From Detection to Response: A Deep Learning and Retrieval-Augmented Generation Framework for Network Intrusion Mitigation

ملخص تقني: من الكشف إلى الاستجابة

بيان المشكلة
بينما حققت أنظمة كشف التسلل (IDS) القائمة على التعلم الآلي دقة عالية في تصنيف الهجمات الشبكية، إلا أنها غالباً ما تفشل في معالجة الحاجة التشغيلية الحرجة لمحللي الأمن: تحديد الاستجابة المناسبة. تعمل نماذج التعلم العميق الحالية غالباً كـ "صناديق سوداء"، حيث تقدم تسميات تنبؤية دون شرح منطق القرار. علاوة على ذلك، فإن تقنيات الذكاء الاصطناعي القابل للتفسير (XAI) الحالية، مثل SHAP وLIME، تحدد الميزات المؤثرة ولكنها لا تقدم إرشادات تخفيف عملية. بالإضافة إلى ذلك، فإن مصادر المعرفة السيبرانية الموثوقة (مثل إرشادات NIST وMITRE ATT&CK) واسعة جداً بحيث يصعب استشارة يدويًا أثناء الحوادث في الوقت الفعلي. تعالج هذه الورقة الفجوة بين الكشف عالي الدقة عن التهديدات وتوليد استراتيجيات استجابة مهيكلة، قائمة على الأدلة، وقابلة للتنفيذ.

المنهجية
يقترح المؤلفون إطار عمل موحداً وشاملاً يدمج كشف التسلل القائم على التعلم العميق مع مسار توليد مدعوم بالاسترجاع (RAG). يعمل النظام من خلال خمس مراحل نمطية:

1. اكتساب البيانات ومعالجتها مسبقاً: يستخدم إطار العمل مجموعتي بيانات مرجعيتين، CICIDS2018 وUNSW-NB15. ولتمكين التقييم عبر مجموعات البيانات، تم بناء فضاء ميزات موحد مكون من 66 بُعداً. يتم ترميز الميزات الفئوية باستخدام الترميز الأحادي (one-hot encoding)، ويتم تطبيق الحشو الصفري (zero-padding) لسد الفجوات البعدية. يقوم قاموس تفسير الميزات بربط أسماء الميزات التقنية بأوصاف مفهومة بشرياً وتداعيات أمنية.
2. تصنيف الشبكات العصبية العميقة (DNN) المعاير بالثقة: بدلاً من نموذج واحد متعدد الفئات، يستخدم النظام مجموعة من ثلاثة نماذج شبكات عصبية عميقة ثنائية التدريب بشكل مستقل باستخدام استراتيجية "واحد مقابل الكل" (Benign-vs-Rest, DoS-vs-Rest, DDoS-vs-Rest).
   • البنية: تستخدم النماذج طبقات متصلة بالكامل مع تفعيل ReLU. يستخدم نموذج CICIDS2018 ثلاث طبقات مخفية، بينما يستخدم نموذج UNSW-NB15 أربع طبقات، مع دمج تسوية الدفعة (batch normalization) وتنظيم الإسقاط (dropout regularization).
   • معالجة عدم توازن الفئات: لمعالجة عدم التوازن الشديد في الفئات (على سبيل المثال، حركة مرور DoS التي تشكل 0.64% فقط من UNSW-NB15)، يستخدم النظام خسارة التقاطع الثنائي الموزونة بالفئات (class-weighted binary cross-entropy loss)، والزيادة العشوائية للعينات (random oversampling)، والتقليل المنضبط للعينات، واختيار النموذج بناءً على مقياس F1-score.
   • المخرجات: تنتج المجموعة فئة متوقعة ودرجة ثقة قياسية، والتي يتم ربطها بـ "مستوى فرز مركز العمليات الأمنية SOC" (مرتفع جداً، مرتفع، متوسط، منخفض) لتوجيه أولويات المحلل.
3. بناء المطالبات الواعية بالتفسير: عند التصنيف، يستخرج النظام أهم 5 ميزات مؤثرة باستخدام التنسيب القائم على التدرج (gradient-based attribution). يتم ربط هذه الميزات بأوصاف لغوية طبيعية عبر قاموس التفسير. بعد ذلك، يتم تجميع مطالبة (prompt) مهيكلة تحتوي على:
   • سياق الكشف (فئة الهجوم، الثقة، المستوى).
   • بيانات وصف حركة الشبكة (عناوين IP، المنافذ، الطوابع الزمنية).
   • المؤشرات الشاذة (أهم 5 ميزات وتفسيراتها).
   • تعليمات دور النظام التي تحدد النموذج اللغوي الكبير (LLM) كمحلل أمن سيبراني رفيع المستوى مع اشتراطات صريحة للاستشهاد بالمصادر.
4. الاسترجاع الهجين المدعوم بالـ RAG: يتم تعزيز المطالبة عبر استرجاع التوجيهات ذات الصلة من قاعدة معرفية مكونة من 14 وثيقة مرجعية (بما في ذلك منشورات NIST الخاصة وMITRE ATT&CK). يستخدم مسار الاسترجاع نهجاً هجيناً:
   • البحث المعجمي: ترتيب BM25.
   • البحث الدلالي: استرجاع المتجهات الكثيفة باستخدام FAISS ومحولات الجمل (sentence transformers).
   • توسيع الاستعلام: يقوم قاموس المرادفات الخاص بالأمن السيبراني بتوسيع المصطلحات (مثلاً، من "DoS" إلى "استنزاف الموارد").
   • إعادة الترتيب: يقوم مشفر متقاطع (cross-encoder) بإعادة ترتيب المرشحين الأوائل لاختيار أفضل 5 قطع نصية للمطالبة.
5. توليد التقارير القائم على LLM: يقوم نموذج LLaMA 3:8B المنشور محلياً (عبر Ollama) بتوليد تقرير استجابة للحوادث مهيكل. يتضمن التقرير أقساماً حول: المبررات، المؤشرات الرئيسية، تقييم الثقة، تقييم التهديد، والتوصيات، وكلها مستندة إلى الاستشهادات المسترجعة.

المساهمات الرئيسية

1. استراتيجية المطالبة المهيكلة: طريقة مبتكرة تربط استدلال النموذج اللغوي الكبير (LLM) بأدلة كشف ملموسة (الفئة المتوقعة، الثقة، وأهم 5 ميزات شاذة) بدلاً من الاستعلامات العامة.
2. مسار الاسترجاع الهجين: نظام استرجاع يجمع بين البحث بالكلمات المفتاحية BM25، والبحث بالمتجهات الكثيفة FAISS، وإعادة ترتيب المشفر المتقاطع لاستخراج استراتيجيات التخفيف ذات الصلة من المصادر الموثوقة.
3. إطار عمل شامل للتخفيف: نظام لا يكتفي بالكشف عن الهجمات فحسب، بل يولد تقارير تخفيف مهيكلة ومستندة إلى الاستشهادات، مما يسد الفجوة بين الكشف والاستجابة.
4. التقييم الصارم: إطار تقييم يقارن مخرجات الـ RAG المعززة مقابل الحقيقة الأرضية المكتوبة من قبل خبراء ونماذج LLM الأساسية باستخدام مقاييس BERTScore وROUGE وBLEU.

النتائج

• أداء الكشف: حققت شبكة DNN المجمعة دقة بنسبة 99.84% على مجموعة بيانات CICIDS2018 و95.30% على مجموعة بيانات UNSW-NB15. ومن الجدير بالذكر أن استدعاء (recall) هجمات DoS في مجموعة بيانات UNSW-NB15 غير المتوازنة للغاية تحسن من 0.30% (الأساس) إلى 97.6% بعد تطبيق تدخلات الموازنة.
• أداء الاسترجاع: حقق مسار الاسترجاء الهجين معدل نجاح بنسبة 97% مع متوسط رتبة مستردة (MRR) قدره 0.87 ومتوسط زمن استجابة قدره 1.8 ثانية.
• جودة التقارير: تفوقت التقارير المعززة بـ RAG بشكل كبير على مخرجات LLM الأساسية عبر جميع المقاييس. مقارنة بالنموذج الأساسي، أظهر نظام RAG تحسناً بنسبة 4.4% في BERTScore F1، وزيادة بنسبة 32.5% في ROUGE-1، وزيادة بنسبة 126.4% في ROUGE-2، وزيادة بنسبة 244.1% في BLEU. تضمنت التقاريل المولدة باستمرار استشهادات لمصادر NIST وMITRE (بمعدلات استشهاد بلغت 93.3% و86.7% على التوالي).

الأهمية
تدعي الورقة أن إطار عملها يعالج بنجاح القصور المستمر في أبحاث أنظمة كشف التسلل (IDS) حيث يكون الكشف منفصلاً عن الاستجابة القابلة للتنفيذ. من خلال دمج الكشف بالتعلم العميق مع مسار RAG المستند إلى معرفة الأمن السيبراني الموثوقة، ينتج النظام تقارير تخفيف ليست دقيقة فحسب، بل أيضاً قابلة للتفسير، وسياقية، ومفيدة تشغيلياً لمحللي مركز العمليات الأمنية (SOC). يؤكد المؤلفون أن هذا النهج يقلل الوقت بين اكتشاف الهجوم والاستجابة الفعالة، مما يخفف من خطر الاضطراب الطويل للنظام. كما يعالج استخدام نموذج لغوي كبير (LLM) من نشر محلي مخاوف الخصوصية واللوائح المتعلقة بتوجيه بيانات حركة المرور الحساسة إلى واجهات برمجة التطبيقات الخارجية.