OntoLogX: Ontology-Guided Knowledge Graph Extraction from Cybersecurity Logs with Large Language Models

إليك ملخص تقني مفصل لورقة البحث بعنوان: "OntoLogX: استخراج الرسوم البيانية للمعرفة الموجهة بالأنطولوجيا من سجلات الأمن السيبراني باستخدام النماذج اللغوية الكبيرة."

1. بيان المشكلة

تُعد سجلات أنظمة الأمن السيبراني مصدراً حيوياً لاستخبارات التهديدات السيبرانية (CTI)، حيث تحتوي على أدلة حول سلوكيات المهاجمين، والثغرات الأمنية، والآثار الضارة. ومع ذلك، فإن استخراج معلومات استخباراتية قابلة للتنفيذ من هذه السجلات يعوقه عدة تحديات:

• بيانات غير منظمة وغير متجانسة: تختلف السجلات بشكل كبير في التنسيق، والبناء (Syntax)، والدلالات (Semantics) عبر مختلف الأجهزة والجلسات.
• التجزئة: غالباً ما تكون سيناريوهات الهجوم مقسمة عبر عدة مدخلات سجل، مما يجعل من الصعب إعادة بناء السرد الكامل.
• محدودية الطرق التقليدية: تفتقر أدوات التحليل القائمة على القواعد والاستدلالات إلى القدرة على التكيف والتعميم عبر سلوكيات التهديد المتطورة وتنسيقات السجلات المتنوعة.
• محدودية النماذج اللغوية الكبيرة (LLMs): بينما تتفوق النماذج اللغوية الكبيرة في معالجة اللغات الطبيعية، إلا أنها غالباً ما تفتقر إلى الاتساق الواقعي، والترسيخ المرتبط بمجال محدد، والقدرة على إنتاج مخرجات ذات بنية صحيية دون تدخل كثيف من المستخدم أو معالجة مسبقة.

تتمثل المشكلة الجوهرية في الحاجة إلى نظام مستقل يمكنه تحويل بيانات السجلات الخام والمشوشة إلى رسوم بيانية للمعرفة (KGs) متماسكة، ومتسقة دلالياً، وقابلة للتشغيل البيني دون تدخل يدوي، مع ضمان التزام المخرجات بأنطولوجيات مجال محددة بدقة.

2. المنهجية: إطار عمل OntoLogX

OntoLogX هو وكيل ذكاء اصطناعي مستقل مصمم لمعالجة أحداث السجلات بشكل تسلسلي وتزايدي. وهو يستفيد من النماذج اللغوية الكبيرة (LLMs)، والجيل المعزز بالاسترجاع (RAG)، والتحقق التكراري لبناء رسوم بيانية للمعرفة (KGs) مرتكزة على الأنطولوجيا. يتكون سير العمل من أربع مراحل رئيسية:

أ. تصميم الأنطولوجيا (Ontology Design)

يستخدم النظام أنطولوجيا سجلات خفيفة الوزن ومخصصة مصممة خصيصاً للأمن السيبراني.

• الهيكل: يحدد فئات أساسية مثل الحدث (Event)، والمصدر (Source) (الجهاز/التطبيق)، والمعامل (Parameter) (مثل الطوابع الزمنية، وعناوين الشبكة، والمستخدمين)، واعتماد المستخدم (UserCredential).
• المواءمة: يرتبط بالأنطولوجيات القياسية للمصدر (مثل prov-o) وأنطولوجيات الوقت التابعة لـ W3C لضمان التشغيل البيني.
• التحقق: يفرض مخطط SHACL (لغة قيود الأشكال) قيوداً على تعددية الخصائص، وأنواع البيانات، والحقول المطلوبة لضمان الصحة النحوية والدلالية.

ب. الاسترجاع الهجين (Hybrid Retrieval - RAG)

قبل إنشاء رسم بياني للمعرفة لحدث سجل جديد، يقوم OntoLogX باسترجاع أمثلة سابقة متشابهة دلالياً لتعمل كـ نماذج توضيحية (Few-shot prompts).

• البحث الهجين: يجمع بين البحث المتجهي (للتشابه الدلالي) والبحث عن النص الكامل (لمطابقة الكلمات المفتاحية الدقيقة) ضد قاعدة بيانات رسوم بيانية للمعرفة تم إنشاؤها سابقاً.
• إعادة التصنيف (Re-ranking): يستخدم النظام تقنية الارتباط الأقصى (MMR) للموازنة بين الصلة والتنوع، مما يضمن أن الأمثلة المسترجعة تغطي نطاقاً واسضاً من الأنماط بدلاً من التكتل حول تفسير واحد.

ج. التوليد الموجه بالأنطولوجيا (Ontology-Guided Generation)

يقوم النموذج اللغوي الكبير بتوليد رسم بياني للمعرفة مرشح بناءً على سجل خام، وسياق اختياري (مثل نوع الجهاز)، والأمثلة المسترجعة.

• المخرجات المهيكلة: يتم تقييد النموذج لإخراج البيانات بتنسيق محدد مسبقاً (مثل JSON أو Turtle) وفقاً للأنطولوجيا، مما يمنع توليد النصوص الحرة.
• استقلالية النموذج: تصميم المطالبة (Prompt) عام، مما يسمح بالتوافق مع مختلف خلفيات النماذج اللغوية الكبيرة.

د. التحقق والتصحيح التكراري (Iterative Validation and Correction)

للحد من الهلوسة في النماذج اللغوية والأخطاء الهيكلية، يستخدم OntoLogX حلقة تصحيح ذاتي:

1. التحقق النحوي: يتحقق من تنسيق المخرجات.
2. الامتثال للأنطولوجيا: يشغل المخرجات مقابل قواعد SHALC.
3. التحقق الدلالي: يتحقق من وجود تناقضات منطقية (مثل عقد أحداث مفقودة، أو علاقات غير معرفة).
4. مطالبة التصحيح: إذا وجدت انتهاكات، يقوم النظام بإنشاء مطالبة مستهدفة للنموذج اللغوي لإصلاح أخطاء محددة. تتكرر هذه الحلقة (حتى 3 مرات) حتى يتم إنتاج رسم بياني صالح أو يلجأ النظام إلى رسم بيء فارغ.

هـ. التطبيق اللاحق: التنبؤ بالتكتيكات (Tactics Prediction)

بمجرد إنشاء الرسوم البيانية للمعرفة وتجميعها في جلسات (بناءً على التقارب الزمني أو المنطقي)، يقوم استدعاء أخير للنموذج اللغوي بتحليل الرسم البيئي المجمع للتنبؤ بتكتيكات MITRE ATT&CK. هذا يربط بين أدلة السجلات منخفضة المستوى والأهداف العدائية عالية المستوى.

3. المساهمات الرئيسية

1. أنطولوجيا سجلات خفيفة الوزن ومخطط SHACL: مخطط متخصص في المجال مصمم للموازنة بين القدرة التعبيرية والبساطة المطلوبة للاستخراج الآلي من السجلات الخام.
2. وكيل OntoLogX: وكيل يعتمد على الاسترجاع المعزز والنموذج اللغوي الكبير، يقوم بتحويل السجلات الخام إلى رسوم بيانية للمعرفة متوافقة مع الأنطولوجيا بشكل مستقل دون تدخل بشري.
3. آلية التصحيح التكراري: حلقة تغذية راجعة مبتكرة تستخدم التحقق من SHACL لتحسين مخرجات النماذج اللغوية بشكل تكراري، مما يحسن الدقة الهيكلية بشكل كبير.
4. التقييم التجريبي: دراسة شاملة قيمت النظام باستخدام مجموعات بيانات معيارية عامة ومجموعة بيانات "Honeypot" واقعية، بما في ذلك دراسة استئصال لمكونات النظام ومقارنة عبر ثمانية نماذج لغوية كبيرة مختلفة.

4. النتائج التجريبية

قيم المؤلفون OntoLogX باستخدام ثمانية نماذج لغوية كبيرة (بما في ذلك Llama 3.3، وClaude 3.5، وMistral، وQwen3 Coder) على مجموعتي بيانات: مجموعة بيانات AIT (غير متجانسة وغير مركزة على الهجمات) ومجموعة بيانات Cowrie honeypot (نشاط عدائي واقعي).

• جودة بناء الرسم البياني للمعرفة (KG):

  • الأداء: حقق المسار الكامل (الاسترجاع + المخرجات المهيكلة + التصحيح) أعلى درجات الدقة (Precision)، والاستدعاء (Recall)، ومقياس F1.
  • مقارنة النماذج: حقق كل من Claude Sonnet 4 وQwen3 Coder (32B) أفضل أداء. ومن الملاحظ أن النماذج المتخصصة في البرمجة (Qwen) ونماذج الاستدلال أظهرت نجاحات متفاوتة؛ حيث واجهت نماذج الاستدلال (مثل gpt-oss) صعوبة في التعامل مع أدوات المخرجات المهيكلة، وغالباً ما فشلت في استدعاء الوظيفة (Function Call) بشكل صحيح.
  • دراسة الاستئصال (Ablation): كانت آليات الاسترجاع والتصحيح حاسمة. فبينما حسن الاسترجاع وحده الاتساق، قلل التصحيح بشكل كبير من انتهاكات SHACL.
  • المقايضة: توجد مقايضة بين درجات G-Eval (الثراء الدلالي) ودرجات F1 (الدقة الهيكلية). ويرى المؤلفون أن النهج المتوازن (G-Eval ~0.7–0.8) هو الأمثل لتجنب الرسوم البيانية المشوشة ولكن "الغنية" دلالياً.

• التنبؤ بتكتيكات MITRE ATT&CK:

  • تفوق OntoLogX على خط الأساس (الذي يتنبأ بالنماذج اللغوية بالتكتيكات مباشرة من السجلات الخام).
  • نقاط القوة: أظهر استدعاءً (Recall) فائقاً للتكتيكات المعقدة التي تعتمد على السياق مثل الاكتشاف (Discovery)، والوصول إلى الاعتمادات (Credential Access)، وتجنب الدفاع (Defense Evasion)، والتي تتطلب استدلالاً متعدد الخطوات عبر الكيانات المهيكلة.
  • القصور: كان الأداء أقل للتكتيكات التي تتطلب ارتباطاً طويل الأمد (مثل الاستمرارية - Persistence)، حيث تعتمد هذه التكتيكات غالباً على سياق بيئي لا يتم التقاطه بالكامل في جلسات السجل القصيرة.

5. الأهمية والعمل المستقبلي

الأهمية:

• الأتمتة: يثبت OntoLogX أن الوكلاء المستقلين يمكنهم سد الفجوة بفعالية بين السجلات غير المنظمة واستخبارات التهديدات السيبرانية المهيكلة، مما يقلل من الحاجة إلى التحليل اليدوي وهندسة القواعد.
• التشغيل البيني: من خلال ترسيخ المخرات في أنطولوجيا قياسية، يتيح النظام الاستعلام الدلالي والتكامل مع أطر استخبارات التهديدات السيبرانية الحالية.
• المعلومات الاستخباراتية القابلة للتنفيذ: القدرة على ربط الأحداث منخفضة المستوى بتكتيكات MITRE ATT&CK توفر لمحللي الأمن سياقاً تهديدياً عالي المستوى وفورياً.

القصور والتوجهات المستقبلية:

• التكلفة الحسابية: الاعتماد على النماذج اللغوية الكبيرة يفرض تأخراً في الاستجابة (Latency) وتكلفة عالية، مما قد يشكل تحدياً في البيئات ذات الإنتاجية العالية والوقت الفعلي.
• الهلوسة: رغم أن تقنيات RAG والتحقق تقلل المخاطر، إلا أنه لا يمكن القضاء على الهلوسة تماماً.
• القابلية للتوسع: يهدف العمل المستقبلي إلى تحسين تنظيم الموارد، واستكشاف التعلم التزايدي، وتوسيع الأنطولوجيا لتشمل مصادر سجلات متنوعة للمؤسسات والصناعات.

في الختام، يمثل OntoLogX خطوة مهمة نحو أتمتة استخبارات التهديدات السيبرانية، حيث يثبت أن الجمع بين القيود الموجهة بالأنطولوجيا والقوة التوليدية للنماذج اللغوية الكبيرة يمكن أن يؤدي إلى رؤى أمنية قوية، قابلة للتفسير، وقابلة للتنفيذ.