Boundary-Based Stability Monitoring of DDoS-Induced Structural Stress in Networked Systems

التوتر الخفي في الهواء الرقمي

تخيل الإنترنت ليس كشبكة من الأسلاك، بل كمدينة صاخبة وغير مرئية من المعلومات. في كل مرة ترسل فيها رسالة نصية، أو تشاهد مقطع فيديو، أو تفتح صفحة ويب، فإنك تضيف سيارة صغيرة إلى حركة المرور في هذه المدينة. عادةً ما تتدفق هذه الحركة بسلاسة، حيث تحافظ السيارات على وتيرة ومسافات ثابتة. لكن أحياناً، يحاول المعتدون تخريب الحفل؛ فيرسلون ملايين السيارات الوهمية دفعة واحدة، مما يؤدي إلى سد الطرق حتى لا تتمكن حركة المرور الحقيقية من التحرك. هذا هو هجوم حجب الخدمة الموزع، أو ما يعرف بـ DDoS.

لفترة طويلة، حاولت برامج الحماية (البرمجيات التي تحمي شبكاتنا) رصد هذه الهجمات من خلال البحث عن طفرات واضحة — مثل جدار مفاجئ وضخم من السيارات يصطدم بنقطة تفتيش. لقد وضعوا "حدود سرعة" و"إنذارات حجم". إذا تجاوزت حركة المرور الحد المسموح به، يدق الإنذار. ولكن هنا تكمن المشكلة: أحياناً لا يكتفي الأشرار بتكديس السيارات فحسب، بل يغيرون ببراعة طريقة قيادة هذه السيارات. قد يقودونها بأنماط غريبة، أو يغيرون المسافات بينها، أو يجعلون السيارات أثقل قليلاً. هذه التغييرات الطفيفة لا تكسر حد السرعة فوراً، لكنها تضع ضغطاً غريباً وغير مرئي على نظام الطريق. إذا كنا نبحث فقط عن الاصطدام الكبير، فقد نفوت اللحظة التي يبدأ فيها الطريق بالتصدع. تتحدث هذه الورقة عن إيجاد طريقة لقياس ذلك التوتر الخفي قبل أن ينكسر الطريق فعلياً.

---

الشعور بالصدع قبل الانهيار

في هذه الدراسة، يقترح المؤلف عبد الله م. المرارشي طريقة جديدة لمراقبة حركة مرور الشبكة. بدلاً من مجرد السؤال: "هل هذه الحركة سيئة؟" أو "هل هي جيدة؟"، تسأل الورقة: "إلى أي مدى تقترب هذه الحركة من الانهيار؟"

تخيل شبكة صحية كبهلوان يمشي على حبل مشدود ويتوازن تماماً في المنتصف. أساليب الأمن التقليدية تشبه مراقبة اللحظة التي يسقط فيها البهلوان عن الحبل؛ فهي لا تتفاعل إلا بعد وقوع الكارثة. أما طريقة المرارشي الجديدة، فهي تشبه وضع مستشعر على الحبل نفسه؛ فهي تقيس مدى تمايل الحبل، أو تمدده، أو التوائه بينما لا يزال البهلوان عليه. إنها لا تنتظر السقوط، بل تخبرك بالضبط مدى ميل البهلوان نحو الحافة.

"اختبار الإجهاد" للبيانات

تقدم الورقة إطاراً رياضياً يسمى نطاق الاستقرار (Stability Domain). تخيل منطقة خضراء آمنة على الخريطة حيث تعيش كل حركة المرور "الطبيعية". هذا هو النظام المرجعي الحميد (benign reference regime). عندما يبدأ الهجوم، لا تقفز حركة المرور فجأة خارج المنطقة الخضراء، بل تنزلق ببطء نحو الحافة.

يبني المؤلف أداة خاصة تسمى دالة الاستقرار (Stability Functional). فكر في هذا كـ "مقياس الإجهاد الهيكلي". إنه ينظر إلى حركة المرور ويحسب شيئين رئيسيين:

1. مدى ابتعاد حركة المرور عن مكانها الطبيعي والسعيد (المسافة).
2. مدى التواء أو تشوه حركة المرور (الشكل).

من خلال الجمع بينهما، يعطي المقياس رقماً واحداً يخبرك بمدى قرب النظام من "حد الانهيار". إذا كان الرقم منخفضاً، فأنت في أمان في المنطقة الخضراء. إذا ارتفع الرقم، فأنت تقترب من الحافة. وإذا تجاوز خطاً معيناً، يكون النظام في "منطقة الانهيار" — مما يعني أن الهجوم قد تمكن بالفعل.

سحر "مشغل التشوه" (Distortion Operator)

أحد أروع أجزاء هذه الورقة هو أداة تسمى مشغل التشوه (Distortion Operator). تخيل أنك تراقب حشداً من الناس. عادة، يقفون في دائرة مرتبة ومتوقعة. قد يحاول المهاجم دفعهم، ولكن بدلاً من مجرد جعل الدائرة أكبر، قد يجعل بعضهم يقفون على رؤوسهم، والبعض الآخر يركض في دوائر، والبعض يقف على قدم واحدة.

مشغل التشوه هو بمثابة محقق شديد الملاحظة يدرك هذه الأشكال الغريبة. هو لا يكتفي بعدّ الرؤوس فقط؛ بل يتحقق مما إذا كان شكل الحشد قد تغير. إنه ينظر إلى ثلاثة أشياء محددة:

• الموقع: هل انتقل الحشد إلى مكان جديد؟
• التباين (Variance): هل انتشر الحشد كثيراً أم أصبح متكتلاً جداً؟
• المقياس (Scale): هل أصبح الحشد فجأة ضخماً أم صغيراً جداً؟

تثبت الورقة رياضياً أنه إذا جمعت هذه التشوهات، فستحصل على صورة واضحة لمدى عدم استقرار النظام. الأمر لا يتعلق فقط بـ "زيادة حركة المرور"؛ بل يتعلق بـ "حركة المرور الغريبة".

العمل الاستقصائي "بناءً على الميزات"

خدعة ذكية أخرى في الورقة هي المساهمة بناءً على الميزات (Feature-Wise Contribution). عندما يطلق مقياس الإجهاد إنذاره، فإنه لا يكتفي بالقول: "هناك خطب ما!"، بل يشير بإصبعه ويقول: "هذا الجزء المحدد من حركة المرور هو الذي يسبب الإجهاد".

في الاختبارات الواقعية، وجد المؤلف أنه أثناء الهجمات، كانت أجزاء معينة من البيانات — مثل الوقت الذي تستغرقه الرسالة للوصوبة (التوقيت) أو مدى نشاط الاتصال — هي الأكثر تشوهاً. هذا يشبه الطبيب الذي لا يقول لك "أنت مريض" فحسب، بل يقول "ضربات قلبك هي المشكلة الرئيسية الآن". وهذا يساعد فرق الأمن في معرفة ما يجب النظر إليه بالضبط لإصلاح المشكلة.

ماذا تقول الأرقام؟

لم يكتفِ المؤلف بصياغة هذه الفكرة نظرياً، بل اختبرها.

• في المحاكاة: قاموا بإنشاء حركة مرور وهمية وأضافوا إليها "الإجهاد" تدريجياً. ووجدوا أنه كلما جعلوا حركة المرور أكثر فوضوية، ارتفع رقم دالة الاستقرار بشكل مطرد. لم يكن الرقم يتذبذب عشوائياً، بل نما في خط سلس ومتوقع، تماماً مثل ارتفاع درجة الحرارة في ميزان الحرارة مع سخونة الغرفة. أثبت هذا أن الرياضيات تعمل.
• في الحياة الواقعية: اختبروا النظام على بيانات شبكة حقيقية من مجموعة بيانات CIC-IDS2017 (وهي مجموعة شهيرة من سجلات حركة مرور الشبكة).
  • بالنسبة لحركة المرور الحميدة (الطبيعية)، كان متوسط درجة الإجهاد حوالي 61.33.
  • بالنسبة لحركة مرور الهجوم، قفز متوسط درجة الإجهاد إلى 103.96.
  • كانت العلاقة بين "التشوه" (الأشكال الغريبة) و"درجة الإجهاد" شبه مثالية، مع ارتباط قدره 0.998. وهذا يعني أن الرياضيات تصمد حتى في العالم الحقيقي الفوضوي.

ما لا تفعله هذه الورقة

من المهم معرفة ما لا تفعله هذه الورقة. هي لا تدعي أنها درع سحري يوقف الهجمات فوراً، ولا تحل محل الإنذارات القديمة التي تصرخ عندما تصبح حركة المرور مرتفعة جداً. بدلاً من ذلك، هي تقدم نظام إنذار مبكر. هي تقترح أنه من خلال مراقبة بنية حركة المرور، يمكننا رؤة النظام وهو يرهق ويتعرض للإجهاد قبل أن ينهار فعلياً.

يلاحظ المؤلف بعناية أن هذا يعمل بشكل أفضل عندما تكون حركة المرور "الطبيعية" مفهومة جيداً. فإذا تغير سلوك الشبكة بشكل طبيعي بمرور الوقت (مثل مدينة تكبر مساحتها كل عام)، فقد يحتاج النظام إلى إعادة ضبط. أيضاً، أجريت هذه الدراسة على بيانات تم جمعها مسبقاً (خارج الإنترنت/offline)، لذا بينما الرياضيات جاهزة للاستخدام في الوقت الفعلي، فإن الورقة نفسها هي مخطط لبناء تلك الأداة في الوقت الفعلي، وليست الأداة ذاتها.

الخلاصة

تمنحنا هذه الورقة نظارة جديدة. بدلاً من مجرد رؤية "حركة مرور كثيفة جداً"، يمكننا الآن رؤية "حركة مرور تفقد توازنها". من خلال قياس المسافة إلى حافة منطقة الاستقرار، يمكننا الحصول على تحذير قبل أن ينكسر النظام. إنها تحول الهجوم المفاجئ والمخيف لهجمات DDoS من حادث اصطدام مفاجئ إلى انزلاق تدريجي وقابل للقياس يمكننا مراقبته، وفهمه، وآمل أن نوقفه قبل فوات الأوان. إنه انتقال من رد الفعل تجاه الاصطدام إلى الشعور بالصدع في الطريق قبل أن تصل السيارة إليه حتى.