A structured event logging framework for language model assisted security event analysis

في العالم الرقمي، كل إجراء يتخذه الكمبيوتر يترك أثراً. فعندما يسجل مستخدم دخوله، أو عند حفظ ملف، أو عند تغيير إعداد أمني، يقوم النظام بكتابة سجل لذلك الحدث. هذه السجلات، المعروفة باسم سجلات الأحداث (event logs)، هي الوسيلة الأساسية التي تفهم بها فرق الأمن ما يحدث داخل الشبكة. ولعقود من الزمن، كانت الطريقة القياسية لتحليل هذه السجلات هي تغذيتها في برمجيات متخصصة أو محللين بشريين يبحثون عن أنماط تشير إلى وجود تهديد. ومع ذلك، أظهر جيل جديد من أدوات الذكاء الاصطناعي، وتحديداً النماذج اللغوية الكبيرة، إمكانات واعدة في أتمتة هذه المهمة. فقد تم تدريب هذه النماذج على كميات هائلة من النصوص وهي قادرة على فهم اللغة الطبيعية، مما يجعلها مثالية نظرياً لقراءة وتفسير القصص الكامنة داخل السجلات الأمنية. ومع ذلك، ظهرت مشكلة كبيرة: فعندما تُطلب من هذه الأدوات القوية للذكاء الاصطناعي قراءة سجلات الكمبيوتر القياسية، فإنها غالباً ما تفشل؛ إذ تقدم إجابات غير متسقة، أو تغفل عن تفاصيل حاسمة، أو تخترع حقائق لم تحدث قط. وهذا عدم الموثوقية يجعلها خطيرة في الواقع الأمني، حيث يمكن أن يعني التخمين الخاطئ مرور اختراق دون ملاحظة، أو الخلط بين إجراء غير ضار وهجوم.

لقد سعى الباحثون في جامعة هيدرسفيلد وجامعة مانشستر متروبوليتان لحل هذه المشكلة عبر طرح سؤال مختلف. فبدلاً من محاولة جعل الذكاء الاصطناعي أكثر ذكاءً، تساءلوا عما إذا كانت السجلات نفسها هي المشكلة. وافترضوا أن الطريقة التي تكتب بها الحواسيب هذه السجلات حالياً هي ببساطة معقدة وتقنية للغاية بحيث يصعب على الذكاء الاصطناعي فهمها. ولاختبار ذلك، طور الفريق طريقة جديدة لتسجيل أنشطة الكمبيوتر، صُممت خصيصاً لتكون قابلة للقراءة من قبل النماذج اللغوية. لقد بنوا أداة تلتقط الأحداث من أجزاء مختلفة من نظام الكمبيوتر، وتصفي الضجيج، وتعيد كتابة البيانات في تنسيق واضح ومنظم قبل تحليلها. والنتيجة هي نظام يقوم فيه الكمبيوتر بالعمل الشاق المتمثل في تنظيم المعلومات، ويقدم للذكاء الاصطناعي قصة واضحة ومتماسكة بدلاً من تدفق فوضوي من الأكواد.

اختبر الفريق نهجهم الجديد عبر محاكاة عشرين سيناريو أمنياً مختلفاً، تراوحت بين تغيير بسيط لكلمة المرور واختراقات معقدة للشبكة. قاموا بتسجيل الأحداث باستخدام أداتهم الجديدة وقارنوا النتائج مقابل طرق التسجيل القياسية المستخدمة في الصناعة اليوم. وعندما غدوهم هذه السجلات في عدة نماذج لغوية مختلفة، كان الفرق صارخاً؛ فقد نجحت النماذج التي استخدمت التنسيق الجديد باستمرار في تحديد المشكلات الصحيحة وتقديم الحلول ذات الصلة. وفي المقابل، عندما أُعطيت نفس النماذج السجلات التقليدية غير المنظمة، انخفض أداؤها بشكل كبير؛ حيث عانت في التمييز بين النشاط الطبيعي والتهديدات المحتملة، وفشلت غالباً في إدراك أن إعداداً أمنياً حاسماً قد تم تغييره. لقد أدى التنسيق الجديد إلى إلغاء الحاجة إلى قيام الذكاء الاصطناعي بالتخمين أو تفسير الأكواد المربكة، مما أدى إلى تحسن هائل في الدقة.

كانت إحدى النتائج الأكثر بروزاً هي أن النظام الجديد عمل بشكل جيد للغاية لدرجة أن النماذج نادراً ما اخترعت حقائق، وهي ظاهرة تُعرف باسم "الهلوسة". في هذه التجربة المحددة، كان معدل الخطأ صفراً فعلياً عبر جميع الاختبارات، بما في ذلك تلك التي استخدمت التنسيقات التقليدية. ومع ذلك، أشار الباحثون إلى أن هذه النتيجة قد تكون متأثرة بالعدد الصغير نسبياً من السجلات المستخدمة مقارنة بالدراسات الأخرى، ولم يتمكنوا من الاستنتاج بشكل قاطع أن الهلوسة قد تم القضاء عليها نهائياً دون مزيد من الاختبارات على مجموعات بيانات أكبر. وهذا يشير إلى أن السبب الرئيسي لارتباك الذكاء الاصطناعي لم يكن نقصاً في الذكاء، بل كان الجودة الرديئة لبيانات المدخلات. فمن خلال ضمان أن تكون السجلات منظمة ومتسقة ومكتوبة بلغة بسيطة منذ لحظة إنشائها، أزال الباحثون العوائق التي تسببت في تعثر الذكاء الاصطناعي. كما تعامل النظام مع مهمة ربط الأحداث ذات الصلة ببعضها البعض؛ فبدلاً من انتظار برنامج منفصل لتحديد أن سجلين مختلفين حدثا في نفس الوقت وكانا جزءاً من نفس الهجوم، قامت الأداة الجديدة بربط هذه النقاط تلقائياً أثناء وقوع الأحداث.

استكشف الباحثون أيضاً ما إذا كان تدريب نماذج الذكاء الاصطناي على المزيد من البيانات سيساعدها على الأداء بشكل أفضل مع السجلات القديمة والمبعثرة. ووجدوا أنه حتى مع التدريب الإضافي، لا تزال النماذج تعاني مع التنسيقات التقليدية. ومع ذلك، عند استخدام التنسيق الجديد، أدت النماذج أداءً استثنائياً حتى بدون أي تدريب إضافي. وهذا يشير إلى أن هيكلية البيانات أكثر أهمية من حجم مجموعة تدريب النموذج. وقد قاس الفريق الوقت المستغرق لتحليل السجلات ووجد أن طريقتهم الجديدة كانت أسرع بكثير من معظم الطرق التقليدية. وبينما أكملت بعض الأدوات القياسية مثل (Sysmon) التحليل في دقائق، استغرقت أدوات أخرى ساعات متعددة لمعالجة نفس القدر من المعلومات. هذا الجمع بين السرعة والدقة العالية يشير إلى أن النهج الجديد يمكن أن يجعل التحليل الأمني المدفوع بالذكاء الاصطناعي عملياً للاستخدام اليومي.

لا تدعي الدراسة أنها حلت كل مشكلة في الأمن السيبراني، ويقر الباحثون بأن اختباراتهم أجريت على نوع واحد من أنظمة الكمبيوتر. وهم يخططون لتوسيع عملهم ليشمل أنظمة تشغيل أخرى في المستقبل. ومع ذلك، فإن الاكتشاف الجوهري واضح: إن الطريقة التي نسجل بها الأحداث الرقمية يجب أن تتغير إذا أردنا للذكاء الاصطناعي أن يفهمها. فمن خلال التعامل مع تنسيق السجل كأداة للتواصل وليس مجرد سجل تقني، نجح الباحثون في بناء جسر بين الآلات البشرية والذكاء الاصطناعي. هذا التحول البسيط في المنظور يسمح للذكاء الاصطناعي بالقيام بما يجيده تماماً — وهو فهم اللغة وإيجاد الأنماط — دون أن يضيع في ضجيج البيانات الخام. والنتيجة هي وسيلة أكثر موثوقية وسرعة وأماناً لحماية الأنظمة الحاسوبية، مما يثبت أنه في بعض الأحيان، أفضل طريقة لتحسين أداة ما ليست بجعلها أكثر تعقيداً، بل بجعل المعلومات التي تتلقاها أكثر وضوحاً.