GRASP -- Graph-Based Anomaly Detection Through Self-Supervised Classification
GRASP एक स्व-पर्यवेक्षित (self-supervised), ग्राफ-आधारित प्रोवेनेंस घुसपैठ पहचान प्रणाली है जो पूर्व-निर्धारित थ्रेशोल्ड पर निर्भर किए बिना विसंगतियों की पहचान करने के लिए प्रोसेस एक्जीक्यूटेबल जानकारी को मास्क और पुनर्गठित करती है, जिससे ज्ञात और अज्ञात दोनों उन्नत निरंतर खतरों (Advanced Persistent Threats) का सुदृढ़ पता लगाना संभव होता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपका कंप्यूटर एक हलचल भरा शहर है। इस शहर में लाखों दैनिक गतिविधियाँ होती हैं: लोग (प्रोसेस) दरवाजे खोल रहे हैं, नक्शे पढ़ रहे हैं, पत्र लिख रहे हैं और पड़ोसियों से बातें कर रहे हैं। आमतौर पर, ये गतिविधियाँ एक अनुमानित लय का पालन करती हैं। लेकिन कभी-कभी, एक जासूस (एक हमलावर) चुपके से अंदर आ जाता है। पेचीदा बात यह है कि जासूस कोई नया, डरावना दिखने वाला हथियार नहीं लाता; इसके बजाय, वे शहर के अपने ही वैध उपकरणों का उपयोग करते हैं—जैसे कि एक सार्वजनिक पुस्तकालय की किताब या एक मानक डिलीवरी ट्रक। इसे "लिविंग ऑफ द लैंड" (Living off the Land) कहा जाता है।
पारंपरिक सुरक्षा गार्ड (पुराने डिटेक्शन सिस्टम) इन जासूसों को पकड़ने के लिए कठोर नियम स्थापित करके काम करते हैं। वे कहते हैं, "यदि कोई ट्रक 50 मील प्रति घंटे से अधिक की गति से चलता है, तो उसे रोक दें!" या "यदि कोई व्यक्ति एक मिनट में 10 से अधिक दरवाजे खोलता है, तो अलार्म बजा दें!" समस्या यह है कि जासूस चतुर होते हैं। वे 49 मील प्रति घंटे की गति से चलते हैं, या वे ठीक 10 दरवाजे खोलते हैं। यदि नियम बहुत सख्त हैं, तो वे जासूस को चूक जाते हैं। यदि नियम बहुत ढीले हैं, तो वे हर बार जब कोई वास्तविक व्यक्ति दरवाजा खोलता है, तो "आग!" चिल्ला उठते हैं (इसे 'अलर्ट फटीग' या अलर्ट थकान कहा जाता है)।
एंट्री GRASP: सहज शहर का पहरेदार
यह शोध पत्र GRASP (ग्राफ-आधारित एनोमली डिटेक्शन थ्रू सेल्फ-सुपरवाइज्ड क्लासिफिकेशन) नामक एक नई प्रणाली पेश करता है। कठोर गति सीमा या दरवाजे गिनने के नियमों के बजाय, GRASP एक अत्यधिक सहज पड़ोस के पहरेदार की तरह कार्य करता है जो जानता है कि शहर के हर उपकरण का उपयोग वास्तव में कैसे किया जाना चाहिए, इस आधार पर कि उसे कौन पकड़े हुए है और वह किससे बात कर रहा है।
यह कैसे काम करता है, यहाँ सरल अवधारणाओं में दिया गया है:
1. "दो-चरण" वाला पड़ोस नियम
GRASP केवल एक व्यक्ति (एक प्रोसेस) को नहीं देखता; यह उसके दो-चरण वाले पड़ोस को देखता है।
- चरण 1: वे अभी किससे बात कर रहे हैं? (जैसे, एक "वेब ब्राउज़र" प्रोसेस एक फ़ाइल पढ़ रहा है)।
- चरण 2: वे लोग जिनसे वे बात कर रहे हैं, वे किससे बात कर रहे हैं? (जैसे, उस फ़ाइल को अभी-अभी एक "सिस्टम अपडेट" प्रोसेस द्वारा लिखा गया था)।
इन कनेक्शनों के जाल को देखकर, GRASP एक मानसिक मानचित्र बनाता है कि चीजें आमतौर पर कैसे परस्पर क्रिया करती हैं। यह सीखता है कि एक "वेब ब्राउज़र" आमतौर पर "इमेज फाइल्स" से बात करता है, लेकिन वह "सिस्टम कॉन्फ़िगरेशन फाइल्स" से शायद ही कभी बात करता है।
2. "आंखों पर पट्टी" वाला प्रशिक्षण खेल
इस मानचित्र को सीखने के लिए, GRASP अपने प्रशिक्षण चरण के दौरान "गेस हू" (अनुमान लगाओ कौन?) का खेल खेलता है।
- कल्पना कीजिए कि आप पहरेदार को एक दृश्य दिखाते हैं: एक व्यक्ति एक उपकरण पकड़े हुए है, एक फ़ाइल पढ़ रहा है, और एक पड़ोसी से बात कर रहा है।
- चाल: आप उस उपकरण (एक्जीक्यूटेबल) पर एक पट्टी बांध देते हैं। आप छिपा देते हैं कि वह उपकरण वास्तव में क्या है।
- कार्य: पहरेदार को अनुमान लगाना होगा, "जिस फ़ाइल को वे पढ़ रहे हैं और जिस पड़ोसी से वे बात कर रहे हैं, उसके आधार पर यह व्यक्ति कौन सा उपकरण पकड़े हुए है?"
- यदि व्यक्ति एक कॉन्फ़िग फ़ाइल पढ़ रहा है और एक सिस्टम प्रोसेस से बात कर रहा है, तो पहरेदार सीखता है कि "सिस्टम कॉन्फ़िग टूल" का अनुमान लगाएं। यदि वह "वेब ब्राउज़र" का अनुमान लगाता है, तो वह गलत हो जाता है।
- सिस्टम यह लाखों बार करता है। यह अपने परिवेश के आधार पर हर उपकरण के "व्यक्तित्व" को सीखता है।
3. जासूस को पकड़ना (एनोमली डिटेक्शन)
प्रशिक्षण पूरा होने के बाद, पहरेदार गश्त पर निकलता है।
- एक प्रोसेस आता है जो कुछ अजीब कर रहा होता है।
- पहरेदार उसके परिवेश को देखता है और पूछता है, "यह उपकरण क्या है?"
- यदि परिवेश संकेत देता है कि यह एक "कैलकुलेटर" होना चाहिए, लेकिन उपकरण वास्तव में एक "हिडन स्क्रिप्ट" है, तो पहरेदार कहता है, "रुको जरा! यह समझ में नहीं आ रहा है!"
- क्योंकि उपकरण का व्यवहार उसके पड़ोसियों द्वारा बताई गई "कहनी" से मेल नहीं खाता, इसलिए GRASP इसे संदिग्ध मानकर फ्लैग करता है।
यह पुराने गार्डों से बेहतर क्यों है?
- कोई कठोर नियम नहीं (कोई थ्रेशोल्ड नहीं): पुराने सिस्टम को "जादुई नंबर" (जैसे "50 से अधिक अलार्म") की आवश्यकता होती है। GRASP को इसकी आवश्यकता नहीं है। यह बस जानता है कि कब कुछ "अजीब" लग रहा है। इसका मतलब है कि यह उन जासूसों को नहीं चूकता जो केवल सीमा से थोड़ा नीचे रहकर काम करते हैं।
- यह "अनजानों" को पकड़ता है: यदि कोई जासूस एक बिल्कुल नया, पहले कभी न देखा गया उपकरण लाता है, तो GRASP उसे तुरंत देख लेता है क्योंकि उसके पास उसके लिए कोई "पड़ोस की कहानी" नहीं होती। यह उसे "अज्ञात" (Unknown) के रूप में फ्लैग करता है, जो एक बड़ा रेड फ्लैग है।
- यह स्थिर है: शोध पत्र दिखाता है कि अन्य सिस्टम (जैसे ORTHRUS और VELOX) मौसम की दिशा बताने वाले यंत्र (weather vanes) की तरह हैं; यदि आप हवा को थोड़ा बदलते हैं (डेटा या सेटिंग्स बदलते हैं), तो उनके परिणाम नाटकीय रूप से बदल जाते हैं। GRASP एक लाइटहाउस (प्रकाश स्तंभ) की तरह है; यह हर बार एक सुसंगत, विश्वसनीय संकेत देता है।
ट्रेड-ऑफ: अधिक शोर, बेहतर सुरक्षा
शोध पत्र स्वीकार करता है कि GRASP पुराने सिस्टम की तुलना में अधिक अलार्म बजाता है।
- पुराना सिस्टम: "मैं 5 संदिग्ध चीजें देख रहा हूँ। मैं बॉस को परेशान करने से बचने के लिए केवल 1 की रिपोर्ट करूँगा।" (जोखिम: बॉस वास्तविक हमले को मिस कर सकता है)।
- GRASP: "मैं 500 संदिग्ध चीजें देख रहा हूँ। यहाँ सूची है। आप, मानव विश्लेषक, तय करें कि कौन सी महत्वपूर्ण हैं।"
लेखक तर्क देते हैं कि यह वास्तव में बेहतर है। एक सूची प्राप्त करना बेहतर है जिसे चेक किया जा सके, बजाय इसके कि आपके पास एक ऐसा सिस्टम हो जो आत्मविश्वास से कहता है "सब कुछ ठीक है" जबकि शहर जल रहा हो। अपने परीक्षणों में, GRASP ने अधिकांश डेटासेट में 100% दस्तावेजी हमलों को खोज निकाला, जबकि अन्य सिस्टम कई को मिस कर गए।
"एंड्रॉइड" की समस्या
शोध पत्र एक अपवाद नोट करता है: एंड्रॉइड डिवाइस (क्लियरस्कोप डेटासेट) पर, सिस्टम को संघर्ष करना पड़ा। क्यों? क्योंकि उस विशिष्ट "शहर" में, एक उपकरण लगभग सब कुछ करता है, और पड़ोस सभी के लिए एक जैसा दिखता है। यह एक ऐसे शहर की तरह है जहाँ हर कोई बिल्कुल एक जैसी वर्दी पहनता है और एक ही व्यक्ति से बात करता है; यह पहचानना मुश्किल है कि जासूस कौन है। GRASP वहां उपकरणों का "व्यक्तित्व" नहीं सीख सका। लेकिन Linux और Windows सिस्टम के लिए, इसने शानदार काम किया।
सारांश
GRASP एक सुरक्षा प्रणाली है जो अपने स्वयं के डेटा के साथ अनुमान लगाने का खेल खेलकर सीखती है। सख्त नियम बनाने के बजाय, यह प्रत्येक कंप्यूटर प्रोग्राम के "सामाजिक दायरे" को सीखता है। जब कोई प्रोग्राम गलत भीड़ के साथ घूमना शुरू करता है या स्थिति के लिए गलत उपकरणों का उपयोग करता है, तो GRASP अलार्म बजा देता है। यह पुराने सिस्टम की तुलना में अधिक बार अलार्म बजा सकता है, लेकिन यह सुनिश्चित करता है कि कोई भी जासूस दरारों से निकलकर न जा सके।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।