SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

في العالم الرقمي، غالباً ما يُتخيل الأمن كحصن ذي جدران صُممت لإبقاء المتسللين في الخارج. تركز هذه الرؤية التقليدية على ثلاث ركائز أساسية: إبقاء الأسرار مخفية، وضمان بقاء الأنظمة متصلة بالإنترنت، والتأكد من أن المعلومات بداخلها تظل تماماً كما أُرسلت. وبينما يُعد الحفاظ على سرية البيانات وإبقاء الأنظمة قيد التشغيل تحديات مفهومة جيداً، فإن هناك خطراً أكثر دقة غالباً ما يمر دون أن يُلاحظ، وهو التهديد لسلامة البيانات. وخلافاً للفيروس الذي يتسبب في تعطل النظام أو المخترق الذي يسرق كلمة مرور، فإن هجوم سلامة البيانات يقوم بتغيير البيانات نفسها بهدو-ء؛ حيث يغير رقماً هنا أو سجلاً هناك دون إيقاف الآلة. وفي الأنظمة بطيئة الحركة، قد يكون مثل هذا التغيير الطفيف غير ضار، ولكن في البيئات التي تحدث فيها القرارات آلاف المرات في الثانية، يمكن لرقم واحد صغير ومتلاعب به أن يؤدي إلى سلسلة من الإجراءات الخاطئة. وينطبق هذا بشكل خاص على التداول عالي التردد، حيث تقوم الحواسيب بشراء وبيع الأسهم في لمح البصر بناءً على البيانات التي تراها. فإذا تم التلاعب بتلك البيانات قليلاً، يمكن للسوق بأكمده أن يُضلل، ومع ذلك يستمر النظام في العمل بسلاسة، مخفياً الخداع في وضح النهار.

لقد اقترح الباحثان س. مالاثي ور. أناندي من كلية دراكا دوسا جوفردانا دوس فايشناف في الهند طريقة جديدة لكشف هذه التلاعبات غير المرئية. وقد أطلقوا على نهجهم اسم إطار عمل "SECURE"، وهو عملية مكونة من ست خطوات مصممة لمراقبة وتحليل واستجابة تدفقات البيانات في الوقت الفعلي. يرمز الاسم إلى: المراقبة (Surveillance)، الفحص (Examination)، التحكم (Control)، الفهم (Understanding)، الاستجابة (Response)، والتعزيز (Enhancement). يبدأ النظام بالمراقبة المستمرة لتدفق البيانات الواردة، تماماً مثل كاميرا أمنية لا ترمش أبداً. وبمجرد جمع البيانات، تنتقل إلى مرحلة الفحص، حيث يبحث برنامج حاسوبي مدرب على التعرف على الأنماط عن أي شيء غير عادي. وقد اختار الباحثان نوعاً معيناً من أدوات التعرف على الأنماط يسمى "الغابة العشوائية" (Random Forest)، والذي يعمل عن طريق بناء العديد من أشجار القرار المختلفة ومطالبتها بالتصويت على ما إذا كانت قطعة من البيانات طبيعية أم مشبوهة. وتعد هذه الطريقة جيدة جداً في التعامل مع الطبيعة الصاخبة والفوضوية للبيانات سريعة الحركة.

ومع ذلك، فإن معرفة أن شيئاً ما خاطئ ليس كافياً؛ إذ يحتاج خبراء الأمن إلى معرفة السبب. ولحل هذه المشكلة، أضاف الباحثان طبقة من القابلية للتفسير إلى نظامهم. فقد استخدموا تقنية تسمى "SHAP"، والتي تعمل مثل كشاف الضوء، حيث تسلط الضوء على التفاصيل المحددة التي جعلت الكمبيوتر يصنف حدثاً ما على أنه مشبوه. فبدلاً من مجرد قول "هذا سيء"، يمكن للنظام الإشارة إلى تغيير السعر المحدد أو حجم الطلب الذي أطلق الإنذار. وتساعد هذه الشفافية المحللين البشريين على الثقة في حكم الآلة. ثم ينتقل إطار العمل إلى مرحلة التحكم، حيث يمكنه حظر أو وضع علامة على البيانات المشبوهة، تليها مرحلة الاستجابة حيث تُرسل التنبيهات وتُحفظ السجلات. وأخيراً، يدخل النظام في مرحلة التعزيز، حيث يتعلم من البيانات الجديدة ليصبح أفضل في رصد الحيل المستقبلية.

ولاختبار مدى نجاح هذه الفكرة، طبق الباحثون هذا النهج على سيناريو من الواقع: سوق الأسهم. حيث استخدموا مجموعة بيانات من بيانات سجل أوامر المستوى الثاني (Level-2 order book)، والتي تسجل كل أمر بيع أو شراء للأسهم، بما في ذلك السعر، والكمية، والوقت. وفي هذه البيئة، قاموا بمحاكاة نوعين شائعين من التلاعب بالسوق يُعرفان باسم "الخداع" (Spoofing) و"التدرج" (Layering). يحدث الخداع عندما يضع المتداول أمراً ضخماً دون نية للشراء، فقط لخلق شعور زائف بالطلب لتضليل الآخرين نحو الشراء. أما التدرج فيتضمن وضع العديد من الأوامر عند مستويات أسعار مختلفة لخلق ضغط اصطناعي. وكلا التكتيكين يغيران البيانات للتأثير على السوق دون تعطيل نظام التداول فعلياً، مما يجعلهما مثالاً مثالياً لهجمات سلامة البيانات. وقد عامل الباحثون هذه التلاعبات باعتبارها البيانات "السيئة" والتداول الطبيعي باعتباره البيانات "الجيدة"، ثم غدوا بكل ذلك في إطار عمل SECURE.

أظهرت النتائج أن النظام الجديد كان أفضل بكثير في كشف هذه الحيل من نموذج حاسوبي قياسي وحده. فعندما اختبر الباحثون نسخة أساسية من أداة التعرف على الأنماط الخاصة بهم دون إطار العمل الكامل المكون من ست خطوات، حددت الهجمات بدقة بلغت حوالي 91.84 بالمائة. ولكن عندما أضافوا هيكل SECURE الكامل، بما في ذلك خطوات التحكم المحددة وأدوات القابلية للتفسير، ارتفعت الدقة إلى 96.82 بالمائ^ة. أصبح النظام أفضل بكثير في العثور على الهجمات الحقيقية مع ارتكاب أخطاء أقل بشأن التداول الطبيعي. وكشف تحليل البيانات أن النظام كان ينتبه للأشياء الصحيحة؛ فقد تعلم أن التغيرات المفاجئة في حركة الأسعار، والكميات غير العادية من الأسهم، والارتفاعات في حجم التداول عند مستويات أسعار محددة، كانت أقوى الإشارات على التلاعب. وهذه هي بالضبط السلوكيات التي يبحث عنها المتداول البشري، مما يثبت أن الكمبيوتر لم يكن مجرد يخمن، بل كان يتعرف على أنماط منطقية.

إن ما يجعل هذا العمل قيماً بشكل خاص هو أنه لا يعتمد على معرفة ما سيفعله المهاجم بدقة في الخطوة التالية. فبدلاً من البحث عن قائمة محددة من السلوكيات السيئة المعروفة، يتعلم النظام كيفية رصد الشكل العام لـ "الكذبة" في البيانات. وهذا يعني أن إطار العمل ليس مقتصرًا على أسواق الأسهم فحسب. ويشير الباحثون إلى إمكانية استخدام نفس الطريقة لحماية الأنظمة الأخرى سريعة الحركة، مثل شبكات الاستشعار في المدن الذكية أو الأجهزة الطبية التي تراقب المرضى في الوقت الفعلي. وفي أي مكان تتدفق فيه البيانات بسرعة ويمكن أن يكون للتغيير الصغير تأثير كبير، تكون القدرة على كشف التلاعب الدقيق أمراً بالغ الأهمية. ومن خلال الجمع بين أداة سريعة للتعرف على الأنماط وطريقة تشرح تفكيرها الخاص، يوفر إطار عمل SECURE وسيلة للحفاظ على نزاهة الأنظمة عالية السرعة. إنه يوضح أنه في السباق لحماية البيانات، لا يكمن المفتاح في مراقبة الضجيج فحسب، بل في فهم القصة التي ترويها البيانات.