Next-generation cyberattack detection with large language models: anomaly analysis across heterogeneous logs
تقدم هذه الورقة إطار عمل لنماذج اللغات الكبيرة يتكون من مرحلتين ومجموعات بيانات متوازنة ومبتكرة للتغلب على قيود أنظمة كشف التسلل التقليدية، محققةً بذلك كشفاً عملياً ومنخفض التكلفة وفي الوقت الفعلي للأنشطة غير الطبيعية عبر مصادر سجلات متباينة مع معالجة ندرة البيانات ومقاييس التقييم المضللة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك رئيس الأمن في مدينة ضخمة ومزدحمة. كل يوم، يسير الملايين في الشوارع، ويدخلون المباني، ويستخدمون الخدمات. في معظم الأوقات، يمارس الجميع أعمالهم الطبيعية فحسب. ولكن من حين لآخر، يحاول لص اقتحام بنك، أو يحاول مخرب العبث بشبكة الطاقة.
مهمتك هي مراقبة كاميرات المراقبة (السجلات - logs) ورصد الأشرار. المشكلة هي أن هناك الكثير من الكاميرات، وكل منها يتحدث لغة مختلفة. كاميرا تتحدث عن "أقفال الأبواب"، وأخرى عن "حركة البريد الإلكتروني"، وثالثة عن "درجات حرارة الخادم". حراس الأمن التقليديون (برامج الكمبيوتر القديمة) يشعرون بالارتباك؛ فهم إما يفوتون اللصوص لأنهم لا يفهمون السياق، أو يصرخون "حريق!" في كل مرة يُفتح فيها باب، مما يسبب حالة من الذعر بسبب الإنذارات الكاذبة.
تقدم هذه الورقة البحثية طريقة جديدة وأكثر ذكاءً للقيام بذلك باستخدام النماذج اللغوية الكبيرة (LLMs) — فكر فيها كأنها محققون أذكياء للغاية يمكنهم قراءة وفهم "القصص" المكتوبة في هذه السجلات. إليك كيف حلوا المشونة، مقسمة إلى خطوات بسيطة:
1. المشكلة: "الإبرة في كومة القش" معطلة
يشير المؤلفون إلى خلل رئيسي في كيفية اختبار أنظمة الأمن هذه حالياً.
- التشبيه: تخيل أن معلماً يعطي طالباً اختباراً يحتوي على 99 سؤالاً عن "التفاح" وسؤال واحد فقط عن "البرتقال". إذا أجاب الطالب بكلمة "تفاح" على كل الأسئلة، فسيحصل على درجة 99%! لكنه فشل تماماً في العثور على البرتقالة.
- الواقع: في الحياة الواقعية، الهجمات السيبرانية نادرة (مثل البرتقالة). معظم السجلات طبيعية. الاختبارات القديمة كانت تشبه ذلك الامتحان المزيف؛ حيث جعلت النماذج تبدو ذكية لأنها كانت ببساطة تخمن أن "كل شيء طبيعي". وعندما يتم نشر هذه النماذج فعلياً، فإنها تفشل في رصد كل الهجمات.
2. الحل: بناء مكتبة أفضل (مجموعات البيانات)
لإصلاح ذلك، بنى المؤلفون "مكتبتين" جديدتين من البيانات (مجموعات البيانات) لتدريب ذكائهم الاصطناعي.
- المكتبة أ (LogAtlas-Foundation-Sessions): هذه تشبه موسوعة ضخمة لكيفية تصرف المدينة عادةً. تحتوي على 19 مليون إدخال سجل من 8 أنواع مختلفة من الأنظمة (خوادم، جدران حماية، بريد إلكتروني). إنها تعلم الذكاء الاصطناعي "قواعد" و"مفردات" الحياة الطبيعية ليعرف ما الذي يبدو عليه "اليوم العادي".
- المكتبة ب (LogAtlas-Defense-Set): هذه هي ساحة التدريب للمحققين الفعليين. على عكس المكتبات القديمة، هذه المكتبة متوازنة. فهي تحتوي على الكثير من أمثلة "الهجمات" (حوالي 35% من البيانات) حتى يتعلم الذكاء الاصطناعي كيفية رصد الأشرار فعلياً بدلاً من مجرد التخمين بأن "كل شيء على ما يرام".
3. استراتيجية التدريب: المعلم والمتدرب
استخدم المؤلفون طريقة تدريب ذكية مكونة من خطوتين للحصول على أفضل النتائج دون الحاجة إلى كمبيوتر خارق بحجم مبنى.
الخطوة 1: المحقق الخبير (Base-AMAN)
قاموا بتدريب نموذج كبير وذكي (3 مليارات معلمة) على المكتبة (أ). أصبح هذا النموذج خبيراً في فهم سياق السجلات. لقد تعلم أن "فشل تسجيل الدخول" في الساعة 3 صباحاً يختلف عنه في الساعة 3 مساءً، أو أن الارتفاع المفاجئ في حركة المرور من خادم معين هو أمر مريب. إنه مثل محقق مخضرم شهد كل شيء.- الحيلة التقنية: استخدموا تقنية تسمى Soft Mixture-of-Experts، وهي تشبه وجود فريق من المتخصصين (واحد لسجلات الشبكة، وآخر للبريد الإلكتروني، إلخ) يعملون جميعاً معاً على كل قضية، بدلاً من شخص واحد يحاول القيام بكل شيء.
الخطوة 2: المتدرب (AMAN)
لا يمكنك تشغيل نموذج بـ 3 مليارات معلمة على كمبيوتر محمول رخيص؛ فهو بطيء ومكلف للغاية. لذا، استخدموا تقنية تقطير المعرفة (Knowledge Distillation).- التشبيه: تخيل أن المحقق الخبير (النموذج الكبير) يجلس مع متدرب شاب (نموذج صغير بـ 0.5 مليار معلمة). المحقق لا يكتفي بقول "هذه جريمة"، بل يشرح لماذا: "هذا يبدو بنسبة 65% كجريمة و35% كخطأ". يتعلم المتدرب من هذه التفسيرات الدقيقة.
- النتيجة: يصبح المتدرب ذكياً مثل المحقق تقريباً، ولكنه صغير، سريع، ومنخفض التكلفة.
4. النتائج: سريعة، رخيصة، وحقيقية
تزعم الورقة أن هذا النظام الجديد يعمل في العالم الحقيقي، وليس فقط في المختبر.
- السرعة: يمكن لنموذج المتدرب الصغير تحليل جلسة مكونة من 500 سطر سجل في 0.2 إلى 0.5 ثانية. هذا سريع بما يكفي لرصد المخترق في الوقت الفعلي.
- التكلفة: تشغيل هذا النظام يكلف حوالي 10 إلى 50 دولاراً يومياً على أجهزة الكمبيوتر السحابية القياسية. يقارن المؤلفون هذا بتكلفة توظيف محلل مبتدئ لمدة 30 دقيقة فقط. إنه رخيص بما يكفي للعمل على مدار الساعة طوال الأسبوع.
- الموثوقية: نظرًا لأنهم دربوا النموذج على مجموعة بيانات "متوازنة"، فإنه لا يكتفي بمجرد التخمين بأنه "طبيعي"، بل يرصد الهجمات فعلياً دون إغراق الفرق الأمنية بالإنذارات الكاذبة.
الخلاصة الكبرى
يجادل المؤلفون بأن مجال الأمن السيبراني يحتاج إلى التوقف عن استخدام الاختبارات "المزيفة" التي تجعل النماذج تبدو جيدة ولكنها تفشل في الحياة الواقعية. لقد قدموا:
- بيانات أفضل: مجموعات بيانات واقعية ومتوازنة تعكس الهجمات الفعلية.
- تدريب أفضل: طريقة لتعليم النماذج الصغيرة والسريعة لتكون ذكية من خلال التعلم من النماذج الكبيرة والبطيئة.
- معيار جديد: دعوة للصناعة للاتفاق على كيفية اختبار هذه الأنظمة بشكل صحيح بحيث عندما يقول النموذج إن دقته "99%"، فإنه يعني حقاً أنه يمكنه رصد الأشرار، وليس مجرد تجاهلهم.
باختصار، لقد بنوا "حارس أمن رقمي" ذكياً، ميسور التكلفة، وسريعاً، يفهم حقاً ما ينظر إليه، بدلاً من مجرد التخمين.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.