Hybrid LSTM–LightGBM Model for Multiclass DDoS Attack Detection in 5G and IoT Networks

لقد نما الإنترنت من مجرد شبكة من الحواسيب إلى نسيج هائل وغير مرئي يربط المليارات من الأشياء اليومية، بدءاً من أجهزة تنظيم الحرارة الذكية وصولاً إلى المستشعرات الصناعية. ويعتمد هذا التوسع، المعروف باسم "إنترنت الأشياء"، على أنظمة اتصالات عالية السرعة للحفاظ على سير كل شيء بسلاسة. ومع ذلك، فإن هذا الاتصال يخلق نوعاً جديداً من الضعف؛ إذ يمكن لجهات خبيثة شن هجمات رقمية منسقة، تغمر هذه الشبكات بقدر هائل من حركة المرور (البيانات) لدرجة تؤدي إلى توقف الخدمات المشروعة عن العمل. هذه الهجمات، التي تسمى "هجمات حجب الخدمة الموزعة" (DDoS)، أصبحت أسرع وأكثر تعقيداً، وتتطور بطرق تجعل من الصعب رصدها باستخدام أدوات الأمن التقليدية. ولسنوات طويلة، اعتمدت الأنظمة الأمنية على قواعد ثابتة أو فحوصات إحصائية بسيطة لتحديد المشكلات، لكن هذه الأساليب غالباً ما تكافح لمواكبة الأنماط السريعة والمتغيرة للتهديدات السيبرانية الحديثة.

ولمعالجة هذا التحدي، طور الباحثون أسماء جاما، ومحمد معزوز، وحمزة خدر، ومحمد علي أكشايول، نهجاً جديداً يجمع بين نوعين مختلفين من الذكاء الاصطناوئي. يركز عملهم على إنشاء نظام لا يمكنه فقط اكتشاف هذه الهجمات، بل يمكنه أيضاً فهم توقيت وتسلسل البيانات المتدفقة عبر الشبكة. وقد بنى الباحثون نموذجاً هجيناً يستخدم أولاً نوعاً من الشبكات العصبية المصممة لتذكر التسلسلات، تماماً كما يتذكر الإنسان ترتيب الأحداث في قصة ما. هذا الجزء من النظام، المسمى "الذاكرة الطويلة قصيرة المدى" (LSTM)، يراقب تدفق حركة مرور الشبكة بمرور الوقت لرصد الأنماط الدقيقة التي تشير إلى بدء هجوم ما. وبمجرد أن يحدد هذا النظام الأنماط الزمنية، فإنه يمرر المعلومات إلى مكون ثانٍ عالي الكفاءة يُعرف باسم "LightGBM". يعمل هذا المكون الثاني كمُصنف سريع لاتخاذ القرار، حيث يقوم بتصنيف حركة المرور إلى فئات محددة لتحديد نوع الهجوم الذي يحدث بالضبط، إن وجد.

اختبر الفريق هذا النظام المدمج باستخدام ثلاث مجموعات كبيرة وواقعية من بيانات الشبكة التي تضمنت كلاً من حركة المرور الطبيعية والهجمات الضارة المختلفة. مثلت هذه المجموعات بيئات مختلفة، تراوحت من شبكات الكمبيوتر القياسية إلى الإعدادات المعقدة التي تضم آلاف الأجهزة المتنوعة من إنترنت الأشياء. وأظهرت النت أن تعليم النظام النظر في تسلسل الأحداث بدلاً من مجرد لقطات معزولة من البيانات جعل النموذج أفضل بكثير في التمييز بين أنواع الهجمات المختلفة. وفي الاختبارات التي شملت مجموعة بيانات تضم أكثر من 450,000 عينة تمثل أنواعاً مختلفة من هجمات الإغراق، حدد النموذج الهجين طبيعة حركة المرور بشكل صحيح في 97.80% من الحالات. وعند اختباره على مجموعة بيانات أخرى تضم ما يقرب من 400,000 عينة، حقق دقة بلغت 96.80%. ولعل الأمر الأكثر إثارة للإعجاب هو أنه في مجموعة بيانات مرجعية واسعة الانتشار تحتوي على أكثر من 390,000 عينة، وصل النظام إلى دقة بلغت 99.89%.

ومن النتائج الرئيسية للبحث أن الجمع بين هذين الأسلوبين يتفوق على استخدام أي منهما بمفرده. فعندما اختبر الباحثون مكون اتخاذ القرار دون جزء تعلم التسلسل، انخفضت قدرة النظام على التمييز بين الهجمات التي تبدو متشابهة بشكل ملحوظ. على سبيل المثال، واجه النظام صعوبة في التمييز بين نوعين محددين من هجمات الإغراق التي تبدو متشابهة جداً في إحصائياتها الأساسية ولكنها تتصرف بشكل مختلف بمرور الوقت. ومن خلال إضافة طبقة تعلم التسلسل، استطاع النموذج رؤية الفرق في كيفية وصول حزم البيانات، مما أدى إلى صورة أكثر وضوحاً للتهديد. كما استخدم الباحثون تقنية تسمى "SHAP" للنظر داخل عملية اتخاذ القرار في النموذج، لضمان أن النظام لا يقوم بمجرد التخمين، بل يعتمد بالفعل على سمات ذات معنى لاتخاذ خياراته. وتعد هذه الشفافية أمراً بالغ الأهمى لفرق الأمن الذين يحتاجون إلى الثقة في التنبيهات التي يتلقونها.

وبعيداً عن الدقة، سلطت الدراسة الضوء على أن النظام سريع بما يكفي للاستخدام في العالم الحقيقي. ففي عالم تحدث فيه الهجمات في أجزاء من الثانية، يجب أن يكون للأداة الأمنية رد فعل فوري. ووجد الباحثون أن نموذجهم يمكنه إجراء تنبؤ في أقل من مائة من الملي ثانية في أكبر مجموعات البيانات، وهي سرعة تسمح بنشره في الشبكات الحية دون إبطائها. وتجعل هذه الكفاءة النهج مناسباً للأجهزة محدودة الموارد، مثل المستشعرات الموجودة في المنازل الذكية أو البيئات الصناعية، والتي لا تستطيع التعامل مع الأحمال الحسابية الثقيلة. ويشير هذا العمل إلى أنه من خلال تعليم الآلات فهم إيقاع حركة مرور الشبكة، يمكن للأنظمة الأمنية أن تصبح أكثر مرونة ضد التكتيكات المتطورة للمهاجمين السيبرانيين، مما يوفر درعاً قوياً للمستقبل المتصل.