Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Dieses Paper schlägt eine modulare, dreistufige Pipeline zur Abbildung heterogener Sicherheits-Syslogs auf ein gemeinsames Schema vor und zeigt durch eine umfassende Evaluierung an Daten aus dem koreanischen Bildungssektor auf, dass die Kombination von struktureller Kanonisierung mit sowohl lokalen als auch agentenbasierten semantischen Matchern die Abbildungsgenauigkeit signifikant verbessert, während gleichzeitig ein kritischer Kompromiss zwischen Präzision und Bereitstellungslatenz über verschiedene Anbieterumgebungen hinweg aufgezeigt wird.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Im digitalen Nervensystem moderner Organisationen verlassen sich Sicherheitsteams auf einen ständigen Strom automatisierter Berichte, die als Systemprotokolle (Logs) bekannt sind. Diese Protokolle sind die digitalen Fußabdrücke, die Firewalls, Server und Netzwerkgeräte hinterlassen, während sie nach Bedrohungen suchen. Damit ein Sicherheitsteam diese Flut an Informationen sinnvoll interpretieren kann, muss es diese Berichte in eine einzige, einheitliche Sprache übersetzen. Stellen Sie sich einen Raum voller Menschen vor, die versuchen, über ein Feuer zu diskutieren, aber eine Person nennt es eine „Flammenwut“, eine andere eine „Konflagration“ und eine dritte ein „Hitzeereignis“, während alle drei den Ort unter Verwendung unterschiedlicher Straßennamen und Hausnummern beschreiben. Ohne eine gemeinsame Ausdrucksweise scheitert das Gespräch. In der Welt der Cybersicherheit wird diese gemeinsame Ausdrucksweise als Schema bezeichnet. Wenn verschiedene Sicherheitsprodukte verschiedener Hersteller unterschiedliche Protokolle generieren, verwenden sie oft ihre eigenen, einzigartigen Namen und Strukturen für dieselben grundlegenden Konzepte, was eine chaotische Barriere schafft, die verhindert, dass automatisierte Systeme die Daten effektiv analysieren können.
Ein Forschungsteam der Hongik University in Südkorea hat dieses Problem angegangen, indem es eine neue Methode entwickelt hat, um diese widersprüchlichen Sicherheitsberichte in eine gemeinsame Sprache zu übersetzen. Ihre Arbeit konzentriert sich auf das massive Netzwerk von Bildungseinrichtungen in ganz Korea, wo tausende verschiedene Sicherheitsgeräte verschiedener Anbieter täglich Millionen von Warnmeldungen erzeugen. Die Forscher fanden heraus, dass der bloße Versuch, ein einzelnes Modell der Künstlichen Intelligenz die gesamte Übersetzungsproblematik auf einmal lösen zu lassen, ineffizient und oft unpraktisch für den realen Einsatz war. Stattdessen brachen sie die Aufgabe in einen dreistufigen Prozess auf, der wie ein spezialisiertes Fließband funktioniert. Zuerst bereinigen sie die unordentlichen Feldnamen und Strukturen. Zweitens verwenden sie ein Matching-Tool, um die korrekte Bedeutung zu finden. Drittens bewerten sie den Abgleich (Scoring), um zu entscheiden, wie sicher sie sich beim Ergebnis sein können. Dieser modulare Ansatz ermöglicht es Sicherheitsteams, das richtige Werkzeug für ihre spezifischen Bedürfnisse zu wählen und dabei Geschwindigkeit mit Genauigkeit abzuwägen.
Der Kern ihrer Lösung ist eine neue Art der Datenorganisation, noch bevor diese überhaupt analysiert werden. Die Forscher entwickelten ein Standardformat, das sie ein „Normalized Mapping Object“ nennen. Denken Sie daran als das Umschreiben einer komplexen, handschriftlichen Notiz in ein striktes, dreiteiliges Formular: den Namen des Objekts, die Art des Objekts und dessen Position in der Hierarchie des Systems. Durch die Erzwingung dieser starren Struktur für jedes Datensegment beseitigten die Forscher die Verwirrung, die dadurch entsteht, dass verschiedene Hersteller für dieselbe Sache unterschiedliche Namen verwenden. Sie testeten diese Methode an einem massiven Datensatz, der aus Hunderten von Dokumenten zur Beschreibung der Protokolle von Sicherheitsgeräten an Schulen und Universitäten abgeleitet wurde. Der Datensatz umfasste tausend Quellfelder und tausend Zielfelder, was das komplexe Geflecht der Verbindungen darstellt, das Sicherheitsanalysten verwalten müssen.
Als sie dieses standardisierte Format auf ihre Matching-Tools anwandten, waren die Ergebnisse unmittelbar und signifikant. Sie testeten zwei verschiedene Arten von Matching-Engines: eine, die lokal auf einem Computer unter Verwendung eines kompakten, effizienten Modells läuft, und eine weitere, die einen leistungsfähigeren, cloudbasierten KI-Agenten nutzt. Ohne das neue Standardformat konnte das lokale Modell die richtige Übereinstimmung nur etwa die Hälfte der Zeit korrekt identifizieren. Mit dem neuen Format stieg seine Genauigkeit auf über siebzig Prozent. Auch der leistungsstarke cloudbasierte Agent verbesserte sich von etwa achtundsiebzig Prozent auf über fünfundachtzig Prozent Genauigkeit. Dies bewies, dass der Wert ihrer Arbeit nicht nur im Matching-Tool selbst lag, sondern in der Art und Weise, wie sie die Daten dafür vorbereiteten. Das standardisierte Format erleichterte die Arbeit sowohl für die einfachen als auch für die komplexen Werkzeuge.
Die Forscher verglichen dann die beiden Matching-Engines, um zu sehen, welche für einen echten Sicherheitsbetrieb besser geeignet ist. Der cloudbasierte Agent war etwas genauer darin, die eine beste Übereinstimmung zu finden, und lag bei etwa sechsundachtzig Prozent. Er war jedoch unglaublich langsam und benötigte fast sechsundzwanzig Sekunden, um ein einzelnes Feld zu verarbeiten. In einem Sicherheitszentrum, in dem jede Minute tausende Warnmeldungen eintreffen, ist eine Verzögerung dieser Länge inakzeptabel. Das lokale Modell hingegen war viel schneller und verarbeitete ein Feld in nur anderthalb Sekunden. Obwohl es etwas weniger genau darin war, die absolut beste Übereinstimmung zu wählen, war es exzellent darin, eine kurze Liste der fünf besten Kandidaten bereitzustellen. Tatsächlich fand es die korrekte Antwort häufiger innerhalb der Top-Fünf-Auswahl als der langsamere Agent. Dies verdeutlichte einen entscheidenden Kompromiss: Das schnellere, lokale Tool ist fast so gut darin, einem Sicherheitsanalysten eine kurze Liste zur Überprüfung zu liefern, tut dies jedoch fast augenblicklich und ohne die Notwendigkeit, Daten an einen externen Dienst zu senden.
Um sicherzustellen, dass ihr System robust ist, testeten die Forscher es gegen reale Variationen, einschließlich verschiedener Anbieter, die ihre eigenen einzigartigen Namen für Standardfunktionen verwenden. Sie konzentrierten sich auf Web Application Firewalls von drei verschiedenen Herstellern. Selbst wenn das System die spezifischen Namen eines neuen Anbieters noch nie zuvor gesehen hatte, konnte das lokale Modell die Felder in etwa dreiundachtzig Prozent der Fälle korrekt zuordnen, sofern ein Standardziel verfügbar war. Wenn sie versuchten, Wissen von einem Anbieter zu nutzen, um einen völlig anderen Anbieter zu mappen, blieb die Genauigkeit mit etwa achtundsiebzig Prozent hoch. Dies deutet darauf hin, dass das System die unordentliche Realität des Marktes bewältigen kann, in der ständig neue Geräte und unterschiedliche Namenskonventionen auftauchen. Die Forscher maßen auch die Dauer jedes Schritts und bestätigten, dass die lokale Methode schnell genug ist, um auf Standard-Bürohardware zu laufen, ohne auf teure Cloud-Dienste angewiesen zu sein.
Die Studie kommt zu dem Schluss, dass es nicht den einen „besten“ Weg gibt, dieses Problem für jede Situation zu lösen. Stattdessen hängt der beste Ansatz von den spezifischen Rahmenbedingungen des Sicherheitsteams ab. Wenn die Priorität darin besteht, die absolut perfekte Übereinstimmung zu finden und Geschwindigkeit kein Thema ist, ist der leistungsstarke Cloud-Agent die bessere Wahl. Für die meisten Sicherheitszentren jedoch, die Daten schnell verarbeiten und sie innerhalb ihrer eigenen sicheren Netzwerke halten müssen, bietet das lokale Modell eine überzeugende Alternative. Es bietet ein hohes Maß an Genauigkeit, insbesondere wenn Analysten bereit sind, eine kurze Liste der Top-Kandidaten zu prüfen, und das mit einer Geschwindigkeit, die eine Echtzeit-Überwachung ermöglicht. Die Forscher schlagen eine Hybridstrategie vor, bei der das schnelle lokale Modell den Großteil der Arbeit erledigt und nur die schwierigsten oder unsichersten Fälle an den langsameren, leistungsstärkeren Agenten gesendet werden. Dieser Ansatz ermöglicht es Organisationen, hohe Sicherheitsstandards aufrechtzuerhalten, ohne durch das schiere Volumen und die Vielfalt der zu verwaltenden Daten ausgebremst zu werden.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.