A Federated Graph-Based Intrusion Detection Framework for Unknown Attack Detection in Internet of Medical Things(IoMT)

تخيل إنترنت الأشياء الطبية (IoMT) كمستشفى عالي التقنية يعج بالحركة حيث كل شيء متصل ببعضه البعض. من أجهزة مراقبة القلب الذكية ومضخات الأنسولين إلى أجهزة تتبع اللياقة البدنية القابلة للارتداء، هذه الأجهزة تتحدث مع بعضها باستمرار، وتشارك البيانات الحيوية للحفاظ على سلامة المرضى. إنه يشبه الجهاز العصبي الرقمي للرعاية الصحية، مما يجعل الأطباء أسرع والرعاية أكثر دقة. ولكن تماماً كما يمكن للجهاز العصبي الحقيقي أن يُختطف بواسطة فيروس، فإن هذه الشبكة الرقمية معرضة لجرائم سيبرانية من قبل مجرمين يسعون لسرقة الأسرار أو إيقاف تشغيل المعدات المنقذة للحياة.

لإمساك هؤلاء اللصوص الرقميين، يستخدم خبراء الأمن "أنظمة كشف التسلل" (IDS). فكر في نظام كشف التسلل كحارس أمن فائق الذكاء يراقب حركة المرور المتدفقة عبر شبكة المستشفى. حراس الأمن التقليديون يبحثون عن الأشرار المعروفين من خلال التحقق من قائمة الوجوه التي رأوها من قبل. ولكن ماذا يحدث عندما يظهر مجرم جديد ومجهول يرتدي تنكراً؟ سيصاب الحراس القدامى بالارتباك. وأيضاً، في مستشفى حقيقي، لا يمكن لحارس الأمن ببساطة النظر في السجلات الطبية الخاصة لكل مريض ليتعلم؛ لأن ذلك سيكون انتهاكاً هائلاً للخصوصية. التحدي يكمن في بناء حارس أمن ذكي بما يكفي لرصد الهجمات الجديدة والمجهولة دون أن يرى أبداً البيانات الخاصة للمرضى.

تقدم هذه الورقة حلاً ذكياً جديداً يسمى "إطار عمل كشف التسلل القائم على الرسوم البيانية الاتحادية" (Federated Graph-Based Intrusion Detection Framework). وهو يجمع بين ثلاث أفكار قوية لحل مشكلتي الخصوصية و"الهجمات المجهولة". أولاً، بدلاً من النظر إلى البيانات كقائمة بسيطة، يعامل حركة مرور الشبكة كـ رسم بياني لشبكة اجتماعية، حيث تكون الأجهزة هي الأشخاص وعلاقاتهم هي الصداقات. يساعد هذا النظام على رؤية كيفية تفاعل الأجهزة مع بعضها البعض، مما يسهل رصد متى يبدأ مجموعة من الأجهزة في التصرف بغرابة معاً. ثانياً، يستخدم التعلم الاتحادي (Federated Learning)، وهو يشبه مجموعة من الطلاب يدرسون لاختبار ما دون أن يشاركوا دفاتر ملاحظاتهم الفعلية أبداً. يقوم كل مستشفى بتدريب نموذج أمني خاص به على بياناته المحلية، ويشاركون فقط "الدروس المستفادة" (التحديثات الرياضية) مع معلم مركزي، مما يحافظ على خصوصية جميع سجلات المرضى. أخيراً، يستخدم النظام رياضيات متقدمة تسمى الشبكات العصبية التلافيفية للرسوم البيانية (GCN) وشبكات الانتباه للرسوم البيانية (GAT) لتحليل هذه الرسوم البيانية الاجتماعية، مما يساعد النظام على تعلم التعرف على "شكل" الهجوم حتى لو لم يسبق له رؤية هذا الهجوم المحدد من قبل.

اختبر الباحثون نظامهم الجديد باستخدام مجموعة بيانات ضخمة لحركة المرور في الشبكات الطبية تسمى CICIoT2024 لتدريب النموذج. ولرؤية ما إذا كان بإمكانه حقاً التعامل مع المجهول، لم يكتفوا بالاختبار على نفس البيانات فحسب؛ بل ألقوا عليه مجموعة مختلفة تماماً من الهجمات من مجموعة بيانات منفصلة تسمى CIC-DIAD2024، وتحديداً هجمات "Mirai" التي لم يواجهها النموذج أثناء التدريب. كانت النتائج مبهرة: في اختبار بسيط للتمييز بين حركة المرور "الجيدة" و"السيئة"، حقق النظام معدل دقة بلغ 99.65%. وعندما أصبحت المهمة أصعب وتطلبت تصنيف حركة المرور إلى ست فئات مختلفة من الهجمات، ظل يحقق دقة بنسبة 90.64%.

تجادل الورقة صراحةً ضد الاعتماد فقط على الأساليب القديمة مثل التعلم العميق القياسي (CNNs) الذي يعامل نقاط البيانات كجزر معزولة، أو التعلم المركزي التقليدي الذي يتطلب إلقاء جميع بيانات المرضب الخاصة على خادم واحد. يقترح المؤلفون أن نهجهم يتفوق لأنه يحافظ على الخصوصية بالتصميم وهو أفضل بكثير في التعميم لمواجهة التهديدات الجديدة وغير المرئية. لقد قاسوا هذه النتائج من خلال تجارب مكثفة وتحقق عبر مجموعات البيانات، مما أظهر أن طريقتهم قوية. وبينما يعد النظام فعالاً للغاية في هذه الاختبارات، يشير المؤلفون إلى أن العمل المستقبلي سيتعين عليه استكشاف كيفية تعامله مع الهجمات العدائية الأكثر تعقيداً وسيناريوهات العالم الحقيقي المختلفة. في النهاية، يقدم هذا الإطار طريقة واعدة وصديقة للخصوصية لحماية مستقبل الرعاية الصحية المتصلة من الموجة القادمة من التهديدات السيبرانية.