Table of Contents

وتشكل الشبكات الصناعية العمود الفقري للهياكل الأساسية الحيوية الحديثة، مما يُعطي كل شيء من خطوط التجميع الآلية إلى شبكات توزيع الطاقة الإقليمية، ومع توسع هذه الشبكات وترابطها، فإن سطح الهجوم ينمو على نحو متكافئ، مما يجعل الكشف عن الشذوذ ليس مجرد شاغل أمني بل ضرورة تشغيلية أساسية، وقد برزت الاستخبارات الفنية والتعلم الآلاتي كأدوات تحولية لتحديد الانحرافات الخفية في سلوك الشبكات التي قد تحدث ضررا كبيرا.

ويمكن أن يشير شذوذ في شبكة صناعية إلى أي شيء من خلل جهاز الاستشعار إلى مجموعة متطورة من أجهزة التحكم في المنطق يمكن برمجتها أو نظم الرقابة الإشرافية واقتناء البيانات، وكثيرا ما تفشل نُهج الرصد التقليدية في التعقد الكامل لهذه البيئات، مما يؤدي إلى تفويض التهديدات أو إلى عدد ساحق من الإنذارات الكاذبة.

الدور الحاسم في كشف الشذوذ في الشبكات الصناعية

فالشبكات الصناعية تختلف اختلافاً جوهرياً عن الشبكات التقليدية لتكنولوجيا المعلومات، فهي تعطي الأولوية للتوافر والموثوقية ومراقبة الوقت الحقيقي على السرية، ويمكن أن يترجم التعطل في مصنع أو محطة لتوليد الطاقة مباشرة إلى خسائر مالية أو مخاطر أمنية أو حتى ضرر بيئي، ويستخدم الكشف عن الشذوذ كنظام للإنذار المبكر يساعد المشغلين على مواصلة العمليات مع الحرص على عدم التدخل في الأمور الضارة.

وتشمل هياكل الشبكات الصناعية المشتركة نظماً للرصد والمراقبة عن بعد ونظم مراقبة موزعة لأجهزة التشغيل الآلي للعمليات وشبكات التحكم المنطقي القابلة للبرمجة التي تنفذ المنطق على مستوى الآلات، وكل من هذه البيئات تولد أنماطاً فريدة من أنماط المرور وسلوك البروتوكولات، ويجب تصميم نماذج الكشف عن الشذوذ لفهم هذه الأنماط - يبدو أن حركة حركة مودبوس تختلف كثيراً عن خط الأساس الذي يتوقعه مكتب تنسيق العمليات أو بروفيه، مثلاً - وأي شكل من أشكال الانحرافات.

ويمكن أن تترتب على الخروقات الأمنية في الشبكات الصناعية عواقب مأساوية، وقد أدى الهجوم الذي وقع في عام 2015 على شبكة الكهرباء الأوكرانية، حيث استخدم المهاجمون الرمح في الحصول على خدمات الوصول والقطع عن بعد، إلى إبراز مدى سرعة تصعيد شبكة ما إلى انقطاع واسع النطاق، وبالمثل، أظهر حادث تريتون غير المزود بالبرمجيات في مرفق بتروكيميائي أن الخصم مستعدون لاستهداف نظم استطلاعية مجهزة بأدوات الأمان.

حدود أساليب الكشف التقليدية

وقد اعتمد رصد الشبكات الصناعية على مدى عقود على الكشف القائم على القواعد والتوقيعات، وتستخدم هذه النظم عتبات ثابتة وتوقيعات هجوم معروفة لتحديد النشاط الخبيث، ومع أنها ستنفذ مباشرة، فإنها تعاني من عدة أوجه قصور خطيرة.

أولا، تتطلب النظم القائمة على القواعد من الخبراء الإنسانيين أن يحددوا يدويا ما يشكل سلوكا طبيعيا، وفي بيئة صناعية دينامية تتحول فيها جداول الإنتاج، تضاف أو تزيل الآلات، وتتغير تشكيلات الشبكات بشكل متواتر، وتصبح القواعد الدقيقة عبئا مستمرا، وقد تولد القواعد التي كانت سارية تماما قبل ستة أشهر، الآن إيجابيات زائفة بسبب تحول خط الأساس التشغيلي.

ثانياً، لا يمكن للكشف عن الهوية القائمة على التوقيع إلا أن يحدد التهديدات التي سبق توثيقها، حيث يستخدم المهاجم ضعفاً أو تقنية غير معروفة من خلال عدم اكتشافها، وكثيراً ما تكون البروتوكولات الصناعية موثقة ملكية أو غير موثقة توثيقاً جيداً، مما يجعل من إيجاد التوقيع أكثر صعوبة.

ثالثا، إن الأساليب التقليدية تكافح مع الحجم الهائل للبيانات التي تنتجها الشبكات الصناعية الحديثة وسرعة هذه البيانات، ويمكن أن ينتج مرفق واحد كبير ملايين من نقاط البيانات يوميا من أجهزة الاستشعار، والتحكم، ومراقبي حركة المرور على الشبكات، ولا يمكن للمحللين البشر أن يفتشوا عن طريق هذا الحجم يدويا، وقد تفوت محركات القواعد التقليدية روابط فرعية تشمل مصادر متعددة للبيانات أو جداول زمنية.

وأخيرا، يفتقر العديد من النظم الصناعية القديمة إلى قدرات الرصد الأمني المبني، وكثيرا ما يتطلب إعادة استخدامها بأدوات الكشف التقليدية تغييرات كبيرة في المعدات أو البرامجيات، قد لا تكون ممكنة في البيئات التي لا يمكن أن تتسامح مع وقت التعطل أو التي تملك قدرة محدودة على التجهيز.

How AI and Machine Learning Transform Anomaly Detection

وتعالج النهج القائمة على معايير المحاسبة والتشريعية أوجه القصور في الأساليب التقليدية عن طريق التلقّي بتعلم أنماط السلوك العادية وتحديد الانحرافات بدقة عالية، بدلاً من الاعتماد على قواعد ثابتة، تتكيف هذه النماذج مع الظروف المتغيرة ويمكنها كشف التهديدات المعروفة وغير المعروفة على حد سواء.

الاعتراف بالأدوات في سكال

وتبرز نماذج التعلم من الآلات في إيجاد علاقات معقدة وغير خطية داخل البيانات، وفي شبكة صناعية، كثيرا ما تظهر حركة المرور العادية أنماطاً دورية - دورات يومية، وتغيرات في التحول، وتغيرات في الإنتاج الموسمي - تقلبات عشوائية الجانب، ويتعلم نموذج مدرب جيداً توقع هذه الأنماط ويمكن أن يُظهر انحرافات لا يمكن تفسيرها بالتغيرات التشغيلية العادية.

فعلى سبيل المثال، قد يتعلم نموذج رصد حركة مودبوس للسيارات أن قراءة الطلبات المقدمة إلى شركة معينة من مركبات الكربون الكلورية فلورية تحدث كل 100 ميل ثانية أثناء التشغيل العادي، وإذا لاحظ النموذج حدوث انفجار غير عادي في طلبات الكتابة إلى نفس لجنة PLC في الساعة الثالثة صباحاً في عطلة نهاية الأسبوع، فإنه يمكن أن يُعلم ذلك السلوك بأنه سلوك غير مسموم حتى وإن لم يكن هناك توقيع هجوم محدد على هذا النوع من العمليات.

التعلم الإيجابي عبر الزمن

ومن أكثر سمات الكشف القائم على أساس الذروة قدرتها على التكيف، فمع تطور البيئة الصناعية - مع إضافة آلية جديدة، يجري تحديث البرمجيات، ويمكن إعادة تدريب أهداف الإنتاج أو تعديل النموذج بحيث تعكس خط الأساس الجديد، وهذه الحلقة التعليمية المستمرة تقلل من الانجراف بين فهم النموذج للسلوك الطبيعي والواقع التشغيلي الفعلي.

كما يساعد التعلم التصحيحي في مكافحة الإيجابيات الكاذبة، وقد تولد قاعدة ثابتة إنذاراً في كل مرة يتجاوز فيها مستشعر درجة الحرارة 85 درجة مئوية، حتى وإن كانت درجة الحرارة طبيعية تماماً أثناء فترة إنتاج الصيف، ويمكن لنموذج ML أن يتضمن عوامل سياقية مثل درجة الحرارة المحيطة، والوقت من السنة، والكمائن التي تتخذ قرارات أكثر دقة.

تقنيات التعلم الرئيسية للكشف عن الشذوذ الصناعي

وتتناسب مختلف تقنيات القانون النموذجي مع مختلف جوانب الكشف عن الشذوذ، ويتوقف اختيار التكنولوجيا على طبيعة البيانات، ومدى توافر الأمثلة المسمّاة، والتوازن المنشود بين معدل الكشف ومعدل الإنذار المزيف.

نهج التعلم الإشرافي

ويتطلب التعليم المشرف مجموعة بيانات مسمّاة حيث يُعَمَّم كل حدث من أنشطة الشبكة بأنه عادي أو غير عادي، وتتعلم المقاييس مثل الغابات العشوائية، وآلات دعم ناقلات الأمراض، والأشجار المحرمة من التدرج التمييز بين الصفين على أساس الملامح المستقاة من البيانات.

ويمكن أن تحقق النماذج المشرفة دقة عالية عندما تتوافر بيانات عالية الجودة تحمل علامات الوسم، وهذا هو الحال في كثير من الأحيان في البيئات التي توجد فيها تقارير عن الحوادث التاريخية، أو التي قامت فيها أفرقة الأمن بتصنيف الأحداث السابقة يدوياً، غير أن الحصول على أمثلة كافية تحمل علامات على حالات الشذوذ النادرة - لا سيما الهجمات الجديدة - يمكن أن يكون صعباً، مما يحد من إمكانية تطبيق التعلم الخاضع للإشراف على الكشف عن أي يوم.

وفي الممارسة العملية، كثيرا ما تستخدم النماذج الخاضعة للمراقبة كمرشّح من الدرجة الثانية، ويُنتج نموذج غير مشرف قائمة بالهالات المرشحة، ثم يُجري مُراجعة تدقيق تلك القائمة استنادا إلى أنماط الهجوم المعروفة.

التعلم غير المشرف على التهديدات غير المعروفة

ولا يتطلب التعلم غير المشرف بيانات تحمل علامات، بل يحدد الشذوذ بكشف الأحداث التي تكون بعيدة من الناحية الإحصائية عن أغلبية البيانات، وتشمل التقنيات المشتركة التكتلات (مثل الكيمان، والشبكة الألمانية للتعاون التقني، والغابات العزلة، والأوراق الآلية).

وتعمل الغابات المعزلة بتقسيم المساحة المميزة بشكل عشوائي وعزل المعالم الخارجية في نقاط أقل من النقاط العادية، ويتعلم الحكام الآليون، وهو نوع من الشبكات العصبية، إعادة بناء البيانات العادية ذات الأخطاء المنخفضة؛ وعندما يقدمون مع حدث غير مسموم، يتصاعد خطأ التعمير، مما يدل على إمكانية الكشف.

والأساليب غير المشرفة لها قيمة خاصة في اكتشاف تهديدات غير معروفة أو انحرافات في العملية دون الإقليمية لم يسبق لها مثيل، ولكن يمكن أن تولد معدلات إيجابية زائفة أعلى إذا كان السلوك العادي متغيراً إلى حد بعيد أو إذا لم يتم اختيار الملامح المحددة بعناية.

تعزيز التعلم من أجل الدفاع الإيجابي

إن التعلُّم في مجال تعزيز التجارة نهج أقل شيوعاً وإن كان متنامياً في الكشف عن الشذوذ الصناعي، وفي إطار القانون التجاري، يتفاعل عامل مع بيئة الشبكة ويتلقى مكافآت أو عقوبات استناداً إلى قرارات الكشف التي يتخذها، ويتعلم العميل، بمرور الوقت، اتخاذ إجراءات تعظيم المكافأة التراكمية، على سبيل المثال، مما يقلل من الإيجابات الكاذبة ويزيد من الكشف الحقيقي.

ويتناسب القانون الإقليمي مع البيئات التي تتطور فيها مشهدات التهديد بسرعة، حيث يمكن للعامل أن يكيف باستمرار استراتيجيته استنادا إلى التغذية المرتدة، كما أنه مفيد لاتخاذ القرارات المتتابعة، مثل تحديد متى يتصاعد الإنذار أو يحفز استجابة آلية، غير أن نماذج القانون الإقليمي تتطلب تصميما دقيقا لوظيفة المكافأة ويمكن أن تكون مكلفة حسب حسابيا للتدريب.

الشبكات التعليمية والإبداعية العميقة

وقد أظهرت نماذج التعلم العميق، بما في ذلك شبكات الظواهر العصبية التي تولدها المواثيق وشبكات الذاكرة القصيرة الأجل الطويلة الأجل، أداءً قوياً في بيانات السلسلة الزمنية التي تُستخدم في الشبكات الصناعية، وقد تكون هذه التدابير فعالة بشكل خاص في استقبال المعالينات الزمنية - ويمكنها أن تتذكر أنماطاً تتكشف عن تسلسلات طويلة، مثل التراكم التدريجي للبيانات التي تُحدث في هجوم على رفض الخدمة.

ويمكن تطبيق هذه البرمجيات على حركة المرور الشبكية الممثَّلة كصور (مثل تحويل عمليات التعبئة إلى مصفوفة من 2D)، مما يتيح للنموذج تعلم الملامح المكانية التي تتوافق مع أنماط الهجوم، ويمكن للنماذج الهجينة التي تجمع بين أجهزة البرمجيات والمقاييس المسالكة أن تُستخدم المعلومات المكانية والزمنية على حد سواء من أجل تحسين دقة الكشف.

أما الجانب السلبي للتعلم العميق فهو الحاجة إلى كميات كبيرة من البيانات التدريبية والمعدات المتخصصة، ففي البيئات الصناعية التي تُدرَج فيها الموارد، قد تكون النماذج الأيسر مثل الأشجار المزروعة من الخريجين أكثر عملية، على الرغم من أن البحث في ضغط النماذج ونشر الحواف يضيق الفجوة.

خط الأناسولين الشهيرة

ويتطلب نشر نظام للكشف عن الشذوذ القائم على أساس AI خطاً مهيكلاً يتجاوز مجرد تدريب نموذج، ويجب تصميم كل مرحلة بعناية لمعالجة الخصائص الفريدة للبيانات الخاصة بالشبكة الصناعية.

جمع البيانات وتجهيزها

وترتكز البيانات على أي نظام من نظم الإدارة والتجارة (ML)، وتشمل مصادر البيانات في الشبكات الصناعية عمليات جمع حزم الشبكة، وسجلات التدفق، وتاريخ العمليات، وقراءات الاستشعار، وسجلات النظم من أجهزة التحكم والوصلات البينية بينية بين الإنسان والميناء.

وتشمل خطوات التجهيز الأولي عادة ما يلي:

  • Cleaning: ] Removing corrupted or incomplete records, handling missing values.
  • Normalization:] Scaling numeric features to a common range so that no single feature dominates the model.
  • Time alignment:] Synchronizing data from multiple sources to create a consistent timeline.
  • Protocol parsing:] Extracting structured fields from industrial protocols like Modbus, Profinet, EtherNet/IP, and OPC UA.

إن جودة البيانات هي ذات أهمية قصوى، إذ أن التغيُّر في القمامة، والتفريغ ينطبق بقوة على الكشف عن الشذوذ؛ والنماذج التي تُدرَّب على البيانات المزعجة أو المتحيزة ستسفر عن نتائج لا يمكن الاعتماد عليها، وينبغي للمنظمات أن تستثمر في ممارسات قوية لإدارة البيانات، بما في ذلك إصدار مجموعات البيانات، ومسارات مراجعة الحسابات، والتحقق من صحة المعلومات على نحو منتظم.

Feature Engineering

ونادرا ما تكون بيانات شبكة الروان مناسبة للاستهلاك المباشر من جانب خوارزميات مولية، وتتحول هندسة المعالم النباتية إلى تنبؤات مُفيدة، وتشمل السمات المشتركة لاكتشاف الشذوذ في الشبكات الصناعية ما يلي:

  • Packet-level features:] Packet size, inter-arrival time, protocol type, source and destination IP/ports.
  • Flow-level features:] Duration, byte counts,packet counts, directionality.
  • Statistical features:] Mean, variation, skewness, kurtosis of traffic metrics over sliding windows.
  • Domain-specific features:] Register addresses accessed, function codes used, setpoint changes, alarm rates.

ويمكن لاستخراج السمات الآلية باستخدام التعلم العميق أن يقلل من عبء الهندسة اليدوية، ولكن الخبرة في المجال لا تزال قيّمة لاختيار سمات تستوعب أنماطاً عملية ذات مغزى.

التدريب النموذجي والتقييم

ومن الضروري، مع البيانات النظيفة والملامح الهندسية، أن تكون الخطوة التالية هي التدريب النموذجي، وبالنسبة للنماذج الخاضعة للمراقبة وغير الخاضعة للمراقبة، تقسيم البيانات إلى مجموعات التدريب والتثبت والتجارب، وتحتاج بيانات السلسلة الزمنية إلى تقسيم دقيق لتجنب تسرب البيانات - يجب أن تأتي مجموعة الاختبارات من فترة زمنية بعد إعداد مجموعة التدريب لتحفيز الانتشار الحقيقي.

وينبغي أن تعكس مقاييس التقييم الأولويات التشغيلية، وكثيرا ما تكون الدقة والتذكر أكثر استنارة من الدقة العامة، لأن الشذوذ نادر بحكم التعريف، فالنتيجة واو-1 توفر تدبيرا متوازنا، ولكن ينبغي للمنظمات أيضا أن تتتبع معدلات إيجابية زائفة وأن تعني الوقت للكشف.

كما أن التقنيات المتقاطعة التي تُكيفت للسلسلة الزمنية، مثل السلاسل الأمامية، تساعد على ضمان تعميم النموذج على البيانات المستقبلية غير المنظورة، وينبغي أن يُجرى التصحيح على المقياس الهايبروميتر باستخدام مجموعة منفصلة من المصادقة، وليس مجموعة الاختبارات، لتجنب الإفراط في التأقلم.

النشر والرصد

وبعد التحقق من صحة نموذج ما، يتم نشره في الإنتاج لتحليل حركة الشبكات الحية، ويمكن أن يتخذ النشر عدة أشكال: في أماكن العمل في مركز المراقبة، أو عند الحافة بالقرب من أجهزة التحكم الصناعية، أو في منشأة سحابية هجينة، وكثيرا ما تُملي متطلبات الاحتياطات أن الكشف الأولي عن الشذوذ يحدث عند الحافة، مع إرسال إنذارات ذات أولوية عالية إلى أعلى النهر لإجراء المزيد من التحليل.

إن الرصد المستمر للأداء النموذجي أمر حاسم، حيث تُنحرف البيانات في المكان الذي تُغيّر فيه الخصائص الإحصائية لبيانات المدخلات مع تدهور دقة النموذج الذي يمكن أن يُستخدم فيه، وينبغي أن تتتبع نظم الرصد عمليات توزيع التنبؤ ومعدلات الإنذار وإحصاءات السمات لكشف الانجراف في وقت مبكر، وتُبقي إعادة التدريب الدورية، سواء كان مقرراً أو مُطلقاً بكشف عن الأنجراف، النموذج متوافقاً مع البيئة الحالية.

التطبيقات العالمية الحقيقية ودراسات الحالات الإفرادية

ويجري بالفعل نشر الكشف عن الشذوذ بواسطة الأجهزة العاملة بأجهزة الاستنشاق عبر قطاعات صناعية متعددة ذات نتائج قابلة للقياس.

التصنيع

وفي مجال صناعة السيارات، تقوم نماذج الكشف عن الشذوذ برصد حركة المرور الشبكية بين الروبوتات والموصلات ومراكز التفتيش النوعية، وعندما يظهر نمط غير عادي - مثل جهاز مراقبة آلي يرسل أوامر غير متوقعة - يمكن للنظام أن يوقف الخط المتضرر قبل إنتاج الأجزاء المعيبة أو حدوث ضرر مادي، وأفاد أحد الصانعين الرئيسيين عن انخفاض بنسبة 40 في المائة في وقت التعطل غير المخطط له بعد تنفيذ كشف الشذوذ القائم على القانون النموذجي عبر محطات التجميع.

الطاقة والمرافق

وتستخدم مرافق الطاقة الكشف عن الشذوذ لتحديد كل من التهديدات الإلكترونية وإخفاقات المعدات قبل أن تتسبب في انقطاعات، ويمكن لنموذج مدرَّب على بيانات وحدة قياس الترددات الخافضة أن يكشف عن العلامات المبكرة لعدم استقرار الشبكة، مثل التذبذبات الخفية التي تسبق انقطاع الكهرباء، وفي حالة موثقة، اكتشف نظام ML هجوما منسقا على وصلات الاتصالات تحتية قبل دقائق من محاولة المهاجمين لكسرات الثلاث، مما يعطي المشغلين وقتا.

النقل

وتعتمد نظم السكك الحديدية والعبور الجماعي على الشبكات التي تتحكم في الإشارات، وأبواب القطار، وعروض معلومات الركاب، وتساعد الكشف عن الأنوما على ضمان تشغيل هذه النظم بأمان وموثوقية، فعلى سبيل المثال، نشرت سلطة عبور في أوروبا نموذجا غير مشرف على شبكة الوكالة الخاصة للتنمية المستدامة، واكتشفت مبنى خلفي مخفيا كان قد تم تركيبه من قبل مقاول سابق - وهو تهديد داخلي لم تكن النظم القائمة على القواعد قد فوته منذ أشهر.

النفط والغاز

وتُعد مصافي النفط وشبكات الأنابيب بيئات شديدة الخطورة يمكن أن تؤدي فيها حالة شاذة واحدة إلى عواقب كارثية، وترصد نماذج الحاسب الموزعة نظماً للرقابة التي تتحكم في درجات الحرارة والضغط ومعدلات التدفق، ففي إحدى الحالات، حدد كاشف الشذوذ انحرافاً تدريجياً في جهاز استشعار للضغط تبين أنه سلّم إلى فشل في الصمامات، وقد سمح الإنذار المبكر للمهندسين بتحديد فترة توقف مخططة بدلاً من مواجهة الطوارئ.

أفضل ممارسات التنفيذ

ويتطلب النجاح في نشر الكشف عن الشذوذ في الشبكات الصناعية أكثر من مجرد الخبرة التقنية، ويجب على المنظمات أن تعالج العوامل التشغيلية والتنظيمية والثقافية.

التكامل مع الهياكل الأساسية القائمة

وينبغي أن يكمل نظام الكشف عن الحالات الشاذة، لا أن يحل محل الأدوات الأمنية القائمة مثل جدران الحريق، ونظم الكشف عن الاقتحام، ومنابر إدارة المعلومات الأمنية والأحداث، كما أن تطبيقات المعلومات وأشكال البيانات الموحدة (مثلاً، المناشير، وشبكة التدفق، وشبكة المعلومات) تيسر التكامل، كما أن نواتج نماذج المقاييس، وقابليات العمل التي يمكن أن تغذيها، والأدلة السياقية.

نوعية البيانات والحوكمة

الاستثمار في جودة البيانات منذ البداية - تنفيذ عمليات التحقق الآلي من صحة المصادقة على قضايا الصيد مثل المصابيح المفقودة، أو السجلات المزدوجة، أو القيم غير المترابطة، والاحتفاظ بدليل بيانات يوثق مصدر كل سمة وشكلها ومعناها، وحسن إدارة البيانات يجعل من السهل استنساخ التجارب، والقرارات النموذجية لمراجعة الحسابات، والأعضاء الجدد في الفريق.

الموازنة بين الازدحام والزنوج

ولا يوجد نظام للكشف عن الشذوذ يحقق الدقة الكاملة، إذ يجب على المنظمات أن تقرر تسامحها إزاء الايجابيات الكاذبة مقابل السالب الكاذب، وفي البيئات الحرجة، يكون فقدان الشذوذ الحقيقي (الضرر السلبي) أكثر خطورة عموما من التحقيق في إنذار كاذب، غير أن الكثير من الايجابيات الكاذبة تؤدي إلى تنبيه المشغلين، حيث يبدأ المشغلون في تجاهل الإنذارات أو رفضها.

وتتمثل إحدى الاستراتيجيات العملية في تنفيذ العديد من حالات الإنذار، ويمكن تسجيل حالات الشذوذ التي لا تثق فيها الثقة في إجراء استعراض دوري، في حين أن الشذوذات الشديدة الثقة تُفضي إلى إخطار فوري، كما يمكن لنماذج التعلم الماكين أن تحقق أيضاً درجة من الثقة يمكن استخدامها لتعديل عتبة الإنذار على أساس ديناميكي على أساس الوضع الحالي للمخاطر.

الأفرقة المشتركة بين الوكالات المعنية بالبناء

ويتطلب الكشف الفعلي عن الشذوذ التعاون بين مهندسي الشبكات، والمحللين الأمنيين، وعلماء البيانات، وموظفي العمليات، ويفهم مهندسو الشبكات البروتوكولات وأنماط المرور؛ ويعرف المحللون الأمنون مشهد الخطر؛ ويبني علماء البيانات ونهج النماذج؛ ويقدم المشغلون تعليقات على الفائدة العملية للتنبيهات، وتساعد عمليات الاستعراض المنتظمة الشاملة لعدة وظائف على ضمان استمرار اتساق النظام مع الاحتياجات التشغيلية.

التصدي للتحديات الأساسية

ورغم وعدها، يواجه الكشف عن الشذوذ الذي تقوده منظمة العفو الدولية عدة تحديات يجب أن تبحر المنظمات.

خصوصية البيانات والأمن

ويمكن أن تتضمن بيانات الشبكة الصناعية معلومات حساسة عن عمليات الإنتاج، أو التركيبات الجاهزة أو تشكيلات النظم، وعندما يتم جمع البيانات لأغراض التدريب النموذجي، يجب تخزينها ونقلها بأمان، وينبغي تطبيق تقنيات التشفير، والتحكم في الدخول، وجمع البيانات حسب الاقتضاء، وفي الصناعات المنظمة، قد يفرض الامتثال لمعايير مثل اتفاقية حقوق الملكية الفكرية الجديدة أو خطة التنفيذ الوطنية للبرمجيات الوطنية للإحصاء 800-82 متطلبات إضافية.

الترجمة الشفوية النموذجية

وكثيرا ما يتردد العاملون في التصرف على تنبيهات من نموذج للصناديق السوداء إذا لم يتمكنوا من فهم سبب ظهور الحدث، فتقنيات المحاسبة البيئية - الصناعية المفسَّرة، مثل قيم النهج المنسق أو النظام البيئي المتكامل، يمكن أن تقدم تفسيرات على مستوى السمات للتنبؤات الفردية، فعلى سبيل المثال، قد يعلّم نموذج حدثا شبكيا كعلامة مسمّية ويوضح أن العوامل الرئيسية المساهمة هي رمز غير عادي للتنبؤات الخارجية.

ألعاب المهارات

وتندر الخبرة في مجال علوم البيانات والتعلم الآلي، لا سيما في الصناعات التي تركز تقليديا على الهندسة الكهربائية أو الميكانيكية، ويمكن للمنظمات أن تعالج هذه الفجوة عن طريق الاستثمار في برامج التدريب، أو إقامة شراكات مع خبراء استشاريين خارجيين، أو تعيين أدوار مختلطة تجمع بين المعارف المحلية والمهارات التحليلية، كما أن الخدمات التي يديرها البرنامج والحلول القائمة على البرامج يمكن أن تقلل من العبء الداخلي.

Scalability

ويمكن للشبكات الصناعية أن توزع مئات أو آلاف الأجهزة عبر مواقع جغرافية متعددة، وتتطلب نماذج النشر على نطاق واسع بنية أساسية قوية لاستنفاد البيانات، وخدمة النماذج، وإدارة الإنذار، ويمكن أن يساعد الحوسبة الحوسبة عن طريق تشغيل نماذج الوزن الخفيف محليا، ولا ترسل سوى البيانات ذات الصلة إلى منصة مركزية، وتيسر تكنولوجيات الاحتواء مثل دوكر وكوبرنيتز النشر الموحد عبر البيئات المتباينة.

مستقبل منظمة العفو الدولية في أمن الشبكات الصناعية

ويتطور مجال الكشف عن الشذوذ القائم على أساس AI بسرعة، حيث من المرجح أن تشكل عدة اتجاهات ناشئة مستقبله.

التعليم الموحد

ويدرب التعلم الموحد نموذجا مشتركا عبر مواقع متعددة دون أن يتطلب ذلك بيانات خام لمغادرة كل موقع، وهو أمر ذو قيمة خاصة بالنسبة للشبكات الصناعية التي تجعل من خصوصية البيانات وقيود النطاق الترددي التدريب المركزي غير عملي، ويدرب كل موقع نموذجا محليا ولا يرسل سوى تحديثات نموذجية (تدرجات) إلى خادوم مركزي يجمعها في نموذج عالمي، ويستفيد النموذج العالمي من المعلومات الاستخبارية الجماعية لجميع المواقع مع الحفاظ على استقلالية المحلية في البيانات.

Edge AI

ويسمح تشغيل نماذج AI مباشرة على أجهزة الحواف - مركبات ثلاثية الأبعاد، أو بوابات الحواف، أو أجهزة الاستشعار الذكية - بتقليل الارتطام واستخدام الترددات الترددية. ويتيح معهد التعليم العالي الكشف في الوقت الحقيقي حتى في البيئات التي لها وصلات متقطعة أو محدودة بالنظم المركزية، كما أن التقدم الأخير في الضغط على النماذج وتسريع الأجهزة يتيح نشر نماذج تعليمية عميقة متطورة على الأجهزة المدربة على الموارد.

الاستجابة الآلية

ولن تكشف النظم المقبلة عن وجود أوجه خلل فحسب بل ستبدأ أيضاً ردوداً آلية تستند إلى خطورة التهديد وطبيعته، فعلى سبيل المثال، يظل نموذجاً يكشف عن هجوم على مركز قيادة مشددة يمكن أن يحجب تلقائياً عنوان الشركة المخالفة، أو يعزل الجزء المهين، أو يتراجع عن آخر تغيير في التشكيلة، ولا يزال التحقق من صحة الإنسان في الموقع مهماً بالنسبة للإجراءات الحرجة، ولكن الاستجابة الآلية يمكن أن تقلل إلى حد كبير من الزمن.

AI and Model Validation

ومع تزايد التدقيق التنظيمي لنظم التنفيذ، فإن الشرح والتحقق سيصبحان أكثر أهمية، ويجري وضع معايير وأطر للتحقق من نماذج الأنشطة المنفذة تنفيذاً مشتركاً في السياقات الصناعية من جانب منظمات مثل المعهد الوطني للمعايير والتكنولوجيا واللجنة الدولية للكهرباء، وستوفر هذه المعايير إرشادات بشأن الاختبار والرصد وتوثيق الأداء النموذجي،

خاتمة

وقد غيرت المعلومات الاستخبارية والتعلم الآلي بشكل أساسي من مشهد الكشف عن الشذوذ في الشبكة الصناعية، إذ إن الانتقال إلى ما يتجاوز القواعد الثابتة والتوقيعات يمكن للمنظمات أن تحقق الكشف المبكر والدقيق عن التهديدات الإلكترونية والأورام التشغيلية معا، وقدرة التعلم من البيانات والتكيف مع الظروف المتغيرة وتحديد الانحرافات الخفية تجعل من التنفيذ أداة لا غنى عنها لحماية الهياكل الأساسية الحيوية.

ويتطلب التنفيذ الناجح نهجا شاملا يشمل جودة البيانات، واختيار النماذج، والهياكل الأساسية للنشر، والتعاون بين مختلف الوظائف، وفي حين أن التحديات مثل إمكانية الترجمة الشفوية، والفجوات في المهارات، والقدرة على التصعيد، فإن وتيرة الابتكار في مجالات التعليم العالي، والتعلم الموحد، والنماذج التي يمكن تفسيرها، تتصدى بسرعة لهذه العقبات.

- إذا كان المشغلون في الشبكة الصناعية الذين يستثمرون في الكشف عن الشذوذ الموجود في المنطقة الصناعية اليوم سيكونون في وضع أفضل للدفاع عن التهديدات المتطورة التي يتعرض لها الغد، فالرحلة من الرصد التفاعلي إلى الاستخبارات الاستباقية ليست ثلاثية، ولكن المكافآت - الموثوقية، وتعزيز السلامة، وتحسين الأمن - تستحق الجهد، وللمزيد من القراءة عن أفضل الممارسات في نظام المراقبة الصناعية، يرجى الرجوع إلى موارد نظم الرقابة الصناعية [FT:]