💻 computer science

CLOUDBURST: Cloud-Layer Observations Using Beacons for Unified Real-time Surveillance and Threat Attribution

यह शोध पत्र CLOUDBURST को प्रस्तुत करता है, जो क्लाउड-नेटिव पैसिव बीकन्स (passive beacons) के लिए पहला औपचारिक ढांचा है जो छह वेक्टर वर्गों में खतरे का पता लगाने को मापने के लिए एक नए क्लाउड एट्रिब्यूशन स्कोर (Cloud Attribution Score) को परिभाषित करता है, जो यह प्रकट करता है कि IAM कैनरी रोल्स (IAM Canary Roles) और S3 प्री-साइंड यूआरएल (S3 Presigned URLs) आधुनिक क्लाउड स्कैनर्स के प्रति उच्चतम प्रतिरोध प्रदान करते हैं, जबकि साथ ही साथ क्षणिक बुनियादी ढांचे के मंथन (ephemeral infrastructure churn) के कारण एट्रिब्यूशन मूल्य के तीव्र क्षरण को भी उजागर करता है।

मूल लेखक: Abraham Itzhak Weinberg

प्रकाशित 2026-05-14

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Abraham Itzhak Weinberg

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक विशाल, निरंतर बदलते हुए डिजिटल इमारतों वाले शहर (क्लाउड) के सुरक्षा गार्ड हैं। पुराने दिनों में, यदि कोई चोर भौतिक फ़ाइल चुरा लेता था, तो आप उनके द्वारा छोड़े गए पदचिह्नों से उन्हें ट्रैक कर सकते थे। लेकिन इस आधुनिक शहर में, इमारतें स्वयं धुंध से बनी हैं। वे हर कुछ मिनटों में प्रकट होती हैं, गायब हो जाती हैं और खुद को फिर से बनाती हैं। यदि कोई चोर किसी इमारत की "चाबी" चुरा लेता है, तो आपकी रिपोर्ट पूरी करने से पहले ही वह इमारत गायब हो सकती है।

यह शोध पत्र, CLOUDBURST, एक नया नियम पुस्तिका और उपकरणों का एक नया सेट है जिसे इस धुंधले, बदलते शहर में चोरों को पकड़ने के लिए डिज़ाइन किया गया है।

यहाँ उनके विचारों का सरल उपमाओं (analogies) का उपयोग करके विवरण दिया गया है:

1. समस्या: "भूतिया शहर" (The Ghost City)

पारंपरिक सुरक्षा में, आप चोर को उस विशिष्ट कंप्यूटर द्वारा ट्रैक करते हैं जिसका उसने उपयोग किया था। लेकिन क्लाउड में, वह "कंप्यूटर" (एक कंटेनर या सर्वर) उसके बनने के 10 मिनट बाद ही डिलीट होकर बदला जा सकता है।

उपमा: कल्पना कीजिए कि एक चोर होटल के कमरे से चाबी चुराता है, लेकिन होटल का कमरा तुरंत ढहा दिया जाता है और फिर से बनाया जाता है। जब तक आप कमरे की जाँच करने पहुँचते हैं, चोर जा चुका होता है और कमरा बिल्कुल नया होता है। आप यह नहीं बता सकते कि वहाँ कौन था।
पेपर का दावा: मौजूदा ट्रैकिंग टूल्स यहाँ काम नहीं करते क्योंकि वे मानकर चलते हैं कि "कमरा" अभी भी वहीं है। CLOUDBURST स्वीकार करता है कि कमरा गायब हो सकता है और फिर भी चोर को ट्रैक करने का एक नया तरीका बनाता है।

2. समाधान: छह प्रकार के "जाल" (Beacons)

शोधकर्ताओं ने छह अलग-अलग प्रकार के जाल (जिन्हें Beacons कहा जाता है) का एक "मेन्यू" बनाया है जो चोरों के लिए मूल्यवान चीजों की तरह दिखते हैं, लेकिन वास्तव में वे जाल हैं। जब कोई चोर एक को छूता है, तो वह सुरक्षा टीम को एक मौन संकेत भेजता है।

इन्हें इन विभिन्न प्रकार के चारे के रूपनों में सोचें:

"नकली चाबी" (S3 Presigned URLs): एक लिंक जो एक गुप्त दस्तावेज़ जैसा दिखता है। यदि कोई चोर चोरी किए गए डेटा को डाउनलोड करने के लिए इस पर क्लिक करता है, तो जाल सक्रिय हो जाता है। इसे स्कैनर्स के लिए पहचानना बहुत कठिन है।
"भूतिया चाबी" (IAM Canary Roles): एक नकली सुरक्षा बैज जिसे किसी वास्तविक कर्मचारी को कभी उपयोग नहीं करना चाहिए। यदि कोई चोर इसका उपयोग करने की कोशिश करता है, तो यह ऐसा है जैसे आप एक ऐसे कमरे में प्रवेश कर रहे हैं जहाँ छत से पहले से ही एक साइलेंट अलार्म जुड़ा हुआ है। यह सबसे अच्छा जाल है क्योंकि यह बहुत स्पष्ट रिकॉर्ड छोड़ता है कि किसने इसे उपयोग करने की कोशिश की।
"जहरीला ब्लूप्रिंट" (Terraform Modules): शहर का एक नकली निर्माण प्लान। यदि कोई चोर इसके साथ निर्माण करने की कोशिश करता है, तो वह प्लान घर कॉल करता है कि "हे, कोई मेरे ब्लूप्रिंट का उपयोग कर रहा है।"
"जादुई बॉक्स" (Container Images): एक सॉफ्टवेयर बॉक्स जो हर बार खुलने पर घर कॉल करता है।
"गुप्त नोट" (Kubernetes Secrets): शहर के निर्देशों के भीतर छिपे नोट्स जो अलार्म बजा देते हैं यदि उन्हें पढ़ा जाता है।
"डेड कोड" (Serverless Triggers): कोड का एक टुकड़ा जो कुछ नहीं करता जब तक कि कोई गलती से इसे चला न दे, जिस क्षण यह चलता है, यह चिल्ला उठता है कि "मेरा उपयोग किया जा रहा है!"

3. स्कोरकार्ड: "क्लाउड एट्रिब्यूशन स्कोर" (CAS)

आप कैसे जानेंगे कि कौन सा जाल सबसे अच्छा है? लेखकों ने CAS नामक एक स्कोर बनाया है। यह एक "चोर पकड़ने वाला ग्रेड" की तरह है जो तीन चीजों को तौलता है:

क्या संकेत सफलतापूर्वक पहुँचा? (क्या चोर ने VPN जैसा मास्क पहना था?)
क्या हमने उनकी आईडी पकड़ी? (क्या क्लाउड सिस्टम ने लॉग किया कि किसने उस जाल को छुआ?)
क्या इमारत गायब हो गई? (क्या विश्लेषण करने से पहले ही जाल गायब हो गया?)

बड़ी खोज:

विजेता: "भूतिया चाबी" (IAM Canary Roles) को उच्चतम स्कोर मिला। यह सबसे विश्वसनीय है क्योंकि भले ही इमारत गायब हो जाए, क्लाउड सिस्टम यह स्थायी रिकॉर्ड रखता है कि किसने चाबी का उपयोग करने की कोशिश की।
उप-विजेता: "नकली चाबी" (S3 URLs) चोरों के लिए पहचानना सबसे कठिन है। यह इतना सामान्य दिखता है कि सुरक्षा स्कैनर अक्सर इसे मिस कर जाते हैं।
हारने वाला: "डेड कोड" (Serverless Triggers) सबसे कमजोर है। यह बहुत स्पष्ट है और अक्सर चोर के छूने से पहले ही सुरक्षा स्कैनर्स द्वारा पकड़ा जाता है।

4. "धुंधली स्याही" की समस्या (Ephemeral Decay)

यह इस पेपर की सबसे महत्वपूर्ण खोज है।

उपमा: कल्पना कीजिए कि आप धुंधली खिड़की पर स्याही से चोर का नाम लिखते हैं। यदि आप 10 मिनट प्रतीक्षा करते हैं, तो धुंध साफ हो जाती है और स्याही फीकी पड़ जाती है। यदि आप 2 घंटे प्रतीक्षा करते हैं, तो स्याही गायब हो जाती है।
निष्कर्ष: पेपर साबित करता है कि चोर की पहचान करने की क्षमता समय के साथ नाटकीय रूप से गिर जाती है।
- शुरुआत में (0 घंटे): आपके पास चोर की पहचान करने की 79% संभावना है।
- 48 घंटों के बाद: यह संभावना गिरकर 18–22% रह जाती है।
क्यों? क्योंकि "इमारतें" (सर्वर) लगातार फिर से बनाई जा रही हैं। आप डेटा का विश्लेषण करने में जितना अधिक समय लेंगे, सबूतों के सिस्टम की स्वचालित सफाई द्वारा मिटा दिए जाने की संभावना उतनी ही अधिक होगी।

5. निर्णय: आपको क्या करना चाहिए?

पेपर सुरक्षा टीमों के लिए एक सरल मार्गदर्शिका के साथ समाप्त होता है:

हर जगह "भूतिया चाबियाँ" रखें: चूंकि वे सबसे स्पष्ट निशान छोड़ती हैं और गायब नहीं होती हैं, इसलिए उन्हें हर क्लाउड अकाउंट में होना चाहिए।
बैकअप के रूप में "नकली चाबियों" का उपयोग करें: वे चोरों के लिए पहचानना कठिन है, इसलिए वे चालाक हमलावरों को पकड़ने के लिए बेहतरीन हैं।
तेजी से कार्य करें: क्योंकि सबूत बहुत जल्दी (48 घंटों के भीतर) फीके पड़ जाते हैं, इसलिए आप जांच करने के लिए प्रतीक्षा नहीं कर सकते। जैसे ही चोर जाल को छुए, आपको उसे पकड़ना होगा।

सारांश

CLOUDBURST क्लाउड चोरों को पकड़ने के लिए एक नई नियमावली है। यह हमें बताता है कि एक ऐसी दुनिया में जहाँ डिजिटल इमारतें हर घंटे गायब हो जाती हैं, हम पुराने ट्रैकिंग तरीकों पर भरोसा नहीं कर सकते। इसके बजाय, हमें विशिष्ट "भूतिया चाबियों" (IAM roles) का उपयोग करना चाहिए जो स्थायी कागजी निशान छोड़ती हैं, और हमें तुरंत कार्य करना चाहिए क्योंकि सबूत धुंधली खिड़की पर स्याही की तरह तेजी से मिट जाते हैं।

नोट: पेपर स्पष्ट रूप से कहता है कि हालांकि ये उपकरण अच्छे हैं, उन्होंने अपने परीक्षणों में "पूर्ण" निश्चितता (100% प्रमाण) प्राप्त नहीं की। उन्होंने पहचाना कि अंतिम स्तर की निश्चितता तक पहुँचने के लिए अधिक सुरागों की आवश्यकता है, लेकिन उन्होंने सफलतापूर्वक इन संभावनाओं को मापने और सुधारने के लिए पहला सिस्टम बनाया है।

तकनीकी सारांश: CLOUDBURST – एकीकृत वास्तविक समय निगरानी और खतरे के आरोपण (Threat Attribution) के लिए बीकन का उपयोग करके क्लाउड-लेयर अवलोकन

1. समस्या विवरण

आधुनिक क्लाउड-नेटिव वातावरण (AWS, GCP, Azure, OCI) पारंपरिक फ़ाइल-आधारित परिदृश्यों की तुलना में एक मौलिक रूप से भिन्न एक्सफिल्ट्रेशन (डेटा चोरी) थ्रेट सरफेस प्रस्तुत करते हैं। हमलावर अब केवल फ़ाइलें नहीं चुराते; वे क्षणभंगुर आर्टिफ़ैक्ट्स (ephemeral artifacts) जैसे कि S3 प्रीसाइन्ड यूआरएल (presigned URLs), कंटेनर इमेजेस, कुबेरनेट्स सीक्रेट्स, टेराफॉर्म स्टेट मॉड्यूल्स और IAM रोल टोकन चुराते हैं। मौजूदा शैक्षणिक साहित्य और हनीटोकन फ्रेमवर्क (जैसे, पैसिव हैक-बैक, कैनरीटोकन्स) मुख्य रूप से फ़ाइल-आधारित या मोबाइल परिदृश्यों पर ध्यान केंद्रित करते हैं और अद्वितीय क्लाउड-नेटिव गुणों को संबोधित करने में विफल रहते हैं:

इन्फ्रास्ट्रक्चर की क्षणभंगुरता (Infrastructure Ephemerality): कंटेनरीकृत वातावरण (जैसे, कुबेरनेट्स) में, वह इन्फ्रास्ट्रक्चर जो बीकन कॉल-बैक को ट्रिगर करता है, आरोपण विश्लेषण (attribution analysis) शुरू होने से पहले ही अस्तित्व समाप्त कर सकता है, जिससे यह धारणा अमान्य हो जाती है कि "वह मशीन जिसने बीकन फायर किया था, अभी भी चल रही है।"
IAM जटिलता: क्लाउड API कॉल समृद्ध पहचान संदर्भ (identity context) ले जाते हैं (जैसे, असम्ड रोल ARNs, सर्विस अकाउंट ईमेल), जो बेहतर टेलीमेट्री प्रदान करते हैं लेकिन भूमिका धारणा श्रृंखला (role assumption chains) और सक्षम ऑडिट लॉग (CloudTrail/Audit Log) की जटिल व्याख्या की आवश्यकता होती है।
बहु-प्रदाता सामान्यीकरण (Multi-Provider Normalization): हमलावर अक्सर विभिन्न क्लाउड प्रदाताओं के माध्यम से क्रेडेंशियल्स को रूट करते हैं, जिसके लिए विभिन्न स्वरूपों में टेलीमेट्री को सामान्य करने के लिए आरोपण प्रणालियों की आवश्यकता होती है।

मौजूदा उपकरणों में क्लाउड-नेटिव बीकन के लिए एक औपचारिक वर्गीकरण (taxonomy) और एक ऐसे मीट्रिक का अभाव है जो यह मापता है कि इन्फ्रास्ट्रक्चर का उतार-चढ़ाव (churn) समय के साथ आरोपण की गुणवत्ता को कैसे कम करता है।

2. कार्यप्रणाली (Methodology)

यह शोध पत्र CLOUDBURST प्रस्तुत करता है, जो एक औपचारिक वर्गीकरण और माप ढांचा (measurement framework) है जिसे क्लाउड-नेटिव पैसिव बीकन का मूल्यांकन करने के लिए डिज़ाइन किया गया है।

2.1 औपचारिक ढांचा: क्लाउड एट्रिब्यूशन स्कोर (CAS)

मुख्य योगदान क्लाउड एट्रिब्यूशन स्कोर (CAS) है, जो एक एकीकृत मीट्रिक है जिसे इस प्रकार परिभाषित किया गया है:
$CAS(c) = w_1C_f(1 - E_p) + w_2I_c + w_3(1 - E_p)I_c + w_4M_b$
जहाँ:

$C_f$ : कॉलबैक फिडेलिटी (प्रत्येक कॉलबैक से प्राप्त जानकारी की गुणवत्ता)।
$E_p$ : एफेमेरल पेनल्टी (Ephemeral penalty), जो इन्फ्रास्ट्रक्चर चर्न (पॉड रीस्टार्ट, ऑटोस्केलिंग) के कारण आरोपण गुणवत्ता के नुकसान को मॉडल करती है।
$I_c$ : IAM कवरेज (कैप्चर किए गए पहचान संदर्भ का अंश)।
$M_b$ : मल्टी-क्लाउड बोनस (क्रॉस-प्रदाता साक्ष्य से सहसंबंध लाभ)।
$w_i$ : भार (weights) जिनका योग 1 है।

ढांचा स्पष्ट रूप से एफेमेरल डिके (Ephemeral Decay) को मॉडल करता है, जहाँ दंड $E_p$ , समय, पॉड रीस्टार्ट और स्केलिंग घटनाओं के फलन (function) के रूप में बढ़ता है, जो गणितीय रूप से प्रदर्शित करता है कि कंटेनरीकृत वातावरण में आरोपण की गुणवत्ता कैसे घटती है।

2.2 बीकन वेक्टर वर्गीकरण (Beacon Vector Taxonomy)

CLOUDBURST छह अलग-अलग बीकन वेक्टर वर्गों को परिभाषित करता है, जिनमें से प्रत्येक के अद्वितीय थ्रेट गुण और प्रदाता समर्थन हैं:

S3 प्रीसाइन्ड यूआरएल (S3 Presigned URLs): चोरी किए गए डेटा में एम्बेडेड समय-सीमित हस्ताक्षरित यूआरएल।
वॉटरमार्क्ड कंटेनर इमेजेस (Watermarked Container Images): एम्बेडेड हेल्थ-चेक लेयर्स वाली OCI इमेजेस।
कैनरी IAM रोल्स (Canary IAM Roles): सुप्त (dormant) भूमिकाएं/सर्विस अकाउंट जिनका कोई वैध इनवोकेशन पाथ नहीं है।
पॉइज़न्ड टेराफॉर्म मॉड्यूल्स (Poisoned Terraform Modules): एम्बेडेड HTTP डेटा सोर्सेज वाले मॉड्यूल्स।
कुबेरनेट्स सीक्रेट बीकन्स (Kubernetes Secret Beacons): सीक्रेट्स जो एडमिशन वेबहुक्स या ऑडिट लॉग के माध्यम से कॉलबैक ट्रिगर करते हैं।
सर्वरलेस फंक्शन ट्रिगर्स (Serverless Function Triggers): "डेड कोड" फंक्शन्स जो इनवोकेशन पर फायर होते हैं।

2.3 प्रयोगात्मक सेटअप

मूल्यांकन में शामिल था:

परिनियोजन (Deployment): चार क्लाउड प्रदाताओं (AWS, GCP, Azure, OCI) में 21 बीकन इंस्टेंस।
हमलावर सिमुलेशन: तीन परिष्कार स्तर (Naive, Advanced, APT) जो रूटिंग (TOR/VPN), इन्फ्रास्ट्रक्चर रोटेशन, और ड्वेल टाइम (dwell time) में भिन्न होते हैं।
स्कैनर मॉडल: डिटेक्शन रेजिस्टेंस (DR) को मापने के लिए तीन डिटेक्शन मॉडल (AWS Macie/GCP DLP, Checkov/tfsec, Prisma Cloud/Wiz)।
मीट्रिक्स: CAS, डिटेक्शन रेजिस्टेंस (DR), कॉलबैक टू डिटेक्ट (CTD), और 48 घंटों में एफेमेरल डिके डायनेमिक्स।

3. मुख्य परिणाम

3.1 वेक्टर प्रदर्शन

IAM कैनरी रोल्स (IAM Canary Roles) ने उच्चतम माध्य CAS (0.450) और उच्च डिटेक्शन रेजिस्टेंस (DR = 0.873) प्राप्त किया, जो उन्हें सबसे अधिक तैनात करने योग्य वेक्टर बनाता है। वे सबसे समृद्ध टेलीमेट्री (पूर्ण प्रिंसिपल ARNs) प्रदान करते हैं और उनमें एफेमेरल जोखिम सबसे कम है।
S3 प्रीसाइड यूआरएल (S3 Presigned URLs) ने उच्चतम डिटेक्शन रेजिस्टेंस (DR = 0.890) प्राप्त किया, जो सभी तीन स्कैनर मॉडलों में जीवित रहे क्योंकि उनका URL फॉर्मेट और एक्सेस पैटर्न वैध डेटा रिट्रीवल जैसा दिखता है।
सर्वरलेस फंक्शन ट्रिगर्स (Serverless Function Triggers) ने सबसे खराब डिटेक्शन रेजिस्टेंस (DR = 0.611) दिखाया, क्योंकि उनके स्पष्ट आउटबाउंड HTTP कॉलबैक पैटर्न CNAPP स्कैनर्स द्वारा पकड़े जा सकते हैं।
कुबेरनेट्स सीक्रेट्स (Kubernetes Secrets) में उच्च पॉड चर्न के कारण सबसे तेज़ CAS गिरावट देखी गई।

3.2 एफेमेरल डिके (Ephemeral Decay)

एक महत्वपूर्ण निष्कर्ष आरोपण की गुणवत्ता में तेजी से गिरावट है। सभी वेक्टर्स में, CAS परिनियोजन के समय लगभग 0.79 से घटकर 48 घंटों के भीतर 0.18–0.22 हो गया ( $p < 0.001$ )। यह आरोपण क्षय (attribution decay) का एक मात्रात्मक मॉडल स्थापित करता है, जो यह सिद्ध करता है कि क्लाउड-नेटिव बीकन्स को तेजी से फायर होने या निरंतरता (persistence) के लिए डिज़ाइन किया जाना चाहिए, क्योंकि कॉलबैक को ट्रिगर करने वाला इन्फ्रास्ट्रक्चर अक्सर विश्लेषण से पहले ही गायब हो जाता है।

3.3 प्रदाता तटस्थता (Provider Agnosticism)

सांख्यिकीय विश्लेषण (Kruskal-Wallis टेस्ट, $H=1.99, p=0.57$ ) ने पुष्टि की कि क्लाउड प्रदाताओं के बीच CAS में कोई महत्वपूर्ण अंतर नहीं है। यह इंगित करता है कि CLOUDBURST का प्रभावशीलता प्रदाता-तटस्थ (provider-agnostic) है, जो मल्टी-क्लाउड संपत्तियों के लिए समान परिनियोजन रणनीतियों की अनुमति देता है।

3.4 एट्रिब्यूशन कॉन्फिडेंस गैप (Attribution Confidence Gap)

विशिष्ट वेक्टर्स के लिए उच्च CAS मानों के बावजूद, किसी भी कॉन्फ़िगरेशन ने उच्च-विश्वास आरोपण पोस्टीरियर ( $P(H|E) \ge 0.85$ ) प्राप्त नहीं किया। अधिकतम देखा गया पोस्टीरियर $\approx 0.52$ (IAM Canary बनाम APT) था। यह पेपर इसे एक "ईमानदार शून्य परिणाम" (honest null result) के रूप में पहचानता है, जो वर्तमान बीकन क्षमताओं और परिचालन आरोपण विश्वास के बीच के अंतर को मापता है।

4. योगदान

प्रथम औपचारिक वर्गीकरण: छह क्लाउड-नेटिव बीकन वेक्टर क्लास का एक वर्गीकरण जिसमें क्वांटिफाइड थ्रेट प्रॉपर्टीज हैं।
क्लाउड एट्रिब्यूशन स्कोर (CAS): एक मीट्रिक जो स्पष्ट रूप से एफेमेरल पेनल्टी, IAM कवरेज डेप्थ और मल्टी-क्लाउड सहसंबंध को मॉडल करता है।
एफेमेरल डिके मॉडल: एक मात्रात्मक मॉडल जो प्रदर्शित करता है कि कंटेनरीकृत इन्फ्रास्ट्रक्चर चर्न कैसे आरोपण की गुणवत्ता को कम करता है।
अनुभवजन्य मूल्यांकन (Empirical Evaluation): चार प्रदाताओं और तीन हमलावर परिष्कार स्तरों के माध्यम से एक व्यापक अध्ययन, जो वास्तविक दुनिया के स्कैनर मॉडलों के विरुद्ध बेंचमार्क करता है।
परिनियोजन ढांचा: CAS और DR ट्रेड-ऑफ के आधार पर एक स्तरीय अनुशंसा रणनीति।

5. महत्व और दावे

यह पेपर CLOUDBURST को एक पूर्ण पोस्ट-एक्सफिल्ट्रेशन एट्रिब्यूशन स्टैक के लिए आधारभूत परत के रूप में स्थापित करता है, जो बीकन परिनियोजन (पैसिव हैक-बैक), टोकन जनरेशन (PHANTOM), और अनुदैर्ध्य संचय (ARCANE) के मौजूदा कार्यों का पूरक है।

परिचालन वास्तविकता: प्राथमिक महत्व एफेमेरल डिके समस्या को एक मापने योग्य इंजीनियरिंग चुनौती के रूप में स्थापित करना है। यह निष्कर्ष कि आरोपण की गुणवत्ता 48 घंटों के भीतर कार्रवाई योग्य थ्रेशोल्ड से नीचे गिर जाती है, डिजाइन सिद्धांतों में बदलाव की आवश्यकता को दर्शाता है: "संचय-आधारित" (accumulation-based) आरोपण से "प्रथम-कॉलबैक" (first-callback) आरोपण की ओर बढ़ना या निरंतर एंकरों (जैसे IAM भूमिकाओं) का उपयोग करना।
रणनीतिक मार्गदर्शन: अध्ययन उच्च CAS और निम्न एफेमेरल जोखिम के संतुलन के कारण IAM कैनरी रोल्स को श्रेष्ठ प्राथमिक वेक्टर के रूप में पहचानता है, जबकि यह भी उजागर करता है कि S3 प्रीसाइड यूआरएल सबसे अधिक बचाव-प्रतिरोधी (evasion-resistant) हैं।
सीमाएं और भविष्य का कार्य: लेखक विनम्रतापूर्वक दावा करते हैं कि वर्तमान बीकन वेक्टर्स अकेले उच्च-विश्वास आरोपण ( $P \ge 0.85$ ) के लिए पर्याप्त नहीं हैं। वे प्रस्तावित करते हैं कि इस अंतर को पाटने के लिए पूरक संकेतों की आवश्यकता है: क्लाउड इन्फ्रास्ट्रक्चर ग्राफ, पीड़ित क्षेत्र लक्ष्यीकरण और टेम्पोरल क्लस्टरिंग। यह पेपर पूरी तरह से आरोपण को हल करने का दावा नहीं करता है, बल्कि एक आवश्यक माप ढांचे और वर्गीकरण प्रदान करता है ताकि क्लाउड-नेटिव बीकन्स को एक व्यापक आरोपण पाइपलाइन में एकीकृत किया जा सके।