INTACT: Intent-Aware Representation Learning for Cryptographic Traffic Violation Detection

إليك ملخص تقني مفصل لورقة البحث بعنوان: "INTACT: تعلم التمثيل المدرك للقصد لكشف انتهاكات حركة المرور التشفيرية."

١. بيان المشكلة

تتناول الورقة بحثاً في عدم تطابق مفاهيمي جوهري في التحليل الحالي لحركة المرور المشفرة.

• قصور الأساليب الحالية: تعامل أنظمة كشف الشذوذ التقليدية الانتهاكات على أنها قيم متطرفة إحصائياً (انحرافات نادرة عن توزيعات البيانات المرصودة). وهي تعتمد على تعلم حدود قرار ثابتة بناءً على الميزات السلوكية وحدها ($g(x) \approx P(y=1|x)$).
• واقع الأمن: في الشبكات المؤسسية الواقعية، تُعرَّف الانتهاكات الأمنية ليس بكونها نادرة، بل من خلال قيود سياسات صريحة (مثل حظر إعادة استخدام المفاتيح، ومنع خفض مستوى الخوارزمية، والمدد الزمنية المحدودة لعمر المفتاح). فالسلوك الذي قد يكون "طبيعياً" إحصائياً قد يمثل انتهاكاً بموجب سياسة محددة، والعكس صحيح.
• الفجوة: تفتقر نماذج التعلم العميق الحالية لحركة المرور المشفرة إلى آلية لدمج القيود الأمنية الرسمية (القصد) مباشرة في عملية تعلم التمثيل. كما لا يمكنها التكيف مع تغيير معاملات السياسة دون إعادة التدريب.

٢. المنهجية: إطار عمل INTACT

يقترح المؤلفون إطار عمل INTACT (حركة المرور التشفيرية المدركة للقصد)، وهو إطار عمل مشروط بالسياسة يعيد صياغة كشف الانتهاكات كعملية تعلم قيود شرطية.

المفهوم الجوهري

بدلاً من تقدير درجة شذوذ ثابتة، يقوم INTACT بنمذجة احتمالية حدوث انتهاك مشروط بكل من السلوك المرصود ($x$) والقصد الأمني المعلن ($z$):
$$f(x, z) \approx P(\text{violation} | x, z)$$
يسمح هذا للنموذج بتعلم عائلة من حدود القرار التي يتم تحديدها بواسطة السياسة، بدلاً من حد قرار واحد ثابت.

التصميم المعماري

يستخدم INTACT بنية عصبية ثنائية الفروع:

1. المُشفر السلوكي (Behavioral Encoder): يعالج ميزات حركة المرور القابلة للرصد (مثل مدة التدفق، عدد الحزم، معدل الإنتاجية). ويستخدم طبقات متصلة بالكامل مع تنشيط ReLU لإنتاج تمثيل سلوكي ($h_b$).
2. مُشفر القصد (Intent Encoder): يعالج معلومات السياسة المهيكلة (مثل عتبات العمر الزمني، وأنواع انتهاكات محددة مثل "إعادة الاستخدام" أو "خفض المستوى"). ويقوم بتحويل هذه القيود إلى تمثيل دلالي ($h_z$).
3. طبقة الدمج والقرار (Fusion & Decision Layer): يتم دمج التمثيلات السلوكية والتمثيلات الخاصة بالقصد وتمريرها عبر طبقة دمج لإنتاج درجة احتمالية الانتهاك النهائية.

هدف التعلم

يتم تدريب النموذج باستخدام خسارة الإنتروبيا المتقاطعة الثنائية (binary cross-entropy loss) مع إشراف مُسمى. وخلافاً للنماذج المرجعية غير الخاضعة للإشراف التي ترى البيانات الطبيعية فقط، يتعلم INTACT التفاعل المشترك بين السلوك وقيود السياسة، مما يمكنه من تحديد الانتهاكات العلاقاتية والمركبة.

٣. الإعداد التجريبي

يستخدم التقييم استراتيجية مجموعة بيانات مزدوجة لتغطية كل من الصلاحية البيئية والاختبار النظري المنضبط:

• مجموعة بيانات واقعية:
  • المصدر: ٢.٨ مليون سجل تدفق شبكي مؤسسي.
  • المهمة: كشف "انتهاكات العمر الزمني" (التدفقات التي تتجاوز عتبة المدة الزمنية للنسبة المئوية ٩٥).
  • التحدي: تم التقييم تحت ظروف انزياح المتغيرات المشتركة (covariate shift) (بمضاعفة مدة التدفق بمقدار ٢ و٣ مرات) لاختبار المتانة.
• مجموعة بيانات اصطناعية:
  • المصدر: ٢١٠,٠٠٠ أثر تشفيري (٤.٢ مليون عملية) تم إنشاؤها بدقة تامة للحقائق الأرضية.
  • المهمة: كشف مقاصد متعددة تشمل إعادة استخدام المفتاح، خفض مستوى الخوارزمية، وتجاوز العمر الزمني، بما في ذلك الانتهاكات المركبة.
  • الميزة: تسمح بالتحكم الدقيق في آليات الانتهاك واختبار الدلالات العلاقاتية (مثل إعادة استخدام المفتاح عبر آثار مختلفة).

٤. النتائج الرئيسية

تمت مقارنة INTACT بنماذج مرجعية قوية غير خاضعة للإشراف (مثل Isolation Forest، Deep SVDD، Autoencoders) ونماذج عصبية خاضعة للإشراف.

• مجموعة البيانات الواقعية (انتهاكات العمر الزمني):
  • حقق INTACT تمييزاً شبه مثالي (AUROC = 1.0000) في مجموعة الاختبار، مطابِقاً للنموذج المرجعي الخاضع للإشراف بالكامل.
  • تحت تأثير انزياح التوزيع (تغيير مقياس المدة)، حافظ INACT على درجة AUROC عالية (٠.٩٦–٠.٩٧)، مما أظهر متانة عالية، رغم انخفاض درجات F1 قليلاً بسبب حساسية المعايرة (وهي مشكلة شائعة في سيناريوهات الانزياح).
• مجموعة البيانات الاصطناعية (تعدد المقاصد):
  • كشف إعادة الاستخدام: فشلت الطرق غير الخاضعة للإشراف بشكل كبير (AUROC ~0.50–0.60) لأن إعادة الاستخدام هي خاصية علاقاتية وليست شذوذاً في المقدار. حقق INTACT درجة AUROC = 0.7820، متفوقاً بشكل كبير على الطرق غير الخاضعة للإشراف ومطابقاً للنموذج الخاضع للإشراف.
  • خفض المستوى والعمر الزمني: حقق INACT درجات مثالية أو شبه مثالية (AUROC = 1.0000 و 0.9797)، مطابِقاً للنماذج الخاضعة للإشراف.
  • الانتهاكات المركبة: نجح INACT في التعامل مع السيناريوهات المعقدة حيث يتم انتهاك قيود سياسة متعددة في آن واحد.

٥. المساهمات الرئيسية

١. إعادة الصياغة المفاهيمية: تحدد الورقة وتعالج الفجوة بين كشف الشذوذ الإحصائي ومراقبة الأمن القائمة على القيود، وتقترح وجوب نمذجة الانتهاكات كقيود شرطية.
٢. بنية مشروطة بالسياسة: تقديم بنية ثنائية المُشفرات تدمج "القصد الأمني" ($z$) صراحة كمتغير مدخل من الدرجة الأولى، مما يسمح لنموذج واحد بالتكيف مع تعريفات السياسة المختلفة دون الحاجة لإعادة التدريب.
٣. تقييم مزدوج لمجموعات البيانات: استراتيجية تقييم شاملة تجمع بين حركة المرور الواقعية واسعة النطاق وبين مجموعة بيانات اصطناعية مصممة لعزل أنواع محددة من الانتهاكات (العلاقاتية، والمقدار، والمركبة).
٤. إثبات المتانة: تقديم دليل على أن اشتراط القصد الصريح يحسن القدرة على التمييز، خاصة بالنسبة للانتهاكات العلاقاتية (مثل إعادة استخدام المفاتيح) التي تفوتها أدوات كشف الشذوذ التقليدية القائمة على المقدار.

٦. الأهمية والأثر

• القابلية للتفسير: من خلال الفصل بين السلوك والقصد، تصبح عملية اتخاذ القرار في النموذج أكثر شفافية، مما يتوافق مع أنظمة التحقق من السياسات الرسمية.
• القابلية للتكيف: يوفر إطار العمل مساراً للتعامل مع انزياح السياسة (مثل تغيير عتبات عمر المفتاح أو المتطلبات التنظيمية) ببساطة عن طريق تحديث متجه القصد المدخل، بدلاً من إعادة تدريب النموذج بالكامل.
• ما وراء تقدير الكثافة: يعمل هذا العمل على تغيير النموذج من "تعلم ما هو نادر" إلى "تعلم ما يخالف القواعد"، وهو ما يتماشى أكثر مع الأهداف الفعلية للعمليات الأمنية.
• الاتجاهات المستقبلية: يشير المؤلفون إلى أنه بينما يتعامل INACT جيداً مع اشتراط السياسة، فإن هناك حاجة لعمل مستقبلي لمعالجة حدود التعميم الرسمية تحت انزياحات التوزيع المشترك، ولدمج البنى القائمة على الرسوم البيانية (Graph-based architectures) لمزيد من الاستدلال العلاقاتي المعقد في عمليات النشر الواقعية.

باختصار، يوفر INACT أساساً قابلاً للتوسع وقابلاً للتفسير لمراقبة التشفير، ينتقل من مجرد رصد الشذوذ الإحصائي الثابت إلى كشف الانتهاكات الديناميكي المدرك للسياسة.