🤖 AI

Next-generation cyberattack detection with large language models: anomaly analysis across heterogeneous logs

यह शोध पत्र पारंपरिक घुसपैठ पहचान प्रणालियों (इंट्रूजन डिटेक्शन सिस्टम) की सीमाओं को दूर करने के लिए एक दो-चरणीय लार्ज लैंग्वेज मॉडल फ्रेमवर्क और नवीन संतुलित डेटासेट प्रस्तुत करता है, जो डेटा की कमी और भ्रामक मूल्यांकन मेट्रिक्स को संबोधित करते हुए विषम लॉग स्रोतों में व्यावहारिक, कम लागत वाला, वास्तविक समय का विसंगति पता लगाने में सक्षम है।

मूल लेखक: Yassine Chagna, Antal Goldschmidt

प्रकाशित 2026-02-09

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Yassine Chagna, Antal Goldschmidt

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक विशाल, हलचल भरे शहर के सुरक्षा प्रमुख हैं। हर दिन, लाखों लोग सड़कों पर चलते हैं, इमारतों में प्रवेश करते हैं और सेवाओं का उपयोग करते हैं। अधिकांश समय, हर कोई बस अपने सामान्य काम में लगा रहता है। लेकिन कभी-कभी, एक चोर बैंक में घुसने की कोशिश करता है, या एक तोड़फोड़ करने वाला पावर ग्रिड के साथ छेड़छाड़ करने की कोशिश करता है।

आपका काम निगरानी कैमरों (लॉग्स) को देखना और बुरे लोगों को पहचानना है। समस्या यह है कि बहुत सारे कैमरे हैं, और वे सभी अलग-अलग भाषाएं बोलते हैं। एक कैमरा "दरवाजे के लॉक" के बारे में बात करता है, दूसरा "ईमेल ट्रैफिक" के बारे में, और तीसरा "सर्वर तापमान" के बारे में। पारंपरिक सुरक्षा गार्ड (पुराने कंप्यूटर प्रोग्राम) बहुत अधिक बोझ महसूस करते हैं। वे या तो संदर्भ (context) को समझ नहीं पाते और चोरों को मिस कर देते हैं, या फिर जब भी कोई दरवाजा खोलता है तो वे "आग!" चिल्लाकर घबरा जाते हैं, जिससे गलत अलार्म (false alarms) की स्थिति पैदा हो जाती है।

यह शोध पत्र इस समस्या को हल करने के लिए एक नया, स्मार्ट तरीका पेश करता है जिसमें लार्ज लैंग्वेज मॉडल्स (LLMs) का उपयोग किया गया है—इन्हें सुपर-स्मार्ट जासूसों के रूप में सोचें जो इन लॉग्स में लिखे "कहानियों" को पढ़ और समझ सकते हैं। यहाँ बताया गया है कि उन्होंने इस समस्या को कैसे हल किया, जिसे सरल चरणों में विभाजित किया गया है:

1. समस्या: "भूसे के ढेर में सुई" (Needle in a Haystack) का नियम टूट गया है

लेखक बताते हैं कि हम वर्तमान में इन सुरक्षा प्रणालियों का परीक्षण करने के तरीके में एक बड़ी खामी है।

उपमा (Analogy): कल्पना कीजिए कि एक शिक्षक एक छात्र को एक परीक्षा देता है जिसमें 99 प्रश्न "सेब" के बारे में हैं और केवल 1 प्रश्न "संतरे" के बारे में है। यदि छात्र हर सवाल का जवाब "सेब" देकर देता है, तो वह 99% स्कोर प्राप्त कर लेता है! लेकिन वह संतरे को खोजने में पूरी तरह विफल रहा।
वास्तविकता: वास्तविक जीवन में, साइबर हमले दुर्लभ होते हैं (जैसे कि संतरा)। अधिकांश लॉग सामान्य होते हैं। पुराने परीक्षण उस नकली परीक्षा की तरह थे; उन्होंने मॉडल्स को स्मार्ट दिखाया क्योंकि उन्होंने बस यह अनुमान लगाया कि "सब कुछ सामान्य है।" जब ये मॉडल्स वास्तव में तैनात किए गए, तो वे हर हमले को मिस कर गए।

2. समाधान: एक बेहतर लाइब्रेरी बनाना (डेटासेट्स)

इस समस्या को ठीक करने के लिए, लेखकों ने अपने AI को प्रशिक्षित करने के लिए दो नई "लाइब्रेरी" (डेटासेट्स) बनाईं।

लाइब्रेरी A (LogAtlas-Foundation-Sessions): यह एक विशाल विश्वकोश की तरह है कि एक शहर आमतौर पर कैसे व्यवहार करता है। इसमें 8 विभिन्न प्रकार के सिस्टमों (सर्वर, फायरवॉल, ईमेल) से 19 मिलियन लॉग प्रविष्टियाँ हैं। यह AI को सामान्य जीवन की "व्याकरण" और "शब्दावली" सिखाता है ताकि उसे पता चल सके कि एक "सामान्य दिन" कैसा दिखता है।
लाइब्रेरी B (LogAtlas-Defense-Set): यह वास्तविक जासूसों के लिए प्रशिक्षण का मैदान है। पुरानी लाइब्रेरी के विपरीत, यह संतुलित (balanced) है। इसमें "हमले" के बहुत अधिक उदाहरण हैं (लग लगभग 35% डेटा), ताकि AI वास्तव में बुरे लोगों को पहचानना सीख सके, न कि केवल यह अनुमान लगाकर छोड़ दे कि "सब कुछ ठीक है।"

3. प्रशिक्षण रणनीति: मास्टर और प्रशिक्षु (The Master and the Apprentice)

लेखकों ने सर्वोत्तम परिणाम प्राप्त करने के लिए, बिना किसी विशाल सुपरकंप्यूटर की आवश्यकता के, एक चतुर दो-चरणीय प्रशिक्षण पद्धति का उपयोग किया।

चरण 1: मास्टर डिटेक्टिव (Base-AMAN)
उन्होंने एक बड़े, स्मार्ट मॉडल (3 बिलियन पैरामीटर्स) को लाइब्रेरी A पर प्रशिक्षित किया। यह मॉडल लॉग्स के संदर्भ (context) को समझने में विशेषज्ञ बन गया। इसने सीखा कि रात के 3 बजे "लॉगिन विफलता" (login failure) दोपहर के 3 बजे की तुलना में अलग होती है, या किसी विशिष्ट सर्वर से अचानक ट्रैफिक में उछाल संदिग्ध होता है। यह एक अनुभवी जासूस की तरह है जिसने सब कुछ देखा है।
- तकनीकी ट्रिक: उन्होंने सॉफ्ट मिक्सचर-ऑफ-एक्सपर्ट्स (Soft Mixture-of-Experts) नामक तकनीक का उपयोग किया, जो एक टीम के विशेषज्ञों की तरह है (एक नेटवर्क लॉग के लिए, एक ईमेल के लिए, आदि) जो हर मामले पर मिलकर काम करते हैं, बजाय इसके कि केवल एक व्यक्ति सब कुछ करने की कोशिश करे।
चरण 2: प्रशिक्षु (Apprentice - AMAN)
आप एक सस्ते लैपटॉप पर 3-बिलियन-पैरामीटर वाला मॉडल नहीं चला सकते; यह बहुत धीमा और महंगा है। इसलिए, उन्होंने नॉलेज डिस्टिलेशन (Knowledge Distillation) का उपयोग किया।
- उपमा: कल्पना कीजिए कि मास्टर डिटेक्टिव (बड़ा मॉडल) एक युवा प्रशिक्षु (एक छोटा 0.5 बिलियन पैरामीटर मॉडल) के साथ बैठता है। मास्टर केवल यह नहीं कहता, "यह एक अपराध है।" इसके बजाय, मास्टर यह समझाता है कि क्यों: "यह 65% अपराध जैसा दिखता है और 35% गलती जैसा।" प्रशिक्षु इन सूक्ष्म स्पष्टीकरणों से सीखता है।
- परिणाम: प्रशिक्षु मास्टर के लगभग उतना ही स्मार्ट हो जाता है, लेकिन वह बहुत छोटा, तेज़ और सस्ता होता है।

4. परिणाम: तेज़, सस्ता और वास्तविक

शोध पत्र का दावा है कि यह नया सिस्टम लैब में नहीं, बल्कि वास्तविक दुनिया में काम करता है।

गति: छोटा प्रशिक्षु मॉडल 500 लॉग लाइनों के सत्र का विश्लेषण 0.2 से 0.5 सेकंड में कर सकता है। यह एक हैकर को वास्तविक समय (real-time) में पकड़ने के लिए पर्याप्त तेज़ है।
लागत: इस सिस्टम को चलाने की लागत मानक क्लाउड कंप्यूटरों पर लगभग $10 से$ 50 प्रतिदिन है। लेखक इसकी तुलना केवल 30 मिनट के लिए एक जूनियर विश्लेषक को काम पर रखने की लागत से करते हैं। यह 24/7 चलाने के लिए पर्याप्त सस्ता है।
विश्वसनीयता: चूंकि उन्होंने "संतुलित" डेटासेट पर प्रशिक्षण दिया था, इसलिए मॉडल केवल अनुमान नहीं लगाता। यह वास्तव में हमलों को पकड़ता है बिना सुरक्षा टीमों को गलत अलार्म से परेशान किए।

मुख्य निष्कर्ष (The Big Takeaway)

लेखकों का तर्क है कि साइबर सुरक्षा के क्षेत्र को उन "नकली" परीक्षणों का उपयोग करना बंद करना चाहिए जो मॉडल्स को अच्छा दिखाते हैं लेकिन वास्तविक जीवन में विफल हो जाते हैं। उन्होंने प्रदान किया है:

बेहतर डेटा: वास्तविक, संतुलित डेटासेट्स जो वास्तविक हमलों को दर्शाते हैं।
बेहतर प्रशिक्षण: एक तरीका जिससे छोटे, तेज़ मॉडल्स को बड़े, धीमे मॉडल्स से सीखकर स्मार्ट बनाया जा सके।
एक नया मानक: उद्योग के लिए एक आह्वान कि वे इन प्रणालियों को ठीक से परखने के तरीके पर सहमत हों, ताकि जब कोई मॉडल कहता है कि वह "99% सटीक" है, तो उसका वास्तव में मतलब यह हो कि वह बुरे लोगों को पकड़ सकता है, न कि उन्हें अनदेखा कर सकता है।

संक्षेप में, उन्होंने एक स्मार्ट, किफायती और तेज़ "डिजिटल सुरक्षा गार्ड" बनाया है जो वास्तव में समझता है कि वह क्या देख रहा है, बजाय इसके कि वह केवल अनुमान लगाए।

तकनीकी सारांश: लार्ज लैंग्वेज मॉडल्स के साथ अगली पीढ़ी का साइबर हमले का पता लगाना

1. समस्या विवरण (Problem Statement)

लॉग-आधारित विसंगति पहचान (anomaly detection) का क्षेत्र चुनौतियों के एक महत्वपूर्ण त्रय (triad) का सामना कर रहा है: सिमेंटिक अंधापन (semantic blindness), डेटा की कमी, और मूल्यांकन मिसअलाइनमेंट (evaluation misalignment)। पारंपरिक नियम-आधारित और मशीन लर्निंग सिस्टम विषम लॉग स्रोतों में सामान्यीकरण करने में विफल रहते हैं, क्योंकि वे अक्सर कठोर पार्सिंग (rigid parsing) पर निर्भर होते हैं जो टेम्पलेट विकास के साथ टूट जाती है। इसके अलावा, वास्तविक दुनिया के लॉग्स में दुर्भावनापूर्ण गतिविधि की अंतर्निط स्वाभाविक दुर्लभता क्लास असंतुलन (class imbalance) पैदा करती है। यह असंतुलन एक "मापन संकट" (measurement crisis) की ओर ले जाता है जहाँ मानक मेट्रिक्स (जैसे, सटीकता, F1-स्कोर) भ्रामक होते हैं; मॉडल केवल बहुसंख्यक वर्ग (सामान्य व्यवहार) की भविष्यवाणी करके उच्च सटीकता प्राप्त कर सकते हैं, जिसके परिणामस्वरूप वास्तविक हमले का पता लगाने में शून्य परिणाम मिलता है। इसके अतिरिक्त, मौजूदा लार्ज लैंग्वेज मॉडल (LLM) दृष्टिकोण अक्सर वास्तविक समय में तैनाती के लिए गणनात्मक रूप से अत्यधिक खर्चीले होते हैं या विविध प्रणालियों में अनुक्रमिक व्यवहार संबंधी पैटर्न की व्याख्या करने के लिए सिमेंटिक गहराई की कमी रखते हैं।

2. कार्यप्रणाली (Methodology)

लेखक एक दो-चरणीय प्रशिक्षण ढांचे (two-phase training framework) का प्रस्ताव करते हैं जिसे गहरे सिमेंटिक समझ और वास्तविक समय की परिचालन व्यवहार्यता के बीच संतुलन बनाने के लिए डिज़ाइन किया गया है।

चरण 1: फाउंडेशन मॉडल प्रशिक्षण (Base-AMAN)

उद्देश्य: विसंगति-पहचान-विशिष्ट पूर्वाग्रह के बिना एक सामान्य लॉग समझ मॉडल विकसित करना।
डेटा: इसे LogAtlas-Foundation-Sessions पर प्रशिक्षित किया गया है, जो आठ विविध एंटरप्राइज टेस्टबेड से 44,000 से अधिक टेम्पोरल सेशन्स और 19 मिलियन कच्चे लॉग इवेंट्स का एक डेटासेट है। यह डेटासेट प्राकृतिक क्लास वितरण (2% हमला उपस्थिति) को सुरक्षित रखता है ताकि मॉडल सामान्य सिंटैक्स, टेम्पलेट्स और टेम्पोरल संरचनाओं को सीख सके।
आर्किटेक्चर: बेस के रूप में Qwen2.5-3B-Instruct का उपयोग करता है।
अनुकूलन रणनीति (Optimization Strategy):
- चिनचिला स्केलिंग (Chinchilla Scaling): यह पैरामीटर्स और टोकन्स को समान रूप से स्केल करने के सिद्धांत का पालन करता है, जिसका लक्ष्य ~51.6 टोकन प्रति पैरामीटर है।
- पैरामीटर-एफिशिएंट फाइन-ट्यूनिंग (PEFT): यह लो-रैंक अडैप्टेशन (LoRA) का उपयोग करता है जिसमें $r=16$ है, जो 99% वेट्स को फ्रीज करता है और केवल ~0.96% पैरामीटर्स को प्रशिक्षित करता है।
- सॉफ्ट मिक्सचर-ऑफ-एक्सपर्ट्स (Soft-MoE): डेंस फीड-फॉरवर्ड लेयर्स को चार विशेषज्ञों का उपयोग करने वाले एक डिफरेंशिएबल सॉफ्ट-रूटिंग तंत्र से बदल देता है। यह सुनिश्चित करता है कि प्रत्येक फॉरवर्ड पास में सभी विशेषज्ञ भाग लें, जिससे विशेषज्ञ अंडर-ट्रेनिंग कम होती है और विविध लॉग पैटर्न के बीच विशेषज्ञता संभव होती है।

चरण 2: नॉलेज डिस्टिलेशन (AMAN)

उद्देश्य: वास्तविक समय में पहचान के लिए 3B पैरामीटर वाले टीचर मॉडल के सिमेंटिक ज्ञान को एक हल्के, तैनात करने योग्य स्टूडेंट मॉडल में संकुचित करना।
डेटा: इसे LogAtlas-Defense-Set पर प्रशिक्षित किया गया है, जो एक संतुलित डेटासेट है जिसमें ~35% हमला उपस्थिति है। यह कृत्रिम संतुलन देखे गए "बहुसंख्यक क्लास कोलैप्स" (majority class collapse) को रोकता है, जिससे मॉडल को विभेदक सीमाओं (discriminative boundaries) को सीखने के लिए मजबूर किया जाता है।
आर्किटेक्चर: ज्ञान को Qwen2.5-0.5B-Instruct (0.5B पैरामीटर्स) में डिस्टिल करता है।
डिस्टिलेशन तंत्र: टीचर से स्टूडेंट को "डार्क नॉलेज" (सॉफ्ट प्रोबेबिलिटी डिस्ट्रीब्यूशन) ट्रांसफर करने के लिए टेम्परेचर-स्केल्ड सॉफ्टमैक्स ( $T=4.0$ ) का उपयोग करता है। लॉस फंक्शन समान वेटिंग ( $\alpha=0.5$ ) के साथ कुलबैक-लीब्लर (KL) डाइवर्जेंस (डिस्टिलेशन लॉस) और क्रॉस-एन्ट्रॉपी (क्लासिफिकेशन लॉस) को जोड़ता है।

डेटा इंजीनियरिंग

पेपर आधुनिक, विषम बेंचमार्क की कमी को दूर करने के लिए दो नए डेटासेट पेश करता है:

LogAtlas-Foundation-Sessions: यह 50+ स्रोत प्रकारों (Apache, DNS, Suricata, आदि) से लॉग को समृद्ध मेटाडेटा (होस्ट, समय, अवधि) और प्राकृतिक हमला उपस्थिति के साथ एकत्रित करता है।
LogAtlas-Defense-Set: एक संतुलित उपसमुच्चय (~35% हमले) जो विशेष रूप से विभेदक क्लासिफायर को प्रशिक्षित करने के लिए इंजीनियर किया गया है, जो असंतुलित सुरक्षा डेटासेट में सामान्य होने वाले डिजेनरेट समाधानों से बचता है।

3. मुख्य परिणाम (Key Results)

अध्ययन व्यावहारिक परिचालन मेट्रिक्स पर जोर देता है, जिन्हें लेखक सुरक्षा संदर्भों में अक्सर अर्थहीन मानते हैं।

इन्फरेंस स्पीड: डिस्टिल्ड 0.5B मॉडल कमोडिटी सिंगल-जीपीयू हार्डवेयर (जैसे, NVIDIA RTX 3080) पर प्रति सेशन (500 लॉग लाइन) 0.2–0.5 सेकंड का इन्फरेंस समय प्राप्त करता है। यह 3B टीचर मॉडल द्वारा आवश्यक 2–5 सेकंड की तुलना में एक महत्वपूर्ण सुधार है।
परिचालन लागत: यह प्रणाली क्लाउड इंफ्रास्ट्रक्चर पर अनुमानित $10–50 प्रति दिन की लागत पर प्रतिदिन 10,000–50,000 लॉग सेशन्स का विश्लेषण करने में सक्षम बनाती है, जो जूनियर एनालिस्ट श्रम के 30 मिनट की लागत के बराबर है।
फेलियर मोड एनालिसिस: अनुभवजन्य बेंचमार्किंग से पता चला कि असंतुलित डेटा पर प्रशिक्षित मानक मॉडल (RoBERTa, LogBERT) "कैटास्ट्रोफिक क्लास कोलैप्स" से पीड़ित होते हैं, जो केवल बहुसंख्यक वर्ग की भविष्यवाणी करते हैं, भले ही टेस्ट सेट में हमलों का अनुपात अधिक हो। यह चरण 2 में उपयोग की गई संतुलित प्रशिक्षण रणनीति की आवश्यकता को प्रमाणित करता है।
स्थिरता: डिस्टिल्ड मॉडल बिना किसी ऐसे हैलुसिनेशन (hallucinations) के निरंतर संचालन बनाए रखता है जो इंसिडेंट रिस्पॉन्स टीमों को अभिभूत कर सकते हैं, जिससे फॉल्स अलार्म को सफलतापूर्वक कम किया जाता है और रूट कॉज एनालिसिस में सहायता मिलती है।

4. महत्व और योगदान (Significance and Contributions)

यह पेपर स्वयं को केवल एक मॉडल सुधार के रूप में नहीं, बल्कि लॉग विसंगति पहचान अनुसंधान की खंडित स्थिति के एक सुधारात्मक उपाय के रूप में स्थापित करता है।

इंफ्रास्ट्रक्चर गैप: लेखक तर्क देते हैं कि क्षेत्र में सामान्य-डोमेन LLM विकास में मौजूद मानकीकृत बुनियादी ढांचे (लीडरबोर्ड, साझा बेंचमार्क, सहमत मेट्रिक्स) की कमी है। यह विखंडन संचयी प्रगति को रोकता है और क्रॉस-पेपर तुलना को असंभव बनाता है।
डेटासेट योगदान: LogAtlas-Foundation-Sessions और LogAtlas-Defense-Set का रिलीज स्पष्ट हमला एनोटेशन के साथ पहला खुले रूप से उपलब्ध, विषम और संतुलित डेटासेट प्रदान करता है, जो आधुनिक, गोपनीयता-संरक्षण बेंचमार्क की कमी को दूर करता है।
मूल्यांकन प्रतिमान बदलाव (Evaluation Paradigm Shift): यह कार्य सुरक्षा अनुप्रयोगों के लिए मानक मेट्रिक्स (F1, सटीकता) पर निर्भरता को चुनौती देता है, यह प्रदर्शित करते हुए कि वे असंतुलित परिदृश्यों में पूर्ण डिटेक्शन विफलता को कैसे छिपा सकते हैं। यह परिचालन वास्तविकता के अनुरूप मूल्यांकन प्रोटोकॉल की वकालत करता है।
व्यवहार्यता: चिनचिला स्केलिंग, Soft-MoE और नॉलेज डिस्टिलेशन को जोड़कर, यह शोध प्रदर्शित करता है कि उच्च-गुणवत्ता वाला, वास्तविक समय का विसंगति पहचान मानक हार्डवेयर पर गणनात्मक रूप से व्यवहार्य है, जो क्षेत्र को सैद्धांतिक "ब्लैक बॉक्स" मॉडल से व्यावहारिक, तैनात करने योग्य उपकरणों की ओर ले जाता है।

निष्कर्षतः, पेपर यह दावा करता है कि लॉग विसंगति पहचान के लिए आगे का रास्ता प्रयोगशाला की समस्याओं के अलग-थलग समाधानों के बजाय साझा बुनियादी ढांचे और यथार्थवादी मूल्यांकन मानकों के प्रति संस्थागत प्रतिबद्धता की आवश्यकता है।