Enabling Transparent Cyber Threat Intelligence Combining Large Language Models and Domain Ontologies
यह शोध पत्र एक ऐसी नवीन कार्यप्रणाली प्रस्तावित करता है जो लार्ज लैंग्वेज मॉडल्स को डोमेन ऑन्टोलॉजी और SHACL बाधाओं के साथ जोड़कर एक ऐसा AI एजेंट बनाता है जो साइबर सुरक्षा लॉग्स, विशेष रूप से हनीपॉट डेटा से संरचित, अर्थपूर्ण रूप से वैध जानकारी निकालने की सटीकता और व्याख्यात्मकता में महत्वपूर्ण सुधार करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक अपराध सुलझाने की कोशिश कर रहे एक जासूस हैं, लेकिन स्पष्ट पुलिस रिपोर्टों के बजाय, आपको हजारों पन्नों के बिखरे हुए, हाथ से लिखे नोट्स, टेढ़े-मेढ़े चित्र और अधूरे वाक्य थमा दिए जाते हैं। साइबर सुरक्षा विशेषज्ञ जब सिस्टम लॉग्स (system logs) पढ़ने की कोशिश करते हैं, तो उन्हें भी ऐसा ही महसूस होता है। ये लॉग्स कंप्यूटर की "डायरी" की तरह होते हैं, जो हर क्रिया को रिकॉर्ड करते हैं, लेकिन अक्सर ये असंरचित (unstructured), भ्रमित करने वाले और तकनीकी शब्दावली (jargon) से भरे होते हैं।
यह शोध पत्र OntoLogX नामक एक नए टूल का परिचय देता है जो जासूसों (साइबर सुरक्षा विश्लेषकों) को इस अराजकता को समझने में मदद करता है। यह कैसे काम करता है, इसे सरल अवधारणाओं में यहाँ समझाया गया है:
1. समस्या: "बिखरा हुआ कमरा" (The Messy Room)
इन लॉग्स को पढ़ने के पारंपरिक तरीके किसी बिखरे हुए कमरे में केवल एक टॉर्च और नियमों की एक निश्चित सूची का उपयोग करके एक विशिष्ट खिलौने को खोजने जैसा है। यदि खिलना कपड़ों के ढेर के नीचे छिपा है या उसे किसी अजीब नाम से लेबल किया गया है, तो टॉर्च उसे मिस कर देती है।
- समस्या: कंप्यूटर ऐसे लॉग्स उत्पन्न करते हैं जो असंरचित और अस्पष्ट होते हैं। पुराने तरीके "बुरे लोगों" (दुर्भावनापूर्ण घटनाओं) को विश्वसनीय रूप से खोजने में संघर्ष करते हैं।
- नया टूल: लेखक लार्ज लैंग्वेज मॉडल्स (LLMs) का उपयोग करते हैं। एक LLM को एक सुपर-स्मार्ट इंटर्न की तरह समझें जिसने इंटरनेट पर लगभग सब कुछ पढ़ा है और प्राकृतिक भाषा को समझ सकता है। हालाँकि, यह इंटर्न थोड़ा "खयाली पुलाव पकाने वाला" (dreamy) हो सकता है—कभी-कभी वे चीजें बना लेते हैं या तथ्यों को थोड़ा गलत कर देते हैं क्योंकि वे सख्त नियमों से बंधे नहीं होते हैं।
2. समाधान: "आर्किटेक्ट" और "इंस्पेक्टर"
इंटर्न की खयाली बातें करने की प्रवृत्ति को ठीक करने के लिए, लेखकों ने OntoLogX नामक एक सिस्टम बनाया है जो नियंत्रण की दो महत्वपूर्ण परतें जोड़ता है:
- आर्किटेक्ट (द ऑन्टोलॉजी - The Ontology): इंटर्न द्वारा लिखना शुरू करने से पहले, सिस्टम उन्हें एक सख्त ब्लूप्रिंट देता है जिसे ऑन्टोलॉजी कहा जाता है। यह एक विशिष्ट बिल्डिंग ब्लॉक्स और नियम पुस्तिका की तरह है। यह कहता है, "आप केवल इन विशिष्ट ईंटों (classes) का उपयोग करके एक घर बना सकते हैं और आपको उन्हें इस विशिष्ट तरीके से जोड़ना होगा (relationships)।" यह AI को मजबूर करता है कि वह बिखरे हुए लॉग डेटा को एक व्यवस्थित प्रारूप में व्यवस्थित करे जिसे नॉलेज ग्राफ (Knowledge Graph) कहा जाता है।
- इंस्पेक्टर (SHACL वैलिडेशन): एक बार जब इंटर्न संरचना बना लेता है, तो एक सख्त इंस्पेक्टर (SHACL नामक टूल का उपयोग करके) उसके काम की जाँच करता है। इंस्पेक्टर पूछता है: "क्या आपने सही ईंटों का उपयोग किया? क्या आपने छत को दीवारों से सही ढंग से जोड़ा? क्या कोई दरवाजा गायब है?"
- यदि निर्माण गलत है, तो इंस्पेक्टर उसे एक नोट के साथ इंटर्न के पास वापस भेज देता है: "इसे ठीक करो।"
- इंटर्न फिर से प्रयास करता है। यह लूप तब तक चलता रहता है जब तक कि निर्माण एकदम सही न हो जाए।
3. प्रक्रिया: उदाहरणों से सीखना
सिस्टम केवल इंटर्न को अनुमान लगाने के लिए नहीं कहता। यह रिट्रीवल ऑगमेंटेड जनरेशन (Retrieval Augmented Generation) नामक एक चतुर तकनीक का उपयोग करता है।
- कल्पना कीजिए कि इंटर्न के पास पिछले सफल मामलों का एक पुस्तकालय है। जब एक नया बिखरा हुआ लॉग आता है, तो सिस्टम सबसे समान पिछले मामलों (उदाहरणों) को खोजता है और उन्हें इंटर्न को दिखाता है।
- यह कहता है, "देखो कि हमने पहले इस तरह के समान पहेली को कैसे सुलझाया था। इस नए पहेली को सुलझाने के लिए उसी शैली का उपयोग करें।"
- यह इंटर्न को समझने में मदद करता है कि "आर्किटेक्ट" (ऑन्टोलॉजी) वास्तव में क्या चाहता है, जिससे बहुत बेहतर परिणाम मिलते हैं।
4. परिणाम: बेहतर सटीकता, गति नहीं
लेखकों ने इस सिस्टम का परीक्षण "पुराने तरीके" (बिना आर्किटेक्ट या इंस्पेक्टर के केवल इंटर्न को लिखने के लिए कहना) के विरुद्ध किया।
- परिणाम: नया तरीका काफी अधिक सटीक था। इसने अधिक "बुरे लोगों" को खोजा (उच्च Recall) और कम गलतियाँ कीं (उच्च Precision)।
- ट्रेड-ऑफ (Trade-off): पेपर स्पष्ट रूप से बताता है कि उन्होंने गति के बजाय गुणवत्ता को प्राथमिकता दी। नया तरीका थोड़ा अधिक समय लेता है क्योंकि इसे काम की जाँच करनी पड़ती है, फीडबैक लेना पड़ता है और फिर से प्रयास करना पड़ता है। लेकिन अंतिम परिणाम साइबर खतरों का एक बहुत अधिक विश्वसनीय और भरोसेमंद मानचित्र है।
- विजेता: परीक्षण किए गए विभिन्न AI मॉडल्स में से, Claude 3.5 Sonnet ने सबसे अच्छा प्रदर्शन किया, हालांकि Llama 3.3 जैसे ओपन-सोर्स मॉडल्स ने भी बहुत अच्छा प्रदर्शन किया।
सारांश उपमा (Summary Analogy)
यदि साइबर सुरक्षा लॉग्स को एक अराजक, हस्तलिखित डायरी से एक औपचारिक कानूनी दस्तावेज़ में अनुवाद करने जैसा है:
- पुराना तरीका: आप एक स्मार्ट अनुवादक से बस "अपना सर्वश्रेष्ठ देने" के लिए कहते हैं। वे अर्थ समझ सकते हैं, लेकिन प्रारूप अव्यवस्थित और असंगत होगा।
- OntoLogX: आप अनुवादक को एक सख्त कानूनी टेम्पलेट (ऑन्टोलॉजी) देते हैं, उन्हें पूर्ण कानूनी दस्तावेजों के उदाहरण (Few-shot examples) दिखाते हैं, और एक सख्त वकील (SHACL) से प्रत्येक ड्राफ्ट की समीक्षा करवाते हैं। यदि ड्राफ्ट पूर्ण नहीं है, तो वकील उसे सुधार के लिए वापस भेज देता है। परिणाम हर बार एक त्रुटिहीन कानूनी दस्तावेज़ होता है, भले ही इसे तैयार करने में थोड़ा अधिक समय लगे।
मुख्य निष्कर्ष: यह पेपर सिद्ध करता है कि "स्मार्ट AI" को "सख्त नियमों" और "गुणवत्ता जाँच" के साथ मिलाने से बिखरे हुए कंप्यूटर लॉग्स को साइबर खतरों के बारे में स्पष्ट, कार्रवाई योग्य इंटेलिजेंस में बदलने के लिए एक बहुत अधिक विश्वसनीय प्रणाली बनती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।