IoMT-SecAlarmBench: A Counterfactual Benchmark for Integrity Attacks in IoMT

في المستشفيات الحديثة، تتدفق باستمرار أصوات صفير إلكترونية وأضواء وامضة تراقب العلامات الحيوية للمرضى. هذه الأجهزة، التي تعد جزءًا من شبكة متصلة تُعرف باسم "إنترنت الأشياء الطبية" (IoMT)، تقيس نبضات القلب وتدفق الدم بدقة مذهلة. ومع ذلك، تواجه هذه اليقظة الرقمية مشكلة مربكة: فعندما يدوي صوت إنذار، غالبًا ما يكون من المستحب معرفة السبب. قد يكون المريض في حالة تدهور حقيقي، أو قد يكون أحد المستشعرات قد تحرك من مكانه أو انحرف عن المعايرة، أو قد يكون مخترق قد تلاعب بالبيانات سرًا لجعل مريض معافى يبدو مريضًا. بالنسبة لطبيب يقف بجانب السرير، فإن هذا الغموض يشكل خطرًا؛ فمعالجة خطأ تقني على أنه حالة طبية طارئة يهدر الوقت والموارد، لكن تجاهل هجوم حقيقي أو أزمة فعلية قد يكلف حياة إنسان. التحدي الجوهري لا يكمثل فقط في ملاحظة أن شيئًا ما قد خطب، بل في فهم السبب الدقيق الذي أدى إلى إطلاق الإنذار في المقام الأول.

ولحل هذه المشكلة، أنشأ باحثون في جامعة ميريلاند، بالتيمور، بيئة اختبار جديدة تسمى IoMT-SecAlarmBench. وبدلاً من انتظار وقوع هجمات حقيقية في مستشفى — وهو سيناريو محفوف بالمخاطر للغاية لدراسته مباشرة — قاموا ببناء بيئة محكومة حيث يمكنهم حقن أنواع محددة من المشكلات في بيانات مرضى حقيقية. لقد أخذوا تسجيلات حقيقية لنبضات القلب وتدفق الدم من آلاف المرضى، وأدخلوا بعناية أربعة أنواع مختلفة من التلاعب الرقمي. كانت بعض الهجمات خفية، حيث تسلل فيها أرقام خاطئة تبدو طبيعية تمامًا. بينما كانت هجمات أخرى أكثر وضوحًا، مثل تجميد قراءة مستشعر أو إعادة تشغيل نبض قلب قديم من ساعات مضت. ومن الأهمية بمكان أن الباحثين هم من صنعوا هذه المشكلات بأنفسهم، لذا كانوا يعرفون الحقيقة بدقة: عرفوا أي نوافذ من البيانات كانت حقيقية، وأيها كانت معيبة، وأيها كانت مخترقة، بل واحتفظوا بنسخة لما كان يجب أن تبدو عليه الإشارة لو لم يحدث الهجوم. هذه الحقيقة "المضادة للواقع" (counterfactual)، وهي سجل لما كان ينبغي أن يكون، هي شيء لم توفره أي مجموعة بيانات طبيعية من قبل.

قام الفريق بعد ذلك باختبار ستة برامج حاسوبية مختلفة مصممة لرصد هذه الحالات الشاذة. أرادوا معرفة ما إذا كانت هذه البرامج قادرة ليس فقط على اكتشاف أن الإنذار قد انطلق، بل وأيضًا على تحديد ما إذا كان السبب هو هجوم سيبراني، أو مستشعر معطل، أو حدث طبي حقيقي. كشفت النتائج عن قصور كبير في التكنولوجيا الحالية؛ فبينما كانت البرامج جيدة نسبيًا في رصد الأخطاء الواضحة التي تخرج عن النطاق المعتاد، إلا أنها عانت بشدة في السيناريوهات الأكثر خطورة. فعندما تم تعديل البيانات لتبدو واقعية تمامًا، مثل إعادة تشغيل نبض قلب قديم لإخفاء مشكلة حالية، لم يكن أداء أدوات الكشف أفضل من التخمين العشوائي؛ إذ لم تستطع التمييز بين حدث فسيولوجي حقيقي وهجوم متطور.

ولعل النتيجة الأكثر كشفًا كانت وجود مقايضة بين رصد الهجمات وتجنب الإنذارات الكاذبة. فالبرنامج الأفضل أداءً كان قادرًا على رصد أصعب أنواع الهجمات، لكنه فعل ذلك بتكلفة عالية. فمقابل كل مرة نجح فيها في رصد هجوم سيبراني، كان يخطئ في تصنيف خلل بسيط في المستشعر على أنه هجوم أكثر من خمس مرات. وهذا يشير إلى أن الميزات ذاتها التي تستخدمها هذه البرامج للعثور على المخترقين — وهي البحث عن عدم الاتساق بين إشارات الجسم المختلفة — هي نفسها الميزات التي تجعل من الصعب التمييز بين مخترق وسلك مرتخٍ. كما كشفت الدراسة أن بعض الأبحاث السابقة التي زعمت القدرة على اكتشاف هجمات الأجهزة الطبية ربما خدعتها أدلة بسيطة في البيانات، مثل معرف الجهاز المحدد أو عنوان الشبكة، بدلاً من فهم الإشارات الطبية فعليًا. ومن خلال تجريد هذه الاختصارات السهلة، أظهر المعيار الجديد أن العديد من الأساليب الحالية أقل فعالية مما كان يُعتقد سابقًا بكثير.

في نهاية المطيط، لا يقدم هذا العمل حلاً مثاليًا، بل يقدم خريطة واضحة للمشهد الحالي. فهو يوضح أنه بينما يمكننا بناء أنظمة لملاحظة أن شيئًا ما قد خطب، فإننا لم نتقن بعد فن معرفة السبب. وجد الباحثون أن التمييز بين مريض مريض، وآلة معطلة، وفاعل ضار يظل تحديًا عميقًا، يتطلب الانتقال من مجرد مطابقة الأنماط البسيطة إلى فهم أعمق للسبب والنتيجة. يوفر المعيار الجديد الذي وضعوه طريقة صارمة لاختبار الأدوات المستقبلية، مما يضمن أنه عندما نبني في النهاية أنظمة لحماية المرضى، فإنها ستُحاكم بناءً على قدرتها على قول الحقيقة، وليس فقط على قدرتها على إطلاق الإنذار.