An LSTM-based intrusion detection model utilizing feature selection and dropout

تمهيد

مع تقدم تقنيات الشبكات تشتد المخاوف المتعلقة بالأمن السيبراني، إذ تشكل الاختراقات مخاطر جسيمة على الأفراد والمنظمات على حد سواء، من تسريب البيانات الحساسة إلى تعطيل الخدمات وابتزاز المؤسسات، وتعد أنظمة كشف التسلل خط الدفاع الرقابي الأول في رصد حركة الشبكة والتنبيه إلى الأنماط المشبوهة، غير أن هذه الأنظمة تعاني انخفاض دقة الكشف وارتفاع معدل الإنذارات الكاذبة بسبب السمات الزائدة عن الحاجة في بيانات حركة الشبكة، إذ تحمل البيانات سمات كثيرة مكررة أو ضعيفة الصلة تشوش على المصنف وتضعف قدرته على التعميم

وفي هذا السياق تطور الدراسة نموذجًا جديدًا لكشف التسلل يوازن بين قوة التعلم العميق في التقاط البنية الزمنية للبيانات وانضباط اختيار السمات في تقليص التكرار والضجيج

أولًا: أهداف الدراسة ومنهجيتها

هدفت الدراسة إلى رفع دقة كشف التسلل وخفض الإنذارات الكاذبة من خلال معالجة مشكلة السمات الزائدة في بيانات حركة الشبكة، وبناء نموذج قادر على التمييز الدقيق بين الحركة الطبيعية وأنماط الهجوم في مهام التصنيف الثنائي ومتعدد الفئات معًا

ويبدأ النموذج المقترح بتطبيق خوارزمية تعزيز التدرج الأقصى المعروفة بإكس جي بوست لاختيار السمات من بيانات حركة الشبكة وتقليل تكرارها، فيُحتفظ بالسمات الأكثر صلة بالتصنيف الفعال، ثم تخضع السمات المختارة لمعالجة مسبقة تشمل ترميز الفئات ومعايرة القيم قبل إدخالها إلى شبكة الذاكرة طويلة قصيرة المدى التي تتعلم السمات الزمنية لحركة الشبكة، ويوظف النموذج تقنية الإسقاط العشوائي للحد من فرط الملاءمة وتعزيز قدرة التعميم، واختُبر الأداء على مجموعة بيانات سي آي سي آي دي إس 2017 المرجعية، وقورن بأساليب تقليدية منها الشبكات العصبية الالتفافية والانحدار اللوجستي والنماذج البايزية في مهام التصنيف الثنائي ومتعدد الفئات

ثانيًا: أبرز النتائج

أظهرت النتائج أن النموذج المقترح يتفوق على الأساليب التقليدية المقارنة، وهي الشبكات العصبية الالتفافية والانحدار اللوجستي والنماذج البايزية، في مهام التصنيف الثنائي ومتعدد الفئات معًا على مجموعة بيانات سي آي سي آي دي إس 2017، بما يؤكد أثر الجمع بين اختيار السمات والنمذجة الزمنية العميقة في جودة الكشف

وتكتسب هذه النتائج أهمية إضافية من طبيعة اختلال الفئات في بيانات حركة الشبكة الواقعية، إذ تمثل الهجمات الخطيرة نسبة ضئيلة من إجمالي الحركة، وتميل النماذج المدربة على البيانات الخام إلى إهمالها لصالح الفئة الغالبة الطبيعية، فنجاح النموذج المقترح في التقاط هجمات الويب والبوت رغم قلة تمثيلها يعني أنه تجاوز فخ الدقة الشكلية المضللة إلى حساسية حقيقية تجاه الخطر

وبرزت فاعلية المقاربة بصورة خاصة في كشف أنواع الهجمات ذات التمثيل الأقل في البيانات، وبالتحديد هجمات الويب وهجمات البوت، وهي فئات أقليات يصعب على النماذج التقليدية التقاطها عادة بسبب اختلال توازن الفئات وضجيج السمات، فتحسين تمثيلها برفع دقة الكشف الشاملة وخفض الإنذارات الكاذبة في الوقت نفسه

وتشير النتائج إلى أن مرحلة اختيار السمات بخوارزمية إكس جي بوست ليست خطوة تجميلية، بل مكون حاسم يختصر أبعاد البيانات ويبرز الإشارات الدالة على الهجوم، فتتعلم شبكة الذاكرة طويلة قصيرة المدى أنماطها الزمنية بتركيز أعلى وتعميم أفضل

ثالثًا: دلالات الدراسة وتطبيقاتها

تقدم هذه الدراسة وصفة عملية قابلة للتطبيق في مراكز عمليات الأمن السيبراني وشبكات المؤسسات، إذ يمكن دمج النموذج في أنظمة كشف التسلل القائمة لتحسين حساسيتها تجاه الهجمات النادرة دون إغراق المحللين بإنذارات كاذبة تستنزف وقتهم، كما تفيد منهجيته القائمة على تقليص السمات قبل النمذجة العميقة مصممي أنظمة الكشف في بيئات محدودة الموارد الحسابية، وتفتح الطريق لاختبار المقاربة نفسها على مجموعات بيانات أحدث وأنماط هجوم ناشئة وتقنيات اختيار سمات بديلة للمقارنة

كما يلاحظ أن تقنية الإسقاط العشوائي تؤدي في هذا النموذج دورًا مزدوجًا، فهي من جهة أداة تنظيم تمنع النموذج من حفظ بيانات التدريب بدل تعلم أنماطها العامة، ومن جهة أخرى تجعل النموذج أكثر تحملًا لتباين حركة الشبكة الحقيقية التي لا تتطابق تمامًا مع بيانات المختبر، وهو ما يفسر جانبًا من فاعليته عند الانتقال بين مهام التصنيف الثنائي ومتعدد الفئات

وخلاصة القول إن الدراسة قدمت نموذجًا لكشف التسلل يجمع بين اختيار السمات بخوارزمية إكس جي بوست والتعلم الزمني بشبكات الذاكرة طويلة قصيرة المدى وتقنية الإسقاط العشوائي، وتفوق على الشبكات الالتفافية والانحدار اللوجستي والنماذج البايزية في التصنيفين الثنائي ومتعدد الفئات، مع تميز خاص في كشف هجمات الويب والبوت الأقل تمثيلًا، بما يمثل خطوة عملية نحو أنظمة كشف أدق وأقل إنذارات كاذبة