Real-Time Anomaly Detection in Software-Defined Networks using an Integrated ELK Stack and Machine Learning Framework

تعد شبكات الكمبيوتر الحديثة أنظمة ضخمة ومعقدة تنقل البيانات بين ملايين الأجهزة في كل ثانية. ولعقود من الزمن، كانت هذه الشبكات تُدار بواسطة صناديق أجهزة فردية، يتخذ كل منها قراره الخاص بشأن مكان إرسال المعلومات. غير أن نهجاً جديداً، يُعرف باسم الشبكات المعرفة برمجياً (SDN)، يغير هذا الأمر عن طريق سحب قوة اتخاذ القرار من الصنوديق الفردية ووضعها في برنامج حاسوبي مركزي واحد يسمى "المتحكم" (Controller). يعمل هذا المتحكم المركزي بمثابة الدماغ للشبكة، حيث يرى النظام بأكمله دفعة واحدة ويوجه حركة المرور بمرونة كبيرة. ومع ذلك، فإن هذا المركزية تخلق نوعاً جديداً من المخاطر؛ فإذا تمكن مهاجم من اختراق هذا الدماغ الوحيد، يمكنه تعطيل الشبكة بأكملها. ونظراً لأن المتحكم بالغ الأهمية، يحتاج فرق الأمن إلى وسيلة لمراقبته باستمرار، والبحث عن أي سلوك غريب في اللحظة التي يحدث فيها. وتكمن المشكلة في أن المتحكم والأجهزة التي يديرها تولد كميات هائلة من السجلات الرقمية، أو "السجلات" (Logs)، والتي غالباً ما يكون من الصعب قراءتها وتحليلها بسرعة كافية لإيقاف هجوم أثناء حدوثه.

قام باحثون من جامعة شعيب دوكالي والجامعة الدولية بالرباط ببناء نظام مصمم لحل هذه المشكلة من خلال الجمع بين أدوات تحليل السجلات القوية والذكاء الاصطناعي. ويركز عملهم على إنشاء نظام مراقبة في الوقت الفعلي يمكنه مراقبة شبكة معرفة برمجياً، وفهم ما هو طبيعي، وتحديد أي شيء غير عادي على الفور. ولاختبار فكرتهم، لم يستخدموا شبكة عامة حية، لأنها ستكون خطيرة للغاية لإجراء التجارب عليها. بدلاً من ذلك، أنشأوا نسخة افتراضية لشبكة داخل جهاز كمبيوتر باستخدام أداة تسمى "Mininet". تضمنت هذه البيئة الافتراضية متحكماً مركزياً وعدة مفاتيح (Switches) تحاكي أجهزة الشبكة الحقيقية. ثم قاموا بتوصيل هذه الشبكة الافتراضية بإطار عمل للمراقبة مبني من برمجيات مفتوحة المصدر تُعرف باسم "ELK stack". يعمل إطار العمل هذا مثل خط تجميع عالي السرعة للمعلومات: فهو يجمع سجلات النصوص الخام من المتحكم والمفاتيح، وينظفها، وينظمها في تنسيق قابل للبحث، ويعرضها على شاشة للمشغلين البشريين لرؤيتها.

واجه الباحثون عقبة محددة: السجلات القادمة من المتحكم المركزي والسجلات القادمة من مفاتيح الشبكة مكتوبة بتنسيقات مختلفة وتحتوي على أنواع مختلفة من المعلومات. وللتعامل مع ذلك، قاموا ببرمجة النظام ليعامل هذين المصدرين بشكل مختلف؛ حيث أُرسلت السجلات من المتحكم المركزي مباشرة إلى نظام المراقبة، بينما جُمعت السجلات من المفاتيح أولاً بواسطة برنامج مساعد محلي قبل تمريرها. وبمجرد وصول جميع البيانات إلى النظام المركزي، تمت معالجتها وتحويلها إلى بيانات مهيكلة يمكن للحاسوب فهمها بسهولة. وكان الجزء الأهم من تصميمهم هو دمج تعلم الآلة مباشرة في لوحة عرض البيانات (Visualization Dashboard). سمح هذا للنظام بتعلم شكل حركة مرور الشبكة الطبيعية بمرور الوقت. وبمجرد أن فهم النظام الخط الأساسي للنشاط الطبيعي، أصبح بإمكانه رصد متى بدأت الشبكة في التصرف بغرابة تلقائياً، مثل عندما يبدأ فيضان من الطلبات في إغراق المتحكم.

ولرؤية ما إذا كان نظامهم قد نجح، قام الباحثون بمحاكاة نوع معين من الهجمات السيبرانية يُعرف باسم "هجوم حجب الخدمة الموزع" (DDoS)، حيث يقوم المهاجم بإغراق الشبكة بحركة مرور كثيفة جداً حتى تتوقف عن العمل. كما حاولوا محاكاة نوع آخر من الهجمات يتضمن إغراق عناوين الأجهزة، لكنهم اضطروا إلى إيقاف هذا الاختبار المحدد مبكراً لأنه تطلب قدرة حوسبية كبيرة جداً لتجهيزاتهم. وعندما قاموا بتشغيل محاكاة فيضان حركة المرور، عمل النظام تماماً كما هو مخطط له؛ فقد نجح في جمع وتنظيم السجلات من كل من المتحكم والمفاتيح، وعرض النشاط على لوحة تحكم أظهرت ارتفاعات واضحة في حركة المرور. والأهم من ذلك، اكتشف مكون تعلم الآلة السلوك غير الطبيعي. وفي المجمل، حدد النظام 47 لحظة متميزة من النشاط غير العادي خلال المحاكاة، ثم قام بتصنيف هذه الأحداث حسب مدى خطورتها، حيث صنف 50 حالة كتهديدات كبرى أو حرجة، و28 حالة أخرى كتحذيرات.

تظهر النتائج أن هذا النهج المتكامل يمكنه مراقبة الشبكات المعرفة برمجياً بفعالية ورصد الهجمات أثناء حدوثها. وقد أثبت النظام قدرته على التعامل مع المزيج المعقد من البيانات من أجزاء مختلفة من الشبكة وتحويلها إلى صورة واضحة لفرق الأمن. ومع ذلك، يشدد الباحثون بحذر على أن هذه النتائج تأتي من بيئة محاكاة؛ فبينما كانت الاختبارات الافتراضية مضبوطة وناجحة، فإن الشبكة في العالم الحقيقي أكثر تعقيداً ولا يمكن التنبؤ بها. لقد عمل النظام بشكل جيد لنوع فيضان حركة المرور المحدد الذي اختبروه، لكن لم يتم إثبات كفاءته بعد ضد مجموعة أوسع من الهجمات المتطورة أو في شبكة إنتاج حية. كما لاحظ الباحثون أن بعض مهام الكشف يمكن أن تتطلب الكثير من موارد الحوسبة، مما يشير إلى وجود مقايضة بين مقدار ما يراقبه النظام وسرعة تشغيله.

وبالنظر إلى المستقبل، يخطط الفريق لاختبار نظامهم على شبكات أكبر وأكثر تعقيداً لمعرفة مدى قدرته على التوسع. وينوون دمج نماذج أكثر تقدماً للذكاء الاصطناعي للإمساك بالتهديدات الأكثر دقة، وتوسيع قدرة النظام على اكتشاف أنواع مختلفة من الهجمات التي تستهدف تحديداً الشبكات المعرفة برمجياً. وفي نهاية المطاف، هدفهم هو الانتقال من نظام يكتفي بإرسال تنبيهات للبشر إلى نظام يمكنه اتخاذ إجراء تلقائي، مثل إعادة توجيه حركة المرور أو عزل جهاز مخترق، لحماية الشبكة دون تدخل بشري. وفي الوقت الحالي، يوضح عملهم مساراً عملياً نحو تأمين "الأدمغة المركزية" للشبكات الحديثة، وتحويل فيضان من البيانات المربكة إلى إشارة واضحة وقابلة للتنفيذ.