Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs
यह शोध पत्र कॉन्टेक्स्ट-अवेयर थ्रेट इंटेलिजेंस नॉलेज ग्राफ (CTiKG) फ्रेमवर्क प्रस्तुत करता है, जो अनस्ट्रक्चर्ड साइबर सुरक्षा रिपोर्टों से सटीक एंटिटी-रिलेशन ट्रिपल्स निकालने में मौजूदा पाइपलाइन दृष्टिकोणों की सीमाओं को दूर करने के लिए डोमेन ऑन्टोलॉजी के साथ सिक्योरबर्ट+ (SecureBERT+) एम्बेडिंग्स को संयोजित करने वाले हाइब्रिड एनएलपी (NLP) मॉडलों का लाभ उठाता है, जिससे STIX 2.1-संरेखित बेंचमार्क पर महत्वपूर्ण प्रदर्शन लाभ प्राप्त होता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक साइबर सुरक्षा जासूस हैं जो एक बहुत बड़े रहस्य को सुलझाने की कोशिश कर रहे हैं। आपके पास हजारों बिखरी हुई, हाथ से लिखी रिपोर्ट (असंरचित पाठ/unstructured text) हैं जो हैकर्स, उनके टूल्स और उनके हमलों का वर्णन करती हैं। आपका लक्ष्य इन बिखरी हुई नोट्स को एक साफ, व्यवस्थित "वांटेड पोस्टर" बोर्ड (एक नॉलेज ग्राफ) में बदलना है जहाँ आप तुरंत देख सकें कि कौन किससे जुड़ा है, वे किन टूल्स का उपयोग करते हैं, और वे कहाँ हमला करते हैं।
यह पेपर इस तरह का बोर्ड बनाने का एक नया, स्मार्ट तरीका पेश करता है, जिसे CTiKG कहा जाता है। यह कैसे काम करता है, इसे सरल अवधारणाओं में यहाँ समझाया गया है:
समस्या: "टूटी हुई असेंबली लाइन"
पहले, इस तरह के बोर्ड बनाने की कोशिश करना एक दोषपूर्ण असेंबली लाइन चलाने जैसा था।
- चरण 1: एक रोबोट लोगों और स्थानों के नाम (Entities) खोजने की कोशिश करता था।
- चरण 2: दूसरा रोबोट यह समझने की कोशिश करता था कि वे आपस में कैसे जुड़े हैं (Relations)।
समस्या यह थी कि यदि पहला रोबोट गलती करता था (जैसे किसी हैकर का नाम गलत पहचानना), तो दूसरा रोबोट भी भ्रमित हो जाता और गलती कर देता। इसे "एरर प्रोपेगेशन" (त्रुटि प्रसार) कहा जाता है। साथ ही, उन रोबोटों को सामान्य अंग्रेजी (जैसे विकिपीडिया पढ़ना) पर प्रशिक्षित किया गया था, इसलिए वे विशिष्ट हैकर स्लैंग या शब्दावली को नहीं समझते थे। वे "Mimikatz" को पढ़ते और सोचते कि यह सिर्फ एक रैंडम शब्द है, न कि एक विशिष्ट हैकिंग टूल।
समाधान: "कॉन्टेक्स्ट-अवेयर डिटेक्टिव" (CTiKG)
लेखकों ने एक नया सिस्टम बनाया है जो एक विशेष जासूसी टीम की तरह काम करता है जो साइबर खतरों की भाषा को धाराप्रवाह बोलती है। उन्होंने इस प्रक्रिया को तीन मुख्य तरीकों से सुधारा है:
1. "सुपर-रीडर" (बेहतर एंटिटी रिकग्निशन)
एक बुनियादी रोबोट के बजाय, उन्होंने एक विशेष मस्तिष्क का उपयोग किया जिसे SecureBERT+ कहा जाता है। इसे एक ऐसे जासूस के रूप में सोचें जिसने अब तक की लिखी गई हर साइबर-अपराध रिपोर्ट पढ़ रखी है।
- अपग्रेड: उन्होंने इस मस्तिष्क में एक "सेफ्टी नेट" (एक CRF लेयर) जोड़ा। पुराने सिस्टम में, रोबलेट किसी शब्द को "नाम की शुरुआत" के रूप में लेबल कर सकता था लेकिन "नाम के अंत" को लेबल करना भूल सकता था, जिससे एक टूटा हुआ वाक्य बन जाता था। यह सेफ्टी नेट सुनिश्चित करता है कि लेबल हमेशा एक साथ सही अर्थ दें, जैसे कि एक पहेली का टुकड़ा जो तभी फिट बैठता है जब उसके आस-पास के टुकड़े भी सही हों।
- परिणाम: यह सिस्टम टेक्स्ट में 21 विभिन्न प्रकार के "संदिग्धों" (जैसे हैकर्स, मैलवेयर, या IP एड्रेस) को पहचानने में बहुत बेहतर है, जिससे गलतियाँ लगभग 3-4% कम हो जाती हैं।
2. "नियम पुस्तिका" (बेहतर रिलेशन एक्सट्रैक्शन)
एक बार संदिग्ध मिल जाने के बाद, सिस्टम को कड़ियों को जोड़ने की आवश्यकता होती है।
- अपग्रेड: उन्होंने एक विशिष्ट डोमेन ऑन्टोलॉजी (Domain Ontology) बनाई। इसे एक सख्त नियम पुस्तिका या फ्लोचार्ट के रूप में समझें जो कहती है, "एक हैकर एक टूल का उपयोग करता है," या "एक टूल एक कंप्यूटर को लक्ष्य बनाता है।"
- यह कैसे मदद करता है: भले ही AI थोड़ा भ्रमित हो जाए, नियम पुस्तिका एक रेफरी के रूप में कार्य करती है। यदि AI यह कहने की कोशिश करता है कि एक "कंप्यूटर" एक "तारीख" के साथ "जुड़ा हुआ" है जो तर्कसंगत नहीं है, तो नियम पुस्तिका उसे सुधार देती है। यह सुनिश्चित करता है कि संबंध (relationships) तार्किक और सटीक हों।
- परिणाम: इसने कड़ियों को जोड़ने की सटीकता को 8% तक बढ़ा दिया।
3. "ट्रेनिंग ग्राउंड" (नया डेटा)
अपने नए जासूसों को सिखाने के लिए, लेखकों ने केवल पुराने, बिखरे हुए डेटा का उपयोग नहीं किया। उन्होंने एक नया, अत्यंत स्वच्छ ट्रेनिंग सेट बनाया जिसे DNRTI-AUG-STIX2 कहा जाता है।
- उन्होंने मौजूदा रिपोर्टों को लिया और उसमें दुर्लभ प्रकार के हैकर्स और टूल्स के अधिक उदाहरण जोड़े (डेटा ऑग्मेंटेशन) ताकि AI उन चीजों से भ्रमित न हो जिन्हें उसने पहले कभी नहीं देखा है।
- उन्होंने समान श्रेणियों (जैसे विभिन्न प्रकार के हैश कोड) को भी मिला दिया ताकि सीखने की प्रक्रिया अधिक सुचारू हो सके।
परिणाम: एक स्पष्ट तस्वीर
लेखकों ने अपने नए सिस्टम का परीक्षण पुराने सिस्टमों के विरुद्ध इन नए डेटासेट्स का उपयोग करके किया।
- स्कोर: उनके नए सिस्टम ने 0 से 1 के पैमाने पर काफी अधिक स्कोर किया (विशेष रूप से, नामों को खोजने के लिए F1 स्कोर में 3-4% और संबंधों को खोजने के लिए 8% तक का सुधार हुआ)।
- प्रमाण: उन्होंने केवल एक प्रकार की रिपोर्ट पर परीक्षण नहीं किया; उन्होंने यह साबित करने के लिए तीन अलग-अलग डेटासेट्स (DNRTI-AUG-STIX2, DNRTI, और STUCCO) पर परीक्षण किया कि यह किसी भी प्रकार की साइबर-रिपोर्ट को पढ़ने में सक्षम है।
निचोड़
यह पेपर यह दावा नहीं करता कि यह हैकर्स को रोकता है या भविष्य की भविष्यवाणी करता है। इसके बजाय, यह दावा करता है कि इन्होंने सुरक्षा विशेषज्ञों के लिए एक बेहतर उपकरण बनाया है। "असेंबली लाइन" की त्रुटियों को ठीक करके और AI को "हैकर" की भाषा सिखाकर, उन्होंने एक ऐसा सिस्टम बनाया है जो बिखरे हुए टेक्स्ट को साइबर खतरों के एक स्पष्ट, विश्वसनीय मानचित्र में बदल देता है। यह मानचित्र सुरक्षा टीमों को तेज़ और अधिक सूचित निर्णय लेने में मदद करता है क्योंकि जानकारी सटीक और पूछने (query) में आसान होती है।
लेखकों ने अपना नया "ट्रेनिंग डेटा" और "नियम पुस्तिकाएं" GitHub पर साझा की हैं ताकि अन्य शोधकर्ता और भी बेहतर सिस्टम बनाने के लिए उनका उपयोग कर सकें।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।