Research on IIoT Network Attack Detection Based on Class Imbalance Processing and Attention Mechanism
تقترح هذه الورقة طريقة للكشف عن الهجمات السيبرانية في إنترنت الأشياء الصناعية (IIoT) تجمع بين تقنيات معالجة عدم توازن الفئات، مثل Borderline-SMOTE، ونموذج CNN–BiLSTM–Attention لتعزيز التعرف على فئات الهجمات الأقلية وأداء الكشف العام بشكل كبير على مجموعة بيانات TON-IoT.
تخيل الإنترنت كمدينة ضخمة ومزدحمة حيث تتواصل مليارات الأجهزة مع بعضها البعض كل ثانية. في العالم الصناعي، تُسمى هذه المدينة "إنترنت الأشياء الصناعي" (IIoT). وهي المكان الذي تدردش فيه روبوتات المصانع، وحساسات شبكات الطاقة، وشاحنات اللوجستيات الذكية معاً للحفاظ على سير عالمنا بسلاسة. ولكن تماماً مثل أي مدينة حقيقية، لهذا المتروبوليس الرقمي جانب مظلم: المخترقون. فهم يحاولون التسلل، أو سرقة الأسرار، أو إيقاف المدينة بأكملها عبر هجمات رقمية.
المشكلة هي أن الهجمات ليست متساوية؛ فبعضها يشبه أعمال الشغب الصاخلة والواضحة التي يراها الجميع فوراً (مثل ازدحام مروري هائل)، بينما البعض الآخر يشبه نشلًا هادئًا ومنفردًا في سوق مزدحم — نادر، ويصعب رصده، وخطير للغاية إذا تم اكتشافه متأخراً. في عالم البيانات، يُطلق على هذا "عدم توازن الفئات" (class imbalance). وهو عندما يرى نظام أمني الكثير من أمثلة "أعمال الشغب الصاخبة" لدرجة أنه يعطيها الأولوية ويتوقف عن البحث عن "النشالين الهادئين". إذا تعلم الكمبيوتر من الأشياء الشائعة فقط، فإنه سيصبح أعمى عن الأشياء النادرة والخطيرة. تتناول هذه الورقة هذه المشكلة تحديداً: كيف نعلم الكمبيوتر رصد المخترقين النادرين والمتسللين دون أن يتشتت بالضجيج الشائع؟
قرر الباحثان، بيباي سونغ وتشانكيو يو، بناء حارس أمن أكثر ذكاءً لهذه المدينة الرقمية. لم يكتفيا بمجرد إلقاء المزيد من البيانات على برنامج كمبيوتر قياسي، بل بنيا فريق تحقيق مخصصاً يمتلك ثلاث حيل خاصة. أولاً، أدركا أن بيانات التدريب كانت غير عادلة، لذا استخدما تقنية تسمى "زيادة العينات" (oversampling) لإنشاء أمثلة وهمية ولكنها واقعية للهجمات النادرة، مما منح الكمبيوتر فرصة للتدرب على رصدها. ثانياً، تصرفا كأمين مكتبة ينظف رفاً فوضوياً، حيث قاما بإزالة المعلومات غير المفيدة حتى لا يرتبك الكمبيوتر بالتفاصيل غير ذات الصلة. وأخيراً، بنيا "عقلاً فائقاً" باستخدام مزيج من أدوات التعلم العميق (CNN، وBiLSTM، وآلية الانتباه - Attention mechanism) يعمل كالمحقق الذي يمكنه النظر إلى مسرح الجريمة، وتذكر تسلسل الأحداث، ثم تركيز عينيه تحديداً على الأدلة الأكثر ريبة.
عندما اختبرا محققهما الجديد على مجموعة بيانات تسمى TON-IoT، والتي تحتوي على آلاف السجلات من حركة المرور الطبيعية وهجمات سيبرانية متنوعة، كانت النتائج نقطة تحول. قبل تحسيناتهما، كان الكمبيوتر سيئاً جداً في رصد هجوم نادر محدد يسمى "رجل في المنتصف" (MITM)، حيث كان ينجح في رصده بنسبة 0.5% فقط (معدل استدعاء قدره 0.005). كان يتجاهل "النشال" فعلياً. ولكن بعد تطبيق حيلة "زيادة العينات" لتعليم الكمبيوتر المزيد عن هذه الحالات النادرة، قفز معدل الكشف عن هجمات MITM إلى 58.4%. هذا تحسن هائل من شبه انعدام إلى رصد أكثر من النصف.
قارن الفريق نموذجهم الجديد بالأساليب القياسية القديمة مثل "الغابة العشوائية" (Random Forest) والشبكات العصبية الأساسية. لم يكتفِ نموذجهم المخصص "CNN–BiLSTM–Attention" بالأداء بشكل أفضل فحسب، بل سيطر تماماً. فقد حقق دقة إجمالية بلغت 0.869 ودرجة متوازنة (Macro-F1) بلغت 0.852، متفوقاً على كل نموذج آخر اختبروه. تشير الدراسة إلى أنه من خلال الجمع بين موازنة البيانات، وتنظيف الميزات، واستخدام آلية الانتباه للتركيز على ما يهم، يمكننا بناء أنظمة أمنية ذكية بشكل عام وجيدة بشكل خاص في رصد التهد threats النادرة والخطيرة التي تفوتها الأنظمة الأخرى. وبينما لا يزال النموذج يعاني قليلاً مع الهجمات المتشابهة جداً (مثل DDoS مقابل DoS)، فإن البحث يشير بقوة إلى أن هذا النهج المتكامل يعد خطوة كبيرة للأمام في الحفاظ على سلامة إنترنتنا الصناعي.
ملخص تقني: بحث حول اكتشاف هجمات شبكات إنترنت الأشياء الصناعية (IIoT) بناءً على معالجة عدم توازن الفئات وآلية الانتباه
بيان المشكلة تواجه شبكات إنترنت الأشياء الصناعية (IIoT) تحديات أمنية كبيرة بسبب تباين حركة المرور، وأنماط الهجوم المعقدة، والأهم من ذلك، عدم التوازن الشديد في فئات البيانات (Class Imbalance) في مجموعات بيانات الشبكة. في مجموعات البيانات القياسية مثل TON-IoT، تُعد فئات الهجمات الأقلية (مثل هجوم "رجل في المنتصف" أو MITM) ممثلة بشكل ضئيل للغاية مقارنة بالفئات الأكثرية (مثل DoS وDDoS وحركة المرور الطبيعية). يتسبب هذا عدم التوازن في انحياز المصنفات التقليدية نحو الفئات الأكثرية، مما يحقق دقة إجمالية عالية مع الفشل في اكتشاف هجمات الأقلية الحرجة. على سبيل المثال، تشير الدراسة إلى أنه في ظل ظروف عدم التوازن الأصلية، قد يحقق النموذج دقة قدرها 0.837 ولكنه يسجل استدعاءً (Recall) قدره 0.005 فقط لهجوم MITM، مما يعني فعلياً تجاهل تهديد عالي الخطورة. بالإضافة إلى ذلك، تعاني نماذج التعلم العميق الحالية غالباً من الميزات عالية الأبعاد الزائدة والفرق الدقيق بين أنواع الهجمات المتشابهة (مثل DoS مقابل DDoS).
المنهجية يقترح المؤلفون إطار عمل موحد للكشف يدمج بين معالجة البيانات، ومعالجة عدم توازن الفئات، واختيار الميزات، وبنية تعلم عميق هجينة. تمر المنهجية عبر المراحل التالية:
معالجة البيانات: تخضع بيانات حركة مرور IIoT الخام لعمليات تنظيف، وتشفير الملصقات الفئوية، وتطبيع الحد الأدنى والأقصى (Min-Max normalization) لتوحيد مقاييس الميزات.
معالجة عدم توازن الفئات: لمعالجة ندرة عينات الأقلية، تستخدم الدراسة معالجة على مستوى البيانات وتعديلاً على مستوى الخسارة (Loss-level).
زيادة العينات (Oversampling): تُستخدم تقنيات SMOTE وBorderline-SMOTE لتوليد عينات جديدة للفئات الأقلية، وتستهدف تحديداً حدود القرار لتحسين التعلم التمييزي.
تعديل الخسارة: يتم دمج أوزان الفئات و"خسارة التركيز" (Focal Loss) في هدف التدريب لمعاقبة التصنيفات الخاطئة للعينات الأقلية والصعبة الكشف أكثر من العينات الأكثرية السهلة.
اختيار الميزات: لتقليل التكرار والتكلفة الحسابية، يتم تطبيق نهج هجين لاختيار الميزات باستخدام "الغابة العشوائية" (Random Forest) و"XGBoost". يتم تجميع درجات أهمية الميزات من كلا النموذجين لاختيار مجموعة فرعية رئيسية من ميزات حركة المرور المميزة.
بنية النموذج (CNN–BiLSTM–Attention):
الشبكة العصبية التلافيفية (CNN): تقوم باستخراج الأنماط المكانية المحلية من ميزات حركة المرور المختارة.
الذاكرة الطويلة قصيرة المدى ثنائية الاتجاه (BiLSTM): تلتقط التبعيات الزمنية والعلاقات ثنائية الاتجاه داخل تسلسل حركة المرور.
آلية الانتباه (Attention Mechanism): يتم تطبيق طبقة الانتباه على مخرجات BiLSTM لتعيين أوزان تكيفية لمختلف الحالات المخفية، مما يسمح للنموذج بالتركيز على الميزات الأكثر إخبارية لفئات هجمات محددة.
استراتيجية التدريب: يتم تدريب النموذج باستخدام مُحسّن Adam مع التوقف المبكر لمنع الإفراط في التخصيص (Overfitting)، باستخدام دالات خسارة التقاطع المرجح أو خسارة التركيز.
المساهمات الرئيسية تحدد الورقة أربع مساهمات رئيسية:
إطار عمل متكامل: بناء إطار عمل لاكتشاف هجمات IIoT يجمع بين معالجة عدم توازن الفئات، واختيار الميزات، والتعلم العميق القائم على الانتباه.
تخفيف حدة عدم التوازن: تقديم استراتيجيات SMOTE وBorderline-SMOTE والتعلم المدرك للفئات المصممة خصيصاً لتعزيز التعرف على فئات الهجمات الأقلية.
نموذج تعلم عميق هجين: تصميم نموذج CNN–BiLSTM–Attention يجمع بين استخراج الميزات المحلية، ونمذجة التسلسل ثنائي الاتجاه، وتوزين الميزات التكيفي.
تقييم شامل: تجارب مكثفة على مجموعة بيانات TON-IoT تثبت أن الطريقة المقترحة تتفوق على النماذج التقلية لتعلم الآلة (Bayes، Random Forest) وغيرها من بنيات التعلم العميق (MLP، CNN–BiLSTM) من حيث الأداء العام واكتشاف فئات الأقلية.
النتائج التجريبية أُجريت التجارب على مجموعة بيانات TON-IoT (46,000 عينة، 10 فئات). وتشمل النت النتائج الرئيسية ما يلي:
تأثير معالجة عدم التوازن: بدون معالجة عدم التوازن، حقق النموذج دقة قدرها 0.837 ولكن استدعاءً قدره 0.005 فقط لهجمات MITM. تطبيق Borderline-SMOTE حسّن استدعاء MITM إلى 0.584 ورفع درجة F1 الكلية (Macro-F1) إلى 0.801.
أداء النموذج: حقق النموذج المقترح دقة (Accuracy) بلغت 0.869، ودرجة F1 كلية (Macro-F1) بلغت 0.852، ومعامل ارتباط ماتيوس (MCC) بلغ 0.853.
المقارنة: تفوق النموذج المقترح على النماذج المرجعية بما في ذلك Bayes (دقة 0.742) وRandom Forest (دقة 0.838) ونموذج CNN–BiLSTM–Attention الذي يفتقر إلى تحسينات عدم التوازن واختيار الميزات المحددة (دقة 0.856).
دراسة الاستئصال (Ablation Study): أدى إزالة أي مكون أساسي (معالجة عدم التوازن، اختيار الميزات، الانتباه، أو BiLSTM) إلى تدهور الأداء. ومن الجدير بالذكر أن إزالة معالجة عدم التوازن تسببت في انخفاض Macro-F1 إلى 0.759، مما يبرز دورها الحاسم.
الأداء الخاص بالفئات: أدى النموذج أداءً جيداً في هجمات Ransomware وScanning وXSS (F1 > 0.94). ومع ذلك، ظلت التحديات قائمة في هجمات MITM (F1 = 0.443) وDDoS (F1 = 0.677)، ويرجع ذلك أساساً إلى عدم توازن الفئات وتشابه أنماط حركة المرور مع هجمات أخرى.
الأهمية والادعاءات تدعي الورقة أن الطريقة المقترحة تحسن بشكل كبير من موثوقية اكتشاف هجمات IIoT من خلال معالجة "مفارقة الدقة" حيث تحجب الدقة الإجمالية العالية الفشل في اكتشاف هجمات الأقلية. ومن خلال الجمع بين موازنة مستوى العينات (SMOTE) وموازنة مستوى التحسين (Focal Loss) ونموذج تمثيل ميزات قوي، يحقق إطار العمل قدرة أكثر توازناً على التعرف متعدد الفئات. ويؤكد المؤلفون أن هذا النهج ذو قيمة خاصة للسيناريوهات الصناعية الحساسة أمنياً حيث يمكن أن يؤدي تفويت هجوم نادر ولكنه خطير (مثل MITM) إلى عواقب وخيمة. وتخلص الدراسة إلى أنه بينما تعزز الطريقة المتانة العامة، يجب أن يركز العمل المستقبلي على تحسين دقة فئات الأقلية وحل الالتباس بين ناقلات الهجوم المتشابهة مثل DoS وDDoS.