تمهيد
تُعد البرمجيات الخبيثة المتغيرة الشكل من أكثر التحديات المعادية استمرارية في مجال الأمن السيبراني، فهي تعيد كتابة تيار تعليماتها البرمجية عند كل انتشار لها، محتفظة بمعناها الوظيفي ذاته بينما تقدم ملفًا تنفيذيًا مختلفًا تركيبيًا في كل مرة، وبذلك تهزم أدوات الكشف القائمة على التوقيعات وكثيرًا من الكاشفات القائمة على التعلم التي تعتمد على ملامح سطحية في البايتات، فتفلت نسخ جديدة من برمجية معروفة من شباك أنظمة الحماية التقليدية وكأنها ملفات لم تُر من قبل
وتقدم هذه الدراسة إطارًا جديدًا يعالج المشكلة من زاوية بنيوية، إذ ينطلق من أن تحولات البرمجية الخبيثة مهما غيرت صورتها النحوية فإنها تترك ثوابت في بنية التحكم وتدفق البيانات يصعب إخفاؤها، وأن بناء كاشف يستند إلى بنية البرنامج لا إلى بايتاته السطحية، مدعومًا بتدريب خصومي صارم وطبقة شذوذ متقدمة، قد يمنح قدرة على تعميم الكشف على عائلات متغيرة لم تُشاهد من قبل ومقاومة محاولات التمويه التكيفية التي يصممها المهاجمون عمدًا لإفشال الكاشفات
أولًا: أهداف الدراسة ومنهجيتها
اقترحت الدراسة إطارًا أطلقت عليه ميتا جي إن إن سيك، وهو إطار عصبي معزز بالرسوم البيانية يكشف البرمجيات الخبيثة المتغيرة من بنية البرنامج، ويتألف من أربعة مكونات يعالج كل منها جانبًا مميزًا من المشكلة، أولها استخراج رسم تدفق التحكم مقترنًا بتضمينات دلالية لرموز العمليات، وثانيها شبكة عصبية بيانية غير متجانسة تعمل على رسوم الاعتماد البرمجي التي تلتقط ثوابت تدفق التحكم والبيانات المستقرة رغم التحولات، وثالثها حلقة تدريب خصومية مشتقة من شبكات الخصومة التوليدية بواسرشتاين لتقوية المصنف ضد طفرات التهرب التكيفية، ورابعها طبقة شذوذ بنواة كمومية منفذة في مكتبة بيني لاين لفصل القيم الشاذة شديدة التمويه في فضاء خصائص عالي الأبعاد
وأُجريت التجارب على مجموعتي بيانات عامتين هما فيروس شير 2024 وعينة جزئية من سوريل 20 إم، بلغ مجموع ملفاتهما 200175 ملفًا تنفيذيًا، منها 155175 ملفًا خبيثًا و45000 ملف حميد، وقورن أداء الإطار بخطوط أساس منافسة أبرزها مال كونف بلس، على بيانات نظيفة وتحت هجمات تهرب خصومية تكيفية، مع قياس معدل الكشف ومعدل الإيجابيات الكاذبة ودرجة إف 1 ونسبة تدهور الأداء تحت الهجوم، بما يقدم صورة شاملة لدقة الإطار ومتانته معًا
ثانيًا: أبرز النتائج
حقق الإطار المقترح معدل كشف بلغ 97.83 في المئة ومعدل إيجابيات كاذبة منخفضًا قدره 0.41 في المئة ودرجة إف 1 مقدارها 0.978 على العائلات المتغيرة المحتجزة للاختبار، متفوقًا بذلك على أفضل خط أساس منافس وهو مال كونف بلس بفارق 4.6 نقطة مئوية على البيانات النظيفة، وهي نتائج تؤكد أن التمثيل البنيوي المعتمد على رسوم الاعتماد البرمجية يلتقط من الإشارات ما لا تلتقطه النماذج المعتمدة على التسلسلات السطحية للبايتات
وجاءت ميزة الإطار أوضح ما تكون تحت التهرب الخصومي التكيفي، إذ تدهور أداؤه بمقدار 5.4 نقطة فقط بينما تدهورت خطوط الأساس بمقادير تراوحت بين 17 و31 نقطة، بما يعكس أثر حلقة التدريب الخصومي في تقوية المصنف ضد الطفرات المصممة للإفلات، كما أسهمت وحدة النواة الكمومية في خفض إضافي لمعدل السلبيات الكاذبة مقداره 1.2 نقطة، تركز في العائلات الأكثر تحولًا وتمويهًا، وهي العائلات الأصعب على الكاشفات جميعًا والأخطر من منظور الدفاع المؤسسي
وتجاوز إسهام الدراسة الأداء التجريبي إلى تقديمات منهجية، منها تمثيل غير متجانس لرسوم الاعتماد البرمجية مقترن بحد نظري لتغير الدرجة المشروط بالطفرات المحدودة بمسافة تحرير الرسم، وحلقة تقوية خصومية ذات متانة قابلة للقياس، ومرشح أولي بنواة كمومية موصوف بتوصيف صريح لموازنة الكلفة والمنفعة، وخط معالجة قابل لإعادة الإنتاج يعمل بقرب الزمن الحقيقي بما يجعله صالحًا للنشر في نقاط الطرفية المؤسسية وبيئات الحماية التشغيلية
ثالثًا: دلالات الدراسة وتطبيقاتها
تنطوي النتائج على دلالة عملية لفرق الأمن السيبراني ومطوري حلول حماية نقاط الطرفية، فهي تبين أن الاستثمار في التمثيلات البنيوية العميقة للبرامج وفي التدريب الخصومي المنهجي يؤتي ثماره متانة استثنائية أمام جيل جديد من التهديدات المتغيرة ذاتيًا، وأن الجمع بين الكشف البنيوي وطبقة شذوذ متقدمة يقلص نافذة إفلات العائلات الأشد تمويهًا، وهو ما يترجم مباشرة إلى خفض لمخاطر الاختراق في البيئات المؤسسية الحساسة التي تستهدفها هذه البرمجيات
وخلاصة القول إن إطار ميتا جي إن إن سيك أظهر قدرة رفيعة على كشف البرمجيات الخبيثة المتغيرة الشكل بمعدل كشف 97.83 في المئة وإيجابيات كاذبة شبه هامشية، مع تدهور محدود تحت التهرب التكيفي مقارنة بانهيار خطوط الأساس المنافسة، بما يقدم دليلًا قويًا على أن مستقبل كشف البرمجيات المتغيرة يكمن في دلالات البنية البرمجية العميقة والتدريب الخصومي الصارم لا في مطابقة التوقيعات والسطوح المتغيرة
