חישוב אי ודאות אפיסטמי לזיהוי חדירות עם הסבריות ואופטימיזציה רב-קריטרית באמצעות AA-NLS ו-GRUSO-GRU

למה חשוב תעבורת אינטרנט בטוחה יותר

כל אימייל שאתם שולחים, שיחת וידאו שאתם מקיימים או מכשיר חכם שאתם מפעילים תלויים בזרמי נתונים בלתי נראים שזולגים ברשתות. מוסתרים בתעבורה זו ניסיונות של תוקפים לפרוץ, לגנוב מידע או לשבש שירותים. מנגנוני ההגנה המודרניים מנסים לזהות חדירות אלה באופן אוטומטי, אך נתוני רשת מהעולם האמיתי מלוכלכים: חבילות מגיעות מאוחר, מחוץ לסדר או עם חלקים חסרים. מחקר זה מציג מסגרת חדשה לזיהוי חדירות שלא רק מתמודדת עם אי-הוודאות הזו, אלא גם מסבירה את החלטותיה ומעדפת את ההתראות הדחופות ביותר לצוותי אבטחה.

תעבורה מבולגנת וסכנות חבויות

כלי זיהוי חדירות מסורתיים לעתים מניחים שנתוני הרשת נקיים ומסודרים, או מתמקדים בעיקר בדפוסי התקפה ידועים. בפועל, תעבורת האינטרנט מלאה בחסרים, עיכובים וחבילות מסודרות מחדש. בעיות אלה עלולות ליצור בלבול מסוכן: התקפה עלולה להיראות נורמלית אם חבילותיה מגיעות באיחור, או פעילות תמימה עלולה לסווג כמאיימת. המחברים קוראים לסוג זה של "פער ידע" אי-ודאות אפיסטמית. הם טוענים שמערכות רבות קיימות או מתעלמות ממנה או מטפלות בה בדרך מוגבלת בלבד, מה שמוביל לאזהרות שווא, לאיום שלא זוהה ולתורי התראות הצורכים זמן רב שמאטו את התגובה האנושית.

בניית צינור זיהוי חכם יותר

המערכת המוצעת מתמודדת עם כל מחזור חיי המוניטורינג של הרשת, מנתוני התעבורה הגולמיים ועד לאזהרה הסופית. היא מתחילה בניקוי הנתונים: רשומות כפולות מוסרות ושיטת קרוב-שכן מותאמת ממלאת ערכים חסרים מבלי לעוות דפוסים מקומיים. לאחר מכן, שלב אשכולות מקבץ התנהגויות דומות בתעבורה כך שפעילויות יוצאות דופן או נדירות בולטות יותר. מהאשכולות האלה המערכת מוצאת תכונות מפתח, כגון תדירות החלפת החבילות, משך הזרמים וכמה מהר הנתונים זזים בכל כיוון. תכונות אלה מספקות תמונה מדויקת ודחוסה של התנהגות הרשת ברגע נתון.

הבנת אי-הוודאות והזמנים

חידוש מרכזי בעבודה הוא מודול ייעודי להערכת הסיכון שנוצר על ידי חבילות יוצאות-מהסדר. באמצעות מסגרת לוגית מורחבת, כל חבילה נבחנת במונחי דרגות של "ראיות התקפה", "ראיות תקינות" ו"ראיות בלתי-מוחלטות", המושלבות בזהירות כך שסכומן נשאר עקבי ומשמעותי. במקביל, מודל זמני לומד כיצד מצבי הרשת מתפתחים לאורך זמן, מה שממטב מעבר בלתי אפשרי ומגן מפני נקודות עיוורון של הסתברות אפס. יחד, רכיבים אלה מלכדים גם את אי-הוודאות שנובעת מעיכובי חבילות וגם את הקצב החבוי של התנהגות נורמלית מול חריגה ברשת.

לומדים לזהות מתקפות ולהסביר אותן

כל המידע המעובד מוזן לממיין למידה עמוקה מותאם המבוסס על יחידת זיכרון מחוזקת (gated recurrent unit). המחברים עיצבו מחדש את החיבורים הפנימיים ואת פונקציות ההפעלה כך שהוא ילמד מהר יותר, יתכנס באמינות רבה יותר ויתקנה בקנה מידה טוב יותר מאשר מודלים חוזרניים נפוצים. הממיין מתייג תעבורה כתקינה או כאחד ממספר סוגי תקיפות, כולל סירוב שירות, Brute Force, בוטנט, חדירה ותקיפות ווב. כדי לסייע באנליסטים לבסס אמון בדיווחים של המערכת, מודול ההסבר מעריך עד כמה כל תכונה בקלט תרמה להחלטה נתונה, באמצעות סכימת משקל מבוססת מידע היציבה יותר על נתונים מעוקמים מהמציאות.

מיקוד תשומת הלב באיומים הדחופים ביותר

ברשתות עמוסות, גם גלאי חזק עלול להציף מפעילים ביותר מדי התראות שהם אינם מצליחים לטפל בהן בזמן. כדי לטפל בזה, המסגרת מוסיפה שכבת אופטימיזציה בהשראת התנהגות הציד של שועלים מדבריים. שכבה זו מתייחסת להתראות כמועמדים למיון ומחפשת סדר שממקסם את איכות הגילוי תוך מזעור עיכוב ושימוש במשאבים. פונקציה מתמטית מיוחדת מסייעת לחיפוש להימלט מבחירות ביניים גרועות. ניסויים במספר מערכי נתוני חדירות ציבוריים מראים שהשלב של עדיפויות זה מגדיל תפוקה ומקצר את זמני התגובה בהשוואה לאסטרטגיות ניהול התראות אחרות.

מה הממצאים מסמנים למשתמשים היומיומיים

המחברים מדווחים שהגישה המשולבת שלהם מגיעה לדיוק של מעל 99% בזיהוי חדירות רב-מחלקתי, תוך הצעת הסברים ברורים יותר והתראות ממוינות ומהירות יותר מאשר שיטות מתחרות. עבור משתמש שאינו מומחה, המשמעות היא "מערכת חיסון" דיגיטלית אמינה יותר שפחות נוטה לצעוק זאב וביותר נטייה לתפוס מתקפות עדינות, גם כאשר הנתונים אינם שלמים או מבלבלים. למרות שהשיטה עצמה אינה מצפינה או מגינה על תכולת הנתונים של המשתמש, היא מחזקת באופן משמעותי שכבת הגנה מרכזית ברשתות מודרניות. בעבודה נוספת על הגנה מקצה לקצה, גישות מסוג זה יכולות לעזור לשמור על שירותים מקוונים חלקים, בטוחים ואמינים יותר עבור כולם.

ציטוט: Kiruthika, K., Karpagam, M., Sardar, T.H. et al. Epistemic uncertain computing for intrusion detection with explainability & multi-criteria optimization using AA-NLS and GRUSO-GRU. Sci Rep 16, 14050 (2026). https://doi.org/10.1038/s41598-026-44214-z

מילות מפתח: זיהוי חדירות, אבטחת רשת, אי ודאות, בינה פרשהנית, התראות על מתקפות סייבר