A Multi Method Importance and Performance Efficiency Analysis of Topological Metrics for Natural Visibility Graph Based Cyber Attack Detection
تُظهر هذه الدراسة أن تطبيق تحليل أهمية قائم على الإجماع (consensus-based) على مقاييس مخطط الرؤية الطبيعية (Natural Visibility Graph) يسمح باختيار مجموعة فرعية مدمجة مكونة من ثلاثة سمات طوبولوجية ترفع دقة الكشف عن الهجمات السيبرانية بشكل كبير وتقلل من وقت التشغيل الحسابي بنسبة تزيد عن 96% مقارنة باستخدام المجموعة الكاملة المكونة من 21 مقياساً.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تتدفق حركة مرور الشبكة مثل نهر مستمر من البيانات، حاملةً كل شيء بدءاً من تصفح الويب غير الضار وصولاً إلى الهجمات السيبرانية المتطورة. ولحماية الأنظمة، يستخدم خبراء الأمن برامج حاسوبية لمراقبة هذا التدفق، بحثاً عن أنماط تشير إلى الخطر. لسنوات طويلة، اعتمدت هذه البرامج على عدّ أشياء بسيطة، مثل عدد حزم البيانات التي تمر عبر باب ما أو مدة استمرار الاتصال. ومع ذلك، بدأ الباحثون يدركون أن شكل البيانات نفسها قد يحمل أدلة أكثر مما توفره الأرقام وحدها. تخيل تحويل خط من الأرقام يمثل تدفق بيانات إلى خريطة حيث تكون كل نقطة عبارة عن نقطة، وتتصل الخطوط بالنقاط التي يمكنها "رؤية" بعضها البعض دون أن يعترض طريقها أي شيء. هذا يخلق شبكة فريدة، أو رسماً بيانياً، يحافظ على إيقاع وبنية البيانات الأصلية. ومن خلال دراسة شكل هذه الشبكات — كيف تتكتل النقاط معاً، وكم عدد المسارات الموجودة بينها، ومدى مركزية نقاط معينة — يمكن للعلماء الكشف عن بصمات خفية للأنشطة الضارة التي قد تغفل عنها عمليات العد التقليدية.
وضع فريق من الباحثين في جامعة كارابوك بتركيا نصب أعينهم اختبار مدى فائدة هذه الأدلة القائمة على الشكل في رصد الهجمات السيبرانية. بدأوا بمجموعة ضخمة من سجلات الشبكة التي تحتوي على حركة مرور طبيعية وأنواع مختلفة من الهجمات. وبدلاً من تغذية برنامج الحاسوب بالبيانات الخام مباشرة، قاموا أولاً بتحويل قطع صغيرة من البيانات إلى هذه الشبكات المرئية. ومن كل شبكة، استخرجوا واحد وعشرين مقياساً مختلفاً، أو مقاييس طوبولوجية، لوصف بنيتها. بحث بعض هذه المقاييس في مدى اتصال النقاط ببعضها، بينما فحص بعضها الآخر متوسط المسافة بين النقاط، وحلل بعضها الآخر كيفية تجميع النقاط في مجتمعات. ثم استخدم الباحثون نوعاً قوياً من الذكاء الاصطناعي، وهو الشبكة العصبية التلافيفية، لتعلم كيفية التمييز بين الشبكات الناتجة عن حركة المرور الطبيعية وتلك الناتجة عن الهجمات.
كان السؤال الجوهري الذي أراد الفريق الإجابة عليه هو ما إذا كانت جميع مقاييس الشكل الواحد والعشرين هذه ضرورية بالفعل. ففي العديد من المجالات العلمية، غالباً ما يفترض الباحثون أن جمع المزيد من البيانات يؤدي إلى نتائج أفضل، ولكن في هذه الحالة، يستغرق استخراج كل مقياس وقتاً وجهداً حاسوبياً كبيراً. اشتبه الفريق في أن بعض هذه المقاييس قد تكون زائدة عن الحاجة أو أقل فائدة من غيرها. ولمعرفة ذلك، طبقوا أربع طرق مختلفة لتصنيف أهمية كل مقياس. بحثت إحدى الطرق في مدى انخفاض ثقة الحاسوب عندما يتم تشويه مقياس معين؛ بينما قارنت طريقة أخرى المقاييس الحقيقية مقابل الضوضاء العشوائية لمعرفة أي منها يبرز بوضوح؛ واستخدمت طريقة ثالثة منهجاً يقوم بإزالة المقاييس الأقل فائدة بشكل منهجي لمعرفة ما يتبقى؛ بينما استخدمت طريقة رابعة نهجاً رياضياً لشرح مقدار مساهمة كل مقياس بدقة في القرار النهائي. ومن خلال دمج نتائج هذه الطرق الأربع المتميزة، أنشأوا تصنيفاً واحداً متفقاً عليه للمقاييس الواحد والعشرين.
كشفت نتائج هذا التحليل عن تسلسل هرمي واضح. فالمقاييس التي تصف مدى تكتل النقاط في الشبكة أثبتت أنها الأكثر قيمة. وتحديداً، تم تصنيف الوسيط، والانحراف المعياري، والمتوسط الحسابي لقيم التكتل هذه كأهم ثلاثة مؤشرات. وفي المقابل، تم تصنيف مقاييس أخرى، مثل تلك التي تصف المسارات الأطول أو الحجم الإجمالي للشبكة، في مراتب أدنى بكثير. ثم اختبر الباحثون هذه النتيجة عن طريق تدريب برنامجهم الحاسوبي باستخدام أعلى المقاييس تصنيفاً فقط، حيث قللوا عدد المدخلات تدريجياً من واحد وعشرين إلى ثلاثة فقط. وقارنوا أداء هذه المجموعات الأصغر بالمجموعة الكاملة المكونة من واحد وعشرين مقياساً.
كانت النتيجة مفاجئة. فعندما تم تدريب البرنامج الحاسوبي باستخدام أعلى ثلاثة مقاييس تكتل فقط، كان أداؤه أفضل مما كان عليه عند تدريبه باستخدام المجموعة الكاملة المكونة من واحد وعشرين مقيساً. فقد حدد النموذج المبسط الهجمات بدقة بلغت 97.148 بالمائة، مقارنة بـ 95.999 بالمائة للنموذج الكامل. كما حقق درجة أعلى في موازنة اكتشاف أنواع الهجمات المختلفة. والأهم من ذلك، أن هذا التحسن جاء مع مكسب هائل في السرعة. فقد استغرقت المجموعة الكاملة من المقاييس ما يقرب من خمسة عشر ألف ثانية للمعالجة عبر التجربة بأكملها، بينما تطلبت المقاييس الثلاثة العليا حوالي خمسمائة وتسعة وثمانين ثانية فقط. ويمثل هذا انخفاضاً في وقت الحوسبة بنسبة تزيد عن ستة وتسعين بالمائة. وتشير الدراسة إلى أنه من خلال التركيز على الأدلة الهيكلية الأكثر إفادة والتخلص من البقية، يمكن لأنظمة الأمن أن تصبح أسرع وأكثر دقة.
وأشار الباحثون إلى أن هذه النتيجة لا تعني أن جميع المقايسات الأخرى عديمة الفائدة، بل تعني أنه بالنسبة لهذا النوع المحدد من البيانات وهذا النموذج الحاسوبي المحدد، فإن المعلومات الإضافية لم تكن تساعد بل ربما كانت مشتتة للانتباه. فالمقاييس الثلاثة العليا، التي تصف التكتل المحلي لنقاط البيانات، بدت وكأنها تحتوي على البصمة الجوهرية للهجمات. وتخلص الدراسة إلى أن مجموعة مدمجة ومختارة بعناية من السمات يمكن أن تتفوق على مجموعة أكبر وغير مصفاة. وبينما تعد هذه النتائج خاصة بمجموعة البيانات والأساليب المستخدمة في هذه التجربة، إلا أنها تقدم مساراً واضحاً نحو بناء أنظمة دفاع سيبراني أكثر كفاءة. فمن خلال فهم التفاصيل الهيكلية التي تهم أكثر، يمكن تصميم أدوات مستقبلية لاكتشاف التهديدات بسرعة ودقة أكبر، دون عبء معالجة البيانات غير الضرورية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.