تواصل التهديدات السيبرانية المتزايدة في تطورها وتفاقم اختلال التوازن الشديد بين فئات حركة المرور الشبكية تحدي نظم كشف التسلل التقليدية، إذ تجعل ندرة بيانات الهجمات قياسًا إلى البيانات السليمة مهمة الكشف الدقيق أصعب وأكثر عرضة للإنذارات الكاذبة، وفي هذا الإطار تقترح الدراسة إطارًا هجينًا يجمع بين تقنيات تعزيز فئة الأقلية ونموذج تصنيف بالتعلم العميق وآلية تحقق إضافية قائمة على كشف الشذوذ، بهدف رفع دقة كشف التسلل وقابلية تفسيره مع خفض الإنذارات الكاذبة، وتستند الدراسة في تقويمها إلى إحدى مجموعات البيانات المعيارية الكبرى في المجال، بما يجعل نتائجها قابلة للمقارنة مع الدراسات السابقة وذات دلالة عملية لمشغلي الشبكات وفرق الأمن السيبراني، وتزداد الحاجة إلى حلول من هذا النوع مع اعتماد المؤسسات على المراقبة الآنية لحركة الشبكة، إذ يتعذر على التحليل البشري وحده مواكبة ملايين التدفقات المتولدة يوميًا وما يختبئ بينها من محاولات تسلل متطورة ومتغيرة الأنماط
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تطوير إطار هجين قابل للتفسير لكشف التسلل في حركة مرور شبكية غير متوازنة الفئات، وتقويم أدائه في التصنيف الثنائي ومتعدد الفئات، ودمج الإطار بين تقنيتي سموت وسي تي غان لتعزيز فئة الأقلية، وشبكة ذاكرة طويلة قصيرة المدى ثنائية الاتجاه للتصنيف الخاضع للإشراف لحركة المرور، ومشفر تلقائي تبايني مدرّب على البيانات السليمة للتحقق من التنبؤات منخفضة الثقة، وقُوّم الإطار على مجموعة بيانات CSE-CIC-IDS2018 المعيارية، كما طُبق تحليل شاب على مكوّن الشبكة ثنائية الاتجاه لتوفير قابلية تفسير على مستوى الخصائص، واعتُمد التحقق المتقاطع الطبقي ذو الطيات العشر لاختبار استقرار الأداء، وقيس زمن الاستدلال المتوسط لكل تدفق شبكي لتقدير الجدوى العملية للإطار، وقد توزعت مكونات الإطار على مراحل متتابعة تبدأ بموازنة بيانات التدريب، ثم التصنيف العميق لحركة المرور، ثم التحقق من الحالات الملتبسة منخفضة الثقة، وهو تتابع صُمم ليعالج في كل مرحلة نقطة ضعف محددة من نقاط ضعف نظم الكشف التقليدية
ثانيًا: أبرز النتائج
حقق الإطار على قسم اختبار نهائي ضم 2,759,227 تدفقًا شبكيًا دقة ثنائية بلغت 98.51 في المئة، ودرجة إف واحد 92.59 في المئة، ومساحة تحت منحنى خصائص تشغيل المستقبل مقدارها 0.9935، وفي التقويم ذي الخمس عشرة فئة حقق دقة 98.50 في المئة ودرجة إف واحد موزونة 98.42 في المئة، بينما أسفر التحقق المتقاطع الطبقي ذو الطيات العشر عن دقة متوسطة مقدارها 98.79 في المئة، وقد فُعّل المشفر التلقائي التبايني لنحو 519,389 تدفقًا منخفض الثقة تمثل 18.82 في المئة من قسم الاختبار الكامل، فأسهم أساسًا في خفض التنبؤات الإيجابية الكاذبة، وإن رافق ذلك انخفاض ملموس في استدعاء الهجمات، وبلغ زمن الاستدلال المتوسط 0.5195 مللي ثانية لكل تدفق شبكي، وهو زمن منخفض يدعم التطبيق في الزمن الحقيقي، وتدل هذه الأرقام مجتمعة على أن الإطار حافظ على مستوى أداء مرتفع عبر مهمتي التصنيف الثنائي ومتعدد الفئات معًا، وعبر أقسام تحقق متعددة، ما يعزز الثقة في استقرار نتائجه وعدم ارتباطها بقسم اختبار واحد أو تقسيمة بعينها للبيانات
ثالثًا: دلالات الدراسة وتطبيقاتها
تظهر هذه النتائج أداء كشف إجماليًا قويًا وتعميمًا مستقرًا وفاعلية في خفض الإنذارات الكاذبة وزمن استدلال منخفضًا، وهي خصائص تجعل الإطار واعدًا للتطبيق العملي في بيئات الشبكات الحقيقية التي تعاني اختلال توازن الفئات، كما أن قابلية التفسير على مستوى الخصائص تعين محللي الأمن على فهم أسباب التنبؤات والثقة بها واتخاذ قرارات استجابة أسرع، غير أن الدراسة تنبه إلى تحديات مستمرة في كشف الفئات النادرة والمجموعات المفتوحة، وإلى المقايضة القائمة بين خفض الإيجابيات الكاذبة واستدعاء الهجمات، وهو ما يوجه بحوثًا لاحقة نحو تحسين التعامل مع الهجمات النادرة وغير المسبوقة دون التضحية بمعدلات الإنذار الكاذب المنخفضة التي حققها الإطار، كما يمكن لمشغلي الشبكات الاستفادة من زمن الاستدلال المنخفض في نشر الإطار ضمن بيئات المراقبة الفورية دون إبطاء حركة المرور أو تراكم سجلات غير معالجة
وخلاصة القول إن الإطار الهجين المقترح يقدم حلًا متوازنًا لكشف التسلل في حركة المرور الشبكية غير المتوازنة، جامعًا بين دقة عالية وقابلية تفسير وسرعة استدلال وقدرة على خفض الإنذارات الكاذبة، مع بقاء تحدي الفئات النادرة والمجموعات المفتوحة مفتوحًا لمزيد من التطوير والبحث في دراسات لاحقة، وبما يجعله مرشحًا واعدًا للتطوير والتجريب في بيئات تشغيل حقيقية متنوعة
