XTrust-Chain: An Explainable Intrusion Detection System with Trust-Based Automation and Immutable Decision Records
يُعد XTrust-Chain إطاراً متعدد الطبقات لكشف التسلل يجمع بين المصنفات التجميعية ومقياس ثقة مُعاير وسجل تدقيق مؤمن تشفيراً لتمكين اتخاذ القرار الآلي عالي الثقة مع ضمان التحقق غير القابل للتغيير من التنبيهات عبر مجموعات بيانات مرجعية متعددة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تتعرض الشبكات للحصار باستمرار. وتعتمد فرق الأمن على أنظمة مؤتمتة لمراقبة تدفق البيانات، بحثاً عن البصمات الدقيقة للقراصنة والبرمجيات الخبيثة. لسنوات طويلة، تم تقييم هذه الأنظمة بناءً على رقم واحد تقريباً: عدد المرات التي تصيب فيها الإجابة. إذا ادعى نظام ما أن دقته تبلغ 99 بالمائة، فقد يبدو ذلك مثالياً. لكن في الواقع عالي المخاطر لمركز عمليات الأمن، يخفي هذا الرقم الواحد حقيقة خطيرة؛ فهو لا يخبر المحلل أي التنبيهات المحددة آمنة للتجاهل وأيها يتطلب اهتماماً بشرياً فورياً. كما أنه لا يقدم ضماناً بأن سجل الإجراء المؤتمت لا يمكن تعديله سراً لاحقاً. وعندما يرتكب الجهاز خطأً، يُترك المشغل البشري في حالة تخمين عما إذا كان يثق في التنبيه أم يتجاهله، مما يؤدي غالقة إلى الإرهاق وفقدان التهديدات.
ولحل هذه المشكلة، يعمل الباحثون على بناء أنظمة تفعل أكثر من مجرد تصنيف حركة المرور؛ إنهم يصممون أنظمة تعرف متى تكون غير متأكدة. يجمع هذا النهج الجديد بين ثلاث أفكية: أولاً، يستخدم "درجة ثقة" لتقرير ما إذا كان قرار الآلة موثوقاً بما يكفي لاتخاذ إجراء دون الحاجة لمراقبة بشرية. ثانياً، يوفر سبباً واضحاً ومفهوماً لسبب اتخاذ القرار، حتى يتمكن البشر من التحقق من المنطق. ثالثاً، يقوم بقفل كل قرار في سجل رقمي دائم وغير قابل للتغيير، مما يخلق سجلاً لا يمكن إنكاره لما حدث ومتى حدث. الهدف ليس فقط الإمساك بمزيد من الفاعلين السيئين، بل إنشاء نظام يعرف فيه المشغل تماماً أي التنبيهات يمكن الوثوق بها وأيها يجب مراجعته.
قام أمجد الدويش، وهو باحث في جامعة شقراء في المملكة العربية السعودية، ببناء مثل هذا النظام، والذي أطلق عليه اسم XTrust-Chain. فبدلاً من الاعتماد على خوارزمية واحدة "صندوق أسود" تعطي حكماً نهائياً، يعمل هذا النظام كأنه لجنة من الخبراء يعملون معاً. فهو يشغل ثلاثة أنواع مختلفة من نماذج اتخاذ القرار بالتوازي. وعندما تصل قطعة من حركة مرور الشبكة، تقوم النماذج الثلاثة بتحليلها. ثم يتحقق النظام مما إذا كانت متفقة. إذا أشارت جميعها إلى نفس النتيجة بثقة عالية، يضع النظام علامة على أن القرار موثوق. وإذا اختلفت أو بدت غير متأكدة، يرفع النظام الحالة لمراجعة خبير بشري. هذه العملية ليست مجرد تخمين؛ بل هي مقياس محسوب لليقين مشتق من مدى ثقة النماذج، ومدى تقارب الإجابات المتنافسة، ومدى اتفاق النماذج مع بعضها البعض.
اختبر الباحثون هذا الإطار على ثلاث مجموعات مختلفة من بيانات الشبكة الواقعية، تتراوح من حركة مرور الشركات القياسية إلى البيئات الصناعية المعقدة. ووجدوا أن النظام يعمل بشكل جيد للغاية في الفصل بين القرارات الآمنة والقرارات الخطرة. وفي إحدى مجموعات البيانات، تمكن النظام من التعامل تلقائياً مع ما يقرب من 70 بالمائة من جميع قرارات حركة المرور مع تقليل معدل الخطأ في تلك المجموعة المؤتمتة من ما يقرب من 2 بالمائة إلى الصفر تقريباً. وفي مجموعة بيانات أكثر صعوبة، حيث كانت أنماط حركة المرور أصعب في التمييز، نجح النظام في تقليل معدل الخطأ إلى النصف في القرارات التي اتخذها بمفرده، حيث انخفض من 24.5 بالمائة إلى 9.7 بالمائة، مع استمرار أتمتة حوالي 70 بالمائة من العمل. والنتيجة الرئيسية هي أن النظام لا يقوم بأتمتة كل شيء فحسب؛ بل يعرف متى يتوقف ويطلب المساعدة. لقد نجح في تحديد أنواع الهجمات المحددة التي أربكت النماذج وحوّلها إلى البشر، بينما سمح للحالات الواضحة بالمرور فوراً.
كان جزء حاسم من هذا العمل هو ضمان أن تكون تفسيرات النظام صادقة. استخدم الباحثون طريقة لتسليط الضوء على الأجزاء التي أثرت في القرار، وهو ما يعني عملياً مطالبة الكمبيوتر بالإشارة إلى الأدلة. واكتشفوا أنه بينما يمكن للكمبيوتر تحديد الميزات التي استخدمها بشكل موثوق، إلا أن تلك التفسيرات لم تكن دائماً مستقرة؛ فإذا تغيرت البيانات قليلاً، يمكن لمنطق الكمبيوتر أن يتغير بشكل جذري. أدى هذا الاكتشاف إلى توجه الفريق نحو خيار تصميمي حاسم: قرروا عدم استخدام هذه التفسيرات المتغيرة لاتخاذ القرارات المؤتمتة، وبدلاً من ذلك اعتمدوا على درجات الثقة واستقرار توافق النماذج لتقرير ما إذا كان سيتم اتخاذ إجراء أو الإحالة للمراجعة. وهذا يضمن أن الإجراءات المؤتمتة مبنية على أرض صلبة، حتى لو كان المنطق التفصيلي هشاً للغاية بحيث لا يمكن الوثوق به في الأتمتة عالية المخاطر.
ولحماية سلامة العملية برمتها، يسجل النظام كل قرار في سجل موزع وآمن. تخيل هذا السجل كدفتر ملاحظات عام غير قابل للتغيير، حيث يتم ختم كل مدخل فيه ببصمة رقمية فريدة. عندما يتخذ النظام قراراً، فإنه ينشئ سجلاً دائماً لما رآه، وما قرره، ومدى ثقته. ويتم تخزين هذا السجل في مكانين: تُحفظ التفاصيل الكاملة في قاعدة بيانات قياسية لسهولة المراجعة، ولكن تُكتب بصمة صغيرة مكونة من 32 بايت من ذلك السجل في "البلوكشين". هذه البصمة صغيرة جداً وسريعة الحساب بحيث لا تضيف أي تأخير تقريباً للعملية، إذ تستغرق حوالي ستة عشر ميكروثانية فقط. ومع ذلك، فهي توفر ضماناً قوياً: إذا حاول أي شخص تعديل قرار سابق، فلن تتطابق البصمة، وسيتم اكتشاف التلاعب فوراً. وهذا يخلق سلسلة عهدة لكل إجراء مؤتمت، مما يضمن أن سجل ما فعله النظام لا يمكن إعادة كتابته بعد حدوثه.
كما قام الباحثون بخطوة غير معتادة عبر إعادة تشغيل الكود الخاص بثلاثة أنظمة أمنية شهيرة أخرى على نفس البيانات تماماً لمعرفة كيف ستكون مقارنتها. ووجدوا أن بعض الأنظمة التي ادعت سابقاً تحقيق درجات تقترب من المثالية كانت تعتمد على طرق مختصرة، مثل النظر إلى أرقام عناوين محددة كانت فريدة من نوعها في بيانات الاختبار بدلاً من تعلم السلوك الفعلي للهجوم. وعندما تمت إزالة تلك الطرق المختصرة، فقدت تلك الأنظمة معظم فعاليتها. في المقابل، حافظ نظام XTrust-Chain على أدائه لأنه بُني ليتطلع إلى سلوك حركة المرور نفسها، وليس الملصقات المرفقة بها. وقد أكد هذا الاختبار الصارم أن قدرة النظام الجديد على تصفية القرارات السيئة هي قدرة حقيقية وليست مجرد نتاج لكيفية إعداد البيانات.
في نهاية المطاف، تظهر الدراسة أن الأتمتة في مجال الأمن لا يجب أن تكون مقامرة. فمن خلال الجمع بين نماذج متعددة، وقياس يقينها، وقفل قراراتها في سجل غير قابل للتغيير، من الممكن بناء نظام يعرف حدوده. لا يدعي النظام المثالية؛ بل يدعي الأمانة بشأن متى يكون على حق ومتى لا يكون كذلك. إنه يسمح لفرق الأمن بأتمتة الجزء الأكبر من عملهم بثقة عالية، مع تخصيص الانتباه البشري للحالات التي تحتاج إليها حقاً. هذا النهج يحول دور محلل الأمن من شخص غارق في التنبيهات إلى مشرف يثق في الآلة للقيام بالعمل الروتيني، ويتدخل فقط عندما تشير الآلة إلى أنها بحاجة للمساعدة. والنتيجة هي طريقة أكثر كفاءة، وشفافية، وموثوقية لحماية الشبكات الرقمية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.