تخيل الإنترنت كمدينة ضخمة وصاخبة، حيث تصرخ كل الأجهزة باستمرار بحثاً عن طريقها للتنقل. لعقود من الزمن، كانت هذه الصرخات تشبه رسائل مفتوحة تُمرر بين الجيران: يمكن لأي شخص يمر بجانبها أن يقرأها، أو يسرق الأسرار بداخلها، أو حتى يزور رسائل مزيفة لإرسال الناس إلى أماكن خاطئة. ولإصلاح ذلك، بنى المهندسون "نفقاً آمناً" يُسمى نظام أسماء النطاقات عبر بروتوكول HTTPS (DoH). فكر في الأمر كوضع تلك الرسائل المفتوحة داخل صندوق فولاذي مغلق وغير قابل للكسر، وإرسالها عبر شاحنة توصيل خاصة تبدو تماماً مثل ملايين الشاحنات المشروعة الأخرى. إنه أمر عبقري من أجل الخصوصية لأنه لا يمكن لأحد التلصص على ما بداخل الصندوق، ولكنه يخلق مشكلة جديدة لرجال الأمن: إذا أراد مجرم تهريب بيانات مسروقة خارج المدينة، فيمكنه ببساطة إخفاؤها داخل أحد هذه الصناديق المغلقة. لا يستطيع الحراس رؤية ما بداخلها، ويبدو الصندوق تماماً مثل عملية تسليم عادية، مما يجعل من الصعب جداً رصد الأشرار.

هذا هو التحدي الذي عالجته دراسة جديدة أجراها الباحثان إيناس سليم ورانيا سلامة. إنهما يطرحان سؤالاً حاسماً: كيف يمكننا القبض على المجرمين المختبئين في صناديق مغلقة دون كسر الأقفال أو إبطاء حركة المدينة؟ تقترح الورقة البحثية نظاماً "هجيناً" ذكياً. فبدلاً من الاعتماد على طريقة واحدة فقط لرصد المجرم، يجمعون بين مشرف حاد البصر (نموذج تعلم آلي يُسمى XGBoost) واثنين من "كواشف الشذوذ" (Isolation Forest و Local Outlier Factor). تخيل المشرف كشرطي مخضرم يعرف شكل المجرم التقليدي بناءً على قضايا سابقة. أما كواشف الشذوذ فهي مثل زوج من المستشعرات التي تصرخ "هناك شيء غريب هنا!" كلما كان سلوك شخص ما لا يتناسب مع نمط المواطنين الشرفاء العاديين، حتى لو لم يسبق لهذا الكشاف رؤية هذا النوع المحدد من المجرمين. وقد اختبر الباحثون هذا الفريق المتكاتف ضد مجموعة ضخمة من بيانات حركة مرور الإنترنت، بما في ذلك سيناريوهات معقدة استخدم فيها المجرمون أدوات لم يرها النظام من قبل. ووجدوا أنه بينما لم يتفوق الفريق الهجين دائماً على الشرطي المخضرم في المواقف السهلة، إلا أنه كان فعالاً للغاية في القبض على المجرمين المتسللين وغير المرئيين الذين فاتوا الشرطي، حيث قلل من عدد الهجمات المفقودة بنسبة تترا تطوح بين 70% إلى 74% في أصعب الاختبارات.

قصة المحقق الهجين

بنى الباحثون نظاماً يعمل كمركز تفتيش لحركة مرور الإنترنت، ولكن مع لمسة مختلفة. فبدلاً من محاولة قراءة الصناديق الفولاذية المغلقة (وهو أمر مستحيل لأنها مشفرة)، يراقب النظام كيفية تحرك هذه الصناديخ. إنه ينظر إلى توقيت عمليات التوصيل، وحجم الطرود، ومدى تكرار وصولها.

جوهر ابتكارهم هو فريق "هجين". الشخصية الرئيسية هي XGBoost، وهو نموذج تعلم آلي قوي يعمل كمحقق متمرس؛ فقد درس آلاف القضايا السابقة ويعرف "البصمات" المحددة للأشرار المعروفين. لكن الباحثين أدركوا أنه إذا غير المجرم ملابسه أو استخدم خدعة جديدة، فقد يصاب المحقق بالارتباك. لذا، أضافوا اثنين من المساعدين: Isolation Forest و Local Outlier Factor.

فكر في هؤلاء المساعدين كـ "كواشف للغرابة". هم لا يهتمون ببصمات مجرمين محددين، بل يتم تدريبهم فقط على شكل المواطنين "الطبيعيين". إذا دخل شخص ما إلى المركز وهو يتصرف بغرابة — ربما يسير بخطوات سريعة جداً، أو طرده بوزن مختلف عما لدى الآخرين — فإن هذه الكواشف ترفع راية حمراء. هم لا يحتاجون لمعرفة من هو المجرم؛ هم يعرفون فقط أن هذا الشخص لا يتناسب مع الحشد.

قام الباحثون بدمج معرفة المحقق مع تنبيهات كواشف الغرابة في قائمة "ميزات فائقة" واحدة. ثم قاموا بتغذية هذه القائمة مرة أخرى للمحقق لاتخاذ القرار النهائي. لقد اختاروا عمداً عدم استخدام "دماغ" أكثر تعقيداً (مثل التعلم العميق أو Autoencoder) لأن اختباراتهم أظهرت أن ذلك يجعل النظام أبطأ وأكثر تعقيداً دون أن يمسك بمزيد من المجرمين فعلياً. ووجدوا أن الفريق الأخف والأبسط المكون من المحقق بالإضافة إلى كاشفي الغرابة يمثل التوازن المثالي.

الاختبار الكبير: القبض على غير المرئيين

السحر الحقيقي في هذه الورقة ليس فقط في أن النظام يعمل، بل في مدى جودة تعامله مع المجهول. وضع الباحثون نظامهم في سلسلة من الاختبارات المرهقة تسمى "ترك هجوم واحد واستبعاد الآخر" (Leave-One-Attack-Out). تخيل لعبة حيث يتم تدريب المحقق على ثلاثة أنواع من اللصوص: أولئك الذين يسرقون باستخدام عتلة، والذين يستخدمون أداة فتح الأقفال، والذين يستخدمون عتلة مصنوعة من البلاستيك. ولكن بعد ذلك، يلقي الاختبار عليه لصاً يستخدم مفكاً — وهي أداة لم يرها المحقق من قبل.

في هذه الاختبارات، قام الباحثون أيضاً بإزالة "علامة DoH" (وهي إشارة بسيطة تقول "هذا صندوق مغلق") لجعل المهمة أكثر صعوبة. أرادوا معرفة ما إذا كان بإمكان النظام رصد لص "المفك" بمجرد النظر إلى مدى غرابة سلوكه.

كانت النتائج مثيرة للإعجاب. في كل حالة من حالات الاختبار الخمس عشرة المختلفة (باستخدام بذور عشوائية مختلفة لضمان العدالة)، أمسك الفريق الهجين بعدد أكبر بكثير من المجرمين مقارنة بالمحقق الذي يعمل بمفرده.

• بالنسبة لنوع الهجوم "null"، أخطأ الفريق الهجين في المتوسط 52.2 مجرماً فقط، بينما أخطأ المحقق وحده في 1178.6 مجرمًا. وهذا يمثل انخفاضاً بنسبة 70.8% في الهجمات المفقودة.
• بالنسبة لنوع "srv"، أخطأوا في 39.4 بدلاً من 127.6 (انخفاض بنسبة 69.1%).
• بالنسبة لنوع "txt"، أخطأوا في 26.2 بدلاً من 101.2 (انخفاض بنسبة 74.1%).

وقد أكدت الاختبارات الإحصائية أن هذا لم يكن مجرد حظ؛ فالفرق كان حقيقياً وجوهرياً. لقد عمل النظام الهجين كشبكة أمان، حيث أمسك بالمجرمين الذين أفلتوا من أصابع المحقق لأنهم كانوا يفعلون شيئاً "غريباً" بعض الشيء لم يحفظه المحقق بعد.

أين يتألق وأين يتعثر

الورقة البحثية صريحة جداً بشأن أين يعمل هذا النظام بشكل أفضل وأين لا يعمل.

• نقطة القوة: عندما يواجه النظام نوعاً جديداً من الهجمات لم يره من قبل، يكون "كاشفو الغرابة" هم الأبطال. فهم يرصدون الشذوذ في تدفق حركة المرور ويساعدون المحقق في اتخاذ القرار الصحيح.
• المنطقة المحايدة: عندما يتم اختبار النظام على بيانات تشبه تماماً ما تعلم منه (مثل سيناريوهات "Standard" أو "Full Data")، فإن الفريق الهجين يؤدي بشكل أفضل قليلاً أو يتساوى مع المحقق وحده. وفي سيناريو محدد يسمى "Cross-Scenario"، حيث تغيرت حركة المرور الطبيعية قليلاً بين التدريب والاختبار، كان النظامان متساويين تقريباً. في الواقع، أطلق كاشفو الغرابة أحياناً إنذارات كاذبة هنا، حيث اعتبروا حركة المرور الطبيعية (لكن المختلفة قليلاً) مشبوهة.
• حد السرعة: تحقق الباحثون أيضاً من سرعة عمل النظام. ووجدوا أن فحص كل طرد على حدة (التدفق المستمر/Streaming) كان أبطأ بنحو 16 مرة للفريق الهجين مقارنة بالمحقق وحده. ومع ذلك، إذا قاموا بفحص الطرود في دفعات (مثل شحنة كاملة في وقت واحد)، فإن البطء كان حوالي 2.3 مرة فقط. وهذا يعني أن النظام ممتاز لتحليل حركة المرور في دفعات قصيرة (Batch processing) ولكنه قد يكون بطيئاً جداً لفحص كل حزمة في اللحظة التي تصل فيها.

مشكلة "فجوة الميزات"

كان هناك حالة واحدة صعبة واجهت النظام: أداة تسمى dns2tcp. حتى مع وجود الفريق الهجين، لم يمسك النظام إلا بحوالي 35% من هجمات dns2tcp. تعمق الباحثون ووجدوا "فجوة في نطاق الميزات" (feature-domain gap). اتضح أن حركة مرور dns2tcp في هذه المجموعة من البيانات مختلفة جوهرياً؛ فهي أقصر، وأسرع، وتنقل بيانات أقل من الأدوات الأخرى. الأمر يشبه محاولة رصد لص يركض على كوكب آخر؛ لم يستطع "كاشفو الغرابة" تحديد ما إذا كان السلوك غريباً لأنه جريمة أم لمجرد أنه من عالم مختلف. لم يستطع النظام إصلاح ذلك بمجرد إضافة المزيد من القواعد؛ فالبيانات نفسها كانت مختلفة جداً عما تدرب عليه النظام.

الخلاصة

تظهر هذه الورقة أنه عندما يتعلق الأمر بالإمساك بالمجرمين الرقميين المختبئين في الأنفاق المشفرة، فإن امتلاك "زوج ثانٍ من العيون" يبحث عن الغرابة بدلاً من مجرد مطابقة البصمات يعد تغييراً جذرياً لقواعد اللعبة. الإطار الهجين لا يحل محل المحقق الخبير؛ بل يمنحه شبكة أمان للمجهول. وبينما أنه ليس حلاً سحرياً يحل كل المشكلات فوراً (فهو يتطلب أيضاً قدرة حوسبية أكبر قليلاً)، إلا أنه يثبت أن الجمع بين أنواع مختلفة من الذكاء — التعلم الخاضع للإشراف للتهديدات المعروفة، والتعلم غير الخاضع للإشراف للغرابة والمجهول — يخلق دفاعاً أكثر قوة. ويقترح الباحثون أن هذا النهج، جنباً إلى جنب مع طرق الاختبار الصارمة، يجب أن يكون المعيار الجديد لبناء أنظمة أمنية يمكنها التعامل مع الجيل القادم من الهجمات الماكرة.