Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Questo articolo propone una pipeline modulare in tre fasi per la mappatura di syslog di sicurezza eterogenei verso uno schema comune, dimostrando attraverso una vasta valutazione su dati del settore dell'istruzione coreana che la combinazione della canonicalizzazione strutturale con matcher semantici sia locali che basati su agenti migliora significativamente l'accuratezza della mappatura, rivelando al contempo un compromesso critico tra precisione e latenza di implementazione in diversi ambienti vendor.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel sistema nervoso digitale delle moderne organizzazioni, i team di sicurezza si affidano a un flusso costante di report automatizzati noti come log di sistema. Questi log sono le impronte digitali lasciate da firewall, server e dispositivi di rete mentre monitorano le minacce. Affinché un team di sicurezza possa dare un senso a questo flusso di informazioni, deve tradurre questi report in un unico linguaggio unificato. Immaginate una stanza piena di persone che cercano di discutere di un incendio, ma una persona lo chiama "fiammata", un'altra "conflagrazione" e una terza "evento termico", mentre tutte descrivono la posizione usando nomi di strade e numeri civici diversi. Senza un vocabolario condiviso, la conversazione fallisce. Nel mondo della cybersicurezza, questo vocabolario condiviso è chiamato schema. Quando diversi prodotti di sicurezza di produttori differenti generano log, spesso utilizzano i propri nomi e strutture unici per gli stessi concetti di base, creando una barriera caotica che impedisce ai sistemi automatizzati di analizzare i dati in modo efficace.
Un team di ricercatori dell'Università Hongik in Corea del Sud ha affrontato questo problema sviluppando un nuovo metodo per tradurre questi report di sicurezza contrastanti in un linguaggio comune. Il loro lavoro si concentra sulla vasta rete di istituzioni educative in tutta la Corea, dove migliaia di dispositivi di sicurezza differenti di vari fornitori generano milioni di avvisi ogni giorno. I ricercatori hanno scoperto che cercare semplicemente di costringere un singolo modello di intelligenza artificiale a risolvere l'intero problema di traduzione tutto in una volta era inefficiente e spesso poco pratico per l'uso nel mondo reale. Invece, hanno suddiviso il compito in un processo in tre fasi che funge da linea di montaggio specializzata. Primo, puliscono i nomi dei campi e le strutture disordinate. Secondo, utilizzano uno strumento di corrispondenza per trovare il significato corretto. Terzo, valutano la corrispondenza per decidere quanto debbano essere fiduciosi nel risultato. Questo approccio modulare consente ai team di sicurezza di scegliere lo strumento giusto per le loro esigenze specifiche, bilanciando velocità e precisiono.
Il cuore della loro soluzione è un nuovo modo di organizzare i dati prima ancora che vengano analizzati. I ricercatori hanno creato un formato standard che chiamano Oggetto di Mappatura Normalizzato. Pensate a questo come al prendere un appunto complesso scritto a mano e riscriverlo in un modulo rigido diviso in tre parti: il nome dell'elemento, il tipo di cosa è e dove si trova nella gerarchia del sistema. Obbligando ogni pezzo di dato in questa struttura rigida, i ricercatori hanno rimosso la confusione causata dai diversi produttori che usano nomi differenti per la stessa cosa. Hanno testato questo metodo su un enorme dataset derivato da centinaia di documenti che descrivono i log dei dispositivi di sicurezza utilizzati da scuole e università. Il dataset includeva mille campi sorgente e mille campi target, rappresentando l'intricata rete di connessioni che gli analisti di sicurezza devono gestire.
Quando hanno applicato questo formato standardizzato ai loro strumenti di corrispondenza, i risultati sono stati immediati e significativi. Hanno testato due diversi tipi di motori di corrispondenza: uno che gira localmente su un computer utilizzando un modello compatto ed efficiente, e un altro che utilizza un agente di intelligenza artificiale basato sul cloud più potente. Senza il nuovo formato standard, il modello locale riusciva a identificare correttamente la corrispondenza giusta solo circa la metà delle volte. Con il nuovo formato, la sua precisione è balzata a oltre il settanta per cento. Anche il potente agente basato sul cloud è migliorato, salendo da circa il settantotto per cento a oltre l'ottantacinque per cento di precisione. Ciò ha dimostrato che il valore del loro lavoro non risiedeva solo nello strumento di corrispondenza in sé, ma nel modo in cui preparavano i dati per esso. Il formato standardizzato ha reso il lavoro più facile sia per gli strumenti semplici che per quelli complessi.
I ricercatori hanno poi confrontato i due motori di corrispondenza per vedere quale fosse il migliore per un'operazione di sicurezza reale. L'agente basato sul cloud era leggermente più accurato nel trovare la singola corrispondenza migliore, riuscendo nell'obiettivo circa l'ottantasei per cento delle volte. Tuttavia, era incredibilmente lento, impiegando quasi ventisei secondi per elaborare un singolo campo. In un centro di sicurezza dove arrivano migliaia di avvisi ogni minuto, un ritardo di quella lunghezza è inaccettabile. Il modello locale, al contrario, era molto più veloce, elaborando un campo in soli un secondo e mezzo. Sebbene fosse leggermente meno accurato nel scegliere la primissima corrispondenza, era eccellente nel fornire una breve lista dei cinque candidati migliori. Infatti, trovava la risposta corretta tra le prime cinque scelte più spesso di quanto facesse il più lento agente. Ciò ha rivelato un cruciale compromesso: lo strumento locale, più veloce, è quasi altrettanto bravo nel fornire un breve elenco da revisionare, ma lo fa quasi istantaneamente e senza la necessità di inviare dati a un servizio esterno.
Per garantire che il loro sistema fosse robusto, i ricercatori lo hanno testato contro variazioni del mondo reale, inclusi diversi vendor che utilizzano i propri nomi unici per le funzioni standard. Si sono concentrati sui web application firewall di tre diversi produttori. Anche quando il sistema non aveva mai visto i nomi specifici utilizzati da un nuovo vendor, il modello locale era comunque in grado di mappare i campi correttamente circa l'ottantatré per cento delle volte, quando era disponibile un target standard. Quando hanno provato a usare la conoscenza di un vendor per aiutare la mappatura di un vendor completamente diverso, l'accuratezza è rimasta alta, a circa il settantotto per cento. Ciò suggerisce che il sistema può gestire la realtà disordinata del mercato, dove nuovi dispositivi e diversi convenzioni di denominazione appaiono costantemente. I ricercatori hanno anche misurato quanto tempo richiedesse ogni fase, confermando che il metodo locale è abbastanza veloce da poter girare su normale hardware da ufficio senza dipendere da costosi servizi cloud.
Lo studio conclude che non esiste un unico modo "migliore" per risolvere questo problema per ogni situazione. Al contrario, il miglior approccio dipende dai vincoli specifici del team di sicurezza. Se la priorità è trovare la corrispondenza assolutamente perfetta e la velocità non è un problema, il potente agente cloud è la scelta migliore. Tuttavia, per la maggior parte delle operazioni di sicurezza che devono elaborare i dati rapidamente e mantenerli all'interno delle proprie reti sicure, il modello locale offre un'alternativa convincente. Esso fornisce un alto livello di precisione, specialmente quando gli analisti sono disposti a revisionare una breve lista di candidati principali, e lo fa con una velocità che rende possibile il monitoraggio in tempo reale. I ricercatori propongono una strategia ibrida in cui il modello locale veloce gestisce la maggior parte del lavoro, e solo i casi più difficili o incerti vengono inviati all'agente più lento e potente. Questo approccio consente alle organizzazioni di mantenere elevati standard di sicurezza senza restare bloccate dal puro volume e dalla varietà dei dati che devono gestire.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.