A structured event logging framework for language model assisted security event analysis

En el mundo digital, cada acción que realiza una computadora deja un rastro. Cuando un usuario inicia sesión, cuando se guarda un archivo o cuando se cambia un ajuste de seguridad, el sistema escribe un registro de ese evento. Estos registros, conocidos como registros de eventos (event logs), son la forma principal en que los equipos de seguridad comprenden lo que está sucediendo dentro de una red. Durante décadas, el método estándar para analizar estos registros ha sido alimentarlos en software especializado o en analistas humanos que buscan patrones que sugieran una amenaza. Sin embargo, una nueva generación de herramientas de inteligencia artificial, específicamente los modelos de lenguaje extensos, ha mostrado promesa para automatizar esta tarea. Estos modelos están entrenados en vastas cantidades de texto y pueden entender el lenguaje natural, lo que los hace teóricamente perfectos para leer e interpretar las historias ocultas dentro de los registros de seguridad. No obstante, ha surgido un problema significativo: cuando estas poderosas herramientas de IA se les pide leer registros informáticos estándar, a menudo fallan. Producen respuestas inconsistentes, pasan por alto detalles críticos o inventan hechos que nunca ocurrieron. Esta falta de fiabilidad las hace peligrosas para la seguridad del mundo real, donde un error de cálculo podría significar que una brecha pase desapercibida o que una acción inofensiva sea confundida con un ataque.

Investigadores de la Universidad de Huddersfield y la Universidad Metropolitana de Manchester se propusieron resolver este problema planteándose una pregunta diferente. En lugar de intentar que la inteligencia artificial fuera más inteligente, se preguntaron si el problema eran los propios registros. Hipotetizaron que la forma en que las computadoras escriben actualmente estos registros es simplemente demasiado desordenada y técnica para que la IA la comprenda. Para probar esto, el equipo desarrolló una nueva forma para que las computadoras registren sus actividades, diseñada específicamente para ser legible por modelos de lenguaje. Construyeron una herramienta que captura eventos de diversas partes de un sistema informático, filtra el ruido y reescribe los datos en un formato claro y estructurado antes de que sean analizados. El resultado es un sistema donde la computadora realiza el trabajo pesado de organizar la información, presentando a la IA una historia limpia y coherente en lugar de un flujo caótico de código.

El equipo probó su nuevo enfoque simulando veinte escenarios de seguridad diferentes, que iban desde cambios simples de contraseña hasta intrusiones de red complejas. Registraron los eventos utilizando su nueva herramienta y compararon los resultados con los métodos de registro estándar utilizados en la industria hoy en día. Cuando alimentaron estos registros en varios modelos de lenguaje diferentes, la diferencia fue drástica. Los modelos que utilizaban el nuevo formato identificaron consistentemente los problemas correctos y proporcionaron soluciones pertinentes. En contraste, cuando los mismos modelos recibieron los registros tradicionales y no estructurados, su rendimiento disminuyó significativamente. Tuvieron dificultades para distinguir entre la actividad normal y las amenazas potenciales, fallando a menudo al reconocer que se había alterado un ajuste de seguridad crítico. El nuevo formato eliminó la necesidad de que la IA adivinara o interpretara códigos confusos, lo que condujo a una mejora dramática en la precisión.

Uno de los hallazgos más notables fue que el nuevo sistema funcionó tan bien que los modelos rara vez inventaron hechos, un fenómeno conocido como alucinación. En este experimento específico, la tasa de error fue efectivamente cero en todas las pruebas, incluyendo aquellas que utilizaban formatos tradicionales. Los investigadores señalaron, sin embargo, que este resultado podría estar influenciado por la cantidad relativamente pequeña de registros utilizados en comparación con otros estudios, y no pudieron concluir definitivamente que las alucinaciones se hubieran eliminado permanentemente sin más pruebas en conjuntos de datos más grandes. Esto sugiere que la causa principal de la confusión de la IA no fue una falta de inteligencia, sino la mala calidad de los datos de entrada. Al asegurar que los registros fueran estructurados, consistentes y escritos en lenguaje sencillo desde el momento en que se crearon, los investigadores eliminaron las barreras que hacían tropezar a la IA. El sistema también manejó la tarea de vincular eventos relacionados entre sí. En lugar de esperar a que un programa separado determinara que dos registros diferentes ocurrieron al mismo tiempo y formaban parte del mismo ataque, la nueva herramienta conectó estos puntos automáticamente a medida que ocurrían los eventos.

Los investigadores también exploraron si entrenar a los modelos de IA con más datos les ayudaría a desempeñarse mejor con los registros antiguos y desordenados. Descubrieron que, incluso con entrenamiento adicional, los modelos seguían teniendo dificultades con los formatos tradicionales. Sin embargo, al utilizar el nuevo formato, los modelos funcionaron excepcionalmente bien incluso sin ningún entrenamiento adicional. Esto indica que la estructura de los datos es más importante que el tamaño del conjunto de entrenamiento del modelo. El equipo midió cuánto tiempo tomó analizar los registros y encontró que su nuevo método era significativamente más rápido que la mayoría de los métodos tradicionales. Mientras que algunas herramientas estándar como Sysmon completaban el análisis en minutos, otras tardaban varias horas en procesar la misma cantidad de información. Esta velocidad, combinada con la alta precisión, sugiere que el nuevo enfoque podría hacer que el análisis de seguridad impulsado por IA sea práctico para el uso diario.

El estudio no pretende haber resuelto todos los problemas en la ciberseguridad, y los investigadores reconocen que sus pruebas se llevaron a cabo en un solo tipo de sistema informático. Planean expandir su trabajo a otros sistemas operativos en el futuro. Sin embargo, el descubrimiento central es claro: la forma en que registramos los eventos digitales necesita cambiar si queremos que la inteligencia artificial los comprenda. Al tratar el formato de registro como una herramienta de comunicación en lugar de solo un registro técnico, los investigadores han creado un puente entre las máquinas humanas y la inteligencia artificial. Este simple cambio de perspectiva permite que la IA haga lo que mejor sabe hacer —entender el lenguaje y encontrar patrones— sin perderse en el ruido de los datos brutos. El resultado es una forma más fiable, rápida y segura de proteger los sistemas informáticos, demostrando que, a veces, la mejor manera de mejorar una herramienta no es hacerla más compleja, sino hacer que la información que recibe sea más clara.