Enabling Transparent Cyber Threat Intelligence Combining Large Language Models and Domain Ontologies
Dit artikel stelt een nieuwe methodologie voor die Large Language Models combineert met domein-ontologieën en SHACL-beperkingen om een AI-agent te creëren die de nauwkeurigheid en verklaarbaarheid van het extraheren van gestructureerde, semantisch geldige informatie uit cyberbeveiligingslogs aanzienlijk verbetert, met name voor honeypot-gegevens.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je een rechercheur bent die een misdaad probeert op te lossen, maar in plaats van duidelijke politierapporten krijg je duizenden pagina's vol met rommelige, handgeschreven notities, krabbels en halve zinnen. Dit is wat cybersecurity-experts tegenkomen wanneer ze proberen systeemlogs te lezen. Deze logs zijn de "dagboeken" van computers, waarin elke uitgevoerde actie wordt vastgelegd, maar ze zijn vaak ongestructureerd, verwarrend en vol met jargon.
Dit paper introduceert een nieuw hulpmiddel genaamd OntoLogX om rechercheurs (cybersecurityanalisten) te helpen deze chaos te doorgronden. Hieronder wordt uitgelegd hoe het werkt, opgesplitst in eenvoudige concepten:
1. Het Probleem: De "Rommelige Kamer"
Traditionele methoden voor het lezen van deze logs zijn als proberen een specifiek speelgoed te vinden in een rommelige kamer met alleen een zaklamp en een vaste lijst met regels. Als het speelgoed verstopt ligt onder een stapel kleding of een vreemde naam heeft, mist de zaklamp het.
- Het Probleem: Computers genereren logs die ongestructureerd en dubbelzinnig zijn. Oude methoden worstelen om de "boeven" (malicious events) betrouwbaar te vinden.
- Het Nieuwe Hulpmiddel: De auteurs gebruiken Large Language Models (LLMs). Denk aan een LLM als een superintelligent stagiair die bijna alles op internet heeft gelezen en natuurlijke taal kan begrijpen. Echter, deze stagiair kan wat "dromerig" zijn – soms verzinnen ze dingen of krijgen ze de feiten lichtelijk verkeerd omdat ze niet strikt gebonden zijn aan regels.
2. De Oplossing: De "Architect" en de "Inspecteur"
Om de neiging van de stagiair tot dromen te corrigeren, hebben de auteurs een systeem gebouwd genaamd OntoLogX dat twee cruciale controlelagen toevoegt:
- De Architect (De Ontologie): Voordat de stagiair begint met schrijven, geeft het systeem hen een strikt blauwdruk genaamd een Ontologie. Dit is als een specifieke set bouwstenen en een regelboek. Het zegt: "Je mag alleen een huis bouwen met deze specifieke bakstenen (classes) en je moet ze op deze specifieke manier verbinden (relationships)." Het dwingt de AI om de rommelige logdata te organiseren in een nette, gestructureerde vorm genaamd een Knowledge Graph.
- De Inspecteur (SHACL Validatie): Zodra de stagiair de structuur heeft gebouwd, controleert een strenge inspecteur (met behulp van een tool genaamd SHACL) het werk. De inspecteur vraagt: "Heb je de juiste bakstenen gebruikt? Heb je het dak correct aan de muren verbonden? Is er een ontbrekende deur?"
- Als het gebouw verkeerd is, stuurt de inspecteur het terug naar de stagiair met een notitie: "Repareer dit."
- De stagiair probeert het opnieuw. Deze lus gaat door totdat het gebouw perfect is.
3. Het Proces: Leren van Voorbeelden
Het systeem vraagt de stagiair niet zomaar om te raden. Het gebruikt een slimme truc genaamd Retrieval Augmented Generation.
- Stel je voor dat de stagiair een bibliotheek heeft met eerdere succesvolle zaken. Wanneer een nieuwe rommelige log binnenkomt, zoekt het systeem de meest vergelijkbare eerdere zaken (voorbeelden) en toont ze aan de stagiair.
- Het zegt: "Kijk hoe we deze vergelijkbare puzzel eerder hebben opgelost. Gebruik diezelfde stijl om deze nieuwe op te lossen."
- Dit helpt de stagiair precies te begrijpen wat de "Architect" (de Ontologie) wil, wat leidt tot veel betere resultaten.
4. De Resultaten: Betere Nauwkeurigheid, Niet Snelheid
De auteurs hebben dit systeem getest tegen de "oude manier" (gewoon de stagiair vragen om te schrijven zonder Architect of Inspecteur).
- Het Resultaat: De nieuwe methode was aanzienlijk nauwkeuriger. Het vond meer van de "boeven" (hogere Recall) en maakte minder fouten (hogere Precision).
- De Ruil: Het paper stelt expliciet dat ze kwaliteit boven snelheid hebben prioriteit gegeven. De nieuwe methode duurt iets langer omdat het het werk moet controleren, feedback moet krijgen en het opnieuw moet proberen. Maar het eindresultaat is een veel betrouwbaarder en vertrouwenswaardiger kaart van de cyberdreigingen.
- De Winnaar: Onder de verschillende geteste AI-modellen presteerde Claude 3.5 Sonnet het beste, hoewel open-source modellen zoals Llama 3.3 ook zeer goed deden.
Samenvattende Analogie
Als het lezen van cybersecurity-logs is als proberen een chaotisch, handgeschreven dagboek te vertalen naar een formeel juridisch document:
- Oude Methode: Je vraagt een slimme vertaler om gewoon "hun best te doen". Ze krijgen misschien de betekenis, maar het formaat zal rommelig en inconsistent zijn.
- OntoLogX: Je geeft de vertaler een strikt juridisch sjabloon (Ontologie), laat hen voorbeelden zien van perfecte juridische documenten (Few-shot voorbeelden) en laat een strenge advocaat (SHACL) elk concept controleren. Als het concept niet perfect is, stuurt de advocaat het terug voor correcties. Het resultaat is elke keer een foutloos juridisch document, zelfs als het iets langer duurt om te produceren.
Kernboodschap: Dit paper bewijst dat het combineren van een "slimme AI" met "strenge regels" en "kwaliteitscontroles" een veel betrouwbaarder systeem creëert voor het omzetten van rommelige computerlogs in duidelijke, actieerbare informatie over cyberdreigingen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.