Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Dit artikel stelt een modulaire, driestaps pijplijn voor voor het mappen van heterogene beveiligingssyslogs naar een gemeenschappelijk schema, waarbij door middel van uitgebreide evaluatie op gegevens uit de Koreaanse onderwijssector wordt aangetoond dat het combineren van structurele canonicalisering met zowel lokale als agent-gebaseerde semantische matchers de mapping-nauwkeurigheid aanzienlijk verbetert, terwijl tegelijkertijd een kritieke afweging tussen precisie en implementatielatentie in verschillende vendor-omgevingen wordt onthuld.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In het digitale zenuwstelsel van moderne organisaties vertrouwen beveiligingsteams op een constante stroom van geautomatiseerde rapporten die bekend staan als systeemlogs. Deze logs zijn de digitale voetafdrukken die firewalls, servers en netwerkapparaten achterlaten terwijl ze zoeken naar dreigingen. Om deze vloedgolf aan informatie te kunnen begrijpen, moeten beveiligingsteams deze rapporten vertalen naar een enkele, verenigde taal. Stel je een kamer voor vol mensen die proberen te praten over een brand, maar de één noemt het een "vlammenzee", een ander een "conflagratie" en een derde een "hittegebeurtenis", terwijl ze allemaal de locatie beschrijven met verschillende straatnamen en huisnummers. Zonder een gedeelde woordenschat faalt het gesprek. In de wereld van cybersecurity wordt deze gedeelde woordenschat een schema genoemd. Wanneer verschillende beveiligingsproducten van verschillende fabrikanten logs genereren, gebruiken ze vaak hun eigen unieke namen en structuren voor dezelfde basisconcepten, wat een chaotische barrière creëert die voorkomt dat geautomatiseerde systemen de gegevens effectief kunnen analyseren.
Een team onderzoekers aan de Hongik Universiteit in Zuid-Korea heeft dit probleem aangepakt door een nieuwe methode te ontwikkelen om deze conflicterende beveiligingsrapporten te vertalen naar een gemeenschappelijke taal. Hun werk richt zich op het enorme netwerk van onderwijsinstellingen in heel Korea, waar duizenden verschillende beveiligingsapparaten van diverse leveranciers dagelijks miljoenen meldingen genereren. De onderzoekers ontdekten dat het simpelweg proberen te dwingen van één enkel kunstmatig intelligentiemodel om het hele vertaalprobleem in één keer op te lossen, inefficiënt en vaak onpraktisch was voor werkelijk gebruik. In plaats daarvan deelden ze de taak op in een driestappenproces dat werkt als een gespecialiseerde lopende band. Eerst maken ze de rommelige veldnamen en structuren schoon. Ten tweede gebruiken ze een hulpmiddel voor afstemming om de juiste betekenis te vinden. Derde scoren ze de overeenkomst om te beslissen hoe zeker ze zijn van het resultaat. Deze modulaire aanpak stelt beveiligingsteams in staat om het juiste hulpmiddel te kiezen voor hun specifieke behoeften, waarbij ze een balans vinden tussen snelheid en nauwkeurigheid.
De kern van hun oplossing is een nieuwe manier om de gegevens te organiseren nog voordat ze worden geanalyseerd. De onderzoekers creëerden een standaardformaat dat ze een Normalized Mapping Object noemen. Denk hierbij aan het nemen van een complexe, handgeschreven notitie en het herschrijven ervan naar een strikt, driedelig formulier: de naam van het item, wat voor soort ding het is, en waar het zich in de hiërarchie van het systeem bevindt. Door elk stukje data in deze rigide structuur te dwingen, verwijderden de onderzoekers de verwarring die wordt veroorzaakt door verschillende fabrikanten die verschillende namen gebruiken voor hetzelfde ding. Ze testten deze methode op een enorme dataset afkomstig van honderden documenten die de logs beschrijven van beveiligingsapparaten die worden gebruikt door scholen en universiteiten. De dataset bevatte duizend bronvelden en duizend doelvelden, wat de complexe web van verbindingen vertegenwoordigt die beveiligingsanalisten moeten beheren.
Toen ze dit gestandaardiseerde formaat toepasten op hun afstemmingshulpmiddelen, waren de resultaten onmiddellijk en significant. Ze testten twee verschillende soorten matching engines: één die lokaal op een computer draait met een compact, efficiënt model, en een andere die gebruikmaakt van een krachtigere, cloudgebaseerde kunstmatige intelligentie-agent. Zonder het nieuwe standaardformaat kon het lokale model de juiste match slechts ongeveer de helft van de tijd correct identificeren. Met het nieuwe formaat sprong de nauwkeurigheid van het lokale model naar meer dan zeventig procent. De krachtige cloudgebaseerde agent verbeterde ook, van ongeveer achttentachtig procent naar meer dan tachtigenvijf procent nauwkeurigheid. Dit bewees dat de waarde van hun werk niet alleen lag in het afstemmingstool zelf, maar in de manier waarop ze de gegevens ervoor voorbereidden. Het gestandaardiseerde formaat maakte het werk gemakkelijker voor zowel de eenvoudige als de complexe tools.
De onderzoekers vergeleken vervolgens de twee matching engines om te zien welke beter was voor een echte beveiligingsoperatie. De cloudgebaseerde agent was iets nauwkeuriger bij het vinden van de beste enkele match, waarbij hij het ongeveer zesentachtig procent van de tijd goed had. Het was echter ongelooflijk traag en deed er bijna zesentwintig seconden over om één enkel veld te verwerken. In een beveiligingscentrum waar elke minuut duizenden meldingen binnenkomen, is een vertraging van die lengte onacceptabel. Het lokale model was daarentegen veel sneller en verwerkte een veld in slechts anderhalf seconde. Hoewel het iets minder nauwkeurig was bij het kiezen van de allerbeste match, was het uitstekend in het leveren van een korte lijst met de vijf beste kandidaten. Sterker nog, het vond het juiste antwoord vaker binnen de top vijf keuzes dan de tragere agent deed. Dit onthulde een cruciale afweging: het snellere, lokale hulpmiddel is bijna net zo goed in het geven van een korte lijst om te beoordelen, maar doet dit bijna onmiddellijk en zonder de noodzaak om gegevens naar een externe dienst te sturen.
Om te garanderen dat hun systeem robuust was, testten de onderzoekers het tegen real-world variaties, inclusief verschillende leveranciers die hun eigen unieke namen gebruiken voor standaardfuncties. Ze richtten zich op web application firewalls van drie verschillende fabrikanten. Zelfs wanneer het systeem de specifieke namen van een nieuwe leverancier nog nooit eerder had gezien, kon het lokale model de velden nog steeds ongeveer drieentachtig procent van de tijd correct mappen wanneer een standaard doel beschikbaar was. Toen ze probeerden kennis van de ene leverancier te gebruiken om een volledig andere leverancier te mappen, bleef de nauwkeurigheid hoog op ongeveer achttentachtig procent. Dit suggereert dat het systeem de rommelige realiteit van de markt kan aan, waar nieuwe apparaten en verschillende naamgevingen constant verschijnen. De onderzoekers maten ook hoe lang elke stap duurde, waarmee werd bevestigd dat de lokale methode snel genoeg is om op standaard kantoorhardware te draaien zonder afhankelijk te zijn van dure clouddiensten.
De studie concludeert dat er geen enkele "beste" manier is om dit probleem voor elke situatie op te lossen. In plaats daarvan hangt de beste aanpak af van de specifieke beperkingen van het beveiligingsteam. Als de prioriteit ligt bij het vinden van de absoluut perfecte match en snelheid geen probleem is, dan is de krachtige cloudagent de betere keuze. Echter, voor de meeste beveiligingscentra die gegevens snel moeten verwerken en deze binnen hun eigen beveiligde netwerken willen houden, biedt het lokale model een overtuigend alternatief. Het biedt een hoog niveau van nauwkeurigheid, vooral wanneer analisten bereid zijn een korte lijst met topkandidaten te beoordelen, en dat doet het met een snelheid die real-time monitoring mogelijk maakt. De onderzoekers stellen een hybride strategie voor waarbij het snelle lokale model het merendeel van het werk afhandelt, en alleen de meest moeilijke of onzekere gevallen naar de tragere, krachtigere agent worden gestuurd. Deze aanpak stelt organisaties in staat om hoge beveiligingsstandaarden te handhaven zonder te verdrinken in de enorme hoeveelheid en variëteit aan gegevens die zij moeten beheren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.