Loss-Aware Attention-Based Dual Feature Selection for Handling Imbalanced IoT Intrusion Detection

تخيل إنترنت الأشياء (IoT) كمدينة مستقبلية صاخبة، حيث تتواصل مليارات الأجهزة الذكية — من ثلاجتك إلى جهاز مراقبة قلبك — مع بعضها البعض باستمرار. وبينما تجعل هذه القدرة على الاتصال الحياة مريحة للغاية، إلا أنها تحول هذه المدينة أيضًا إلى هدف ضخم للصوص الرقميين. تمامًا كما تحتاج المدينة الحقيقية إلى قوة شرطة، تحتاج هذه الشبكات إلى نظام كشف التسلل (IDS)، وهو بمثابة حارس رقمي يراقب حركة المرور بحثًا عن أي شيء مريب. ومع ذلك، هناك عقبة: غالبًا ما تكون هذه الأحياء الرقمية فوضوية؛ فالبيانات التي تنتجها غارقة في ضجيج متكرر وغير مفيد (الزيادة أو التكرار)، كما أن "الأشرار" (الهجمات السيبرانية) نادرون مقارنة بـ "الأخيار" (حركة المرور الطبيعية). هذا الاختلال يجعل من الصعب على حراس الأمن التقليديين رصد القلة من المجرمين المختبئين وسط حشد من ملايين المواطنين الأبرياء. إذا ركز الحارس فقط على الأصوات الأعلى، فقد يفوت همس اللص الهادئ.

هنا يأتي دور دراسة جديدة لـ "ماجد الطويرقي"، تقترح طريقة أكثر ذكاءً لبناء هؤلاء الحراس الرقميين. تعالج هذه الدراسة مشكلتي "الضجيج الزائد" و"ندرة الأشرار" من خلال إنشاء نظام يسمى DFLA-IDS. فكر في الأمر كمركز أمني مكون من خطوتين. أولاً، يستخدم مرشحًا عالميًا للتخلص من البيانات المملة والمتكررة، محتفظًا فقط بالقرائن الأكثر إثارة للاهتمام. ثانيًا، يستخدم آلية "انتباه مدركة للخسارة" (loss-aware attention) — وهي نوع من العدسات فائقة التركيز — التي تصطاد خصيصًا الهجمات النادرة والمراوغة التي يتم تجاهلها عادةً. ومن خلال الجمع بين هاتين الخطوتين، يزعم النظام أنه يصبح حادًا للغاية، حيث يرصد التسللات بدقة تقترب من الكمال مع استخدام طاقة حوسبة أقل من الطرق القديمة.

قصة حارس الأمن ذو الخطوتين

في عالم الأمن السيبراني، الهدف هو الإمساك بالجهات السيئة قبل أن تسبب المشاكل. ولكن في عالم إنترنت الأشياء، تكون البيانات عبارة عن فوضى عارمة. تخيل محاولة العثور على إبرة محددة في كومة قش، لكن كومة القش مكونة من ملايين الإبر المتشابهة، والإبرة التي تريدها تختبئ تحت كومة من القش تشبه تمامًا الإبر الأخرى. غالبًا ما تُصاب أنظمة الأمن التقليدية بالإرهاق بسبب الحجم الهائل للبيانات وحقيقة أن الهجمات نادرة جدًا لدرجة أنها تغرق وسط النشاط الطبيعي.

تقدم الورقة حلاً يسمى DFLA-IDS (المحول ذو اختيار الميزات المزدوج والانتباه المدرك للخسارة). لفهم كيفية عمله، دعونا نفكك مكوناته الرئيسية إلى شخصيتين: "المرشح العالمي" و"المحقق المحلي".

الخطوة 1: المرشح العالمي (تنظيف الفوضى)

قبل أن يتمكن النظام حتى من البحث عن لص، عليه أن ينظف مسرح الجريمة. وجد الباحثون أن البيانات الخام القادمة من أجهزة إنترنت الأشياء مليئة بالمعلومات الزائدة — مثل سؤال شاهد: "هل رأيت السيارة؟" ثم "هل رأيت المركبة؟" و"هل رأيت العربة؟". إنها جميعًا نفس الشيء، مكررة فقط.

لإصلاح ذلك، يستخدم النموذج استراتيجية اختيار الميزات المزدوج (Dual Feature Selection).

• المرحلة الأولى (MIC): يستخدم أداة تسمى معامل المعلومات الأقصى (Maximal Information Coefficient). تخيل هذا كمحقق بارع في رصد الروابط، حتى تلك غير المستقيمة والغريبة. فهو لا يبحث فقط عن روابط بسيطة من نوع "أ تؤدي إلى ب"، بل يجد علاقات معقدة وخفية بين قطع البيانات المختلفة.
• المرحلة الثانية (mRMR): بعد ذلك، يستخدم طريقة تسمى "الحد الأدنى من التكرار والحد الأقصى من الصلة" (minimum Redundancy Maximum Relevance). هذا يشبه المحرر الصارم الذي يقول: "لدينا معلومات كافية عن السيارة الحمراء؛ فلنتوقف عن الحديث عنها ونركز على الشاحنة الزرقاء التي لم نرها بعد".

من خلال الجمع بين هذين الأسلوبين، يأخذ النظام الميزات الأصلية البالغ عددها 49 (القرائن) ويقلصها إلى 20 ميزة فقط من الأكثر أهمية. إنه يشبه تقليص مكتبة ضخمة إلى رف واحد مثالي من الكتب التي تهم حقًا.

الخطوة 2: المحقق المحلي (الانتباه المدرك للخسارة)

بعد تنظيف البيانات، يحتاج النظام إلى العثور على المتسلل فعليًا. هنا يأتي دور "المحول ذو الانتباه المدرك للخسارة" (Loss-Aware Attention Transformer). في العديد من الأنظمة الأمنية، تعطي الحواسيب الأولوية للفئة الأكثر انتشارًا. إذا كانت 99% من حركة المرور طبيعية، فإن الحاسوب يتعلم ببساطة أن يقول "كل شيء على ما يرام" ويحصل على درجة عالية لكونه محقًا معظم الوقت، رغم أنه قد يفشل في رصد كل هجمة.

يصلح النظام الجديد هذا الأمر باستخدام خدعة ذكية تسمى الانتباه المدرك للخسارة (Loss-Aware Attention).

• مفهوم "الخسارة": في تعلم الآلة، "الخسارة" هي مقياس لمدى خطأ الحاسوب. إذا خمن الحاسوب أن الحركة "آمنة" بينما كانت في الواقع هجمة، فإن "الخسارة" تكون عالية.
• خدعة "الانتباه": عادةً، يتجاهل الحاسوب لحظات "الخسارة العالية" هذه لأنها نادرة. لكن هذا النظام الجديد يقلب الطاولة؛ فهو يقول: "مهلاً، إذا أخطأت في هذا، فامنح انتباهًا إضافيًا لسبب الخطأ!". فهو يعدل تركيزه ديناميكيًا، ويعطي وزنًا إضافيًا للميزات التي تسببت في الخطأ.

فكر في الأمر كمعلم لا يكتفي بتصحيح اختبارك فحسب، بل يقضي وقتًا إضافيًا في مراجعة الأسئلة المحددة التي أخطأت فيها، لضمان عدم تكرار الخطأ مرة أخرى. هذه الآلية تجبر النظام على إبداء اهتمام شديد بالفئات الأقلية النادرة (الهجمات) التي يتجاهلها عادةً.

النتائج: بطاقة نقاط تقترب من الكمال

اختبر الباحثون نموذج DFLA-IDS الجديد على مجموعتي بيانات شهيرتين: UNSW-NB15 (التي تحتوي على حوالي 2.5 مليون سجل) و NSL-KDD. وقارنوا نظامهم بطرق شائعة أخرى، مثل Deep BiLSTM (نوع من نماذج التعلم العميق) وتقنيات مختلفة لاختيار الميزات.

كانت النتائج مبهرة. ففي مجموعة بيانات UNSW-NB15، حقق النموذج المقترح:

• الدقة (Accuracy): 99.90%
• الدقة التنبؤية (Precision): 99.92%
• الاستدعاء (Recall): 99.88%
• مقياس F1 (F1-score): 99.85%

لوضع ذلك في المنظور، حقق أفضل نموذج سابق (Deep BiLSTM) دقة بنسبة 99.83%. ورغم أن هذا قد يبدو فرقًا ضئيلاً، إلا أنه في عالم الأمن، يعد رصد هذا الجزء الإضافي من الهجمات أمرًا ضخمًا. والأهم من ذلك، أن النموذج الجديد فعل ذلك بكفاءة أكبر بكثير. فمن خلال تقليل الميزات من 49 إلى 12 ميزة نهائية للمحول، قلل النظام من عمله الحسابي (FLOPs) بنسبة تقارب 10 أضعاف مقارنة ببعض الطرق القديمة. فقد انتقل من إجراء حوالي 28.8 مليون عملية حسابية لكل عينة إلى 3.3 مليون عملية فقط.

لماذا يهم هذا الأمر؟

تجادل الورقة بأن هذا النهج يحل مشكلة رئيسية: كيفية اكتشاف الهجمات الخطيرة والنادرة في بحر من البيانات الطبيعية دون الحاجة إلى حاسوب خارق للقيام بذلك. من خلال استخدام عملية من خطوتين — أولاً تنظيف البيانات عالميًا، ثم التركيز المكثف على الأخطاء محليًا — ينجح النظام في أن يكون دقيقًا للغاية وخفيف الوزن في آن واحد.

ويشير المؤلف إلى أن هذه الطريقة يمكن أن تكون نقطة تحول لأجهزة إنترنت الأشياء، التي غالبًا ما تمتلك قدرات محدودة من حيث البطارية والمعالجة. فبدلاً من الحاجة إلى خادم ضخم لمراقبة الشبكة، يمكن لنموذج أصغر وأكثر ذكاء أن يعمل مباشرة على أجهزة الحافة (Edge devices). وتخلص الدراسة إلى أنه بينما يتم اختبار النموذج حاليًا في عمليات المحاكاة، إلا أنه يقدم مسارًا واعدًا لإنشاء أنظمة أمنية قوية بما يكفي للإمساك بالهكرز، وخفيفة بما يكفي لتعمل على جهاز تنظيم حرارة ذكي.

باختصار، تقدم الورقة نظامًا لا يكتفي فقط بالنظر إلى الحشد بأكمله؛ بل يعرف كيف يتجاهل الضجيج، ويرصد الشذوذ النادر، ويتعلم من أخطائه ليصبح حارسًا رقميًا يكاد يكون بلا عيوب.