Applying JEPA-Style Predictive Learning to JA4-Derived Network Fingerprints
यह शोध पत्र JA4-JEPA प्रस्तुत करता है, जो एक ट्रांसफॉर्मर-आधारित मॉडल है जो JA4-व्युत्पन्न फिंगरप्रिंट्स से उच्च-गुणवत्ता वाले नेटवर्क एम्बेडिंग्स उत्पन्न करने के लिए JEPA-शैली की प्रेडिक्टिव लर्निंग को सफलतापूर्वक लागू करता है, जो प्रशिक्षण स्रोतों में अपूर्ण व्यू ओवरलैप के बावजूद मजबूत प्रोटोकॉल-फैमिली वर्गीकरण सटीकता प्राप्त करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक भीड़भाड़ वाले रेलवे स्टेशन में एक रहस्यमय यात्री की पहचान करने की कोशिश कर रहे हैं। आमतौर पर, सुरक्षा गार्ड केवल एक आईडी कार्ड ("फिंगरप्रिंट") को ज्ञात चेहरों की एक विशाल सूची से मिलाते हैं। यदि कार्ड मेल खाता है, तो बहुत अच्छा; यदि नहीं, तो उन्हें समझ नहीं आता कि क्या करें। अधिकांश कंप्यूटर नेटवर्क वर्तमान में ट्रैफ़िक को इसी तरह पहचानते हैं: वे एक छोटे कोड (जैसे कि JA4 फिंगरप्रिंट) को देखते हैं और कहते हैं, "ओह, यह एक वेब ब्राउज़र है," या "यह एक सर्वर है।" यह तेज़ है, लेकिन यह कठोर है। यह वास्तव में यात्री को समझता नहीं है; यह केवल एक नाम टैग को मिलाता है।
अब, एक नए प्रकार के जासूस की कल्पना करें जो केवल एक सूची की जाँच नहीं करता है। इसके बजाय, यह जासूस यात्री द्वारा ले जाए जाने वाले कुछ अलग संकेतों को देखता है—एक टोपी, एक जूता, एक टिकट और एक बैकपैक। भले ही यात्री के पास टोपी न हो या जासूस उसे बैकपैक न देख पाए, जासूस यह अनुमान लगाने की कोशिश करता है कि जो संकेत वह देख पा रहा है, उनके आधार पर गायब संकेत कैसे दिखने चाहिए। यदि अनुमान वास्तविकता से मेल खाता है, तो जासूस यात्री की शैली के बारे में गहराई से कुछ सीखता है।
यही वह काम है जो ल्यूसर्न यूनिवर्सिटी के शोधकर्ताओं ने एक नया सिस्टम बनाया जिसे उन्होंने JA4-JEPA नाम दिया।
"गायब हिस्सा" पहेली
टीम ने नेटवर्क "आईडी कार्ड" (लगभग 397,000 नमूने) का एक विशाल संग्रह लिया जो दो अलग-अलग स्रोतों से था। इन कार्डों के चार अलग-अलग भाग थे:
- JA4: बुनियादी क्लाइंट आईडी (जैसे पासपोर्ट)।
- JA4H: क्लाइंट वेबसाइट से कैसे बात करता है (जैसे एक बातचीत)।
- JA4S: सर्वर कैसे प्रतिक्रिया देता है (जैसे एक उत्तर)।
- JA4X: डिजिटल प्रमाणपत्रों के विवरण (जैसे एक वीज़ा)।
यहाँ पेचीदा बात यह है: उनके ढेर में किसी भी एक आईडी कार्ड में ये चारों भाग नहीं थे। कुछ में बातचीत गायब थी, कुछ में उत्तर गायब था। यह ऐसा था जैसे किसी व्यक्ति को केवल उसके शरीर के आधे हिस्से को देखकर सीखने की कोशिश करना, जहाँ कुछ फोटो में आधा शरीर दिख रहा है और अन्य में दूसरा आधा।
शोधकर्ताओं ने एक स्मार्ट एआई (एक ट्रांसफॉर्मर मॉडल) बनाया जो "खाली स्थानों को भरने" का खेल खेलने के लिए था। उन्होंने एआई को आईडी कार्ड के कुछ भाग दिखाए और उससे छिपे हुए भागों की भविष्यवाणी करने को कहा। पूरे चित्र को फिर से बनाने की कोशिश करने के बजाय (जो कठिन और धीमा है), एआई ने एक छिपे हुए मानसिक स्थान में गायब हिस्सों के सार या "वाइब" (vibe) की भविष्यवाणी करना सीखा। इस दृष्टिकोण को JEPA (जॉइंट-एम्बेडिंग प्रेडिक्टिव आर्किटेक्चर) कहा जाता है, और इसका उपयोग आमतौर पर छवियों और वीडियो के लिए किया जाता है, नेटवर्क कोड के लिए नहीं।
परिणाम: एक नया प्रकार का सुपरपावर
प्रशिक्षण के बाद, शोधकर्ताओं ने एआई के मस्तिष्क को फ्रीज कर दिया और उसका परीक्षण किया। उन्होंने पूछा: "क्या आप बता सकते हैं कि यह ट्रैफ़िक एक वेब ब्राउज़र (TLS), एक डोमेन नेम सिस्टम (DNS), या एक सिक्योर शेल (SSH) है?"
परिणाम आश्चर्यजनक रूप से मजबूत थे:
- एआई के अनुमान वास्तविक छिपे हुए भागों से 0.9899 के कोसाइन सिमिलरिटी (cosine similarity) के साथ मेल खाते थे (जो लगभग पूर्ण है, जैसे दो जुड़वां भाई-बहन)।
- जब ट्रैफ़िक को समूहों में वर्गीकृत करने के लिए उपयोग किया गया, तो एक सरल पड़ोसी-जाँच पद्धति ने 39,416 नए, अनदेखे नमूनों पर 92.20% बार इसे सही पहचाना।
यह सुझाव देता है कि अधूरे डेटा के साथ भी, एआई ने नेटवर्क ट्रैफ़िक का एक समृद्ध, उपयोगी प्रतिनिधित्व सीखा है। यह अब केवल नाम टैग मिलाने के बारे में नहीं है; यह ट्रैफ़िक की संरचना को समझता है।
"विसंगति" परीक्षण: नकलियों को पकड़ना
यह देखने के लिए कि क्या यह नया तरीका पुराने तरीकों से बेहतर है, टीम ने एक एंटरप्राइज गेटवे से 2.1 मिलियन वास्तविक दुनिया के ट्रैफ़िक जोड़ों पर दूसरा परीक्षण चलाया। उन्होंने दो प्रकार के "नकली" विसंगतियों (ट्रिक्स) को बनाया ताकि यह देखा जा सके कि कौन सा सिस्टम उन्हें पकड़ सकता है:
- द शफल (The Shuffle): एक वास्तविक आईडी को एक यादृच्छिक, असंबंधित बातचीत के साथ मिलाना।
- द हार्ड-पॉजिटिव (The Hard-Positive): एक वास्तविक आईडी को एक ऐसी बातचीत के साथ मिलाना जो उसने पहले कभी नहीं की है, भले ही दोनों भाग सामान्य हों।
उन्होंने अपने नए एआई की तुलना पांच अन्य तरीकों से की: फ्रीक्वेंसी काउंटिंग, नियरएस्ट-नेबर लुकअप्स, ऑटोएनकोडर्स और क्लस्टरिंग।
निष्कर्ष स्पष्ट थे:
- JA4-JEPA मॉडल ही एकमात्र था जिसने दोनों प्रकार के ट्रिक्स पर मजबूती से प्रदर्शन किया। इसने शफल के लिए 0.922 के AUC (एक स्कोर जहाँ 1.0 पूर्ण है) और हार्ड-पॉजिटिव के लिए 0.925 के AUC के साथ नकलियों को पकड़ा।
- अन्य तरीके कम से कम एक परीक्षण में विफल रहे। उदाहरण के लिए, साधारण फ्रीक्वेंसी काउंटर नई संयोजनों के प्रति पूरी तरह से अंधे थे, और नियरएस्ट-नेबर लुकअप्स डेटा बढ़ने के साथ धीमे और भ्रमित हो गए।
- गति: एआई एक मानक CPU पर 8,000 जोड़े प्रति सेकंड को स्कोर कर सकता था, और इसकी गति डेटाबेस बढ़ने के साथ धीमी नहीं हुई। इसके विपरीत, नियरएस्ट-नेबर पद्धति डेटा बढ़ने के साथ 3,400 जोड़े प्रति सेकंड से घटकर केवल 250 रह गई।
जो यह पेपर नहीं कहता है
यह जानना महत्वपूर्ण है कि यह जादूगर क्या नहीं करता है।
- यह मैलवेयर के लिए कोई क्रिस्टल बॉल नहीं है: पेपर स्पष्ट रूप से बताता है कि जबकि यह बता सकता है कि ट्रैफ़िक एक वेब ब्राउज़र, DNS सर्वर या SSH है, यह अभी भी यह नहीं बता सकता कि कौन सा विशिष्ट ऐप (जैसे "Chrome" बनाम "Firefox") चल रहा है या क्या ट्रैफ़िक हानिकारक है। उनके लेबल बहुत व्यापक थे।
- यह सब कुछ "देखने" में पूर्ण नहीं है: क्योंकि प्रशिक्षण डेटा के हिस्से गायब थे (किसी भी नमूने में चारों दृश्य नहीं थे), एआई संभवतः उस एक हिस्से पर बहुत अधिक निर्भर हो सकता है जिसे वह हमेशा देखता है (JA4) ताकि बाकी हिस्सों का अनुमान लगाया जा सके। लेखक सुझाव देते हैं कि हालांकि परिणाम आशाजनक हैं, हम 100% निश्चित नहीं हो सकते कि एआई ने सभी दृश्यों के बीच गहरे संबंध सीखे हैं, क्योंकि उसने प्रशिक्षण के दौरान कभी भी एक पूर्ण चित्र नहीं देखा।
- "कैलिब्रेशन" अभी भी प्रक्रिया में है: एआई संदिग्धों को रैंक करने में बहुत अच्छा है (यह जानने में कि कौन सा सबसे संदिग्ध है), लेकिन एक विशिष्ट "अलार्म लाइन" (थ्रेशोल्ड) सेट करना अभी भी कठिन है। 5% गलत अलार्म बजट पर, इसने केवल 53% "हार्ड-पॉजिटिव" विसंगतियों को पकड़ा। रैंकिंग मजबूत है, लेकिन सटीक अलार्म सेटिंग पर अभी और काम करने की आवश्यकता है।
निष्कर्ष
पेपर यह सुझाव देता है कि एआई को नेटवर्क फिंगरप्रिंट के "गायब हिस्सों का अनुमान लगाना" सिखाना ट्रैफ़िक को समझने का एक शक्तिशाली नया तरीका है। यह एक हल्का, तेज़ और स्मार्ट सिस्टम बनाता है जो अजीब संयोजनों को पकड़ने में वर्तमान तरीकों से बेहतर है। हालाँकि, यह अभी तक कोई हल की गई समस्या नहीं है। शोधकर्ता सतर्क रूप होकर सकारात्मक हैं: यह तरीका ट्रैफ़िक प्रकारों को वर्गीकृत करने और विसंगतियों को पकड़ने के लिए काम करता है, लेकिन इसे विशिष्ट वायरस या ऐप्स को पकड़ने वाले वास्तविक दुनिया के सुरक्षा उपकरण में बदलने के लिए, हमें अधिक विस्तृत लेबल और ऐसे डेटा की आवश्यकता है जहाँ वास्तव में सभी पहेली के टुकड़े मौजूद हों।
संक्षेप में: एआई ने "गायब हिस्से का अनुमान लगाने" का खेल इतनी अच्छी तरह से सीखा कि उसने पूरे चित्र को समझना शुरू कर दिया, भले ही चित्र फटा हुआ हो। लेकिन हमें अभी भी इसे भीड़ में छिपे विशिष्ट बुरे लोगों को पहचानने के लिए सिखाने की आवश्यकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।