Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Cet article propose un pipeline modulaire en trois étapes pour mapper des journaux de sécurité (syslogs) hétérogènes vers un schéma commun, démontrant, à travers une évaluation approfondie sur des données du secteur de l'éducation coréen, que la combinaison d'une canonicalisation structurelle avec des moteurs de correspondance sémantique locaux et basés sur des agents améliore considérablement la précision du mappage tout en révélant un arbitrage critique entre la précision et la latence de déploiement selon les différents environnements de fournisseurs.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le système nerveux numérique des organisations modernes, les équipes de sécurité s'appuient sur un flux constant de rapports automatisés connus sous le nom de journaux système (logs). Ces journaux sont les empreintes numériques laissées par les pare-feu, les serveurs et les dispositifs réseau lorsqu'ils surveillent les menaces. Pour qu'une équipe de sécurité puisse donner un sens à ce flot d'informations, elle doit traduire ces rapports en un langage unique et unifié. Imaginez une pièce remplie de personnes essayant de discuter d'un incendie, mais où l'une appelle cela un « brasier », une autre une « conflagration » et une troisième un « événement thermique », tandis qu'elles décrivent toutes l'emplacement en utilisant des noms de rues et des numéros de bâtiments différents. Sans un vocabulaire partagé, la conversation échoue. Dans le monde de la cybersécurité, ce vocabulaire partagé est appelé un schéma. Lorsque différents produits de sécurité provenant de différents fabricants génèrent des journaux, ils utilisent souvent leurs propres noms et structures uniques pour les mêmes concepts de base, créant une barrière chaotique qui empêche les systèmes automatisés d'analyser efficacement les données.
Une équipe de chercheurs de l'Université Hongik en Corée du Sud a abordé ce problème en développant une nouvelle méthode pour traduire ces rapports de sécurité conflictuels en un langage commun. Leurs travaux se concentrent sur le vaste réseau d'institutions éducatives à travers la Corée, où des milliers de dispositifs de sécurité différents provenant de divers fournisseurs génèrent des millions d'alertes quotidiennement. Les chercheurs ont constaté que le simple fait d'essayer de forcer un modèle d'intelligence artificielle unique à résoudre l'ensemble du problème de traduction à la fois était inefficace et souvent peu pratique pour une utilisation dans le monde réel. Au lieu de cela, ils ont décomposé la tâche en un processus à trois étapes qui agit comme une ligne d'assemblage spécialisée. Premièrement, ils nettoient les noms de champs et les structures désordonnés. Deuxièmement, ils utilisent un outil de correspondance pour trouver la signification correcte. Troisièmement, ils évaluent la correspondance pour décider de leur degré de confiance dans le résultat. Cette approche modulaire permet aux équipes de sécurité de choisir l'outil approprié à leurs besoins spécifiques, en équilibrant vitesse et précision.
Le cœur de leur solution est une nouvelle façon d'organiser les données avant même qu'elles ne soient analysées. Les chercheurs ont créé un format standard qu'ils appellent Objet de Cartographie Normalisé (Normalized Mapping Object). Considérez cela comme le fait de prendre une note manuscrite complexe et de la réécrire sous la forme d'un formulaire strict en trois parties : le nom de l'élément, le type de chose qu'il est, et sa position dans la hiérarchie du système. En forçant chaque donnée dans cette structure rigide, les chercheurs ont éliminé la confusion causée par les différents fabricants utilisant des noms différents pour la même chose. Ils ont testé cette méthode sur un ensemble de données massif dérivé de centaines de documents décrivant les journaux des dispositifs de sécurité utilisés par les écoles et les universités. L'ensemble de données comprenait mille champs sources et mille champs cibles, représentant le réseau complexe de connexions que les analystes de sécurité doivent gérer.
Lorsqu'ils ont appliqué ce format standardisé à leurs outils de correspondance, les résultats ont été immédiats et significatifs. Ils ont testé deux types différents de moteurs de correspondance : un qui s'exécute localement sur un ordinateur en utilisant un modèle compact et efficace, et un autre qui utilise un agent d'intelligence artificielle plus puissant basé sur le cloud. Sans le nouveau format standard, le modèle local ne parvenait à identifier la bonne correspondance que dans environ la moitié des cas. Avec le nouveau format, sa précision a bondi à plus de soixante-dix pour cent. L'agent puissant basé sur le cloud s'est également amélioré, passant d'environ soixante-dix-huit pour cent à plus de quatre-vingt-cinq pour cent de précision. Cela a prouvé que la valeur de leur travail ne résidait pas seulement dans l'outil de correspondance lui-même, mais dans la manière dont ils préparaient les données pour celui-ci. Le format standardisé a facilité la tâche tant pour les outils simples que pour les outils complexes.
Les chercheurs ont ensuite comparé les deux moteurs de correspondance pour voir lequel était le meilleur pour une opération de sécurité réelle. L'agent basé sur le cloud était légèrement plus précis pour trouver la correspondance unique, réussissant environ quatre-vingt-six pour cent du temps. Cependant, il était incroyablement lent, prenant près de vingt-six secondes pour traiter un seul champ. Dans un centre de sécurité où des milliers d'alertes arrivent chaque minute, un délai d'une telle longueur est inacceptable. Le modèle local, en revanche, était beaucoup plus rapide, traitant un champ en seulement une seconde et demie. Bien qu'il soit légèrement moins précis pour choisir la correspondance de premier rang, il excellait à fournir une liste courte des cinq meilleurs candidats. En fait, il trouvait la bonne réponse parmi les cinq meilleurs choix plus souvent que l'agent plus lent. Cela a révélé un compromis crucial : l'outil local, plus rapide, est presque aussi bon pour fournir une liste courte à un analyste de sécurité pour examen, mais il le fait presque instantanément et sans avoir besoin d'envoyer des données vers un service externe.
Pour s'assurer de la robustesse de leur système, les chercheurs l'ont testé face à des variations du monde réel, y compris des fournisseurs différents qui utilisent leurs propres noms uniques pour des fonctionnalités standards. Ils se sont concentrés sur des pare-feu d'applications Web de trois fabricants différents. Même lorsque le système n'avait jamais vu les noms spécifiques utilisés par un nouveau fournisseur, le modèle local pouvait toujours mapper les champs correctement environ quatre-vingt-trois pour cent du temps lorsqu'une cible standard était disponible. Lorsqu'ils ont essayé d'utiliser les connaissances d'un fournisseur pour aider à mapper un fournisseur complètement différent, la précision est restée élevée, à environ soixante-dix-huit pour cent. Cela suggère que le système peut gérer la réalité désordonnée du marché, où de nouveaux dispositifs et différentes conventions de nommage apparaissent constamment. Les chercheurs ont également mesuré le temps de chaque étape, confirmant que la méthode locale est assez rapide pour fonctionner sur du matériel de bureau standard sans dépendre de services cloud coûteux.
L'étude conclut qu'il n'existe pas de solution unique « optimale » pour chaque situation. Au lieu de cela, la meilleure approche dépend des contraintes spécifiques de l'équipe de sécurité. Si la priorité est de trouver la correspondance absolument parfaite et que la vitesse n'est pas un problème, l'agent puissant basé sur le cloud est le meilleur choix. Cependant, pour la plupart des centres d'opérations de sécurité qui doivent traiter les données rapidement et les garder au sein de leurs propres réseaux sécurisés, le modèle local offre une alternative convaincante. Il fournit un haut niveau de précision, surtout lorsque les analystes sont prêts à examiner une liste courte de candidats potentiels, et il le fait avec une vitesse qui rend la surveillance en temps réel possible. Les chercheurs proposent une stratégie hybride où le modèle local rapide gère la majorité du travail, et seuls les cas les plus difficiles ou les plus incertains sont envoyés à l'agent plus lent et plus puissant. Cette approche permet aux organisations de maintenir des normes de sécurité élevées sans être entravées par le volume et la variété des données qu'elles doivent gérer.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.