Multi-Source Cybersecurity Logs: An ATT&CK-Labeled Dataset and SLM Evaluation
यह शोध पत्र एक नवीन मल्टी-सोर्स साइबर सुरक्षा डेटासेट प्रस्तुत करता है जिसमें सिस्टम, नेटवर्क और ब्राउज़र लॉग के साथ 870 सत्र शामिल हैं जिन्हें सूक्ष्म MITRE ATT&CK तकनीकों के साथ लेबल किया गया है, और यह प्रदर्शित करता है कि इस डेटा पर स्मॉल लैंग्वेज मॉडल्स को फाइन-ट्यून करने से दुर्भावनापूर्ण घटनाओं को वर्गीकृत करने और हमले की तकनीकों की पहचान करने की उनकी क्षमता में महत्वपूर्ण वृद्धि होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक व्यस्त ऑफिस बिल्डिंग में किसी रहस्य को सुलझाने की कोशिश कर रहे हैं। चोर को पकड़ने के लिए, आप केवल सुरक्षा कैमरों (नेटवर्क लॉग्स) को नहीं देख सकते; आपको कर्मचारियों के आईडी कार्ड स्वाइप (सिस्टम लॉग्स) और कॉफी शॉप या ऑनलाइन स्टोर के रसीदों (ब्राउज़र लॉग्स) की भी जांच करने की आवश्यकता है। यदि आप केवल एक स्रोत को देखते हैं, तो चोर आसानी से छिप सकता है।
यह शोध पत्र कंप्यूटर जासूसों के लिए एक अति-विस्तृत प्रशिक्षण नियमावली (training manual) बनाने के बारे में है और यह परीक्षण करने के बारे में है कि क्या एक नए प्रकार का "स्मार्ट सहायक" (जिसे "स्मार्ट लैंग्वेज मॉडल" कहा जाता है) इस नियमावली का उपयोग करके चोर को पकड़ना सीख सकता है।
यहाँ उन्होंने क्या किया, इसका विवरण सरल उपमाओं (analogies) का उपयोग करके दिया गया है:
1. समस्या: "अंधा जासूस" (The Blind Detective)
वर्तमान में, अधिकांश कंप्यूटर सुरक्षा डेटासेट ऐसे हैं जैसे किसी जासूस को केवल पार्किंग स्थल का नक्शा देना। वे इमारत के अंदर (सिस्टम लॉग्स) क्या हुआ या व्यक्ति अपने कंप्यूटर स्क्रीन पर क्या देख रहा था (ब्राउज़र लॉग्स), इसे मिस कर देते हैं।
- कमी (The Gap): मौजूदा डेटा या तो ब्राउज़र गतिविधि को मिस करता है, या सिस्टम गतिविधि को मिस करता है, या बस "बुरा आदमी" या "अच्छा आदमी" कहता है बिना यह बताए कि कैसे (जैसे कि उन्होंने ताला तोड़ने की कौन सी विशिष्ट तकनीक का उपयोग किया)।
- लक्ष्य: लेखकों चाहते थे कि एक ऐसा डेटासेट बनाया जाए जो एक साथ होने वाली हर चीज़ (सिस्टम + नेटवर्क + ब्राउज़र) को कैप्चर करे और हर गलत चाल को MITRE ATT&CK नामक एक प्रसिद्ध सुरक्षा प्लेबुक से प्राप्त एक विशिष्ट "तकनीक के नाम" के साथ लेबल करे।
2. समाधान: "रहस्य सिम्युलेटर" बनाना (Building the "Mystery Simulator")
लेखकों ने केवल यह अनुमान नहीं लगाया कि हमले कैसे दिखते हैं; उन्होंने एक वास्तविक सिमुलेशन लैब बनाई।
- सेटअप: उन्होंने एक सुरक्षित, अलग डिजिटल कमरा (एक लैब) बनाया जहाँ वे किसी को नुकसान पहुँचाए बिना वास्तविक मैलवेयर चला सकते थे।
- अभिनेता (The Actors): उन्होंने 870 सत्र (sessions) चलाए।
- 800 सत्र "अच्छे लोग" थे जो सामान्य काम (ब्राउज़िंग, ईमेल लिखना, कोडिंग) कर रहे थे।
- 70 सत्र "बुरे लोग" थे जो डेटा चुराने या कंप्यूटर को लॉक करने के लिए वास्तविक हैकिंग टूल्स (जैसे रिमोट एक्सेस ट्रोजन और रैनसमवेयर) का उपयोग कर रहे थे।
- परिणाम: उन्होंने लगभग 2.3 मिलियन इवेंट्स (जैसे पैरों के निशान, दरवाजे खुलना और फोन कॉल) एकत्र किए और उन्हें लेबल किया। उन्होंने 12 अलग-अलग हमलों के लक्ष्यों में से 53 विभिन्न हैकिंग तकनीकों को कवर किया।
- "चंक" (The Chunk): कंप्यूटर के लिए इसे आसान बनाने के लिए, उन्होंने डेटा को छोटे बंडलों में समूटा जिन्हें "चंक" कहा जाता है। कल्पना कीजिए कि एक चंक हमले का एक 7-सेकंड का वीडियो क्लिप है। कंप्यूटर को यह तय करने के लिए कि "क्या यह एक सामान्य दिन है, या कोई चोरी हो रही है?", इस 7-चरणीय अनुक्रम को देखना होगा।
3. परीक्षण: "स्मार्ट सहायकों" को प्रशिक्षित करना (Training the "Smart Assistants")
उन्होंने तीन छोटे, कुशल AI मॉडल (जिन्हें SLMs कहा जाता है—सोचिए कि ये स्मार्ट लेकिन कॉम्पैक्ट असिस्टेंट हैं, विशाल भारी सुपर-कंप्यूटर नहीं) लिए और उन्हें अपने नए डेटासेट का उपयोग करके सिखाने की कोशिश की।
- मॉडल: उन्होंने तीन अलग-अलग "दिमागों" का उपयोग किया: Qwen, Llama, और Phi।
- विधि: उन्होंने LoRA नामक तकनीक का उपयोग किया। कल्पना कीजिए कि यह AI को एक विशेषज्ञता वाली 'चीट शीट' या गेम के नियमों के साथ स्टिकी नोट्स देने जैसा है, न कि AI के पूरे दिमाग को फिर से लिखने जैसा। यह तेज़ और सस्ता है।
4. परिणाम: "अनजान" से "विशेषज्ञ" तक (From "Clueless" to "Expert")
परिणाम नाटकीय थे, जैसे किसी अंधे व्यक्ति को रातों-रात एक पैनी नज़र वाला जासूस बना दिया गया हो।
प्रशिक्षण से पहले (Base Models):
- AI बहुत बुरा था। उसने केवल 8% उत्तर सही दिए।
- बड़ी खामी: AI एक "गलत चेतावनी देने वाली मशीन" (cry wolf machine) था। वह इतना संदिग्ध था कि लगभग हर एक सामान्य सत्र को हमला बता देता था। यह एक सुरक्षा गार्ड की तरह था जो सोचता है कि ऑफिस में आने वाला हर व्यक्ति चोर है। यह वास्तविक जीवन में बेकार था क्योंकि यह बहुत अधिक झूठी सूचनाएं (false alarms) पैदा करता।
प्रशिक्षण के बाद (Fine-Tuned Models):
- AI उत्कृष्ट हो गया। सटीकता बढ़कर 90% और 97% के बीच पहुँच गई।
- इसने आखिरकार एक सामान्य उपयोगकर्ता के वेब ब्राउज़ करने और एक हैकर द्वारा डेटा चुराने के बीच अंतर करना सीख लिया।
- विजेता: Phi-4-Mini मॉडल सबसे अच्छा था, जिसने 97% हमलों को पकड़ा। अन्य भी अच्छे थे, लेकिन एक (Llama) आधे से अधिक हमलों को मिस कर गया।
"तकनीक" की चुनौती (The "Technique" Challenge):
- जबकि AI यह कहने में बहुत अच्छा था कि "यह एक हमला है," यह पूछने पर थोड़ा डगमगा जाता था कि सटीक रूप से कौन सी तकनीक इस्तेमाल की गई (जैसे, "उन्होंने T1059.001 का उपयोग किया")।
- सबसे अच्छे मॉडल ने भी सटीक नाम केवल 42% बार सही बताया। हालांकि, यह सामान्य विचार को सही पकड़ने में बहुत अच्छा था (आंशिक मिलान), जिसका अर्थ है कि वह तकनीकी शब्द का सटीक स्पेलिंग भले ही न लिख पाए, लेकिन वह तर्क को समझ गया था।
5. निष्कर्ष (The Takeaway)
यह शोध पत्र मुख्य रूप से दो चीजें साबित करता है:
- डेटासेट काम करता है: आप वास्तविक हमले के सिमुलेशन का उपयोग करके एक उच्च-गुणवत्ता वाला, बहु-स्रोत डेटासेट बना सकते हैं, और इसमें स्पष्ट पैटर्न होते हैं जिन्हें कंप्यूटर सीख सकते हैं।
- प्रशिक्षण आवश्यक है: आप केवल एक सामान्य AI लेकर यह उम्मीद नहीं कर सकते कि वह हैकर्स को पकड़ेगा। इसे विशिष्ट सुरक्षा डेटा पर "फाइन-ट्यून" करने की आवश्यकता होती है। बिना इस प्रशिक्षण के, AI बहुत अधिक संदिग्ध होता है जिससे वह उपयोगी नहीं रह जाता। प्रशिक्षण के साथ, यह सुरक्षा टीमों के लिए अलर्ट को जल्दी से छाँटने (triage) के लिए एक शक्तिशाली उपकरण बन जाता है।
संक्षेप में, उन्होंने एक वास्तविक "हैकिंग सिम्युलेटर" बनाया, तीन छोटे AI सहायकों को बुरे लोगों को पहचानने के लिए सिखाया, और यह साबित किया कि सही प्रशिक्षण के साथ, ये छोटे सहायक बहुत प्रभावी सुरक्षा गार्ड बन सकते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।