A Consensus-Bayesian Framework for Detecting Malicious Activity in Enterprise Directory Access Graphs

यहाँ शोध पत्र "A Consensus-Bayesian Framework for Detecting Malicious Activity in Enterprise Directory Access Graphs" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

एंटरप्राइज़ सुरक्षा खतरे, विशेष रूप से आंतरिक खतरे (insider threats) और व्यवहार संबंधी विसंगतियां (behavioral anomalies), तेजी से परिष्कृत होते जा रहे हैं। पारंपरिक यूजर एंड एंटिटी बिहेवियर एनालिटिक्स (UEBA) अक्सर स्थिर बेसलाइन या ऐतिहासिक डेटा पर निर्भर करते हैं, जिसके लिए उपयोगकर्ता के व्यवहार में बदलाव के साथ बार-बार रिट्रेनिंग की आवश्यकता होती है। इसके अलावा, मौजूदा विधियाँ अक्सर उपयोगकर्ता-निर्देशिका (user-directory) संबंधों के बहु-स्तरीय पदानुक्रमित ढांचे (जैसे साझा रिपॉजिटरी तक पहुँचने वाली टीमें) का पूर्ण लाभ उठाने में विफल रहती हैं।

मुख्य चुनौती एक ऐसा अनुकूलन योग्य डिटेक्शन मॉडल विकसित करने की है जो:

• उपयोगकर्ताओं और निर्देशिकाओं (directories) के बीच तार्किक निर्भरता को एक गतिशील ग्राफ के रूप में मॉडल करे।
• केवल स्थिर थ्रेशोल्ड (static thresholds) पर निर्भर रहने के बजाय सामान्य सहमति व्यवहार (consensus behavior) से विचलन का पता लगाए।
• वास्तविक समय में अनिश्चितता को परिमाणित (quantify) करे ताकि सौहार्दपूर्ण व्यवहारिक बदलावों (जैसे भूमिका परिवर्तन) और दुर्भावनापूर्ण तार्किक गड़बड़ी (malicious logical perturbations) के बीच अंतर किया जा सके।

2. कार्यप्रणाली (Methodology)

लेखक एक कंसेंसस-बायेसियन फ्रेमवर्क (Consensus-Bayesian Framework) प्रस्तावित करते हैं जो एंटरप्राइज़ एक्सेस ग्राफ में विसंगतियों को मॉडल करने और उनका पता लगाने के लिए ओपिनियन डायनेमिक्स (Opinion Dynamics) सिद्धांत को बायेसियन इन्फरेंस (Bayesian Inference) के साथ जोड़ता है।

A. ग्राफ मॉडलिंग (Graph Modeling)

सिस्टम एंटरप्राइज़ वातावरण को एक बहु-स्तरीय इंटरेक्शन ग्राफ $G(W, C)$ के रूप में मॉडल करता है:

• डायरेक्टरी समानता ग्राफ ($G[W]$): एक रो-स्टोकेस्टिक मैट्रिक्स $W$ निर्देशिकाओं (विषयों) के बीच सामग्री या व्यवहार-आधारित समानता को कैप्चर करता है।
• यूजर-डिपेंडेंसी ग्राफ ($G[C_i]$): प्रत्येक निर्देशिका $D_i$ के लिए, एक मैट्रिक्स $C_i$ उपयोगकर्ताओं के बीच तार्किक निर्भरता को एनकोड करता है।
  • उपयोगकर्ताओं को स्ट्रॉन्गली कनेक्टेड कंपोनेंट्स (SCCs) में समूहीकृत किया जाता है, जो विकास टीमों (development teams) जैसे प्राकृतिक क्लस्टर का प्रतिनिधित्व करते हैं।
  • SCCs को क्लोज्ड (Closed) (केवल आंतरिक प्रभाव) या ओपन (Open) (बाहरी प्रभाव प्राप्त करने वाले) के रूप में वर्गीकृत किया जाता है।
  • एक्सेस पैटर्न (रीड/राइट फ्रीक्वेंसी) के आधार पर मैट्रिक्स $C_i$ को गतिशील रूप से अपडेट किया जाता है।

B. ओपिनियन डायनेमिक्स फॉर्मूलेशन (Opinion Dynamics Formulation)

यह फ्रेमवर्क उपयोगकर्ता के "मतों" (एक्सेस व्यवहार) के विकास को मॉडल करने के लिए साहित्य (विशेष रूप से ये अल. [9]) से कंसेंसस थ्योरम्स को अनुकूलित करता है:

• अभिसरण स्थितियाँ (Convergence Conditions): स्थिर स्थितियों के तहत, क्लोज्ड SCCs के भीतर मत एक स्थिर अवस्था (steady state) की ओर अभिसरित होते हैं।
• विचलन ट्रिगर्स (Divergence Triggers): विसंगतियों को तार्किक गड़बड़ी (जैसे, एक उपयोगकर्ता अचानक उस निर्देशिका तक पहुँचता है जिससे उसकी कोई तार्किक निर्भरता नहीं है, या अपने सेल्फ-डिपेंडेंसी वेट को बदल देता है) के रूप में मॉडल किया जाता है।
• लागू थ्योरम्स (Theorems Applied):
  • थ्योरम 2/3: क्लोज्ड SCCs या सिंगलटन टॉपिक्स के लिए अभिसरण की भविष्यवाणी करता है।
  • थ्योरम 4: बाहरी निर्भरताओं वाले ओपन SCCs को संभालता है।
  • विफलता मोड (Failure Modes): यदि तार्किक संरचना बदल जाती है (जैसे, एक SCC के एजेंटों के बीच $C_i$ मैट्रिक्स भिन्न होते हैं) या बाहरी इनपुट असंगत होते हैं, तो सिस्टम विचलित हो जाता है और कंसेंसस प्राप्त करने में विफल रहता है।

C. विसंगति पहचान तंत्र (Anomaly Detection Mechanism)

डिटेक्शन पाइपलाइन तीन चरणों में कार्य करती है:

1. SCC डिकंपोजिशन: सिस्टम लॉजिक मैट्रिसेस को रिकर्सिव रूप से SCCs में विघटित करता है और निर्भरता संरचनाओं के आधार पर लागू थ्योरम्स असाइन करता है।
2. वेरिएंस एक सिग्नल के रूप में (Variance as a Signal): सिस्टम एजेंटों के बीच स्केल्ड ओपिनियन वेरिएंस ($\Delta v$) की निगरानी करता है।
   • सामान्य संचालन: कम, स्थिर वेरिएंस।
   • विसंगति: वेरिएंस में अचानक उछाल संरचनात्मक असहमति या तर्क विसंगति का संकेत देता है।
3. बायेसियन स्कोरिंग: अनिश्चितता को परिमाणित करने के लिए, एक बायेसियन अपडेट मैकेनिज्म एनोमली स्कोर $\pi_t$ की गणना करता है:
   $$\pi_t = \frac{L \cdot \pi_{t-1}}{L \cdot \pi_{t-1} + (1-L)(1-\pi_{t-1})}$$
   • लाइक्लीहुड ($L$): वेरिएंस शिफ्ट ($\Delta v$) के एक्सपोनेंशियल मैपिंग से प्राप्त होता है।
   • प्रायर ($\pi_{t-1}$): या तो स्टेटिक (Static) (निश्चित) हो सकता है या ऑनलाइन (Online) (रिकर्सिव रूप से अपडेट होने वाला), जो सिस्टम को संचयी विचलन (cumulative divergence) के प्रति अधिक संवेदनशील बनाता है।

3. मुख्य योगदान (Key Contributions)

• नया फ्रेमवर्क: क्लाउड सुरक्षा के लिए UEBA के साथ ओपिनियन डायनेमिक्स (जो आमतौर पर सोशल नेटवर्क में उपयोग किया जाता है) को जोड़ने वाला पहला कार्य, जहाँ निर्देशिकाओं को "विषयों" (topics) और उपयोगकर्ताओं को "एजेंटों" के रूप में माना जाता है।
• सैद्धांतिक गारंटी: "सामान्य" अवस्था को परिभाषित करने के लिए औपचारिक अभिसरण थ्योरम्स का उपयोग करता है, जिससे विसंगति का पता लगाना केवल सांख्यिकीय आउटलेर्स के बजाय कंसेंसस फेलियर का पता लगाने का मामला बन जाता है।
• डायनेमिक बायेसियन स्कोरिंग: एक अनुकूलन योग्य स्कोरिंग मैकेनिज्म पेश करता है जो समय के साथ विकसित होता है, जिससे क्षणिक शोर (transient noise) और निरंतर दुर्भावनापूर्ण संरचनात्मक बदलावों के बीच अंतर किया जा सके।
• बहु-स्तरीय ग्राफ विश्लेषण: उपयोगकर्ता-निर्देशिका इंटरैक्शन के पदानुक्रम को स्पष्ट रूप से मॉडल करता है, जो स्थानीय (यूजर-टू-यूजर) और वैश्विक (डायरेक्टरी-टू-डायरेक्टरी) निर्भरताओं को कैप्चर करता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने सिंथेटिक सिमुलेशन का उपयोग करके अपने फ्रेमवर्क को मान्य किया:

• वैलिडेशन: एक मौलिक ओपिनियन डायनेमिक्स पेपर [10] के परिणामों को सफलतापूर्वक पुनरुत्पादित किया, जिससे अभिसरण और विचलन तर्क की शुद्धता की पुष्टि हुई।
• एनोमली इंजेक्शन: समय $T=5$ पर एक हमले का अनुकरण किया गया जहाँ एक SCC (D1–D3) के उपयोगकर्ताओं ने एक अलग SCC (D4–D5) के उपयोगकर्ताओं को ट्यूनेबल वेट्स के साथ प्रभावित करना शुरू कर दिया।
  • अवलोकन: जैसे-जैसे प्रभाव भार ($w_t$) बढ़ा, सिस्टम का ओपिनियन वेरिएंस बढ़ गया और बायेसियन एनोमली स्कोर ऊपर चला गया।
  • स्टेटिक बनाम ऑनलाइन प्रायर: ऑनलाइन प्रायर दृष्टिकोण ने स्टेटिक प्रायर की तुलना में विसंगतियों का जल्दी पता लगाया और कम-भार वाले परिवर्तनों के प्रति अधिक तीव्रता से प्रतिक्रिया दी, क्योंकि स्टेटिक प्रायर जल्दी संतृप्त (saturate) हो जाता था।
• मजबूती (Robustness): सिस्टम ने तार्किक विसंगतियों (जैसे $C_i$ मैट्रिसेस में परिवर्तन) के प्रति उच्च संवेदनशीलता प्रदर्शित की, भले ही टोपोलॉजिकल ग्राफ संरचना दृश्य रूप से समान रही हो।

5. महत्व और भविष्य का कार्य (Significance and Future Work)

महत्व:
यह कार्य स्थिर बेसलाइनों से आगे बढ़कर आंतरिक खतरों का पता लगाने के लिए एक सक्रिय, सैद्धांतिक रूप से आधारित विधि प्रदान करता है। सुरक्षा विसंगतियों को एक तार्किक नेटवर्क में "कंसेंसस फेलियर" के रूप में फ्रेम करके, यह उन सूक्ष्म व्यवहारिक बदलावों का पता लगाने का एक मजबूत तरीका प्रदान करता है जिन्हें पारंपरिक ML मॉडल मिस कर सकते हैं। बायेसियन घटक अनिश्चितता परिमाणीकरण की एक महत्वपूर्ण परत जोड़ता है, जो गतिशील एंटरप्राइज़ वातावरण में फाल्स पॉजिटिव को कम करने के लिए आवश्यक है।

चुनौतियां और अगले कदम:

• स्केलेबिलिटी: वर्तमान मैट्रिक्स-आधारित सिमुलेशन हजारों उपयोगकर्ताओं के लिए कम्प्यूटेशनल रूप से गहन हैं; भविष्य के कार्य के लिए अनुकूलन (जैसे, लेजी अपडेट, डिस्ट्रिब्यूटेड प्रोसेसिंग) की आवश्यकता है।
• फाल्स पॉजिटिव: विसंगतियों के प्रति संवेदनशीलता और वैध भूमिका परिवर्तनों (जैसे, टीम ट्रांसफर) के प्रति सहनशीलता के बीच संतुलन बनाना एक चुनौती बनी हुई है।
• एकीकरण: भविष्य की योजनाओं में संगठनात्मक संदर्भ (भूमिकाएं, संवेदनशीलता स्तर) को एकीकृत करना, व्याख्यात्मकता उपकरण (एनालॉग सोर्स की ट्रैसेबिलिटी) विकसित करना, और इस फ्रेमवर्क को SIEM/UEBA सिस्टम के लिए प्लग-इन के रूप में पैकेज करना शामिल है।

निष्कर्षतः, यह शोध पत्र एंटरप्राइज़ सुरक्षा के लिए एक कठोर गणितीय दृष्टिकोण प्रस्तुत करता है, जो एक्सेस लॉग्स को एक गतिशील ओपिनियन नेटवर्क में बदल देता है जहाँ दुर्भावनापूर्ण गतिविधि को तार्किक सहमति (logical consensus) के मौलिक टूटने के रूप में पहचाना जाता है।