← أحدث الأبحاث
💻 علوم الحاسوب

Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection

تقدم هذه الورقة "Targeter"، وهو إطار عمل متخصص في السلوك يقوم بتقسيم عمليات النظام إلى فئات وتدريب مشفرات تلقائية رسومية خفيفة الوزن ومخصصة لكل منها، مما يحقق توازناً متفوقاً بين الدقة والاستدعاء وجودة تنبيهات محسنة في كشف التسلل القائم على المصدر مع الحفاظ على تكلفة حوسبة منخفضة.

المؤلفون الأصليون: Zahra Fazli, Mehdi Kharrazi

نُشر 2026-10-22
📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة
CC BY 4.0

المؤلفون الأصليون: Zahra Fazli, Mehdi Kharrazi

البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

في العالم الرقمي، يترك كل إجراء يتخذه الكمبيوتر أثراً، تماماً مثل آثار الأقدام في الثلج. فعندما يفتح مستخدم ملفاً، أو يشغل برنامجاً، أو يرسل رسالة، يقوم النظام بتسجيل من فعل ماذا، ومتى، وبأي أدوات. يستخدم خبراء الأمن هذه السجلات لبناء خريطة للسبب والنتيجة، توضح كيف يؤدي حدث واحد إلى آخر. تُسمى هذه الخريطة "رسم بياني للمصدر" (provenance graph). لسنوات، حاول الباحثون استخدام هذه الخرائط لرصد الهجمات السيبرانية، آملين في العثور على الخطوات الخفية التي يتخذها المتسلل لسرقة البيانات أو إلحاق الضرر بالنظام. ومع ذلك، فإن التحدي يكمن في أن هذه الخرائط هائلة ومعقدة للغاية؛ إذ يمكن لجهاز كمبيوتر واحد أن يولد ملايين من هذه الروابط في وقت قصير، ومعظمها طبيعي تماماً. وعندما يحاول نظام أمني البحث عن الفاعلين السيئين وسط هذا الحشد الهائل، فإنه غالباً ما يصاب بالارتباك؛ فقد يطلق إنذاراً لملف غير ضار لمجرد أنه يبدو غريباً بعض الشيء، أو قد يغفل عن عملية خطيرة لأنها تختبئ بين ملايين العمليات العادية. والنتيجة غالباً ما تكون فيضاً من الإنذارات الكاذبة التي تثقل كاهل المحللين البشريين، أو الأسوأ من ذلك، فشلاً صامتاً في رؤية هجوم جارٍ بالفعل.

لقد اقترح فريق من الباحثين في جامعة شريف التكنولوجية في إيران طريقة جديدة لحل هذه المشكلة عبر تغيير كيفية نظر الكمبيوتر إلى البيانات. فبدلاً من محاولة تعليم برنامج كمبيوتر واحد ضخم فهم كل أنواع النشاط الممكنة على الجهاز، قرروا تقسيم المشكلة إلى قطع أصغر وأكثر قابلية للإدارة. لقد أدركوا أن أنواعاً مختلفة من برامج الكمبيوتر تتصرف بطرق متميزة جداً؛ فمتصفح الويب، على سبيل المثال، يفتح اتصالات شبكية ويقرأ أنواعاً محددة من الملفات بشكل طبيعي. بينما يتصرف أداة نظام تدير الساعة بشكل مختلف، ولواجهة سطر الأوامر (command-line shell) التي يستخدمها المسؤولون إيقاعها الفريد الخاص. وعندما يحاول نموذج كشف واحد تعلم السلوك "الطبيعي" لكل هذه البرامج المختلفة في آن واحد، فإنه يكافح للتمييز بين التباين غير الضار والتهديد الحقيقي.

ولمعالجة ذلك، أنشأ الباحثون نظاماً أطلقوا عليه اسم "تارغيتر" (Targeter). يقوم هذا النظام أولاً بفرز كل برنامج يعمل على الكمبيوتر إلى مجموعات محددة بناءً على ما يفعله فعلياً؛ حيث يذهب متصفح الـويب إلى مجموعة واحدة، ومحرر النصوص إلى أخرى، وخدمة النظام إلى ثالث. وبمجرد فرز البرامج، يقوم النظام بتدريب كاشف متخصص ومنفصل لكل مجموعة. يتعلم الكاشف الخاص بمتصفحات الويب فقط كيف يبدو سلوك المتصفح الطبيعي، بينما يتعلم الكاشف الخاص بخدمات النظام فقط كيف يبدو سلوك النظام الطبيعي. ولأن كل كاشف يركز على مجموعة ضيقة ومتسقة من الأنشطة، فإنه يصبح أفضل بكثير في رصد أي شيء غريب يحدث ضمن تلك المجموعة؛ فهو لا يحاول أن يكون خبيراً في كل شيء، بل هو خبير في شيء واحد محدد.

اختبر الباحثون هذا النهج باستخدام بيانات من برنامج "داربا للحوسبة الشفافة" (DARPA Transparent Computing)، وهي مجموعة من سجلات النظام الواقعية التي تتضمن نشاطاً طبيعياً وهجمات سيبرانية متطورة. وقارنوا نظامهم الجديد بعدة طرق موجودة حالياً وتعتبر الأفضل في هذا المجال. وأظهرت النتائج أن "تارغيتر" حقق توازناً أفضل بين رصد الهجمات الحقيقية وتجنب الإنذارات الكاذبة. فغالباً ما كان على الأنظمة السابقة الاختيار بين أن تكون صارمة جداً فتفقد العديد من الهجمات، أو أن تكون متساهلة جداً فترصد آلاف البرامج البريئة كأنها مشبوهة. استطاع "تارغيتر" رصد جزء أكبر من خطوات الهجوم الفعلية مع إبقاء عدد الإنذارات الكاذبة منخفضاً بما يكفي ليكون مفيداً للمحققين البشريين. وفي اختبار تضمن مجموعة بيانات تحتوي على أكثر من مليون حدث نظام، حدد النظام الجديد عدداً أكبر بكثير من العقد المرتبطة بالهجوم مقارنة بمنافسيه دون إغراق المحلل بالضجيج.

كان جزء رئيسي من النجاح هو كيفية تعامل النظام مع البيانات بعد الكشف الأولي. فقد أضاف الباحثون خطوة نهائية حيث ينظر النظام في الروابط بين العناصر المشبوهة التي وجدها؛ فإذا رصد ملفاً مشبوهاً مرتبطاً بعملية مشبوهة، فإنه يضيف ذلك الملف إلى قائمة الأشياء التي يجب التحقيق فيها، حتى لو لم يبدُ الملف غريباً في حد ذاته. يساعد هذا في ضمان أن التحقيق يغطي المسار الكامل للهجوم، بدلاً من مجرد أجزاء معزولة. كما تحقق الفريق من مقدار قوة الحوسبة التي يتطلبها هذا الأسلوب الجديد، ووجدوا أنه سريع وفعال، ويعمل بسلاسة على معالجات الكمبيوتر القياسية دون الحاجة إلى أجهزة متخصصة باهظة الثمن، مما يشير إلى أن هذا النهج يمكن أن يكون عملياً للاستخدام في العالم الحقيقي، وليس فقط في مختبر بحثي.

تشير الدراسة إلى أن الطريق نحو اكتشاف الهجمات السيبرانية لا يكمن بالضرورة في بناء نماذج أكبر وأكثر تعقيداً، بل في بناء نماذج أذكى وأكثر تركيزاً. فمن خلال الإقرار بأن متصفح الويب وأداة النظام مختلفان جوهرياً، ومن خلال منح كل منهما مراقباً مخصصاً، يكتسب النظام رؤية أوضح لما هو خاطئ حقاً. وأشار الباحثون إلى أنه بينما يعمل أسلوبهم بشكل جيد، فإنه يعتمد حالياً على البشر لتحديد فئات البرامج. وفي المستقبل، يأملون في تطوير طريقة تمكن النظام من اكتشاف هذه الفئات من تلقından. أما في الوقت الحالي، فإن هذا العمل يثبت أن الاهتمام بالطبيعة المحددة لما يفعله البرنامج، بدلاً من مجرد شكله في الرسم البياني للبيانات، يمكن أن يؤدي إلى تنبيهات أمنية أكثر دقة وموثوقية.

غارق في أبحاث مجالك؟

تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.

جرّب Digest →

أبحاث مشابهة

عرض الكل في هذا التصنيف 💻 cs →