Synthetic APTs: the Collapse of TTP-Based Attribution
यह शोध पत्र तर्क देता है कि एआई-संचालित एडवर्सरी एम्यूलेशन (adversary emulation) यह प्रदर्शित करता है कि कैसे एजेंटों की रक्षात्मक उपकरणों को गतिशील रूप से अनुकूलित करने और उन्हें हथियार बनाने की क्षमता, विशिष्ट खतरे वाले अभिनेताओं (threat actors) के लिए साइबर हमलों का श्रेय देने हेतु स्थिर टैक्टिक्स, टेक्निक्स और प्रोसीजर्स (TTPs) पर पारंपरिक निर्भरता को कमजोर करती है, जो प्रभावी रूप से व्यक्तियों के लिए राष्ट्र-राज्य स्तर की क्षमताओं के साथ काम करने के अवरोध को समाप्त कर देती है।
मूल पेपर CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/) के तहत सार्वजनिक डोमेन को समर्पित है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
मुख्य विचार: "डिजिटल मास्क" की समस्या
कल्पना कीजिए कि आप एक चोर को पकड़ने की कोशिश कर रहे एक जासूस हैं। अतीत में, आप चोर की पहचान उसके हस्ताक्षर (signature) से कर सकते थे: शायद वह हमेशा एक लाल क्रोबार (crowbar) का उपयोग करता था, हमेशा बाईं ओर से ताले तोड़ता था, और हमेशा फर्श पर एक विशिष्ट प्रकार की मिट्टी छोड़ देता था। साइबर दुनिया में, इन हस्ताक्षरों को TTPs (Tactics, Techniques, and Procedures) कहा जाता है। यदि आप देखते हैं कि कोई हैकर "रेड क्रोबार #41" का उपयोग कर रहा है, तो आप जानते हैं कि यह "ग्रुप A" है।
यह शोध पत्र तर्क देता है कि आर्टिफिशियल इंटेलिजेंस (AI) इस प्रणाली को तोड़ने वाला है।
शोधकर्ताओं ने एक डिजिटल खेल का मैदान (एक "साइबर रेंज") बनाया और AI एजेंटों को पांच अलग-अलग प्रसिद्ध हैकर समूहों (जैसे APT28, APT29, Lazarus, आदि) की तरह कार्य करने के लिए प्रोग्राम किया। फिर उन्होंने इन AI हैकर्स को AI रक्षकों के खिलाफ लड़ते हुए देखा।
चौंकाने वाला परिणाम: भले ही AI एजेंटों को अलग-अलग समूहों की तरह व्यवहार करने के लिए कहा गया था, वे सभी हमले की शुरुआत बिल्कुल एक ही तरीके से करने लगे। उन्होंने एक ही तरह के टूल्स, एक ही तरह के स्कैनिंग तरीके और एक ही तरह के प्रवेश बिंदुओं का उपयोग किया। यह ऐसा था जैसे पांच अलग-अलग लोग, अलग-अलग मास्क पहने हुए, एक ही बैंक में एक ही पिछले दरवाजे से अंदर आए, एक ही चाबी का उपयोग किया, और एक ही पदचिह्न छोड़े।
चूंकि वे सभी शुरुआत में एक जैसे दिख रहे थे, इसलिए एक मानव जासूस (या कंप्यूटर) अब यह नहीं कह सकता कि, "ओह, यह निश्चित रूप से ग्रुप A है।" "फिंगरप्रिंट" धुंधला हो गया है।
प्रयोग: एक डिजिटल "वॉरगेम"
शोधकर्ताओं ने परीक्षण करने के लिए दो अलग-अलग "युद्धक्षेत्र" सेट किए:
- "ऑफिस बिल्डिंग" (एंटरप्राइज नेटवर्क): 20 कंप्यूटरों के साथ एक मानक कॉर्पोरेट नेटवर्क। यह अपेक्षाकृत खुला था, जैसे बिना लॉक वाले दरवाजों वाली एक इमारत।
- "फोर्ट्रेस" (सैन्य बुनियादी ढांचा): दो अलग-अलग संगठनों, भारी फायरवॉल और सख्त सुरक्षा क्षेत्रों के साथ एक अत्यधिक सुरक्षित नेटवर्क। यह कई द्वारों वाली एक किले जैसी थी।
उन्होंने कुल 20 युद्ध चलाए। प्रत्येक युद्ध में, एक AI हमलावर (एक हैकर समूह का नाटक करते हुए) घुसपैठ करने की कोशिश कर रहा था, जबकि एक AI रक्षक उन्हें रोकने की कोशिश कर रहा था।
परिणाम: एक सटीक विभाजन
परिणाम अविश्वसनीय रूप से अनुमानित था, चाहे AI किसी भी "हैकर समूह" का नाटक कर रहा हो:
- ऑफिस बिल्डिंग में: AI हमलावर हमेशा जीत गए। वे अंदर घुस गए और कंप्यूटरों पर कब्जा कर लिया (2 से 12 के बीच)।
- फोर्ट्रेस में: AI रक्षक हमेशा जीत गए (या लड़ाई बराबरी पर समाप्त हुई)। हमलावर मुख्य द्वार को पार नहीं कर सके।
सबक: इससे कोई फर्क नहीं पड़ता था कि AI रूसी जासूस, उत्तर कोरियाई चोर या चीनी हैकर होने का नाटक कर रहा था। इमारत का लेआउट (नेटवर्क डिजाइन) हमलावर की "पर्सनैलिटी" से कहीं अधिक महत्वपूर्ण था। यदि दरवाजे कमजोर थे, तो AI घुस गया। यदि दीवारें मजबूत थीं, तो AI विफल रहा।
वह "जादुई ट्रिक" जिसने एट्रिब्यूशन (Attribution) को तोड़ दिया
अध्ययन का सबसे दिलचस्प हिस्सा "ऑफिस बिल्डिंग" के युद्धों के दौरान हुआ।
शोधकर्ता उम्मीद कर रहे थे कि "ग्रुप A" का नाटक करने वाला AI "ग्रुप A" के विशेष टूल्स का उपयोग करेगा, और "ग्रुप B" अपने टूल्स का उपयोग करेगा। इसके बजाय, सभी AI हमलावरों ने स्वतंत्र रूप से एक ही ट्रिक खोज ली।
उन्होंने पाया कि रक्षकों ने एक मैनेजमेंट टूल (जिसे Velociraptor कहा जाता है) को एक डिफॉल्ट पासवर्ड के साथ वहां छोड़ दिया था।
- AI हमलावरों ने केवल कंप्यूटरों को हैक नहीं किया; उन्होंने रक्षक के अपने सुरक्षा उपकरण का अपहरण (hijack) कर लिया।
- उन्होंने रक्षक के अपने सुरक्षा कैमरे को अपने रिमोट कंट्रोल (Command and Control) में बदल दिया।
- वे नेटवर्क में अदृश्य रहने के लिए इसी भरोसेमंद टूल का उपयोग करके इधर-उधर घूमते रहे।
उपमा: कल्पना कीजिए कि एक घर में चोरी करने वाला व्यक्ति घर में घुसता है। ताला तोड़ने के बजाय, उसे पायदान (mat) के नीचे घर के मालिक की अतिरिक्त चाबी मिल जाती है। इससे भी बुरा यह है कि उसे घर के मालिक का सुरक्षा सिस्टम मैनुअल मिलता है, वह घर के मालिक के अपने सुरक्षा कोड का उपयोग करके सामने का दरवाजा खोलता है, और फिर पुलिस के आने पर देखने के लिए घर के मालिक के अपने सुरक्षा कैमरे का उपयोग करता है।
यह क्यों मायने रखता है: यह ट्रिक किसी विशिष्ट हैकर समूहों के "प्लेबुक" में नहीं थी। यह एक नया, साझा व्यवहार था जिसे सभी AI एजेंटों ने अपने आप आविष्कार किया क्योंकि वे एक ही अंतर्निहित AI मस्तिष्क का उपयोग कर रहे थे। चूंकि वे सभी बिल्कुल एक जैसा काम कर रहे थे, इसलिए आप यह नहीं बता सकते थे कि कौन सा "ग्रुप" इसके लिए जिम्मेदार था।
तीन मुख्य निष्कर्ष
"शुरुआत" सबके लिए एक जैसी है:
जब AI एजेंट हमला शुरू करते हैं, तो वे पहले कुछ बुनियादी चीजें करते हैं (नेटवर्क स्कैन करना, पासवर्ड का अनुमान लगाना)। वे हमले के दौरान बाद में अलग तरह से व्यवहार करना शुरू करते हैं, यदि वे काफी गहराई तक पहुँच जाते हैं। लेकिन तब तक, वे एक जेनेरिक फिंगरप्रिंट छोड़ चुके होते हैं जो बाकी सभी जैसा दिखता है।"फिंगरप्रिंट" धुंधला हो रहा है:
अतीत में, यदि आप एक विशिष्ट हैकिंग तकनीक देखते थे, तो आप कह सकते थे, "यह निश्चित रूप से लाजरस ग्रुप है।" अब, यदि आप वह तकनीक देखते हैं, तो आप सुनिश्चित नहीं हो सकते। यह लाजरस ग्रुप हो सकता है, या कोई अन्य समूह जो ऐसे AI का उपयोग कर रहा है जिसने बस यह सीख लिया है कि इसे करने का सबसे अच्छा तरीका क्या है। "सिग्नेचर" अब अद्वितीय नहीं रहा।बर्गर (Burglar) से ज्यादा बिल्डिंग मायने रखती है:
अध्ययन में पाया गया कि नेटवर्क डिजाइन (कंप्यूटर कैसे जुड़े हैं और सुरक्षित हैं) ही एकमात्र चीज़ थी जिससे यह तय हुआ कि कौन जीतेगा।- यदि नेटवर्क कमजोर था (ऑफिस), तो AI हर बार जीता, चाहे रक्षक कितना भी "स्मार्ट" क्यों न हो।
- यदि नेटवर्क मजबूत था (फोर्ट्रेस), तो AI हर बार हार गया, भले ही हमलावर सबसे शक्तिशाली AI मॉडल का उपयोग कर रहा हो।
- मुख्य अंतर्दृष्टि: एक छोटा, सस्ता AI रक्षक भी एक विशाल, महंगे AI के समान ही अच्छा काम कर सकता है, यदि नेटवर्क को सुरक्षित रूप से बनाया गया हो।
निष्कर्ष: इसका क्या अर्थ है?
शोध पत्र यह निष्कर्ष निकालता है कि हम एक ऐसे युग में प्रवेश कर रहे हैं जहाँ एट्रिब्यूशन (Attribution) टूट गया है।
अतीत में, हम किसी साइबर-हमलावर को उसकी "शैली" (style) से पहचान सकते थे। अब, क्योंकि AI को किसी की भी तरह व्यवहार करने के लिए प्रोग्राम किया जा सकता है, और क्योंकि AI समस्याओं के लिए एक ही "सर्वश्रेष्ठ" समाधान खोजने की प्रवृत्ति रखता है, विभिन्न हमलावर एक जैसे दिखने लगेंगे।
यदि कोई बुरा व्यक्ति किसी दूसरे देश को साइबर हमले के लिए फंसाना चाहता है, तो वह बस AI को "ग्रुप X की तरह व्यवहार करने" के लिए कह सकता है। AI संभवतः वास्तविक ग्रुप X के समान ही "फिंगरप्रिंट" उत्पन्न करेगा, जिससे यह बताना असंभव हो जाएगा कि वास्तव में हमले के पीछे कौन है।
पेपर की अंतिम चेतावनी: हम अब साइबर अपराधियों को पकड़ने के लिए "शैली" पर भरोसा नहीं कर सकते। हमें मजबूत नेटवर्क दीवारों (सेगमेंटेशन) और बेहतर सुरक्षा स्वच्छता (जैसे डिफॉल्ट पासवर्ड बदलना) पर निर्भर रहना होगा, क्योंकि "डिजिटल फिंगरप्रिंट" अब विश्वसनीय नहीं रहे।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।