MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

ملخص تقني: MV-Gate للكشف عن التهديدات الداخلية

بيان المشكلة
تتميز التهديدات الداخلية بوجود فاعلين خبيثين هم في الأصل مستخدمون شرعيون، مما يجعل من الصعب تمييز أفعالهم عن العمليات الطبيعية. غالبًا ما تتقدم هذه الهجمات ببطء، حيث تولد إشارات ضعيفة ومتفرقة زمنياً. ومن الملاحظات الجوهرية أن الشذوذ المبكر لا ينبع في كثير من الأحيان من دلالات الأحداث الفردية (مثل كون أمر معين خبيثاً)، بل من الاضطرابات في الإحصاءات السلوكية. وتشمل هذه الاضطرابات أنماط التكرار المتغيرة (مثل ظهور فعل ما مجدداً بعد فترة خمول) والتحولات في الترددات قصيرة وطويلة المدى.

لقد انتقلت النهج الحالية للتعلم العميق في مجال الكشف عن التهديدات الداخلية (ITD) بشكل كبير نحو ترميز السجلات ومعالجتها باستخدام مشفرات تسلسلية (LSTMs، GRUs، Transformers). وبينما تعد هذه النماذج فعالة في التقاط السياق الدلالي، إلا أنها غالباً ما تتجاهل الانتظامات الإحصائية الصريحة بسبب اعتمادها على "الرموز فقط" (token-only). ونتيجة لذلك، تظل هذه النماذج غير حساسة للانحرافات السلوكية التدريجية ومنخفضة الرؤية التي تسبق عادةً حوادث التهديد الداخلي.

المنهجية: MV-Gate
لسد الفجوة بين الإشارات الإحصائية والنمذجة التسلسلية، يقترح المؤلفون إطار عمل MV-Gate (الانتباه المبوّب متعدد الرؤى - Multi-View Gated Attention)، وهو إطار عمل خفيف الوزن يدمج صراحةً الانتظامات السلوكية الإحصائية مع دلالات التسلسل. تعمل البنية عبر ثلاث مراحل:

1. تمثيل السلوك متعدد الرؤى:
   ينشئ النموذج ثلاثة تسلسلات سلوكية متزامنة من سجلات التدقيق الخام:

• رؤية رمز النشاط ($Z$): رموز منفصلة تشفر دلالات الأحداث والسياق الزمني الخشن.
• رؤية الحالة ($S$): إشارة متعددة المقاييس تلتقط أنماط التكرار. وهي تقيس مدى "ندرة" أو "جدة" فعل ما من خلال التحقق من غيابه عبر نوافذ تاريخية متعددة (على سبيل المثال: 1، 3، و7 خطوات).
• رؤية انحراف التردد ($F$): إشارة تقيس تحولات الكثافة من خلال مقارنة التردد قصير المدى بالتردد طويل المدى (على سبيل المثال: السلوكيات المتفجرة أو المكبوتة).

يتم إسقاط هذه الرؤى في مساحة تضمين مشتركة عبر عمليات إسقاط خطي خاصة بكل رؤية أو جداول بحث (lookup tables).

2. آلية البوابة المدركة للشذوذ:
   يكمن الابتكار الجوهري في آلية بوابة ديناميكية تقوم بحقن الإشارات الإحصائية في حساب الانتباه لمشفر الـ Transformer.

• يتم حساب بوابة المخاطر ($g_t$) لكل خطوة زمنية بناءً على تضمينات الحالة والتردد. تمثل هذه القيمة القياسية مستوى عدم الطبيعية للحدث.
• تقوم هذه البوابة بتعديل متجهات المفتاح (Key vectors) في آلية الانتباه الذاتي ($K'_t = g_t \cdot K_t$).
• من خلال تغيير حجم المفاتيح، يعدل النموذج أوزان الانتباه ديناميكياً لتسليط الضوء على الأحداث ذات عدم الانتظام الإحصائي العالي دون تغيير البنية الأساسية لـ Transformer.

3. كشف الشذوذ:
   يتم دمج تمثيلات الرموز المبوّبة مع الإحصاءات المجمعة (عبر متوسط التجميع لتضمينات الحالة والتردد) وتمريرها عبر مصنف متعدد الطبقات (MLP) لإخراج درجة شذوذ على مستوى التسلسل.

المساهمات الرئيسية

• تمثيل النشاط متعدد الرؤى: إطار عمل موحد يجمع بين الرموز الدلالية ورؤيتين إحصائيتين (الحالة والتردد)، مما يتجنب الاعتماد على هندسة الميزات اليدوية مع الحفاظ على الإشارات الإحصائية التي تُفقد عند الترميز.
• الانتباه المدرك للشذوذ: آلية مبتكرة تستخدم درجات الشذوذ الإحصائي لتعديل أوزان الانتباه ديناميكياً، مما يسمح للنموذج بالتركيز على الأحداث غير المنتظمة إحصائياً التي قد تغفل عنها آليات الانتباه التقليدية.
• إطار عمل متكامل (End-to-End): مسار كامل يدمج دمج الرؤى المتعددة والانتباه المبوّب لتصنيف مستوى التسلسل.
• تقييم شامل: تجارب واسعة النطاق تثبت فعالية الإطار عبر مجموعات بيانات متنوعة.

النتائج التجريبية
قيم المؤلفون نموذج MV-Gate على ثلاث مجموعات بيانات عامة: CERT r4.2، و CERT r5.2، و ADFA-LD.

• الأداء: حقق MV-Gate نتائج هي الأفضل في حالته (state-of-the-art) عبر جميع المقاييس (الاستدعاء، الدقة، الصحة، ودرجة F1) مقارنة بالنماذج الكلاسيكية للتعلم الآلي (LR, RF, XGBoost)، ونماذج التعلم العميق العامة (CNN, Transformer)، والنهج المتخصصة في المجال (ITDBERT, CATE, ITDLM, LogGPT).
• مكاسب محددة: في مجموعة بيانات CERT r5.2، حقق MV-Gate درجة F1 بلغت 0.957، متفوقاً على أفضل نموذج متخصص في المجال (CATE بنسبة 0.926)، ومتجاوزاً بشكل ملحوظ نماذج الـ Transformers العامة (0.805).
• دراسات الاستئصال (Ablation Studies): أدى حذف رؤية الحالة، أو رؤية التردد، أو آلية الانتباه المبوّب إلى تدهور ملحوظ في الأداء، مما يؤكد أن كلاً من التمثيل متعدد الرؤى وآلية البوابة ضروريان للكشف عن التهديدات ذات الإشارات الضعيفة.
• الكفاءة: وجدت الدراسة أن مشفر Transformer المكون من طبقتين يوفر أفضل توازن بين الأداء واستهلاك الذاكرة، حيث قدمت المجموعات الأكثر عمقاً مكاسب هامشية للتسلسلات القصيرة والمتفرقة في مجال الكشف عن التهديدات الداخلية.

الأهمية والادعاءات
تجادل الورقة بأن الكشف القوي عن التهديدات الداخلية يتطلب النمذجة المشتركة للأدلة الإحصائية والتسلسلية. وبينما يتفوق التعلم العمقة في الاستدلال الدلالي، فإنه غالباً ما يفشل في اكتشاف التهديدات التي تظهر كشذوذ إحصائي (مثل التغير المفاجئ في التردد أو التكرار) بدلاً من التحولات الدلالية.

يثبت MV-Gate أن دمج الأوليات الإحصائية صراحةً — وتحديداً أنماط التكرار وانحرافات التردد — في آلية الانتباه يسمح للنماذج باكتشاف تهديدات "الإشارات الضعيفة" والتهديدات التدريجية التي قد تغفل عنها النهج المعتمدة على الرموز فقط. ويخلص المؤلفون إلى أن هذا النهج يوفر تمثيلاً أكثر موثوقية لأنماط التهديدات الداخلية، خاصة للهجمات التدريجية التي تتطور بمرور الوقت، دون تكبد التكاليف الحسابية العالية المرتبطة بالنماذج اللغوية الكبيرة (LLMs). وتشمل الأعمال المستقبلية التي اقترحها المؤلفون دمج السجلات متعددة الوسائط (مثل حركة مرور الشبكة مع عمليات الملفات) وإمكانية دمج النماذج اللغوية الكبيرة (LLMs) للتفسير الدلالي جنباً إلى جنب مع الأدلة الإحصائية لـ MV-Gate.