HADES: Detecting Active Directory Attacks via Whole Network Provenance Analytics
HADES एक नवीन प्रोवेनेंस-आधारित घुसपैठ पहचान प्रणाली है जो लॉगऑन सत्र-आधारित निष्पादन विभाजन और ऑन-डिमांड संपूर्ण-नेटवर्क ट्रेसिंग का उपयोग करके मौजूदा सिंगल-मशीन दृष्टिकोणों की सीमाओं को दूर करती है ताकि प्रभावी ढंग से स्टेल्थी एक्टिव डायरेक्टरी हमलों का पता लगाया जा सके और उनका विश्लेषण किया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
एक विशाल, हाई-टेक ऑफिस बिल्डिंग की कल्पना करें जिसे एक्टिव डायरेक्टरी (AD) कहा जाता है। यह बिल्डिंग कंपनी के हर कमरे, कंप्यूटर और फाइल की मास्टर चाबियों को अपने पास रखती है। क्योंकि यह बहुत महत्वपूर्ण है, इसलिए हैकर्स (विशेष रूप से वे चालाक, लंबे समय तक टिके रहने वाले जिन्हें "एडवांस्ड पर्सिस्टेंट थ्रेट्स" या APT कहा जाता है) इसे तोड़ने के लिए दीवाने रहते हैं।
एक बार जब वे अंदर घुस जाते हैं, तो वे केवल एक फाइल नहीं चुराते; वे रास्ते में चाबियाँ चुराते हुए एक कमरे से दूसरे कमरे में जाने की कोशिश करते हैं ताकि सबसे मूल्यवान रहस्यों को अनलॉक किया जा सके।
समस्या यह है कि पारंपरिक सुरक्षा गार्ड (स्टैंडर्ड इंट्रूज़न डिटेक्शन सिस्टम) उस व्यक्ति को पकड़ने में अच्छे होते हैं जो लोहे की रॉड से खिड़की तोड़कर अंदर आता है (मालवेयर)। लेकिन वे उस व्यक्ति को पकड़ने में बहुत खराब हैं जो चोरी किए गए कर्मचारी के आईडी कार्ड का उपयोग करके चुपचाप लॉबी से अंदर आता है और भीड़ में घुल-मिल जाता है।
यहाँ HADES आता है, जो इस पेपर के शोधकर्ताओं द्वारा डिज़ाइन किया गया एक नया सुरक्षा सिस्टम है। HADES को एक ऐसे गार्ड के रूप में न सोचें जो हर व्यक्ति पर 24/7 नज़र रखता है, बल्कि एक सुपर-स्मार्ट डिटेक्टिव (जासूस) के रूप में सोचें जो केवल तभी जागता है जब उसे कोई संदिग्ध फुसफुसाहट सुनाई देती है, और फिर वह क्या हुआ इसकी पूरी कहानी को फिर से जोड़ता है।
HADES कैसे काम करता है, यहाँ सरल अवधारणाओं में दिया गया है:
1. "दो-चरणीय" डिटेक्टिव रणनीति (The "Two-Stage" Detective Strategy)
HADES पूरी बिल्डिंग को 24/7 देखने में अपनी ऊर्जा बर्बाद नहीं करता है। यह दो चरणों में काम करता है:
चरण 1: मोशन सेंसर (हल्का डिटेक्शन)
HADES सबसे पहले बिल्डिंग के लॉगबुक में "अजीब फुसफुसाहटों" को सुनता है। यह ऑथेंटिकेशन विसंगतियों (authentication anomalies) को देखता है—ऐसे क्षण जहाँ कोई चाबी का उपयोग उस तरह से करने की कोशिश करता है जो तर्कसंगत नहीं है (जैसे पासवर्ड के बजाय पासवर्ड हैश का उपयोग करके लॉगिन करना)।- उपमा: कल्पना करें कि एक गार्ड केवल तब ऊपर देखता है जब वह रात के 3 बजे एक दरवाजे के खुलने की आवाज़ सुनता है। यदि दरवाजा सुबह 9 बजे सामान्य रूप से खुलता है, तो गार्ड उसे अनदेखा कर देता है। यह सिस्टम को तेज़ और कुशल बनाए रखता है।
चरण 2: अपराध स्थल का पुनर्निर्माण (गहरा ट्रेसिंग)
एक बार जब "मोशन सेंसर" सक्रिय हो जाता है, तो HADES फुल डिटेक्टिव मोड में स्विच कर जाता है। यह बिल्डिंग का एक विशाल नक्शा निकालता है और घुसपैठिये के रास्ते का पता लगाने के लिए शुरू हो जाता है।- पुराने नक्शों के साथ समस्या: पिछले सिस्टम उन सभी कंप्यूटरों को जोड़ने की कोशिश करते थे जिन्होंने नेटवर्क के माध्यम से एक-दूसरे को छुआ था। इससे कनेक्शनों का एक विशाल, उलझा हुआ जाल बन जाता था (जैसे कि बिल्डिंग में हाथ मिलाने वाले हर व्यक्ति को आपस में जोड़ देना)। यह इतना अव्यवस्थित था कि बेकार साबित होता था।
- HADES का समाधान: HADES "लॉगऑन सेशन बेस्ड एग्जीक्यूशन पार्टीशनिंग" (Logon Session Based Execution Partitioning) नामक एक अवधारणा का उपयोग करता है।
- उपमा: एक होटल की कल्पना करें। कई लोग एक ही लिफ्ट का उपयोग कर सकते हैं, लेकिन वे अलग-अलग कमरों में होते हैं (लॉगऑन सत्र)। पुराने सिस्टम कहेंगे, "जिसने भी लिफ्ट ली, वह जुड़ा हुआ है!" HADES कहता है, "नहीं, आइए उस विशिष्ट व्यक्ति के की कार्ड (लॉगऑन सेशन आईडी) को देखें जो उस कार्ड को पकड़े हुए है।" यह शोर को कम करता है और सटीक रूप से दिखाता है कि घुसपैठिया कमरे-दर-कमरे कहाँ गया।
2. "पहचान की चोरी" की पहेली को सुलझाना (Solving the "Identity Theft" Puzzle)
हैकर अक्सर उपयोगकर्ता के क्रेडेंशियल्स (जैसे पासवर्ड) चुरा लेते हैं और उनकी पहचान का ढोंग करते हैं।
- चुनौती: यदि एक हैकर "एलिस" का पासवर्ड चुराता है और उसके सर्वर में लॉगिन करता है, तो सिस्टम देखता है कि "एलिस" लॉगिन कर रही है। HADES को कैसे पता चलेगा कि यह वास्तव में हैकर है?
- समाधान: HADES लॉगऑन सेशन आईडी (Logon Session ID) को देखता है। भले ही नाम "एलिस" हो, लेकिन यदि हैकर ने किसी विशिष्ट तरीके (जैसे रिमोट डेस्कटॉप) के माध्यम से लॉगिन किया है, तो सेशन आईडी अलग हो सकती है। HADES के पास विशेष मॉड्यूल हैं जो यह पता लगाते हैं कि लॉगिन कैसे हुआ और गतिविधियों को सही "सेशन आईडी" के साथ फिर से असाइन करते हैं, जिससे यह सुनिश्चित होता है कि जासूस सही सुराग का पीछा करे और गलत संकेतों से भ्रमित न हो।
3. "थ्रेट स्कोर" (यह तय करना कि क्या महत्वपूर्ण है)
एक बार जब HADES हमले का नक्शा बना लेता है, तो वह हर चीज़ के लिए "अलार्म" नहीं चिल्लाता। यह यह तय करने के लिए थ्रेट स्कोर (Threat Score) का उपयोग करता है कि स्थिति कितनी गंभीर है।
- यह पूछता है: "क्या उन्होंने क्रेडेंशियल्स चुराए? क्या उन्होंने एक नए कंप्यूटर पर जाने की कोशिश की? क्या उन्होंने बॉस बनने (प्रिविलेज एस्केलेशन) की कोशिश की?"
- यदि उन्होंने केवल इधर-उधर देखा, तो यह एक कम स्कोर है। यदि उन्होंने बॉस की चाबियाँ चुराईं और तिजोरी की ओर बढ़े, तो यह एक उच्च स्कोर है। यह सुरक्षा टीमों को वास्तविक आपात स्थितियों पर ध्यान केंद्रित करने में मदद करता है।
4. इस पेपर ने वास्तव में क्या पाया
शोधकर्ताओं ने वास्तविक दुनिया के हैकर समूहों (जैसे APT29 और Oilrig) पर आधारित सिम्युलेटेड हमलों का उपयोग करके HADES का परीक्षण किया।
- मानक नियमों के मुकाबले (Vs. Standard Rules): उन्होंने HADES की तुलना लोकप्रिय ओपन-सोर्स नियम सेट (जैसे Sigma और Elastic) से की। मानक नियम एक छेद वाले जाल की तरह थे: उन्होंने वास्तविक हमलों को मिस कर दिया (फॉल्स नेगेटिव) या सामान्य उपयोगकर्ता गतिविधि से डर गए (फॉल्स पॉजिटिव)। HADES ने वास्तविक हमलों को पकड़ा और शोर को अनदेखा कर दिया।
- व्यावसायिक उत्पादों के मुकाबले (Vs. Commercial Products): उन्होंने एक टॉप-टियर, महंगे कमर्शियल सुरक्षा उत्पाद का भी परीक्षण किया। आश्चर्यजनक रूप से, कमर्शियल उत्पाद ने लगभग सभी हमलों को मिस कर दिया (उच्च फॉल्स नेगेटिव) क्योंकि वह बहुत सख्त था और सिस्टम लॉग्स में गहराई से नहीं देख रहा था। HADES ने सब कुछ पकड़ा।
- गति (Speed): क्योंकि HADES केवल तभी गहरा ट्रेसिंग करता है जब उसे संदेह होता है, इसलिए यह बहुत तेज़ है। यह एक विशाल नेटवर्क का विश्लेषण कर सकता है और सेकंडों में एक विस्तृत अटैक मैप तैयार कर सकता है।
सारांश
HADES एक नया सुरक्षा उपकरण है जो हर समय हर किसी पर नज़र रखने की कोशिश करने के बजाय, एक संदिग्ध सुराग का इंतज़ार करता है, और फिर एक विशेष "की कार्ड" सिस्टम (लॉगऑन सेशन आईडी) का उपयोग करके नेटवर्क के माध्यम से हैकर के सटीक रास्ते का पता लगाता है ताकि वह गलत कनेक्शनों के समुद्र में खो न जाए। यह वर्तमान मानक उपकरणों की तुलना में तेज़, अधिक सटीक और चालाक हैकर्स को पकड़ने में बेहतर है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।