An Imbalance-Resilient Network Intrusion Detection Framework Using TVAE-Based Data Augmentation and Stacked Ensemble

في التيارات الشاسعة وغير المرئية لحركة المرور الرقمية التي تغذي عالمنا الحديث، تدور معركة مستمرة بين أولئك الذين يبنون وأولئك الذين يكسرون. في كل ثانية، تتدفق مليارات من حزم البيانات عبر الشبكات، حاملةً كل شيء بدءاً من رسالة بريد إلكتروني بسيطة وصولاً إلى معاملة مالية معقدة. وللحفاظ على أمان هذا التدفق، تعمل أنظمة أمنية تُعرف بأنظمة كشف التسلل كحراس رقميين، تقوم بمسح مستمر بحثاً عن علامات النشاط الضار. ومع ذلك، يواجه هؤلاء الحراس واقعاً صعباً: فالبيانات التي يحللونها منحازة بشدة. ففي الشبكة النموذجية، يفوق عدد حركة المرور العادية غير الضارة الهجمات النادرة والخطيرة بفارق هائل. ويخلق هذا عدم التوازن نقطة عمياء للعديد من أنظمة الكشف؛ فبسبب شيوع حركة المرور "الجيدة"، غالباً ما تصبح أدوات التعلم الآلي منحازة نحوها، مما يؤدي فعلياً إلى تجاهل التهديدات النادرة والحرجة التي تختبئ في الأقلية. علاوة على ذلك، فإن الحجم الهائل لنقاط البيانات التي تصف كل اتصال يمكن أن يغمر هذه الأنظمة، مما يجعل من الصعب التمييز بين هجوم حقيقي وبين خلل عابر غير ضار.

لقد طور باحثون في مركز نور الإسلام للتعليم العالي إطار عمل جديداً صُمم للتغلب على هذه العقبات المحددة. ويتعامل نهجهم مع المشكلة عبر ثلاث مراحل متميزة، تماماً مثل المحقق الذي ينظم أولاً مسرح جريمة فوضوي، ثم يجمع المزيد من الأدلة لملء الفجوات، ثم يستشير لجنة من الخبراء للوصول إلى حكم. أولاً، قاموا بتبسيط البيانات من خلال اختيار أكثر الأدلة فائدة فقط من بين أكثر من ثمانين ميزة متاحة، مما قلل الضجيج إلى مجموعة مركزة من تسعة عشر مؤشراً رئيسياً. بعد ذلك، عالجوا مشكلة عدم التوازن باستخدام أداة توليدية متطورة لإنشاء أمثلة اصطناعية واقعية لأنواع الهجمات النادرة، مما يضمن قدرة نظام التعلم على دراستها بنفس دقة الأنواع الشائعة. وأخيراً، دمجوا أحكام ثلاثة نماذج مختلفة من تعلم الآلة في محرك واحد أقوى لاتخاذ القرار. وعند اختبار هذا النظام على مجموعة بيانات ضخمة وواقعية لحركة مرور الشبكة، حقق دقة بلغت 98.49% في التمييز بين حركة المرور الآمنة والخطيرة، وحافظ على مستوى عالٍ من الأداء حتى عند محاولة تحديد أنواع معينة من الهجمات النادرة.

إن التحدي الجوهري الذي واجهه الباحثون هو طبيعة البيانات نفسها. ففي العالم الحقيقي، تهيمن الأنشطة الحميدة على حركة مرور الشبكة. وإذا تم تغذية خوارزمية التعلم بمجموعة بيانات تشكل فيها الأنشطة غير الضارة تسعة وتسعين بالمائة من الأمثلة، فإنها تتعلم ببساطة أن تخمن "غير ضار" في كل مرة. وبينما تحقق هذه الاستراتيجية درجة إجمالية عالية، إلا أنها تفشل تماماً في مهمتها الأساسية: وهي ضبط العناصر السيئة. وقد وجد الباحثون أن الطرق التقليدية غالباً ما تعاني من هذا الأمر، وكذلك من الأبعاد العالية للبيانات، حيث تؤدي كثرة المتغيرات إلى إرباك النموذج. ولحل ذلك، بدأوا بتنظيف وتكرير المدخلات؛ حيث طبقوا عملية تصفية من خطوتين على تدفقات الشبكة الخام. أولاً، حددوا الميزات التي تهم فعلياً في رصد الهجوم، واستبعدوا تلك التي لا تقدم معلومات مفيدة. ثم أزالوا الميزات التي تقول جوهرياً الشيء نفسه عن غيرها، وهي عملية تُعرف بإزالة التكرار. وقد أدى ذلك إلى تقليل تعقيد المشكلة، مما سمح للنظام بالتركيز على العلامات الأكثر دلالة على التسلل دون أن يضيع في بحر من الأرقام غير ذات الصلة.

وبعد تنظيف البيانات، توجه الفريق إلى قضية الندرة. فالهجمات النادرة، مثل حقن SQL أو محاولات القوة الغاشمة (Brute-force)، كانت تظهر بشكل نادر جداً في مجموعة البيانات الأصلية لدرجة أن نماذج التعلم بالكاد تراها. ولإصلاح ذلك، استخدم الباحثون تقنية تسمى "المشفر التلقائي التبايني الجدولي" (Tabular Variational Autoencoder). ويمكن للمرء أن يتصور هذه الأداة كفنان ماهر يدرس بعض اللوحات لأسلوب معين، ثم ينشئ لوحات أصلية جديدة تبدو تماماً مثل اللوحات الأصلية، حيث يلتقط جميع التفاصيل الدقيقة دون نسخها بكسل بكسل. وفي هذه الحالة، درست الأداة الأمثلة الحقيقية القليلة لكل نوع من أنواع الهجمات النادرة وأنتجت عينات اصطناعية جديدة تحافظ على الخصائص الإحصائية للتهديدات الحقيقية. وقد أضيفت هذه العينات الاصطناعية فقط إلى بيانات التدريب، مما أدى فعلياً إلى موازنة الكفتين لكي يتمكن النظام من تعلم شكل الهجوم النادر دون أن يرى واحداً مزيفاً أثناء الاختبار النهائي.

تضمنت المرحلة النهائية من إطار العمل جمع أنواع مختلفة من نماذج التعلم لاتخاذ القرار النهائي. فقد قام الباحثون بتدريب ثلاثة مصنفات متميزة: الغابة العشوائية (Random Forest)، و(LightGBM)، والأشجار الإضافية (Extra Trees). ولكل من هذه النماذج طريقتها الخاصة في تحليل البيانات ورصد الأنماط؛ فالغابة العشوائية تبني العديد من أشجار القرار وتصوت على الإجابة؛ و(LightGBM) يتعلم من خلال تصحيح أخطائه خطوة بخطوة؛ أما الأشجار الإضافية فتضيف العشوائية لضمان التنوع في تفكيرها. وبدلاً من الاعتماد على نموذج واحد فقط، استخدم الباحثون تقنية تسمى "التكديس" (Stacking). وتضمن ذلك أخذ التنبؤات من النماذج الثلاثة وتغذيتها في نموذج رابع رفيع المستوى. هذا "المصنف الفوقي" (Meta-classifier) تعلم كيفية وزن نقاط القوة والضعف في النماذج الأخرى، ودمج رؤاها لإنتاج تنبؤ نهائي أكثر دقة. وقد سمح هذا النهج للنظام بالإمساك بالأخطاء التي قد يغفل عنها نموذج واحد، والتعميم بشكل أفضل عبر أنواع الهجمات المختلفة.

عندما اختبر الفريق إطار عملهم على مجموعة بيانات (CSE-CIC-IDS2018)، وهي معيار قياسي لأبحاث أمن الشبكات، كانت النتائج قوية. ففي اختبار ثنائي، أي مجرد التمييز بين حركة المرور الآمنة والضارة، حقق النظام دقة بلغت 98.49%. والأهم من ذلك، أنه لم يضحِ بالقدرة على كشف حركة المرور السيئة لتحقيق هذه الدرجة؛ حيث حدد الهجمات الضارة بشكل صحيح بمعدل استدعاء (Recall) بلغ 0.97، مما يعني أنه لم يفتت سوى القليل جداً من عمليات التسلل. وفي السيناريو الأكثر تعقيداً متعدد الفئات، حيث كان على النظام تحديد النوع المحدد للهجوم من بين احتمالات عديدة، ظل يحافظ على دقة إجمالية بلغت 97.80%. وقد أدى النظام أداءً جيداً بشكل خاص في الهجمات منخفضة التكرار التي غالباً ما تُربك الطرق الأخرى، مثل حقن SQL وهجمات (Brute Force-XSS). وقد أكد الباحثون هذه النتائج من خلال التحقق المتقاطع الصارم، عبر تشغيل الاختبارات عدة مرات مع تقسيمات مختلفة للبيانات لضمان أن النتائج لم تكن محض صدفة. إن اتساق الأداء، مع هامش خطأ صغير جداً، يشير إلى أن إطار العمل مستقر وموثوق.

تستبعد الدراسة صراحةً فكرة أن مجرد إضافة المزيد من البيانات أو استخدام نموذج واحد قوي يكفي لحل مشكلة عدم توازن حركة مرور الشبكة. فقد أثبت الباحثون أنه بدون الخطوات المحددة لتحسين الميزات وتعزيز البيانات لكل فئة، فإن حتى النماذج القوية مثل (Random Forest) أو (XGBoost) كان أداؤها أسوأ بكثير، وغالباً ما فشلت في اكتشاف الهجمات النادرة. كما أظهروا أن التحسينات لم تكن هامشية؛ إذ أدى الجمع بين المكونات الثلاثة — اختيار الميزات، وتوليد البيانات الاصطناعية، والتعلم الجماعي — إلى تأثير تراكمي أكبر من مجموع أجزائه. لم يعتمد إطار العمل على أي "سحر" أو طرق مختصرة غير مفسرة؛ بل عالج بشكل منهجي نقاط الضعف الهيكلية في المقاربات السابقة. ومن خلال موازنة البيانات وتكرير المدخلات قبل أن تبدأ النماذج في التعلم، أنشأ الباحثون نظاماً مرناً تجاه الواقع المنحاز لحركة المرور الرقمية.

في نهاية المطاف، يقدم هذا العمل مساراً موثوقاً للأمام لأمن الشبكات في عصر التهديدات المتزايدة التعقيد. يثبت إطار العمل أنه من خلال التحضير الدقيق للبيانات ودمج رؤى استراتيجيات تعلم متعددة، من الممكن بناء أنظمة كشف تسلل تتسم بدقة عالية وحساسية تجاه الأحداث النادرة والخطيرة التي تهم أكثر من غيرها. وتشير النتائج إلى إمكانية توسيع نطاق مثل هذا النظام للنشر في العالم الحقيقي، مما يوفر طبقة حماية تتكيف مع الطبيعة غير المتوازنة لحركة مرور الشبكة الفعلية. ومع استمرار تطور التهديدات السيبرانية، تظل القدرة على اكتشاف الإبرة في كومة القش دون أن تغمرك كومة القش نفسها هدفاً حيوياً، وهذا البحث يقدم طريقة ملموسة وفعالة لتحقيق ذلك.