Attack-Type-Aware Dynamic Bayesian Defense: A Three-Level Non-Zero-Sum Game for Brute-Force and SQL Injection Attacks

في العالم الرقمي، يعد الأمن تفاوضاً مستمراً بين أولئك الذين يحاولون الاقتحام وأولئك الذين يحاولون منعهم. تخيل مبنى له باب أمامي ونافذة خلفية. قد يحاول لص ركل الباب لإسقاطه بضربات متكررة وقوية، أو قد يحاول تمرير مفتاح مزور عبر فتحة البريد لخداع القفل. هذان نوعان مختلفان تماماً من المشاكل، ويتطلبان استجابات مختلفة. ركل الباب يحتاج إلى حاجز ثقيل وفوري، بينما تتطلب خدعة فتحة البريد فحصاً دقيقاً للمفتاح نفسه. إذا استجاب مدير المبنى لكلا التهديدين بنفس الأسلوب المتشدد، فإنه يهدر الطاقة وقد يمنع السكان الشرعيين من الدخول عن طريق الخطأ. وإذا كانت استجابته ضعيفة للغاية، فسيتم اختراق المبنى. التحدي الجوهري للدفاع السيبراني الحديث هو معرفة نوع المشكلة التي تحدث بالضبط في أي لحظة واختيار استجابة قوية بما يكيد لإيقاف التهديد ولكن خفيفة بما يكفي للحفاظ على سير النظام بسلاسة.

لقد طور الباحث مقصود حسين واني وزملاؤه في جامعات في كشمير وماليزيا وإندونيسيا طريقة جديدة لاتخاذ هذه القرارات. لقد أنشأوا نظاماً يسمى "الدفاع البايزي الديناميكي المدرك لنوع الهجوم" (ATA-DBD). بدلاً من معاملة جميع الهجمات الحاسوبية كتهديد واحد غامض، يتعلم هذا النظام التمييز بين نوعين محددين من الاختراقات الرقمية: هجمات القوة الغاشمة (brute-force)، والتي تشبه الركل المتكرر للباب، وهجمات حقن SQL، والتي تشبه المفاتيح المزورة التي تنزلق عبر فتحة البريد. بنى الفريق نموذجاً رياضياً يعمل مثل حارس ذكي ومتكيف. هذا الحارس لا يكتفي بالاستجابة لما يراه الآن؛ بل يحتفظ بملاحظة ذهنية مستمرة لما حدث في الماضي، ويحدث معتقداته مع وصول أدلة جديدة، ثم يختار المستوى المناسب من الدفاع. الهدف هو إيجاد التوازن المثالي: إيقاف المهاجمين السيئين دون إهدار الموارد أو تعطيل المستخدمين العاديين.

اختبر الباحثون فكرتهم من خلال محاكاة بيئة رقمية حيث تحدث الهجمات بمرور الوقت. وقارنوا نظامهم الجديد بالأساليب القديمة التي استخدمت قواعد ثابتة، مثل "أبقِ الباب مغلقاً دائماً" أو "اتركه مفتوحاً دائماً". كما قارنوه باستراتيجية نُشرت سابقاً تحاول دمج استجابات مختلفة. أجرت المحاكاة عشرة آلاف دورة من النشاط، مغطية ثلاثة سيناريوهات اقتصادية مختلفة: سيناريو كانت فيه الأصول الرقمية ذات قيمة متوسطة، وسيناريو كانت فيه أقل قيمة من تكلفة الدفاع عنها، وسيناريو كانت فيه ذات قيمة عالية جداً. في كل سيناريو، تفوق النظام الجديد على الاستراتيجيات الثابتة القديمة. فقد تمكن من الحفاظ على أمن النظام في كثير من الأحيان مع استخدام طاقة أقل. على سبيل المثال، في السيناريو الذي كانت فيه الأصول ذات قيمة متوسطة، حافظ النظام الجديد على أمن النظام بنسبة 99.15% من الوقت مع الاحتفاظ بأكثر من 80% من طاقته المتاحة. وفي المقابل، حققت الاستراتيجية المختلطة القديمة معدل أمان قدره حوالي 78% واستهلكت طاقة أكبر بكثير.

ما يجعل هذا النظام مختلفاً هو كيفية تعامله مع عدم اليقين. في العالم الحقيقي، نادراً ما يعرف النظام الأمني بيقين بنسبة 100% ما يفعله المهاجم. يستخدم النموذج الجديد عملية تسمى "التحديث البايزي" (Bayesian updating)، وهي طريقة لتنقية التخمين مع ورود أدلة جديدة. تخيل حارساً يسمع ضوضاء؛ في البداية، قد يعتقد أنها مجرد رياح، ولكن إذا تبعت الضوضاء ضربة ثقيلة، فإنه يحدث معتقده ويستعد لاقتحام. إذا توقفت الضوضاء، فإنه يسترخي. يقوم نظام ATA-DBD بذلك بشكل مستمر؛ فهو يحافظ على "اعتقاد" حول ما إذا كان النظام يتعرض حالياً لهجوم قوة غاشمة، أو هجوم حقن SQL، أو لا يوجد هجوم على الإطلاق. ومع تلقيه بيانات جديدة، يقوم بتعديل هذه الاحتمالات. إذا كانت الأدلة تشير إلى أن الهجوم يزدل قوة، فإن النظام يرفع مستوى دفاعه تلقائياً. وإذا تلاشت الأدلة، فإنه يخفضه. وهذا يسمح للنظام بأن يكون هجومياً فقط عند الضرورة، مما يوفر الموارد لوقت الحاجة إليها حقاً.

اكتشف الباحثون أيضاً أن معاملة جميع الهجمات على أنها واحدة هو خطأ جوهري. فقد أثبتوا رياضياً أن استراتيجية دفاعية واحدة عامة لا يمكن أن تعمل بشكل جيد لكل من هجمات القوة الغاشمة وحقن SQL لأن هذين التهديدين يستجيبان بشكل مختلف للإجراءات المضادة. فالدفاع المثالي لإيقاف هجوم القوة الغاشمة قد يكون عديم الفائدة ضد حقن SQL، والعكس صحيح. ومن خلال فصل هذه التهديدات وإعطائها قواعد خاصة للنجاح والفشل، استطاع النظام الجديد اتخاذ قرارات أكثر دقة بكثير. في اختباراتهم، حدد النظام نوع الهجوم ومستوى الاستجابة الصحيح بدقة عالية، محققاً دقة حالة بلغت 98.51% ودرجة F1 كليّة بلغت 0.939 في اكتشاف الحالة الصحيحة للنظام.

أجريت الدراسة بالكامل من خلال عمليات محاكاة حاسوبية، باستخدام مجموعة بيانات عامة لجداول الهجمات لإنشاء جدول زمني واقعي للأحداث. لم يختبر الباحثون هذا على شبكة حية، لذا فإن النتائج تظهر كيف يعمل النظام تحت ظروف محاكاة محكومة بدلاً من بيئة واقعية فوضوية. ومع ذلك، فإن النتائج قوية ضمن تلك المحاكاة. لقد قلل النظام باستمرار من عدد المرات التي فعل فيها الدفاعات بالخطأ عندما لم يكن هناك هجوم، وهي مشكلة تُعرف باسم "الإنذارات الكاذبة"، لتصل إلى 1.07% فقط في اختبار التقويم المحكوم. كما قلل من الوقت المستغرق للاستجابة بمجرد بدء الهجوم، بمتوسط تأخير قدره 0.08 نافذة فقط (حيث تمثل كل نافذة فترة زمنية مدتها 5 دقائق) في الجدول الزمني للمحاكاة.

كانت إحدى النتائج الأكثر لفتاً للنظر هي كيفية تعامل النظام مع تكلفة تغيير رأيه. إن الانتقال من وضع الدفاع المنخفض إلى وضع الدفاع المرتفع يتطلب قدراً صغيراً من الطاقة ويمكن أن يعطل الخدمة لفترة وجيزة. تعلم النظام الجديد تجنب التغيير غير الضروري؛ حيث لن يغير مستوى دفاعه إلا إذا كانت الأدلة قوية بما يكفي لتبرير التكلفة. هذا النهج "قاصر النظر" (myopic)، الذي يركز على اتخاذ أفضل قرار للحظة الحالية مع مراعاة تكلفة التغيير، أثبت فعالية عالية. لقد منع النظام من المبالغة في رد الفعل تجاه التقلبات الطفيفة في حركة المرور، وهو أمر يعاني منه غالباً في الأنظمة الأمنية الأبسط.

اختبر الباحثون أيضاً مدى صمود النظام عندما تكون البيانات الواردة مشوشة أو غير واضحة. في العالم الحقيقي، نادراً ما تكون المستشعرات مثالية، ويمكن أن تكون البيانات فوضوية. حتى عندما أدخل الباحثون ضجيجاً كبيراً في المحاكاة، حافظ النظام على مستوى عالٍ من الأداء. ظلّت قدرته على التمييز بين أنواع الهجمات المختلفة وتعديل استجابته قوية، مما أظهر أن الطريقة مرنة. لم ينهار النظام تحت وطأة عدم اليقين؛ بل تكيّف، واستمر في اتخاذ قرارات أفضل من الاستراتيجيات الثابتة التي تمت مقارنتها بها.

في النهاية، يقدم هذا العمل مخططاً جديداً لكيفية تصميم الدفاعات الرقمية. إنه ينتقل من فكرة الجدار الأمني الثابت والنمطي إلى نظام ديناميكي وذكي يفهم الفروق الدقيقة بين التهديدات المختلفة. من خلال معاملة هجمات القوة الغاشمة وحقن SQL كمشكلتين متميزتين بله حلول متميزة، وباستخدام عملية تعلم لتوجيه القرارات، يحقق النظام مستوى من الكفاءة لا تستطيع القواعد الثابتة مضاهاته. تشير النتائج إلى أن الأنظمة الأمنية المستقبلية يمكن أن تكون أكثر أماناً وكفاءة، حيث تحمي الأصول الرقمية القيمة دون التكلفة الباهظة لليقظة العالية المستمرة. ورغم أن الدراسة تقتصر على المحاكاة، إلا أنها توفر مساراً واضحاً وسليماً رياضياً لبناء دفاعات تكون بذكاء وتكيف التهديدات التي تواجهها.