Machine Learning Based Intrusion Detection for Cloud Storage: An Empirical Evaluation of Signature and Random Forest Fusion
تقيم هذه الدراسة تجريبيًا نموذجًا أوليًا شبه اصطناعي لكشف التسلل في التخزين السحابي عن طريق حقن هجمات في مسارات بيانات غير مصنفة من "مايكروسوفت أزور"، لتجد أنه على الرغم من توفير نماذج "الغابة العشوائية" لإشارات ترتيب مفيدة، إلا أن أداءها غير المستقر تحت تأثير انحراف عبء العمل الزمني وضعف كشف هجمات "البطيئة والمستمرة" يشير إلى أنها ليست جاهزة بعد للنشر في بيئات الإنتاج.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي الحديث، تعيش كميات هائلة من المعلومات الشخصية والتجارية في التخزين السحابي، وهو نظام تُحفظ فيه البيانات على خوادم بعيدة بدلاً من جهاز كمبيوتر واحد. ولأن هذه البيانات يمكن الوصول إليها من أي مكان، فإن احتمالية الدخول غير المصرح به أكبر بكثير مما هي عليه في أنظمة التخزين التقليدية المعزولة. ولحماية هذه المعلومات، يعتمد فرق الأمن على أنظمة كشف التسلل، التي تعمل بمثابة أبراج مراقبة رقمية. وتعمل هذه الأنظمة عموماً بطريقتين: فبعضها يبحث عن أنماط معروفة من السلوك السيئ، مثل حارس أمن يتعرف على وجه مجرم معين، بينما يتعلم البعض الآخر كيف يبدو النشاط الطبيعي ويرفع إنذاراً عند حد حدوث شيء غير معتاد. ويكمن التحدي في أن المستخدمين الشرعيين غالباً ما يتصرفون بطرق تبدو مريبة، بينما يمكن للمهاجمين محاكاة السلوك الطبيعي، مما يجعل من الصعب التمييز بينهما دون التسبب في فيض من الإنذارات الكاذبة.
وضع الباحثان سايمون يوسيفو وأولاولي أولانيي خطة لاختبار نهج محدد لحل هذه المشكلة باستخدام بيانات واقعية من "مايكروسوفت أزور" (Microsoft Azure)، وهو مزود سحابي رئيسي. فقد بنيا نموذجاً أولياً مصمماً لرصد المتسللين في التخزين السحابي عبر الجمع بين طريقتين: مجموعة من القواعد الثابتة التي تبحث عن علامات الخطر الواضحة، ونموذج تعلم آلي يتعلم من أنماط البيانات. ولم يستخدم الفريق مجموعة بيانات وهمية لهجمات مختلقة، وهو أمر شائع في هذا المجال، بل بدأوا بثلاثين ألف سجل من سجلات الوصول الفعلية وغير المصنفة من تطبيقات حقيقية. وبما أن هذه السجلات لم تأتِ مع تسميات أمنية، فقد عاملها الباحثون كخلفية محايدة للنشاط الطبيعي. ثم قاموا بحذر بحقن عمليات محاكاة محكومة لحملات هجومية في هذه البيانات الحقيقية. ظهرت ثلاثة نماذج هجوم محددة — وهي استخراج البيانات الاندفاعي (burst exfiltration)، وفحص الوصول الواسع (broad access probing)، واندفاعات الكتابة فوق البيانات (overwrite bursts) — في جميع فترات التدريب والتحقق والاختبار، بينما تم حقن النوع الرابع، وهو الاستخراج البطيء والمتأنٍ (low-and-slow exfiltration)، في فترة الاختبار فقط. وقد سمح لهم ذلك برؤية كيفية أداء نظام الكشف الخاص بهم عند مواجهة تهديدات مخفية داخل نشاط بشري حقيقي وفوضوي.
كشفت النتلائج عن صورة معقدة لما ينجح وما لا ينجح في بيئة واقعية. فقد أثبت نموذج التعلم الآلي، المعروف باسم "الغابة العشوائية" (Random Forest)، قدرة جيدة على ترتيب الأحداث، مما يعني أنه استطاع تحديد الأنشطة الأكثر عرضة لكونها هجمات من غيرها بنجاح. ومع ذلك، عندما حاول الباحثون وضع خط محدد لتحديد متى يتم إطلاق الإنذار، أصبح النظام غير مستقر. في بعض الاختبارات، رصد النموذج حوالي واحد وستين بالمائة من الهجمات، لكنه صنف أيضاً عدداً كبيراً من الأنشطة غير الضارة على أنها خطيرة. وعندما جمعوا نموذج التعلم الآلي مع القواعد الثابتة لمحاولة تحسين الأداء، لم يتحسن النظام؛ بل ساء حاله، حيث تسبب في توليد المزيد من الإنذارات الكاذبة. وفي الواقع، كانت النسخة الأكثر فعالية من النظام هي ببساطة نموذج التعلم الآلي وحده، حيث إن محاولة دمجه مع طرق أخرى لم تضف أي قيمة وزادت من الضجيج فقط.
كانت النتائج المذهلة بشكل خاص هي عدم قدرة النظام على اكتشاف الهجمات البطيئة والخفية. فبينما نجح النموذج بشكل معقول في رصد اندفاعات سرقة البيانات، والمسح واسع النطاق، واندفاعات الكتابة فوق البيانات، إلا أنه فشل تماماً في ملاحظة نوع الهجوم المحدد الذي تُسرق فيه البيانات ببطء شديد بمرور الوقت. هذا السلوك "البطيء والمتأنٍ"، والذي غالباً ما يكون الأكثر خطورة لأنه يتجنب إطلاق الإنذارات القياسية، تم تفويته في أكثر من أربعة وتسعين بالمائة من الحالات. كما سلطت الدراسة الضوء على مشكلة رئيسية تتعلق بالوقت. فقد تم تدريب النظام على بيانات من أسبوع واحد واختباره على بيانات من الأسبوع التالي. ورغم أن التكنولوجيا الأساسية هي نفسها، إلا أن الطريقة التي تتصرف بها التطبيقات تغيرت طبيعياً بمرور الوقت، وهي ظاهرة يسميها الباحثون "الانجراف الزمني" (temporal drift). تسبب هذا التحول في فشل إعدادات الثقة الخاصة بالنظام، والتي تم تحسينها بناءً على البيانات السابقة، عند تطبيقها على البيانات اللاحقة، مما أثبت أن النموذج الذي يعمل جيداً في لحظة ما قد لا يعمل في اللحظة التالية.
في النهاية، تخلص الدراسة إلى أنه على الرغم من أن نهج التعلم الآلي يظهر وعداً في تحديد الأنماط المشبوهة، إلا أنه ليس جاهزاً بعد للنشر في العالم الحقيقي بشكلته الحالية. فالنظام ينتج الكثير من الإنذارات الكاذبة ليكون عملياً، وقدرته على اكتشاف الهجمات البطيئة والمتسللة ضعيفة جداً في الوقت الحالي. ويؤكد الباحثون أن قيمة عملهم لا تكمن في كونه منتجاً نهائياً، بل في كونه إطاراً قابلاً لإعادة الإنتاج يستخدم بيانات حقيقية لإظهار حدود المنهجيات الحالية. ويقترحون أن الجهود المستقبلية يجب أن تركز على إنشاء أنظمة يمكنها التكيف مع سلوكيات المستخدمين المتغيرة بمرور الوقت، وإيجاد طرق أفضل للتمييز بين النشاط الخبيث البطيء وفترات العمل الهادئة والطبيعية. وإلى أن يتم حل هذه التحديات، ستظل مثل هذه الأنظمة أدوات مفيدة للبحث والتدقيق، ولكنها ليست بعد لمهام الحماية الحرجة لتخزين السحاب الحي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.