i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

i-EXAM का तकनीकी सारांश: निर्देशात्मक और व्याख्यात्मक हमला संबद्धता ग्राफ मॉडलर (Instructable and Explainable Attack Connectivity Graph Modeler)

समस्या विवरण
बड़े पैमाने के नेटवर्क को सुरक्षित करना और प्रशासित करना स्वाभाविक रूप से चुनौतीपूर्ण है क्योंकि नेटवर्क घटक में एक एकल परिवर्तन समग्र सुरक्षा स्थिति और लचीलेपन को नाटकीय रूप से बदल सकता है। पारंपरिक दृष्टिकोण अक्सर हमले के वेक्टरों (attack vectors) और नेटवर्क कार्यक्षमता के बारे में एक साथ तर्क करने में संघर्ष करते हैं। जबकि SPEAR फ्रेमवर्क ने पहले हमले के प्रभावों की पहचान करने के लिए एक अटैक कनेक्टिविटी ग्राफ (ACG)—जो एक PDDL प्लानिंग समस्या में संकलित एक हाइपरग्राफ है—का उपयोग करने का प्रस्ताव दिया था, फिर भी एक इंटरैक्टिव, सुलभ उपकरण की आवश्यकता बनी हुई है जो सिस्टम प्रशासकों (sysadmins) को इन जटिल संबंधों को विज़ुअलाइज़ करने, "क्या-अगर" (what-if) विश्लेषण करने और स्वचालित नियोजन प्रणालियों (automated planning systems) में विशेषज्ञता की आवश्यकता के बिना सुरक्षा सुदृढ़ीकरण रणनीतियों के पीछे के तर्क को समझने की अनुमति दे सके।

कार्यप्रणाली
i-EXAM एक इंटरैक्टिव टूल है जो SPEAR फ्रेमवर्क पर आधारित है और यह नेटवर्क सुरक्षा को मॉडल करने, विश्लेषण करने और समझाने के लिए अत्याधुनिक AI प्लानर्स के साथ बड़े भाषा मॉडल (LLMs) को एकीकृत करता है। कार्यप्रणाली चार प्राथमिक चरणों के माध्यम से आगे बढ़ती है:

1. डेटा संग्रह और मॉडल निर्माण:
   i-EXAM नियोजन मॉडलों (planning models) के निर्माण को स्वचालित करता है कि Nmap, Wazuh और दस्तावेजीकृत डेटा जैसे उपकरणों का उपयोग करके सिस्टम और नेटवर्क-स्तर के गुणों (सॉफ्टवेयर, संस्करण, पोर्ट, प्रोटोकॉल, IP) को एकत्र करता है। यह बाहरी डेटाबेस (NVD, ExploitDB) से अपडेट की गई भेद्यता (CVE) जानकारी को OpenVAS जैसे स्कैनर्स के माध्यम से प्राप्त करता है। इस डेटा को JSON में संरचित किया जाता है और PDDL जनरेटर में फीड किया जाता है ताकि स्वचालित रूप से नियोजन मॉडल का निर्माण किया जा सके। अंतर्निहित औपचारिकता (formalism) ACG को एक प्लानिंग मॉडल ($M_G$) में संकलित करती है जहाँ 'फ्लुएंट्स' (fluents) होस्ट-विशेषता युग्मों का प्रतिनिधित्व करते हैं, क्रियाएं (actions) हमले/कनेक्टिविटी किनारों का प्रतिनिधित्व करती हैं, और लक्षित गुण लक्ष्यों (goals) के रूप में कार्य करते हैं।

2. विज़ुअलाइज़ेशन और विश्लेषण:
   टूल नेटवर्क को एक ग्राफ के रूप में रेंडर करता है जहाँ नोड्स होस्ट और उनसे जुड़ी कमजोरियों का प्रतिनिधित्व करते हैं, और किनारे (edges) कनेक्शन का प्रतिनिधित्व करते हैं। यह मल्टी-लेवल एब्स्ट्रैक्शन का समर्थन करता है, जिससे उपयोगकर्ता विस्तृत मेटाडेटा (CVSS स्कोर, फ़ाइल पथ आदि) के लिए नोड्स पर क्लिक कर सकते हैं। i-EXAM एक लक्ष्य तक कई संभावित हमले के पथों को विज़ुअलाइज़ करने के लिए top-k-planner का उपयोग करता है।
   सिस्टम दो विशिष्ट सुरक्षा मेट्रिक्स पर ध्यान केंद्रित करता है जो ACG से प्राप्त होते हैं:

• अभेद्यता मीट्रिक ($M_1$): एक बाइनरी संकेतक ($F^I_A(E_A) = 1$) जो निर्धारित करता है कि क्या कोई वैध हमला पथ मौजूद है ($|E_A| = 0$)।
• हमला कठिनाई मीट्रिक ($M_2$): न्यूनतम-लागत वाले हमले के पथ को कैप्चर करता है ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$)।
  दोनों मेट्रिक्स $F^1_C$ को लागू करते हैं, यह सुनिश्चित करते हुए कि सुदृढ़ीकरण रणनीतियाँ सेवा कनेक्टिविटी को बनाए रखती हैं। इन समस्याओं को Fast-Downward प्लानर के साथ LMCut ह्यूरिस्टिक का उपयोग करके A* सर्च के माध्यम से हल किया जाता है।

3. "क्या-अगर" विश्लेषण और विविध समाधान चयन:
   सुरक्षा स्थिति में सुधार के लिए, i-EXAM उन नेटवर्क संशोधनों की पहचान करता है जो सेवा उपलब्धता बनाए रखते हुए मीट्रिक मानों को कम करते हैं। पारंपरिक अटैक ग्राफों के विपरीत, ACG हमलों और कार्यात्मकताओं के बारे में एक साथ तर्क करने की अनुमति देता है। सिस्टम एक विविध समाधान चयन रणनीति को नियोजित करता है, जो विभिन्न नेटवर्क घटकों पर ध्यान केंद्रित करने वाले कई संशोधन सेट उत्पन्न करता है। यह दृष्टिकोण स्वीकार करता है कि किसी संशोधन की "लागत" को सटीक रूपता से मापना कठिन है और यह तकनीशियन की उपलब्धता और sysadmin विशेषज्ञता जैसे कारकों पर निर्भर करता है, जिससे प्रशासकों को विविध विकल्पों में से सूचित विकल्प चुनने के लिए सशक्त बनाया जाता है।

4. व्याख्या पीढ़ी (Explanation Generation):
   औपचारिक नियोजन आउटपुट और मानवीय समझ के बीच की खाई को पाटने के लिए, i-EXAM प्राकृतिक भाषा में स्पष्टीकरण उत्पन्न करने के लिए एक LLM (विशेष रूप से llama-3.1-nemotron-70b-instruct) का उपयोग करता है। यह "मॉडल प्रतिबंध द्वारा स्पष्टीकरण" (explanations by model restriction) के संशोधित संस्करण का लाभ उठाता है, जो काउंटरफैक्चुअल (counterfactual) योजनाओं को प्रस्तुत करता है जो पिछले मीट्रिक मानों को संतुष्ट करती थीं और यह समझाता है कि प्रस्तावित परिवर्तन उन योजनाओं को कैसे अमान्य करते हैं।

प्रमुख योगदान

• इंटरैक्टिव टूलिंग: i-EXAM sysadmins को PDDL या AI प्लानिंग के ज्ञान की आवश्यकता के बिना नेटवर्क आर्किटेक्चर को विज़ुअलाइज़ करने, हमले के पथों को हाइलाइट करने और सुदृढ़ीकरण रणनीतियों का पता लगाने के लिए एक उपयोगकर्ता-अनुकूल इंटरफ़ेस प्रदान करता है।
• औपचारिक गारंटी: SPEAR फ्रेमवर्क की साउंडनेस (soundness) और पूर्णता (completeness) की गारंटी को विरासत में प्राप्त करके, i-EXAM यह सुनिश्चित करता है कि मॉडल में कोई भी वैध योजना ACG में एक वैध हमले या कनेक्टिविटी पथ के अनुरूप है, और इसके विपरीत भी।
• स्वचालित पाइपलाइन: टूल नेटवर्क स्कैनिंग (Nmap, Wazuh, OpenVAS) से PDDL मॉडल निर्माण तक की पूरी पाइपलाइन को स्वचालित करता है, जिससे मैन्युअल मॉडलिंग की आवश्यकता समाप्त हो जाती है।
• LLMs के माध्यम से व्याख्यात्मकता: यह संरचित काउंटरफैक्चुअल प्लान ट्रेसेस को प्राकृतिक भाषा में अनुवादित करने के लिए LLMs को एकीकृत करता है, जिससे सुरक्षा सिफारिशों का तर्क गैर-विशेषज्ञों के लिए सुलभ हो जाता है।
• विविध रणनीति पीढ़ी: सिस्टम कार्यान्वयन लागत और बाधाओं की अनिश्चितता को ध्यान में रखते हुए विविध सुदृढ़ीकरण रणनीतियाँ उत्पन्न करता है।

परिणाम और प्रदर्शन
लगभग 30 नोड्स वाले नेटवर्क पर अनुभवजन्य मूल्यांकन (जैसा कि Podder et al. 2025 में उद्धृत है) प्रदर्शित करते हैं कि ह्यूरिस्टिक मार्गदर्शन (LMCut) दोनों अभेद्यता और हमला कठिनाई मेट्रिक्स में निरंतर गणना समय को लगभग 50% कम करता है। top-k-planner बड़े नेटवर्क में भी विविध हमले के पथों को सफलतापूर्वक सूचीबद्ध करता है। सिस्टम उन केस स्टडीज में सफलतापूर्वक स्थापित होता है जहाँ यह स्वचालित रूप से लक्ष्यों को हाइलाइट कर सकता है, लागत के साथ हमले की योजनाएं प्रस्तुत कर सकता है, और उन संशोधनों के लिए विविध विकल्प और स्पष्टीकरण उत्पन्न कर सकता है कि वे विकल्प हमलों को कैसे समाप्त करते हैं या उनकी लागत बढ़ाते हैं।

महत्व और दावे
यह शोध पत्र i-EXAM को औपचारिक AI प्लानिंग सिद्धांत और वास्तविक दुनिया के नेटवर्क सुरक्षा संचालन के बीच एक सेतु के रूप में प्रस्तुत करता है। इसका प्राथमिक महत्व स्वचालन और प्राकृतिक भाषा स्पष्टीकरण के माध्यम से सिस्टम प्रशासकों के लिए प्लानिंग-आधारित सुरक्षा विश्लेषण को सुलभ बनाना है। लेखक दावा करते हैं कि PDDL-आधारित ACG फॉर्मलिज्म की डोमेन-स्वतंत्र प्रकृति टूल को बिना किसी कार्य-विशिष्ट फाइन-ट्यूनिंग के किसी भी नेटवर्क टोपोलॉजी और भेद्यता संयोजन में सामान्यीकरण करने की अनुमति देती है। इसके अतिरिक्त, ह्यूमन-इन-द-लूप डिज़ाइन यह सुनिश्चित करती है कि प्रशासक विविध सुदृढ़ीकरण विकल्पों में से चयन करने के लिए डोमेन निर्णय लागू कर सकें, जबकि टूल जटिल कम्प्यूटेशनल तर्क को संभालता है। यह कार्य अधिक लचीले नेटवर्क प्रबंधन की दिशा में एक कदम के रूप में प्रस्तुत किया गया है, जिसमें भविष्य के कार्य के रूप में सीखे गए लागत कार्यों (learned cost functions), डोमेन विशेषज्ञों के साथ उपयोगिता अध्ययन और बड़े एंटरप्राइज नेटवर्क तक स्केलिंग का प्रस्ताव दिया गया है।