Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Este artículo propone un flujo de trabajo modular de tres etapas para mapear registros de sistema (syslogs) de seguridad heterogéneos a un esquema común, demostrando mediante una evaluación exhaustiva en datos del sector educativo coreano que la combinación de la canonicalización estructural con comparadores semánticos tanto locales como basados en agentes mejora significativamente la precisión del mapeo, al tiempo que revela un compromiso crítico entre la precisión y la latencia de implementación en diferentes entornos de proveedores.
Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el sistema nervioso digital de las organizaciones modernas, los equipos de seguridad dependen de un flujo constante de informes automatizados conocidos como registros del sistema (logs). Estos registros son las huellas digitales que dejan los cortafuegos, servidores y dispositivos de red mientras monitorean amenazas. Para que un equipo de seguridad pueda dar sentido a este aluvión de información, necesita traducir estos informes a un lenguaje único y unificado. Imagine una sala llena de personas tratando de discutir sobre un incendio, pero una persona lo llama "incendio", otra "conflagración" y una tercera "evento de calor", mientras que todos describen la ubicación utilizando diferentes nombres de calles y números de edificios. Sin un vocabulario compartido, la conversación falla. En el mundo de la ciberseguridad, este vocabulario compartido se llama esquema. Cuando diferentes productos de seguridad de distintos fabricantes generan registros, a menudo utilizan sus propios nombres y estructuras únicas para los mismos conceptos básicos, creando una barrera caótica que impide que los sistemas automatizados analicen los datos de manera efectiva.
Un equipo de investigadores de la Universidad de Hongik en Corea del Sur ha abordado este problema desarrollando un nuevo método para traducir estos informes de seguridad conflictivos a un lenguaje común. Su trabajo se centra en la enorme red de instituciones educativas en toda Corea, donde miles de dispositivos de seguridad diferentes de diversos proveedores generan millones de alertas diariamente. Los investigadores descubrieron que intentar simplemente forzar a un único modelo de inteligencia artificial a resolver todo el problema de traducción a la vez era ineficiente y, a menudo, poco práctico para el uso en el mundo real. En su lugar, dividieron la tarea en un proceso de tres pasos que actúa como una línea de ensamblaje especializada. Primero, limpian los nombres de campos y las estructuras desordenadas. Segundo, utilizan una herramienta de emparejamiento para encontrar el significado correcto. Tercero, califican el emparejamiento para decidir qué tan seguros están del resultado. Este enfoque modular permite a los equipos de seguridad elegir la herramienta adecuada para sus necesidades específicas, equilibrando la velocidad con la precisión.
El núcleo de su solución es una nueva forma de organizar los datos incluso antes de que sean analizados. Los investigadores crearon un formato estándar que llaman Objeto de Mapeo Normalizado. Piense en esto como tomar una nota compleja, escrita a mano, y reescribirla en un formulario estricto de tres partes: el nombre del elemento, qué tipo de cosa es y dónde se ubica en la jerarquía del sistema. Al forzar cada pieza de datos en esta estructura rígida, los investigadores eliminaron la confusión causada por los diferentes fabricantes que utilizan distintos nombres para la misma cosa. Probaron este método en un conjunto de datos masivo derivado de cientos de documentos que describen los registros de los dispositivos de seguridad utilizados por escuelas y universidades. El conjunto de datos incluía mil campos de origen y mil campos de destino, representando la compleja red de conexiones que los analistas de seguridad deben gestionar.
Cuando aplicaron este formato estandarizado a sus herramientas de emparejamiento, los resultados fueron inmediatos y significativos. Probaron dos tipos diferentes de motores de emparejamiento: uno que se ejecuta localmente en una computadora utilizando un modelo compacto y eficiente, y otro que utiliza un agente de inteligencia artificial más potente basado en la nube. Sin el nuevo formato estándar, el modelo local solo podía identificar correctamente el emparejamiento adecuado aproximadamente la mitad de las veces. Con el nuevo formato, su precisión saltó a más del setenta por ciento. El potente agente basado en la nube también mejoró, pasando de aproximadamente un setenta y ocho por ciento a más del ochenta y cinco por ciento de precisión. Esto demostró que el valor de su trabajo no residía solo en la herramienta de emparejamiento en sí, sino en la forma en que preparaban los datos para ella. El formato estandarizado facilitó el trabajo tanto para las herramientas simples como para las complejas.
Los investigadores compararon luego los dos motores de emparejamiento para ver cuál era mejor para una operación de seguridad real. El agente basado en la nube era ligeramente más preciso al encontrar el mejor emparejamiento único, acertando aproximadamente el ochenta y seis por ciento de las veces. Sin embargo, era increíblemente lento, tardando casi veintiséis segundos en procesar un solo campo. En un centro de seguridad donde llegan miles de alertas cada minuto, un retraso de esa longitud es inaceptable. El modelo local, por el contrario, era mucho más rápido, procesando un campo en solo un segundo y medio. Aunque era ligeramente menos preciso al elegir el emp匹配 superior, era excelente proporcionando una lista corta de los cinco mejores candidatos. De hecho, encontraba la respuesta correcta dentro de las cinco mejores opciones con más frecuencia que el agente más lento. Esto reveló un compromiso crucial: la herramienta local, más rápida, es casi tan buena como para dar a un analista de seguridad una lista corta para revisar, pero lo hace casi instantáneamente y sin necesidad de enviar datos a un servicio externo.
Para asegurar que su sistema fuera robusto, los investigadores lo probaron contra variaciones del mundo real, incluyendo diferentes proveedores que utilizan sus propios nombres únicos para características estándar. Se centraron en cortafuegos de aplicaciones web de tres fabricantes diferentes. Incluso cuando el sistema nunca había visto los nombres específicos utilizados por un nuevo proveedor, el modelo local podía mapear los campos correctamente aproximadamente el ochenta y tres por ciento de las veces cuando había un objetivo estándar disponible. Cuando intentaron usar el conocimiento de un proveedor para ayudar a mapear un proveedor completamente diferente, la precisión se mantuvo alta, alrededor del setenta y ocho por ciento. Esto sugiere que el sistema puede manejar la realidad desordenada del mercado, donde aparecen constantemente nuevos dispositivos y diferentes convenciones de nomenclatura. Los investigadores también midieron cuánto tiempo tomaba cada paso, confirmando que el método local es lo suficientemente rápido como para ejecutarse en hardware de oficina estándar sin depender de servicios de nube costosos.
El estudio concluye que no existe una única "mejor" forma de resolver este problema para cada situación. En cambio, el mejor enfoque depende de las restricciones específicas del equipo de seguridad. Si la prioridad es encontrar el emparejamiento absolutamente perfecto y la velocidad no es un problema, el potente agente en la nube es la mejor opción. Sin embargo, para la mayoría de las operaciones de centros de seguridad que necesitan procesar datos rápidamente y mantenerlos dentro de sus propias redes seguras, el modelo local ofrece una alternativa convincente. Proporciona un alto nivel de precisión, especialmente cuando los analistas están dispuestos a revisar una lista corta de los principales candidatos, y lo hace con una velocidad que hace posible el monitoreo en tiempo real. Los investigadores proponen una estrategia híbrida donde el modelo local rápido maneja la mayor parte del trabajo, y solo los casos más difíciles o inciertos se envían al agente más lento y potente. Este enfoque permite a las organizaciones mantener altos estándares de seguridad sin verse estancadas por el enorme volumen y la variedad de los datos que deben gestionar.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.