Enabling Transparent Cyber Threat Intelligence Combining Large Language Models and Domain Ontologies
Dieser Beitrag stellt eine neuartige Methodik vor, die Large Language Models mit Domänenontologien und SHACL-Constraints kombiniert, um einen KI-Agenten zu schaffen, der die Genauigkeit und Erklärbarkeit der Extraktion strukturierter, semantisch valider Informationen aus Cybersecurity-Logs, insbesondere für Honeypot-Daten, erheblich verbessert.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein Detektiv, der versucht, ein Verbrechen aufzuklären, Ihnen jedoch anstelle klarer Polizeiberichte Tausende von Seiten mit unordentlichen, handschriftlichen Notizen, Kritzeln und halbfertigen Sätzen übergeben werden. Genau dies steht Cybersecurity-Experten gegenüber, wenn sie versuchen, Systemprotokolle zu lesen. Diese Protokolle sind die „Tagebücher" von Computern, die jede durchgeführte Aktion aufzeichnen, doch sie sind oft unstrukturiert, verwirrend und voller Fachjargon.
Dieser Artikel stellt ein neues Werkzeug namens OntoLogX vor, das Detektiven (Cybersecurity-Analysten) hilft, dieses Chaos zu ordnen. Hier ist die Funktionsweise, aufgeschlüsselt in einfache Konzepte:
1. Das Problem: Das „unordentliche Zimmer"
Traditionelle Methoden zum Lesen dieser Protokolle sind wie der Versuch, ein bestimmtes Spielzeug in einem unordentlichen Zimmer zu finden, wobei man nur eine Taschenlampe und eine feste Liste von Regeln verwendet. Wenn das Spielzeug unter einem Haufen Kleidung versteckt ist oder einen seltsamen Namen trägt, übersieht es die Taschenlampe.
- Das Problem: Computer erzeugen Protokolle, die unstrukturiert und mehrdeutig sind. Alte Methoden haben Schwierigkeiten, die „Bösen" (bösartige Ereignisse) zuverlässig zu finden.
- Das neue Werkzeug: Die Autoren verwenden Large Language Models (LLMs). Stellen Sie sich ein LLM als einen überaus klugen Praktikanten vor, der fast alles im Internet gelesen hat und natürliche Sprache verstehen kann. Allerdings kann dieser Praktikant etwas „träumerisch" sein – manchmal erfindet er Dinge oder liegt bei den Fakten leicht falsch, da er nicht strikt an Regeln gebunden ist.
2. Die Lösung: Der „Architekt" und der „Inspektor"
Um die Neigung des Praktikanten zum Träumen zu korrigieren, haben die Autoren ein System namens OntoLogX entwickelt, das zwei entscheidende Kontrollebenen hinzufügt:
- Der Architekt (Die Ontologie): Bevor der Praktikant mit dem Schreiben beginnt, gibt ihm das System einen strengen Bauplan namens Ontologie. Dies ist wie eine spezifische Sammlung von Bausteinen und ein Regelbuch. Es besagt: „Sie dürfen ein Haus nur mit diesen spezifischen Ziegeln (Klassen) bauen und müssen sie auf diese spezifische Weise (Beziehungen) verbinden." Dies zwingt die KI, die unordentlichen Protokolldaten in ein sauberes, strukturiertes Format namens Wissensgraph zu organisieren.
- Der Inspektor (SHACL-Validierung): Sobald der Praktikant die Struktur erstellt hat, überprüft ein strenger Inspektor (unter Verwendung eines Tools namens SHACL) die Arbeit. Der Inspektor fragt: „Haben Sie die richtigen Ziegel verwendet? Haben Sie das Dach korrekt mit den Wänden verbunden? Fehlt eine Tür?"
- Wenn das Gebäude falsch ist, schickt der Inspektor es mit einem Hinweis zurück: „Beheben Sie dies."
- Der Praktikant versucht es erneut. Dieser Kreislauf setzt sich fort, bis das Gebäude perfekt ist.
3. Der Prozess: Lernen aus Beispielen
Das System bittet den Praktikanten nicht einfach, zu raten. Es verwendet einen cleveren Trick namens Retrieval Augmented Generation.
- Stellen Sie sich vor, der Praktikant hat eine Bibliothek mit früheren erfolgreichen Fällen. Wenn ein neues, unordentliches Protokoll hereinkommt, sucht das System die ähnlichsten früheren Fälle (Beispiele) und zeigt sie dem Praktikanten.
- Es sagt: „Schauen Sie sich an, wie wir dieses ähnliche Rätsel zuvor gelöst haben. Nutzen Sie denselben Stil, um dieses neue zu lösen."
- Dies hilft dem Praktikanten zu verstehen, was genau der „Architekt" (die Ontologie) erwartet, was zu viel besseren Ergebnissen führt.
4. Die Ergebnisse: Bessere Genauigkeit, nicht Geschwindigkeit
Die Autoren testeten dieses System gegen die „alte Methode" (den Praktikanten einfach bitten zu schreiben, ohne Architekt oder Inspektor).
- Das Ergebnis: Die neue Methode war deutlich genauer. Sie fand mehr der „Bösen" (höhere Recall-Rate) und machte weniger Fehler (höhere Precision-Rate).
- Der Kompromiss: Der Artikel stellt ausdrücklich fest, dass sie Qualität vor Geschwindigkeit priorisiert haben. Die neue Methode dauert etwas länger, da sie die Arbeit überprüfen, Feedback einholen und es erneut versuchen muss. Aber das Endergebnis ist eine viel zuverlässigere und vertrauenswürdige Karte der Cyberbedrohungen.
- Der Gewinner: Unter den verschiedenen getesteten KI-Modellen schnitt Claude 3.5 Sonnet am besten ab, obwohl Open-Source-Modelle wie Llama 3.3 ebenfalls sehr gut abschnitten.
Zusammenfassende Analogie
Wenn das Lesen von Cybersecurity-Protokollen wie der Versuch ist, ein chaotisches, handschriftliches Tagebuch in ein formelles juristisches Dokument zu übersetzen:
- Alte Methode: Sie bitten einen klugen Übersetzer, einfach „sein Bestes zu geben". Er mag die Bedeutung erfassen, aber das Format wird unordentlich und inkonsistent sein.
- OntoLogX: Sie geben dem Übersetzer eine strikte juristische Vorlage (Ontologie), zeigen ihm Beispiele perfekter juristischer Dokumente (Few-shot-Beispiele) und lassen jeden Entwurf von einem strengen Anwalt (SHACL) überprüfen. Wenn der Entwurf nicht perfekt ist, schickt der Anwalt ihn zur Korrektur zurück. Das Ergebnis ist jedes Mal ein fehlerloses juristisches Dokument, auch wenn es etwas länger dauert, es zu produzieren.
Wichtigste Erkenntnis: Dieser Artikel beweist, dass die Kombination aus einer „klugen KI" mit „strengen Regeln" und „Qualitätsprüfungen" ein viel zuverlässigeres System schafft, um unordentliche Computerprotokolle in klare, handlungsrelevante Erkenntnisse über Cyberbedrohungen umzuwandeln.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.