RAD: Rule-Augmented Relational Anomaly Detection
تقترح الورقة البحثية إطار عمل RAD، وهو إطار للكشف عن الشذوذ العلائقي المعزز بالقواعد يجمع بين تعلم تمثيل الرسوم البيانية غير المتجانسة والقواعد الرمزية المنقحة المستمدة من مسارات الغابة العشوائية لتحديد الشذوذ بفعالية في قواعد البيانات متعددة الجداول مع الحفاظ على البنية العلائقية ودمج الأدلة السلوكية، مما يظهر أداءً فائقاً على النماذج المرجعية الحالية في معيار مرجعي جديد يشمل مجموعات بيانات الأمن السيبراني والتجارة الإلكترونية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في الخوادم الضخمة والنابضة بالحياة في المؤسسات الحديثة، لا تستقر البيانات في أعمدة منفردة ومرتبة. بل تعيش في شبكة معقدة من الروابط، حيث يرتبط المستخدم، والآلة، والمعاملة، ومحاولة تسجيل الدخول معًا مثل عقد في شبكة مترامية الأطراف. لعقود من الزمن، حاول علماء الحاسوب العثور على الإبرة في هذا الكومة من القش: الحدث النادر والمشبوه الذي يشير إلى خرق أمني، أو محاولة احتيال، أو عميل على وشك المغادرة. كانت الطريقة التقليدية للبحث عن هذه الإبر هي تسطيح الشبكة بأكملها وتحويلها إلى قائمة واحدة طويلة من الأرقام، مما يؤدي إلى تجريد البيانات من روابطها لتسهيل معالجتها. لكن هذا النهج غالبًا ما يتخلص من ذات القرائن التي تجعل الحدث مريبًا. فقد تبدو عملية تسجيل دخول طبيعية تمامًا في حد ذاتها، ومع ذلك تصبح خطيرة للغاية عند النظر إليها في سياق الآلة المحددة التي جاءت منها، والوقت من اليوم، وسجل المستخدم الأخير. إن العثين على هذه الأنماط الخفية يتطلب طريقة تحترم هيكل البيانات مع فهم السلوكيات المحددة القائمة على القواعد والتي تحدد الخطر.
قام فريق من الباحثين في جامعة فاندربيلت بتطوير نظام جديد يسمى RAD، صُمم لحل هذه المشكلة تحديدًا. فبدلاً من تسطيح البيانات وفقدان شكلها، يتعامل RAD مع قاعدة البيانات كخريطة حية للعلاقات، تمامًا مثل خريطة المدينة حيث كل مبنى هو شخص وكل طريق هو رابط بينهم. يكمن ابتكار النظام في كيفية الجمع بين طريقتين مختلفتين من التفكير: قدرة الذكاء الاصطناعي على التعلم من الأنماط في الشبكة، ووضوح القواعد التي يحددها البشر والتي تصف السلوكيات السيئة المحددة. وجد الباحثون أن تغذية هذه القواعد المنطقية الواضحة مباشرة في عملية تعلم الذكاء الاصطناعي قبل أن يبدأ في تحليل الشبكة، يجعل النظام أفضل بكثير في رصد الأحداث النادرة والخطيرة التي تفوتها الأساليب الأخرى.
لفهم سبب أهمية ذلك، تأمل تحدي رصد هجوم سيبراني. في قاعدة بيانات نموذجية، تكون محاولة تسجيل دخول واحدة مجرد صف من البيانات. ولكن في الواقع، تعد عملية تسجيل الدخول هذه جزءًا من قصة. إذا قام مستخدم بتسجيل الدخول إلى جهاز كمبيوتر لم يستخدمه من قبل، في وقت لا يعمل فيه عادةً، ومن موقع لا يتوافق مع سجله، فإن صف البيانات الوحيد هذا يصبح علامة تحذير. غالبًا ما تخطئ الأدوات التقليدية في ذلك لأنها تنظر إلى الصف بمعزل عن غيره. اختبر الباحثون نظامهم الجديد على ثلاثة أنواع مختلفة تمامًا من البيانات: سجل أمني سيبراني ضخم من مؤسسة كبيرة، وقاعدة بيانات لمراجعات العملاء من بائع تجزئة عبر الإنترنت، وقاعدة بيانات لمعاملات التسوق من علامة تجارية كبرى للملابس. وفي كل حالة، كان الهدف واحدًا: ترتيب الأحداث الأكثر إثارة للريبة في أعلى القائمة، حتى يتمكن المحللون البشريون من العثور عليها بسرعة.
يعمل نظام RAD في تسلسل منظم بعناية. أولاً، يأخذ قاعدة البيانات متعددة الجداول والمعقدة ويبني خريطة مفصلة لكيفية اتصال كل شيء ببعضه البعض، مع الحفاظ على الهوية الفريدة لكل مستخدم وآلة وحدث. بعد ذلك، ينشئ عرضًا مؤقتًا ومبسطًا للبيانات للبحث عن قواعد محددة. وباستخدام تقنية تعلم آلي قياسية، يقوم بمسح البيانات للعثور على الشروط المنطقية التي تسبق المشكلة غالبًا، مثل "مستخدم سجل دخوله إلى أكثر من أربع آلات في عشر دقائق" أو "عميل توقف عن مراجعة المنتجات بعد تاريخ طويل من النشاط". هذه ليست تخمينات غامضة؛ بل هي قواعد ملموسة وقابلة للتفسير مشتقة مباشرة من البيانات نفسها.
هنا يختلف النظام عن الأساليب القديمة. فبدلاً من مجرد استخدام هذه القواعد للتحقق من النتائج النهائية، يقوم RAD بحقنها مباشرة في قلب خريطة الشبكة قبل أن يبدأ الذكاء الاصطناعي تحليله العميق. تخيل خريطة الشبكة كمجموعة من الأشخاص يتبادلون الملاحظات فيما بينهم لفهم موقفهم. في الأنظمة السابقة، كانت القواعد مثل ملاحظة أخيرة تُمرر بعد أن اتخذت المجموعة قرارها بالفعل. أما في RAD، فتُعطى القواعد للأشخاص في البداية تمامًا، لتشكل كيفية استماعهم لبعضهم البعض وكيفية فهمهم لمواقعهم. وهذا يسمح للنظام بتعلم تمثيل للبيانات يكون مدركًا بالفعل للسلوكيات المحددة التي تشير إلى وقوع مشكلة.
كانت نتائج هذا النهج مذهلة. فعند اختباره مقابل الأساليب الموجودة، تفوق RAD باستمرار على الأنظمة التي اعتمدت فقط على البيانات المسطحة أو تلك التي استخدمت خرائط الشبكة دون الاستفادة من هذه القواعد المحددة. كان التحسن أكثر دراماتيكية في سياق الأمن السيبراني، حيث تمكن النظام من تحديد أحداث تسجيل الدخول المشبوهة بدقة أكبر بكثير من ذي قبل. وفي بيئات التجزئة، نجح في تحديد العملاء الذين من المرجح أن يتوقفوا عن استخدام الخدمة بشكل غير متوقع، وهي مهمة صعبة لأن سلوكهم غالبًا ما يبدو طبيعيًا حتى اللحظة الأخيرة. وجد الباحثون أن قدرة النظام على ترتيب الأحداث الأكثر خطورة في أعلى القائمة قد تحسنت بشكل كبير، وهو أمر بالغ الأهمية لأنه في الواقع الأمني والتجاري، لا يمكن للمحللين مراجعة كل تنبيه؛ لديهم الوقت فقط للنظر في القائمة العليا.
كشفت الدراسة أيضًا عن بعض التفاصيل الدقيقة حول كيفية عمل هذه الأنظمة. اختبر الباحثون ما إذا كان محاولة إعادة بناء خريطة الشبكة بأكملها — أي مطالبة الذكاء الاصطناعي بالتنبؤ بالروابط التي يجب أن توجد — يساعد النظام في العث find الأحداث الشاذة. ووجدوا أن هذا لم يكن مفيدًا دائمًا؛ ففي بعض الحالات، أدت محاولة إعادة بناء الخريطة إلى تشتيت النظام عن مهمته الرئيسية المتمثلة في العثور على الفاعلين السيئين. وبالمثل، اختبروا ما إذا كان استخدام نماذج لغوية متقدمة لتحسين القواعد سيحدث فرقًا. ووجدوا أنه بينما ساعدت هذه النماذج في تنظيف وتنظيم القواعد، فإن القوة الجوهرية جاءت من الاكتشاف الأولي للقواعد نفسها، وليس من خطوة التحسين. وهذا يشير إلى أن الاستراتيجية الأكثر فعالية هي العثور على أنماط سلوكية واضحة وبسيطة وتغذيتها مباشرة في تحليل الشبكة، بدلاً من الاعتماد على التعديلات المعقدة اللاحقة.
في النهاية، يوضح هذا العمل أن أفضل طريقة للعثور على الشذوذ في البيانات المعقدة هي احترام هيكل البيانات مع تعليم النظام صراحةً ما يجب البحث عنه. ومن خلال الجمع بين قدرات التعلم العميق لتحليل الشبكات ودقة القواعد الرمزية، يقدم RAD طريقة جديدة لرؤية الأخطار الخفية في حياتنا الرقمية. إنه يظهر أنه عندما نتوقف عن معاملة البيانات كقائمة مسطحة من الأرقام ونبدأ في معاملتها كقصة متصلة، يمكننا العثور على التهديدات التي كانت موجودة دائمًا، تنتظر فقط من يفهمها. لقد جعل الباحثون الكود والبيانات الخاصة بهم متاحة للآخرين لاستخدامها، آملين أن يساعد هذا النهج المنظمات في كل مكان لتصبح أفضل في رصد غير المتوقع قبل أن يتحول إلى أزمة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.