تمثل برامج الفدية أحد أخطر أنماط البرمجيات الخبيثة التي تستهدف أجهزة أندرويد، إذ تقيد وصول المستخدم إلى بياناته ابتزازًا مقابل مبلغ مالي، وقد تعددت نماذج التعلم الآلي المقترحة لكشفها وتدربت على مجموعات بيانات مستقاة من مصادر مختلفة، غير أن ملاحظة منهجية دقيقة ظلت غائبة عن هذا الجهد البحثي، وهي أن عمر مجموعات بيانات برامج الفدية لم يؤخذ في الحسبان عند تدريب النماذج واختبارها، ونتيجة لذلك تصبح دقة الكشف المعلنة مضللة، فالنماذج تعلمت من خصائص برامج فدية بعينها قديمة أو جديدة، ولم تتعلم من خصائص متنوعة تمتد عبر أعمار مختلفة لهذا التهديد المتجدد، وجاءت هذه الدراسة لتسليط الضوء على أهمية البعد الزمني في بناء نماذج الكشف، ولتجاوز هذا القصور عبر مجموعة بيانات واسعة متنوعة ونموذج مدرب ومختبر عليها
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى بيان أهمية مراعاة عمر مجموعات بيانات برامج الفدية وأثره في دقة كشف نماذج التعلم الآلي الخاضعة للإشراف، وإلى بناء نموذج كشف كفء قادر على التعرف إلى برامج فدية أندرويد بصرف النظر عن عمرها، ولتحقيق ذلك جمعت الدراسة مجموعة بيانات كبيرة ومتنوعة من تطبيقات برامج الفدية تضم أنماطًا قديمة وجديدة طورت خلال الفترة الممتدة من عام ألفين وثمانية إلى عام ألفين وعشرين، ثم أجرت تجارب مقارنة منهجية اختبرت فيها أداء النماذج المدربة على بيانات حديثة فقط في كشف الأنماط القديمة، وأداء النماذج المدربة على بيانات قديمة فقط في كشف الأنماط الحديثة، وصولًا إلى بناء النموذج المقترح وتدريبه واختباره على المجموعة المتنوعة ذاته، ومقارنة أدائه بالأساليب الحديثة المعتبرة في هذا المجال
ثانيًا: أبرز النتائج
أثبتت التجارب أن نماذج التعلم الآلي الخاضعة للإشراف المدربة باستخدام مجموعات بيانات برامج فدية حديثة غير كفؤة في كشف الأنماط القديمة من برامج الفدية، وأن النماذج المدربة على البيانات القديمة تعاني القصور ذاته في مواجهة الأنماط الحديثة، بما يؤكد أن إغفال البعد الزمني يضعف دقة الكشف المعلنة ويجعلها غير ممثلة للأداء الواقعي، وفي المقابل أظهرت التجارب أن النموذج المقترح المدرب والمختبر على مجموعة البيانات الكبيرة المتنوعة زمنيًا كفء في كشف برامج فدية أندرويد بصرف النظر عن عمرها، إذ حقق دقة تقارب 97.48 في المئة، كما بينت النتائج تفوق النموذج المقترح على الأساليب الحديثة المقارنة المشمولة في هذه الدراسة، بما يعزز الثقة في أن تنوع البيانات التدريبية عبر الزمن شرط لازم لنماذج كشف صالحة للبيئات الحقيقية
ثالثًا: دلالات الدراسة وتطبيقاتها
تحمل هذه النتائج دلالات منهجية وتطبيقية مهمة لباحثي أمن المعلومات ومطوري أدوات الحماية، فهي تعيد ضبط معايير تقويم نماذج كشف البرمجيات الخبيثة بحيث تشترط تمثيل أعمار متنوعة للتهديدات في بيانات التدريب والاختبار، وتحذر من الاعتماد على دقة مرتفعة مستمدة من بيانات أحادية العمر، وتوجه الممارسين إلى تحديث مجموعات بياناتهم باستمرار وإدماج الأنماط التاريخية والحديثة معًا لمواكبة تطور برامج الفدية وتنوع خصائصها عبر السنوات، كما تفتح الدراسة الباب لأبحاث لاحقة تدرس انحراف الخصائص زمنيًا بصورة أعمق وتبني نماذج تكيفية قادرة على التجدد الذاتي أمام تهديدات لا تتوقف عن التحول والتجدد
وتبرز خطورة القصور الذي تعالجه الدراسة حين نتأمل بيئة التهديد الحقيقية التي تعمل فيها أدوات الحماية، فأجهزة المستخدمين تواجه في أي لحظة برامج فدية من أجيال متباينة، بعضها حديث الظهور وبعضها قديم ما يزال متداولًا ونشطًا، فإذا كان نموذج الكشف مدربًا على جيل واحد تعلم خصائصه الدقيقة فحسب، فإنه يبني حدود قرار تناسب ذلك الجيل وتضطرب أمام خصائص الأجيال الأخرى، وهنا تكمن خدعة الأرقام المرتفعة في الدراسات أحادية البيانات، إذ تعلن دقة عالية لا تصمد عند الانتقال إلى بيانات من عمر مختلف، وقد عالجت الدراسة هذا الخلل بجمع تطبيقات فدية ممتدة من ألفين وثمانية إلى ألفين وعشرين في مجموعة واحدة متنوعة، فجاء نموذجها المقترح أقرب إلى شروط التشغيل الواقعي وأجدر بالثقة في بيئات الاستخدام الفعلية
وخلاصة القول إن عمر مجموعات بيانات برامج الفدية عامل حاسم في دقة نماذج التعلم الآلي لكشفها، فالنماذج أحادية العمر تفشل أمام الأنماط من العمر المقابل، بينما يتيح التدريب على بيانات متنوعة امتدت من ألفين وثمانية إلى ألفين وعشرين بناء نموذج بلغت دقته نحو 97.48 في المئة متفوقًا على نظائره، وهو درس منهجي يتجاوز برامج الفدية إلى مجمل نماذج كشف التهديدات المتطورة
