Parser-Free Querying of Security Logs
यह शोध पत्र Sieve को प्रस्तुत करता है, जो स्वाभाविक भाषा वाली सुरक्षा क्वेरीज़ के लिए निष्पादन योग्य कोड उत्पन्न करने हेतु स्वचालित रूप से निकाले गए लॉग-फॉर्मेट संदर्भ में आधारित बड़े भाषा मॉडलों का लाभ उठाता है, जो मैन्युअल स्क्रिप्टिंग की तुलना में जटिल टेम्पोरल और क्रॉस-इवेंट लॉग विश्लेषण में त्रुटि दर को काफी कम कर देता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक सुरक्षा जासूस (security detective) हैं जो एक अपराध को सुलझाने की कोशिश कर रहे हैं। आपके पास सबूतों का एक विशाल ढेर है: लाखों पन्नों के हस्तलिखित नोट्स, रसीदें और लॉग्स जो अलग-अलग लोगों (सर्वर, फायरवॉल, यूजर अकाउंट्स) द्वारा छोड़े गए हैं। समस्या यह है कि हर कोई अपने खुद के बिखरे हुए, असंगत तरीके से लिखता है। एक व्यक्ति तारीख को "Jan 1" लिखता है, दूसरा "01/01", और कोई बस "Monday" लिख देता है। कुछ नोट्स स्टिकी नोट्स पर हैं, कुछ नैपकिन पर, और स्याही के रंग भी अलग-अलग हैं।
आपको एक केस सुलझाने के लिए विशिष्ट प्रश्न पूछने होंगे जैसे, "मुझे दिखाएं कि रात 2 बजे से 4 बजे के बीच किसी ने इमारत में घुसने की कितनी बार कोशिश की।"
पुराना तरीका: थका हुआ लाइब्रेरियन (The Overworked Librarian)
पारंपरिक रूप से, सुरक्षा टीमें इस समस्या को हल करने के लिए लाइब्रेरियन (पार्सर्स) की एक टीम को काम पर रखती है जो हर एक नोट को पढ़ सके, लिखावट की शैली को समझ सके, और सब कुछ फिर से लिखकर एक आदर्श, एकसमान स्प्रेडशीट में बदल सके।
- अच्छी बात: एक बार जब स्प्रेडशीट बन जाती है, तो सवाल पूछना तेज़ और आसान होता है।
- बुरी बात: स्प्रेडशीट बनाने में बहुत समय लगता है। हर बार जब कोई नया व्यक्ति थोड़े अलग तरीके से नोट्स लिखना शुरू करता है, तो लाइब्रेरियन को रुकना पड़ता है, उस नई शैली को सीखना पड़ता है, और नियमों को फिर से लिखना पड़ता है। यदि कोई नया प्रकार का नोट सामने आता है जिसे पहले कभी नहीं देखा गया है, तो जब तक लाइब्रेरियन उसे ठीक नहीं कर देते, पूरा सिस्टम टूट जाता है।
विकल्प: ग्रेप डिटेक्टिव (The Grep Detective)
दूसरा विकल्प यह है कि लाइब्रेरियन को पूरी तरह छोड़ दिया जाए। आप बस एक आवर्धक लेंस (magnifying glass) उठाते हैं (एक टूल जैसे grep) और खुद कच्चे (raw) नोट्स को स्कैन करते हैं।
- अच्छी बात: आप तुरंत शुरुआत कर सकते हैं। लाइब्रेरियन का इंतज़ार करने की ज़रूरत नहीं है।
- बुरी बात: आपको पता होना चाहिए कि हर संभावित लिखावट की शैली कैसी दिखती है। यदि आप "break-in" शब्द के एक भी बदलाव को मिस कर देते हैं, तो आप सुराग खो देते हैं। साथ ही, जटिल प्रश्न पूछना जैसे कि "उन लोगों को खोजें जिन्होंने 60 सेकंड के भीतर दो अलग-अलग दरवाजों से प्रवेश किया" केवल टेक्स्ट को मैन्युअल रूप से स्कैन करके करना बेहद कठिन है।
नया समाधान: सीव (Sieve - द स्मार्ट ट्रांसलेटर)
यह पेपर Sieve के बारे में है, जो एक ऐसा सिस्टम है जो एक सुपर-स्मार्ट अनुवादक की तरह काम करता है जो तुरंत आपके लिए एक कस्टम टूल लिख सकता है।
Sieve कैसे काम करता है, यहाँ एक सरल उपमा (analogy) दी गई है:
- पूछना (The Ask): आप Sieve से साधारण अंग्रेजी में एक प्रश्न पूछते हैं: "उन सभी IP एड्रेस को खोजें जिन्होंने 5 मिनट की अवधि में 10 से अधिक बार घुसने की कोशिश की।"
- त्वरित स्कैन (The Quick Scan): पूरे दस लाख पन्नों की किताब को पढ़ने के बजाय, Sieve नोट्स के अलग-अलग तरीकों को देखने के लिए पहले कुछ पन्नों को जल्दी से पलटता है। यह अलग-अलग तरीकों का एक छोटा "चीट शीट" बनाता है (जैसे, "ओह, कभी-कभी वे 'Failed password' कहते हैं, कभी-कभी 'Auth failure' कहते हैं")।
- कोड राइटर (The Code Writer): Sieve आपके प्रश्न और इस छोटी चीट शीट को एक बहुत ही बुद्धिमान AI (एक लार्ज लैंग्वेज मॉडल) के पास भेजता है। AI पूरी किताब नहीं पढ़ता; वह केवल चीट शीट का उपयोग करके आपके लिए एक विशेष रूप से डिज़ाइन किया गया "कस्टम कंप्यूटर स्क्रिप्ट" (जैसे एक छोटा रोबोट प्रोग्राम) लिखता है।
- निष्पादन (The Execution): यह कस्टम स्क्रिप्ट कच्चे नोट्स पर चलती है। क्योंकि इसे AI द्वारा चीट शीट के आधार पर लिखा गया है, इसलिए यह जानता है कि "Failed password" और "Auth failure" दोनों को कैसे ढूँढना है और उन्हें कैसे गिनना है।
- परिणाम (The Result): स्क्रिप्ट उत्तर देती है। यदि स्क्रिप्ट में कोई गलती होती है (जैसे कि टाइपो), तो Sieve त्रुटि को देखता है, AI को बताता है, और उसे स्क्रिप्ट फिर से लिखने के लिए कहता है। यह तब तक चार बार प्रयास करता है जब तक कि यह सही न हो जाए।
यह एक बड़ी बात क्यों है
इस पेपर का परीक्षण 5 अलग-अलग प्रकार के लॉग्स में 133 विभिन्न सुरक्षा प्रश्नों पर किया गया। यहाँ उनका निष्कर्ष है:
- कठिन मामलों के लिए यह इंसानों से बेहतर है: जब प्रश्न सरल थे (जैसे "error" शब्द को खोजना), तो Sieve एक मानव विशेषज्ञ की तरह ही अच्छा था जो एक त्वरित स्क्रिप्ट लिखता है। लेकिन जब प्रश्न कठिन थे (जैसे समय और अलग-अलग लोगों के बीच पैटर्न खोजना), तो Sieve ने शून्य से स्क्रिप्ट लिखने की कोशिश करने वाले इंसानों की तुलना में 3 गुना कम गलतियाँ कीं।
- इसे पहले से बने हुए परफेक्ट लाइब्रेरियन की आवश्यकता नहीं है: Sieve को एक पहले से बनी हुई स्प्रेडशीट की आवश्यकता नहीं है। यह सीधे कच्चे, अस्त-व्यंत नोट्स पर काम करता है।
- सरलता बेहतर है: पेपर में पाया गया कि आपको लिखावट की शैलियों को समझने के लिए किसी फैंसी, महंगे AI की आवश्यकता नहीं है। एक सरल, तेज़ एल्गोरिदम जो केवल कुछ वाक्यांशों के कितनी बार आने की गिनती करता है, वह जटिल तरीकों के समान ही प्रभावी है।
- यह सुरक्षित और विश्वसनीय है: AI केवल अनुमान नहीं लगाता; यह कोड लिखता है जो एक सामान्य कंप्यूटर प्रोग्राम की तरह चलता है। इसका मतलब है कि परिणाम 'डिटरमिनिस्टिक' (deterministic) है (एक ही प्रश्न हमेशा एक ही उत्तर देता है) और आप देख सकते हैं कि वह कोड वास्तव में कैसे काम कर रहा था।
निचोड़ (The Bottom Line)
Sieve कच्चे टेक्स्ट को खोजने की गति और स्ट्रक्चर्ड डेटाबेस की शक्ति के बीच के अंतर को पाटता है। यह सुरक्षा विश्लेषकों को साधारण अंग्रेजी में जटिल प्रश्न पूछने और तुरंत सटीक उत्तर प्राप्त करने की अनुमति देता है, बिना इंजीनियरों द्वारा नया डेटाबेस स्कीमा बनाने या स्वयं जटिल स्क्रिप्ट लिखने के संघर्ष के। यह "बिखरे हुए नोटबुक" को एक बार में एक प्रश्न के हिसाब से, ऑन-द-फ्लाई (on the fly) एक खोजने योग्य डेटाबेस में बदल देता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।