🤖 AI

AnonShield: Scalable On-Premise Pseudonymization for CSIRT Vulnerability Data

Het artikel introduceert AnonShield, een hoog-doorvoersysteem voor on-premise pseudonimisering dat gebruikmaakt van GPU-versnelde NER en streamingverwerking om een versnelling tot 738x te bereiken bij het verwerken van kwetsbaarheidsgegevens terwijl de hoge nauwkeurigheid behouden blijft, waardoor conforme en schaalbare gegevensdeling voor CSIRT's mogelijk wordt.

Oorspronkelijke auteurs: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Gepubliceerd 2026-06-16

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een beveiligingsteam voor (een CSIRT) dat fungeert als een gigantisch digitaal detectiebureau. Elke dag scannen zij hun computernetwerken om "bugs" of zwakheden (kwetsbaarheden) te vinden. Deze scans produceren enorme rapporten die lijken op gedetailleerde foto's van een plaats delict.

Het probleem is dat deze foto's gevoelige informatie bevatten. Ze laten niet alleen de bug zien, maar ook de namen van de gebouwen, de specifieke kamernummers en zelfs de namen van de mensen die er wonen. Als het team deze foto's wil delen met externe experts om hulp te krijgen, of wil gebruiken om AI te trainen, moeten ze eerst die namen vervagen. Dit proces wordt pseudonimisering genoemd.

Het artikel introduceert een nieuwe tool genaamd AnonShield om deze vervagingsklus te klaren. Zo werkt het, eenvoudig uitgelegd:

Het Probleem: De "Trage en Riskante" Oude Manier

Voorheen was het proberen te vervagen van deze enorme rapporten alsof je een gigantische opslagplaats probeerde schoon te maken met een tandenborstel.

Te traag: De oude tools (zoals de vorige versie, AnonLFI v2.0) deden er meer dan 92 uur over om één enkel groot bestand te verwerken. Dat is alsof je vier volle dagen besteedt aan het schoonmaken van slechts één kamer.
Te riskant: Sommige tools probeerden het werk te doen door de gegevens naar de "cloud" te sturen (externe servers). Dit is alsof je je geheime foto's van de plaats delict naar een vreemde mailt om ze te laten vervagen. Dit overtreedt de regels van gegevensprivacy omdat de gegevens het gebouw verlaten.
Te onhandig: Andere tools waren als een botte hamer; ze zouden per ongeluk belangrijke technische details (zoals de naam van de bug zelf) vervagen samen met de gevoelige namen, waardoor het rapport onbruikbaar wordt voor analyse.

De Oplossing: AnonShield

AnonShield is als het upgraden van een tandenborstel naar een snelle industriële stofzuiger die volledig binnen je eigen gebouw werkt.

1. De Super-snelle Motor (GPU-versnelling)
Denk aan de oude tool als een enkele werker die een boek pagina voor pagina leest. AnonShield huurt een heel team van werkers in (met behulp van een krachtige videokaart, of GPU) die duizenden pagina's tegelijkertijd kunnen lezen en vervagen.

Het resultaat: Een klus die vroeger 92 uur duurde, duurt nu minder dan 10 minuten. Dat is een versnelling van bijna 738 keer.

2. Het Slimme Filter (Contextbewust)
Stel je voor dat je een verhaal aan het bewerken bent. Je moet de namen van de mensen vervagen, maar je wilt de namen van de monsters of de wapens niet vervagen, want het verhaal gaat over het vechten tegen die monsters.

AnonShield is slim genoeg om het verschil te weten. Het herkent specifieke cybersecurity-termen (zoals "CVE" of "CPE" codes) en weet deze helder te houden terwijl het de gevoelige namen vervaagt.
Het gebruikt een "schema-bewuste" instelling, wat lijkt op een checklist. Als de checklist zegt: "Vervaag alles in de kolom 'Host Name'", dan doet het dat direct zonder zelfs de tekst te hoeven lezen, wat het nog sneller maakt.

3. De "Magische Inkt" (Pseudonimisering)
In plaats van alleen een naam zwart te maken (wat de data vernietigt), vervangt AnonShield de naam door een unieke, onbreekbare code (zoals een geheime alias).

Als de naam "Server-1" 100 keer in het rapport voorkomt, verandert AnonShield dit elke keer in dezelfde code (bijv. "X-999").
Dit houdt de data bruikbaar: analisten kunnen nog steeds zien dat "X-999" drie keer is aangevallen, ook al weten ze niet dat het "Server-1" was.
Alleen de teamleider met de geheime sleutel kan de code terugveranderen naar de echte naam.

4. De "Geen-Cloud" Belofte
Alles gebeurt gewoon op de computer waar de gegevens staan. Er worden nooit gegevens naar het internet gestuurd. Dit houdt de organisatie veilig voor hackers en zorgt ervoor dat ze voldoen aan privacywetgeving (zoals GDPR).

De Resultaten

De onderzoekers hebben deze tool getest op een enorme dataset van meer dan 70.000 records (ongeveer 550 MB aan gegevens).

Snelheid: Ze gingen van dagen wachten naar minuten.
Nauwkeurigheid: De tool was ongelooflijk precies. Het vond en vervaagde succesvol 96,7% van de gevoelige informatie (Recall) terwijl de data bruikbaar bleef voor analyse (F1-score van 94,2%).
Betrouwbaarheid: Het kon omgaan met rommelige bestandsformaten (zoals PDF's met afbeeldingen) en enorme spreadsheets zonder vast te lopen.

Samenvattend

AnonShield is een tool waarmee beveiligingsteams hun kwetsbaarheidsrapporten veilig en snel kunnen delen. Het fungeert als een super-snelle, slimme editor die in je eigen computer leeft, die gevoelige namen vervangt door geheime codes zodat de gegevens gebruikt kunnen worden voor analyse of AI-training zonder ooit te onthullen wie of wat er daadwerkelijk gescand werd. Het verandert een taak van 4 dagen in een taak van 10 minuten.

Technische Samenvatting: AnonShield

Probleemstelling

Computer Security Incident Response Teams (CSIRTs) staan voor een kritieke operationele uitdaging: de noodzaak om kwetsbaarheidsscan-data (van tools zoals OpenVAS en Tenable) te delen voor analyse, machine learning-pipelines en synthetische datageneratie, terwijl strikte naleving van data-soevereiniteit en privacyregels (GDPR, LGPD) wordt gewaarborgd. Deze rapporten bevatten gevoelige persoonsgegevens (PII), netwerkidentificatoren (IP's, hostnames) en inloggegevens naast technische bevindingen.

Bestaande oplossingen voldoen niet aan de specifieke vereisten van grootschalige CSIRT-implementaties:

Cloud-gebaseerde tools (bijv. Google Cloud DLP, Amazon Comprehend) schenden de data-soevereiniteit omdat ze vereisen dat data naar externe eindpunten wordt verzonden.
On-premise generieke tools (bijv. Microsoft Presidio) missen herkenners voor cybersecurity-specifieke entiteiten (CVE's, CPE's, cryptografische hashes), waardoor kwetsbaarheidsprofielen blootgesteld blijven.
Eerdere onderzoeksiteraties (AnonLFI v1.0 en v2.0) kampen met schaalbaarheidsproblemen. AnonLFI v2.0, hoewel het hiërarchische formaten (XML/JSON) en OCR ondersteunt, heeft meer dan 92 uur nodig om een dataset van 550 MB (70.951 records) te verwerken vanwege geheugenintensieve DOM-parsing en een gebrek aan hardwareversnelling, wat het onpraktisch maakt voor operationeel gebruik.

Methodologie: Het AnonShield-framework

AnonShield is een hoogdoorvoersysteem voor pseudonimisering on-premise, ontworpen om kwetsbaarheidsdata lokaal te verwerken. Het vervangt gevoelige entiteiten door deterministische pseudoniemen (HMAC-SHA256 slugs) om de referentiële integriteit over rapporten heen te behouden zonder de originele data bloot te leggen.

Het framework werkt via vijf opeenvolgende fasen:

Inputverwerking: Ondersteunt heterogene formaten (XML, JSON, JSONL, CSV, TXT, LOG, PDF, DOCX, XLSX). Grote bestanden worden afgehandeld via streaming I/O (met gebruik van ijson voor JSON en SAX voor XML) om volledig laden in het geheugen te voorkomen.
Entiteitsdetectie (NER): Maakt gebruik van een hybride aanpak die een combinatie vormt van:
- GPU-versnelde Transformer-modellen: Configureerbare modellen zoals Davlan/xlm-roberta-base-ner-hrl of het cybersecurity-georiënteerde attack-vector/SecureModernBERT-NER.
- Custom RegEx-patronen: 21 patronen die IP's, URL's, hashes, certificaten, CVE/CPE-identificatoren en inloggegevens dekken.
- LRU Caching: Verlaagt de belasting door herhaalde zoekopdrachten over records heen te minimaliseren.
Pseudonimisering: Entiteiten worden vervangen door HMAC-SHA256 slugs berekend met een door de operator gedefinieerde geheime sleutel. De lengte van de slug is configureerbaar (0–64 hexadecimale tekens) en het entiteitstype wordt behouden als prefix (bijv. [IP_ADDRESS_48624b5cdc]).
Persistentie: Een lokale SQLite-database slaat de mapping tussen originele entiteiten en slugs op, wat gecontroleerde re-identificatie mogelijk maakt door beheerders die de sleutel en database bezitten.
Output: Gestructureerde formaten behouden het schema en de structuur, waarbij alleen de waarden worden vervangen. Ongestructureerde formaten (PDF, DOCX, afbeeldingen) worden verwerkt via OCR of tekstextractie en als platte tekst uitgegeven.

Belangrijke architecturale kenmerken:

Schema-bewuste configuratie: Een mechanisme (anonymization_config) staat beleid per veld toe (bijv. force_anonymize, fields_to_exclude) om de NER-overhead voor bekende velden te omzeilen, wat de prestaties aanzienlijk verhoogt.
Meerdere strategieën: Gebruikers kunnen kiezen tussen:
- Standalone: Hoogste doorvoer, omzeilt Presidio volledig.
- Hybride/Gefilterd: Balanceert nauwkeurigheid en prestaties door herkenners te beperken tot cybersecurity-relevante entiteiten.
- Presidio: Maximaliseert de recall, maar kan fout-positieven introduceren door domein-irrelevante patronen.

Belangrijkste bijdragen

Schaalbare Architectuur: Een systeem dat in staat is om operationele kwetsbaarheidsdatasets (tot 550 MB, ~71k records) on-premise te verwerken met bijna lineaire complexiteit.
Uitgebreide Evaluatie: Een vergelijkende analyse van vier strategieën (standalone, hybride, presidio, gefilterd) tegenover vorige generaties (AnonLFI v1.0/v2.0) en commerciële tools, met gebruik van datasets variërend van heterogene testomgevingen tot real-world operationele data.
Validatie van Nauwkeurigheid: Een statistische evaluatie met behulp van een door specialisten geannoteerde steekproef (67 records, 13 entiteitstypen) om Precisie, Recall en F1-score te meten.

Experimentele Resultaten

De evaluatie maakte gebruik van vier datasets (D1–D3), inclusief een operationele dataset van 550 MB van CAIS/RNP (D2) met 70.951 kwetsbaarheidsrecords.

Prestaties (Doorvoer & Latentie):

Versnelling: AnonShield reduceert de verwerkingstijd voor de 550 MB operationele dataset van een geschatte >92 uur (AnonLFI v2.0) naar minder dan 10 minuten (453 seconden), wat een 738× versnelling oplevert.
Schaalbaarheid: AnonShield vertoont bijna lineaire complexiteit ( $\alpha \approx 1$ ). In tegenstelling hiertoe vertoont AnonLFI v2.0 superlineaire degradatie door DOM-parsing.
Optimalisatie: Het inschakelen van de schema-bewuste configuratie voor CSV-data verkortte de runtime verder naar 12,55 seconden (34.341 KB/s), een 46,9× winst ten opzichte van volledige NER-inferentie.
Hardware-onafhankelijkheid: Zelfs op CPU-only hardware bereikt AnonShield een $\ge$ 535× versnelling ten opzichte van AnonLFI v2.0, wat bevestigt dat de winst architecturaal van aard is en niet enkel afhankelijk van hardware.

Nauwkeurigheid:

Metrieken: De Gefilterde en Hybride strategieën behaalden een F1-score van 94,2% en een Recall van 96,7%.
Vergelijking: Dit is een significante verbetering ten opzichte van AnonLFI v1.0 (F1: 23,7%) en v2.0 (F1: 54,0%).
Foutanalyse: False Negatives waren primair deterministisch (niet-erkende organisatienamen in attributiestrings en structurele artefacten zoals poortnummers in vrije tekst). False Positives werden in de Gefilterde/Hybride modi aanzienlijk verminderd door domein-irrelevante herkenners (bijv. het onjuist classificeren van versienummers als datums) te onderdrukken.

Betekenis en Claims

Het artikel stelt dat schaalbare, on-premise pseudonimisering van kwetsbaarheidsdata operationeel haalbaar is zonder de analytische bruikbaarheid op te offeren. Door een hoge doorvoer en hoge recall te bereiken, maakt AnonShield het volgende mogelijk:

Compliante Datadeling: Het faciliteren van het gebruik van kwetsbaarheidsdata in downstream LLM-pipelines en synthetische datageneratie, terwijl voldaan wordt aan de GDPR en LGPD.
Operationele Levensvatbaarheid: De overgang van onpraktische verwerkingstijden (>92 uur) naar bijna real-time capaciteiten (<10 minuten) voor grootschalige enterprise-omgevingen.
Context-bewuste Beveiliging: Het erkennen dat cybersecurity-identificatoren (CVE's, CPE's) in specifieke contexten gevoelig zijn; het systeem staat fijngestuurde controle toe over wat gepseudonimiseerd wordt, waarmee een gat wordt gedicht dat door generieke PII-tools wordt achtergelaten.

De auteurs erkennen huidige beperkingen, waaronder de afhankelijkheid van specifieke OCR-bibliotheken voor image-only PDF's en de inherente moeilijkheid van het publiceren van ruwe kwetsbaarheidsdata, zelfs na pseudonimisering (vanwege het risico op het verkleinen van de zoekruimte voor aanvallers). Bijgevolg positioneren zij pseudonimisering als een aanvullende stap bij synthetische datageneratie voor externe delen, terwijl het essentieel blijft voor interne LLM-ondersteunde analyse.