A Comprehensive Study of Supervised Machine Learning Models for Zero-Day Attack Detection: Analyzing Performance on Imbalanced Data

تخيل الإنترنت كمدينة ضخمة وصاخبة، حيث تتدفق البيانات مثل حركة المرور على طرق سريعة لا نهاية لها. في هذه المدينة، يقف حراس الأمن (جدران الحماية وبرامج مكافحة الفيروسات) عند كل نقطة تفتيش، يفحصون الهويات للتأكد من عدم تسلل أي شخص. عادةً ما يمتلك هؤلاء الحراس كتاب "ملصقات المطلوبين" مليئاً بصور المجرمين المعروفين؛ فإذا بدا غريب ما يشبه شخصاً في القائمة، يتم إيقافه. ولكن ماذا يحدث عندما يظهر مجرم جديد تماماً، لم يسبق رؤيته من قبل، بوجه لا يطابق أي صورة في الكتاب؟ هذا هو كابوس هجوم "اليوم الصفر" (zero-day): متسلل رقمي يستخدم خدعة جديدة كلياً لم تواجهها الأنظمة الأمنية من قبل.

لإمساك هؤلاء اللصوص غير المرئيين، يتجه العلماء إلى نوع خاص من المحققين يسمى "تعلم الآلة". فكر في هؤلاء المحققين كطلاب يدرسون آلاف الأمثلة على "حركة المرور الجيدة" و"حركة المرور السيئة" لتعلم الأنماط. ومع ذلك، هناك مشكلة مخادعة في فصلهم الدراسي: المعلم (البيانات) يعطيهم الكثير من الأمثلة على حركة المرور الجيدة وقليل جداً من الأمثلة على حركة المرور السيئة. الأمر يشبه محاولة تعلم كيفية رصد حيوان نادر وخجول في غابة حيث 99% من المخلوقات هي مجرد سناجب. قد يصبح الطالب بارعاً جداً في رصد السناجب، لكنه قد يخطئ تماماً في رصد الحيوان النادر لأنه لم يره إلا نادراً خلال تدريبه. تغوص هذه الورقة البحثية في كيفية تعليم هؤلاء المحققين الرقميين رصد تلك التهديدات الجديدة والنادرة دون الارتباك بسبب العدد الهائل من السناجب العادية.

---

سباق المحقق الرقمي العظيم

في هذه الدراسة، وضع الباحثان زهرة لطفي ومصطفى لطفي ساحة تدريب ضخمة لمعرفة أي نموذج من نماذج تعلم الآلة يمكن أن يصبح الكاشف الأمثل لهجمات "اليوم الصفر". لم يكتفيا بمعرفة أي نموذج هو الأذكى فحسب، بل أرادا معرفة أي واحد هو الأسرع أيضاً. ففي نهاية المطاف، في العالم الحقيقي، يكون حارس الأمن الذي يستغرق ساعة لفحص هوية شخص واحد عديم الفائدة، حتى لو لم يخطئ أبداً في ضبط مجرم.

استخدم الباحثون مجموعة بيانات ضخمة تسمى UNSW-NB15، والتي تحتوي على أكثر من 1.4 مليون سجل لحركة مرور الشبكة. ولجعل الاختبار واقعياً، أنشأوا سيناريو تم فيه تدريب النماذج على مزيج من حركة المرور الطبيعية والهجمات المعروفة، ولكن تم اختبارها بعد ذلك على هجوم "يوم صفر" لم يروه من قبل. ولجعل الأمر أكثر صعوبة، استخدموا مجموعة بيانات منحازة بشدة، حيث تفوق عدد حركة المرور الطبيعية بشكل هائل على عدد الهجمات، تماماً كما يحدث في الحياة الواقعية.

لقد اختبروا خمسة "محققين" مختلفين (نماذج تعلم الآلة):

1. شجرة القرار (DT): نموذج يطرح سلسلة من الأسئلة التي تُجاب بنعم أو لا لاتخاذ قرار.
2. الانحدار اللوجستي (LR): نموذج إحصائي يحسب احتمالية كون الشيء هجوماً.
3. الغابة العشوائية (RF): فريق من العديد من أشجار القرار التي تصوت على الإجابة.
4. إكس جي بوست (XGB): فريق قوي يبني على أخطائه ليصبح أكثر ذكاءً، ويشتهر بكونه سريعاً جداً.
5. المدرك متعدد الطبقات (MLP): نموذج تعلم عميق يحاكي طبقات الخلايا العصبية في دماغ الإنسان.

سحر موازنة الكفتين

أحد أكبر العقبات التي واجهها الباحثون كان "مشكلة عدم توازن الفئات". نظراً لوجود أمثلة هجوم قليلة جداً مقارنة بالأمثلة الطبيعية، كانت النماذج تعاني لتعلم كيف يبدو الهجوم بالفعل. ولحل هذه المشكلة، استخدم الفريق تقنية تسمى SMOTE (تقنية الإفراط في أخذ عينات الأقلية الاصطناعية).

تخيل أنك تحاول تعليم طفل التعرف على طائر أزرق نادر، لكن ليس لديك سوى صورة واحدة له. من المرجح أن ينسى الطفل شكله. SMOTE يشبه آلة التصوير السحرية التي تنشئ صوراً جديدة، مختلفة قليلاً، لذلك الطائر الأزرق عن طريق دمج الصورة الأصلية مع جيرانها. هذا يعطي الطفل أمثلة كافية لفهم شكل الطائر حقاً دون الحاجة للعثور على المزيد من الطيور الحقيقية في البرية. طبق الباحثون هذا على بياناتهم، فأنشأوا أمثلة هجوم اصطناعية لموازنة مجموعة التدريب.

النتائج: من فاز بالسباق؟

كانت النتائج مزيجاً من "الأذكى" و"الأسرع"، وفوز النموذج اعتمد على ما تقدر قيمته أكثر.

عندما تم اختبار النماذج بدون خدعة الموازنة (SMOTE)، عانت من أجل رصد الهجمات النادرة. على سبيل المثال، نجحت نموذج الغابة العشوائية (Random Forest) في رصد حوالي 83.11% فقط من الهجمات، بينما كان نموذج MLP أسوأ حالاً، حيث رصد 25.35% فقط.

ومع ذلك، عندما استخدموا SMOTE لموازنة البيانات، ارتفع الأداء بشكل صاروخي.

• المحقق الأذكى: كان نموذج الغابة العشوائية (RF) هو البطل الواضح من حيث الدقة. فمع البيانات المتوازنة، تمكن من رصد نسبة هائلة بلغت 94.38% من هجمات اليوم الصفر (الاستدعاء/Recall) بدقة بلغت 98.91%. لقد كان الأكثر موثوقية في عدم تفويت الأشخاص السيئين.
• عداء السرعة: ولكن إليكم العقبة؛ فقد كان نموذج الغابة العشوائية بطيئاً للغاية. فقد استغرق 1,379.10 ثانية (أكثر من 22 دقيقة) لمعالجة بيانات الاختبار. في هجوم سيبراني حقيقي، الانتظار لمدة 22 دقيقة لإيقاف مخترق يشبه انتظار احتراق المبنى بالكامل قبل الاتصال بإدارة الإطفاء.
• الأفضل في كل شيء: هنا يأتي دور إكس جي بوست (XGB). فبينما لم يمسك بعدد الهجمات مثل الغابة العشوائية (لقد أمسك بـ 81.40%)، إلا أنه كان سريعاً كالبرق. لقد أنهى المهمة نفسها في 5.08 ثوانٍ فقط. كما حافظ أيضاً على دقة عالية بلغت 98.21%.

الحكم النهائي

خلص الباحثون إلى أنه بينما تعد "الغابة العشوائية" النموذج الأكثر دقة من الناحية التقنية للعثور على هجمات اليوم الصفر غير المرئية هذه، إلا أنها بطيئة جداً لتكون عملية في الأنظمة الأمنية في الوقت الفعلي. إذا كنت بحاجة إلى حارس لا ينام ولا يفوته أي نبضة، ولكنه يستغرق وقتاً طويلاً في التفكير، فقد تواجه مشكلة.

بدلاً من ذلك، توجوا إكس جي بوست (XGB) كأفضل خيار للاستخدام في العالم الحقيقي. فقد قدم أفضل توازن، حيث كان "سريعاً ودقيقاً للغاية". وقد أثبت أنك لا تحتاج دائماً إلى الكاشف المثالي تماماً؛ بل تحتاج إلى كاشف سريع بما يكفي لإيقاف الهجوم قبل أن يتسبب في ضرر.

كما أكدت الدراسة أن "آلة التصوير السحرية" (SMOTE) كانت ضرورية. فبدونها، كانت النماذج عمياء عن الهجمات النادرة. ومع وجودها، تحسنت النماذج بشكل كبير رغم أنها كانت أبطأ، وإن ظل سرعة النموذج هي العامل الحاسم في تحديد أي منها يجب استخدامه في العالم الحقيقي.

في النهاية، تظهر هذه الأبحاث أنه في السباق للإمساك بالمجرمين الرقميين، لا يكفي أن تكون الأذكى فحسب؛ بل يجب أن تكون سريعاً أيضاً. وأحياناً، يكون المحقق الثاني في الذكاء الذي يمكنه قطع ميل في ثوانٍ هو من ينقذ الموقف بالفعل.