Explainable AI-Driven Cyber Risk Analytics and Model Reliability Assessment for Intelligent Governance of U.S. Critical Infrastructure: An XGBoost and SHAP-Based Intrusion Detection Framework

बड़ी तस्वीर: डिजिटल शहर की सुरक्षा

कल्पना कीजिए कि संयुक्त राज्य अमेरिका का महत्वपूर्ण बुनियादी ढांचा (पावर ग्रिड, अस्पताल, बैंक और जल प्रणालियाँ) एक विशाल, हलचल भरे शहर की तरह है। वर्षों से, शहर के गार्डों ने एक सरल नियम पुस्तिका का उपयोग किया: "यदि तुम किसी ज्ञात अपराधी की तरह दिखते हो, तो तुम्हें रोक लो।" जब अपराधी अनुमानित थे, तो यह ठीक काम करता था। लेकिन आज, "अपराधी" (साइबर हमलावर) बदल गए हैं। वे केवल दरवाजे पर दस्तक नहीं देते; वे खुद को डिलीवरी ड्राइवरों के रूप में छिपा लेते हैं, भीड़ में घुल-मिल जाते हैं, या अपनी असली चोरी को छिपाने के लिए गेट पर एक साथ हजारों नकली लोगों को भेज देते हैं (DDoS हमले)।

पुराना नियम पुस्तिका उन्हें पकड़ने के लिए बहुत धीमी और कठोर है। इसलिए, इस शोध पत्र के शोधकर्ताओं ने एक स्मार्ट, AI-संचालित सुरक्षा गार्ड बनाने की कोशिश की। लेकिन यहाँ एक पेच है: वे केवल ऐसा गार्ड नहीं चाहते थे जो सटीक हो; वे एक ऐसा गार्ड चाहते थे जो अपने तर्क की व्याख्या कर सके। यदि AI चिल्लाकर कहता है "उस व्यक्ति को रोको!", तो मानव प्रभारी को गेट बंद करने से पहले यह जानने की आवश्यकता है कि क्यों।

समस्या: "ब्लैक बॉक्स" की दुविधा

अतीत में, कई AI सुरक्षा प्रणालियाँ ब्लैक बॉक्स की तरह थीं। आप डेटा डालते थे, और एक "जोखिम स्कोर" (Risk Score) बाहर आता था।

• AI कहता है: "99% संभावना है कि यह एक हमला है।"
• मानव पूछता है: "क्यों?"
• AI कहता है: "क्योंकि मैंने ऐसा कहा है।"

एक अस्पताल या पावर ग्रिड के लिए, "क्योंकि मैंने ऐसा कहा है" पर्याप्त नहीं है। यदि AI गलत होता है, तो यह जीवन रक्षक मशीन या जल उपचार संयंत्र को बंद कर सकता है। शोधकर्ता एक ऐसी प्रणाली बनाना चाहते थे जो न केवल स्मार्ट हो बल्कि पारदर्शी और भरोसेमंद भी हो।

प्रयोग: AI को प्रशिक्षित करना

शोधकर्ताओं ने CICIDS2017 नामक एक विशाल डेटासेट का उपयोग किया। इस डेटासेट को एक शहर के सुरक्षा कैमरों की वीडियो रिकॉर्डिंग के एक विशाल पुस्तकालय के रूप में समझें, जिसमें लाखों घंटों की फुटेज शामिल है।

• अच्छे लोग: सामान्य ट्रैफिक (लोग कॉफी खरीद रहे हैं, ईमेल भेज रहे हैं)।
• बुरे लोग: विभिन्न प्रकार के हमले, जिनमें DDoS (सड़कों को अवरुद्ध करने वाली एक विशाल भीड़), ब्रूट फ़ोर्स (चाबी के छल्ले पर हर चाबी आज़माना), और बॉटनेट (संक्रमित कंप्यूटरों की सेना) शामिल हैं।

उन्होंने इस फुटेज को देखने के लिए चार अलग-अलग प्रकार के "AI गार्ड" (मशीन लर्निंग मॉडल) को प्रशिक्षित किया:

1. XGBoost: एक बहुत ही तेज, तीव्र सीखने वाला जो एक निर्णय वृक्ष (decision tree) बनाता है।
2. Random Forest: कई निर्णय वृक्षों की एक समिति जो उत्तर पर वोट करती है।
3. Decision Tree: एक एकल, आसानी से पालन किया जाने वाला फ्लोचार्ट।
4. Logistic Regression: एक सरल, रैखिक नियम का पालन करने वाला।

परिणाम: चैंपियन गार्ड

शोधकर्ताओं ने इन गार्डों का परीक्षण उस नई फुटेज पर किया जिसे उन्होंने पहले नहीं देखा था।

• विजेता: एक विशिष्ट मॉडल (एक सपोर्ट वेक्टर मशीन, या SVM) लगभग पूरी तरह से प्रदर्शन करता है। इसने लगभग हर हमले और लगभग हर सामान्य व्यक्ति की सही पहचान की।
• स्कोर: इसने हजारों रिकॉर्डों में से केवल 11 गलतियाँ कीं। इसने 2,571 हमलों और 1,918 सामान्य घटनाओं को सही ढंग से पहचाना।
• "गलत अलार्म" की समस्या: सुरक्षा में, "फॉल्स पॉजिटिव" (False Positive) एक गार्ड की तरह है जो चिल्लाता है "चोर!" जब वह केवल एक डाकिया होता है। इससे घबराहट होती है और समय बर्बाद होता है। इस मॉडल में बहुत कम गलत अलार्म थे, जो शहर को सुचारू रूप से चलाने के लिए महत्वपूर्ण है।

असली मंत्र: "क्यों" (व्याख्यात्मक AI)

यह इस शोध पत्र का सबसे महत्वपूर्ण हिस्सा है। शोधकर्ता केवल "यह काम करता है" पर नहीं रुके। उन्होंने SHAP (SHapley Additive Explanations) नामक एक उपकरण का उपयोग किया।

SHAP को एक आवर्धक लेंस (magnifying glass) के रूप में समझें जिसका उपयोग AI मानव गार्ड को यह दिखाने के लिए करता है कि उसने बिल्कुल क्या देखा।

• SHAP के बिना: "मुझे लगता है कि वह कार एक बम है।"
• SHAP के साथ: "मुझे लगता है कि वह कार एक बम है क्योंकि:
  1. वह 100mph की गति से चल रही है (Flow Bytes/s)।
  2. वह बड़े, भारी क्रेट ले जा रही है (Packet Size)।
  3. वह सीधे बैंक वॉल्ट के दरवाजे की ओर बढ़ रही है (Destination Port)।"

अध्ययन में पाया गया कि AI ने DDoS हमलों को पहचानने के लिए विशिष्ट सुरागों को देखा:

• फ्लो अवधि (Flow Duration): सामान्य ट्रैफिक त्वरित होता है (जैसे एक त्वरित हाथ मिलाना)। हमलावर ट्रैफिक अक्सर संसाधनों को खत्म करने के लिए लंबे समय तक जुड़ा रहता है।
• पैकेट का आकार (Packet Size): हमलावर पाइपों को जाम करने के लिए अक्सर बड़े, भारी पैकेट भेजते हैं।
• डेस्टिनेशन पोर्ट (Destination Port): हमले अक्सर असामान्य तीव्रता के साथ विशिष्ट "दरवाजों" (जैसे वेबसाइटों के लिए पोर्ट 80) को लक्षित करते हैं।

शासन (Governance) के लिए यह क्यों मायने रखता है

यह शोध पत्र तर्क देता है कि महत्वपूर्ण बुनियादी ढांचे (जैसे पावर ग्रिड) के लिए, सटीकता जितनी महत्वपूर्ण है, विश्वास भी उतना ही महत्वपूर्ण है।

• यदि कोई मॉडल 99% सटीक है लेकिन आप नहीं जानते कि उसने किसी चीज़ को क्यों चिह्नित किया, तो आप इतना विश्वास नहीं कर सकते कि वह अस्पताल को बंद कर दे।
• SHAP का उपयोग करके, मॉडल ऑडिट योग्य (auditable) बन जाता है। एक मानव प्रबंधक स्पष्टीकरण देख सकता है, कह सकता है, "हाँ, पैकेट का आकार बहुत बड़ा है, यह सही लगता है," और फिर आत्मविश्वास के साथ कार्रवाई कर सकता है।

सीमाएं (बारीक विवरण)

लेखक ईमानदार हैं कि उनके अध्ययन ने क्या नहीं किया:

1. पुराना डेटा: डेटा 2017 का है। हमलावर विकसित हो चुके हैं, इसलिए AI को आज की चालों के लिए पुन: प्रशिक्षित करने की आवश्यकता हो सकती है।
2. स्थिर परीक्षण (Static Test): उन्होंने AI का परीक्षण एक रिकॉर्डिंग पर किया, न कि एक लाइव, वास्तविक समय के शहर में जहाँ ट्रैफिक हर सेकंड बदलता है।
3. एक प्रकार का हमला: यह अध्ययन मुख्य रूप से DDoS हमलों ( "भीड़" वाले हमलों) पर केंद्रित था। इसने डेटा चोरी या रैनसमवेयर जैसे अधिक सूक्ष्म, चालाक हमलों के खिलाफ AI का पूरी तरह से परीक्षण नहीं किया।

निचोड़

यह शोध पत्र सिद्ध करता है कि हम न केवल "स्मार्ट" बल्कि ईमानदार और व्याख्यात्मक AI सुरक्षा प्रणालियाँ भी बना सकते हैं। शक्तिशाली पहचान (जैसे SVM मॉडल) को "आवर्धक लेंस" (SHAP) के साथ जोड़कर, हम एक ऐसा साइबर सुरक्षा सिस्टम बना सकते हैं जिस पर मानव नेता भरोसा कर सकें ताकि हमारे समाज को चलाने वाले महत्वपूर्ण सिस्टम की रक्षा की जा सके। यह हमें "कंप्यूटर पर अंधे होकर भरोसा करने" से "कंप्यूटर के निर्णय को समझने और सत्यापित करने" की ओर ले जाता है।