🤖 machine learning

DNS-GT: A Graph-based Transformer Approach to Learn Embeddings of Domain Names from DNS Queries

यह शोध पत्र DNS-GT प्रस्तुत करता है, जो एक नवीन स्व-पर्यवेक्षित (self-supervised) ट्रांसफार्मर-आधारित मॉडल है जो डोमेन वर्गीकरण और बॉटनेट डिटेक्शन जैसे कार्यों में मौजूदा बेसलाइन से बेहतर प्रदर्शन करने के लिए DNS क्वेरी अनुक्रमों से प्रासंगिक डोमेन नाम एम्बेडिंग सीखता है।

मूल लेखक: Massimiliano Altieri, Ronan Hamon, Roberto Corizzo, Michelangelo Ceci, Ignacio Sanchez

प्रकाशित 2026-03-13

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Massimiliano Altieri, Ronan Hamon, Roberto Corizzo, Michelangelo Ceci, Ignacio Sanchez

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक विशाल, व्यस्त हवाई अड्डे पर एक सुरक्षा गार्ड हैं। आपका काम नुकसान पहुँचाने से पहले शरारती तत्वों को पहचानना है। डिजिटल दुनिया में, यह "हवाई अड्डा" एक कंप्यूटर नेटवर्क है, और "यात्री" वे छोटे अनुरोध हैं जो कंप्यूटर वेबसाइटों को खोजने के लिए करते हैं (इन्हें DNS क्वेरी कहा जाता है)।

वर्षों से, सुरक्षा गार्ड (साइबर सुरक्षा प्रणालियाँ) दो मुख्य तरीकों पर निर्भर रहे हैं:

"वांटेड पोस्टर" दृष्टिकोण: वे जाँचते हैं कि क्या कोई यात्री किसी ज्ञात अपराधी के चेहरे से मेल खाता है (एक सिग्नेचर)। यदि वह मेल खाता है, तो उसे रोक लिया जाता है। लेकिन यह उन नए अपराधियों के खिलाफ विफल हो जाता है जिन्हें अभी तक पकड़ा नहीं गया है।
"संदिग्ध व्यवहार" दृष्टिकोण: वे अजीब व्यवहार करने वाले लोगों को देखते हैं। लेकिन पारंपरिक कंप्यूटर प्रोग्राम संदर्भ (context) को समझने में खराब होते हैं। वे किसी व्यक्ति को दौड़ने के लिए फ्लैग कर सकते हैं, यह समझे बिना कि वह केवल अपनी फ्लाइट के लिए लेट है, न कि किसी अपराध से भाग रहा है।

यह पेपर एक नए, सुपर-स्मार्ट सुरक्षा गार्ड DNS-GT को पेश करता है। यह कैसे काम करता है, यहाँ सरल भाषा में समझाया गया है:

1. समस्या: "शब्द" बनाम "वाक्य"

पुराने तरीके हर वेबसाइट अनुरोध को शब्दकोश में एक एकल शब्द की तरह मानते थे। उन्होंने सीखा कि "google.com" आमतौर पर अच्छा है और "bad-site.com" आमतौर पर बुरा है।

दोष: यह एक फिल्म को केवल व्यक्तिगत फ्रेम देखकर समझने की कोशिश करने जैसा है। आप कहानी को मिस कर देते हैं।
वास्तविकता: एक वेबसाइट केवल एक नाम नहीं है; यह एक बातचीत का हिस्सा है। यदि एक कंप्यूटर "google.com" के बाद "youtube.com" के लिए पूछता है, तो यह सामान्य है। लेकिन यदि वह "google.com" के बाद एक अजीब, रैंडम अक्षरों की स्ट्रिंग और फिर एक ज्ञात वायरस साइट के लिए पूछता है, तो यह एक संदिग्ध कहानी है।

2. समाधान: "सुपर-रीडर" (DNS-GT)

लेखकों ने DNS-GT बनाया है, जो एक अत्यंत उन्नत पाठक की तरह है जो न केवल शब्दों को याद करता है; बल्कि उनके पीछे की कहानी को भी समझता है।

यह दो शक्तिशाली उपकरणों का उपयोग करता है:

ट्रांसफॉर्मर (कॉन्टेक्स्ट मास्टर): यह उसी तकनीक का उपयोग करता है जो मेरे जैसे चैटबॉट्स के पीछे है। यह अनुरोधों के पूरे वाक्य को एक साथ देखता है। यह समझता है कि एक अनुरोध का अर्थ उसके पहले क्या आया था, इसके आधार पर बदल जाता है।
ग्राफ (रिलेशनशिप मैप): कल्पना कीजिए कि उन लोगों के बीच रेखाएँ खींचना जो एक दूसरे से बात कर रहे हैं। यह मॉडल संबंधित अनुरोधों के बीच रेखाएँ खींचता है, उन अनुरोधों को अनदेखा करते हुए जो बातचीत में फिट नहीं बैठते। यह केवल प्रासंगिक कनेक्शनों पर ध्यान केंद्रित करता है।

3. यह कैसे सीखता है: "खाली स्थान भरें" का खेल

आप सोच सकते हैं, "यह बिना किसी शिक्षक के कैसे सीखता है जो इसे बताता है कि क्या बुरा है?"
यह मॉडल "खाली स्थान भरें" (Fill-in-the-Blank) नामक एक खेल खेलता है।

सेटअप: कंप्यूटर मॉडल को एक सामान्य उपयोगकर्ता के वेबसाइट अनुरोधों की एक लंबी सूची फीड करता है।
चाल: मॉडल गुप्त रूप से एक अनुरोध को छिपा (मास्क) देता है।
चुनौती: मॉडल को उस छिपे हुए अनुरोध का अनुमान लगाना होता है, जो केवल सूची के अन्य अनुरोधों के आधार पर किया जाता है।
- उदाहरण: यदि सूची [facebook.com, instagram.com, <MASK>, whatsapp.com] है, तो मॉडल को अनुमान लगाना चाहिए कि <MASK> संभवतः messenger.com या इसके जैसा कुछ है।
परिणाम: इस खेल को वास्तविक डेटा के साथ लाखों बार खेलकर, मॉडल इंटरनेट व्यवहार के "व्याकरण" को सीख जाता है। यह सीख जाता है कि एक "सामान्य वाक्य" कैसा दिखता है।

4. अपराधियों को पकड़ना

प्रशिक्षण के बाद, मॉडल दो तरीकों से बुरे लोगों को पकड़ सकता है:

"स्थान से बाहर" डिटेक्टर: यदि कोई कंप्यूटर अचानक अनुरोधों की ऐसी सूची मांगता है जो एक साथ समझ में नहीं आती (जैसे कि रैंडम शब्द फेंके गए एक वाक्य के साथ), तो मॉडल भ्रमित हो जाता है। यह भ्रम एक रेड फ्लैग है। इसका मतलब है, "यह कहानी समझ में नहीं आ रही है; कोई झूठ बोल रहा है।"
बोटनेट हंटर: बोटनेट संक्रमित कंप्यूटरों की सेनाएँ हैं। वे अक्सर अजीब पैटर्न में एक-दूसरे से बात करते हैं। क्योंकि DNS-GT पूरे समूह के संदर्भ को समझता है, इसलिए यह पुराने तरीकों की तुलना में इन समन्वित, अप्राकृतिक पैटर्न को बहुत बेहतर तरीके से पहचान सकता है।

5. यह एक बड़ी बात क्यों है

"वांटेड पोस्टर" की आवश्यकता नहीं: इसे नए वायरस का नाम जानने के लिए भी उसे पकड़ने की ज़रूरत नहीं है। यह बस जानता है कि वायरस कहानी में "अजीब" व्यवहार कर रहा है।
गोपनीयता के अनुकूल: यह कच्चे डेटा से सीख सकता है बिना हर एक अनुरोध को "अच्छा" या "बुरा" लेबल किए बिना (जो करना कठिन और महंगा है)।
अनुकूलन योग्य: ठीक वैसे ही जैसे एक मानव गार्ड अनुभव से सीखता है, इस मॉडल को बोटनेट या फिशिंग स्कैम जैसे विशिष्ट खतरों को पकड़ने के लिए बहुत तेज़ी से फाइन-ट्यून किया जा सकता है।

निचोड़

DNS-GT को एक ऐसे सुरक्षा गार्ड के रूप में समझें जिसने लाइब्रेरी की हर किताब पढ़ ली है और वह तुरंत बता सकता है कि कौन सा वाक्य झूठ है, भले ही झूठा किसी नए नाम का उपयोग कर रहा हो। यह साइबर सुरक्षा को "नामों की सूची की जाँच करने" से बदलकर "कहानी समझने" की ओर ले जाता है, जिससे साइबर अपराधियों के लिए सादे दिखते हुए छिपना बहुत कठिन हो जाता है।

यहाँ शोध पत्र "DNS-GT: A Graph-based Transformer Approach to Learn Embeddings of Domain Names from DNS Queries" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

नेटवर्क घुसपैठ पहचान प्रणाली (NIDS) साइबर सुरक्षा के लिए महत्वपूर्ण हैं, लेकिन पारंपरिक मशीन लर्निंग (ML) विधियों पर निर्भर रहने के कारण उन्हें महत्वपूर्ण सीमाओं का सामना करना पड़ता है:

डेटा निर्भरता (Data Dependency): मौजूदा ML मॉडल अक्सर लेबल किए गए डेटा की बड़ी मात्रा पर अत्यधिक निर्भर होते हैं, जो साइबर सुरक्षा के संदर्भ में गोपनीयता संबंधी चिंताओं के कारण दुर्लभ और महंगी होती है।
सीमित सामान्यीकरण (Limited Generalization): पारंपरिक तरीके नए हमलों या विकसित होते खतरों के प्रति सामान्यीकरण करने में संघर्ष करते हैं।
संदर्भ अंधता (Contextual Blindness): डोमेन नेम सिस्टम (DNS) ट्रैफ़िक के लिए वर्तमान एम्बेडिंग विधियाँ (जैसे Word2Vec वेरिएंट) डोमेन नामों को अलग-थलग टोकन के रूप में मानती हैं। वे स्थानीय सह-उपस्थिति पैटर्न (co-occurrence patterns) को एकत्रित करती हैं लेकिन एक ही होस्ट द्वारा उत्पन्न अनुक्रमिक DNS प्रश्नों के बीच जटिल संदर्भगत निर्भरताओं (contextual dependencies) और अर्थ संबंधी संबंधों को पकड़ने में विफल रहती हैं।
स्थिर विशेषताएँ (Static Features): नियम-आधारित सिस्टम और शुरुआती ML दृष्टिकोण हस्तनिर्मित विशेषताओं (handcrafted features) पर निर्भर करते हैं जो हमले के वेक्टर विकसित होने के साथ ही पुराने हो जाते हैं।

लेखकों का तर्क है कि जबकि DNS ट्रैफ़िक दुर्भावनापूर्ण गतिविधि (जैसे बॉटनेट और फिशिंग) का पता लगाने के लिए एक समृद्ध, उच्च-मात्रा वाला डेटा स्रोत प्रदान करता है, वर्तमान मॉडल क्वेरी अनुक्रमों के कालिक (temporal) और संरचनात्मक संदर्भ (structural context) का प्रभावी ढंग से लाभ नहीं उठाते हैं।

2. कार्यप्रणाली: DNS-GT (Methodology: DNS-GT)

लेखक DNS-GT प्रस्तावित करते हैं, जो कच्चे, बिना लेबल वाले DNS डेटा से डोमेन नामों के मजबूत, संदर्भ-जागरूक एम्बेडिंग सीखने के लिए ट्रांसफॉर्मर (Transformers) और ग्राफ न्यूरल नेटवर्क (GNNs) को संयोजित करने वाला एक नवीन आर्किटेक्चर है।

A. डेटा प्रीप्रोसेसिंग और अनुक्रमण (Data Preprocessing & Sequencing)

इनपुट (Input): कच्चे DNS ट्रैफ़िक (PCAP फ़ाइलों) को केवल सक्रिय एंड-यूज़र होस्ट से 'A' रिकॉर्ड अनुरोधों को शामिल करने के लिए फ़िल्टर किया जाता है।
अनुक्रमण (Sequencing): क्वेरीज़ को होस्ट IP द्वारा समूहीकृत किया जाता है और कालानुक्रमिक रूप से व्यवस्थित किया जाता है। शोध पत्र तीन अनुक्रमण रणनीतियों का मूल्यांकन करता है:
1. निश्चित-लंबाई (Fixed-length): निश्चित आकार की स्लाइडिंग विंडो।
2. ग्रिडी टाइम-बेस्ड (Greedy Time-based): अर्थ संबंधी संबद्धता सुनिश्चित करने के लिए समय थ्रेसहोल्ड ( $\Delta_{intra}$ , $\Delta_{inter}$ ) के आधार पर क्वेरीज़ को समूहीकृत करना।
3. क्लस्टरिंग टाइम-बेस्ड (Clustering Time-based): आउटलेर्स के प्रति मजबूती प्रदान करने के लिए कालानुक्रमिक रूप से निकटवर्ती क्वेरीज़ को क्लस्टर करने के लिए DBScan का उपयोग करना।
प्रतिनिधित्व (Representation): प्रत्येक क्वेरी $q_i$ एक जोड़ा $(h_i, d_i)$ है, जो होस्ट और डोमेन का प्रतिनिधित्व करती है।

B. मॉडल आर्किटेक्चर (Model Architecture)

DNS-GT एक मास्क्ड लैंग्वेज मॉडल (MLM) है जिसे नेटवर्क ट्रैफ़िक के लिए अनुकूलित किया गया है, जिसमें मानक सेल्फ-अटेंशन के स्थान पर ग्राफ अटेंशन नेटवर्क (GAT) का उपयोग किया गया है।

इनपुट एम्बेडिंग्स (Input Embeddings):
- होस्ट और डोमेन के अलग-अलग सीखने योग्य एम्बेडिंग्स ( $e^H$ और $e^D$ ) होते हैं।
- इन्हें एक भारित योग (weighted sum) के माध्यम से संयोजित किया जाता है: $e_{q_i} = \omega \cdot e^D_{d_i} + (1-\omega) \cdot e^H_{h_i}$ ।
- गोपनीयता विशेषता (Privacy Feature): $\omega=1$ सेट करने से मॉडल को पूरी तरह से होस्ट जानकारी को अनदेखा करने की अनुमति मिलती है।
ग्राफ अटेंशन मैकेनिज्म (Graph Attention Mechanism):
- मानक ट्रांसफॉर्मर के विपरीत, जो पूरी तरह से जुड़े हुए अनुक्रम (fully connected sequence) को मानते हैं, DNS-GT मल्टी-हेड ग्राफ अटेंशन नेटवर्क (GAT) का उपयोग करता है।
- ज्ञान-आधारित टोपोलॉजी (Knowledge-Based Topologies): मॉडल टोकन के बीच संबंध को परिभाषित करने के लिए एडजेसेंसी मैट्रिसेस ( $A$ ) को स्वीकार करता है। बेसलाइन में, एक अनुक्रम में सभी डोमेन टोकन जुड़े हुए होते हैं, जबकि <PAD> टोकन विच्छेदित (disconnected) होते हैं।
- परम्यूटेशन इक्विवैरिएंस (Permutation Equivariance): मॉडल को अनुक्रम के भीतर टोकन के सटीक क्रम के प्रति अपरिवर्तनीय (invariant) बनाया गया है (मानक ट्रांसफॉर्मर के विपरीत जो पोजीशनल एनकोडिंग का उपयोग करते हैं)। यह इसे नेटवर्क टाइमिंग गड़बड़ी और "बर्स्ट" व्यवहारों के प्रति मजबूत बनाता है जहाँ सटीक क्रम के बजाय क्वेरी का सेट अधिक महत्वपूर्ण होता है।
प्री-ट्रेनिंग (Self-Supervised):
- मॉडल को मास्क्ड लैंग्वेज मॉडलिंग (MLM) का उपयोग करके प्री-ट्रेन किया जाता है।
- उद्देश्य: अनुक्रम में डोमेन टोकन को बेतरतीब ढंग से मास्क करना और आसपास की क्वेरीज़ के संदर्भ और ग्राफ संरचना का उपयोग करके उन्हें पुनर्गठित करने के लिए मॉडल को प्रशिक्षित करना।
- यह मॉडल को बिना लेबल वाले डेटा से DNS गतिविधि के "व्याकरण" को सीखने की अनुमति देता है।
फाइन-ट्यूनिंग (Fine-tuning):
- प्री-ट्रेन्ड मॉडल को एक क्लासिफिकेशन हेड जोड़कर और लेबल किए गए डेटा पर प्रशिक्षित करके विशिष्ट डाउनस्ट्रीम कार्यों (जैसे वर्गीकरण) के लिए फाइन-्यून किया जा सकता है।

3. प्रमुख योगदान (Key Contributions)

नवीन आर्किटेक्चर: DNS-GT का परिचय, जो विशेष रूप से DNS ट्रैफ़िक विश्लेषण के लिए ट्रांसफॉर्मर-आधारित सेल्फ-अटेंशन को ग्राफ न्यूरल नेटवर्क के साथ एकीकृत करने वाला पहला मॉडल है।
संदर्भ-जागरूक एम्बेडिंग्स (Context-Aware Embeddings): मॉडल ऐसे प्रतिनिधित्व सीखता है जो डोमेन और उसके आसपास के क्वेरी अनुक्रम के बीच अर्थ संबंधी संबंध को पकड़ते हैं, न कि डोमेन को अलग-थलग मानते हैं।
अनसुपरवाइज्ड प्री-ट्रेनिंग: यह प्रदर्शित करता है कि विशाल मात्रा में बिना लेबल वाले DNS डेटा से उच्च-गुणवत्ता वाली एम्बेडिंग सीखी जा सकती है, जिससे दुर्लभ लेबल किए गए डेटासेट पर निर्भरता कम होती है।
व्यापक मूल्यांकन: डोमेन वर्गीकरण और बॉटनेट डिटेक्शन को कवर करने वाले वास्तविक दुनिया के डेटासेट (4,000+ होस्ट, ~13M क्वेरीज़) पर व्यापक प्रयोग।
ओपन सोर्स: कोड और कार्यप्रणाली समुदाय के लिए उपलब्ध कराई गई है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने दो कार्यों पर Word2Vec (CBOW और Skip-Gram) बेसलाइनों के विरुद्ध DNS-GT का मूल्यांकन किया: डोमेन वर्गीकरण (दुर्भावनापूर्ण डोमेन की पहचान करना) और बॉटनेट डिटेक्शन।

डेटासेट: TI-2016 डेटासेट (कैंपस नेटवर्क ट्रैफ़िक के 10 दिन)।
मेट्रिक्स: ROC-AUC, F1-Score।

मुख्य निष्कर्ष:

बेहतर प्रदर्शन: DNS-GT ने एंड-टू-एंड (End-to-End) वर्गीकरण में Word2Vec बेसलाइनों को लगातार पछाड़ दिया।
- डेंसिटी स्ट्रैटेजी (सर्वश्रेष्ठ): DNS-GT ने AUC 0.848 और F1 0.654 प्राप्त किया, जो Word2Vec-CBOW (AUC 0.779) और Word2Vec-SkipGram (AUC 0.656) से काफी बेहतर था।
संदर्भ संवेदनशीलता (Context Sensitivity): मॉडल ने सफलतापूर्वक प्रदर्शित किया कि डोमेन का वर्गीकरण स्कोर उसके संदर्भ के आधार पर बदल जाता है। उदाहरण के लिए, एक सौम्य (benign) डोमेन जैसे download.cdn.mozilla.net को संदिग्ध के रूप में सही ढंग से चिह्नित किया गया जब वह ज्ञात दुर्भावनापूर्ण ट्रैकिंग डोमेन के अनुक्रम में दिखाई दिया, जबकि अकेले होने पर इसे सौम्य वर्गीकृत किया गया था।
एब्लेशन स्टडी (Ablation Study): अटेंशन मैकेनिज्म को हटाने से प्रदर्शन में भारी गिरावट आई (AUC 0.848 से गिरकर 0.410 हो गया), जो यह सिद्ध करता है कि प्रासंगिक मॉडलिंग ही सफलता का मुख्य चालक है।
बॉटनेट डिटेक्शन: DNS-GT ने 0.877 की सटीकता और 0.970 का AUC प्राप्त किया, जो बेसलाइनों के बराबर या उससे अधिक है।
ट्रेड-ऑफ़्स (Trade-offs): अपने जटिल आर्किटेक्चर (24M पैरामीटर्स बनाम Word2Vec के 15M) के कारण DNS-GT को उच्च कंप्यूटिंग संसाधनों (प्रशिक्षण समय ~1,900 मिनट बनाम ~200-400 मिनट) की आवश्यकता होती है, लेकिन प्रदर्शन में वृद्धि महत्वपूर्ण सुरक्षा अनुप्रयोगों के लिए इस लागत को उचित ठहराती है।

5. महत्व और भविष्य का कार्य (Significance and Future Work)

साइबर सुरक्षा के लिए फाउंडेशन मॉडल्स: यह शोध पत्र बड़े भाषा मॉडल (LLM) के प्रतिमानों (विशाल बिना लेबल वाले डेटा पर प्री-ट्रेनिंग + फाइन-ट्यूनिंग) का उपयोग करने के लिए एक मार्ग स्थापित करता है।
गोपनीयता-संरक्षित (Privacy-Preserving): आर्किटेक्चर होस्ट IP जानकारी को बाहर निकालने की अनुमति देता है, जो पता लगाने की प्रभावकारिता बनाए रखते हुए गोपनीयता संबंधी चिंताओं को संबोधित करता है।
स्केलेबिलिटी (Scalability): यह दृष्टिकोण बड़े डेटासेट के लिए स्केलेबल है और इसे वर्गीकरण जैसे विभिन्न डाउनस्ट्रीम कार्यों के अलावा सत्र प्रोफाइलिंग (session profiling) और विसंगति का पता लगाने (anomaly detection) के लिए अनुकूलित किया जा सकता है।
भविवी दिशाएँ: लेखक स्केलिंग लॉ (scaling laws) का परीक्षण करने के लिए बड़े डेटासेट का उपयोग करने, अधिक जटिल ग्राफ टोपोलॉजी (जैसे डोमेन समानता पर आधारित) को एकीकृत करने और अन्य नेटवर्क प्रोटोकॉल पर मॉडल लागू करने की संभावना तलाशने का सुझाव देते हैं।

निष्कर्षतः, DNS-GT स्थिर विशेषता निष्कर्षण (static feature extraction) से आगे बढ़कर गतिशील, संदर्भ-जागरूक प्रतिनिधित्व सीखने (dynamic, context-aware representation learning) की ओर बढ़ते हुए नेटवर्क सुरक्षा में एक महत्वपूर्ण प्रगति का प्रतिनिधित्व करता है, जो प्रभावी रूप से NLP तकनीकों और साइबर सुरक्षा खतरे का पता लगाने के बीच के अंतर को पाटता है।