Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
Este artigo propõe um pipeline modular de três estágios para o mapeamento de syslogs de segurança heterogêneos para um esquema comum, demonstrando, por meio de uma avaliação extensiva em dados do setor educacional coreano, que a combinação de canonicalização estrutural com correspondentes semânticos tanto locais quanto baseados em agentes melhora significamente a precisão do mapeamento, ao mesmo tempo em que revela um compromisso crítico entre precisão e latência de implantação em diferentes ambientes de fornecedores.
Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
No sistema nervoso digital das organizações modernas, as equipes de segurança dependem de um fluxo constante de relatórios automatizados conhecidos como logs de sistema. Esses logs são as pegadas digitais deixadas por firewalls, servidores e dispositivos de rede enquanto monitoram ameaças. Para que uma equipe de segurança faça sentido desse fluxo de informações, eles precisam traduzir esses relatórios em uma linguagem única e unificada. Imagine uma sala cheia de pessoas tentando discutir um incêndio, mas uma pessoa o chama de "incêndio", outra de "conflagração" e uma terceira de "evento de calor", enquanto todas descrevem a localização usando nomes de ruas e números de edifícios diferentes. Sem um vocabulário compartilhado, a conversa falha. No mundo da cibersegurança, esse vocabulário compartilhado é chamado de esquema. Quando diferentes produtos de segurança de diferentes fabricantes geram logs, eles frequentemente usam seus próprios nomes e estruturas exclusivas para os mesmos conceitos básicos, criando uma barreira caótica que impede que sistemas automatizados analisem os dados de forma eficaz.
Uma equipe de pesquisadores da Universidade Hongik, na Coreia do Sul, abordou esse problema desenvolvendo um novo método para traduzir esses relatórios de segurança conflitantes em uma linguagem comum. O trabalho deles foca na vasta rede de instituições educacionais em toda a Coreia, onde milhares de dispositivos de segurança diferentes de vários fornecedores geram milhões de alertas diariamente. Os pesquisadores descobriram que simplesmente tentar forçar um único modelo de inteligência artificial a resolver todo o problema de tradução de uma só vez era ineficiente e muitas vezes impraticável para o uso no mundo real. Em vez disso, eles dividiram a tarefa em um processo de três etapas que atua como uma linha de montagem especializada. Primeiro, eles limpam os nomes de campos e estruturas desordenados. Segundo, utilizam uma ferramenta de correspondência para encontrar o significado correto. Terceiro, pontuam a correspondência para decidir o quão confiantes devem estar no resultado. Essa abordagem modular permite que as equipes de segurança escolham a ferramenta certa para suas necessidades específicas, equilibrando velocidade com precisão.
O núcleo de sua solução é uma nova maneira de organizar os dados antes mesmo de serem analisados. Os pesquisadores criaram um formato padrão que chamam de Objeto de Mapeamento Normalizado. Pense nisso como pegar uma nota complexa, escrita à mão, e reescrevê-la em um formulário rigoroso de três partes: o nome do item, o tipo de coisa que ele é e onde ele se situa na hierarquia do sistema. Ao forçar cada peça de dado a entrar nessa estrutura rígida, os pesquisadores removeram a confusão causada por diferentes fabricantes usando nomes diferentes para a mesma coisa. Eles testaram este método em um conjunto de dados massivo derivado de centenas de documentos descrevendo os logs de dispositivos de segurança usados por escolas e universidades. O conjunto de dados incluía mil campos de origem e mil campos de destino, representando a complexa teia de conexões que os analistas de segurança devem gerenciar.
Quando aplicaram esse formato padronizado às suas ferramentas de correspondência, os resultados foram imediatos e significativos. Eles testaram dois tipos diferentes de mecanismos de correspondência: um que roda localmente em um computador usando um modelo compacto e eficiente, e outro que utiliza um agente de inteligência artificial mais poderoso, baseado na nuvem. Sem o novo formato padrão, o modelo local conseguia identificar corretamente a correspondência certa apenas cerca de metade das vezes. Com o novo formato, sua precisão saltou para mais de setenta por cento. O agente poderoso baseado na nuvem também melhorou, subindo de aproximadamente setenta e oito por cento para mais de oitenta e cinco por cento de precisão. Isso provou que o valor do trabalho deles não residia apenas na ferramenta de correspondência em si, mas na forma como preparavam os dados para ela. O formato padronizado facilitou o trabalho tanto para as ferramentas simples quanto para as complexas.
Os pesquisadores então compararam os dois mecanismos de correspondência para ver qual era melhor para uma operação de segurança real. O agente baseado na nuvem era ligeiramente mais preciso ao encontrar a melhor correspondência única, acertando cerca de oitenta e seis por cento das vezes. No entanto, era incrivelmente lento, levando quase vinte e seis segundos para processar um único campo. Em um centro de segurança onde milhares de alertas chegam a cada minuto, um atraso dessa duração é inaceitável. O modelo local, por outro lado, era muito mais rápido, processando um campo em apenas um segundo e meio. Embora fosse ligeiramente menos preciso ao escolher a correspondência do topo, era excelente em fornecer uma lista curta das cinco melhores candidatas. Na verdade, ele encontrava a resposta correta dentro das cinco melhores escolhas com mais frequência do que o agente mais lento. Isso revelou um compromisso crucial: a ferramenta local, mais rápida, é quase tão boa quanto para fornecer a um analista de segurança uma lista curta para revisão, mas o faz quase instantaneamente e sem a necessidade de enviar dados para um serviço externo.
Para garantir que seu sistema fosse robusto, os pesquisadores o testaram contra variações do mundo real, incluindo diferentes fornecedores que usam seus próprios nomes exclusivos para recursos padrão. Eles focaram em firewalls de aplicação web de três fabricantes diferentes. Mesmo quando o sistema nunca tinha visto os nomes específicos usados por um novo fornecedor antes, o modelo local ainda conseguia mapear os campos corretamente cerca de oitenta e três por cento das vezes quando um alvo padrão estava disponível. Quando tentaram usar o conhecimento de um fornecedor para ajudar a mapear um fornecedor completamente diferente, a precisão permaneceu alta, em torno de setenta e oito por cento. Isso sugere que o sistema pode lidar com a realidade desordenada do mercado, onde novos dispositivos e diferentes convenções de nomenclatura aparecem constantemente. Os pesquisadores também mediram quanto tempo cada etapa levava, confirmando que o método local é rápido o suficiente para rodar em hardware de escritório padrão sem depender de serviços de nuvem caros.
O estudo conclui que não existe uma única "melhor" maneira de resolver este problema para todas as situações. Em vez disso, a melhor abordagem depende das restrições específicas da equipe de segurança. Se a prioridade é encontrar a correspondência absolutamente perfeita e a velocidade não é um problema, o poderoso agente de nuvem é a escolha melhor. No entanto, para a maioria das operações de centros de segurança que precisam processar dados rapidamente e mantê-los dentro de suas próprias redes seguras, o modelo local oferece uma alternativa atraente. Ele fornece um alto nível de precisão, especialmente quando os analistas estão dispostos a revisar uma lista curta de principais candidatos, e o faz com uma velocidade que torna o monitoramento em tempo real possível. Os pesquisadores propõem uma estratégia híbrida onde o modelo local rápido lida com a maior parte do trabalho, e apenas os casos mais difíceis ou incertos são enviados para o agente mais lento e poderoso. Essa abordagem permite que as organizações mantenham altos padrões de segurança sem ficarem sobrecarregadas pelo volume e variedade de dados que devem gerenciar.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.