A Leakage-Safe Block-Disjoint Benchmark and Diversity-Driven Stacking Ensemble for Multi-Class IoT Botnet Traffic Classification: An Analytical and Empirical Study on the N-BaIoT Dataset

في العالم الحديث، ترتبط مليارات الأشياء اليومية — من أجراس الأبواب الذكية إلى المستشعرات الصناعية — بالإنترنت، مما يشكل شبكة واسعة تُعرف باسم "إنترنت الأشياء". وبينما توفر هذه الأجهزة الراحة، فإن عددها الهائل وقدرتها الحوسبية المحدودة يجعلها أهدافًا سهلة للمخترقين. وبمجرد اختراقها، يمكن استغلال هذه الأجهزة لتشكيل "بوت نت" (botnets)، وهي جيوش من الآلات المصابة تُستخدم لشن هجمات سيبرانية هائلة يمكن أن تؤدي إلى إخراج المواقع الإلكترونية عن الخدمة أو تعطيل البنية التحتية الحيوية. ولإيقاف هذه الهجمات، يعتمد خبراء الأمن على أنظمة مؤتمتة تراقب حركة مرور الشبكة، بحثًا عن "البصمات الإحصائية" الدقيقة التي تميز بين جهاز طبيعي وجهاز تم الاستيلاء عليه بواسطة "بوت نت". ومع ذلك، ثمة مشكلة رئيسية لاحقت الأبحاث في هذا المجال: وهي أن الطريقة التي يختبر بها العلماء أدوات الكشف الخاصة بهم كانت غالبًا معيبة. فعندما يقوم الباحثون بتقسيم بياناتهم إلى مجموعات تدريب واختبار بشكل عشوائي، فإنهم يسمحون دون قصد بتسرب المعلومات بين المجموعتين. ونظرًا لأن حركة مرور الشبكة تتغير ببطء بمرور الوقت، فقد تكون قطعة من البيانات في مجموعة التدريب مطابقة تقريبًا لقطعة في مجموعة الاختبار، ولكن بعد بضع ثوانٍ فقط. وهذا يسمح للنماذج الحاسوبية بالاعتماد على حفظ هذه النسخ المتطابقة تقريبًا بدلاً من تعلم التعرف على العلامات الفعلية للهجوم، مما يؤدي إلى نتائج تبدو مثالية ولكنها تفشل في العالم الحقيقي.

تعالج دراسة جديدة أجراها الباحثان جيفا أروماجام وناجاراجان راماتينجام هذا الخلل الجوهري من خلال إعادة فحص أشهر مجموعة بيانات مستخدمة في هذا النوع من الأبحاث، والمعروفة باسم N-BaIoT. فبدلاً من خلط البيانات عشوائيًا، طور الفريق بروتوكولًا صارمًا يعامل البيانات كتدفق مستمر. لقد قسموا حركة المرور إلى كتل زمنية كبيرة وغير منقطعة، وضمنوا عدم تقسيم أي كتلة واحدة بين مجموعتي التدريب والاختبار. هذه الطريقة، التي أثبتوا أنها تمنع تسرب المعلومات رياضيًا، كشفت عن واقع مختلف تمامًا عما اقترحته الدراسات السابقة. فبموجب طرق الاختبار القديمة والمعيبة، أفاد الباحثون بمعدلات دقة كشف بلغت 99.9 بالمائة أو أكثر، مما جعل الأمر يبدو وكأن المشكلة قد حُلَّت تقريبًا. وعند تطبيق البروتوكول الجديد الخالي من التسرب على نفس البيانات، انهارت أداء العديد من النماذج، بينما ظل البعض الآخر قويًا، مما كشف عن فجوة هائلة بين النماذج الخطية البسيطة والأنظمة القائمة على الأشجار الأكثر تعقيدًا والتي كانت مخفية بسبب الأخطاء السابقة.

استخدم الباحثون أرض الاختبار الصارمة هذه لتقييم مجموعة واسعة من مناهج تعلم الآلة، بدءًا من الأساليب الإحصائية البسيطة وصولًا إلى الشبكات العصبية العميقة، وذلك في مهمة تحديد أحد عشر نوعًا مختلفًا من هجمات "البوت نت". ووجدوا أن النماذج الأبسط، التي تحاول رسم خط مستقيم للفصل بين حركة المرور الجيدة والسيئة، فشلت تمامًا، محققة فعالية تقترب من الصفر. وفي المقابل، حققت النماذج المتطورة التي تبني أشجار القرار — والتي هي في الأساس إنشاء مخطط انسيابي معقد من قواعد "إذا حدث هذا، فافعل ذاك" — أداءً ممتازًا. وحقق أفضل هذه النماذج القائمة على الأشجار درجة تقارب 0.9995 على مقي de حيث 1.0 هو الدرجة المثالية، وهي نتيجة صمدت حتى عند اختبارها على بيانات من أجهزة لم يرها النموذج من قبل. وقد أكد هذا أن هذا النوع المحدد من بيانات الشبكة، الذي يفتقر إلى الأنماط المكانية الواضحة الموجودة في الصور أو التسلسلات الصارمة الموجودة في اللغة، تجعل الأنظمة القائمة على الأشجار متفوقة بمراحل على بنيات التعلم العميق التي هيمنت على مجالات أخرى من الذكاء الاصطناعي.

ولدفع الأداء إلى مستويات أبعد، بنى الفريق "تجميعًا متراكمًا" (stacking ensemble)، وهو نظام يجمع تنبؤات عدة نماذج مختلفة لاتخاذ قرار نهائي. وقد صمموا طريقة خاصة لاختيار النماذج التي سيتم تضمينها، مع إعطاء الأولوية لمزيج من أساليب اتخاذ القرار المختلفة بدلاً من مجرد اختيار أقوى أربعة مؤدين فرديين. وبينما كان هذا الفريق المتنوع من النماذج يؤدي بشكل أفضل قليلاً في المتوسط عبر العديد من الاختبارات، ظهرت نتيجة مفاجئة عند اختبارهم على دفعة نهائية منفصلة تمامًا من البيانات: حيث تفوق النموذج الفردي الأفضل فعليًا على الفريق بأكمله. لم ينظر الباحثون إلى هذا باعتباره فشلًا، بل كونه اكتشافًا. فقد قدموا تفسيرًا رياضيًا يوضح أن القواعد التي تضمن أن يكون الفريق دائمًا أفضل من عضوه الأفضل تنطبق فقط عندما يصوت أعضاء الفريق بأوزان ثابتة. ولأن نظامهم تعلم كيفية وزن الأصوات ديناميكيًا بناءً على البيانات، فقد خرج عن تلك القواعد، مما يفسر سبب قدرة النموذج الفردي البطل على التفوق على الفريق. يوضح هذا الاكتشاف لبسًا شائعًا في هذا المجال، مبيناً أن التجميع المعقد ليس هو الحل دائمًا، حتى عندما يبدو كذلك.

كما اختبرت الدراسة مدى قدرة هذه الأنظمة على التعامل مع تحديات العالم الحقيقي، مثل البيانات المفقودة، أو الإشارات المشوشة، أو أنواع الهجمات الجديدة تمامًا. وأثبتت النماذج متانة ضد الضوضاء العشوائية والمعلومات المفقودة، حيث حافظت على دقة عالية حتى عندما كان ربع البيانات تالفًا أو غائبًا. كما كانت جيدة بشكل ملحوظ في رصد أنواع الهجمات الجديدة وغير المعروفة، حيث صنفتها كنشاط ضار بمعدل AUC بلغ 0.7 لكل متغير تم اختباره تقريبًا. ويشير هذا إلى أنه بينما تعد الأدوات الحالية ممتازة في إيقاف تدفقات حركة مرور "البوت نت" الصاخبة والمدمرة، إلا أنها لا تزال تواجه صعوبة في رصد عمليات الاستطلاع الهادئة والمتسللة التي غالبًا ما تسبق الاختراق الكبير.

في الختام، يوفر هذا العمل معيارًا واضحًا وموثوقًا للأبحاث المستقبلية، حيث يزيل التضخم الاصطناعي الناتج عن تسرب البيانات. وهو يثبت أنه بالنسبة للكشف عن "بوت نت" الخاص بإنترنت الأشياء، فإن النماذج القائمة على الأشجار الأبسط والأكثر فهمًا ليست كافية فحسب، بل هي متفوقة أيضًا على أنظمة التعلم العميق المعقدة، بشرما تم اختبارها بشكل صحيح. كما تقدم الدراسة خارطة طريق عملية لمهندسي الأمن، موضحة أنه بينما الدفاعات الحالية فعالة للغاية ضد سلوكيات "البوت نت" الأكثر شيوعًا وتدميرًا، إلا أنه لا تزال هناك فجوة محددة في اكتشاف عمليات المسح والاستطلاع الهادئة التي غالبًا ما تمر دون ملاحظة. ومن خلال وضع منهجية سليمة رياضيًا ومثبتة تجريبيًا، منح الباحثون مجتمع الأمن السيبراني أساسًا صلبًا يمكن البناء عليه لإنشاء دفاعات أكثر فعالية لمليارات الأجهزة المتصلة التي تشغل عالمنا الحديث.