منهجية البحث في الأمن السيبراني: أنواع الأبحاث ونموذج التهديد والبيانات

كثيرًا ما يبدأ طالب الماجستير في الأمن السيبراني بفكرة جاهزة: «سأبني نظامًا لكشف التسلل بالتعلم العميق». ثم تأتي الأسئلة: كشف من؟ في أي شبكة؟ بأي بيانات؟ ومقارنة بماذا؟ فيتضح أن الفكرة لم تصبح بحثًا بعد. منهجية البحث في الأمن السيبراني هي ما يحول الفكرة إلى دراسة قابلة للتحكيم: نوع البحث، ونموذج التهديد الذي تفترضه، ومصدر البيانات، وطريقة التقييم، والحدود الأخلاقية والقانونية التي تعمل داخلها. يمر هذا المقال على هذه العناصر بالترتيب الذي يحتاجه فصل المنهجية في رسالتك.

أنواع البحث في الأمن السيبراني

ليس كل بحث في الأمن تجربة على شبكة. يمكنك تصنيف الأبحاث في أربعة أنواع رئيسية، ولكل نوع أدواته ومعايير الحكم عليه.

بحوث الأنظمة والتجارب

تبني فيها دفاعًا جديدًا، أو تصمم هجومًا يكشف ضعفًا في نظام قائم، ثم تقيم عملك تجريبيًا. من أمثلتها: نظام لكشف البرمجيات الخبيثة، أو آلية لحماية أجهزة إنترنت الأشياء، أو هجوم على نموذج تعلم آلة. يسأل المحكم هنا: هل الفكرة جديدة؟ هل التقييم عادل وقابل للتكرار؟ هل قارنت بخطوط أساس قوية؟

دراسات القياس

دراسات القياس (Measurement Studies) لا تبني شيئًا، بل تقيس الواقع: كم موقعًا في نطاق معين ما زال يستخدم إعدادات تشفير ضعيفة؟ كيف تتطور حملات التصيد عبر الزمن؟ قيمتها في جودة جمع البيانات، وتمثيلها للمجتمع المدروس، وحذر الباحث في تفسيرها.

بحوث العوامل البشرية

تدرس الإنسان لا الآلة: الوعي الأمني، وسلوك الموظفين أمام رسائل التصيد، والالتزام بسياسات كلمات المرور، وثقافة الأمن في المؤسسة. أدواتها الاستبانات والمقابلات والتجارب السلوكية، وهي مناسبة لطلبة الإدارة والتربية وإدارة تقنية المعلومات الذين لا يملكون خلفية برمجية عميقة. تنطبق هنا قواعد بناء الأداة المعروفة، فارجع إلى خطوات تصميم الاستبانة البحثية، وإذا استخدمت عبارات موافقة متدرجة فاقرأ طريقة تصحيح مقياس ليكرت وتفسير متوسطاته.

بحوث السياسات والحوكمة والقانون

تحلل التشريعات، وسياسات حماية البيانات، ونماذج حوكمة الأمن في المؤسسات، وتقارن بين الدول أو القطاعات. أدواتها في الغالب تحليل الوثائق، ومقابلات الخبراء، ودراسات الحالة.

نموذج التهديد: أول ما يبحث عنه المحكم

نموذج التهديد (Threat Model) وصف صريح للمهاجم الذي يفترضه بحثك. دون هذا الوصف لا يستطيع القارئ أن يحكم على نجاح الحل، لأن أي دفاع ينجح أمام مهاجم ضعيف بما يكفي. اكتبه في ثلاثة عناصر:

• أهداف المهاجم: ماذا يريد؟ سرقة بيانات، أو تعطيل خدمة، أو التهرب من نظام الكشف، أو تسميم بيانات التدريب.
• قدراته: ماذا يعرف وماذا يستطيع؟ هل يرى حركة الشبكة؟ هل يعرف خوارزمية الكشف ومعاملاتها، أم يتعامل معها صندوقًا أسود؟ هل يملك حسابًا داخل النظام؟
• الافتراضات: ما الذي تعده موثوقًا؟ مثلًا: نظام التشغيل غير مخترق، أو مفاتيح التشفير محمية، أو بيانات التدريب سليمة.

ثم اذكر ما هو خارج النطاق صراحة. جملة مثل «لا يتناول هذا البحث مهاجمًا يملك صلاحيات مدير النظام» ليست ضعفًا، بل تحديد أمين يحميك من نقد لا يخص بحثك. وفي بحوث العوامل البشرية يتحول نموذج التهديد إلى وصف السيناريو المدروس: أي نوع من التصيد، وأي فئة مستهدفة.

مجموعات البيانات: مصدرها وحدودها

في بحوث الكشف والتصنيف أمامك طريقان: بيانات تولدها في مختبر، أو بيانات حقيقية من شبكة أو مؤسسة.

• بيانات المختبر: تتحكم فيها، وتعرف توسيمها بدقة، ويمكنك نشرها غالبًا. لكنها قد لا تشبه حركة المرور الحقيقية، فيبدو نموذجك ممتازًا في المختبر ويتعثر في الواقع.
• البيانات الحقيقية: أصدق تمثيلًا، لكنها تحتاج موافقة الجهة المالكة، وتحمل بيانات شخصية، ويصعب توسيمها، ونادرًا ما يسمح بنشرها.

وتتكرر في أبحاث كشف التسلل مجموعات عامة مثل NSL-KDD وUNSW-NB15 وCIC-IDS2017 وCSE-CIC-IDS2018، وفي تصنيف البرمجيات الخبيثة مجموعة EMBER. استخدامها مقبول لأنه يسمح بالمقارنة مع أعمال سابقة، بشرط ثلاث ملاحظات:

1. وثقت دراسات لاحقة مشكلات في بعض هذه المجموعات، مثل أخطاء في التوسيم وسجلات مكررة. ابحث عن الدراسات النقدية للمجموعة التي اخترتها، واذكرها في رسالتك، واشرح كيف تعاملت مع ما وجدته.
2. بعضها قديم نسبيًا، فلا تقدم نتائجك عليه على أنها تمثل الهجمات الحالية دون نقاش.
3. النتيجة المرتفعة على مجموعة واحدة لا تكفي. الاختبار على أكثر من مجموعة، أو على بيانات من فترة زمنية لاحقة، يعطي صورة أصدق عن قدرة النموذج على التعميم.

أما الأخطاء التي تضخم نتائج تعلم الآلة في هذا المجال، كتسرب البيانات والتقسيم العشوائي لبيانات زمنية، فمشروحة في مقال أخطاء تعلم الآلة الشائعة في أبحاث الأمن السيبراني.

أطر مرجعية تنظم عملك

ثلاثة أطر تنظم بحثك وتربطه بلغة يفهمها المختصون والمؤسسات:

• إطار NIST للأمن السيبراني (NIST Cybersecurity Framework): إطار لتنظيم إدارة مخاطر الأمن السيبراني في المؤسسة. يفيد في بحوث الحوكمة والإدارة، مثل بناء محاور استبانة تقيس الممارسات الأمنية في قطاع معين.
• معيار ISO/IEC 27001: معيار دولي يحدد متطلبات نظام إدارة أمن المعلومات. يناسب الدراسات التي تقيم تطبيق الضوابط الأمنية أو الامتثال في المؤسسات.
• MITRE ATT&CK: قاعدة معرفة تصنف أساليب المهاجمين وتقنياتهم. تفيد في بحوث الكشف لتحديد التقنيات التي يغطيها نظامك والتي لا يغطيها، وفي بناء سيناريوهات تجريبية واقعية.

استخدم الإطار حين يخدم سؤالك فعلًا. ذكر الأطر الثلاثة في الإطار النظري دون أن يظهر أثرها في التصميم أو التحليل لا يضيف إلى البحث شيئًا.

مقاييس التقييم: لماذا تهم الإنذارات الكاذبة؟

الدقة الكلية (Accuracy) مضللة في الأمن، لأن الهجمات في الحركة الحقيقية قليلة مقارنة بالحركة السليمة، فيحصل نموذج لا يكشف شيئًا على دقة كلية مرتفعة. اعرض بدلًا منها:

• معدل الكشف أو الاستدعاء (Recall): نسبة الهجمات التي التقطها النظام.
• معدل الإنذارات الكاذبة (False Positive Rate): نسبة الحركة السليمة التي صنفها النظام هجومًا.
• الدقة النوعية (Precision): نسبة الهجمات الفعلية من بين الإنذارات.
• كلفة التشغيل في بحوث الأنظمة: زمن الكشف، والحمل على المعالج والذاكرة، وأثر الحل في أداء النظام المحمي.

مثال حسابي افتراضي يوضح الفكرة: إذا مر بالشبكة مليون اتصال سليم في اليوم، فمعدل إنذارات كاذبة يبدو صغيرًا مثل 1% يعني عشرة آلاف إنذار كاذب يوميًا، وهو عدد يصعب على أي فريق مراقبة أن يراجعه. لذلك يسأل المحكمون عن الإنذارات الكاذبة قبل نسبة الكشف، ولذلك أيضًا تقارن نظامك بخط أساس بسيط وبأفضل الأعمال المنشورة على البيانات نفسها وبالتقسيم نفسه.

الأخلاقيات والقانون في تجارب الأمن

أبحاث الأمن قريبة بطبيعتها من حدود القانون، فاجعل هذه القواعد جزءًا من خطتك لا ملحقًا بها:

• الإذن المكتوب: لا تختبر إلا أنظمة تملكها، أو أنظمة لديك تفويض مكتوب من مالكها يحدد النطاق والمدة والأساليب المسموحة. نية البحث لا تبرر الدخول غير المصرح به.
• الإفصاح المنسق عن الثغرات: إذا اكتشفت ثغرة في منتج أو خدمة، فأبلغ الجهة المسؤولة عنها أولًا ببلاغ غير علني، وامنحها وقتًا معقولًا للإصلاح قبل النشر، ولا تنشر تفاصيل تتيح استغلالها قبل توفر الإصلاح.
• موافقة لجنة الأخلاقيات: أي دراسة تشمل أشخاصًا، من الاستبانة إلى محاكاة رسائل التصيد على الموظفين، تحتاج موافقة لجنة أخلاقيات البحث قبل جمع البيانات، وفق إجراءات جامعتك. وتجارب التصيد التي تتضمن خداعًا تحتاج عناية خاصة، وموافقة الجهة التي يعمل فيها المشاركون.
• البيانات الشخصية في السجلات: سجلات الشبكة والخوادم تحوي عناوين IP وأسماء مستخدمين وعناوين بريد. اجمع الحد الأدنى اللازم، واستبدل المعرفات برموز قبل التحليل، واحفظ البيانات في مكان محمي، والتزم بأنظمة حماية البيانات المعمول بها.

المبادئ العامة للموافقة المستنيرة والسرية مشروحة في مقال أخلاقيات البحث العلمي وحماية المشاركين. وبعض مؤتمرات الأمن تطلب من المؤلفين مناقشة الاعتبارات الأخلاقية في الورقة صراحة، وستواجه ذلك حين تصل إلى النشر في مؤتمرات الذكاء الاصطناعي والأمن السيبراني ومجلاتهما.

هيكل مقترح لفصل المنهجية

1. نوع البحث وسؤاله: تجريبي أم قياسي أم سلوكي أم في الحوكمة، ولماذا يناسب السؤال.
2. نموذج التهديد أو سيناريو الدراسة: الأهداف، والقدرات، والافتراضات، وما هو خارج النطاق.
3. بيئة التجربة أو مجتمع الدراسة: الأجهزة والبرمجيات والإعدادات، أو المجتمع والعينة وطريقة اختيارها.
4. البيانات: المصدر، والمعالجة، وطريقة التقسيم، والمشكلات المعروفة فيها.
5. خطوط الأساس: ما الذي تقارن به، وكيف ضمنت عدالة المقارنة.
6. مقاييس التقييم: مع تبرير كل مقياس.
7. الاعتبارات الأخلاقية والقانونية: الأذونات، والموافقات، والإفصاح، وحماية البيانات.
8. تهديدات الصدق وحدود الدراسة: ما الذي قد يمنع تعميم نتائجك.

مثال افتراضي

لنفترض طالبة ماجستير اختارت هذا العنوان الافتراضي: «كشف هجمات حجب الخدمة الموزعة في شبكات إنترنت الأشياء المنزلية باستخدام نموذج تعلم آلة خفيف». يمكن أن تلخص منهجيتها هكذا:

• نوع البحث: بحث أنظمة تجريبي.
• نموذج التهديد: مهاجم خارجي يستغل أجهزة مخترقة لإغراق خدمة داخل الشبكة، ولا يعرف تفاصيل نموذج الكشف. أما المهاجم الذي يعدل حركته للتهرب من النموذج فخارج النطاق، وتذكره في حدود الدراسة.
• البيانات: مجموعة عامة للمقارنة مع الأعمال السابقة، إضافةً إلى حركة تولدها في مختبر صغير بأجهزة تملكها، مع مناقشة المشكلات الموثقة في المجموعة العامة.
• التقييم: الاستدعاء، ومعدل الإنذارات الكاذبة، وزمن الكشف، واستهلاك الذاكرة على جهاز محدود الموارد، مقارنة بنموذج أساس بسيط.
• الأخلاقيات: كل الهجمات تنفذ داخل شبكة معزولة، ولا تجمع بيانات من مستخدمين حقيقيين.

ولو كانت الطالبة في قسم إدارة الأعمال، فقد يصبح عنوانها الافتراضي: «أثر الوعي بالأمن السيبراني في سلوك موظفي المصارف تجاه رسائل التصيد: دراسة ميدانية»، وتصبح المنهجية استبانة وعينة وموافقة لجنة أخلاقيات بدل المختبر والشبكة المعزولة.

أخطاء شائعة

• غياب نموذج التهديد، أو كتابته بعبارات عامة لا تحدد قدرات المهاجم.
• الاكتفاء بمجموعة بيانات واحدة قديمة دون ذكر نقاط ضعفها.
• عرض الدقة الكلية وحدها وإهمال الإنذارات الكاذبة.
• مقارنة نظامك بنماذج ضعيفة، أو بنتائج منشورة على تقسيم مختلف للبيانات.
• اختبار أنظمة لا تملكها دون إذن مكتوب.
• جمع بيانات من موظفين أو طلبة قبل موافقة لجنة الأخلاقيات.

أسئلة شائعة

هل أستطيع البحث في الأمن السيبراني دون خبرة برمجية؟

نعم. بحوث العوامل البشرية والحوكمة والسياسات جزء أصيل من المجال، وأدواتها الاستبانات والمقابلات وتحليل الوثائق. المهم أن تفهم المفاهيم الأمنية التي تقيسها فهمًا صحيحًا، وأن تبني أداتك على أطر معروفة.

هل تكفي مجموعة بيانات عامة واحدة في رسالة الماجستير؟

قد يقبلها مشرفك، لكن الرسالة تقوى إذا أضفت مجموعة ثانية أحدث أو بيانات مختبرية، وناقشت المشكلات الموثقة في المجموعة التي اخترتها. اتفق مع مشرفك على ذلك مبكرًا لأنه يؤثر في خطتك الزمنية.

هل أحتاج إذنًا لاختبار شبكة الجامعة التي أدرس فيها؟

نعم. كونك طالبًا في الجامعة لا يمنحك صلاحية اختبار أنظمتها. اطلب تفويضًا مكتوبًا من الجهة المسؤولة عن تقنية المعلومات يحدد ما ستختبره ومتى وكيف، واحفظه مع وثائق رسالتك.

ما الفرق بين نموذج التهديد وتحليل المخاطر؟

نموذج التهديد يصف المهاجم الذي يبني عليه بحثك تصميمه وتقييمه. أما تحليل المخاطر فأداة إدارية تقدر احتمال الحوادث وأثرها على المؤسسة لترتيب أولويات الحماية. قد يستخدم بحث الحوكمة الثاني، لكن بحث الأنظمة لا يستغني عن الأول.

المنهجية الجيدة في الأمن السيبراني تجيب للمحكم بوضوح: من المهاجم، ومن أين جاءت البيانات، وكيف قيس النجاح، وما الذي بقي خارج الدراسة. إذا كنت تعد خطة رسالتك في هذا المجال وتريد مراجعة نموذج التهديد أو تصميم التجربة قبل عرضها على القسم، فخدمة إعداد الخطط والمقترحات البحثية في مركز المستشار تساعدك على بنائها، ويمكنك أن تبدأ الآن: احجز استشارة مجانية.