A structured event logging framework for language model assisted security event analysis

डिजिटल दुनिया में, कंप्यूटर द्वारा की जाने वाली हर कार्रवाई एक निशान छोड़ जाती है। जब कोई उपयोगकर्ता लॉग इन करता है, जब कोई फ़ाइल सहेजी जाती है, या जब कोई सुरक्षा सेटिंग बदली जाती है, तो सिस्टम उस घटना का एक रिकॉर्ड लिखता है। ये रिकॉर्ड, जिन्हें इवेंट लॉग (event logs) के रूप में जाना जाता है, सुरक्षा टीमों के लिए यह समझने का प्राथमिक तरीका हैं कि नेटवर्क के भीतर क्या हो रहा है। दशकों से, इन लॉग्स का विश्लेषण करने का मानक तरीका उन्हें विशेष सॉफ़्टवेयर या मानव विश्लेषकों को खिलाना रहा है, जो उन पैटर्न की तलाश करते हैं जो किसी खतरे का संकेत देते हैं। हालाँकि, आर्टिफिशियल इंटेलिजेंस टूल्स की एक नई पीढ़ी, विशेष रूप से लार्ज लैंग्वेज मॉडल्स (large language models) ने इस कार्य को स्वचालित करने में आशाजनक क्षमता दिखाई है। ये मॉडल विशाल मात्रा में टेक्स्ट पर प्रशिक्षित होते हैं और प्राकृतिक भाषा को समझ सकते हैं, जिससे वे सैद्धांतिक रूप से सुरक्षा लॉग के भीतर छिपी कहानियों को पढ़ने और व्याख्या करने के लिए आदर्श बन जाते हैं। फिर भी, एक महत्वपूर्ण समस्या उभर कर आई है: जब इन शक्तिशाली एआई टूल्स को मानक कंप्यूटर लॉग पढ़ने के लिए कहा जाता है, तो वे अक्सर विफल हो जाते हैं। वे असंगत उत्तर देते हैं, महत्वपूर्ण विवरणों को छोड़ देते हैं, या ऐसे तथ्य गढ़ देते हैं जो कभी हुए ही नहीं थे। यह अविश्वसनीयता वास्तविक दुनिया की सुरक्षा के लिए खतरनाक है, जहाँ एक गलत अनुमान का अर्थ हो सकता है कि कोई उल्लंघन अनसुना रह गया या एक हानिरहित क्रिया को हमले के रूप में गलत समझा गया।

हडर्सफ़ील्ड विश्वविद्यालय और मैनचेस्टर मेट्रोपॉलिटन यूनिवर्सिटी के शोधकर्ताओं ने एक अलग सवाल पूछकर इस समस्या को हल करने का प्रयास किया। यह प्रयास करने के बजाय कि आर्टिफिशियल इंटेलिजेंस को अधिक स्मार्ट बनाया जाए, उन्होंने सोचा कि क्या समस्या स्वयं लॉग्स में है। उन्होंने परिकल्पना की कि कंप्यूटर वर्तमान में इन रिकॉर्डों को जिस तरह से लिखते हैं, वह एआई के समझने के लिए बहुत अधिक अव्यवस्थित और तकनीकी है। इसका परीक्षण करने के लिए, टीम ने कंप्यूटर के लिए गतिविधियों को रिकॉर्ड करने का एक नया तरीका विकसित किया, जिसे विशेष रूप से भाषा मॉडल्स द्वारा पढ़े जाने योग्य बनाया गया था। उन्होंने एक ऐसा टूल बनाया जो कंप्यूटर सिस्टम के विभिन्न हिस्सों से घटनाओं को कैप्चर करता है, शोर (noise) को फ़िल्टर करता है, और डेटा को विश्लेषण से पहले एक स्पष्ट, संरचित प्रारूप में फिर से लिखता है। परिणाम एक ऐसा सिस्टम है जहाँ कंप्यूटर सूचना को व्यवस्थित करने का भारी काम करता है, और एआई के सामने कोड की एक अराजक धारा के बजाय एक स्वच्छ, सुसंगत कहानी प्रस्तुत करता है।

टीम ने बीस विभिन्न सुरक्षा परिदृश्यों का अनुकरण करके अपने नए दृष्टिकोण का परीक्षण किया, जिसमें साधारण पासवर्ड परिवर्तन से लेकर जटिल नेटवर्क घुसपैपात तक शामिल थे। उन्होंने अपने नए टूल का उपयोग करके घटनाओं को रिकॉर्ड किया और आज के उद्योग में उपयोग किए जाने वाले मानक लॉगिंग तरीकों के विरुद्ध परिणामों की तुलना की। जब उन्होंने इन लॉग्स को कई अलग-अलग भाषा मॉडल्स में डाला, तो अंतर स्पष्ट था। नए प्रारूप का उपयोग करने वाले मॉडल्स ने लगातार सही समस्याओं की पहचान की और प्रासंगिक समाधान प्रदान किए। इसके विपरीत, जब उन्हीं मॉडल्स को पारंपरिक, असंरचित लॉग दिए गए, तो उनका प्रदर्शन काफी गिर गया। वे सामान्य गतिविधि और संभावित खतरों के बीच अंतर करने में संघर्ष करते रहे, और अक्सर यह पहचानने में विफल रहे कि एक महत्वपूर्ण सुरक्षा सेटिंग बदल दी गई थी। नए प्रारूप ने एआई के लिए भ्रमित करने वाले कोड का अनुमान लगाने या व्याख्या करने की आवश्यकता को समाप्त कर दिया, जिससे सटीकता में नाटto सुधार हुआ।

सबसे उल्लेखनीय निष्कर्षों में से एक यह था कि नया सिस्टम इतना अच्छा काम करता था कि मॉडल्स ने शायद ही कभी तथ्य गढ़े, जिसे 'हैलुसिनेशन' (hallucination) नामक घटना कहा जाता है। इस विशिष्ट प्रयोग में, सभी परीक्षणों में त्रुटि दर प्रभावी रूप से शून्य थी, जिसमें पारंपरिक प्रारूपों का उपयोग करने वाले परीक्षण भी शामिल थे। हालाँकि, शोधकर्ताओं ने नोट किया कि यह परिणाम अन्य अध्ययनों की तुलना में उपयोग किए गए लॉग्स की अपेक्षाकृत कम संख्या से प्रभावित हो सकता है, और वे बड़े डेटासेट पर आगे के परीक्षण के बिना निश्चित रूप से यह निष्कर्ष नहीं निकाल सकते कि हैलुसिनेशन स्थायी रूप से समाप्त हो गए हैं। यह सुझाव देता है कि एआई की उलझन का प्राथमिक कारण उसकी बुद्धिमत्ता की कमी नहीं, बल्कि इनपुट डेटा की खराब गुणवत्ता थी। लॉग्स को संरचित, सुसंगत और साधारण भाषा में बनाए रखकर, शोधकर्ताओं ने उन बाधाओं को हटा दिया जो एआई को लड़खड़ाने पर मजबूर करती थीं। सिस्टम ने संबंधित घटनाओं को एक साथ जोड़ने के कार्य को भी संभाला। यह प्रतीक्षा करने के बजाय कि कोई अलग प्रोग्राम यह पता लगाए कि दो अलग-अलग लॉग एक ही समय में हुए और एक ही हमले का हिस्सा थे, नए टूल ने घटनाओं के घटित होते ही इन कड़ियों को स्वचालित रूप से जोड़ दिया।

शोधकर्ताओं ने यह भी पता लगाया कि क्या एआई मॉडल्स को अधिक डेटा पर प्रशिक्षित करने से उन्हें पुराने, अव्यवस्थित लॉग्स के साथ बेहतर प्रदर्शन करने में मदद मिलेगी। उन्होंने पाया कि अतिरिक्त प्रशिक्षण के साथ भी, मॉडल्स पारंपरिक प्रारूपों के साथ संघर्ष करते रहे। हालाँकि, नए प्रारूप का उपयोग करते समय, मॉडल्स बिना किसी अतिरिक्त प्रशिक्षण के भी असाधारण रूप से अच्छा प्रदर्शन करते थे। यह इंगित करता है कि डेटा की संरचना मॉडल के प्रशिक्षण सेट के आकार से अधिक महत्वपूर्ण है। टीम ने लॉग्स का विश्लेषण करने में लगने वाले समय को मापा और पाया कि उनकी नई विधि अधिकांश पारंपरिक तरीकों की तुलना में काफी तेज़ थी। जबकि सिस्मोन (Sysmon) जैसे कुछ मानक टूल्स ने मिनटों में विश्लेषण पूरा किया, अन्य को समान मात्रा में जानकारी को संसाधित करने में कई घंटे लगे। यह गति, उच्च सटीकता के साथ मिलकर, यह सुझाव देती है कि एआई-संचालित सुरक्षा विश्लेषण को रोजमर्रा के उपयोग के लिए व्यावहारिक बना सकती है।

यह अध्ययन यह दावा नहीं करता है कि उसने साइबर सुरक्षा की हर समस्या को हल कर लिया है, और शोधकर्ता स्वीकार करते हैं कि उनके परीक्षण एक ही प्रकार के कंप्यूटर सिस्टम पर किए गए थे। वे भविष्य में अन्य ऑपरेटिंग सिस्टमों पर अपने काम का विस्तार करने की योजना बना रहे हैं। हालाँकि, मुख्य खोज स्पष्ट है: यदि हम चाहते हैं कि आर्टिफिशियल इंटेलिजेंस उन्हें समझे, तो डिजिटल घटनाओं को रिकॉर्ड करने के तरीके को बदलना होगा। लॉग प्रारूप को केवल एक तकनीकी रिकॉर्ड के बजाय एक संचार उपकरण के रूप में मानकर, शोधकर्ताओं ने मानव मशीनों और आर्टिफिशियल इंटेलिजेंस के बीच एक सेतु बनाया है। यह सरल दृष्टिकोण एआई को वह करने की अनुमति देता है जिसमें वह सर्वश्रेष्ठ है—भाषा को समझना और पैटर्न खोजना—बिना कच्चे डेटा के शोर में खोए। परिणाम कंप्यूटर सिस्टम की सुरक्षा करने का एक अधिक विश्वसनीय, तेज़ और सुरक्षित तरीका है, जो यह सिद्ध करता है कि कभी-कभी किसी उपकरण को बेहतर बनाने का सबसे अच्छा तरीका उसे अधिक जटिल बनाना नहीं, बल्कि उसके प्राप्त होने वाली सूचना को अधिक स्पष्ट बनाना है।