Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
यह शोध पत्र विषम सुरक्षा सिसलॉग्स (syslogs) को एक सामान्य स्कीमा में मैप करने के लिए एक मॉड्यूलर, तीन-चरणीय पाइपलाइन का प्रस्ताव करता है, जो कोरियाई शिक्षा-क्षेत्र के डेटा पर व्यापक मूल्यांकन के माध्यम से यह प्रदर्शित करता है कि संरचनात्मक कैनोनिकलज़ेशन (canonicalization) को स्थानीय और एजेंट-आधारित दोनों सिमेंटिक मैचर्स के साथ संयोजित करने से मैपिंग सटीकता में महत्वपूर्ण सुधार होता है, जबकि विभिन्न वेंडर वातावरणों में परिशुद्धता (precision) और परिनियोजन विलंबता (deployment latency) के बीच एक महत्वपूर्ण ट्रेड-ऑफ को भी उजागर करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आधुनिक संगठनों के डिजिटल तंत्रिका तंत्र में, सुरक्षा टीमें स्वचालित रिपोर्टों पर निर्भर करती हैं जिन्हें सिस्टम लॉग कहा जाता है। ये लॉग फायरवॉल, सर्वर और नेटवर्क उपकरणों द्वारा छोड़े गए डिजिटल पदचिह्न हैं क्योंकि वे खतरों की निगरानी करते हैं। एक सुरक्षा टीम के लिए सूचनाओं की इस बाढ़ का अर्थ निकालने के लिए, उन्हें इन रिपोर्टों को एक एकल, एकीकृत भाषा में अनुवादित करने की आवश्यकता होती है। कल्पना कीजिए कि लोगों का एक कमरा एक आग के बारे में चर्चा करने की कोशिश कर रहा है, लेकिन एक व्यक्ति इसे "ज्वाला" कहता है, दूसरा "महाप्रलय" और तीसरा "ताप घटना", जबकि वे सभी स्थान का वर्णन करने के लिए अलग-अलग सड़क के नामों और भवन संख्याओं का उपयोग करते हैं। साझा शब्दावली के बिना, बातचीत विफल हो जाती है। साइबर सुरक्षा की दुनिया में, इस साझा शब्दावली को स्कीमा (schema) कहा जाता है। जब विभिन्न निर्माताओं के विभिन्न सुरक्षा उत्पाद लॉग उत्पन्न करते हैं, तो वे अक्सर एक ही बुनियादी अवधारणाओं के लिए अपने स्वयं के अद्वितीय नाम और संरचनाएं उपयोग करते हैं, जिससे एक अराजक बाधा उत्पन्न होती है जो स्वचालित प्रणालियों को डेटा का प्रभावी ढंग से विश्लेषण करने से रोकती है।
दक्षिण कोरिया के होंगिक विश्वविद्यालय के शोधकर्ताओं की एक टीम ने इन परस्पर विरोधी सुरक्षा रिपोर्टों को एक सामान्य भाषा में अनुवादित करने के लिए एक नई विधि विकसित करके इस समस्या का समाधान किया है। उनका कार्य कोरिया भर में शैक्षिक संस्थानों के विशाल नेटवर्क पर केंद्रित है, जहाँ विभिन्न विक्रेताओं के हजारों अलग-अलग सुरक्षा उपकरण प्रतिदिन लाखों अलर्ट उत्पन्न करते हैं। शोधकर्ताओं ने पाया कि केवल एक कृत्रिम बुद्धिमत्ता मॉडल को एक साथ पूरी अनुवाद समस्या को हल करने के लिए मजबूर करना अक्षम था और वास्तविक दुनिया के उपयोग के लिए अक्सर अव्यवहारिक था। इसके बजाय, उन्होंने इस कार्य को तीन-चरणीय प्रक्रिया में विभाजित किया जो एक विशिष्ट असेंबली लाइन की तरह कार्य करती है। पहले, वे अव्यवस्थित फ़ील्ड नामों और संरचनाओं को साफ करते हैं। दूसरे, वे सही अर्थ खोजने के लिए एक मिलान उपकरण (matching tool) का उपयोग करते हैं। तीसरे, वे परिणाम के प्रति कितने आश्वस्त होने चाहिए, यह तय करने के लिए मिलान को स्कोर देते हैं। यह मॉड्यूलर दृष्टिकोण सुरक्षा टीमों को अपनी विशिष्ट आवश्यकताओं के लिए सही उपकरण चुनने, गति और सटीकता के बीच संतुलन बनाने की अनुमति देता है।
उनके समाधान का मूल उनकी बात है कि विश्लेषण से पहले डेटा को व्यवस्थित करने का एक नया तरीका। शोधकर्ताओं ने एक मानक प्रारूप बनाया जिसे वे 'नॉर्मलाइज्ड मैपिंग ऑब्जेक्ट' (Normalized Mapping Object) कहते हैं। इसे एक जटिल, हस्तलिखित नोट को एक सख्त, तीन-भाग वाले फॉर्म में फिर से लिखने के रूप में सोचें: वस्तु का नाम, वह किस प्रकार की वस्तु है, और वह सिस्टम के पदानुक्रम में कहाँ स्थित है। प्रत्येक डेटा को इस कठोर संरचना में डालने के माध्यम से, शोधकर्ताओं ने उस भ्रम को दूर कर दिया जो विभिन्न निर्माताओं द्वारा एक ही चीज़ के लिए अलग-अलग नाम उपयोग करने से पैदा होता था। उन्होंने इस पद्धति का परीक्षण स्कूलों और विश्वविद्यालयों द्वारा उपयोग किए जाने वाले सुरक्षा उपकरणों के लॉग का वर्णन करने वाले सैकड़ों दस्तावेजों से प्राप्त एक विशाल डेटासेट पर किया। इस डेटासेट में एक हजार स्रोत फ़ील्ड और एक हजार लक्ष्य फ़ील्ड शामिल थे, जो उन जटिल कनेक्शनों के जाल का प्रतिनिधित्व करते हैं जिन्हें सुरक्षा विश्लेषकों को प्रबंधित करना होता है।
जब उन्होंने अपने मिलान उपकरणों पर इस मानकीकृत प्रारूप को लागू किया, तो परिणाम तत्काल और महत्वपूर्ण थे। उन्होंने दो अलग-अलग प्रकार के मिलान इंजन का परीक्षण किया: एक जो एक कॉम्पैक्ट, कुशल मॉडल का उपयोग करके कंप्यूटर पर स्थानीय रूप से चलता है, और दूसरा जो अधिक शक्तिशाली, क्लाउड-आधारित कृत्रिम बुद्धिमत्ता एजेंट का उपयोग करता है। नए मानक प्रारूप के बिना, स्थानीय मॉडल केवल आधे समय के आसपास ही सही मिलान की पहचान कर सका। नए प्रारूप के साथ, इसकी सटीकता बढ़कर सत्तर प्रतिशत से अधिक हो गई। शक्तिशाली क्लाउड-आधारित एजेंट में भी सुधार हुआ, जो लगभग अठहत्तर प्रतिशत से बढ़कर पचासी प्रतिशत से अधिक सटीकता तक पहुँच गया। इससे सिद्ध हुआ कि उनके कार्य का मूल्य केवल मिलान उपकरण में नहीं था, बल्कि इस बात में था कि उन्होंने डेटा को उसके लिए कैसे तैयार किया। मानकीकृत प्रारूप ने सरल और जटिल दोनों उपकरणों के लिए काम को आसान बना दिया।
शोधकर्ताओं ने यह देखने के लिए दो मिलान इंजनों की तुलना की कि वास्तविक सुरक्षा संचालन के लिए कौन सा बेहतर है। क्लाउड-आधारेड एजेंट एकल सबसे अच्छे मिलान को खोजने में थोड़ा अधिक सटीक था, जो लगभग छियासी प्रतिशत बार सही होता था। हालाँकि, यह अविश्वसनीय रूप से धीमा था, एक एकल फ़ील्ड को संसाधित करने में लगभग छब्बीस सेकंड का समय लेता था। एक सुरक्षा केंद्र में जहाँ प्रति मिनट हजारों अलर्ट आते हैं, उस लंबाई का विलंब अस्वीकार्य है। इसके विपरीत, स्थानीय मॉडल बहुत तेज़ था, जो एक फ़ील्ड को केवल डेढ़ सेकंड में संसाधित करता था। हालांकि यह सबसे शीर्ष मिलान चुनने में थोड़ा कम सटीक था, लेकिन यह सर्वश्रेष्ठ पांच उम्मीदवारों की एक छोटी सूची प्रदान करने में उत्कृष्ट था। वास्तव में, इसने धीमे एजेंट की तुलना में शीर्ष पांच विकल्पों के भीतर सही उत्तर खोजने में अधिक बार सफलता प्राप्त की। इसने एक महत्वपूर्ण ट्रेड-ऑफ (trade-off) को प्रकट किया: तेज़, स्थानीय उपकरण एक सुरक्षा विश्लेषक को समीक्षा के लिए एक छोटी सूची देने में लगभग उतना ही अच्छा है, लेकिन यह इसे लगभग तुरंत और बिना किसी बाहरी सेवा पर डेटा भेजे करता है।
यह सुनिश्चित करने के लिए कि उनका सिस्टम मजबूत हो, शोधकर्ताओं ने वास्तविक दुनिया के विविधताओं के विरुद्ध इसका परीक्षण किया, जिसमें विभिन्न विक्रेता शामिल हैं जो अपने स्वयं के अद्वितीय नाम का उपयोग करते हैं। उन्होंने तीन अलग-अलग निर्माताओं के वेब एप्लिकेशन फायरवॉल पर ध्यान केंद्रित किया। भले ही सिस्टम ने पहले कभी किसी नए विक्रेता द्वारा उपयोग किए गए विशिष्ट नामों को नहीं देखा था, फिर भी स्थानीय मॉडल एक मानक लक्ष्य उपलब्ध होने पर लगभग तेतासी प्रतिशत बार फ़ील्ड को सही ढंग से मैप कर सका। जब उन्होंने एक पूरी तरह से अलग विक्रेता को मैप करने में मदद करने के लिए एक विक्रेता के ज्ञान का उपयोग किया, तो सटीकता लगभग अठहत्तर प्रतिशत पर उच्च बनी रही। यह सुझाव देता है कि सिस्टम बाजार की अव्यवस्थित वास्तविकता को संभाल सकता है, जहाँ नए उपकरण और अलग नामकरण परंपराएँ लगातार दिखाई देती हैं। शोधकर्ताओं ने प्रत्येक चरण में लगने वाले समय को भी मापा, जिससे पुष्टि हुई कि स्थानीय विधि मानक कार्यालय हार्डवेयर पर चलने के लिए पर्याप्त तेज़ है और इसके लिए महंगे क्लाउड सेवाओं पर निर्भर रहने की आवश्यकता नहीं है।
अध्ययन यह निष्कर्ष निकालता है कि इस समस्या को हल करने का कोई एक "सर्वश्रेष्ठ" तरीका नहीं है। इसके बजाय, सबसे अच्छा दृष्टिकोण सुरक्षा टीम की विशिष्ट बाधाओं पर निर्भर करता है। यदि प्राथमिकता पूर्णतः सटीक मिलान खोजना है और गति कोई मुद्दा नहीं है, तो शक्तिशाली क्लाउड एजेंट बेहतर विकल्प है। हालाँकि, अधिकांश सुरक्षा संचालन केंद्रों के लिए जिन्हें डेटा को तेज़ी से संसाधित करने और अपने स्वयं के सुरक्षित नेटवर्क के भीतर रखने की आवश्यकता होती है, स्थानीय मॉडल एक आकर्षक विकल्प प्रदान करता है। यह उच्च स्तर की सटीकता प्रदान करता है, विशेष रूप से जब विश्लेषक शीर्ष उम्मीदवारों की एक छोटी सूची की समीक्षा करने के लिए तैयार होते हैं, और यह इतनी गति के साथ करता है जो वास्तविक समय की निगरानी को संभव बनाती है। शोधकर्ता एक हाइब्रिड रणनीति का प्रस्ताव करते हैं जहाँ तेज़ स्थानीय मॉडल अधिकांश कार्य को संभालता है, और केवल सबसे कठिन या अनिश्चित मामलों को धीमे, अधिक शक्तिशाली एजेंट को भेजा जाता है। यह दृष्टिकोण संगठनों को उच्च सुरक्षा मानकों को बनाए रखने की अनुमति देता है बिना डेटा की विशाल मात्रा और विविधता से जूझते हुए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।