Feature-Reduced IoT Intrusion Detection Using Clustering-Based Mutual Information and Meta-Heuristic CNN Optimization

تخيل إنترنت الأشياء (IoT) كمدينة صاخبة وغير مرئية، حيث تدردش ثلاجتك الذكية، ومنظم الحرارة، وسارتك مع بعضها البعض على مدار الساعة طوال الأسبوع. إنها معجزة من معجزات الحياة الحديثة، لكنها أيضًا حي فوضوي حيث تُترك الأبواب غالبًا مفتوحة. ولأن هذه الأجهزة صغيرة ورخيصة، فهي لا تملك القدرة الذهنية لحمل حراس أمن ثقلاء (جدران حماية تقليدية) معها. وهذا يتركها عرضة للصوص الرقميين — المخترقين الذين يريدون سرقة البيانات أو السيطرة على الشبكة. ولإصلاح ذلك، يبني العلماء "أنظمة كشف التسلل" (IDS)، والتي تعمل مثل متطوعي مراقبة الحي شديدي اليقظة. يقوم هؤلاء المتطوعون بمسح حركة المرور باستمرار، بحثًا عن أي شيء لا ينتمي للمكان. ولكن هنا تكمن المشكلة: الحي ضخم، وحركة المرور فوضوية، واللصوص ماكرون. أحيانًا يغرق متطوعو المراقبة بسبب كثرة المعلومات، أو يتم خداعهم لأن الأشرار يختبئون في ظلال الجرائم النادرة وغير المعتادة التي تحدث بشكل غير متكرر للغاية.

هنا تبدأ قصة مراقبة الحي الجديدة والأكثر ذكاءً. قرر الباحثون في هذه الورقة، س. كومار ريدي ماليدي وراجيسوارا راو راميسيتي، بناء نظام أمني أكثر رشاقة وسرعة وتيقظًا. لقد أدركوا أنه لا يمكنك الإمساك باللصوص الماكرين بمجرد إلقاء المزيد من قوة الحوسبة على المشكلة؛ بل يجب أن تكون أكثر ذكاءً بشأن ما الذي تنظر إليه وكيف تبحث عنه. لقد جمعوا بين ثلاث حيل ذكية: أولاً، قاموا بإصلاح مشكلة "عدم توازن الفئات" (حيث لا ترى المراقبة سوى الأيام العادية وتفقد السرقات النادرة) عن طريق إنشاء أمثلة اصطناعية للجرائم لدراستها. ثانيًا، استخدموا طريقة "مستوحاة من طائر البوربيرد" (Bowerbird) لاختيار أهم الأدلة فقط، وتجاهل الضجيج. ثالثًا، استخدموا بحثًا بأسلوب "ألعاب الجوع" (Hunger Games) لتصميم عقل صغير وفعال (شبكة عصبية) يمكنه رصد الأشرار دون أن يتعب. لم يكن هدفهم مجرد الدقة؛ بل كان أن يكونوا موثوقين، لضمان عدم تسلل حتى أندر الهجمات وأكثرها دهاءً عبر الشقوق.

قصة الورقة: آلة أمنية رشيقة وقوية

تقدم الورقة خط إنتاج جديد (وصفة خطوة بخطوة) لنظام كشف تسلل لإنترنت الأشياء مصمم ليكون مدمجًا وفعالًا من حيث الحوسبة. فكر في الأمر كترقية نظام كاميرات مراقبة قديم وضخم إلى طائرة بدون طيار (درون) أنيقة وعالية التقنية يمكنها الطيران فوق الحي، ورصد المشاكل فورًا، والقيام بكل ذلك وهي تستهلك قدرًا ضئيلًا جدًا من البطارية.

الخطوة 1: تنظيف الفوضى (موازنة البيانات)
تخيل أنك محقق تحاول التعلم كيف يبدو اللص، لكن ألبوم الصور الخاص بك يحتوي بنسبة 99% على صور لأشخاص عاديين و1% فقط من صور اللصوص الفعليين. ستصاب بالارتباك على الأرجح وتظن أن كل شخص يبدو مريبًا هو لص، أو الأسوأ من ذلك، ستفقد اللصوص الحقيقيين لأنك لم ترَ الكثير منهم. واجه الباحثون هذه المشكلة تمامًا مع بيانات إنترنت الأشياء. ولإصلاح ذلك، استخدموا عملية تنظيف مكونة من ثلاث خطوات: SMOTE، وENN، وLOF.

• SMOTE يشبه آلة التصوير التي تنشئ صورًا جديدة مزيفة ولكن واقعية للصوص النادرين حتى يمتلك المحقق مواد تدريب كافية.
• ENN يعمل كمحرر صارم، حيث يستبعد الصور الضبابية أو المربكة التي قد تخدع المحقق.
• LOF هو فحص الجودة النهائي، الذي يزيل أي صور غريبة أو خارجة عن السياق لا تتناسب مع النمط.
  من خلال القيام بذلك، يتعلم النظام التعرف على الأشرار بشكل أفضل، خاصة أولئك الذين لا يظهرون كثيرًا.

الخطوة 2: اختيار طائر البوربيرد (اختيار الميزات)
الآن، تخيل أن لدى المحقق حقيبة تحتوي على 76 دليلًا مختلفًا (ميزة) لكل شخص يراه. بعض الأدلة مفيدة (مثل "يرتدي قناعًا")، لكن الكثير منها عديم الفائدة أو متكرر (مثل "يرتدي قميصًا" عندما يرتدي الجميع قمصانًا). حمل جميع هذه الأدلة الـ 76 يجعل المحقق بطيئًا ومتعبًا.
استخدم الباحثون طريقة مستوحاة من طيور البوربيرد (وهي طيوت معروفة ببناء أعشاش مزخرفة لجذب الشركاء). في الطبيعة، تختار ذكور طيور البوربيرد بعناية وتنسق أفضل الزينات. هنا، تعمل خوارزمية "اختيار الميزات المستوحاة من مغازلة طائر البوربيرد" (BBFS) مثل الطائر الانتقائي. فهي تنظر إلى جميع الأدلة الـ 76 وتقرر أي منها ضروري حقًا. تستخدم نظام تسجيل خاص يجمع بين مدى قدرة الدليل على التنبؤ بالجريمة، ومدى اختلافه عن الأدلة الأخرى، ومدى قدرته على الفصل بين الأخيار والأشرار.
النتيجة؟ انخفض النظام من حمل 76 دليلًا إلى مجرد 20 أو 23 أو 18 أو 10 أدلة (اعتمادًا على مجموعة بيانات الحي المحددة). إنه يشبه إدراك المحقق أنه يحتاج فقط إلى عدسة مكبرة ومصباح يدوي لحل القضية، تاركًا خلفه حقيبة الظهر الثقيلة.

الخطوة 3: بحث ألعاب الجوع (تحسين العقل)
بمج-ا حصول المحقق على الأدلة الصحيحة، فإنه يحتاج إلى عقل لمعالجتها. استخدم الباحثون شبكة عصبية تلافيفية أحادية الأبعاد (1D CNN)، وهي نوع من أنواع الذكاء الاصطناعي الجيد في رصد الأنماط. لكن بناء العقل المثالي أمر صعب؛ إذا كان كبيرًا جدًا، فسيكون بطيئًا. وإذا كان صغيرًا جدًا، فسوف يفقد أشياء مهمة.
لإيجاد الحجم المثالي، استخدموا خوارزمية تسمى بحث ألعاب الجونة (HGS). تخيل مجموعة من المتسابقين الجائعين في برنامج مسابقات. جميعهم يحاولون العثًا عن أفضل "وصفة" لعقل. بعض الوصفات كبيرة جدًا (بها الكثير من المكونات)، وبعضها صغير جدًا (تفتقر للنكهة). تحاكي خوارزمية HGS مسابقة حيث "يأكل" (يحسن) المتسابقون طريقهم نحو التكوين الأفضل. إنها توازن بين هدفين: الإمساك بأكبر عدد من اللصوص (الاستدعاء العالي) والحفاظ على العقل صغيرًا وسريعًا (تكلفة حوسبة منخفضة).
الأدمغة النهائية التي بنوها كانت صغيرة بشكل مدهش. فقد كانت تحتوي على ما بين 63,937 و 105,281 معلمة قابلة للتدريب (نيورونات العقل) وتطلبت فقط 188,224 إلى 364,992 عملية MAC (الخطوات الرياضية لاتخاذ القرار). هذا يمثل انخفاضًا هائلاً مقارنة بالنماذج القياسية، مما يجعل تشغيلها على الأجهزة الصغيرة أمرًا ممكنًا.

النتائج: الإمساك بالماكرين
عندما اختبر الباحثون هذا النظام الجديد على أربع مجموعات بيانات حقيقية لإنترنت الأشياء (Edge-IIoT، ACI-IoT، UQ-IoT، وWUSTL-IIoT)، وجدوا شيئًا مثيرًا للاهتمام.

• الدقة: كان النظام دقيقًا للغاية، وغالبًا ما وصل إلى 99.9% أو أكثر.
• الفوز الحقيقي (الاستدعاء/Recall): كانت النتيجة الأكثر أهمية تتعلق بـ الاستدعاء (Recall) — أي القدرة على الإمساك بكل شرير، حتى النادرين منهم. في العديد من الأنظمة السابقة، كانت "الدرجة الإجمالية" تبدو رائعة، لكنها كانت تفشل في رصد أنواع معينة ونادرة من الهجمات. ومع ذلك، حقق هذا النظام الجديد استدعاءً مثاليًا (1.000000) على مجموعة بيانات Edge-IIoT، مما يعني أنه لم يفت أي هجوم. وفي مجموعات البيانات الأخرى، نجح أيضًا في رصد هجمات أكثر بكثير من الطرق الأخرى التي تمت مقارنتها بها.
• السرعة والحجم: نظرًا لأنهم قللوا الأدلة وحسنوا العقل، أصبح النظام أسرع بكثير. انخفض الوقت المستغرق لفحص مجموعة اختبار كاملة بنسبة 55% إلى 71% مقارنة بالنماذج المرجعية. كما تقلص حجم النموذج بنسبة تقارب 90% في بعض الحالات.

ما تقول الورقة إنه ليس كذلك
من المهم ملاحظة ما لا تدعيه هذه الورقة. يوضح المؤلفون بحذر أنه بينما نظامهم "مدمج" و"فعال" على جهاز كمبيوتر قوي (محطة عمل مزودة ببطاقة رسوميات NVIDIA RTX 3090 GPU)، إلا أنهم لم يختبروه بعد على شرائح إنترنت الأشياء الصغيرة الفعلية (مثل Raspberry Pi أو مصباح ذكي). كما ذكروا صراحة أن القياسات الواقعية لعمر البطارية والسرعة على الأجهزة الفعلية متروكة للعمل المستقبلي. كما اعترفوا بأنه بينما نظامهم ممتاز في رصد أي هجوم (استدعاء عالٍ)، فإنه أحيانًا يطلق بعض "الإنذارات الكاذبة" (الاعتقاد بأن شخصًا عاديًا هو لص) مقارنة بالأنظمة الأخرى التي تركز على الدقة (Precision). ويجادلون بأنه في مجال الأمن، من الأفضل وجود بعض الإنذارات الكاذبة الإضافية بدلاً من تفويت لص حقيقي.

الخلاصة
تشير هذه الورقة إلى أنه من خلال تنظيف البيانات، واختيار أفضل الأدلة فقط، واستخدام بحث بأسلوب "ألعاب الجوع" لبناء عقل صغير وفعال، يمكننا إنشاء نظام كشف تسلل يتسم بالخفة والموثوقية العالية في آن واحد. إنها تثبت أنك لا تحتاج إلى كمبيوتر ضخم وثقيل للحفاظ على أمان منزلك الذكي؛ بل تحتاج فقط إلى محقق ذكي ورشيق يعرف بالضبط ما الذي يبحث عنه. ويخلص المؤلفون إلى أن هذا النهج يعد مرشحًا قويًا لأنظمة الأمن المستقبلية، خاصة لعالم إنترنت الأشياء المحدود الموارد، شريطة أن يتم نشره بنجاح على الأجهزة الفعلية في المستقبل.