🤖 machine learning

DNS-GT: A Graph-based Transformer Approach to Learn Embeddings of Domain Names from DNS Queries

تقدم هذه الورقة البحثية DNS-GT، وهو نموذج محول (Transformer) جديد يعتمد على التعلم الذاتي، يتعلم تمثيلات سياقية لأسماء النطاقات من تسلسلات استعلامات نظام أسماء النطاقات (DNS) ليتفوق على النماذج المرجعية الحالية في مهام مثل تصنيف النطاقات وكشف شبكات البوتنت (botnet).

المؤلفون الأصليون: Massimiliano Altieri, Ronan Hamon, Roberto Corizzo, Michelangelo Ceci, Ignacio Sanchez

نُشر 2026-03-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Massimiliano Altieri, Ronan Hamon, Roberto Corizzo, Michelangelo Ceci, Ignacio Sanchez

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن في مطار ضخم ومزدحم. مهمتك هي رصد المشاغبين قبل أن يتسببوا في أي ضرر. في العالم الرقمي، هذا "المطار" هو شبكة كمبيوتر، و"المسافرون" هم الطلبات الصغيرة التي ترسلها أجهزة الكمبيوتر للبحث عن مواقع الويب (وهذه تسمى استعلامات نظام أسماء النطاقات - DNS queries).

لسنوات، اعتمد حراس الأمن (أنظمة الأمن السيبراني) على طريقتين رئيسيتين:

نهج "ملصق المطلوب": حيث يتحقق مما إذا كان المسافر يطابق وجه مجرم معروف (توقيع/بصمة). إذا تطابق، يتم إيقافه. لكن هذه الطريقة تفشل أمام المجرمين الجدد الذين لم يتم القبض عليهم بعد.
نهج "السلوك المريب": حيث يبحثون عن أشخاص يتصرفون بغرابة. لكن البرامج الحاسوبية التقليدية سيئة في فهم السياق. فقد يصنفون شخصاً ما بأنه مشبوه لأنه يركض، دون إدراك أنه مجرد شخص متأخر عن رحلته وليس هارباً من جريمة.

تقدم هذه الورقة البحثية حارس أمن فائق الذكاء يسمى DNS-GT. وإليك كيف يعمل، مشروحاً ببساطة:

1. المشكلة: "الكلمة" مقابل "الجملة"

كانت الأساليب القديمة تتعامل مع كل طلب لموقع ويب كأنه كلمة واحدة في قاموس. تعلمت أن "google.com" جيد عادةً و"bad-site.com" سيء عادةً.

العيب: هذا يشبه محاولة فهم فيلم من خلال النظر إلى لقطات فردية فقط. أنت تفقد القصة.
الواقع: موقع الويب ليس مجرد اسم؛ إنه جزء من محادثة. إذا طلب جهاز كمبيوتر "google.com" متبوعاً بـ "youtube.com"، فهذا أمر طبيعي. ولكن إذا طلب "google.com" متبوعاً بسلسلة عشوائية غريبة من الحروف ثم موقع فيروس معروف، فهذه قصة مريبة.

2. الحل: "القارئ الخارق" (DNS-GT)

بنى المؤلفون DNS-GT، وهو بمثابة قارئ متطور للغاية لا يحفظ الكلمات فحسب، بل يفهم القصة وراءها.

إنه يستخدم أداتين قويتين:

المحول (Transformer) (سيد السياق): هذه هي نفس التقنية التي تقف وراء نماذج الدردشة الآلية مثلي. ينظر إلى جملة كاملة من الطلبات دفعة واحدة. ويفهم أن معنى الطلب يتغير بناءً على ما سبقه.
الرسم البياني (Graph) (خريطة العلاقات): تخيل رسم خطوط بين الأشخاص الذين يتحدثون مع بعضهم البعض. هذا النموذج يرسم خطوطاً بين الطلبات ذات الصلة، متجاهلاً الطلبات التي لا تتناسب مع المحادثة. إنه يركز فقط على الروابط ذات الصلة.

3. كيف يتعلم: لعبة "ملء الفراغات"

قد تتساءل: "كيف يتعلم دون وجود معلم يخبره ما هو الشيء السيئ؟"
يلعب النموذج لعبة تسمى "ملء الفراغات".

الإعداد: يقوم الكمبيوتر بتغذية النموذج بقائمة طويلة من طلبات المواقع من مستخدم طبيعي.
الخدعة: يقوم النموذج بإخفاء (تغطية) أحد الطلبات سراً.
التحدي: يجب على النموذج تخمين ما كان الطلب المخفي بناءً فقط على الطلبات الأخرى في القائمة.
- مثال: إذا كانت القائمة هي [facebook.com, instagram.com, <MASK>, whatsapp.com]، فمن المفترض أن يخمن النموذج أن <MASK> هو على الأرجال messenger.com أو شيء مشابه.
النتيجة: من خلال لعب هذه اللعبة ملايين المرات ببيانات حقيقية، يتعلم النموذج "قواعد" سلوك الإنترنت الطبيعي. إنه يتعلم كيف تبدو "الجملة الطبيعية".

4. القبض على المجرمين

بمجرد تدريب النموذج، يمكنه رصد السيئين بطريقتين:

كاشف "الشيء الخارج عن السياق": إذا طلب جهاز كمبيوتر فجأة قائمة من الطلبات التي لا تبدو منطقية معاً (مثل جملة تحتوي على كلمات عشوائية ملقاة فيها)، فإن النموذج يصاب بالارتباك. وهذا الارتباك هو علامة حمراء. معناه: "هذه القصة لا تبدو منطقية؛ هناك شخص يكذب".
صائد الشبكات البوتية (Botnets): الشبكات البوتية هي جيوش من أجهزة الكمبيوتر المصابة. غالباً ما تتواصل هذه الأجهزة مع بعضها البعض بأنماط غريبة. ولأن DNS-GT يفهم سياق المجموعة بأكملها، فإنه يستطيع رصد هذه الأنماط المنسقة وغير الطبيعية بشكل أفضل بكثير من الأساليب القديمة.

5. لماذا يعد هذا أمراً هاماً؟

لا حاجة لـ "ملصقات المطلوب": لا يحتاج لمعرفة الاسم المحدد لفيروس جديد لكي يمسك به. هو يعرف فقط أن الفيروس يتصرف "بغابة".
صديق للخصوصية: يمكنه التعلم من البيانات الخام دون الحاجة لتصنيف كل طلب على حد أنه "جيد" أو "سيء" (وهو أمر صعب ومكلف للقيام به).
قابل للتكيف: تماماً مثل حارس بشري يتعلم من الخبرة، يمكن ضبط هذا النموذج بدقة للإمساك بأنواع محددة من التهديدات، مثل الشبكات البوتية أو عمليات التصيد الاحتيالي، بسرعة كبيرة.

الخلاصة

فكر في DNS-GT كحارس أمن قرأ كل الكتب في المكتبة ويمكنه فوراً تمييز ما إذا كانت الجملة كذبة، حتى لو كان الكاذب يستخدم اسماً جديداً. إنه ينقل الأمن السيبراني من "التحقق من قائمة الأسماء" إلى "فهم القصة"، مما يجعل من الصعب جداً على مجرمي الإنترنت الاختباء في وضح النهار.

1. بيان المشكلة

تعد أنظمة كشف التسلل للشبكات (NIDS) بالغة الأهمية للأمن السيبراني، لكنها تواجه قيوداً كبيرة عند الاعتماد على طرق تعلم الآلة (ML) التقليدية:

الاعتماد على البيانات: تعتمد نماذج تعلم الآلة الحالية غالباً بشكل كبير على كميات ضخمة من البيانات المصنفة (Labeled Data)، وهي نادرة ومكلفة الإنتاج في سياقات الأمن السيبراني بسبب مخاوف الخصوصية.
محدودية التعميم: تواجه الطرق التقليدية صعوبة في التعميم للتعامل مع الهجمات الجديدة أو التهديدات المتطورة.
العمى السياقي: تفشل طرق التضمين (Embedding) الحالية لحركة مرور نظام أسماء النطاقات (DNS) (مثل متغيرات Word2Vec) في التعامل مع أسماء النطاقات كرموز معزولة؛ فهي تجمع أنماط التواجد المشترك المحلي ولكنها تفشل في التقاط الاعتمادات السياقية المعقدة والعلاقات الدلالية بين استعلامات DNS المتتالية التي يولدها مضيف واحد.
الميزات الثابتة: تعتمد الأنظمة القائمة على القواعد ونهج تعلم الآلة المبكرة على ميزات مصممة يدوياً تصبح قديمة مع تطور ناقلات الهجوم.

يرى المؤلفون أنه بينما توفر حركة مرور DNS مصدراً غنياً وعالي الحجم من البيانات للكشف عن الأنشطة الضارة (مثل البوت نت وهجمات التصيد الاحتيالي)، فإن النماذج الحالية لا تستفيد بفعالية من السياق الزمني والهيكلي لتسلسلات الاستعلام.

2. المنهجية: DNS-GT

يقترح المؤلفون DNS-GT، وهو بنية مبتكرة تجمع بين المحولات (Transformers) والشبكات العصبية الرسومية (GNNs) لتعلم تضمينات قوية وسياقية لأسماء النطاقات من بيانات DNS الخام غير المصنفة.

أ. معالجة البيانات والتسلسل

المدخلات: يتم تصفية حركة مرور DNS الخام (ملفات PCAP) لتشمل فقط طلبات سجلات النوع 'A' من مضيفين نشطين (End-user hosts).
التسلسل: يتم تجميع الاستعلامات حسب عنوان IP للمضيف وترتيبها زمنياً. تقيم الورقة ثلاث استراتيجيات للتسلسل:
1. الطول الثابت (Fixed-length): نافذة منزلقة ذات حجم ثابت.
2. الجشع القائم على الوقت (Greedy Time-based): تجميع الاستعلامات بناءً على عتبات زمنية ( $\Delta_{intra}$ ، $\Delta_{inter}$ ) لضمان الترابط الدلالي.
3. التجميع القائم على الوقت (Clustering Time-based): استخدام خوارزمية DBScan لتجميع الاستعلامات المتقاربة زمنياً، مما يوفر المتانة تجاه القيم المتطرفة.
التمثيل: كل استعلام $q_i$ هو زوج $(h_i, d_i)$ ، يمثل المضيف والنطاق.

ب. بنية النموذج

DNS-GT هو نموذج لغة مقنع (Masked Language Model - MLM) تم تكييفه لحركة مرور الشبكة، ويتميز باستخدام شبكة انتباه رسومية (Graph Attention Network - GAT) بدلاً من الانتباه الذاتي القياسي.

تضمينات المدخلات:
- تمتلك المضيفات والنطاقات تضمينات قابلة للتعلم منفصلة ( $e^H$ و $e^D$ ).
- يتم دمج هذه التضمينات عبر مجموع مرجح: $e_{q_i} = \omega \cdot e^D_{d_i} + (1-\omega) \cdot e^H_{h_i}$ .
- ميزة الخصوصية: ضبط $\omega=1$ يسمح للنموذج بتجاهل معلومات المضيف تماماً.
آلية الانتباه الرسومي:
- على عكس المحولات القياسية التي تفترض تسلسلاً متصلاً بالكامل، يستخدم DNS-GT شبكات الانتباه الرسومي متعددة الرؤوس (Multi-Head GAT).
- التوبولوجيا القائمة على المعرفة: يقبل النموذج مصفوفات التجاور ( $A$ ) لتحديد الاتصالات بين الرموز (Tokens). في النموذج الأساسي، تكون جميع رموز النطاقات في التسلسل متصلة، بينما تكون رموز <PAD> غير متصلة.
- التكافؤ مع التبديل (Permutation Equivariance): تم تصميم النموذج ليكون ثابتاً تجاه الترتيب الدقيق للرموز داخل التسلسل (على عكس المحولات القياسية التي تستخدم ترميزات موضعية). وهذا يجعله قوياً ضد اضطرابات توقيت الشبكة وسلوكيات "الدفقات" (Bursts) حيث يكون الترتب الدقيق أقل أهمية من مجموعة الاستعلامات نفسها.
التدريب المسبق (التعلم الذاتي):
- يتم تدريب النموذج مسبقاً باستخدام نموذج اللغة المقنع (MLM).
- الهدف: إخفاء رموز النطاقات عشوائياً في التسلسل وتدريب النموذج على إعادة بنائها باستخدام سياق الاستعلامات المحيطة والبنية الرسومية.
- يسم_ح هذا للنموذج بتعلم "قواعد" نشاط DNS دون الحاجة إلى بيانات مصنفة.
الضبط الدقيق (Fine-tuning):
- يمكن ضبط النموذج المدرب مسبقاً لمهام محددة لاحقة (مثل التصنيف) عن طريق إضافة رأس تصنيف والتدريب على بيانات مصنفة.

3. المساهمات الرئيسية

بنية مبتكرة: تقديم DNS-GT، وهو أول نموذج يدمج الانتباه الذاتي القائم على المحولات مع الشبكات العصبية الرسومية خصيصاً لتحليل حركة مرور DNS.
تضمينات مدركة للسياق: يتعلم النموذج تمثيلات تلتقط العلاقة الدلالية بين النطاق وتسلسل الاستعلامات المحيط به، بدلاً من التعامل مع النطاقات بشكل منعزل.
التدريب المسبق غير الخاضع للإشراف: إثبات إمكانية تعلم تضمينات عالية الجودة من كميات هائلة من بيانات DNS غير المصنفة، مما يقلل الاعتماد على مجموعات البيانات المصنفة النادرة.
تقييم شامل: تجارب واسعة النطاق على مجموعة بيانات حقيقية (أكثر من 4,000 مضيف، وحوالي 13 مليون استعلام) تغطي تصنيف النطاقات وكشف البوت نت.
مفتوح المصدر: الكود والمنهجية متاحان للمجتمع العلمي.

4. النتائج التجريبية

قيم المؤلفون DNS-GT مقابل نماذج Word2Vec (CBOW و Skip-Gram) الأساسية في مهمتين: تصنيف النطاقات (تحديد النطاقات الضارة) وكشف البوت نت.

مجموعة البيانات: مجموعة بيانات TI-2016 (10 أيام من حركة مرور شبكة الحرم الجامعي).
المقاييس: ROC-AUC، F1-Score.

النتائج الرئيسية:

أداء متفوق: تفوق DNS-GT باستمرار على نماذج Word2Vec الأساسية في التصنيف من الطرف إلى الطرف (End-to-End).
- استراتيجية الكثافة (الأفضل): حقق DNS-GT AUC قدره 0.848 و F1 قدره 0.654، متفوقاً بشكل ملحوظ على Word2Vec-CBOW (AUC 0.779) و Word2Vec-SkipGram (AUC 0.656).
الحساسية للسياق: أثبت النموذج بنجاح أن درجة تصنيف النطاق تتغير بناءً على سياقه. على سبيل المثال، تم تحديد النطاق الحميد download.cdn.mozilla.net كاسم مشبوه عندما ظهر في تسلسل من نطاقات التتبع الضارة المعروفة، في حين تم تصنيفه كنطاق حميد في حالة عزله.
دراسة الاستئصال (Ablation Study): أدى إزالة آلية الانتباه إلى انخفاض هائل في الأداء (انخفض AUC من 0.848 إلى 0.410)، مما يثبت أن النمذجة السياقية هي المحرك الأساسي للنجاح.
كشف البوت نت: حقق DNS-GT دقة قدرها 0.877 و AUC قدره 0.970، مما يجعله يضاهي أو يتجاوز النماذج الأساسية.
المقايضات: يتطلب DNS-GT موارد حوسبة أعلى (وقت تدريب ~1,900 دقيقة مقابل ~200-400 دقيقة لـ Word2Vec) بسبب بنيته المعقدة (24 مليون معلمة مقابل 15 مليون معلمة)، لكن مكاسب الأداء تبرر هذه التكلفة في التطبيقات الأمنية الحرجة.

5. الأهمية والعمل المستقبلي

نماذج التأسيس للأمن السيبراني: تضع هذه الورقة مساراً لاستخدام نماذج اللغات الكبيرة (LLM) (التدريب المسبق على بيانات ضخمة غير مصنفة + الضبط الدقيق) لأنظمة كشف التسلل للشبكات (NIDS).
الحفاظ على الخصوصية: تسمح البنية باستبعاد معلومات IP المضيف، مما يعالج مخاوف الخصوصية مع الحفاظ على فعالية الكشف.
القابلية للتوسع: النهج قابل للتوسع ويمكن تكييفه مع مهام مختلفة لاحقة مثل توصيف الجلسات وكشف الشذوذ.
الاتجاهات المستقبلية: يقترح المؤلفون استكشاف مجموعات بيانات أكبر لاختبار قوانين القياس (Scaling Laws)، ودمج توبولوجيا رسومية أكثر تعقيداً (مثل تلك القائمة على تشابه النطاقات)، وتطبيق النموذج على بروتوكولات شبكة أخرى.

في الختام، يمثل DNS-GT تقدماً كبيراً في أمن الشبكات من خلال الانتقال من استخراج الميزات الثابتة إلى تعلم التمثيل الديناميكي المدرك للسياق، مما يسد الفجوة بين تقنيات معالجة اللغات الطبيعية (NLP) وكشف التهديدات السيبرانية.