Bloom Filter Data Summarization: A High-Throughput Spatial Representation Approach for Network Traffic Classification

العالم الرقمي هو نهر من الحركة المستمرة، تدفق لا يتوقف من حزم البيانات التي تتدفق بين الأجهزة والخوادم والناس. بالنسبة لمديري الشبكات، هذا التدفق هو شريان الحياة للاتصالات الحديثة، ولكنه أيضاً طريق سريع محتمل للخطر. تماماً كما يجب على حارس المدينة مراقبة كل مركبة تدخل البوابة لرصد لص، يجب على الأنظمة الأمنية فحص كل قطعة من حركة المرور الرقمية للعثور على التهديدات الخفية مثل البرامج الضارة أو التسللات غير المصرح بها. التحدي يكمن في أن هذه الحركة تتحرك بسرعة تفوق القدرة على الانتباه البشري، وغالباً ما تُربك البرامج الحاسوبية التقليدية. فعندما تصل البيانات في دفعات هائلة وفوضوية، يمكن للأنظمة المصممة للإمساك بالجهات السيئة أن تصاب بالارتباك والبطء، مما يؤدي إلى إبطاء الشبكة ذاتها التي تحاول حمايتها. ولحل هذه المشكلة، يتجه الباحثون إلى طريقة مختلفة للتفكير في البيانات، مبتعدين عن فحص كل تفصيل صغير بدلاً من ذلك، والبحث بدلاً من ذلك عن "شكل" حركة المرور نفسها.

قام فريق من الباحثين من البرازيل والإمارات العربية المتحدة وفرنسا بتطوير طريقة تجعل عملية الفحص عالي السرعة هذه أكثر سرعة ودقة. لقد واجهوا مشكلة جوهرية: حركة مرور الشبكة فوضوية وغير متوقعة. كمية البيانات المتدفقة عبر الشبكة تتغير في كل ثانية، مما يجعل من الصعب تغذيتها في البرامج الحاسوبية المتطورة المعروفة باسم نماذج التعلم العميق، وهي نماذج ممتازة في رصد الأنماط ولكنها تتطلب عادةً بيانات منظمة في شبكة موحدة وصارمة. إذا كانت البيانات المدخلة متغيرة للغاية، فلا يمكن لهذه الأدوات القوية أن تعمل. كان حل الباحثين هو استخدام تقنية ذكية لتلخيص البيانات تسمى "مرشح بلوم" (Bloom filter). فكر في هذه التقنية كمنخل عالي الكفاءة يأخذ تدفقاً فوضوياً ومتغيراً باستمرار من اتصالات الشبكة ويضغطها في صورة ثنائية الأبعاد ثابتة الحجم. هذه العملية لا تنظر في محتوى كل رسالة على حدة؛ بل تلتقط الخصائص الجوهرية لتدفقات حركة المرور وترتبها في خريطة مدمجة.

بمجرد تحويل هذا التدفق الفوضوي إلى صورة مرتبة وثابتة الحجم، استطاع الباحثون تطبيق نوع من الذكاء الاصطناعي يسمى "الشبكة العصبية التلافيفية" (convolutional neural network). هذه هي نفس أنواع "الأدمغة الحاسوبية" التي تُستخدم غالباً للتعرف على الوجوه في الصور الفوتوغرافية أو تحديد الأشياء في مقاطع الفيديو. ومن خلال التعامل مع حركة مرور الشبكة كصورة، يمكن للنظام مسح الأنماط المحددة التي تشير إلى تهديد أمني، تماماً كما يمسح النمط شكل قطة أو سيارة. اختبر الباحثون هذا النهج باستخدام بيانات واقعية جُمعت من مزود اتصالات كبير في ريو دي جانيرو. مثلت مجموعة البيانات أسبوعاً من حركة مرور الإنترنت لمئات المستخدمين السكنيين، والتي احتوت على مزيج من التصفح الطبيعي والتهديدات الأمنية الفعلية. تم تصميم النظام للنظر في نوافذ زمنية مدتها ثلاثون ثانية من هذه الحركة، حيث يتم تجميع الاتصالات معاً لمعرفة ما إذا كان هناك نمط مشبوه قد ظهر خلال ذلك الإطار الزمني القصير.

أظهرت النتائج أن هذه الطريقة تعمل بشكل جيد للغاية تحت قيود زمنية صارمة. عندما درب الباحثون نظامهم لتحديد نوافذ حركة المرور التي تزيد فيها نسبة التهديدات عن عشرين بالمائة من الاتصالات، أثبت النموذج فعالية عالية. وفي الاختبارات التي تعلم فيها النظام من بيانات سابقة ثم حاول تصنيف أيام جديدة لم يسبق رؤيتها، حقق دقة تزيد عن تسعين بالمائة. وهذا يعني أنه عندما كان النظام يصنف نافذة ما على أنها خطيرة، فإنه كان محقاً في كل مرة تقريباً. كما نجح في تحديد حوالي ثمانين بالمائة من نوافذ التهديد الفعلية، مما يعني رصد الغالبية العظمى من حركة المرور السيئة دون أن يثقله حجم البيانات. تمكن النظام من العمل مباشرة على أجهزة رسوميات متخصصة، مما سمح له بمعالجة المعلومات بتأخير منخفض جداً، مما يفرغ معالجات الكمبيوتر الرئيسية لمهام أخرى.

إن ما يجعل هذا النهج قيماً بشكل خاص هو قدرته على التعامل مع "انزياح المفهوم" (concept drift) الذي يؤرق العديد من الأنظمة الأمنية. في العالم الحقيقي، يتغير سلوك حركة مرور الشبكة بمرور الوقت؛ فما يبدو طبيعياً يوم الثلاثاء قد يبدو مختلفاً يوم الجمعة، وتظهر أنواع جديدة من الهجمات باستمرار. ولأن طريقة الباحثين تحول كميات متغيرة من البيانات إلى صورة ثابتة الحجم ومتسقة، يمكن لنموذج الذكاء الاصطناعي التكيف مع هذه التحولات دون الحاجة إلى إعادة بنائه بالكامل. وقد أظهرت الدراسة أن النظام يمكنه الحفاظ على دقته حتى مع تطور الأنماط اليومية لحركة المرور، مما يثبت أن تلخيص البيانات في تنسيق مكاني هو وسيلة قوية للتعامل مع تقلبات الشبكات الحديثة.

استكشف الباحثون أيضاً كيفية أداء النظام عندما يتم تدريبه بشكل تراكمي، أي التعلم من بيانات يوم واحد للتنبؤ باليوم التالي. وبينما كان معدل الخطأ أعلى قليلاً في هذا الإعداد التراكمي مقارنة بالتدريب على جميع البيانات دفعة واحدة، ظل النظام موثوقاً، مما يشير إلى إمكانية تعلمه والتكيف في الوقت الفعلي مع ظهور تهديدات جديدة. لم تدّعِ الدراسة حل كل المشكلات الأمنية، ولم تقترح أن هذه الطريقة يمكن أن تحل محل جميع الأدوات الأمنية الموجودة. بدلاً من ذلك، قدمت حلاً محدداً عالي الإنتاجية لعنق زجاجة معين: الحاجة إلى تصنيف كميات هائلة من حركة المرور بسرعة دون التضحية بالدقة. ومن خلال تحويل تدفق معقد وسائل من الأرقام إلى صورة بسيطة يمكن التعرف عليها، أظهر الفريق أنه من الممكن جلب قوة الذكاء الاصطناعي المتقدم للتعرف على الصور إلى العالم الفوضوي لأمن الشبكات، مما يوفر طريقة واضحة وفعالة لرصد الخطر في التدفق الرقمي.