Evolution of Log-Based Detection Rules in Public Repositories

कल्पना कीजिए कि आप एक विशिष्ट प्रकार के अपराधी को पकड़ने की कोशिश कर रहे एक जासूस हैं। आप उन्हें पहचानने के लिए निर्देशों का एक सेट, या एक "नियम" लिखते हैं। शायद नियम कहता है: "यदि आप लाल टोपी पहने हुए और नीला बैग लिए हुए व्यक्ति को देखते हैं, तो अलार्म बजा दें।"

साइबर सुरक्षा की दुनिया में, इन "नियमों" को लॉग-आधारित डिटेक्शन रूल्स (log-based detection rules) कहा जाता है। ये वे निर्देश हैं जिनका उपयोग सुरक्षा टीमें लाखों कंप्यूटर रिकॉर्ड (लॉग्स) को स्कैन करने के लिए करती हैं ताकि बुरे लोगों को ढूंढा जा सके।

यह शोध पत्र इस बारे में है कि ये जासूसी निर्देश समय के साथ कैसे बदलते हैं। शोधकर्ताओं ने दो विशाल सार्वजनिक पुस्तकालयों का अध्ययन किया जहाँ सुरक्षा विशेषज्ञ अपने नियम साझा करते हैं: सिग्मा प्रोजेक्ट (Sigma project) (एक समुदाय-संचालित समूह) और स्प्लंक सिक्योरिटी कंटेंट (Splunk Security Content) (एक क्यूरेटेड, पेशेवर संग्रह)। उन्होंने दशकों तक हजारों नियमों पर नज़र रखी ताकि यह देखा जा सके कि वे कैसे विकसित होते हैं।

यहाँ उनके निष्कर्ष दिए गए हैं, जिन्हें सरल उपमाओं के माध्यम से समझाया गया है:

1. नियम कभी "पूरे" नहीं होते

आप सोच सकते हैं कि एक बार जब एक जासूस एक नियम लिख देता है, तो वह हमेशा के लिए वैसा ही रहता है। लेकिन शोधकर्ताओं ने पाया कि 56% नियमों को कम से कम एक बार फिर से लिखा जाता है।

इन नियमों को सूप की रेसिपी की तरह समझें।

• पहले, आप एक रेसिपी लिखते हैं: "नमक और काली मिर्च डालें।"
• बाद में, आपको एहसास होता है कि यह बहुत नमकीन है, इसलिए आप इसे बदलकर लिखते हैं: "कम नमक डालें।"
• फिर, आपको एहसास होता है कि आप लहसुन डालना भूल गए थे, इसलिए आप उसे वापस जोड़ देते हैं।
• फिर, आपको एहसास होता है कि लहसुन डालने से यह बहुत तीखा हो गया है, इसलिए आप उसे हटा देते हैं।

अध्ययन में पाया गया कि नियम लगातार बदले जाते रहते हैं। वे केवल एक सीधी रेखा में "बेहतर" नहीं होते; वे लगातार चीजें जोड़ते और हटाते हुए ऊपर-नीचे होते रहते हैं।

2. "सी-सॉ" (See-Saw) प्रभाव

सबसे आश्चर्यजनक खोज यह है कि ये नियम शायद ही कभी स्थिर होते हैं। इसके बजाय, वे एक सी-सॉ (झूले) की तरह काम करते हैं।

• साइड A (कवरेज/व्याप्ति): कभी-कभी, जासूस अधिक अपराधियों को पकड़ना चाहता है। वे नियम को व्यापक बनाते हैं: "यदि आप लाल टोपी देखते हैं या नीला बैग देखते हैं या हरा स्कार्फ देखते हैं, तो अलार्म बजाएं!" यह अधिक बुरे लोगों को पकड़ता है, लेकिन यह गलती से निर्दोष लोगों को भी पकड़ लेता है (गलत अलार्म/फॉल्स अलार्म)।
• साइड B (फॉल्स पॉजिटिव्स): फिर, जासूस पकड़े गए निर्दोष लोगों से परेशान हो जाता है। वे नियम को सख्त बनाते हैं: "अलार्म तभी बजाएं जब आप लाल टोपी और नीला बैग दोनों देखें।" यह गलत अलार्म को रोकता है, लेकिन अब आप कुछ वास्तविक अपराधियों को छोड़ सकते हैं।

अध्ययन में पाया गया कि लगभग एक-तिहाई नियम वर्षों तक इन दोनों पक्षों के बीच झूलते रहते हैं। वे एक "परफेक्ट" मध्य मार्ग नहीं खोजते और वहीं नहीं रुकते। इसके बजाय, वे लगातार झूलते रहते हैं, ताकि बुरे लोगों को पकड़ने और सुरक्षा टीम को बहुत अधिक गलत अलार्म देकर परेशान करने के बीच संतुलन बनाया जा सके।

3. उन्होंने परिवर्तनों का अध्ययन कैसे किया

इन परिवर्तनों को समझने के लिए, शोधकर्ता केवल नियमों के टेक्स्ट (शब्दों) को नहीं देख सकते थे, क्योंकि सुरक्षा विशेषज्ञ अक्सर एक ही तर्क को अलग-अलग तरीकों से फिर से लिखते हैं (जैसे किसी वाक्य को औपचारिक बनाने के लिए उसे फिर से लिखना)।

उन्होंने एक विशेष उपकरण बनाया जिसे "प्रेडिकेट ग्राफ" (Predicate Graph) कहा जाता है।

• उपमा: कल्पना करें कि एक जटिल वाक्य को एक फैमिली ट्री (वंश वृक्ष) आरेख में बदलना।
  • "AND" और "OR" जैसे शब्द शाखाएं (branches) बन जाते हैं।
  • विशिष्ट विवरण (जैसे "लाल टोपी" या "नीला बैग") पत्तियां (leaves) बन जाते हैं।
• इन पेड़ों की तुलना करके, वे नियम की संरचना को देख सकते थे, जिससे वे बिखरे हुए टेक्स्ट को अनदेखा कर सके। इससे उन्हें यह देखने में मदद मिली कि कब एक नियम ने एक नई शाखा जोड़ी, एक पत्ती हटाई, या पूरे पेड़ को पुनर्गठित किया।

4. परिवर्तनों के पीछे का "क्यों"

शोधकर्ताओं ने यह समझने के लिए कि विशेषज्ञ बदलाव क्यों कर रहे हैं, एक AI (लार्ज लैंग्वेज मॉडल) का उपयोग किया। उन्होंने पाया कि नियम बदलने के तीन मुख्य कारण हैं:

• "रस्साकशी" (Oscillation): कभी-कभी, टीम यह तय नहीं कर पाती कि अधिक लोगों को पकड़ना है या कम गलत अलार्म होने चाहिए। वे एक संस्करण आज़माते हैं, उसके परिणाम पसंद नहीं आते, दूसरे संस्करण पर स्विच करते हैं, उसके परिणाम भी पसंद नहीं आते, और वापस पुराने वाले पर स्विच कर जाते हैं। यह एक ऐसे शावर के तापमान को सेट करने जैसा है जो लगातार बदलता रहता है।
• "पैकेज डील" (Coupled Changes): कभी-कभी, किसी नई चीज़ को पकड़ने के लिए जोड़ने से, आपको किसी दूसरी चीज़ को बाहर करने के लिए भी जोड़ना अनिवार्य हो जाता है।
  • उदाहरण: यदि आप एक नए प्रकार के वायरस को पकड़ने का निर्णय लेते हैं, तो आप अनजाने में एक हानिरहित प्रोग्राम को भी पकड़ सकते हैं जो दिखने में समान है। इसलिए, आपको उसी समय उस हानिरहित प्रोग्राम को बाहर (exclude) करने के लिए एक नया नियम जोड़ना होगा। आप एक के बिना दूसरे को नहीं रख सकते।
• "अनुवाद में त्रुटि" (Insufficient Evidence): कभी-कभी, नियम इसलिए बदलता है क्योंकि जिस कंप्यूटर सिस्टम की वह निगरानी कर रहा है, उसकी भाषा बदल गई है (जैसे, किसी फील्ड का नाम "user_name" से बदलकर "username" हो जाना)। नियम काम तो करता है, लेकिन केवल टेक्स्ट से यह पता नहीं लगाया जा सकता कि यह अधिक लोगों को पकड़ रहा है या कम। यह एक किताब की भाषा बदलने जैसा है; कहानी वही है, लेकिन शब्द अलग हैं।

5. मुख्य निष्कर्ष

पेपर का मुख्य निष्कर्ष यह है कि सुरक्षा नियम स्थिर ब्लूप्रिंट नहीं हैं; वे जीवित, सांस लेते हुए तत्व हैं।

वे एक पूर्ण, स्थिर रूप की ओर विकसित नहीं होते हैं। इसके बजाय, वे सुरक्षा टीमों के निरंतर संघर्ष को दर्शाते हैं। वे लगातार दो चीजों के बीच संतुलन बनाने की कोशिश कर रहे हैं:

1. किसी बुरे आदमी को न चूकना।
2. गलत अलार्म के साथ सबको परेशान न करना।

पेपर का तर्क है कि चूंकि ये नियम इतने जटिल और लगातार बदलने वाले हैं, इसलिए हमें इन्हें प्रबंधित करने में मदद करने के लिए बेहतर उपकरणों की आवश्यकता है। हमें ऐसे सिस्टम की आवश्यकता है जो नियमों के तर्क (logic) को समझते हों, न कि केवल टेक्स्ट को, और ऐसे टूल्स की आवश्यकता है जो टीमों को हर बार पूरे नियम को फिर से लिखे बिना इन कठिन समझौतों को करने में मदद कर सकें।

संक्षेप में: एक सुरक्षा नियम लिखना रेडियो ट्यून करने जैसा है। आप स्पष्ट सिग्नल खोजने के लिए डायल को बार-बार घुमाते रहते हैं, लेकिन स्टेशन लगातार बदलता रहता है, इसलिए आपको बार-बार एडजस्ट करना पड़ता है।