Solving the Cross-Sector Generalization Gap: A Generalizable AI Framework for Detecting Known and Unseen Cyberattacks in Critical Infrastructure

يعمل العالم الحديث من خلال جهاز عصبي واسع وغير مرئي من الآلات والشبكات. فمن محطات معالجة المياه التي تحافظ على نظافة صنابيرنا، إلى شبكات الطاقة التي تضيء مدننا، والسكك الحديدية التي تحرك قطاراتنا، والسفن التي تبحر في محيطاتنا، والمصانع التي تبني بضائعنا، تعتمد هذه الأنظمة على التكنولوجيا التشغيلية. وهي عبارة عن برمجيات وأجهزة متخصصة تراقب وتتحكم في العمليات الفيزيائية. ولعقود من الزمن، تعامل خبراء الأمن مع كل قطاع من هذه القطاعات كجزيرة منفصلة؛ حيث بنوا دفاعات مخصصة لمحطة المياه، وأخرى مختلفة لشبكة الطاقة، وغير ذلك للسكك الحديدية، بافتراض أن اللغة الفريدة للمستشعرات في صناعة ما لا يمكن فهمها من قبل نظام مصمم لصناعة أخرى. وقد خلق هذا النهج مشهداً مجزأً حيث يتطلب تأمين العالم المترابط أداة مختلفة لكل مهمة، وهو أسلوب مكلف وصعب التوسع مع زيادة ترابط هذه الأنظمة.

لقد تحدى فريق من الباحثين من الجامعة الإسلامية الدولية في تشيتاغونغ هذا الافتراض الذي ساد طويلاً. فقد طرحوا سؤالاً بسيطاً ولكنه عميق: هل يمكن لنظام واحد للذكاء الاصطناعي أن يتعلم التعرف على العلامات العالمية للهجوم السيبراني عبر كل هذه الصناعات المختلفة، حتى لو لم يسبق له رؤية تلك الصناعة المحددة؟ تشير أعمالهم إلى أن الإجابة هي نعم. فمن خلال تدريب نموذج حاسوبي على مراقبة سلوك البيانات بدلاً من الأسماء المحددة للمستشعرات، نجحوا في إنشاء كاشف موحد يمكنه رصد الهجمات المعروفة والتهديدات الجديدة وغير المرئية عبر خمسة قطاعات مختلفة من البنية التحتية الحيوية. وتشير النتائج إلى أن نظاماً واحداً قابلاً للتكيف يمكن أن يحل محل أسطول من الكواشف المتخصصة، مما يوفر طريقة أكثر كفاءة وفهماً لحماية الخدمات الأساسية التي يعتمد عليها المجتمع.

ركز الباحثون على خمسة قطاعات متنوعة: معالجة المياه ومياه الصرف الصحي، وشبكة الطاقة الكهربائية، وإشارات السكك الحديدية، والملاحة البحرية، والتصنيع الصناعي. في العالم الحقيقي، تتحدث هذه الأنظمة لغات مختلفة. فقد تراقب محطة المياه الضغط وصفاء المياه، بينما تتبع شبكة الطاقة الجهد والتردد الكهربائي. ويراقب نظام السكك الحديدية ضغط المكابح وسرعة القطار، بينما يراقب السفينة سرعة المحرك وزاوية الدفة. تقليدياً، كان الذكاء الاصطناعي المدرب على بيانات المياه سيكون عديم الفائدة لشبكة الطاقة لأنه لن يفهم الأرقام المحددة المعنية. أدرك الباحثون أنه بينما تختلف أسماء المستشعرات، فإن الطريقة التي تتصرف بها الآلة عندما تتعرض لهجوم قد تشترك في أنماط عامة.

ولاختبار ذلك، بنوا إطار عمل يترجم البيانات الخام من كل قطاع إلى لغة مشتركة ومبسطة. فبدلاً من تغذية الكمبيوتر بقراءات المستشعرات الخام، قاموا بحساب مجموعة من الملخصات الإحصائية لكل نافذة زمنية. لقد نظروا في مدى سرعة تغير الأرقام، ومدى تذبذبها، ومدى انتشار القيم. خلقت هذه الملخصات قائمة ثابتة واحدة من الأرقام لكل قطاع، مما جرد البيانات من المفردات المحددة للمياه أو الكهرباء وترك فقط الشكل الرياضي للبيانات. سمح لهم هذا بتدريب نموذج حاسوبي واحد، وهو نوع من أنظمة اتخاذ القرار يُعرف باسم "الغابة العشوائية" (Random Forest)، على بيانات من جميع القطاعات الخمسة في وقت واحد.

أخضع الفريق هذا النموذج الواحد لسلسلة صارمة من الاختبارات ليروا ما إذا كان بإمكانه التعميم حقاً. أولاً، تحققوا مما إذا كان بإمكانه اكتشاف الهجمات ضمن القطاع الذي تم التدريب عليه. نجح النموذج في ذلك، حيث حدد الهجمات بدقة في أنظمة المياه، والطاقة، والسكك الحديدية، والملاحة، والصناعة بنسب دقة تتراوح بين 79% و86% تقريباً. أثبت هذا أن النموذج يمكنه تعلم الفروق الدقيقة لكل صناعة. ولكن الاختبار الحقيقي جاء عندما حاولوا نقل تلك المعرفة؛ فقد دربوا النموذج على أربعة قطاعات ثم طلبوا منه تحديد الهجمات في القطاع الخامس، وهو مجال لم يره من قبل. ومن المثير للإعجاب أن النموذج أدى بشكل جيد في هذه البيئات الجديدة، محققاً دقة تتراوح بين 80% و86%. أظهر هذا أن النظام قد تعلم المنطق الكامن وراء الهجوم، بدلاً من مجرد حفظ أسماء المستشعرات المحددة لصناعة واحدة.

ولعل الاكتشاف الأكثر أهمية هو قدرة النظام على اكتشاف الهجمات التي لم يسبق له مواجهتها. في عالم الأمن السيبراني، تعد هجمات "اليوم صفر" (Zero-day) -وهي هجمات جديدة وغير معروفة للمدافعين- هي الأكثر خطورة. اختبر الباحثون نموذجهم من خلال حجب نوع معين من الهجمات الخفية عن بيانات التدريب تماماً. وعندما عرضوا هذا الهجوم غير المرئي على النموذج، تمكن من التعرف عليه بثقة عالية، محققاً معدل اكتشاف يزيد عن 82%. يشير هذا إلى أن النموذج قد تعلم التعرف على السلوك المضطرب وغير المنتظم الذي يميز الاختراق السيبراني، بغض النظر عما إذا كان قد رأى تلك الحيلة المحددة من قبل أم لا.

كما عالج الباحثون مشكلة تشغيلية حرجة: التمييز بين الهجوم السيبراني الخبيث وبين خلل بسيط وغير ضار في الآلة. في الماضي، كانت أنظمة الأمن غالباً ما تخلط بين مستشعر ينحرف بسبب التقادم أو محرك يتآكل وبين هجوم متعمد، مما يؤدي إلى إنذارات كاذبة تقوض الثقة. استطاع إطار عملهم التمييز بين الهجوم السيبراني والخلل الفيزيائي بدقة تقارب 90%. وهذه قدرة حيوية، لأنها تضمن تنبيه المشغلين للتهديدات الحقيقية بدلاً من تشتيت انتباههم بسبب تآكل المعدات الروتيني.

أخيراً، ضمن الفريق أن النظام ليس "صندوقاً أسود" يعطي إجابات دون تفسير. فقد حللوا أي الميزات الإحصائية اعتمد عليها النموذج أكثر لاتخاذ قراراته. ووجدوا أن النظام كان مدفوعاً بشكل أساسي بتقلب معدل التغيير - أي مدى سرعة وعشوائية قفز البيانات. وهذا منطقي للغاية، حيث أن الهجوم السيبراني غالباً ما يقطع التدفق السلس والمتوقع لبيانات الآلة، مسبباً طفرات مفاجئة وغير منتظمة. ولأن النموذج مبني على هذه القواعد الإحصائية الواضحة والمفهومة، يمكن لمشغلي الأمن معرفة سبب إطلاق التنبيه بالضبط، مما يوفر مساراً شفافاً للأدلة بدلاً من مجرد تسمية غامضة.

توجد لهذه الدراسة حدودها؛ فالبيانات المستخدمة لتدريب واختبار النظام تم توليدها بواسطة عمليات محاكاة حاسوبية مصممة لمحاكاة الفيزياء في العالم الحقيقي، بدلاً من الحصول عليها من شبكات تشغيلية حية. وبينما تم تصميم المحاكاة بعناية لتشمل الضجيج والتعقيد الواقعي، يقر الباحثون بأن الأنظمة الحقيقية تحتوي على طبقات إضافية من عدم القدرة على التنبؤ لا يمكن للمحاكاة استيعابها بالكامل. كما يشيرون إلى أن نظامهم الحالي يقدم تفسيراً عاماً لقراراته ولكنه لا يشرح بعد المنطق وراء كل تنبيه فردي. ورغم هذه القيود، تقدم النتائج رؤية مقنعة لمستقبل أمن البنية التحتية الحيوية. فبدلاً من بناء دفاع مخصص وجديد لكل صناعة أو لكل نوع جديد من المستشعرات، يمكن لذكاء واحد متكيف أن يتعلم اللغة العالمية لسلوك الآلة، ليحمي مياهنا وطاقتنا ونقلنا وصناعتنا بدرع موحد وشفاف وفعال.