أصبحت شبكات الهاتف المحمول هدفًا لهجمات سيبرانية متطورة، وما تزال في بروتوكول نفق خدمة الراديو بالحزم العامة المعروف اختصارًا بجي تي بي ثغرات حرجة يستغلها المهاجمون، وتقصر نظم كشف التسلل المعتمدة على التوقيعات عن مواجهة ثغرات اليوم الصفري وأنماط الهجوم المستجدة، ما يستلزم مقاربات أكثر تكيفًا قادرة على التعلم من البيانات، وفي هذا السياق تقدم الدراسة نظامًا هجينًا لكشف التسلل في حركة بيانات هذا البروتوكول، يستهدف العمل بكفاءة في ظروف ندرة البيانات المصنفة التي تعاني منها بيئات الشبكات الحقيقية عادة، ويزيد من حدة المشكلة أن الهجمات على بروتوكولات نقل البيانات قد تتخفى داخل حركة مرور مشروعة ضخمة، فتفلت من الرقابة التقليدية ما لم تملك أدوات تحليل قادرة على تمييز الأنماط الشاذة الدقيقة
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تطوير نظام كشف تسلل هجين أطلق عليه جي تي بي إيجيس، بمعنى الدرع التكيفية للبروتوكول، يجمع بين الكشف القائم على التوقيعات ومصنف تعزيز التدرج كات بوست ضمن إطار التجميع الانتقائي غير المتجانس، وتقوم فكرة النظام على بوابة ثقة معتمدة على المدخلات تطبق قاعدة أولوية لكل عينة على حدة بين ثلاثة مسارات هي مصنف كات بوست ومحرك قواعد أقرب مركز والمسار القائم على التوقيعات، وقومت الدراسة أداء محرك سوريكاتا الحقيقي منفردًا، وأوضحت أن دور التوقيعات داخل التجميع يؤديه بديل مثالي للكشف بالتوقيعات، ما يجعل مكاسب التجميع المعلنة حدودًا عليا للأداء لا نتائج نهائية، واعتمد التقييم مجموعة بيانات خاصة بحركة وحدة بيانات البروتوكول، وصمم إطار التجميع الانتقائي بحيث لا تستخدم كل المكونات مع كل عينة، بل توجه كل حزمة إلى المسار الأنسب وفق بوابة الثقة، ما يوازن بين دقة التعلم الآلي وسرعة القواعد الجاهزة وخبرة التوقيعات المتراكمة عبر الزمن
ثانيًا: أبرز النتائج
أظهرت النتائج أن محرك سوريكاتا الحقيقي يكشف الهجمات بدقة بلغت 100 في المئة لكن باسترجاع ثنائي لا يتجاوز 69.2 في المئة عند تشغيله منفردًا، وحقق النظام المقترح دقة إجمالية تجاوزت 90 في المئة باستخدام 10 في المئة فقط من بيانات التدريب، ورفع استرجاع فئة معرف النفق غير الصالح النادرة من 48.9 إلى 64.4 في المئة، وتبين أن هذا التحسن يعود إلى مسار التوقيعات لا إلى محرك قواعد أقرب مركز، وأن مكسب الدقة الإجمالي لم يكن ذا دلالة إحصائية بعد تصحيح المقارنات المتعددة، كما أظهر التقييم النقدي أن تقسيم البيانات على مستوى الحزم متفائل بنحو 19 نقطة مئوية مقارنة بالتقسيم المراعي للمجموعات، وأن النموذج وسم ما بين 81 و100 في المئة من حزم عائلات الهجمات غير المرئية بوصفها غير طبيعية دون أن يعد ذلك تعرفًا على فئات مجهولة، وتقرأ هذه الأرقام بعناية، فالنظام لم يتفوق في كل شيء، ومساهمات مكوناته لم تكن متساوية، وقد كان واضحًا أن التكامل بين المسارات هو ما رفع القدرة على التقاط الفئات النادرة صعبة الرصد، بينما بقي التقييم المفرط التفاؤل على مستوى الحزم تحذيرًا منهجيًا من الدراسة لكل من يقيم أنظمة مشابهة
ثالثًا: دلالات الدراسة وتطبيقاتها
تكمن دلالة الدراسة في واقعيتها المنهجية، إذ لم تكتف بعرض المكاسب بل أبلغت عن حدود الكشف القائم على التوقيعات وحده وحدود التقييم على مستوى الحزم إلى جانب النتائج، وهو ما ينبه مشغلي شبكات المحمول وباحثي أمن الشبكات إلى أن الأرقام المعلنة في دراسات كشف التسلل قد تكون متفائلة ما لم تراع بنية البيانات الحقيقية، كما أن قدرة النظام على بلوغ دقة مرتفعة بعشر بيانات التدريب تجعله واعدًا في البيئات التي تندر فيها البيانات المصنفة، مع ضرورة التحقق من أدائه بمحرك توقيعات حقيقي وبتقسيمات بيانات أكثر صرامة قبل الاعتماد عليه عمليًا في الشبكات العاملة، وعلى صعيد الممارسة تشجع النتائج فرق أمن الشبكات على اعتماد التصميمات الهجينة المرنة بدل الاكتفاء بأداة واحدة، وعلى الاستثمار في تصنيف البيانات النادرة النوعية لأنها ما تزال عنق الزجاجة الفعلي في أداء هذه الأنظمة
وخلاصة القول إن نظام جي تي بي إيجيس المقترح يقدم مقاربة هجينة واعدة لكشف التسلل في بروتوكولات شبكات المحمول في ظل ندرة البيانات، ويرفع استرجاع الفئات النادرة تحسينًا ملموسًا، غير أن الدراسة ذاتها تؤكد أن مكاسبه المعلنة حدود عليا تستدعي تحققًا أوسع قبل الانتقال إلى التطبيق الميداني الفعلي، ليظل المعيار الحقيقي لنجاحها هو الأداء الصادق في ظروف الشبكات العاملة لا أرقام المختبر وحدها
