NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

في المنزل الحديث، حدثت ثورة هادئة. فالأجهزة التي كانت تكتفي سابقاً بأداء مهمة واحدة، أصبحت الآن متصلة بالإنترنت، من أجهزة تنظيم الحرارة الذكية التي تتعلم جداولنا الزمنية إلى الكاميرات التي تراقب أبوابنا. هذه الشبكة من الأشياء المتصلة، والمعروفة باسم "إنترنت الأشياء"، توفر الراحة ولكنها تقدم أيضاً تحدياً أمنياً معقداً. ولأن هذه الأجهزة متنوعة للغاية وغالباً ما تعمل بقدرات حوسبة محدودة، فقد يصعب إدارتها بل ويسهل اختطافها. فعندما يسيطر مخترق على مجموعة من هذه الأجهزة، يمكنه تحويلها إلى جيش ضخم وغير مرئي قادر على إغراق الشبكات أو سرقة البيانات. ولإيقاف ذلك، يحتاج خبراء الأمن إلى معرفة نوع الجهاز الذي يتحدث عبر الشبكة بدقة، وما إذا كان يتصرف بشكل طبيعي. ومع ذلك، فإن تحديد هذه الأجهزة أمر صعب؛ إذ يتغير سلوكها اعتماداً على ما تقوم به في أي لحظة: فقد تبدو الكاميرا مختلفة تماماً على الشبكة عندما يتم تشغيلها لأول مرة، وعندما تكون في حالة خمول، وعندما تقوم بتسجيل فيديو بنشاط.

لقد سعى باحثون من جامعة دالهاوزي وشركة سولانا نيتوركسز (Solana Networks) لحل هذه المشكلة من خلال إنشاء نظام جديد يسمى "نيم سيف" (NIMSAFE). وبدلاً من محاولة فرض تصنيف واحد جامد على جميع الأجهزة، يولي نهجهم اهتماماً وثيقاً بالحالة الراهنة للجهاز. لقد راقبوا تسعة أنواع مختلفة من الأجهزة الذكية الحديثة، بما في ذلك صانعات القهوة، وأجراس الأبواب، وكاميرات الأمن، وسجلوا حركة مرور الشبكة الخاصة بها في ثلاثة أوضاع متميزة: لحظة تشغيل الطاقة، وحالة الخمول، وحالة الاستخدام النشط. ومن خلال تحليل البصمات الرقمية التي تتركها هذه الأجهزة أثناء تواصلها، بنى الفريق نموذج تعلم آلي قادراً على تحديد نوع الجهاز ليس فقط، بل وأيضاً ما إذا كان يعمل بشكل طبيعي أو إذا تم اختراقه بواسطة "بوت نت" (botnet) أو هجوم حجب الخدمة.

وجد الباحثون أن حالة الجهاز كانت ذات أهمية قصوى. فعندما قاموا بتدريب نظامهم باستخدام بيانات من أجهزة كانت تُستخدم بنشاط، كان أداء النموذج أفضل بكثير مما كان عليه عندما تم تدريبه على بيانات من أجهزة بدأت للتو في العمل أو كانت في حالة خمول. وهذا يشുള്ള إلى أن أكثر أنماط الاتصال تعقيداً وفرادة تحدث عندما يقوم الجهاز بوظيفته الفعلية. ولضمان متانة نظامهم، اختبروه مقابل مجموعة واسعة من خوارزميات التعلم الآلي. واكتشفوا أن طريقة تُعرف باسم "الغابة العشوائية" (Random Forest)، والتي تعمل من خلال الجمع بين قرارات العديد من أشجار القرار البسيطة، كانت متفوقة بمراحل على التقنيات الشائعة الأخرى. وبينما عانت النماذج الأخرى من التمييز بين الأجهزة المختلفة أو فشلت في التعرف على أنواع معينة من الأجهزة بالكامل، حافظ نهج "الغابة العشوائية" على دقة عالية عبر جميع أنواع الأجهزة والحالات التشغيلية المختلفة.

تعد قلة البيانات المصنفة عقبة رئيسية في هذا المجال. فلتدريب كمبيوتر على التعرف على تهديد ما، يحتاج الخبراء عادةً إلى وسم آلاف الأمثلة من حركة المرور الطبيعية والخبيثة يدوياً، وهي عملية بطيئة ومكلفة. يعالج نظام "نيم سيف" هذا الأمر باستخدام تقنية تسمى "التدريب الذاتي". بدأ الباحثون بكمية صغيرة من البيانات المصنفة، تمثل 20 بالمائة فقط من مجموعتهم، وتركوا النموذج يعلم نفسه باستخدام البيانات غير المصنفة المتبقية. ومن المثير للاهتمام أن النظام الذي تدرب على هذا الجزء الضئيل من الأمثلة المعروفة قد أدى بشكل جيد تقريباً مثل النظام الذي تدرب على مجموعة البيانات بأكملها. تشير هذه النتيجة إلى أنه يمكن نشر الأنظمة الأمنية بفعالية حتى عندما يمتلك الخبراء وقتاً قليلاً جداً لتصنيف البيانات، حيث يمكن للنموذج تعلم الباقي بمفرده بموثوقية عالية.

أراد الفريق أيضاً فهم سبب وقوع نظامهم في بعض الأخطاء أحياناً، فاستخدموا أدوات مصممة لشرح كيفية اتخاذ الذكاء الاصطناعي للقرارات. ومن خلال النظر داخل النموذج، وجدوا أن النظام يعتمد بشكل كبير على تفاصيل محددة حول كيفية انتقال حزم البيانات، مثل حجم البيانات المرسلة، وتوقيت الاتصالات، والإعدادات المحددة المستخدمة من قبل بروتوكولات الاتصال الأساسية. ساعدتهم هذه الرؤى في رؤية أن النظام لم يكن يخمن عشوائياً، بل كان يتخذ قرارات بناءً على سمات ملموسة وقابلة للقياس من حركة مرور الشبكة. وفي اختبار نهائي، تحدوا النظام للتمييز بين نشاط الجهاز الطبيعي والهجمات المتطورة، بما في ذلك الـ "بوت نت" التي تحاكي حركة المرور المشروعة للاختباء في وضح النهار. نجح النظام بدقة تقترب من 99.9 بالمائة، حيث حدد الغالبية العظمى من التهديدات بشكل صحيح. أما الجزء الضئيل من الأخطاء التي وقعت، فلم يكن بسبب فشل النموذج، بل لأن بعض حركة المرور الخبيثة كانت مشابهة جداً لسلوك الجهاز الطبيعي لدرجة أنها كانت لا يمكن تمييزها حتى عن أكثر الأدوات تقدماً.

يظهر هذا العمل أنه لتأمين إنترنت الأشياء، يجب أن ننظر إلى الأجهزة ليس كأشياء ثابتة، بل كأنظمة ديناميكية تتغير سلوكياتها باستمرار. فمن خلال التركيز على كيفية عمل الأجهزة عند تشغيل الطاقة، أو في حالة الخمول، أو في الحالة النشطة، وباستخدام تقنيات تعلم ذكية تتطلب إشرافاً بشرياً أقل، من الممكن بناء نظام أمني يتسم بالدقة والعملية. وتشير النتائج إلى أن أدوات الأمن المستقبلية ستحتاج إلى أن تكون مرنة بما يكفي للتكيف مع الحالة المتغيرة للأجهزة التي تحميها، وذلك باستخدام أنماط السلوك الطبيعي نفسه لرصد العلامات الدقيقة للهجوم.