استخراج البيانات من تقارير التهديدات باستخدام التعلم الآلي

أظهر بحث جديد من جامعة شيكاغو الصراع الذي ظهر في السنوات العشر الماضية بين فوائد المحتوى الطويل في تحسين محركات البحث و صعوبة أنظمة التعلم الآلي في استخراج البيانات الأساسية منه.

في تطوير نظام تحليل اللغة الطبيعية لاستخراج المعلومات الأساسية حول التهديدات من تقارير استخبارات التهديدات الإلكترونية (CTI)، واجه باحثو شيكاغو ثلاث مشاكل: عادة ما تكون التقارير طويلة جدًا، مع جزء صغير مخصص للسلوك الفعلي للهجوم؛ النمط غني و معقد گراميا، مع معلومات خاصة بال领域 يفترض أن يكون القارئ على دراية بها؛ والمادة تتطلب معرفة العلاقات بين المجالات، التي يجب “تذكرها” لفهمها في السياق (مشكلة مستمرة، كما يشير الباحثون).

تقارير التهديدات المطولة

المشكلة الأساسية هي الإطالة. على سبيل المثال، يشير البحث في شيكاغو إلى أن تقرير التهديدات الصادر عن ClearSky في عام 2019، والذي يتكون من 42 صفحة، حول برنامج الفيروسات الخبيثة DustySky (المعروف أيضًا باسم NeD Worm)، يحتوي فقط على 11 جملة تتعامل مع وتحدد سلوك الهجوم.

العقبة الثانية هي تعقيد النص، وفعليًا، طول الجملة: يلاحظ الباحثون أن متوسط الجملة في 4020 تقرير تهديد من مركز تقارير التهديدات التابع لشركة مايكروسوفت يتكون من 52 كلمة – فقط تسع كلمات أقل من متوسط طول الجملة منذ 500 عام (في سياق أن طول الجملة انخفض بنسبة 75٪ منذ ذلك الحين).

然而، يجادل البحث بأن هذه الجمل الطويلة هي في الأساس “فقرات مضغوطة” في حد ذاتها، مليئة بالشروط والظروف والصفات التي تُخفي المعنى الأساسي للمعلومات؛ وأن الجمل غالبًا ما تفتقر إلى علامات الترقيم التقليدية الأساسية التي تعتمد عليها أنظمة اللغة الطبيعية NLP مثل spaCy وستانفورد وNLTK لاستنتاج النية أو استخراج البيانات الصعبة.

استخراج اللغة الطبيعية للمعلومات الأساسية

الخط أنابيب التعلم الآلي الذي طوره باحثو شيكاغو لمواجهة هذا هو ما يسمى EXTRACTOR، و يستخدم تقنيات اللغة الطبيعية لإنشاء رسومات تُختصر وتلخص سلوك الهجوم من التقارير الطويلة والمنسوجة. يتم التخلص من التأريخ والرواية والجغرافية التي تخلق قصة شاملة وممتعة على حساب تقديم الحمولة المعلوماتية بوضوح.

المصدر: https://arxiv.org/pdf/2104.08618.pdf

نظرًا لأن السياق يُشكل تحديًا في تقارير التهديدات الإلكترونية المطولة والمكثفة، اختار الباحثون نموذج تمثيل اللغة BERT (التمثيلات التوجيهية ثنائية الاتجاه من المحول) على نموذج Word2Vec من جوجل أو نموذج GloVe (تمثيلات الكلمات العالمية) من ستانفورد.

يُقيّم BERT الكلمات من السياق المحيط بها، ويتطور أيضًا الترسيمات للكلمات الجزئية (أي أن launch و launching و launches كلها تنحدر إلى launch). هذا يساعد EXTRACTOR على التعامل مع المفردات الفنية التي لا توجد في نموذج التدريب BERT، وتصنيف الجمل على أنها “مثمرة” (تحتوي على معلومات ذات صلة) أو “غير مثمرة”.

زيادة المفردات المحلية

من غير المحتمل أن يتم دمج بعض الرؤى الخاصة بال领域 في خط أنابيب اللغة الطبيعية التي تتعامل مع مواد من هذا النوع، حيث لا ينبغي إهمال أشكال الكلمات ذات الصلة بشكل خاص مثل عناوين بروتوكول الإنترنت وأسماء العمليات الفنية.

في أجزاء لاحقة من العملية، يستخدم شبكة BiLSTM (ثنائية الاتجاه LSTM) لمعالجة كلمات Verbosity، واشتقاق الأدوار الدلالية لأجزاء الجملة، قبل إزالة الكلمات غير المثمرة. BiLSTM مناسب جيدًا لهذا، لأنه يمكنه ربط التبعيات البعيدة التي تظهر في الوثائق المطولة، حيث يحتاج إلى انتباه أكبر و الحفظ لاستنتاج السياق.

يحدد EXTRACTOR الأدوار الدلالية والعلاقات بين الكلمات، مع أدوار تم إنشاؤها بواسطة ملاحظات PropBank.

في الاختبارات، وجد أن EXTRACTOR (الممول جزئيًا من قبل DARPA) قادر على مطابقة استخراج البيانات البشرية من تقارير DARPA. تم تشغيل النظام أيضًا ضد حجم كبير من التقارير غير المنظمة من مايكروسوفت سيكيوريتي إن텔يجنس و موسوعة التهديدات التابعة لشركة TrendMicro، واستخراج المعلومات الأساسية بنجاح في معظم الحالات.

يقر الباحثون بأن أداء EXTRACTOR من المحتمل أن يتناقص عند محاولة استخلاص الإجراءات التي تحدث عبر جمل أو فقرات متعددة، على الرغم من أن إعادة توجيه النظام لاستيعاب تقارير أخرى يتم إشارته كطريقة للتقدم هنا. ومع ذلك، هذا يعتبر أساسًا العودة إلى التسمية بقيادة الإنسان بالوكالة.

الطول == السلطة؟

من المثير للاهتمام ملاحظة التوتر المستمر بين الطريقة التي يبدو أن خوارزميات جوجل الغامضة لتحسين محركات البحث قد كافأت المحتوى الطويل في السنوات الأخيرة (على الرغم من أن النصائح الرسمية في هذا الصدد متناقضة)، والتحديات التي يواجهها باحثو الذكاء الاصطناعي (بما في ذلك العديد من مبادرات أبحاث جوجل) في فك شفرة النية والبيانات الفعلية من هذه المقالة الطويلة والمكثفة.

من الجدير بالذكر أن جوجل، من خلال مكافأة المحتوى الطويل، تفترض جودة متسقة لا تتمكن من تحديدها أو قياسها بعد، باستثناء تعداد عدد مواقع السلطة التي ترتبط بها (معيار “اللحم” في معظم الحالات)؛ وأنها لا تتعامل مع المنشورات التي تصل إلى 2500 كلمة أو أكثر تحقيقًا لبروز SERPS، بغض النظر عن انتفاخ السرد، طالما أن المحتوى الإضافي يُعتبر مفهومًا و لا يخرق قواعد أخرى.

أين الوصفة؟

نتيجة لذلك، تزداد أعداد الكلمات، جزئيًا بسبب رغبة حقيقية في المحتوى الطويل الجيد، ولكن أيضًا لأن “تحويل” بعض الحقائق القليلة إلى قصة يمكن أن يرفع طول المقال إلى معايير تحسين محركات البحث المثالية، و يسمح للمحتوى الخفيف بالتنافس على قدم المساواة مع الإنتاج العالي الجهد.

مثال على ذلك هو مواقع الوصفات، التي تُشتكى مما تُشتكى منهم في مجتمع Hacker News، لأنها غالبًا ما تسبق المعلومات الأساسية (الوصفة) بمقدار كبير من المحتوى السردي أو الخيالي المصمم لإنشاء تجربة قصة طويلة، ورفع ما كان سيكون في غير ذلك كلمة منخفضة جدًا إلى منطقة 2500+ كلمة التي تُعتبر مثالية لتحسين محركات البحث.

برزت بعض الحلول الإجرائية لاستخراج الوصفات الفعلية من مواقع الوصفات المطولة، بما في ذلك مصفوفات وصفات مفتوحة المصدر و مستخرجات وصفات ل فايرفوكس و كروم. كما يهتم التعلم الآلي بذلك، مع مختلف المناهج من اليابان و الولايات المتحدة و البرتغال، بالإضافة إلى أبحاث من ستانفورد، وغيرها.

فيما يتعلق بتقارير استخبارات التهديدات التي تعالجها باحثو شيكاغو، قد يكون ممارسة تقارير التهديدات المطولة بسبب الحاجة إلى反映 حجم الإنجاز (الذي يمكن أن يُختصر غالبًا في فقرة واحدة) من خلال إنشاء سرد طويل حولها، و استخدام طول الكلمة كبديل لمدى الجهد المبذول، بغض النظر عن التطبيق.

ثانيًا، في مناخ حيث يُفقد مصدر الأصل للقصة غالبًا بسبب ممارسات الإشارة السيئة من قبل وسائل الإعلام الشعبية، فإن إنتاج حجم أكبر من الكلمات أكثر من ما يمكن لمحترف إعادة التقرير أن يكرره يضمن فوزًا في SERPS بكمية الكلمات وحدها، مع افتراض أن الإطالة – التي أصبحت الآن تحديًا متزايدًا للغة الطبيعية – مكافأة حقًا بهذه الطريقة.