ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance
प्रोहंटर (ProHunter) एक प्लेटफॉर्म-स्वतंत्र APT हंटिंग सिस्टम है जो सिमेंटिक एब्स्ट्रैक्शन (semantic abstraction), ह्यूरिस्टिक-ड्रिवन ग्राफ सैंपलिंग (heuristic-driven graph sampling) और एडेप्टिव फीचर एनहांसमेंट (adaptive feature enhancement) को नियोजित करके मौजूदा प्रोवेनेंस-आधारित दृष्टिकोणों की सीमाओं को संबोधित करता है ताकि बड़े पैमाने के प्रोवेनेंस डेटा को कुशलतापूर्वक संग्रहीत किया जा सके, हमले के व्यवहारों को सटीक रूप से खंडित किया जा सके, और CTI रिपोर्ट एवं सिस्टम लॉग के बीच के सिमेंटिक अंतराल को पाटा जा सके, जिससे यह दक्षता और सटीकता दोनों में अत्याधुनिक प्रणालियों से बेहतर प्रदर्शन करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपका कंप्यूटर एक विशाल, हलचल भरा शहर है। हर दिन, लाखों चीजें होती हैं: लोग (प्रोसेस) दरवाजे (फाइलें) खोलते हैं, पत्र (नेटवर्क डेटा) भेजते हैं और आपस में बात करते हैं। सामान्यतः, यह बस दैनिक जीवन है। लेकिन कभी-कभी, जासूसों का एक समूह (एडवांस्ड पर्सिस्टेंट थ्रेट्स, या APTs) चुपके से अंदर घुस आता है। वे बैंक को उड़ाते नहीं हैं; वे महीनों तक धीरे-धीरे, शांति से और भीड़ में घुलमिल कर चलते हैं, और थोड़ा-थोड़ा करके रहस्य चुराते हैं।
इन जासूसों को पकड़ना अविश्वसनीय रूप से कठिन है क्योंकि वे बिल्कुल सामान्य नागरिकों की तरह दिखते हैं।
ProHunter एक नया, सुपर-स्मार्ट जासूसी सिस्टम है जिसे इन जासूसों को खोजने के लिए डिज़ाइन किया गया है। यह कैसे काम करता है, इसे रोजमर्रा के उदाहरणों का उपयोग करके तीन सरल भागों में नीचे समझाया गया है।
1. समस्या: बहुत अधिक कागजी कार्रवाई
कल्पना कीजिए कि एक जासूस पूरे शहर के पिछले 90 दिनों के हर एक रसीद, बस टिकट और कॉफी ऑर्डर को पढ़कर अपराध को सुलझाने की कोशिश कर रहा है।
- समस्या: डेटा की मात्रा इतनी विशाल है कि यह एक पुस्तकालय भर देगी। पारंपरिक जासूसी उपकरण (पुराने सुरक्षा सिस्टम) इस पूरे पुस्तकालय को एक साथ पढ़ने की कोशिश करते हैं। वे अभिभूत हो जाते हैं, उनकी मेमोरी खत्म हो जाती है (जैसे दिमाग में सिरदर्द होना) और वे तालमेल नहीं बिठा पाते।
- पुराना तरीका: उन्हें एक जासूस और एक सामान्य व्यक्ति के बीच अंतर करने में भी संघर्ष करना पड़ता है क्योंकि जासूस वेश बदलकर (सामान्य दिखने वाले कमांड का उपयोग करके) आता है।
2. ProHunter समाधान: एक तीन-चरणीय जासूसी किट
ProHunter इसे एक तीन-चरणीय प्रक्रिया के साथ हल करता है, जिसे पेपर में "द पाइपलाइन" कहा गया है।
चरण 1: "स्मार्ट फाइलिंग कैबिनेट" (मेमोरी दक्षता)
हर एक रसीद को ढेर के रूप में रखने के बजाय, ProHunter एक स्मार्ट फाइलिंग कैबिनेट बनाता है।
- यह कैसे काम करता है: यह "सिमेंटिक एब्स्ट्रैक्शन" नामक एक ट्रिक का उपयोग करता है। हर फाइल का सटीक नाम लिखने के बजाय (जैसे,
C:\Users\Bob\Documents\secret_plan_v2_final.doc), यह केवल एक श्रेणी लिख देता है: "दस्तावेज़" (Document)। - उदाहरण: कल्पना कीजिए कि आप एक संदिग्ध पर नज़र रख रहे हैं। "उसने लाल 2024 होंडा सिविक खरीदी" लिखने के बजाय, आप बस लिखते हैं "वह कार चला रहा था।" आप थोड़ी सी जानकारी खो देते हैं, लेकिन आप बहुत सारा स्थान बचा लेते हैं।
- परिणाम: ProHunter शहर की गतिविधि को एक बहुत छोटी जगह में (लगभग कुछ MP3 गानों के आकार में) 90 दिनों के लिए स्टोर कर सकता है, जबकि पुराने सिस्टमों को एक पूरी हार्ड ड्राइव की आवश्यकता होती थी। यह सिस्टम को बिना क्रैश हुए 24/7 चलने में सक्षम बनाता है।
चरण 2: "संदिग्ध प्रवाह" ट्रैकर (जासूसों को ढूंढना)
अब जब डेटा स्टोर हो गया है, तो हम जासूसों को कैसे खोजें?
- पुराना तरीका: पुराने सिस्टम किसी विशिष्ट "वांटेड पोस्टर" (जैसे कि कोई ज्ञात खराब फाइल का नाम) का इंतज़ार करते हैं। यदि जासूस अपना नाम बदल लेता है, तो सिस्टम उन्हें चूक जाता है।
- Pro--------------- तरीका: ProHunter केवल नामों को नहीं, बल्कि गतिविधि के संदिग्ध पैटर्न को देखता है।
- उदाहरण: कल्पना कीजिए कि एक जासूस हीरा चुराने की कोशिश कर रहा है।
- एक सामान्य व्यक्ति एक फाइल खोल सकता है और फिर उसे बंद कर सकता है।
- एक जासूस एक सिस्टम फाइल खोल सकता है, फिर अचानक एक विदेशी पते पर एक बड़ा पत्र भेज सकता है, फिर घर के मुख्य दरवाजे के ताले बदलने की कोशिश कर सकता है।
- Pro-Hunter को इस बात से फर्क नहीं पड़ता कि किसने यह किया; इसे प्रवाह (flow) से फर्क पड़ता है। यदि एक "सिस्टम फाइल" अचानक एक "विदेशी पते" से बात करती है, तो ProHunter उस पथ को संदिग्ध के रूप में फ्लैग करता है, भले ही वह अभी तक जासूस का नाम न जानता हो।
- परिणाम: यह जासूसों को तब भी पकड़ सकता है जब वे बिल्कुल नए, अज्ञात तरीकों का उपयोग कर रहे हों, बशर्ते उनका व्यवहार सामान्य नागरिकों की तुलना में "अजीब" लगे।
चरण 3: "अनुवादक" (अंतराल को पाटना)
यह सबसे कठिन हिस्सा है।
- समस्या: "वांटेड पोस्टर" (साइबर थ्रेट इंटेलिजेंस रिपोर्ट) जासूसी भाषा में लिखे जाते हैं: "जासूस ने एक ARP स्कैन किया।" लेकिन शहर के लॉग (ऑडिट लॉग) मशीन भाषा में लिखे जाते हैं: "प्रोग्राम
cmd.exeने एक कमांड चलाया।" - पुराना तरीका: पुराने सिस्टम इन्हें शाब्दिक रूप से मिलाने की कोशिश करते हैं। वे विफल हो जाते हैं क्योंकि "ARP स्कैन" और "cmd.exe" एक जैसे नहीं दिखते।
- ProHunter का तरीका: ProHunter एक अनुवादक AI (एक ग्राफ न्यूरल नेटवर्क) का उपयोग करता है।
- उदाहरण: कल्पना कीजिए कि आपके पास एक गवाह द्वारा बनाया गया संदिग्ध का स्केच है (वांटेड पोस्टर) और एक सुरक्षा कैमरे द्वारा ली गई फोटो है (ऑडिट लॉग)। वे अलग दिखते हैं।
- गवाह कहता है: "उसके पास एक टोपी और एक निशान है।"
- फोटो दिखाती है: "एक व्यक्ति हुडी पहने हुए है।"
- ProHunter का AI समझता है कि "टोपी" और "हुडी" दोनों "सिर के पहनावे" (Headwear) हैं। यह इरादे और व्यवहार को मैच करना सीखता है, न कि केवल सटीक शब्दों को। यह समझ जाता है कि भले ही शब्द अलग हों, लेकिन कहानी एक ही है।
यह एक बड़ी बात क्यों है?
- यह तेज़ और हल्का है: इसे चलाने के लिए सुपरकंप्यूटर की आवश्यकता नहीं है। यह एक सामान्य सर्वर पर फिट हो जाता है।
- इसे धोखा देना कठिन है: क्योंकि यह केवल विशिष्ट नामों के बजाय व्यवहार और पैटर्न को देखता है, इसलिए जासूस अपनी फाइल के नाम बदलकर आसानी से छिप नहीं सकते।
- यह सटीक है: परीक्षणों में, इसने परीक्षण डेटासेट्स में 100% हमलों को पाया जबकि लगभग शून्य गलत अलार्म (false alarms) दिए (इसने निर्दोष लोगों पर आरोप नहीं लगाया)।
सारांश
Pro-Hunter एक ऐसे जासूस की तरह है जो:
- शहर के पूरे इतिहास को एक छोटी, पठनीय नोटबुक में संक्षेप (Summarize) में लिखता है।
- केवल एक विशिष्ट चेहरे को देखने के बजाय पैसे के प्रवाह (संदिग्ध डेटा प्रवाह) का पीछा करता है।
- सच जानने के लिए जासूस के गुप्त कोड और पुलिस रिपोर्ट के बीच अनुवाद करता है।
यह घास के ढेर में सुई खोजने के कठिन कार्य को, सुई के घास से बाहर निकलने के अनूठे तरीके को देखकर उसे खोजने के प्रबंधनीय कार्य में बदल देता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।