Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs
यह शोध पत्र एक नवीन उन्नत निरंतर खतरा (Advanced Persistent Threat) पहचान पद्धति प्रस्तावित करता है जो ऑटोएनकोडर द्वारा संसाधित सिस्टम लॉग्स के लार्ज लैंग्वेज मॉडल-जनित सिमेंटिक एम्बेडिंग्स का लाभ उठाती है, जो DARPA ट्रांसपेरेंट कंप्यूटिंग डेटासेट पर पारंपरिक अनसुपरवाइज्ड बेसलाइन की तुलना में बेहतर प्रदर्शन प्रदर्शित करती है क्योंकि यह सूक्ष्म और धीमी (low-and-slow) हमलावर व्यवहारों के सिमेंटिक इरादे को प्रभावी ढंग से पकड़ती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
एक विशाल, हलचल भरे शहर की कल्पना करें जहाँ हर सेकंड लाखों चीजें होती हैं: लोग चलते हैं, कारें चलती हैं, लाइटें जलती और बुझती हैं, और दरवाजे खुलते हैं। डिजिटल दुनिया में, यह शहर एक कंप्यूटर नेटवर्क है, और ये "होने वाली चीजें" सिस्टम लॉग्स (system logs) हैं। ये लॉग्स शहर के सुरक्षा कैमरों और पुलिस रिपोर्टों की तरह हैं, जो किसी प्रोग्राम द्वारा की गई हर गतिविधि को रिकॉर्ड करते हैं।
समस्या: "भूसे के ढेर में सुई" जो भूसे जैसी ही दिखती है
आमतौर पर, सुरक्षा प्रणालियाँ अजीब या दुर्लभ चीजों को पहचानकर "बुरे लोगों" को ढूंढती हैं। लेकिन इस कहानी के बुरे लोग एडवांस्ड पर्सिस्टेंट थ्रेट्स (APTs) हैं। इन्हें एक शोर मचाने वाले बैंक लुटेरे के रूप में नहीं, बल्कि एक मास्टर जासूस के रूप में सोचें।
- वे घुसपैठ नहीं करते; वे चुपके से अंदर आते हैं।
- वे भागते नहीं हैं; वे धीरे और शांति से चलते हैं।
- वे अपने गलत कामों को करने के लिए शहर के अपने ही औजारों का उपयोग करते हैं (जैसे कि एक सफाईकर्मी हथियार छिपाने के लिए मॉप की बाल्टी का उपयोग करता है)।
क्योंकि ये जासूस सामान्य लोगों की तरह व्यवहार करते हैं, इसलिए पुराने सुरक्षा तरीके (जो केवल शब्दों की आवृत्ति या सांख्यिकीय विसंगतियों को देखते हैं) अक्सर उन्हें चूक जाते हैं। यह भीड़ में लाल टोपी पहने लोगों को गिनकर एक जासूस को खोजने जैसा है। यदि जासूस भी लाल टोपी पहनता है, तो आप उसे मिस कर देते हैं।
समाधान: एक "अनुवादक" और एक "मेमोरी मिरर"
लेखकों ने इस पेपर में MPNet-AE नामक एक नया सिस्टम बनाया है। उन्होंने इन जासूसों को पकड़ने के लिए दो मुख्य उपकरणों का उपयोग किया:
- अनुवादक (The LLM/MPNet):
कच्चे, अव्यवस्थित कंप्यूटर कोड को देखने के बजाय, सिस्टम पहले एक अनुवादक के रूप में कार्य करता है। यह शुष्क, तकनीकी लॉग्स (जैसे, "Process 1054 started /bin/bash") को प्राकृतिक अंग्रेजी वाक्यों में बदल देता है जिन्हें एक इंसान पढ़ सके।
- उपमा: कल्पना करें कि किराने के सामान की एक सूची को एक कहानी में बदलना: "शेफ ने चाकू उठाया और प्याज काटना शुरू किया।"
- फिर, यह एक सुपर-स्मार्ट AI मस्तिष्क (जिसे MPNet कहा जाता है, जो एक प्रकार का लार्ज लैंग्वेज मॉडल है) का उपयोग करके उस कहानी के अर्थ को समझता है। यह प्रत्येक क्रिया के लिए एक "सिमेंटिक फिंगरप्रिंट" (semantic fingerprint) बनाता है। यह फिंगरप्रिंट क्रिया के शब्दों को ही नहीं, बल्कि क्रिया के इरादे (intent) को भी कैप्चर करता है।
- मेमोरी मिरर (The Autoencoder):
इसके बाद, सिस्टम एक ऑटोएनकोडर (Autoencoder) नामक मशीन लर्निंग मॉडल का उपयोग करता है। इसे एक ऐसे छात्र के रूप में सोचें जिसने केवल "अच्छे व्यवहार" का अध्ययन किया है।
- छात्र को हजारों सुरक्षित शहर की गतिविधियों ( "benign" डेटा) के उदाहरण दिखाए जाते हैं।
- छात्र इन पैटर्न को पूरी तरह से याद करने की कोशिश करता है।
- जब छात्र कोई नई घटना देखता है, तो वह उसे अपनी स्मृति से "पुनर्निर्मित" (reconstruct) करने का प्रयास करता है।
- पकड़: यदि घटना सामान्य है, तो छात्र इसे पूरी तरह से पुन: निर्मित कर सकता है। लेकिन यदि कोई घटना किसी चालाक जासूस की है (भले ही सतह पर वह सामान्य दिखे), तो छात्र भ्रमित हो जाता है और इसे सटीक रूप से पुन: निर्मित करने में विफल रहता है।
- यह "पुनर्निर्माण में विफलता" ही अलार्म की घंटी है। जितनी बड़ी गलती होगी, जासूस होने की संभावना उतनी ही अधिक होगी।
परीक्षण: डिजिटल अपराध स्थल
शोधकर्ताओं ने इस सिस्टम का परीक्षण DARPA ट्रांसपेरेंट कंप्यूटिंग प्रोजेक्ट के डेटा का उपयोग करके किया। यह एक हमले के अधीन शहर का एक विशाल, वास्तविक सिमुलेशन है, जिसे "रेड टीम्स" (नैतिक हैकर्स) द्वारा बनाया गया है ताकि देखा जा सके कि क्या वे इसमें घुसपैठ कर सकते हैं।
- डेटा अविश्वसनीय रूप से अव्यवस्थित और असंतुलित था: लाखों सामान्य क्रियाओं में से केवल एक बहुत छोटा हिस्सा (0.004% से भी कम) वास्तविक हमले थे।
- उन्होंने अपने नए "अनुवादक + मिरर" सिस्टम की तुलना तीन पुराने तरीकों से की:
- आइसोलेशन फॉरेस्ट (Isolation Forest): भूसे के ढेर को हिलाकर सुई खोजने जैसा।
- OC-SVM: सामान्य चीजों के चारों ओर एक तंग घेरा बनाने जैसा और यह कहना कि इसके बाहर की हर चीज बुरी है।
- PCA: किसी 3D वस्तु को 2D में दबाने जैसा ताकि उसका आकार देखा जा सके।
परिणाम
नया सिस्टम भारी अंतर से जीता।
- "अनुवादक" ने काम किया: लॉग्स के अर्थ को समझकर, सिस्टम एक सिस्टम एडमिनिस्ट्रेटर द्वारा पासवर्ड रीसेट करने (सामान्य) और एक हैकर द्वारा ठीक उसी काम को दुर्भावनापूर्ण इरादे के साथ करने (असामान्य) के बीच अंतर कर सका।
- "मिरर" ने जासूसों को पकड़ा: सिस्टम ने पुराने तरीकों की तुलना में बहुत अधिक सटीकता (जिसे AUC-ROC स्कोर कहा जाता है) के साथ हमलों की पहचान की।
- जीत का कारण: पुराने तरीके उंगलियों के निशान और उनकी रेखाओं को गिनने जैसे थे। नया तरीका उस कहानी को देखता था जो उंगली का निशान बताता है। भले ही जासूसों ने खुद को मिलाने की कोशिश की, लेकिन उनकी "कहानी" सामान्य शहर की "कहानी" से मेल नहीं खाई, और सिस्टम ने उन्हें पकड़ लिया।
सारांश में
यह पेपर दिखाता है कि सामने छिपे हुए मास्टर जासूस को पकड़ने के लिए, आप केवल चीजों को गिन नहीं सकते। आपको क्रियाओं के पीछे की कहानी को समझना होगा। कंप्यूटर लॉग्स को अर्थपूर्ण भाषा में बदलकर और उन कहानियों को पकड़ने के लिए एक "मेमोरी मिरर" का उपयोग करके जो फिट नहीं बैठतीं, हम इन गुप्त, लंबे समय तक चलने वाले साइबर हमलों का पहले की तुलना में बहुत बेहतर पता लगा सकते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।