💻 computer science

A microservices-based endpoint monitoring platform with predictive NLP models for real-time security and hate-speech risk alerting

Dit artikel stelt een schaalbaar, op microservices gebaseerd platform voor dat eindpunt-telemetrie integreert met voorspellende NLP-modellen om real-time, geünificeerde waarschuwingen te bieden voor datalekken, verdacht gedrag en haatzaaiende taal.

Oorspronkelijke auteurs: Darlan Noetzold, Anubis Graciela De Moraes Rossetto, Juan Francisco De Paz Santana, Valderi Reis Quietinho Leithard

Gepubliceerd 2026-05-13

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Darlan Noetzold, Anubis Graciela De Moraes Rossetto, Juan Francisco De Paz Santana, Valderi Reis Quietinho Leithard

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een drukke kantoorgebouw voor waar werknemers computers gebruiken om hun werk te doen. Het bedrijf wil zijn geheimen (zoals klantgegevens) beschermen en ervoor zorgen dat iedereen met respect wordt behandeld (geen pesten of haatzaaiende taal). Het is echter onmogelijk om elke computer handmatig te controleren, en bestaande beveiligingstools werken vaak in silo's: één tool controleert op gestolen data, terwijl een andere controleert op slechte taal, maar ze communiceren nooit met elkaar.

Dit artikel presenteert een nieuw, geïntegreerd "slimme beveiligingsbeveiliger"-systeem dat is ontworpen om dit probleem op te lossen. Hieronder wordt uitgelegd hoe het werkt, opgesplitst in eenvoudige onderdelen:

1. De "Digitale Bodyguard" (De Spyware-agent)

Stel je de software die op elke computer van een werknemer is geïnstalleerd voor als een stille, digitale bodyguard. Hij kijkt niet alleen toe; hij luistert en bekijkt alles wat op het scherm gebeurt.

Wat hij doet: Hij houdt een logboek bij van elke toets die je typt, kijkt welke websites je bezoekt, controleert welke programma's draaien en maakt zelfs een snelle "screenshot" van je scherm als er iets verdachts lijkt.
De Magie: Hij is ongelooflijk licht. Het artikel beweert dat deze bodyguard zo efficiënt is dat hij minder dan 1% van de rekenkracht van je computer gebruikt. Het is alsof je een beveiligingsbeveiliger hebt die zo stil en snel is dat hij zelfs geen vloerplank laat kraken.

2. Het "Centraal Commando" (Het Microservices-platform)

Alle informatie van deze digitale bodyguards moet naar ergens worden gestuurd om te worden geanalyseerd. De auteurs hebben een "Centraal Commando" gebouwd met behulp van een microservices-architectuur.

De Analogie: Stel je een drukke luchthaven voor. In plaats van één gigantische verkeersleidingstoren die probeert elk vliegtuig, elke landing en elke passagier tegelijkertijd te hanteren, heb je gespecialiseerde teams: één team behandelt bagage, een ander brandstof en een ander beveiliging. Ze communiceren allemaal direct met elkaar.
Hoe dit hier werkt: Het systeem gebruikt een "boodschapper" (RabbitMQ) om notities door te geven tussen deze gespecialiseerde teams en een "snelle geheugenschelf" (Redis) om alles snel te houden. Dit zorgt ervoor dat het systeem niet crasht of vertraagt, zelfs niet als duizenden werknemers tegelijkertijd data sturen.

3. De "Taaldetective" (Voorspellende NLP-modellen)

Dit is het meest unieke onderdeel van het systeem. De "bodyguard" vangt getypte woorden op en stuurt ze naar een Taaldetective.

De Taak: De detective leest de tekst om te zien of deze haatzaaiende taal, pesten of beledigende taal bevat.
De Hulpmiddelen: Het systeem gebruikt drie verschillende soorten "detectives" (Logistische Regressie, Support Vector Machines en Multinomiaal Naive Bayes) die zijn getraind op miljoenen voorbeelden van tekst in het Engels, Spaans en Portugees.
Het Noodplan: Als de standaarddetectives het niet zeker weten, roept het systeem een "Superdetective" (GPT-3) in om dubbel te controleren. Als de Superdetective iets vindt dat de anderen hebben gemist, leert het systeem hieruit voor de volgende keer.
Het Resultaat: Het artikel meldt dat deze detectives ongeveer 87% nauwkeurig zijn in het opsporen van haatzaaiende taal.

4. Het "Alarmsysteem" (Realtime Waarschuwingen)

Wanneer het systeem een probleem opspoort – zoals iemand die probeert een bestand te stelen of een haatzaaiend bericht typt – wacht het niet.

Het Proces: Het berekent direct een "risicoscore". Als de score hoog genoeg is, wordt een alarm geactiveerd.
Het Bewijs: Het zegt niet alleen "Er is iets mis". Het slaat het bewijs op: een lijst van draaiende programma's, de screenshot en de specifieke tekst, allemaal samengepakt.
Het Dashboard: Een manager kan inloggen op een webdashboard om deze waarschuwingen in realtime te zien. Ze kunnen filteren op wie, wanneer of welk type probleem zich heeft voorgedaan.

5. Het "Bewijs van Integriteit" (Beveiligingsfuncties)

Het artikel benadrukt dat dit systeem is gebouwd om betrouwbaar en veilig te zijn.

Vervalstevast: Als er een waarschuwing wordt gegenereerd, maakt het systeem een digitaal "vingerafdruk" (een cryptografische hash) voor deze aan. Dit is alsof je een envelop verzegelt met was; als iemand later probeert de inhoud te openen of te veranderen, breekt het zegel en weet het systeem dat het bewijs is gemanipuleerd.
Veiligheidstests: De auteurs hebben het systeem getest tegen hackers die probeerden binnen te dringen (met SQL-injectie en andere trucs). Het systeem blokkeerde deze aanvallen succesvol, wat bewijst dat het veilig is om te gebruiken.

De Conclusie

Het artikel beweert een enkel, alles-in-één-platform te hebben gebouwd dat twee dingen tegelijk doet:

Data beschermen: Voorkomen dat mensen gevoelige informatie stelen.
Mensen beschermen: Voorkomen van haatzaaiende taal en intimidatie op de werkplek.

De auteurs hebben dit systeem getest en bevonden dat het snel is (reageren in minder dan een seconde), lichtgewicht is (computers niet vertraagt) en nauwkeurig is (meeste slecht gedrag opsporen). Ze betogen dat bedrijven door deze tools te combineren een veiligere, meer beveiligde en inclusievere werkplek kunnen creëren zonder dat ze een dozijn verschillende, onhandige softwareprogramma's nodig hebben.

Technische Samenvatting: Een op Microservices Gebaseerd Platform voor Endpoint Monitoring met Voorspellende NLP-modellen

Probleemstelling

Organisaties staan in het moderne digitale landschap voor een dubbele uitdaging: het risico op lekkage van gevoelige data en de verspreiding van hatelijke of schadelijke taal binnen communicatiekanalen op de werkplek. Bestaande oplossingen gaan deze problemen vaak geïsoleerd aan – productiviteitsbewaking, datalekpreventie (DLP) en detectie van haatzaaiende taal worden gescheiden – wat de mogelijkheid beperkt om signalen over verschillende databronnen heen te correleren en de reactietijd op incidenten vertraagt. Bovendien vereist de opkomst van thuiswerken en de juridische gevolgen van vijandige werkomgevingen (zoals aanzienlijke schadevergoedingen in zaken als de Tesla-rechtszaak) een proactieve, geïntegreerde aanpak van monitoring die veiligheid, compliance en welzijn van werknemers in evenwicht brengt zonder de systeemprestaties te compromitteren.

Methodologie

De voorgestelde oplossing is een geünificeerd, op microservices gebaseerd raamwerk dat is ontworpen om endpoint-telemetrie te verzamelen en voorspellende Natural Language Processing (NLP)-modellen toe te passen voor real-time waarschuwingen. De methodologie volgt een requirements-driven engineering-aanpak, gestructureerd in vier fasen: requirements-elicitering, architecturaal ontwerp, implementatie en evaluatie.

Architectuur en Componenten

Het systeem is gebouwd op een modulaire architectuur bestaande uit drie primaire lagen:

Endpoint-laag (Spyware-agent): Een Python-gebaseerde monitoring-agent gecompileerd tot een uitvoerbaar bestand. Deze werkt via multithreading om het volgende vast te leggen:
- Netwerkverkeer: Real-time DNS-pakketinspectie om geblokkeerde sites of kwaadaardige queries te identificeren.
- Toetsaanslagen: Keylogging om getypte tekst vast te leggen voor inhoudsanalyse.
- Processen: Scannen op kwaadaardige processen op basis van door beheerders gedefinieerde lijsten.
- Poorten: Scannen op open poorten en kwetsbare service-banners.
- Schermopnames: Het maken van screenshots bij het genereren van een alert voor bewijscontext.
- Beslissingslogica: Alerts worden geactiveerd op basis van een gewogen risicoscore ( $S(t)$ ) afgeleid van binaire indicatoren (bijv. geblokkeerde DNS, verboden trefwoorden, kwaadaardige processen).
Service-orchestratielaag (API-gateway & Backend):
- Centrale API: Gebouwd met Spring Boot en gecontaineriseerd via Docker, die de dataflow tussen componenten beheert.
- Data-beheer: Gebruikt PostgreSQL voor persistente opslag (alerts, gebruikersdata, afbeeldingen) en Redis voor caching met lage latentie van frequente queries (TTL van 20 seconden).
- Asynchrone verwerking: RabbitMQ verwerkt event-inname en routing, waardoor de inname van telemetrie wordt ontkoppeld van de verwerking van alerts en classificatietaken.
- Optimalisaties: Het systeem maakt gebruik van lazy-initialisatie, schakelt onnodige auto-configuraties uit, gebruikt de Undertow-servletcontainer voor niet-blokkerende I/O en implementeert sequentiële database-indexering om resource-overhead te minimaliseren.
Voorspellende NLP-pijplijn:
- Data-verwerking: Tekst ondergaat normalisatie (kleine letters, opschoning, verwijdering van stopwoorden, stemming/lemmatisatie) en wordt vectoriëerd met TF-IDF.
- Modellen: Drie traditionele machine learning-modellen werden getraind en geëvalueerd voor elke taal (Portugees, Spaans, Engels): Logistische Regressie (met L1-regularisatie), Support Vector Machine (RBF-kernel) en Multinomiaal Naive Bayes (met Laplace-smoothing).
- Fallback-mechanisme: Het systeem integreert GPT-3 (via het text-davinci-003-model) als een secundaire verificatielaag voor zinnen die niet door de primaire modellen als verdacht zijn gemarkeerd. Afwijkingen worden gelogd voor toekomstige hertraining.
- Classificatie: De pijplijn identificeert de taal van de invoer, past het corresponderende model toe en retourneert een gestructureerde JSON-classificatie.

Front-end en Governance

Een responsieve webapplicatie stelt beheerders in staat om blacklists te beheren, alerts te bekijken en beleidsregels te configureren. Deze bevat rollengebaseerde toegangscontrole, beveiligde sessiebeheer en een functie waarmee gebruikers cryptografisch ondertekende (SHA-256) JSON-logboeken van alerts kunnen genereren om auditbaarheid en data-integriteit te waarborgen.

Belangrijkste Bijdragen

Het artikel presenteert drie primaire bijdragen:

Geünificeerde Architectuur: Een modulair microservices-raamwerk dat endpoint-monitoring (keylogging, netwerksniffing, procesauditing) integreert met voorspellende NLP in één enkele pijplijn, waardoor de kloof in gefragmenteerde oplossingen wordt gedicht.
Real-time Alert-orchestratie: Een schaalbaar systeem dat gebruikmaakt van RabbitMQ en Redis om data-inname met hoge volumetrie te verwerken en alerts met lage latentie te leveren, en dat in staat is om gelijktijdig indicatoren van data-exfiltratie en beleidsviolaties te detecteren.
Meertalige Detectie van Haatzaaiende Taal: De toepassing van transformer-gebaseerde en traditionele ML-modellen om risicofactoren voor haatzaaiende taal te detecteren in het Portugees, Spaans en Engels, waarbij hoge nauwkeurigheid wordt bereikt terwijl de rekenkrachtsefficiëntie geschikt blijft voor real-time zakelijke omgevingen.

Experimentele Resultaten

Het systeem is geëvalueerd in een gecontroleerde omgeving (Intel i5-3470, 8GB RAM, Kali Linux) met behulp van Docker-containers.

Prestaties en Schaalbaarheid:
- Spyware-agent: Toonde een verwaarloosbare footprint, met CPU- en geheugengebruik consistent onder de 1% tijdens aanhoudende monitoring.
- Latentie: De totale detectiecyclus (lokale opname tot API-classificatie) nam gemiddeld ongeveer 700 ms in beslag. De Spyware API-gateway behaalde een gemiddelde inferentiereactietijd van 500 ms.
- Schaalbaarheid: Lineaire regressie-analyse van belastingtests (tot 10.000 parallelle requests) toonde een sterke lineaire correlatie tussen requestvolume en resourcegebruik (CPU, geheugen, reactietijd). Het systeem behield reactietijden onder de 1-seconden drempel zelfs bij hoge belasting, waarbij het geheugen-heap-gebruik bij 10.000 requests steeg tot 39%.
- Veiligheid: De API-gateway slaagde erin SQL-injectie, commando-injectie en XSS-aanvallen te mitigeren nadat initiële kwetsbaarheidspatches waren toegepast.
Nauwkeurigheid van Voorspellende Modellen:
- De modellen behaalden een gemiddelde nauwkeurigheid van 87% over alle talen en folds heen.
- Multinomiaal Naive Bayes toonde een licht prestatievoordeel ten opzichte van Logistische Regressie en SVM.
- Polygon Area Metric (PAM): Gebruikt om de balans tussen Precision, Recall, F1-score, Specificiteit en AUC-ROC te evalueren. Multinomiaal Naive Bayes leverde het grootste polygonale oppervlak op, wat wijst op een superieure balans van metrics, terwijl Logistische Regressie de meest uniforme prestaties over de assen toonde.
- Foutanalyse: Er werd een foutpercentage van ongeveer 13% waargenomen, voornamelijk veroorzaakt door vals-positieven bij nadrukkelijke hoofdletters en vals-negatieven bij obscure beledigende termen.

Betekenis en Claims

De auteurs claimen dat dit werk een wetenschappelijk onderbouwde aanpak biedt om gelijktijdig datalekpreventie en compliance op de werkplek aan te pakken. De betekenis van het onderzoek ligt in de demonstratie dat traditionele machine learning-modellen (Logistische Regressie, SVM, Naive Bayes) een duurzamere trade-off kunnen bieden tussen voorspellende kracht en hardware-eisen in vergelijking met resource-intensieve transformer-gebaseerde architecturen (zoals BERT) voor real-time zakelijke monitoring.

Het artikel benadrukt dat het voorgestelde raamwerk niet louter een strafinstrument is, maar een mechanisme om een veiligere, inclusievere werkplek te bevorderen. Door monitoring en voorspellende capaciteiten te centraliseren, stelt het systeem organisaties in staat om indicatoren van data-exfiltratie en beleidsviolaties tijdig te detecteren. De auteurs concluderen dat de oplossing levensvatbaar is voor implementatie in diverse hardware-omgevingen, van legacy werkstations tot moderne enterprise-systemen, mits ethische overwegingen met betrekking tot transparantie en toestemming van werknemers strikt worden nageleefd. Toekomstig werk wordt voorgesteld om zich te richten op validatie op grote schaal in productie, runtime-optimalisatie met native images (bijv. GraalVM) en de integratie van technieken voor differentieel privacy.