Retrieval-Augmented LLMs for Security Incident Analysis
यह शोध पत्र एक रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) प्रणाली प्रस्तुत करता है जो लक्षित क्वेरी-आधारित फ़िल्टरिंग को LLM सिमेंटिक रीजनिंग के साथ जोड़कर सुरक्षा घटनाओं के विश्लेषण को उन्नत करती है ताकि विविध लॉग स्रोतों से हमले के अनुक्रमों को सटीक रूप से पुनर्गठित किया जा सके और संकेतकों की पहचान की जा सके, जो यह प्रदर्शित करता है कि यह दृष्टिकोण गैर-RAG बेसलाइन की तुलना में लागत को काफी कम करते हुए उच्च रिकॉल और प्रिसिजन प्राप्त करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक जासूस हैं जो एक विशाल, हलचल भरे शहर (आपका कंप्यूटर नेटवर्क) के भीतर हुई एक बड़ी अपराध की गुत्थी सुलझाने की कोशिश कर रहे हैं। हर दिन, लाखों लोग सड़कों पर चलते हैं, कॉफी खरीदते हैं और पड़ोसियों से बातें करते हैं। यह सब सामान्य जीवन का हिस्सा है। लेकिन उसी लाखों लेनदेन के समुद्र में, कहीं एक चोर घुस आता है, एक वॉलेट चुराता है और भाग जाता है।
आपका काम उस चोर को ढूंढना है।
समस्या: बहुत अधिक शोर, बहुत कम समय
पुराने दिनों में, सुरक्षा विश्लेषक (security analysts) उन जासूसों की तरह थे जिन्हें पूरे शहर के हर एक रसीद, सुरक्षा कैमरे की फुटेज और फोन कॉल लॉग को पढ़ना पड़ता था ताकि चोर को पकड़ा जा सके।
- वास्तविकता: एक साइबर हमला पीछे लाखों डिजिटल "रसीदें" (लॉग्स) छोड़ जाता है।
- समस्या: रसीदें बहुत अधिक हैं। एक इंसान उन सभी को नहीं पढ़ सकता। वे थक जाते हैं, सुराग चूक जाते हैं, और चोर भाग निकलता है। साथ ही, चोर स्मार्ट होता; वह कोई ऐसा निशान नहीं छोड़ता जिस पर लिखा हो "मैं ही चोर हूँ।" वह सामान्य गतिविधियों के बीच अपने पदचिह्नों को छिपा लेता है।
समाधान: एक स्मार्ट जासूसी सहायक (RAG + LLM)
यह शोध पत्र एक नए सिस्टम का परिचय देता है जो एक सुपर-स्मार्ट जासूसी सहायक की तरह काम करता है। यह दो शक्तिशाली उपकरणों को जोड़ता है:
- फिल्टर (RAG): एक उपकरण जो लाखों रसीदों को तेजी से स्कैन करता है और केवल उन्हीं को रखता है जो संदिग्ध दिखती हैं।
- दिमाग (LLM): एक अत्यधिक बुद्धिमान AI जो उन कुछ संदिग्ध रसीदों को पढ़ता है और आपको बताता है कि वास्तव में क्या हुआ था।
यह कैसे काम करता है, हमारे शहर के उदाहरण का उपयोग करते हुए, चरण-दर-चरण यहाँ दिया गया है:
1. "स्मार्ट फिल्टर" (लक्षित क्वेरी-आधारित फ़िल्टरिंग)
AI को किताबों का पूरा पुस्तकालय (सभी लॉग्स) देने के बजाय, सिस्टम पहले एक लाइब्रेरियन से विशिष्ट प्रश्न पूछता है।
- पुराना तरीका: "लाइब्रेरी की हर किताब पढ़ो।" (बहुत धीमा, बहुत अधिक शोर)।
- नया तरीका: "मुझे केवल वही किताबें दिखाओ जो 'चोरी हुए वॉलेट' और 'अजीब कार आंदोलनों' के बारे में हैं।"
- यह कैसे काम करता है: सिस्टम "संदिग्ध पैटर्न" की एक पूर्व-निर्धारित सूची का उपयोग करता है (जैसे कि किसी विशिष्ट नकली आईडी या गोल-गोल घूमती कार को ढूंढना)। यह लाखों सामान्य कॉफी खरीदारी को बाहर निकाल देता है और केवल उन 100 रसीदों को रखता है जो अजीब लगती हैं।
2. "कॉन्टेक्स्ट बिल्डर" (रिट्रीवल-ऑगमेंटेड जनरेशन - RAG)
अब AI के पास संदिग्ध रसीदों का एक छोटा ढेर है। लेकिन सुबह 9:00 बजे की रसीद तब तक समझ में नहीं आ सकती जब तक कि उसके साथ 9:05 बजे की रसीद न हो।
- सिस्टम उन 100 संदिग्ध रसीदों को लेता है और उन्हें एक सुसंगत कहानी में व्यवस्थित करता है। यह उन्हें पहेली के टुकड़ों की तरह एक साथ जोड़ता है।
- यह RAG (रिट्रीवल-ऑगमेंटेड जनरेशन) नामक तकनीक का उपयोग करता है। इसे ऐसे समझें कि AI के पास उसके ठीक बगल में एक "चीट शीट" या "सर्च इंजन" है। जब AI रहस्य सुलझाने की कोशिश करता है, तो वह केवल अनुमान नहीं लगाता; वह अपने उत्तर की पुष्टि करने के लिए अपनी चीट शीट से आवश्यक साक्ष्य ढूंढता है।
3. "डिटेक्टिव AI" (LLM)
अंत में, AI (लार्ज लैंग्वेज मॉडल) इस क्यूरेटेड, व्यवस्थित कहानी को पढ़ता है। क्योंकि यह लाखों सामान्य रसीदों से अभिभूत नहीं होता है, इसलिए यह सुरागों पर ध्यान केंद्रित कर सकता है।
- यह ऐसे प्रश्नों के उत्तर देता है: "चोर कौन था?" "वह कहाँ गया?" "उसने किन उपकरणों का उपयोग किया?"
- यह केवल यह नहीं कहता कि "एक चोरी हुई।" बल्कि यह कहता है, "चोर 'डेस्क-5' वाले कंप्यूटर पर 'जॉन' नाम का एक उपयोगकर्ता था। उसने एक नकली अपडेट डाउनलोड किया, फिर डेटा चुराने के लिए दूसरे देश के एक गुप्त सर्वर को कॉल किया।"
परिणाम: गति, सटीकता और लागत
शोधकर्ताओं ने इस सिस्टम का परीक्षण वास्तविक साइबर हमलों (जैसे मैलवेयर और जटिल नेटवर्क हैक) के विरुद्ध किया और विभिन्न AI "मस्तिष्क" (जैसे क्लॉड, डीपसीक, और जीपीटी) की तुलना की।
- सटीकता: सर्वश्रेष्ठ AI मॉडल ने 100% सुराग सही पाए। उन्होंने संक्रमित कंप्यूटरों और बुरे लोगों के गुप्त सर्वरों को ढूंढ निकाला।
- "नो-फिल्टर" विफलता: जब उन्होंने बिना फिल्टर के AI को सभी कच्चे लॉग्स खिलाने की कोशिश की, तो AI भ्रमित हो गया। वह पीड़ित को तो ढूंढ सका लेकिन बुरे लोगों को पूरी तरह से मिस कर गया क्योंकि "शोर" ने संकेतों को दबा दिया था। यह तूफान के बीच एक फुसफुसाहट सुनने की कोशिश करने जैसा है।
- लागत बचत: उन्होंने पाया कि एक AI मॉडल (डीपसीक) जो सबसे महंगे मॉडल (क्लॉड) जितना ही स्मार्ट था, लेकिन उसकी लागत 15 गुना कम थी। यह एक होंडा सिविक की कीमत पर फेरारी इंजन पाने जैसा है।
- विशेषज्ञ बनाम सामान्य: दिलचस्प बात यह है कि "सुरक्षा" पर विशेष रूप से प्रशिक्षित AI, एक सामान्य स्मार्ट AI से बेहतर प्रदर्शन नहीं कर सका। यह स्पष्ट है कि केवल सुरक्षा शब्दावली जानना ही काफी नहीं है, बल्कि एक अच्छा तर्क करने वाला (reasoner) (कड़ियों को जोड़ना) होना अधिक महत्वपूर्ण है।
यह क्यों महत्वपूर्ण है
यह सिस्टम सुरक्षा टीमों के लिए गेम बदल देता है।
- पहले: विश्लेषक डेटा में डूब रहे थे, हमले मिस कर रहे थे और मानसिक थकान (burnout) का शिकार हो रहे थे।
- अब: यह सिस्टम एक 'फोर्स मल्टीप्लायर' के रूप में कार्य करता है। यह शोर को फ़िल्टर करता है, सुरागों को व्यवस्थित करता है, और मानव विश्लेषक को बिल्कुल बताता है कि क्या हुआ, क्यों हुआ, और इसे कैसे रोका जाए।
संक्षेप में: यह शोध पत्र एक ऐसे सिस्टम का वर्णन करता है जो डिजिटल शोर के एक अराजक पहाड़ को एक स्पष्ट, पठनीय कहानी में बदल देता है, जिससे मानव विशेषज्ञ पहले की तुलना में अधिक तेज़ी से, सस्ते में और अधिक सटीकता के साथ साइबर अपराधियों को पकड़ सकते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।