Detection of the Malicious URL Using the Language Models

لقد أصبح الإنترنت بمثابة الجهاز العصبي المركزي للحياة المعاصرة، وهو شبكة واسعة تقدم من خلالها المؤسسات الخدمات ويتشارك فيها الناس المعلومات عبر عناوين الويب. هذه العناوين، المعروفة باسم عناوين URL، هي المفاتيح التي تفتح صفحات محددة على الويب. ومع ذلك، تماماً كما يمكن تزوير مفتاح مادي لفتح باب لا ينبغي فتحه، يمكن صياغة رابط رقمي للخداع. روابط URL الخبيثة هي هذه المفاتيح المزورة؛ وهي روابط مصممة لخداع المستخدمين لزيارة مواقع تسرق الأموال، أو تحصد المعلومات الخاصة، أو تثبت برامج ضارة على أجهزتهم. وبينما تكون بعض التهديدات واضحة، فإن الكثير منها يكون خفياً، وغالباً ما يكون التمييز بين رابط آمن وآخر خطير أمراً صعباً على الشخص العادي. وللحماية من هذه الفخاخ الرقمية، اعتمد خبراء الأمن لفترة طويلة على قوائم الروابط السيئة المعروفة، لكن هذه القوائم لا يمكنها إلا إيقاف ما رأت بالفعل. وعندما يظهر تهديد جديد وغير مرئي، تفشل القوائم القديمة. وقد دفع هذا القصور الباحثين إلى البحث عن طرق أكثر ذكاءً لتحديد الخطر، بالانتقال من مجرد قوائم التحقق البسيطة إلى أنظمة يمكنها في الواقع فهم المعنى الكامن وراء عنوان الويب.

في دراسة حديثة، تصدى باحثون من جامعة قم وجامعة آزاد الإسلامية لهذا التحدي من خلال تعليم الحواسيب قراءة معنى الكلمات داخل عنوان الويب، بدلاً من مجرد عدّ أحرفها. لسنوات، حاولت الأنظمة الآلية رصد الروابط الخبيثة من خلال النظر في شكلها وبنيتها — قياس طول العنوان، أو عدّ الرموز، أو التحقق مما إذا كان يحتوي على سلاسل مشبوهة من الحروف. تعمل هذه الأساليب بشكل جيد في حالات كثسة، لكنها تفتقر إلى الدقة اللغوية. فقد يستخدم الرابط الخبيث كلمات تبدو بريئة ولكنها مرتبة بطريقة توحي بعملية احتيال، تماماً مثل رسالة التصيد الاحتيالي التي تستخدم لغة مهذبة لطلب كلمة مرور. أدرك الباحثون أنه للإمساك بهذه الحيل المتطورة، يحتاج النظام إلى فهم العلاقة الدلالية بين الكلمات، أو كيف تتناسب مع بعضها البعض لتشكل معنى محدداً. ولتحقيق ذلك، لجأوا إلى نماذج اللغة، وهي برامج حاسوبية متقدمة مدربة على كميات هائلة من النصوص لفهم كيفية ارتباط الكلمات ببعضها البعض في اللغة البشرية.

اختبر الفريق أربعة أنواع مختلفة من نماذج اللغة هذه لمعرفة أي منها يمكنه تحديد أفضل تحديد للنية وراء رابط URL. أول نموذجين، Word2vec وGloVe، هما نظامان يقومان برسم خرائط للكلمات في مساحة رياضية بناءً على مدى تكرار ظهورها بالقرب من بعضها البعض في النص. وهما جيدان في فهم أن كلمات مثل "ملك" و"ملكة" مرتبطة ببعضها، لكنهما يعاملان كل كلمة بمعزل عن غيرها، دون مراعاة السياق الكامل للجملة. أما النموذج الثالث، LASER، فقد صُمم للتعامل مع لغات متعددة في آن واحد، حيث يرسم خرائط للجمل في مساحة مشتركة، رغم أنه يركز على الجملة ككل بدلاً من التفاصيل الدقيقة للكلمات الفردية. والنموذج الأخير، BERT، هو أداة أحدث وأكثر قوة، حيث ينظر إلى الكلمة في سياق جميع الكلمات المحيطة بها، سواء قبلها أو بعدها. وهذا يسمماح له باستيعاب الاختلافات الدقيقة في المعنى التي تعتمد على الترتيب المحدد للجملة. طبق الباحثون هذه النماذج على مجموعة بيانات تحتوي على أكثر من 114,000 عنوان ويب، تضمنت روابط آمنة بالإضافة إلى تلك المصممة لرسائل السبام (البريد المزعج)، والتصيد الاحتيالي، والبرمجيات الخبيثة، وتشويه المواقع الإلكترونية.

لجعل عناوين الويب قابلة للقراءة من قبل نماذج اللغة هذه، كان على الباحثين أولاً تفكيكها إلى قطع أصغر، وهي عملية تسمى "التقطيع" (tokenization). بالنسبة للنماذج الثلاثة الأولى، قاموا يدوياً بإزالة الرموز مثل الخطوط المائلة وعلامات الاستفهام، معتبرين الكلمات المتبقية هي البيانات الأساسية. أما بالنسبة لنموذج BERT، فقد استخدموا أداة متخصصة تقوم تلقائياً بتقسيم العنوان إلى كلمات فرعية ورموز، مع الاحتفاظ بعلامات الترقيم كجزء من المعنى لأن BERT مصمم لفهم كيف تغير تلك الرموز السياق. وبمجرد معالجة العناوين، ولدت النماذج تمثيلاً عددياً فريداً لكل منها، يلتقط جوهرها الدلالي. ثم تم تغذية هذه التمثيلات في شبكة عصبية، وهي نوع من البرامج الحاسوبية المستوحاة من الدماغ البشري، والتي تعلمت التعرف على الأنماط وتعيين تسمية لكل رابط URL، مثل "آمن"، أو "سبام"، أو "تصيد احتيالي".

أظهرت نتائج التجربة فائزاً واضحاً. فبينما أدت جميع نماذج اللغة أداءً أفضل من العديد من الطرق السابقة التي اعتمدت فقط على السمات الإحصائية، إلا أن نموذج BERT برز بشكل ملحوظ. فقد حقق معدل دقة بلغ 99.71 بالمائة، حيث حدد طبيعة عناوين الويب بشكل صحيح في كل الحالات تقريباً. كما أدت النماذج الأخرى أداءً جيداً، حيث وصل نموذج GloVe إلى 98.94 بالمائة ووصل نموذج Word2vec إلى 98.62 بالمائة، لكنهما لم يصلا إلى دقة BERT. وأشار الباحثون إلى أن حتى أقل النماذج أداءً في دراستهم، وهو LASER، قد تفوق على العديد من التقنيات الموجودة في هذا المجال، محققاً دقة بلغت 97.46 بالمائة. يشير هذا إلى أن مجرد نقل التركيز من البنية الفيزيائية لعنوان URL إلى معنى كلماته يوفر دفعة كبيرة للأمن. وتثبت الدراسة أنه من خلال استخدام نموذج يفهم السياق والعلاقات بين الكلمات، يمكن للحواسيب أن تصبح أكثر فعالية في رصد الإشارات اللغوية الدقيقة التي تشير إلى رابط خبيث.

خلص الباحثون إلى أن نهجهم يقدم حلاً قوياً لمشكلة مستمرة في أمن الحاسوب. فمن خلال نمذجة المساحة الدلالية للكلمات الموجودة في عناوين الويب، تمكنوا من التقاط النية وراء الرابط بطريقة لم تستطع الطرق التقليدية القيام بها. إن نجاح نموذج BERT، على وجه الخصوص، يسلط الض الضوء على قيمة استخدام فهم لغوي عميق ومدرك للسياق للكشف عن التهديدات. وهذا لا يعني أن الطرق القديمة عديمة الفائدة، بل يعني أن الجمع بينها وبين القدرة على قراءة "معنى" رابط URL يخلق دفاعاً أقوى بكثير. ومع استمرار المجرمين السيبرانيين في تطوير تكتيكاتهم، وجعل روابطهم الخبيثة تبدو أكثر فأكثر مثل الروابط المشروعة، فإن القدرة على فهم سياق الكلمات التي يستخدمونها ستصبح أداة أساسية للحفاظ على سلامة الإنترنت. وتوفر الدراسة مساراً واضحاً للمستقبل، موضح أن مستقبل اكتشاف عناوين URL يكمن في تعليم الآلات كيفية القراءة ما بين السطور.