SiNMULI: Novel Signed Network Approach for Malicious URL Identification

إن الإنترنت عبارة عن شبكة واسعة ومترابطة من المعلومات، لكنه أيضاً مكان يختبئ فيه الخطر في وضح النهار. ففي كل يوم، ينقر الناس على روابط تؤدي إلى مواقع مصممة لسرقة كلمات المرور، أو نشر الاحتيال، أو تثبيت برامج ضارة. ولعقود من الزمن، حاول خبراء الأمن إيقاف هذه التهديدات من خلال بناء قوائم بالعناوين السيئة المعروفة أو من خلال تعليم الحواسيب التعرف على الأنماط المشبوهة في نص عنوان الويب. وتعمل هذه الأساليب بشكل جيد مع التهديدات المعروفة، لكنها غالباً ما تفشل عندما يبتكر المهاجمون مواقع جديدة مموهة بذكاء تبدو تماماً مثل المواقع الحقيقية. ولحل هذه المشكلة، بدأ الباحثون في النظر إلى الإنترنت ليس فقط كمجموعة من الصفحات الفردية، بل كشبكة اجتماعية عملاقة حيث يكون لكل موقع علاقة بالمواقع الأخرى. تماماً كما يثق الناس في مجتمع ما ببعض الجيران ولا يثقون في آخرين، تقوم المواقع الإلكترونية بالربط ببعض المواقع وتتجنب أخرى. ومن خلال دراسة هذه الروابط، يمكن رؤية الهيكل الخفي للويب ورصد الجهات السيئة التي لا تتناسب مع النمط العام.

لقد طور فريق من الباحثين في المعهد الهندي لمعلومات تكنولوجيا المعلومات في غواهاتي طريقة جديدة لاستخدام هذه الفكرة للإيقاع بالمواقع الضارة. وقد أطلقوا على طريقتهم اسم "SiNMULI"، وهو نظام يعامل الإنترنت كشبكة مُوقعة (signed network). في هذا النظام، يمثل كل موقع إلكتروني نقطة، وكل رابط بينها هو خط يحمل معنى محدداً. فإذا قام موقع آمن وموثوق بالربط بموقع آخر، تُحدد تلك العلاقة كإيجابية، مثل التصويت بالثقة. وإذا قام موقع سيء معروف بالربط بموقع آخر، تُحدد تلك العلاقة كسلبية، مما يشير إلى الخطر. أدرك البحث أن معظم أدوات الأمن الحالية تتجاهل هذه العلاقات، وتركز بدلاً من ذلك على محتوى الصفحة الواحدة. وفي المقابل، ينظر نظام "SiNMULI" إلى الصورة الكاملة، مستخدماً منطق التوازن الاجتماعي لتحديد المواقع الآمنة وغير الآمنة. الفكرة الجوهرية بسيطة: في الشبكة المستقرة، يميل الأصدقاء إلى الربط بأصدقاء آخرين، ويميل الأعداء إلى الربط بأعداء آخرين. فإذا كان الموقع الإلكتروني محاطاً بروابط من مواقع آمنة معروفة، فمن المرجح أنه آمن. وإذا كان محاطاً بروابط من مواقع سيئة معروفة، فمن المرجح أنه خطير.

ولاختبار هذه الفكرة، بدأ الباحثون بمجموعة كبيرة من المواقع الآمنة والسيئة المعروفة. واستخدموا هذه المجموعة كنقطة انطلاق لاستكشاف الويب الأوسع، متتبعين الروابط لاكتشاف مواقع جديدة غير معروفة. وبينما كانوا يزحفون عبر الإنترنت، بنوا خريطة ضخمة من الاتصالات، مسجلين أي المواقع ترتبط بأيها. ثم طبقوا مجموعة من القواعد القائمة على نظرية التوازن الاجتماعي على هذه الخريطة. سمحت هذه القواعد للنظام باستنتاج طبيعة الروابط غير المعروفة. فعلى سبيل المثال، إذا ربط موقع آمن معروف بموقع غير معروف، وقام ذلك الموقع غير المعروف بالربط بموقع آمن آخر معروف، يمكن للنظام أن يستنتج أن الموقع غير المعروف آمن على الأرجح. وعلى العكس من ذلك، إذا تم ربط موقع غير معروف من قبل مواقع سيئة معروفة، فإن النظام يصنفه كموقع خطير. لم يكن الباحثون بحاجة إلى تدريب نموذج حاسوبي معقد بآلاف الأمثلة؛ بل اعتمدوا بدلاً من ذلك على الهيكل الطبيعي للويب نفسه للكشف عن الحقيقة.

كانت نتائج هذا النهج مذهلة. فعند اختباره على بيانات من العالم الحقيقي، حدد النظام المواقع الضارة بدقة بلغت 99.89 بالمائة. لقد تمكن من رصد كل موقع سيء تقريباً مع ارتكاب أخطاء قليلة جداً بشأن المواقع الآمنة. ويضاهي هذا الأداء أو يتجاوز باستمرار الطرق التقليدية التي تعتمد على التعلم الآلي أو الشبكات العصبية العميقة، والتي غالباً ما تواجه صعوبات أمام التهديدات الجديدة أو المموهة. وكان أحد أهم النتائج هو أن النظام يعمل دون الحاجة إلى كمية كبيرة من بيانات التدريب. ولأنه يعتمد على الهيكل الحالي للروابط بين المواقع، فإنه يمكنه تحديد التهديدات الجديدة فوراً، حتى لو لم يسبق له رؤيتها من قبل. ومع ذلك، لاحظ الباحثون أن خط العمل الحالي يعمل "بدون اتصال" (offline)؛ إذ إن بناء الشبكة الموقعة الكاملة وتشغيل عملية انتشار الملصقات القائمة على التوازن التكراري هي عمليات مكلفة حاسوبياً، مما يجعل النشر في الوقت الفعلي أمراً صعباً دون تحسينات هندسية إضافية. وهذا يجعل النظام خفيفاً من حيث متطلبات التدريب، لكن عملية التحليل نفسها تتطلب وقتاً وقوة حوسبة كبيرين.

وجد الباحثون أيضاً أن المواقع الضارة تتصرف بشكل مختلف عن المواقع الآمنة في الشبكة. فالمواقع الآمنة تميل إلى أن تكون متصلة جيداً، حيث تشكل مجموعات كبيرة ومتماسكة حيث ترتبط بالعديد من المواقع الموثوقة الأخرى. أما المواقع الضارة، من ناحية أخرى، فغالباً ما تقع على أطراف الشبكة؛ حيث تكون روابطها أقل وتكون غالباً متفرقة أو معزولة. وفر هذا الاختلاف الهيكلي طبقة أخرى من الأدلة ساعدت النظام على اتخاذ قرارات دقيقة. وقد أظهرت الدراسة أنه من خلال النظر في كيفية اتصال المواقع ببعضها البعض، يمكن لخبراء الأمن رؤية أنماط تكون غير مرئية عند النظر إلى صفحة واحدة بمعزل عن غيرها. كما أن النظام شفاف؛ فخلافاً لبعض أدوات الأمن الحديثة التي تعمل كـ "صندوق أسود" حيث تكون عملية اتخاذ القرار مخفية، يتيح هذا الأسلوب للمحللين رؤية السبب الدقيق وراء تصنيف الموقع. ويمكنهم تتبع سلسلة الروابط التي أدت إلى الاستنتاج، مما يجعل من السهل فهم النتيجة والثقة بها.

وعلى الرغم من أن الطريقة أثبتت فعاليتها العالية، إلا أن الباحثين أقروا بأنها ليست مثالية. فقد كان جمع البيانات صعباً لأن العديد من المواقع الضارة قصيرة العمر، حيث تختفي قبل أن يتم رسم خرائطها بالكامل، أو تستخدم حِيلاً لمنع الماسحات الضوئية الآلية. وهذا يعني أن خريطة الشبكة تكون غير مكتملة أحياناً، مع بقاء بعض المواقع السيئة مخفية. بالإضافة إلى ذلك، يعمل النظام الحالي بشكل أفضل عندما يمكنه تحليل هيكل الشبكة الكامل، وهو أمر يستغرق وقتاً وقوة حوسبة. ومن أجل توفير حماية في الوقت الفعلي، حيث يجب اتخاذ قرار في أجزاء من الثانية، سيتعين تعديل النظام ليعمل بشكل أسرع. وبالرغم من هذه التحديات، تقدم الدراسة منظوراً قوياً للأمن السيبراني؛ فهي تشير إلى أن أفضل طريقة لمحاربة التهديدات الرقمية ليست فقط بالنظر بتمعن أكبر في قطع الكود الفردية، بل بفهم العلاقات التي تربط الإنترنت ببعضه البعض. فمن خلال معاملة الويب كشبكة اجتماعية حيث تنتقل الثقة وعدم الثقة من موقع إلى آخر، وجد الباحثون طريقة لرؤية الأنماط غير المرئية التي تكشف الحقيقة.