Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
本論文は、異種セキュリティ・シスログを共通スキーマにマッピングするためのモジュール式の3段階パイプラインを提案し、韓国の教育分野のデータを用いた広範な評価を通じて、構造的な正規化とローカルおよびエージェントベースの両方のセマンティック・マッチングを組み合わせることでマッピング精度が大幅に向上する一方で、異なるベンダー環境間で適合率とデプロイメント遅延の間に重大なトレードオフが存在することを明らかにしている。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
現代の組織におけるデジタル神経系の中で、セキュリティチームは「システムログ」として知られる自動化されたレポートの絶え間ない流れに依存しています。これらのログは、ファイアウォール、サーバー、ネットワーク機器が脅威を監視する際に残すデジタルの足跡です。セキュリティチームがこの情報の洪水から意味を読み取るためには、これらのレポートを単一の統一された言語へと翻訳する必要があります。例えば、ある部屋にいる人々が火災について話し合おうとしている場面を想像してみてください。ある人はそれを「炎（blaze）」と呼び、別の人は「大火災（conflagration）」と呼び、また別の人は「熱事象（heat event）」と呼んでいます。さらに、彼らは場所についても異なる通りの名前や建物番号を使って説明しています。共通の語彙がなければ、会話は成立しません。サイバーセキュリティの世界において、この共通の語彙は「スキーマ」と呼ばれます。異なるメーカーの異なるセキュリティ製品がログを生成する場合、それらは同じ基本概念に対して独自の名称や構造を使用することが多く、これが自動化されたシステムによる効果的なデータ分析を妨げる混沌とした障壁を生み出します。
韓国の弘益大学の研究チームは、これらの矛盾するセキュリティレポートを共通の言語へと翻訳する新しい手法を開発することで、この問題に取り組みました。彼らの研究は、韓国全土の教育機関の巨大なネットワークに焦点を当てています。そこでは、さまざまなベンダーによる数千もの異なるセキュリティデバイスが、日々何百万ものアラートを生成しています。研究者たちは、単一の人工知能モデルにこの翻訳問題のすべてを一括で解決させようとすることは、非効率的であり、現実世界の運用においてはしばしば実用的ではないことを発見しました。代わりに、彼らはこのタスクを、専門化された組立ラインのような3段階のプロセスに分解しました。第一に、乱れたフィールド名や構造をクリーンアップします。第二に、マッチングツールを使用して正しい意味を見つけ出します。第三に、その一致の度合いをスコアリングして、結果に対する信頼性を判断します。このモジュール方式により、セキュリティチームはスピードと正確さのバランスを取りながら、自身の特定のニーズに合ったツールを選択することが可能になります。
彼らの解決策の核心は、分析を行う前に行うデータの整理方法にあります。研究者たちは「正規化マッピングオブジェクト（Normalized Mapping Object）」と呼ぶ標準フォーマットを作成しました。これは、複雑な手書きのメモを取り、厳格な3部構成のフォームに書き換えるようなものです。具体的には、「項目の名前」「それがどのような種類のものか」「システムの階層内のどこに位置するか」という構成です。すべてのデータをこの厳格な構造に強制的に当てはめることで、研究者たちは、同じものに対して異なる名称を使用する異なるメーカーによる混乱を取り除きました。彼らは、学校や大学で使用されているセキュリティデバイスのログを記述した数百の文書から派生した大規模なデータセットを用いて、この手法をテストしました。このデータセットには、セキュリティアナリストが管理しなければならない複雑な接続関係を表す、1,000個のソースフィールドと1,000個のターゲットフィールドが含まれていました。
この標準化されたフォーマットをマッチングツールに適用したところ、即座に顕著な結果が得られました。彼らは2種類のマッチングエンジンをテストしました。一つは、コンパクトで効率的なモデルを使用してコンピュータ上でローカルに動作するもの、もう一つは、より強力なクラウドベースの人工知能エージェントを使用するものです。新しい標準フォーマットがない場合、ローカルモデルは正しい一致を約半分の確率でしか特定できませんでした。しかし、新しいフォーマットを使用することで、その精度は70%以上に跳ね上がりました。強力なクラウドベースのエージェントも向上し、精度は約78%から85%以上に上昇しました。このことは、彼らの研究の価値がマッチングツール自体にあるのではなく、データをどのように準備したかにあることを証明しました。標準化されたフォーマットは、単純なツールにとっても複雑なツールにとっても、その作業を容易にしたのです。
研究者たちは次に、どちらのマッチングエンジンが実際のセキュリティ運用に適しているかを判断するために、両者を比較しました。クラウドベースのエージェントは、単一のベストマッチを見つける精度がわずかに高く、約86%の確率で正解を出しました。しかし、それは非常に低速で、1つのフィールドを処理するのに26秒近くかかりました。毎分数千のアラートが届くセキュリティセンターにおいて、これほどの遅延は受け入れられません。対照的に、ローカルモデルははるかに高速で、フィールドをわずか1.5秒で処理しました。トップのマッチを選ぶ精度においては、スローなエージェントよりわずかに劣りましたが、上位5つの候補リストを提供することには非常に優れていました。実際、ローカルモデルは、スローなエージェントよりも頻繁に、上位5つの選択肢の中に正解を含めていました。これは、重要なトレードオフを明らかにしました。つまり、高速なローカルツールは、アナリストがレビューするための短いリストを提供する上で、スローなエージェントとほぼ同等の性能を持ちながら、外部サービスにデータを送信することなく、ほぼ瞬時に実行できるということです。
システムが堅牢であることを確認するため、研究者たちは、独自の名称を使用する異なるベンダーを含む現実世界のバリエーションに対してテストを行いました。彼らは3つの異なるメーカーのウェブアプリケーションファイアウォールに焦点を当てました。システムが新しいベンダーの具体的な名称を一度も見たことがない場合でも、標準的なターゲットが存在すれば、ローカルモデルは約83%の確率でフィールドを正しくマッピングできました。あるベンダーの知識を利用して全く別のベンダーのマッピングを支援しようとした場合でも、精度は約78%と高い水準を維持しました。これは、新しいデバイスや異なる命名規則が絶えず登場する市場の混沌とした現実にも、システムが対応できることを示唆しています。また、研究者たちは各ステップの所要時間も測定し、ローカル方式が、高価なクラウドサービスに頼ることなく、標準的な事務用ハードウェア上で実行できるほど高速であることを確認しました。
本研究は、あらゆる状況に対して唯一の「最善」の方法が存在するわけではないと結論付けています。代わりに、最適なアプローチはセキュリティチームの特定の制約によって決まります。もし優先事項が絶対的な完璧のマッチを見つけることであり、スピードが問題にならないのであれば、強力なクラウドエージェントがより良い選択となります。しかし、データを迅速に処理し、自社のセキュアなネットワーク内にデータを保持する必要があるほとんどのセキュリティオペレーションセンターにとっては、ローカルモデルが魅力的な選択肢となります。ローカルモデルは、アナリストが上位の候補リストをレビューすることを前提とすれば、高いレベルの精度を提供し、リアルタイムの監視を可能にするスピードを実現します。研究者たちは、高速なローカルモデルが大部分の作業を処理し、最も困難または不確実なケースのみを、より強力で低速なエージェントに送るというハイブリッド戦略を提案しています。このアプローチにより、組織は管理すべきデータの膨大な量と多様性に足を取られることなく、高いセキュリティ基準を維持することが可能になります。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。