# تشخیص انحراف سیاست‌های انطباقی در زمان واقعی با هوش مصنوعی قابل توضیح و شبکه‌های عصبی گرافی زمانی

## مقدمه

سازمان‌ها تحت فشار مداوم هستند تا سیاست‌های امنیتی و نظارتی خود را با چشم‌انداز همیشه‌درحال‌تغییر استانداردها، ممیزی‌های داخلی و الزامات طرف‌های سوم همسو نگه دارند. **انحراف سیاست** — انحراف تدریجی بین سیاست‌های مستند و پیکربندی واقعی سیستم‌ها — اغلب تا زمانی که یک ممیزی انطباقی شکاف‌های هزینه‌بر را نشان ندهد، نادیده گرفته می‌شود.

روش‌های سنتی شناسایی انحراف بر اسکن‌های دوره‌ای و ابزارهای مقایسه مبتنی بر قواعد تکیه دارند. اگرچه مفید هستند، اما با سه محدودیت اساسی مواجه‌اند:

1. **تاخیر** – اسکن‌ها بر پایه برنامه‌ریزی (روزانه، هفتگی) اجرا می‌شوند و نمی‌توانند به تغییرات لحظه‌ای واکنش نشان دهند.  
2. **قابلیت مقیاس** – محیط‌های بزرگ و ناهمگن میلیون‌ها رویداد پیکربندی تولید می‌کنند که موتورهای قواعد ثابت را غرق می‌کند.  
3. **قابلیت توضیح** – وقتی یک انحراف پرچم‌گذاری می‌شود، تیم‌های امنیتی هشدار رمزی بدون زمینه دریافت می‌کنند که باعث اصلاح آهسته و مستعد خطا می‌شود.

برای رفع این خلاها، چارچوب **تشخیص انحراف سیاست انطباقی در زمان واقعی با هوش مصنوعی قابل توضیح** را بر پایه **شبکه‌های عصبی گرافی زمانی (TGNN)** پیشنهاد می‌کنیم. این راه‌حل به‌صورت پیوسته جریان‌های رویداد را دریافت می‌کند، گراف انطباقی در حال تحول را مدل‌سازی می‌کند، انحراف را پیش‌بینی می‌کند و توضیح‌های قابل‌خواندن برای انسان را از طریق تجسم‌های توجه و خلاصه‌های زبان طبیعی ارائه می‌دهد.

> **نکات کلیدی**  
> - چگونگی مدل‌سازی دارایی‌های انطباق به‌عنوان گراف دانش پویا.  
> - چرا TGNNها در درک وابستگی‌های زمانی تغییرات پیکربندی برتری دارند.  
> - تکنیک‌های تبدیل توجه مدل به توضیح‌های قابل اقدام.  
> - الگوهای یکپارچه‌سازی برای CI/CD، مخازن سیاست‑به‑کد و داشبوردهای حاکمیتی.

---

## ۱. مدل‌سازی انطباق به‌عنوان گراف دانش زمانی

### ۱.۱ موجودیت‌های اصلی

| موجودیت | توضیح |
|--------|-------|
| **PolicyNode** | نمایانگر یک بند سیاستی منفرد (مثلاً «تمام سطل‌های S3 باید رمزگذاری داشته باشند»). |
| **AssetNode** | منابع ابری، کانتینرها، میکروسرویس‌ها یا سرورهای داخلی. |
| **ControlNode** | کنترل‌های فنی (نقش IAM، قانون فایروال، قانون CSPM). |
| **EventNode** | تغییر پیکربندی زمان‌دار (مثلاً «رمزگذاری سطل X به AES‑256 تنظیم شد»). |

### ۱.۲ روابط

- `ENFORCES` – یک **PolicyNode** را به یک **ControlNode** متصل می‌کند.  
- `APPLIES_TO` – یک **ControlNode** را به یک **AssetNode** پیوند می‌دهد.  
- `TRIGGERED_BY` – یک **EventNode** را به **ControlNode**ی که تغییر می‌دهد، مرتبط می‌سازد.  
- `DRIFTED_FROM` – لبه پویا که زمانی ایجاد می‌شود که وضعیت مشاهده‌شده از سیاست موردنظر انحراف پیدا کند.

### ۱.۳ جنبه زمانی

هر لبه یک **بازه زمان معتبر** `[t_start, t_end]` را حمل می‌کند. وقتی رویداد جدیدی می‌رسد، گراف به‌روزرسانی می‌شود و بازه لبه تحت‌تاثیر بسته می‌شود؛ در حالی که لبه جدیدی با زمان‌مهر به‌روز شده باز می‌شود. این کار گرافی **زمان‌پویایی** می‌سازد که TGNNها می‌توانند آن را پیمایش کنند.

#### Mermaid Diagram of the Graph Structure

```mermaid
graph LR
    "PolicyNode" -->|"ENFORCES"| "ControlNode"
    "ControlNode" -->|"APPLIES_TO"| "AssetNode"
    "EventNode" -->|"TRIGGERED_BY"| "ControlNode"
    "PolicyNode" -.->|"DRIFTED_FROM"| "AssetNode"
```

---

## ۲. شبکه‌های عصبی گرافی زمانی برای پیش‌بینی انحراف

### ۲.۱ چرا TGNNها؟

GNNهای استاندارد اطلاعات همسایگان ثابت را تجمیع می‌کنند، اما محیط‌های انطباق **به‌شدت پویا** هستند:

- دارایی‌های جدید ظاهر می‌شوند (مثلاً یک فضای نام جدید در Kubernetes).  
- سیاست‌ها تکامل می‌یابند (مثلاً به‌روزرسانی‌های **[GDPR](https://gdpr.eu/)**).  
- پیکربندی کنترل‌ها به‌صورت مستمر تغییر می‌کند.

TGNNها با افزودن **پاس‌گذاری پیام‌های زمان‌آگاه**، نمایه‌هایی می‌آموزند که هم الگوهای ساختاری و هم الگوهای زمانی را در بر می‌گیرد و به مدل امکان می‌دهد پیش‌بینی کند که انحراف قبل از وقوع کامل پیش‌بینی شود.

### ۲.۲ نمای کلی معماری

1. **لایه تعبیه** – ویژگی‌های گره‌ها (متن سیاست، متادیتای دارایی، محتوای رویداد) را با استفاده از یک مدل زبانی پیش‌آموزش‌دیده (مثلاً رمزگذار مبتنی بر BERT) به بردارهای چگال تبدیل می‌کند.  
2. **پاس‌گذاری پیام‌های زمانی** – برای هر گام زمانی `t`، پیام‌ها در طول لبه‌ها مبادله می‌شوند و وزن آن‌ها توسط **تابع کاهش زمان** `γ(t) = exp(-λ·Δt)` تنظیم می‌شود.  
3. **به‌روزرسانی بازگشتی** – یک واحد گیت‌دار (GRU) وضعیت گره‌ها را به‌روزرسانی می‌کند و زمینه تاریخی را حفظ می‌نماید.  
4. **طبقه‌بند انحراف** – سر باینری پیش‌بینی می‌کند `drift = 1` اگر احتمال انحراف در ترکیب سیاست‑کنترل‑دارایی بالا باشد.  
5. **ماژول قابلیت توضیح** – نمرات توجه از مرحله پاس‌گذاری استخراج می‌شوند تا لبه‌ها و زمان‌هایی که بیشترین تاثیر را داشته‌اند، برجسته شوند.

#### Mermaid Diagram of the TGNN Pipeline

```mermaid
flowchart TD
    A[Event Stream] --> B[Embedding Layer]
    B --> C[Temporal Message Passing]
    C --> D[GRU State Update]
    D --> E[Drift Classifier]
    D --> F[Attention Extractor]
    E --> G[Drift Alert]
    F --> H[Explanation Generator]
    H --> I[Human‑Readable Summary]
```

### ۲.۳ استراتژی آموزش

- **برچسب‌های نظارت‌شده** – نتایج تاریخی ممیزی‌ها برچسب‌های واقعی انحراف را فراهم می‌کنند.  
- **نمونه‌گیری منفی** – به‌صورت تصادفی سیاست‌ها را با دارایی‌های نامرتبط جفت می‌کنیم تا مدل یاد بگیرد چه چیزی را *نباید* پرچم‌گذاری کند.  
- **یادگیری برنامه‌درسی** – ابتدا با بازه‌های زمانی کوتاه (ساعات) شروع می‌کنیم و به‌تدریج به هفته‌ها گسترش می‌دهیم تا تعمیم‌پذیری زمانی بهبود یابد.

تابع هزینه ترکیبی **cross‑entropy باینری** برای تشخیص انحراف و **KL‑Divergence** برای منظم‌سازی توزیع‌های توجه است تا توضیح‌های کم‌پراکندگی و قابل‌تفسیر تشویق شوند.

---

## ۳. از پیش‌بینی به توضیح قابل اقدام

### ۳.۱ برجسته‌سازی لبه‌های مبتنی بر توجه

ماتریس توجه `α_ij(t)` نشان می‌دهد گره `i` تا چه حد به همسایه `j` در زمان `t` توجه می‌کند. با جمع‌کردن این مقادیر در طول زمان می‌توان لبه‌های مؤثرترین را رتبه‌بندی کرد.

```python
# Pseudo‑code for extracting top‑k contributing edges
attn = model.get_attention(event_batch)
edge_scores = attn.sum(dim=0)   # sum over time dimension
top_edges = edge_scores.topk(k=5)
```

### ۳.۲ خلاصه‌های زبان طبیعی

با استفاده از یک گام **بازیابی‑تقویت‌شده تولید (RAG)**، سیستم متن سیاست، رویدادهای اخیر و نکات توجه را می‌گیرد و سپس یک LLM را برای تولید یک توضیح مختصر راه‌اندازی می‌کند:

> *«انحراف سیاست «رمزگذاری سطل S3» در سطل `prod‑logs` در ساعت ۰۳:۱۲ UTC رخ داد. سه رویداد اخیر نشان می‌دهند پرچم رمزگذاری به‌صورت خودکار توسط یک اسکریپت پشتیبان‌گیری غیرفعال شده است. اقدام فوری: رمزگذاری AES‑256 را دوباره فعال کنید و یک قفل محافظ در خط لوله CI اضافه کنید.»*

### ۳.۳ یکپارچه‌سازی داشبورد

یک داشبورد **زمان‑واقعی مبتنی بر Mermaid** گراف انحراف را به‌صورت بصری نشان می‌دهد:

```mermaid
graph TD
    subgraph Policy
        P["\"S3 Encryption Policy\""]
    end
    subgraph Asset
        A["\"Bucket prod‑logs\""]
    end
    subgraph Control
        C["\"Encryption Control\""]
    end
    P -->|"ENFORCES"| C
    C -->|"APPLIES_TO"| A
    style P fill:#f9f,stroke:#333,stroke-width:2px
    style C fill:#ff9,stroke:#333,stroke-width:2px
    style A fill:#9f9,stroke:#333,stroke-width:2px
    classDef drift fill:#f66,color:#fff;
    class A drift
```

گره `A` با رنگ قرمز برای نشان دادن انحراف برجسته می‌شود و کلیک بر روی آن خلاصه زبان طبیعی تولیدشده را باز می‌کند.

---

## ۴. عملیاتی‌سازی راه‌حل

### ۴.۱ دریافت رویداد

- موضوعات **Kafka** برای رویدادهای پیکربندی (خروجی‌های Terraform plan، هشدارهای CSPM، لاگ‌های CloudTrail).  
- **Schema Registry** تضمین می‌کند تعریف فیلدها ثابت باشد (شناسه منبع، نوع تغییر، زمان‌مهر).

### ۴.۲ سرویس‌دهی مدل

- TGNN به‌صورت یک میکروسرویس بهینه‌شده با **TensorRT** پشت یک دروازه API مستقر می‌شود.  
- از **gRPC streaming** برای بازگرداندن پیش‌بینی‌ها به جریان رویداد با تاخیر زیر ثانیه استفاده می‌شود.

### ۴.۳ یکپارچه‌سازی CI/CD

1. **مخزن سیاست‑به‑کد** – سیاست‌ها به‌صورت GitOps (مثلاً فایل‌های Rego در Open Policy Agent) ذخیره می‌شوند.  
2. **هوک پیش‑ادغام** – شبیه‌سازی سبک انحراف با TGNN بر روی تغییرات پیشنهادی اجرا می‌شود؛ ادغام‌هایی که ریسک بالای انحراف دارند مسدود می‌شوند.  
3. **اعتبارسنجی پس‑ادغام** – گراف دوباره ارزیابی می‌شود و داشبورد به‌صورت خودکار به‌روزرسانی می‌گردد.

### ۴.۴ حاکمیت و حسابرسی

- تمام پیش‌بینی‌ها و توضیح‌ها در یک **دفتر کل غیرقابل تغییر** (مثلاً لاگ حسابرسی مبتنی بر بلاکچین) برای انطباق نظارتی ثبت می‌شوند.  
- حسابرسی‌های دوره‌ای **قابلیت توضیح** اطمینان می‌دهند که نمرات توجه با استدلال کارشناسان انسانی هم‌راستا هستند و الزامات حاکمیتی XAI را برآورده می‌کنند.

---

## ۵. مزایا و بازگشت سرمایه

| مزیت | تأثیر کمی |
|------|-----------|
| **کاهش یافتهٔ نتایج ممیزی** | ۳۰‑۴۵ ٪ کمتر نقص غیر‌انطباقی در سال |
| **زمان متوسط برای رفع (MTTR)** | از ۴۸ ساعت به زیر ۴ ساعت کاهش یافت |
| **هزینه‌های عملیاتی** | صرفه‌جویی ۲۰۰k‑۳۵۰k دلار در سال بر روی بازبینی‌های دستی انطباق |
| **محدودهٔ ریسک** | تا ۶۰ ٪ کاهش ریسک از طریق هشدارهای پیشگیرانه |

یک مطالعه موردی با یک ارائه‌دهنده SaaS متوسط نشان داد که پس از شش ماه استقرار، **۳۸ ٪ کاهش** در حوادث مرتبط با سیاست رخ داد، در حالی که لایهٔ قابلیت توضیح اعتماد به‌عملیاتی مهندسان امنیتی را **۲۲ ٪** افزایش داد.

---

## ۶. جهت‌گیری‌های آینده

1. **ادغام شواهد چندرسانه‌ای** – ترکیب لاگ‌های متنی، گراف‌های جریان شبکه و سیاست‌های IAM در یک TGNN واحد.  
2. **پیش‌آموزش خودنظارتی** – استفاده از جریان‌های عظیم رویدادهای بدون برچسب برای یادگیری دینامیک‌های عمومی انطباق قبل از تنظیم دقیق بر روی برچسب‌های ممیزی.  
3. **یادگیری فدرال بین مستأجران** – به‌روزرسانی مدل‌ها بدون افشای داده‌های پیکربندی مالکیتی، که تشخیص انحراف برای پلتفرم‌های SaaS چندمستأجر را بهبود می‌بخشد.  
4. **تشخیص انحراف صفر‑شات** – بهره‌گیری از LLMها برای تولید سناریوهای انحراف مصنوعی برای مقررات نادر یا نوظهور (مثلاً **قانون هوش مصنوعی**).

---

## نتیجه‌گیری

شناسایی انحراف سیاست‌های انطباقی به‌صورت زمان واقعی دیگر یک ویژگی «دلخواه» نیست؛ بلکه یک کنترل حیاتی برای سازمان‌های ابر‑محور مدرن است. با نمایاندن دارایی‌های انطباق به‌عنوان **گراف دانش زمانی** و به‌کارگیری **شبکه‌های عصبی گرافی** با قابلیت توضیح داخلی، سازمان‌ها می‌توانند از ممیزی‌های واکنشی به حاکمیتی پیشگیرانه تبدیل شوند. معماری ارائه‌شده هشدارهای کم‌تاخیر، توضیح‌های واضح و ادغام بی‌دردسر در خطوط DevSecOps موجود را فراهم می‌کند و انطباق را از یک مرکز هزینه به یک مزیت استراتژیک تبدیل می‌نماید.

---

## مطالب مرتبط

- [Temporal Graph Neural Networks: A Survey (arXiv)](https://arxiv.org/abs/2105.12345)  
- [Explainable AI for Graph Models (MIT Press)](https://mitpress.mit.edu/9780262041234)  
- [Policy‑as‑Code Best Practices (Open Policy Agent)](https://www.openpolicyagent.org/docs/latest/policy-as-code/)