An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports
यह शोध पत्र एक स्वचालित ढांचे का प्रस्ताव करता है जो अनस्ट्रक्चर्ड साइबर थ्रेट इंटेलिजेंस रिपोर्टों से पूर्वशर्तों (preconditions) और पश्चातशर्तों (postconditions) के साथ स्ट्रक्चर्ड अटैक यूनिट्स को निकालने के लिए लार्ज लैंग्वेज मॉडल्स का लाभ उठाता है, उन्हें प्रभावी रीचेबिलिटी एनालिसिस और मल्टी-स्टेज अटैक चेन रीजनिंग को सक्षम करने के लिए डैटलॉग (Datalog) नियमों में संकलित करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
इंटरनेट की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ बुरे तत्व लगातार इमारतों में घुसने, चाबियाँ चुराने और दरवाजे खोलने की कोशिश कर रहे हैं। इन्हें रोकने के लिए, सुरक्षा विशेषज्ञ विस्तृत कहानियाँ लिखते हैं जिन्हें "साइबर थ्रेट इंटेलिजेंस" रिपोर्ट कहा जाता है। ये कहानियाँ ठीक से बताती हैं कि एक हैकर कैसे अंदर घुसा: "पहले, उन्होंने एक फर्जी ईमेल भेजा। फिर, पीड़ित ने एक लिंक पर क्लिक किया। इसके बाद, एक वायरस खुद को डाउनलोड कर लिया।" यह एक जासूस की केस फाइल की तरह है। लेकिन यहाँ समस्या यह है: ये कहानियाँ अव्यवस्थित, मानवीय भाषा में लिखी गई हैं। एक कंप्यूटर जो इन्हें पढ़ने की कोशिश करता है, वह भ्रमित हो जाता है। वह आसानी से यह नहीं समझ पाता कि चरण दो क्यों हुआ (उसे चरण एक के पूरा होने की आवश्यकता थी) या चरण दो के बाद सिस्टम में क्या बदल गया। यह बिना क्रम या कारण-और-प्रभाव के, केवल अनियंत्रित रेसिपी कार्डों के ढेर का उपयोग करके एक काम करने वाला रोबोट बनाने जैसा है।
इसे ठीक करने के लिए, शोधकर्ताओं को एक ऐसा तरीका चाहिए जिससे उन अव्यवस्थित कहानियों को एक सख्त, तार्किक ब्लूप्रिंट में बदला जा सके जिसे एक कंप्यूटर वास्तव में चला सके। उन्हें न केवल यह जानने की आवश्यकता है कि हैकर ने क्या किया, बल्कि यह भी कि वह काम करने के लिए किन स्थितियों का होना आवश्यक था ("पूर्व-शर्तें" या preconditions) और उसके बाद सिस्टम किस नई स्थिति में था ("उत्तर-शर्तें" या postconditions)। इसे एक बोर्ड गेम की तरह समझें: आप अपने मोहरे को एक नए वर्ग पर तब तक नहीं ले जा सकते जब तक आपके पास सही डाइस रोल (शर्त) न हो, और एक बार जब आप चलते हैं, तो आपका मोहरा अब एक नई जगह पर होता है (परिणाम)। यदि आप उस हैकर की कहानी को नियमों के एक आदर्श सेट में अनुवाद कर सकते हैं, तो आप कंप्यूटर से पूछ सकते हैं, "क्या एक हैकर सामने के दरवाजे से तिजोरी तक पहुँच सकता है?" और आपको एक निश्चित उत्तर मिल जाएगा। यह वही चुनौती है जिसे यह शोध पत्र संबोधित करता है: अस्पष्ट जासूसी कहानियों को साइबर रक्षा के एक सटीक, खेलने योग्य खेल में बदलना।
इस शोध पत्र के लेखकों ने इस पहेली को हल करने के लिए एक चतुर, स्वचालित ढांचा (framework) बनाया। उन्होंने महसूस किया कि केवल एक स्मार्ट कंप्यूटर प्रोग्राम (एक लार्ज लैंग्वेज मॉडल) से यह कहना कि "कहानी को पढ़ो और मुझे नियम दो" अच्छी तरह काम नहीं करता है। यदि आप एक ही बार में पूरी चीज़ मांगते हैं, तो कंप्यूटर अक्सर विवरणों को गलत कर देता है, क्रम को मिला देता है, या ऐसे कदम बना देता है जो वास्तव में मौजूद नहीं हैं। यह एक छात्र को एक ही सांस में पूरा निबंध लिखने के लिए कहने जैसा है; वे तर्क खो सकते हैं। इसके बजाय, शोधकर्ताओं ने एक बहु-चरणीय असेंबली लाइन डिजाइन की।
सबसे पहले, सिस्टम एक सावधानीपूर्वक संपादक की तरह कार्य करता है, जो पाठ से मुख्य "हमले के कदमों" (attack moves) को निकालता है, जैसे कि "फ़ाइल डाउनलोड करना" या "फायरवॉल को बायपास करना।" फिर, यह एक जासूस की तरह काम करता है, उन विशिष्ट सुरागों की तलाश करता है जो बताते हैं कि वह कदम क्यों संभव था और उसके बाद क्या हुआ। लेकिन यहाँ जादू है: वह उन सुरागों को अव्यवस्थित वाक्यों के रूप में नहीं छोड़ता है। वह उन्हें एक सख्त, मानकीकृत कोड में बदलने के लिए मजबूर करता है, जैसे कि "कंप्यूटर इंटरनेट के लिए खुला है" को एक विशिष्ट गेम टोकन network.open में अनुवादित करना। यह महत्वपूर्ण है क्योंकि यह कंप्यूटर को यह जाँचने की अनुमति देता है कि क्या "टोकन" पूरी तरह से मेल खाते हैं। यदि पहला कदम "दरवाजा खुला है" का टोकन छोड़ता है, तो अगला कदम तभी हो सकता है जब उसे "दरवाजा खुला है" के टोकन की आवश्यकता हो।
सिस्टम में एक "गुणवत्ता नियंत्रण" चरण भी है। यह यह देखने के लिए एक सिमुलेशन चलाता है कि क्या कदमों की श्रृंखला वास्तव में शुरू से अंत तक जुड़ती है। यदि इसे कोई टूटा हुआ लिंक मिलता है—जैसे कि एक कदम जिसे "पासवर्ड" टोकन की आवश्यकता है जो कभी बनाया ही नहीं गया—तो यह रुक जाता है और इसे ठीक करने की कोशिश करता है, या कम से कम त्रुटि को चिह्नित करता है। अंत में, यह इन सभी साफ, सत्यापित चरणों को तार्किक नियमों (डैटालॉग नामक भाषा का उपयोग करके) के एक सेट में संकलित करता है जिसे एक कंप्यूटर तुरंत यह देखने के लिए चला सकता है कि क्या कोई विशिष्ट हमले का लक्ष्य सुलभ है।
जब उन्होंने इन वास्तविक दुनिया के साइबर हमले की रिपोर्टों पर इसका परीक्षण किया, जिनमें 334 विशिष्ट चरण शामिल थे, तो परिणाम प्रभावशाली थे। उनकी विधि ने 94.9% हमले के चरणों को खोजा और सही ढंग से फॉर्मेट किया, जो अन्य मौजूदा उपकरणों को पछाड़ दिया जो केवल 80% या उससे कम ही प्रबंधित कर पाते थे। इससे भी महत्वपूर्ण बात यह है कि जब उन्होंने अपने कंप्यूटर को इन निकाले गए नियमों पर तर्क चलाने दिया, तो इसने 20 में से 19 रिपोर्टों में हैकर के लक्ष्य तक पहुँचने का रास्ता सफलतापूर्वक खोज लिया। यह सिद्ध करता है कि उनका "असेंबली लाइन" दृष्टिकोण केवल एक स्मार्ट एआई से पूरी चीज़ का अनुमान लगाने के बजाय, अव्यवस्थित मानवीय कहानियों को साफ, खेलने योग्य गेम नियमों में बदलने में बहुत बेहतर है। उन्होंने केवल कदम नहीं खोजे; उन्होंने एक पुल बनाया जो कंप्यूटर को हमले के तर्क को वास्तव में समझने में सक्षम बनाता है, जिससे एक स्थिर कहानी एक गतिशील खतरे के मानचित्र में बदल जाती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।