Edge Weight Concentration Overcomes Node Degree Blindness in Graph Based Network Intrusion Detection
تُثبت هذه الورقة أنه في كشف التسلل للشبكات القائم على الرسوم البيانية، تتفوق ميزات تركيز وزن الحواف على مقاييس درجة العقد التقليدية عندما يؤدي ترجمة عنوان الشبكة (NAT) إلى دمج عدة مضيفين في هويات قليلة، مما يكشف أن عائلتي الميزات هاتين متكاملتان على طول محور انهيار الهوية، وأن مجموعة ميزات سياقية للرسم البياني مدمجة وخالية من التسرب يمكنها تحقيق أداء قريب من خط الأساس بتكاليف تدريب منخفضة بشكل كبير.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك حارس أمن يراقب ساحة مدينة صاخبة وواسعة عبر كاميرا مراقبة. مهمتك هي رصد المشاغبين. عادةً، تقوم بذلك عن طريق عدّ عدد الأشخاص المختلفين الذين يتجولون في الأرجاء. إذا رأيت شخصاً واحداً يركض بهياج إلى خمسين متجراً مختلفاً في دقيقة واحدة، فستعرف أن هناك خطباً ما. هكذا تعمل معظم أنظمة الأمن الحاسوبية اليوم: فهي تبني خريطة للإنترنت حيث يكون كل كمبيوتر بمثابة "عقدة" (مثل الشخص) وكل اتصال هو بمثابة "خط" (مثل المشي). إنهم يبحثون عن أنماط غريبة في عدد الخطوط التي تتصل بكل عقدة.
لكن هناك عقبة. في العالم الحقيقي، يستخدم الملايين من الناس عنواناً عاماً واحداً للدخول إلى المدينة. فكر في الأمر كبناية سكنية ضخمة حيث يتشارك الجميع في باب أمامي واحد. إذا خرج خمسون شخصاً من داخل البناية إلى نفس المتجر في نفس الوقت، فإن كاميرتك لن ترى سوى شخص واحد (الباب الأمامي للبناية) يركض إلى المتجر. لا يمكن للحارس أن يميز ما إذا كان هذا شخصاً واحداً أم خمسين شخصاً. في مصطلحات الكمبيوتر، يسمى هذا ترجمة عنوان الشبكة (NAT). وهو ميزة قياسية في كل شبكة منزلية أو مكتبية تقريباً، حيث يخفي الهوية الحقيقية للأجهزة الفردية خلف بوابة واحدة. المشكلة هي أن حراس الأمن القدامى (أنظمة الكشف الحالية) عميان تجاه هذا الأمر؛ فهم يستمرون في عدّ "الباب الأمامي" كأنه مجرد شخص واحد، متجاهلين حقيقة أن حشداً هائلاً يتدفق من خلاله.
يسأل هذا البحث سؤالاً بسيطاً ولكنه جوهري: إذا لم نتمكن من رؤية الأشخاص الأفراد لأنهم مختبئون خلف باب مشترك، فهل هناك طريقة أخرى لرصد الحشد؟ الإجابة تبدو أنها نعم. بدلاً من عدّ من هناك، يجب أن ننظر إلى مدى ثقل حركة المرور على الخط الواحد الذي يمكننا رؤيته.
اختبر المؤلف، مد حسيب الزمان، هذه الفكرة باستخدام بيانات حقيقية من معيار سيبراني شهير يسمى CICIDS2017. وقد ركز على نوع معين من الهجمات يسمى "هجوم حجب الخدمة الموزع" (DDoS)، حيث تقوم أجهزة كمبيوتر عديدة بإغراق هدف ما بحركة مرور كثيفة. في هذه المجموعة من البيانات تحديداً، كانت حركة هجوم المرور مخفية بالفعل خلف بوابة NAT، تماماً مثل مثال البناية السكنية.
كانت النتائج مذهلة. فالطريقة القديمة، التي كانت تعدّ عدد الاتصالات المختلفة التي يجريها الكمبيوتر (درجة العقدة)، فشلت تماماً. لم تستطع التمييز بين ساعة هادئة وطبيعية وبين هجوم هائل. بدا "الباب الأمامي" متطابقاً في كلتا الحالتين لأن النظام لم يستطع رؤية الحشد خلفه. ومع ذلك، فإن الطريقة الجديدة التي ركزت على تركيز وزن الحافة (edge weight concentration) — والتي تعني ببساطة قياس مدى تكدس حركة المرور على اتصال واحد — نجحت بشكل مثالي.
فكر في الأمر كالميزان. كان الحارس القديم يحاول عدّ عدد الأشخاص الذين يخطون على الميزان، ولكن بما أنهم جميعاً يرتدون الزي نفسه، لم يرَ الحارس سوى شخص واحد. أما الحارس الجديد فلم يهتم بعدد الأشماء؛ بل نظر فقط إلى مدى ثقل الميزان. عندما حدث الهجوم، أصبح الميزان (الاتصال الواحد) ثقيلاً للغاية، ليصرخ قائلاً: "هناك خطب ما!"، رغم أن الحارس لا يزال يرى شخصاً واحداً فقط.
وجد البحث أن طريقة "الوزن" هذه يمكنها فصل الهجوم عن حركة المرور الطبيعية بدقة تقارب الكمال، بينما كانت طريقة "العد" القديمة غير قابلة للتمييز إحصائياً عن التخمين العشوائي. حتى أن المؤلف أجرى محاكاة ذكية حيث قام بتوزيع حركة مرور الهجوم اصطناعياً على المزيد والمزيد من الهويات "الوهمية". ووجد أنه بمجرد أن يصبح المهاجمون مرئيين قليلاً (ولو قليلاً فقط)، تبدأ طريقة العد القديمة في العمل مجدداً، ولكن طريقة الوزن تتوقف عن العمل أيضاً. وهذا يثبت أن الطريقتين هما في الواقع فريق واحد، وليسا خصمين؛ فأنت تحتاج إلى طريقة الوزن عندما يكون المهاجمون مختبئين خلف باب مشترك، وتحتاج إلى طريقة العد عندما يكونون في العلن.
ولعل الأمر الأكثر إثارة هو أن المؤلف أظهر أنك لست بحاجة إلى حاسوب خارق لاستخدام هذه الطريقة الجديدة. فقد أنشأ مجموعة صغيرة ومدمجة من القواعد (9 أرقام فقط) يمكنها رصد الهجوم بكفاءة تقارب نظاماً ضخماً ومعقداً يحتوي على 78 رقماً، ولكنها استغرقت حوالي عُشر الوقت وقوة الحوسبة المطلوبة لتشغيل النظام الضخم. وهذا يعني أن الشركات الصغيرة أو الأجهزة ذات القدرة المحدودة (مثل أجهزة التحكم في المنازل الذكية) يمكنها استخدام خدعة "الوزن" هذه لتبقى آمنة.
ومع ذلك، فإن المؤلف حذر جداً من الادعاء بأن هذا هو حل سحري لكل أنواع الهجمات السيبرانية. كانت هذه الدراسة اختباراً لحالة محددة من هجمات الإغراق. ويعترف المؤلف بأننا لا نعرف بعد ما إذا كان هذا يعمل مع الهجمات الخفية منخفضة الحجم أو أنواع الاختراقات الأخرى. ويقترح أن العمل المستقبلي يحتاج إلى اختبار هذا على أنواع أخرى من التهديدات لمعرفة ما إذا كانت خدعة "الوزن" ستصمد في كل مكان. ولكن بالنسبة للمشكلة المحددة المتمثلة في الحشود المخفية خلف باب مشترك، يظهر البحث أن النظر إلى وزن حركة المرور، بدلاً من عدد الأشخاص، هو المفتاح لرؤية ما يحدث حقاً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.