حل جريمة، ولكن بدلاً من الحصول على بضع أدلة، تم تسليمك مكتبة تحتوي على ملايين الكتب. معظم هذه الكتب مليئة بالهراء العشوائي، والإعلانات، والقصص غير المترابطة. ومع ذلك، مخبأة داخل عدد قليل من هذه الكتب نفس "الوصفة السرية" للجريمة، مكتوبة بخط يد مختلف قليلاً في كل مرة، مع وجود بعض الكلمات المفقودة أو الأخطاء الإملائية.

هذا الورقة البحثية تدور حول بناء أداة للعثور على تلك "الوصفة السرية" المخفية (المسار المزروع - Planted Path) داخل المكتبة الضخمة من الضجيج.

إليك تفصيل لأفكار الورقة باستخدام تشبيهات بسيطة:

١. المشكلة: البحث عن إبرة في كومة قش

في عالم الأمن السيبراني، تولد الحواسيب "أشجار عمليات" (Process Trees) ضخمة. فكر في هذه الأشجار كأنها أشجار عائلة لبرامج الكمبيوتر. في كل مرة يبدأ فيها برنامج تشغيل برنامج آخر، فإنه يضيف فرعاً إلى الشجرة.

الضجيج: معظم هذه الأشجار هي مجرد نشاط طبيعي للكمبيوتر (مثل قيام مستخدم بفتح متصفح الويب).
الإشارة: أحياناً، يستخدم المخترق تسلسلاً معيناً من البرامج للاختراق. هذا التسلسل هو "المسار المزروع".
التحدي: غالباً ما يكون مسار المخترق مدفوناً بعمق داخل شجرة ضخمة، مختلطاً بالنشاط الطبيعي، وقد تكون أسماء البرامج مختلفة قليلاً أو مفقودة. الأمر يشبه محاولة العثور على جملة محددة في كتاب حيث الحبر باهت وبعض الكلمات استُبدلت بأخرى عشوائية.

٢. الحل: خوارزمية "المطابقة الضبابية" (Fuzzy Matching)

ابتكر المؤلفون أداة (الخوارزمية ١) تعمل مثل قلم التحديد الذكي.

بدلاً من البحث عن تطابق تام ومثالي (وهو أمر نادر الحدوث في الواقع)، تبحث الأداة عن تطابق "ضبابي".
تقوم بمقارنة شجرتين وتسأل: "كم عدد الخطوات في هذه الشجرة التي تشبه الخطوات في تلك الشجرة، حتى لو لم تكن متطابقة تماماً؟"
تعطي "درجة" للمطابقة. إذا كانت الدرجة عالية، فهذا يعني أن الشجرتين تشتركان على الأرجح في نفس القصة المخفية، حتى لو كانت التفاصيل فوضوية.

التشبيه: تخيل أنك تحاول مطابقة أغنيتين. إحداهما تسجيل واضح، والأخرى نسخة غنائية (Cover) تُعزف على جيتار غير مضبوط النغمات قليلاً مع فقدان بعض النوتات. خوارزمية المطابقة المثالية ستقول: "هاتان أغنيتان مختلفتان". أما هذه الخوارزمية "الضبابية" فتقول: "مهلاً، اللحن هو نفسه تقريباً! دعونا نحدد هذه الأجزكن المتطابقة".

٣. كيف اختبروا ذلك (نماذج "اللعب" التجريبية)

قبل الاختبار على بيانات حقيقية، أنشأ المؤلفون "بيئة تجريبية" (Sandbox) ليروا ما إذا كانت أداتهم تعمل بالفعل.

التجربة: بنوا آلاف أشجار الكمبيوتر الوهمية. في بعضها، زرعوا تسلسلاً معيناً من الأحداث سراً (مثل مجموعة محددة من التعليمات). وفي أشجار أخرى، لم يزرعوا شيئاً.
النتيجة: أظهروا أن أداتهم يمكنها بنجاح التمييز بين الأشجار التي تحتوي على "الوصفة السرية" وبين الأشجار التي تحتوي فقط على ضجيج عشوائي.
العقبة: أثبتوا أن الحيل البسيطة (مثل مجرد عد كم مرة تظهر كلمة معينة) لن تنجح. أنت بحاجة حقاً للنظر في ترتيب وبنية الأحداث، وهو ما تفعله أداتهم.

٤. التطبيق في العالم الحقيقي: مجموعة بيانات ACME4

أخذ المؤلفون أداتهم إلى مجموعة بيانات حقيقية للأمن السيبراني تسمى ACME4، والتي تحاكي شبكة أعمال تتعرض لهجوم.

البيانات: نظروا في أكثر من مليون شجرة عمليات كمبيوتر.
الاكتشاف: وجدوا أن معظم الأشجار كانت صغيرة جداً (عقدتان فقط)، لكن الأشجار التي تهمنا كانت أكبر حجماً.
النجاح: استخدموا أداتهم للعثور على سلسلة أحداث محددة يستخدمها الفاعلون "السيئون" (المخترقون).
- وجدوا تسلسلاً مثل: تسجيل دخول -> تهيئة المستخدم -> المستكشف (Explorer) -> موجه الأوامر (Command Prompt) -> مستضيف وحدة التحكم (Console Host).
- حتى عندما كانت أسماء المستخدمين فارغة أو مختلفة قليلاً، استطاعت الأداة رصد النمط.
سير العمل: أظهروا طريقتين لاستخدام هذا:
1. التجميع (Clustering): تجميع الأشجار المتشابهة معاً للعثيد على أنماط "سيئة" مشتركة دون معرفتها مسبقاً.
2. التصنيف (Classification): استخدام "درجات المطابقة" كميزة لتدريب الكمبيوتر على تحديد الأشجار المشبوهة تلقائياً (مثل فلتر البريد العشوائي لسجلات الكمبيوتر).

ملخص

تجادل الورقة البحثية بأن العثور على تسلسل محدد من الأحداث في سجل كمبيوتر فوضوي وضبابي هو أمر ممكن إذا توقفت عن البحث عن تطابقات مثالية وبدأت في البحث عن تشابهات ذات معنى. خوارزمية "المطابقة الضبابية" الخاصة بهم هي "مكتشف الإبرة" الذي يمكنه تجاهل كومة القش وتسليط الضوء على المسار الذي سلكه المخترق، حتى لو كان المسار متسخاً، أو مكسوراً، أو مخفياً جزئياً.

ما لا تدعيه الورقة البحثية:

لا تدعي إيقاف المخترقين في الوقت الفعلي.
لا تدعي أنها حل مثالي لكل أنواع الهجمات السيبرانية.
لا تدعي أنها تعمل على البيانات الطبية أو الأشجار البيولوجية (رغم أنها ذكرت هذه كأماكن أخرى يمكن للرياضيات الخاصة بها أن تنطبق فيها، إلا أن الورقة اختبرت فقط بيانات الأمن السيبراني).

الرسالة الجوهرية هي: لدينا طريقة جديدة وبسيطة للعثور على الأنماط المخفية في البيانات الفوضوية، وهي تعمل على سجلات الأمن السيبراني الحقيقية.

ملخص تقني: الإبرة هي الخيط: إيجاد المسارات المزروعة في أشجار العمليات المليئة بالضجيج

1. تعريف المشكلة

تتناول الورقة مشكلة "المسار المزروع" (planted path)، وهي تحدٍ رياضي يتمثل في استعادة تسلسل صغير وذي معنى (مسار) مدمج داخل رسم بياني موجه غير حلقي (DAG) كبير ومليء بالضجيج وموسوم. وبينما يمتلك هذا التحدي نظائر نظرية في أدبيات "المجموعة المزروعة" (planted clique) و"البنية المزروعة" (planted structure)، يركز هذا العمل على التطبيقات العملية في الأمن السيبراني، وتحديداً ضمن أشجار العمليات (process trees).

في هذا السياق، يتمثل الهدف في تحديد تسلسل العمليات التي نفذها المهاجم (المسار المزروع) المدفون ضمن السجلات الضخمة والمليئة بالضجيج لأجهزة الكمبيوتر المخترقة. ويكمن التحدي في أن:

الحجم الإجمالي لبيانات السجلات هائل.
تؤدي الاستدلالات البدائية (heuristics) إلى إنتاج الكثير من الخطوط "المشبوهة" التي تتطلب فحصاً بشرياً.
التسلسل الضار الحقيقي غالباً ما يكون جزءاً صغيراً من الشجرة الكلية ويتم حجبه بواسطة الضجيج (الأحداث المفقودة، النتائج الإيجابية الكاذبة، والعمليات الخلفية غير ذات الصلم).
الحدث الكامل قد لا يوجد بدقة كمسار متصل واحد في البيانات المرصودة.

يجادل المؤلفون بأنه بينما يعد تجريد "المسار المزروع" غير مثالي للبيانات الواقعية، فإن استخراج المسارات الجزئية يعمل كخطوة حاسمة لـ "تجميع الإشارة" (signal-aggregation) لتعزيز إشارة التسلسلات السيئة وتصفية الضجيج.

2. المنهجية

2.1 خوارزمية المطابقة الضبابية (الخوارزمية 1)

المساهمة الجوهرية هي خوارزمية البرمجة الديناميكية المصممة لحساب درجة تشابه قائمة على الميزات بين شجرتين، $G$ و $H$ .

المدخلات: شجرتان موجهتان عقدتاهما موسومتان بميزات من مجموعة $S$ ، ودالة وزن $w$ تقيس التشابه بين أي ميزتين.
الآلية: تستخدم الخوارزمية نهج الجدولة التصاعدي (لتجنب التكرار/recursion) لإيجاد المطابقة المثلى للعقد $(u_1, v_1), \dots, (u_k, v_k)$ بحيث يحترم التسلسل ترتيب (الأب-الابن) في كلتا الشجرتين ( $u_i <_G u_{i+1}$ و $v_i <_H v_{i+1}$ ).
التسجيل (Scoring): درجة المطابقة هي مجموع الأوزان $w(\phi_G(u_i), \phi_H(v_i))$ . تقوم الخوارزمية بزيادة هذه الدرجة للوصول إلى أفضل محاذاة "ضبابية".
التعقيد: التعقيد الزمني هو متعدد الحدود، $O(nm) $، حيث$ n $و$ m$ هما عدد العقد في الأشجار المعنية.
المخرجات: تعيد الخوارزمية تسلسل العقد المتطابقة والدرجة القصوى. يمكن تهيئتها لإرجاع المسار الأفضل الوحيد أو تكييفها لـ "أفضل K مسار" (top-K paths).

2.2 سير العمل (Workflows)

يقترح المؤلفون استخدام الخوارزمية 1 كحجر بناء لسير عمل أكبر لتعلم الآلة:

التجميع غير الخاضع للإشراف (الخوارزمية 2):
- الهدف: تحديد القوالب غير المعروفة ضمن مجموعة من الرسوم البيانية الكبيرة.
- العملية:
  1. حساب درجات التشابه الزوجي بين جميع الأشجار في مجموعة البيانات باستخدام الخوارزمية 1.
  2. تحويل مصفوفة التشابه إلى مصفوفة مسافة باستخدام تطبيع محدد (المعادلة 5).
  3. تضمين الأشجار في فضاء منخفض الأبعاد (باستخدام UMAP).
  4. تجميع التضمينات (باستخدام HDBSCAN).
  5. تطبيق نهج محاذاة التسلسل المتعدد (MSA) على أفضل التسلسلات المتطابقة داخل المجموعات لاستخراج "نماذج مثالية" (exemplars) ممثلة.
تعزيز الميزات للمصنفات (القسم 3.2):
- الهدف: تحسين تصنيف الأشجار (مثل: حميدة مقابل ضارة).
- العملية: استخدام مجموعة من القوالب المعروفة (مثل تسلسلات الهجوم المعروفة) لتوليد ميزات مساعدة لكل شجرة. تمثل الميزة $X_{i,j}$ طول أطول مسار مشترك (أو الدرجة) بين الشجرة $G_i$ والقالب $T_j$ . يتم بعد ذلك تغذية هذه الميزات في مصنفات قياسية (مثل الغابة العشوائية - Random Forest).

2.3 توليد البيانات الاصطناعية

للتحقق من صحة النهج، يقدم المؤلفون عملية توليد بيانات (الخوارزميتان 3 و 4) مشابهة لنموذج الكتل العشوائية (SBM) ولكنها مصممة خصيصاً للأشجار:

توليد الشجرة: يستخدم عملية "غالتون-واطسون" (Galton-Watson) لتوليد أشجار "كثيفة الأغصان" (bushy).
المسار المزروع: يتم زرع تسلسل محدد من العلامات (labels) داخل مسار عشوائي داخل الشجرة.
نموذج الضجيج: تخضع العلامات في المسار المزروع لاحتمالية الملاحظة $p$ (أخذ عينات فرعية) واحتمالية الخطأ (إعادة أخذ العينات). يتم تسمية العقد الأخرى بشكل موحد من أبجدية معينة.
هدف التصميم: يضمن النموذج فشل الخوارزميات التافهة (مثل عد تردد العلامات)، لأن توزيع العلامات مستقل عن فئة المسار المزروع، مما يجبر الخوارزمية على الاعتماد على معلومات المسار الهيكلية.

3. النتائج الرئيسية

3.1 التجارب الاصطناعية

القابلية للتمييز: نجحت درجة التشابه المستمدة من الخوارزمية 1 في التمييز بين الأشجار التي تحتوي على مسار مزروع وتلك التي لا تحتوي عليه، حتى عندما كان المسار جزءاً صغيراً من شجرة كبيرة وتم رصده بمعدل منخفض ( $p=0.75$ ).
التجميع: في الإعدادات غير الخاضعة للإشراف مع 4 فئات، نجح سير عمل التضمين (الخوارزمية 2) في فصل المجموعات الحقيقية.
تأثير الوزن: أظهرت التجارب أن استخدام دالة تسجيل قائمة على الاحتمالات (تقليل وزن الرموز النادرة) حسن بشكل كبير من فصل المجموعات مقارنة بدرجة ثنائية غير موزونة، خاصة عندما كانت الأبجدية تحتوي على رموز نادرة.

3.2 التطبيق الواقعي (مجموعة بيانات ACME4)

طبق المؤلفون طرقهم على مجموعة بيانات ACME4، وهي مجموعة بيانات للأمن السيبراني تحاكي شبكة أعمال بنظام ويندوز مع هجمات متنوعة.

حجم البيانات: احتوت مجموعة البيانات على أكثر من 1.1 مليون شجرة عمليات (معظمها بحجم 2) وما يقرب من 3 ملايين عقدة. 8 أشجار فقط كانت تحتوي على مستخدمين "سيئين" (ضارين).
بناء الأشجار الفرعية: للتغلب على انتشار الأشجار الصغيرة، قام المؤلفون ببناء 2,693 شجرة فرعية (بحجم يتراوح بين 3 و 9,558).
نتائج المطابقة:
- باستخدام شجرة مرجعية تحتوي على مستخدم "سيء"، نجحت الخوارزمية في تحديد المسارات المتطابقة في الأشجار الأخرى.
- مرونة التسجيل: أظهر المؤلفون أن دوال التسجيل المختلفة (المطابقة التامة لأسماء العمليات مقابل المطابقة الناعمة لأسماء العمليات وأسماء المستخدمين) أعطت نتائج مختلفة ولكنها ذات معنى. على سبيل المثال، يمكن للمطابقة "الناعمة" تحديد مسار يكون فيه تسلسل العمليات متطابقاً ولكن اسم المستخدم مختلف قليلاً (مثل "user88" مقابل "bad3").
أداء سير العمل:
- التصفية: عند استخدام الطريقة كمرشح لاختيار الأشجار التي تشترك في مسارات مع قوالب معروفة، نجحت الطريقة في عزل مجموعة فرعية من الأشجار ذات الدرجات الأعلى، والتي ارتبطت بأحجام أشجار أكبر وتسلسلات عمليات محددة (مثل winlogon.exe $\to$ cmd.exe).
- التصنيف: حقق مصنف الغابة العشوائية (Random Forest) المدرب على ميزات مشتقة من مطابقة المسارات (طول المسارات المشتركة مقابل 38 قالباً) دقة عالية في تصنيف الأشجار بناءً على أسماء عمليات الجذر الخاصة بها، مع وجود خلط طفيف فقط بين bash.exe و cmd.exe.

4. الأهمية والادعاءات

تضع الورقة نفسها كـ عمل استكشافي يثبت أن استخراج المسارات هو أمر ممكن ومفيد لبيانات الأمن السيبراني الحقيقية.

الفائدة العملية: يزعم المؤلفون أنه بينما يعد "المسار المزروع" تجريداً، فإن الخوارزمية المقترحة تجمع بفعالية الإشارات من الأحداث ذات الصلة، مما يفلتر الجزء الأكبر من الضجيج الذي قد يغرق الخبراء البشريين.
النطاق المتواضع: يقر المؤلفون صراحة بأن هذا عمل أولي. وهم يعترفون بأن العمل الحالي لا يقدم حلولاً مثالية إحصائياً لنسخ نظيفة محددة من المشكلة، بل يركز بدلاً من ذلك على تطوير نماذج واقعية للبيانات "الفوضوية".
العمل المستقبلي: تشير الورقة إلى أن نسخة مستقبلية ستوفر مزيداً من التفاصيل حول سير عمل تعلم الآلة الواقعي، والمقارنات مع خوارزميات أخرى على مجموعات بيانات حقيقية، والتحليل النظري الأساسي.
القيود: يعترف المؤلفون بأنه في البيانات الواقعية، قد لا يكون الحدث الكامل موجوداً بدقة في مسار واحد، وقد تمنع ضوضبة الملاحظات رصد مسار مزروع كامل. ومع ذلك، يجادلون بأن حتى التصفية غير المثالية تعزز إشارة التسلسلات الضارة.

باختصار، تقدم الورقة خوارزمية مطابقة ضبابية كأداة أساسية لاستعادة التسلسلات ذات المعنى من أشجار العمليات المليئة بالضجيج، مع التحقق من فعاليتها من خلال النماذج الاصطناعية وإظهار قدرتها على توليد الميزات والعمل كمرشح في عمليات الفرز السيبراني الواقعية.