UNAD+: An Explainable Hybrid Framework for Unknown Network Attack Detection

ملخص تقني لإطار عمل UNAD+: إطار هجين قابل للتفسير للكشف عن هجمات الشبكة غير المعروفة

بيان المشكلة
لا يزال الكشف الموثوق عن هجمات الشبكة غير المرئية مسبقاً (هجمات اليوم صفر - zero-day) يمثل تحدياً حرجاً لأنظمة كشف التسلل (IDS). فبينما تؤدي أساليب التعلم الخاضع للإشراف أداءً جيداً في اكتشاف فئات الهجمات المعروفة، فإنها تفشل في التعميم على التهديدات الجديدة غير الموجودة في بيانات التدريب. ومن ناحية أخرى، فإن أساليب كشف الشذوذ غير الخاضعة للإشراف، التي تتعلم خصائص حركة المرور الحميدة لتحديد الانحرافات، تعد أفضل ملاءمة للكشف عن هجمات "اليوم صفر"، لكنها غالباً ما تعاني من معدلات إنذار كاذب (FPR) مرتفعة. وهذا يحد من نشرها العملي، حيث تولد تنبيهات مفرطة تثقل كاهل محللي الأمن. علاوة على ذلك، تفتقر الأنظمة الهجينة الحالية غالباً إلى الشفافية؛ إذ يكون الاستنتاج الداخلي لنماذج التجميع المعقدة غامضاً في كثير من الأحيان، مما يعيق ثقة المحلل، وتحليل السبب الجذري، والامتثال في القطاعات المنظمة.

المنهجية
يقترح البحث UNAD+، وهو إطار عمل هجين مطور يوسع نظام UNAD الأصلي (كاشف هجمات الشبكة غير المعروفة). يدمج UNAD+ ثلاثة مكونات أساسية في خط معالجة معياري:

1. مجموعة غير خاضعة للإشراف للحركة الحميدة فقط مع التصويت بالأغلبية الموزونة (WMV):

   • يستخدم الطور الأول مجموعة متباينة من 100 متعلم أساسي (50 نموذج عامل محلي للقيم المتطرفة Local Outlier Factor و50 نموذج غابة العزل Isolation Forest) مدربة حصرياً على مجموعات فرعية من حركة المرور الحميدة (benign traffic) المستمدة بطريقة الـ bootstrapping.
   • على عكس نظام UNAD الأصلي الذي استخدم التصويت بالأغلبية البسيطة، يستخدم UNAD+ التصويت بالأغلبية الموزونة (Weighted Majority Voting). فخلال مرحلة التحقق، يتم تخصيص وزن لكل متعلم أساسي يتناسب مع مقياس F1-score الخاص به. وأثناء الاستدلال، يتم وزن التنبؤات بناءً على هذه الدرجات لتحديد مخرج المجموعة النهائي. هذا النهج يقلل من تأثير الكواشف الضعيفة ويلغي سيناريوهات كسر التعادل التي كانت تميل في النظام الأصلي نحو التنبؤ بالحالة الحميدة.

2. مرحلة الصقل الخاضعة للإشراف:

   • لمعالجة ارتفاع معدل الإنذارات الكاذبة (FPR) في المرحلة غير الخاضعة للإشراف، تم إدخال مصنف خاضع للإشراف في المرحلة الثانية.
   • يتم تحويل الكشوفات الأولية للمجموعة (سواء كانت هجمات تم تحديدها بشكل صحيح أو تدفقات حميدة) إلى تسميات مستعارة (pseudo-labels). هذه التسميات، جنباً إلى جنب مع البيانات الحميدة الأصلية، تشكل مجموعة تدريب موسعة.
   • يتم تدريب مصنف الغابة العشوائية (Random Forest)، الذي تم اختياره لقوته وقابليته للتفسير، على هذه البيانات ذات التسميات المستعارة. تتعلم هذه المرحلة حدود قرار أكثر دقة من أنماط حركة المرور القريبة من بيئة الكشف التشغيلية، مما يؤدي فعلياً إلى تصحيح الأخطاء المتبقية من المرحلة الأولى.
   • تم اقتراح نقطة تحقق "الإنسان في الحلقة" (human-in-the-loop) بين المراحل للسماح لخبراء المجال بالتحقق من مجموعة فرعية من التسميات المستعارة قبل استخدامها في التدريب الخاضع للإشراف، وذلك للحد من انتشار الأخطاء.

3. طبقة التفسير اللاحقة (Post Hoc Explainability):

   • لتعزيز الشفافية، يدمج إطار العمل آليات تفسير محلية وعالمية.
   • التفسير المحلي: يتم تطبيق تقنية LIME (التفسيرات المحلية التفسيرية المستقلة عن النموذج) على مصنف الغابة العشوائية لإنشاء تفسيرات على مستوى الحالة (instance-level)، مما يسلط الضوء على ميزات حركة المرور (مثل أطوال الحزم، أو بايتات التدفق) التي ساهمت في تنبؤات محددة.
   • التفسير العالمي: يتم تدريب نموذج بديل من شجرة القرار (Decision Tree surrogate model) لتقريب سلوك الغابة العشوائية. يوفر هذا رؤية مبسطة وقابلة للتفسير لمنطق القرار العالمي، بما في ذلك القواعد المهيمنة وتفاعلات الميزات.

المساهمات الرئيسية

• البنية الهجينة: يوضح البحث تكاملاً متماسكاً بين الكشف غير الخاضع للإشراف المعتمد على البيانات الحميدة فقط، والصقل الخاضع للإشراف باستخدام التسميات المستعارة، والقدرة على التفسير ضمن إطار عمل واحد.
• آلية التصويت الموزون: يؤدي إدخال WMV إلى تحسين اتخاذ القرار في المجموعة من خلال وزن المتعلمين الأساسيين بناءً على الأداء، مما يقلل من غموض حالات التعادل والتحيز لفئة البيانات الحميدة.
• تقليل الإنذارات الكاذبة: ثبت أن مرحلة الصقل الخاضعة للإشراف هي آلية حاسمة لخفض معدلات الإنذار الكاذب المتأصلة في كشف الشذوذ غير الخاضع للإشراف بشكل كبير.
• التفسير المتكامل: ينتقل إطار العمل من معاملة التفسير كإضافة ثانوية، إلى دمجه كمكون هيكلي لدعم ثقة المحلل والتدقيق.

النتائج التجريبية
تم تقييم إطار العمل على مجموعتي بيانات مرجعيتين: CICIDS2017 و NSL-KDD.

• مقاييس الأداء:
  • في CICIDS2017، حقق إطار عمل UNAD+ الكامل مقياس F1 بنسبة 98.31%، وهو تحسن ملحوظ عن نظام UNAD الأصلي (75.19%) والمصنف الخاضع للإشراف المستقل (90.59%). كما انخفض معدل الإنذار الكاذب (FPR) من 11.34% (في حالة المجموعة الموزونة) إلى 0.18% بعد عملية الصقل.
  • في NSL-KDD، حقق إطار العمل مقياس F1 بنسبة 98.25%، متفوقاً على نظام UNAD الأصلي (93.38%). وانخفض معدل الإنذار الكاذب (FPR) من 6.37% إلى 2.77%.
• التحليل على مستوى الفئات: أدت مرحلة الصقل إلى تحسين كبير في الكشف عن فئات الهجمات الصعبة أو النادرة (مثل SSH-Patator، و DoS Slowhttptest، و R2L، و U2R). ومع ذلك، كانت مكاسب الأداء محدودة للفئات النادرة للغاية حيث فشلت المرحلة الأولى في توليد حالات كافية ذات تسميات مستعارة لكي تتعلم منها المرحلة الثانية.
• تقييم التفسير: وُجد أن التفسيرات المحلية (LIME) منطقية، حيث تسلط الضوء على ميزات شبكية ذات معنى، وتتميز بالاستقرار عبر عمليات الفحص المتكررة. كما أظهرت النماذج البديلة العالمية دقة عالية (تتجاوز 99%) في محاكاة مصنف الغابة العشوائية، ونجحت في التقاط منطق القرار الخاص به في تنسيق قابل للتفسير.

الأهمية والادعاءات
يزعم المؤلفون أن UNAD+ يقدم تحسناً جوهرياً مقارنة بالخط المرجعي UNAD الأصلي، ليس فقط من خلال الأداء التنبئي، بل أيضاً من خلال معالجة القيود التشغيلية لأنظمة كشف التسلل غير الخاضعة للإشراف. ويؤكد البحث أن الجمع بين الكشف بالمجموعات الموزونة والصقل الخاضع للإشراف يوازن بفعالية بين الحاجة إلى كشف هجمات "اليوم صفر" والمتطلبات المتمثلة في انخفاض معدلات الإنذار الكاذب. علاوة على ذلك، يُقدم دمج التفسير كأمر ضروري للنشر في العالم الحقيقي، مما يمكن المحللين من تفسير القرارات، وتدقيق سلوك النظام، وتصحيح أخطاء المصنف. ويخلص العمل إلى أنه بينما يعد إطار العمل فعالاً للغاية، فإن أداءه في فئات الهجمات النادرة للغاية يعتمد على قدرة المرحلة الأولى على توليد تسميات مستعارة غنية بالمعلومات، وأن العمل المستقبلي يجب أن يعالج تحديات حركة المرور المشفرة.