Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
تقترح هذه الورقة مساراً معالجياً ثلاثي المراحل ومعيارياً لتعيين سجلات الأنظمة الأمنية غير المتجانسة إلى مخطط مشترك، مما يثبت من خلال تقييم مكثف على بيانات قطاع التعليم الكوري أن الجمع بين التنميط الهيكلي مع أدوات المطابقة الدلالية المحلية والقائمة على الوكيل يحسن دقة التعيين بشكل كبير مع الكشف عن مقايضة حرجة بين الدقة وزمن تأخير النشر عبر بيئات الموردين المختلفة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في الجهاز العصبي الرقمي للمؤسسات الحديثة، تعتمد فرق الأمن على تدفق مستمر من التقارير المؤتمتة المعروفة باسم سجلات النظام (system logs). هذه السجلات هي البصمات الرقمية التي تتركها جدران الحماية، والخوادم، وأجهزة الشبكة أثناء مراقبتها للتهديدات. ولكي تتمكن الفرق الأمنية من فهم هذا الفيض من المعلومات، يتعين عليها ترجمة هذه التقار تقارير إلى لغة واحدة موحدة. تخيل غرفة مليئة من الناس يحاولون مناقشة حريق، لكن أحدهم يسميه "لهيباً"، وآخر يسميه "اندلاعاً"، وثالث يسميه "حدث حراري"، بينما يصف الثلاثة الموقع باستخدام أسماء شوارع وأرقام مبانٍ مختلفة. بدون مفردات مشتركة، تفشل المحادثة. في عالم الأمن السيبراني، تسمى هذه المفردات المشتركة "المخطط" (schema). فعندما تُنتج منتجات أمنية مختلفة من شركات مصنعة مختلفة سجلات، فإنها غالباً ما تستخدم أسماء وهياكل فريدة خاصة بها لنفس المفاهيم الأساسية، مما يخلق حاجزاً فوضوياً يمنع الأنظمة المؤتمتة من تحليل البيانات بفعالية.
لقد تصدى فريق من الباحثين في جامعة هونجيك في كوريا الجنوبية لهذه المشكلة من خلال تطوير طريقة جديدة لترجمة هذه التقارير الأمنية المتضاربة إلى لغة مشتركة. يركز عملهم على الشبكة الضخمة من المؤسسات التعليمية عبر كوريا، حيث تولد آلاف الأجهزة الأمنية المختلفة من موردين متنوعين ملايين التنبيهات يومياً. وجد الباحثون أن مجرد محاولة إجبار نموذج واحد للذكاء الاصطناعي على حل مشكلة الترجمة بأكملها دفعة واحدة كان أمراً غير فعال وغير عملي في كثير من الأحيان للاستخدام في العالم الحقيقي. بدلاً من ذلك، قاموا بتفكيك المهمة إلى عملية مكونة من ثلاث خطوات تعمل مثل خط تجميع متخصص. أولاً، يقومون بتنظيف أسماء الحقول والهياكل الفوضوية. ثانياً، يستخدمون أداة مطابقة لإيجاد المعنى الصحيح. ثالثاً، يقومون بتقييم المطابقة لتحديد مدى ثقتهم في النتيجة. يسمح هذا النهج المجزأ للفرق الأمنية باختيار الأداة المناسبة لاحتياجاتهم الخاصة، مع موازنة السرعة والدقة.
يكمن جوهر حلهم في طريقة جديدة لتنظيم البيانات حتى قبل تحليلها. فقد أنشأ الباحثون تنسيقاً معيارياً يطلقون عليه اسم "كائن الخرائط الموحد" (Normalized Mapping Object). فكر في الأمر كأنك تأخذ ملاحظة ورقية معقدة ومكتوبة بخط اليد وتعيد كتابتها في نموذج صارم يتكون من ثلاثة أجزاء: اسم العنصر، ونوعه، وموقعه في التسلسل الهرمي للنظام. ومن خلال فرض هذا الهيكل الصارم على كل قطعة من البيانات، أزال الباحثون الارتباك الناتج عن استخدام الشركات المصنعة المختلفة لأسماء مختلفة لنفس الشيء. وقد اختبروا هذه الطريقة على مجموعة بيانات ضخمة مشتقة من مئات الوثائق التي تصف سجلات الأجهزة الأمنية المستخدمة في المدارس والجامعات. تضمنت مجموعة البيانات ألف حقل مصدر وألف حقل هدف، مما يمثل شبكة العلاقات المعقدة التي يجب على محللي الأمن إدارتها.
وعندما طبقوا هذا التنسيق المعياري على أدوات المطابقة الخاصة بهم، كانت النتائج فورية وكبيرة. فقد اختبروا نوعين مختلفين من محركات المطابقة: أحدهما يعمل محلياً على جهاز كمبيوتر باستخدام نموذج مدمج وفعال، والآخر يستخدم عميل ذكاء اصطناعي أكثر قوة يعتمد على السحابة. بدون التنسيق المعياري الجديد، لم يستطع النموذج المحلي تحديد المطابقة الصحيحة إلا في حوالي نصف الحالات. ومع التنسيق الجديد، قفزت دقته إلى أكثر من سبعين بالمائة. كما تحسن العميل القائم على السحابة والأكثر قوة، حيث ارتفع من حوالي ثمانية وسبعين بالمائة إلى أكثر من خمسة وثمانين بالمائة من الدقة. وقد أثبت ذلك أن قيمة عملهم لم تكن تكمن فقط في أداة المطابقة نفسها، بل في كيفية إعدادهم للبيانات من أجلها. لقد جعل التنسيق المعياري المهمة أسهل لكل من الأدوات البسيطة والمعقدة.
قام الباحثون بعد ذلك بمقارنة محركي المطابقة لمعرفة أيهما أفضل للعمليات الأمنية الحقيقية. كان العميل القائم على السحابة أكثر دقة قليلاً في إيجاد المطابقة الوحيدة الأفضل، حيث أصاب بنسبة حوالي ستة وثمانين بالمائة من المرات. ومع ذلك، كان بطيئاً للغاية، إذ يستغرق قرابة ستة وعشرين ثانية لمعالجة حقل واحد. وفي مركز أمني تصل إليه آلاف التنبيهات كل دقيقة، يعتبر تأخير بهذا الطول أمراً غير مقبول. في المقابل، كان النموذج المحلي أسرع بكثير، حيث يعالج الحقل في ثانية ونصف فقط. وبينما كان أقل دقة قليلاً في اختيار المطابقة الأولى، إلا أنه كان ممتازاً في تقديم قائمة قصيرة من أفضل خمسة مرشحين. في الواقع، وجد الإجابة الصحيحة ضمن أفضل خمسة خيارات في كثير من الأحيان أكثر من العميل الأبطأ. وقد كشف هذا عن مقايضة حاسمة: الأداة المحلية الأسرع تكاد تكون بجودة الأداة التي تقدم قائمة قصيرة للمحلل لمراجعتها، لكنها تفعل ذلك بشكل فوري ودون الحاجة إلى إرسال البيانات إلى خدمة خارجية.
ولضمان متانة نظامهم، اختبر الباحثون نظامهم ضد الاختلافات في العالم الحقيقي، بما في ذلك الموردون المختلفون الذين يستخدمون أسماء فريدة لميزات قياسية. وقد ركزوا على جدران حماية تطبيقات الويب من ثلاثة مصنعين مختلفين. وحتى عندما لم يكن النظام قد رأى الأسماء المحددة التي يستخدمها مورد جديد من قبل، استطاع النموذج المحلي رسم الحقول بشكل صحيح بنسبة حوالي ثلاثة وثمانين بالمائة عندما كان هناك هدف معياري متاح. وعندما حاولوا استخدام المعرفة من مورد واحد للمساعدة في رسم خرائط مورد مختلف تماماً، ظلت الدقة مرتفعة عند حوالي ثمانية وسبعين بالمائة. وهذا يشير إلى أن النظام يمكنه التعامل مع الواقع الفوضوي للسوق، حيث تظهر أجهزة ومصطلحات تسمية مختلفة باستمرار. كما قاس الباحثون أيضاً الوقت الذي تستغرقه كل خطوة، مؤكدين أن الطريقة المحلية سريعة بما يكفي للعمل على أجهزة مكتبية قياسية دون الاعتماد على خدمات سحابية مكلفة.
تخلص الدراسة إلى أنه لا توجد طريقة واحدة "مثلى" لحل هذه المشكلة لكل موقف. بدلاً من ذلك، يعتمد النهج الأفضل على القيود المحددة للفريق الأمني. فإذا كانت الأولوية هي إيجاد المطابقة المثالية المطلقة ولم تكن السرعة عائقاً، فإن العميل السحابي القوي هو الخيار الأفضل. ومع ذلك، بالنسبة لمعظم مراكز العمليات الأمنية التي تحتاج إلى معالجة البيانات بسرعة وإبقائها داخل شبكاتها الآمنة، يوفر النموذج المحلي بديلاً مقنعاً. فهو يوفر مستوى عالياً من الدقة، خاصة عندما يكون المحللون مستعدين لمراجعة قائمة قصيرة من المرشحين الأفضل، ويقوم بذلك بسرعة تجعل المراقبة في الوقت الفعلي ممكنة. يقترح الباحثون استراتيجية هجينة حيث يتولى النموذج المحلي السريع معظم العمل، ويتم إرسال الحالات الأكثر صعوبة أو عدم يقين فقط إلى العميل الأبطأ والأكثر قوة. يسمح هذا النهج للمؤسسات بالحفاظ على معايير أمنية عالية دون الغرق في حجم وتنوع البيانات التي يجب عليها إدارتها.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.