سازمان‌های مدرن برای محافظت از سیستم‌های اطلاعاتی خود از مجموعه‌ای از فناوری‌ها استفاده می‌کنند که روزانه هزاران هشدار امنیتی (Security Alerts) تولید می‌کنند. با بررسی انبوه این هشدارها، مشخص می‌شود که بخش قابل توجهی از آن‌ها هشدارهای کاذب (False Positives) هستند. در حالت ایده‌آل، این هشدارها باید به‌صورت خودکار فیلتر شوند تا تحلیلگران بتوانند بر موارد واقعی تمرکز کنند. با این حال، نوشتن فیلتر فرآیندی زمان‌بر است که شامل بررسی لاگ‌ها، شناسایی منبع فعالیت، تعیین مرزهای فیلترینگ و نوشتن قوانین (Rules) می‌شود.
معیارهای اعتبار فیلتر
یک فیلتر خوب باید بتواند نویز را حذف کند بدون اینکه هشدارهای مفید و واقعی را سرکوب (Suppress) کند. فیلترهایی که بیش از حد گسترده یا بیش از حد محدود باشند، کارایی ندارند. برای مثال، فیلتر کردن بر اساس کل PowerShell باعث حذف رویدادهای حیاتی می‌شود، در حالی که فیلتر بر اساس یک ID بسیار خاص ممکن است تنها یک رویداد را پوشش دهد که احتمال تکرار آن بسیار کم است.
چالش‌های تولید فیلتر
در فرآیند تولید فیلتر، چندین چالش فنی وجود دارد:
- تعداد زیاد فیلدها: هر رویداد ممکن است حدود ۴۰۰ فیلد داشته باشد که اکثر آن‌ها برای فیلترینگ ضروری نیستند.
- نرمال‌سازی رشته‌ها (String Normalization): مقادیر فیلدها (مانند مسیر فایل‌ها) بسته به تنظیمات سیستم متفاوت هستند و باید استانداردسازی شوند تا فیلتر به درستی عمل کند.
- تداخل با قوانین تشخیص: اگر فیلتر دقیقاً مشابه شرط یک قانون تشخیص (Detection Rule) باشد، آن قانون عملاً غیرفعال می‌شود.
رویکرد الگوریتمی و استفاده از LLM
رویکرد سنتی از الگوریتم‌هایی مانند FP-Growth برای یافتن الگوهای تکرارشونده در داده‌ها استفاده می‌کند. این روش ساده و قابل تفسیر است اما به “زمینه” (Context) وابسته است و در نرمال‌سازی رشته‌های غیرمعمول ضعف دارد.
استفاده از مدل‌های زبانی بزرگ (LLM) این مشکلات را حل می‌کند. LLMها بدون نیاز به Context زیاد، فرآیند نرمال‌سازی را منعطف‌تر انجام می‌دهند. همچنین می‌توان از رویکرد Multi-Agent استفاده کرد که در آن چندین عامل هوشمند (Agent) وظایف مختلفی مانند انتخاب فیلد (Selector)، تولید فیلتر (Generator)، اعتبارسنجی (Validator) و تفسیر (Commentator) را بر عهده دارند.
ارزیابی و نتایج عملیاتی
بر اساس ارزیابی‌های انجام شده، استفاده از LLMها کارایی تولید فیلتر را به شدت افزایش می‌دهد. نتایج نشان داد که استفاده از یک مدل LLM (حتی بدون ساختار چند-عاملی پیچیده) می‌تواند:
- کاهش هشدارهای کاذب (False Positives) را تا ۹۹٪ بهبود بخشد.
- تعداد فیلترهای تولید شده در روز را ۲۸٪ افزایش دهد.
- بازدهی تحلیلگران را ۱۷٪ ارتقا دهد.
در نهایت، اگرچه رویکرد چند-عاملی (Multi-Agent) دقت بالایی دارد، اما به دلیل پیچیدگی و سرعت کمتر، استفاده از یک مدل LLM واحد با دستورالعمل‌های (System Prompts) دقیق، بهینه‌ترین گزینه برای اکثر سازمان‌ها محسوب می‌شود.
