From IOCs to Regex: Automating CTI Operationalization for SOC with LLMs
यह शोध पत्र IOCRegex-gen को प्रस्तुत करता है, जो एक स्वचालित LLM-आधारित प्रणाली है जो एक ग्रुप-अवेयर मैकेनिज्म और इटरेटिव वैलिडेशन पाइपलाइन के माध्यम से CTI रिपोर्टों से इंडिकेटर्स ऑफ कॉम्प्रोमाइज (IOCs) को सिमेंटिक रूप से सटीक और सिंटैक्टिक रूप से वैध रेगुलर एक्सप्रेशंस में परिवर्तित करती है, जिससे 99.1% हिट रेट प्राप्त होता है और सुरक्षा संचालन में मैन्युअल प्रयास काफी कम हो जाता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
यहाँ इस शोध पत्र "From IOCs to Regex: Automating CTI Operationalization for SOC with LLMs" का सरल भाषा और रचनात्मक उपमाओं (analogies) के साथ हिंदी अनुवाद दिया गया है।
बड़ी तस्वीर: "अनुवाद में खो जाने" की समस्या (The "Lost in Translation" Problem)
कल्पना कीजिए कि आप एक विशाल गगनचुंबी इमारत में एक सुरक्षा गार्ड (SOC Analyst) हैं। हर दिन, आपको अन्य सुरक्षा एजेंसियों से "वांटेड पोस्टर्स" (Cyber Threat Intelligence Reports) का एक ढेर मिलता है। ये पोस्टर अपराधियों के बारे में बताते हैं और उन्हें पहचानने के संकेत देते हैं, जैसे: "चोर पीछे के दरवाजे से प्रवेश करने की कोशिश करेगा और '11.bat' नाम की लाल चाबी का उपयोग करेगा।"
डिजिटल दुनिया में, इन संकेतों को IOCs (Indicators of Compromise) कहा जाता है।
समस्या:
"वांटेड पोस्टर्स" साधारण अंग्रेजी में लिखे गए हैं। लेकिन आपके सुरक्षा कैमरे और अलार्म सिस्टम (Logs) अंग्रेजी नहीं समझते; वे केवल एक सख्त, रोबोटिक कोड समझते हैं जिसे Regular Expressions (Regex) कहा जाता है।
चोर को पकड़ने के लिए, आपको उस साधारण अंग्रेजी संकेत ("लाल चाबी जिसका नाम '11.bat' है") को एक जटिल कोड में अनुवाद करना होगा जो कहता है: "किसी भी ऐसी फ़ाइल को खोजें जो .bat पर समाप्त होती हो, लेकिन विशिष्ट नंबर को अनदेखा करें, क्योंकि चोर कल इसे बदलकर '12.bat' कर सकता है।"
वर्तमान में, मानव विश्लषकों को यह अनुवाद मैन्युअल रूप से करना पड़ता है। यह धीमा, उबाऊ और गलतियों से भरा काम है। यदि विश्लेषक थक जाता है, तो वह कोड गलत लिख सकता है, और चोर अलार्म को चकमा देकर निकल सकता है।
समाधान: "सुपर-ट्रांसलेटर" रोबोट (The "Super-Translator" Robot)
इस शोध पत्र के लेखकों ने एक नया AI सिस्टम बनाया है जिसे IOCRegex-gen कहा जाता है। इसे एक सुपर-ट्रांसलेटर रोबोट के रूप में समझें जो साधारण अंग्रेजी संकेतों को लेता है और तुरंत अलार्म सिस्टम के लिए एकदम सही रोबोटिक कोड लिख देता है।
लेकिन यहाँ एक पेंच है: एक मानक AI (जैसे कि एक साधारण चैटबॉट) इसमें बुरा होता है। यदि आप एक सामान्य AI से कोड लिखने के लिए कहते हैं, तो वह भ्रमित हो सकता है, बकवास (gibberish) लिख सकता है, या कोड को बहुत अधिक अस्पष्ट बना सकता है (जैसे कि कहना "कोई भी फ़ाइल खोजो," जिससे अलार्म हर बार तब बज जाएगा जब कोई टेक्स्ट डॉक्यूमेंट खोलेगा)।
लेखकों का सिस्टम इसे दो विशेष तरकीबों से हल करता है:
तरकीब 1: "स्मार्ट हाइलाइटर" (Capture Group Finding)
कल्पना कीजिए कि संकेत है: "चोर C:\Users\Public\11.bat फ़ाइल का उपयोग करता है।"
एक मानव विशेषज्ञ जानता है कि C:\Users\Public कंप्यूटर का एक मानक, अपरिवर्तनीय हिस्सा है (जैसे कि इमारत का पता), लेकिन 11.bat वह हिस्सा है जिसे चोर बदल सकता है (जैसे कि चाबी पर लिखा नाम)।
- पुराना तरीका: एक बुनियादी AI पूरे स्ट्रिंग (string) को बिल्कुल सटीक रूप से मिलाने की कोशिश कर सकता है। यदि चोर नाम बदलकर
12.batकर देता है, तो अलार्म नहीं बजेगा। - नया तरीका: सिस्टम एक Knowledge Graph (विंडोज कंप्यूटर कैसे काम करते हैं, इसका एक विशाल डिजिटल विश्वकोश) का उपयोग करता है ताकि यह पता लगाया जा सके कि कौन से हिस्से "फिक्स्ड" (स्थिर) हैं और कौन से "वेरिएबल" (परिवर्तनीय) हैं।
- यह
C:\Users\Publicको एक Capture Group (वह हिस्सा जिसे हमें देखना ही चाहिए) के रूप में हाइलाइट करता है। - यह
11.batको एक Non-Capture Group (वह हिस्सा जो बदल सकता है) के रूप में मानता है। - परिणाम: रोबोट ऐसा कोड लिखता है जो कहता है, "पता
C:\Users\Publicखोजो, जिसके बाद.batपर समाप्त होने वाला कोई भी फ़ाइल नाम हो।"
- यह
तरकीब 2: "सेल्फ-करेक्टिंग एडिटर" (Iterative Reasoning)
स्मार्ट हाइलाइटर के बावजूद, AI गलतियाँ कर सकता है। इसलिए, सिस्टम एक Reasoning Loop का उपयोग करता है।
- ड्राफ्ट (Draft): AI एक ड्राफ्ट कोड लिखता है।
- टेस्ट (Test): एक "डीबगर" (Debugger) टूल मूल संकेत के विरुद्ध उस कोड को चलाने की कोशिश करता है।
- फीडबैक (Feedback): यदि कोड विफल हो जाता है, तो टूल AI को बताता है, "आप बैकस्लैश (backslash) भूल गए!" या "आपने इसे बहुत व्यापक बना दिया; यह निर्दोष फ़ाइलों को भी मैच कर रहा है!"
- पुनः प्रयास (Retry): AI कोड को ठीक करता है और फिर से कोशिश करता है।
- ग्रेडिंग (Grading): अंत में, सिस्टम कोड के पांच अलग-अलग संस्करण बनाता है और उस संस्करण को चुनता है जो "गोल्डिलॉक्स" (Goldilocks) वर्जन है—न बहुत सख्त, न बहुत ढीला, बल्कि बिल्कुल सही।
परिणाम: यह रोबोट कितना अच्छा है?
शोधकर्ताओं ने इस सिस्टम का परीक्षण 3,000 से अधिक वास्तविक दुनिया के थ्रेट रिपोर्ट्स पर किया और इसकी तुलना प्रसिद्ध सुरक्षा परीक्षण ढांचे (MITRE ATT &CK) के 2,400 वास्तविक हमलों से की।
- सटीकता (Accuracy): सिस्टम ने 99.1% वास्तविक हमलों को पकड़ा।
- गलत अलार्म (False Alarms): इसने केवल 0.8% बार गलत अलार्म बजाया।
- तुलना (Comparison): जब उन्होंने इस स्मार्ट सिस्टम की तुलना केवल एक मानक AI से यह पूछने से की कि "कोड लिखें," तो स्मार्ट सिस्टम 30% बेहतर था।
यह क्यों महत्वपूर्ण है?
वर्तमान सुरक्षा जगत को एक ऐसे पुस्तकालय के रूप में सोचें जहाँ हर सेकंड नए "वांटेड पोस्टर्स" आते हैं। मानव गार्ड उन सभी को पढ़ने की गति से नहीं पढ़ सकते, और वे थक जाते हैं।
यह शोध पत्र एक रोबोट लाइब्रेरियन पेश करता है जो:
- पोस्टर को तुरंत पढ़ता है।
- इमारत के पते और चोर के बदलते भेष के बीच के अंतर को समझता है।
- स्वचालित रूप से एकदम सही अलार्म कोड लिखता है।
- गार्डों को सौंपने से पहले यह सुनिश्चित करने के लिए अपने काम की जाँच करता है कि वह परफेक्ट है।
यह सुरक्षा टीमों को घंटों तक मैन्युअल रूप से कोड टाइप करने में समय बिताने के बजाय वास्तव में हैकर्स को रोकने पर ध्यान केंद्रित करने की अनुमति देता है। यह "थ्रेट इंटेलिजेंस" (सूचना) को "एक्शनेबल डिफेंस" (स्वचालित सुरक्षा) में बदल देता है, उस गति से जो मानव के लिए संभव नहीं है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।