Multi-LLM Consensus Framework for Evaluating Banking-Sector NIDS Dataset Coverage of MITRE ATT&CK Techniques

تخيل الإنترنت كمدينة ضخمة وصاخبة حيث البنوك هي أهم الخزائن. وللحفاظ على سلامة هذه الخزائن، تقوم حراس أمن يُطلق عليهم "أنظمة كشف التسلل للشبكات" (NIDS) بدوريات في الشوارع الرقمية، لمراقبة أي شخص يحاول الاقتحام. يتم تدريب هؤلاء الحراس باستخدام "تمارين تدريبية" — وهي مجموعات ضخمة من بيانات الهجمات الوهمية تسمى مجموعات البيانات. المشكلة تكمن في أن معظم هذه التمارين عامة؛ فهي تعلم الحراس كيفية إيقاف نشال شائع أو سارق سيارات، لكنها نادراً ما تظهر لهم كيف يوقفون عبقرياً يعرف تماماً كيف يخترق نظام تحويل أموال خاص بالبنك أو يخدع جهاز صراف آلي. الأمر يشبه تدريب رجل إطفاء فقط على حرائق المطبخ، ثم إرساله لإخماد انفجار في مصنع كيماويات؛ قد يعرف كيف يستخدم الخرطوم، لكنه لن يعرف ماذا يفعل عندما تبدأ المواد الكيميائية في التفاعل. تطرح هذه الورقة سؤالاً بسيطاً ولكنه بالغ الأهمية: هل تمارين التدريب الحالية تُعدُّ حراسنا الرقميين حقاً لمواجهة الهجمات المحددة والمراوغة التي تستهدف البنوك، أم أنها تكتفي بجعل الحراس يشعرون بالثقة بينما تتركهم عرضة للخطر؟

قرر مؤلفو هذه الورقة استقصاء هذه الفجوة من خلال بناء طريقة جديدة وأكثر ذكاءً لاختبار مجموعات بيانات التدريب هذه. فبدلاً من مجرد عدّ كم عدد "الأشرار" الموجودين في مجموعة بيانات ما، استخدموا طريقة تحاكي كيف تعمل مستشعرات الأمن في العالم الحقيقي. بدأوا بقائمة ضخمة تضم 210 طريقة مختلفة قد يهاجم بها الهكرز بنكاً، مأخوذة من دليل شهير يسمى MITRE ATT&CK. ومع ذلك، كانوا يدركون أن مستشعرات الأمن الحقيقية لها حدود: فهي لا تستطيع رؤية ما بداخل الرسائل المشفرة (مثل رسالة داخل ظرف مغلق)، ولا تستطيع رؤية ما يحدث داخل عقل الكمبيوتر (مثل حذف ملف)، كما أنها تراقب حركة المرور بشكل سلبي فقط، مثل كاميرا مثبتة على عمود، دون القدرة على إيقافها.

ولمعرفة أي من تلك الـ 210 هجمات يمكن للمستشعر رصدها فعلياً، لم يكتفِ الباحثون بسؤال خبير واحد؛ بل استخدموا "محرك إجماع" مكوناً من أربعة نماذج قوية للذكاء الاصطناعي. تخيل الأمر كلوحة من أربعة محققين خارقين الذكاء، يتعين عليهم جميعاً الاتفاق على ما إذا كان هجوم معين يترك أثراً مرئياً أم لا. إذا قال ثلاثة من أربعة محققين: "نعم، يمكننا رؤية ذلك"، اعتبر الهجوم قابلاً للكشف. وإذا اختلفوا، كان الفريق حذراً واعتبر الهجوم غير مرئي للمستشعر. هذه القاعدة الصارمة قامت بتصفية القائمة لتصل إلى 68 هجوماً فقط يمكن لمستشعر بنك حقيقي رصدهم بواقعية.

بعد ذلك، أخذوا هذه الهجمات البنكية الـ 68 "القابلة للكشف" وفحصوا خمس مجموعات بيانات تدريبية شائعة لمعرفة مدى تغطيتها لهذه التهديدات المحددة. كانت النتائج صادمة؛ فقد وجدوا أن مجموعة البيانات المسماة UNSW-NB15 هي الأفضل بين المجموعة، حيث غطت حوالي 82.2% من الهجمات البنكية المهمة. ومع ذلك، كان هناك تحفظ: 18.4% فقط من تلك التغطية كانت مطابقة مباشرة. أما الباقي فكان مجرد تلميح غامض، مثل رؤية دخان دون معرفة ما إذا كان ناتجاً عن حريق أم عن شواء. ومن ناحية أخرى، كانت مجموعة البيانات المسماة CIC-DDoS2019، والتي تُستخدم غالباً للاختبار، كارثية بالنسبة لأمن البنوك؛ فقد أغفلت 89.9% من السلوكيات البنكية الجوهرية، مما ترك فجوة عمياء هائلة. اتضح أن هذه المجموعة ممتازة في رصد هجمات حجب الخدمة الضخمة والصاخبة، لكنها عديمة الفائدة تماماً أمام الحيل الماكرة والمتعددة الخطوات التي يستخدمها الهكرز لسرقة الأموال.

تشير الورقة إلى أن الاعتماد على مجموعات البيانات القديمة والعامة هذه يمنح البنوك "شعوراً زائفاً بالأمان". فمجرد حصول نظام أمني على درجة عالية في اختبار عام لا يعني أنه سيعمل عندما يحاول هكر حقيقي التلاعب بتحويل مالي عبر نظام "سويفت" (SWIFT) أو اختراق جهاز صراف آلي. ويخلص المؤلفون إلى أننا بحاجة ماسة إلى بيانات تدريب جديدة مبنية خصيصاً للبنوك، بما في ذلك اللغات والبروتوكولات الفريدة التي يستخدمونها. وحتى ذلك الحين، قد يكون الحراس الرقميون بارعين جداً في رصد اللصوص العاديين، لكن من المرجح أن يتم مباغتتهم من قبل عمليات السطو المتطورة التي تهدد بالفعل النظام المالي العالمي.