Verification-Guided Specification Synthesis with Large Language Models for Intrusion Detection Rules
تقترح هذه الورقة إطار عمل موجهاً بالتحقق يستفيد من النماذج اللغوية الكبيرة والتركيب الاستقرائي الموجه بالأمثلة المضادة لتوليد قواعد كشف التسلل لـ Suricata بدقة عالية تلقائياً من آثار طلبات HTTP، محققةً معدل كشف بنسبة 81.5% مع صفر من الإيجابيات الكاذبة على بيانات هجمات إنترنت الأشياء الواقعية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
إن الإنترنت مليء بالأجهزة الذكية، من أجهزة تنظيم الحرارة إلى كاميرات المراقبة، التي تربط منازلنا ومكاتبنا بالعالم الرقمي. وبينما توفر هذه الأدوات الراحة، إلا أنها غالباً ما تحتوي على نقاط ضعف خفية يمكن للمهاجمين استغلالها. وعند اكتشاف نقطة ضعف جديدة، يجب على خبراء الأمن كتابة تعليمات محددة، تُعرف بقواعد الكشف، لإخبار أنظمة مراقبة الشبكات بكيفية رصد وإيقاف حركة المرور الضارة قبل أن تسبب الضرر. تقليدياً، كانت كتابة هذه القواعد مهمة بطيئة ويدوية تتطلب خبرة عميقة، مما يخلق فجوة خطيرة بين لحظة رصد الهجوم ولحظة جاهزية الدفاع. وفي السنوات الأخيرة، أظهرت برامج حاسوبية قوية تُسمى "نماذج اللغات الكبيرة" وعوداً في المساعدة في هذه المهمة، حيث يمكنها قراءة وفهم النصوص المعقدة. ومع ذلك، فقد ثبت أن مجرد مطالبة هذه البرامج بكتابة قواعد أمنية أمر ينطوي على مخاطر؛ فهي غالباً ما تنشئ تعليمات فضفاضة للغاية، تلتقط حركة المرور غير الضارة جنباً إلى جنب مع الضارة، أو تفشل في العمل بشكل صحيح عند اختبارها في ظروف العالم الحقيقي.
لقد طور فريق من الباحثين في جامعة دوشيشا في اليابان نهجاً جديداً لسد هذه الفجوة، عبر تحويل عملية إنشاء قواعد الأمان إلى لعبة تحقق دقيقة وخطوة بخطوة. فبدلاً من مطالبة برنامج حاسوبي بكتابة قاعدة الأمان النهائية في خطوة واحدة، يطلب الباحثون من البرنامج أولاً تحليل مثال واحد لهجوم ضار ووصف ما يجعل هذا الطلب خطيراً بدقة وبمصطلحات منطقية بسيطة. يعمل هذا الوصف بمثابة مسودة مواصفات. ثم يقوم النظام باختبار هذه المسودة مقابل مجموعة كبيرة من حركة المرور العادية وغير الضارة من أجهزة حقيقية. وإذا صنفت المسودة طلباً عادياً كأنه هجوم عن طريق الخطأ، فإن النظام يعامل هذا الطلب العادي كـ "مثال مضاد" ويعيده إلى البرنامج الحاسوبي مع سؤال محدد: "لماذا أخطأت في هذا؟". يقوم البرنامج بعد ذلك بتشخيص خطئه، ويعدل وصفه ليكون أكثر دقة، ثم يحاول مرة أخرى. وتستمر هذه الدورة من الاقتراح، والاختبار، وإيجاد الأخطاء، والتحسين حتى تفصل المسودة تماماً بين الهجمات السيئة وحركة المرور الجيدة. وفقط بعد أن تجتاز هذه المسودة كل الاختبارات، تقوم أداة منفصلة ومؤتمتة بترجمةها إلى قاعدة الأمان النهائية القابلة للاستخدام.
اختبر الباحثون هذه الطريقة على 281 هجوماً من هجمات العالم الحقيقي التي تم توثيقها في سجلات أمنية عامة، تراوحت بين محاولات سرقة البيانات أو الأوامر التي تجبر الأجهزة على تنفيذ إجراءات غير مصرح بها. وقد قرنوا هذه الهجمات بـ 281 مثالاً لحركة مرور طبيعية وغير ضارة تم جمعها من أجهزة حقيقية متصلة بالإنترنت. وأظهرت النتائج أن طريقتهم نجحت في توليد قواعد أمنية صالحة للعمل لـ 81.5 بالمائة من الهجمات. ومن الأهمية بمكان أنه في جميع الاختبارات، لم ينتج النظام إنذاراً كاذباً واحداً، مما يعني أنه لم يصنف أبداً اتصالاً عادياً وآمناً كأنه هجوم. وهذا يتناقض بشكل صارخ مع الطرق الأخرى التي تعتمد على نماذج اللغات الكبيرة لكتابة القواعد مباشرة، والتي غالباً ما تلتقط هجمات أقل أو، وهو الأمر الأكثر خطورة، تطلق إنذارات على حركة مرور بريئة. ووجدت الدراسة أن مفتاح هذا النجاح لم يكن فقط قدرة البرنامج الحاسوبي على فهم الهجوم، بل في عملية التحقق الصارمة من عمله مقابل حركة المرور العادية وإجباره على إصلاح أخطائه قبل إنشاء أي قاعدة.
كما استكشف الباحثون ما يحدث عند إزالة أجزاء من نظامهم لفهم الخطوات الأكثر أهمية. ووجدوا أنه إذا تخطوا الخطوة التي يقوم فيها النظام بالتحقق من عمله مقابل حركة المرور العادية ومحاولة إصلاح الأخطاء، فإن معدل النجاح ينخفض بشكل كبير، حيث يلتقط أقل من نصف عدد الهجمات. وقد أكد هذا أن القدرة على التعلم من الأخطاء كانت الجزء الأهم في تصميمهم. وعلى العكس من ذلك، عندما أزالوا الخطوة النهائية التي تترجم الوصف المنطقي إلى قاعدة رسمية، ظل النظام يلتقط العديد من الهجمات، لكن العملية أصبحت أقل اتساقاً. وتشير الدراسة إلى أن الاستراتيجية الأكثر فعالية هي إبقاء التفكير والكتابة منفصلين: دع البرنامج الحاسوبي يركز على فهم منطق الهجوم وتصحيح أخطائه، بينما تتولى أداة بسيطة وموثوقة عملية الترجمة النهائية إلى تنسيق يمكن لأنظمة أمن الشبكات استخدامه.
ورغم أن الطريقة الجديدة قدمت أداءً استثنائياً، إلا أن الباحثين أشاروا إلى أنها ليست حلاً مثالياً لكل أنواع التهديدات. فالنظام يعمل بشكل أفضل عندما يترك الهجوم بصمة واضحة وفريدة في البيانات التي يرسلها، مثل الرموز الغريبة المستخدمة لاختراق النظام أو أوامر محددة لا تشبه الطلبات العادية بتاتاً. وقد واجه صعوبة أكبر مع الهجمات التي تعتمد على الحالة الداخلية للجهاز أو محتوى الاستجابة، وهي أمور يصعب تحديدها بمجرد النظر إلى الطلب الأولي. ويقر المؤلفون بأن العمل المستقبي سيتعين عليه معالجة هذه الحالات الأصعب، ربما من خلال اختبار القواعد ضد أجهزة حقيقية أو عمليات محاكاة أكثر تعقيداً. أما في الوقت الحالي، فإن نهج التحقق الموجه هذا يقدم خطوة كبيرة للأمام، ويثبت أنه من خلال الجمع بين قدرة الفهم لنماذج اللغات الكبيرة وعملية صارمة من الفحص والتصحيح المتكرر، من الممكن بناء دفاعات أمنية تتسم بفعالية عالية ودقة فائقة في آن واحد.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.