Operationalizing Cyber Threat Intelligence with GraphRAG
यह शोध पत्र यह प्रदर्शित करता है कि मानक वेक्टर-आधारित RAG के बजाय नॉलेज-ग्राफ रिट्रीवल के लिए माइक्रोसॉफ्ट GraphRAG का उपयोग करना, अधिक टिकाऊ, उच्च-स्तरीय संकेतकों पर आधारित साइबर खतरे का पता लगाने वाली योजनाओं का स्वचालित निर्माण सक्षम करता है, जिसके परिणामस्वरूप हमलावर द्वारा बचाव तकनीकों के विरुद्ध डिटेक्शन पर्सिस्टेंस (पहचान की निरंतरता) में महत्वपूर्ण रूप से अधिक वृद्धि होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ बुरे लोग लगातार इमारतों में घुसने की कोशिश कर रहे हैं। जब सुरक्षा शोधकर्ता इन चोरों को पकड़ते हैं, तो वे एक रिपोर्ट लिखते हैं जिसमें सुरागों की सूची होती है: चोर के जूते का आकार, उनकी भागने वाली कार की लाइसेंस प्लेट, और उन्होंने जिस विशिष्ट ब्रांड के लॉकपिक का उपयोग किया था। पुराने दिनों में, सुरक्षा टीमें बस इन सुरागों को एक "बैन लिस्ट" में कॉपी कर देती थीं और बेहतर की उम्मीद करती थीं। लेकिन समस्या यह है: बुरे लोग बहुत तेज़ होते हैं। यदि आप एक लाइसेंस प्लेट को बैन करते हैं, तो वे एक घंटे में नई कार किराए पर ले सकते हैं। यदि आप जूते का आकार बैन करते हैं, तो वे बस एक अलग जोड़ी खरीद सकते हैं। यह नदी को रोकने के लिए उसमें एक अकेला पत्थर फेंकने जैसा है; पानी उसके चारों ओर से बह जाता है।
इसे हल करने के लिए, सुरक्षा विशेषज्ञ "पिरामिड ऑफ पेन" (Pyramid of Pain) नामक एक अवधारणा का उपयोग करते हैं। एक पिरामिड की कल्पना करें जहाँ निचली परतें आसानी से बदलने वाले सुराग (जैसे लाइसेंस प्लेट) हैं और ऊपरी परतें चोर की वास्तविक आदतों और योजनाओं (जैसे कि वे ताला कैसे खोलते हैं या उन्होंने उस इमारत को क्यों चुना) के बारे में हैं। एक आदत को बदलना कठिन है और इसमें महीनों लगते हैं; एक लाइसेंस प्लेट बदलना मिनटों का काम है। लक्ष्य पिरामिड के शीर्ष को लक्षित करने वाली रक्षा प्रणालियाँ बनाना है। इस बीच, "ग्राफआरएजी" (GraphRAG) नामक एक नए प्रकार के एआई टूल का उदय हुआ है। मानक एआई को एक ऐसे छात्र के रूप में सोचें जो एक किताब पढ़ता है और उन वाक्यों को हाइलाइट करता है जो प्रश्न के समान दिखते हैं। ग्राफआरएजी उस छात्र की तरह है जो पहले पुस्तक के सभी पात्रों, स्थानों और घटनाओं को जोड़ने वाला एक मानचित्र (मैप) बनाता है, और फिर उस मानचित्र का उपयोग उत्तर खोजने के लिए करता है। यह शोध पत्र एक सरल प्रश्न पूछता है: यदि हम केवल "हाइलाइट किए गए वाक्यों" के बजाय "मानचित्र" का उपयोग करें, तो क्या हमारी सुरक्षा योजनाएँ अधिक समय तक टिकेंगी?
जासूस की दुविधा: मानचित्र बनाम हाइलाइटर
जब एक सुरक्षा कंपनी साइबर हमले के बारे में एक रिपोर्ट प्रकाशित करती है, तो यह एक जासूस को सुरागों से भरी एक मोटी उपन्यास सौंपने जैसा है। जासूस का काम उस उपन्यास को पुलिस बल (सुरक्षा टीम) के लिए निर्देशों के एक सेट में बदलना है ताकि बुरे लोगों को पकड़ा जा सके। आमतौर पर, यह एक धीमी, मैनुअल प्रक्रिया है। एक इंसान को पूरी चीज़ पढ़नी होती है, उपयोगी हिस्सों को चुनना होता है, और सुरक्षा सॉफ्टवेयर के लिए विशिष्ट नियम लिखने होते हैं। इसमें कई दिन लग जाते हैं, और जब तक नियम तैयार होते हैं, तब तक बुरे लोग अक्सर अपनी रणनीति बदल चुके होते हैं।
कुछ टीमों ने इसे तेज़ करने के लिए एआई का उपयोग करने का प्रयास किया। उन्होंने एआई को रिपोर्ट दी और उससे नियम लिखने के लिए कहा। एआई ने "स्टैंडर्ड आरएजी" (Standard RAG) नामक एक सामान्य विधि का उपयोग किया। आप इसे एक ऐसे छात्र के रूप में देख सकते हैं जो परीक्षा देने वाला छात्र है जो केवल पाठ्यपुस्तक में उन सटीक शब्दों को खोजता है जो प्रश्न से मेल खाते हैं। यदि प्रश्न "लाल कार" के बारे में है, तो छात्र उस पैराग्राफ को ढूंढता है जिसमें "लाल कार" का उल्लेख है और उसे कॉपी करता है। समस्या यह है कि यह दृष्टिकोण बहुत शाब्दिक है। यह आसानी से बदलने वाले सुरागों (जैसे "लाल कार") पर ध्यान केंद्रित करता है और गहरी कहानी (यह तथ्य कि चोर हमेशा केवल मंगलवार को ही लाल कार चलाता है) को छोड़ देता है। क्योंकि बुरे लोग एक दिन में अपनी "लाल कार" को "नीली वैन" में बदल सकते हैं, इसलिए एआई के नियम लगभग तुरंत काम करना बंद कर देते हैं।
ग्राफआरएजी प्रयोग
आईआईटी बॉम्बे के शोधकर्ताओं ने यह देखना चाहा कि क्या एक स्मार्ट एआई दृष्टिकोण इस समस्या को ठीक कर सकता है। उन्होंने एक ही सुरक्षा रिपोर्ट को प्रोसेस करने के दो तरीकों की तुलना की:
- स्टैंडर्ड आरएजी: मानक "हाइलाइटर" विधि जो केवल समान टेक्स्ट चंक्स को ढूंढती है।
- ग्राफआरएजी: एक विधि जो पहले एक "नॉलेज ग्राफ" बनाती है। कल्पना कीजिए कि आप रिपोर्ट ले रहे हैं और कनेक्शनों का एक जाल बना रहे हैं: यह हैकर ने इस मालवेयर का उपयोग करके इस सर्वर पर हमला किया। यह उत्तर देने से पहले बिंदुओं को जोड़ता है।
उन्होंने दोनों विधियों को एक ही रिपोर्ट दी और उन्हें एक ही प्रकार की थ्रेट-हंटिंग योजना लिखने के लिए कहा। फिर, उन्होंने एक विशेष "जज" एआई का उपयोग करके योजनाओं को ग्रेड किया। ग्रेडिंग केवल इस बारे में नहीं थी कि एआई ने कितने नियम लिखे; बल्कि यह इस बारे में थी कि वे नियम "पिरामिड ऑफ पेन" पर कहाँ स्थित थे। क्या योजना आसानी से बदलने वाले सुरागों (पिरामिड के निचले हिस्से) पर निर्भर थी, या यह कठिन-से-बदलने वाले व्यवहारों (पिरामिड के शीर्ष) पर केंद्रित थी?
परिणाम: मानचित्र की जीत
परिणाम स्पष्ट थे, हालांकि एक महत्वपूर्ण अंतर के साथ। एक प्रसिद्ध हैकर समूह (APT28) के बारे में एक विशिष्ट रिपोर्ट की गहरी जांच में, शोधकर्ताओं ने परीक्षण किया कि योजनाएं कितनी देर तक चलती हैं। उन्होंने एक परिदृश्य का अनुकरण किया जहाँ बुरे लोगों ने उस रिपोर्ट में मौजूद हर एक आसान सुराग (आईपी पते, फ़ाइल नाम, डोमेन) को बदल दिया।
- स्टैंडर्ड आरएजी योजना (हाइलाइटर) केवल 29% डिटेक्शंस के लिए काम करती रही। यह विशिष्ट, परिवर्तनशील सुरागों पर बहुत अधिक निर्भर थी।
- ग्राफआरएजी योजना (मानचित्र) इस विशिष्ट केस स्टडी में 100% डिटेक्शंस के लिए काम करती रही। क्योंकि यह संबंधों और व्यवहारों (पिरामिड के शीर्ष) पर केंद्रित थी, इसलिए योजना को इस बात से कोई फर्क नहीं पड़ा कि बुरे लोगों ने अपनी "लाल कार" को "नीली वैन" में बदल लिया था।
जब शोधकर्ताओं ने चार अलग-अलग सुरक्षा विक्रेताओं से नौ अलग-अलग रिपोर्टों के साथ यह परीक्षण दोहराया, तो पैटर्न कायम रहा: ग्राफआरएजी योजनाएं लगातार पिरामिड के उच्च स्तर तक पहुँच गईं, जिससे उन्हें चकमा देना बहुत कठिन हो गया। हालांकि एकल APT28 केस स्टडी से 100% सर्वाइवल रेट एक उल्लेखनीय परिणाम था, व्यापक प्रयोगों ने पुष्टि की कि ग्राफआरएजी योजनाएं टिकाऊ, कठिन-से-चकमा दिए जाने वाले सुरागों को लक्षित करने में लगातार स्टैंडर्ड आरएजी से बेहतर प्रदर्शन करती हैं, भले ही दोनों विधियों के समग्र गुणवत्ता स्कोर समान हों।
इसका क्या अर्थ है
यह शोध पत्र सुझाव देता है कि सुरक्षा टीमों के लिए रिपोर्ट को स्वचालित रूप से काम करने वाली सुरक्षा प्रणालियों में बदलने के लिए, उन्हें केवल टेक्स्ट को "पढ़ना" बंद करना होगा और कनेक्शनों को "मैप" करना शुरू करना होगा। अध्ययन में पाया गया कि जिस तरह से एआई जानकारी प्राप्त करता है (मानचित्र बनाम हाइलाइटर), वह स्वयं एआई जितना ही महत्वपूर्ण है। जबकि "हाइलाइटर" विधि सरल प्रश्नों के लिए ठीक है, "मानचित्र" विधि उन हंटिंग योजनाओं को बनाने का वास्तुशिल्प रूप से सही तरीका है जो खराब होने के तुरंत बाद समाप्त नहीं होती हैं।
हालाँकि, लेखकों ने कुछ बाधाओं का भी उल्लेख किया। कभी-कभी, यदि कोई रिपोर्ट बहुत छोटी थी, तो "मानचित्र" विधि भ्रमित हो जाती थी और एक अच्छी योजना बनाने के लिए पर्याप्त कनेक्शन नहीं ढूंढ पाती थी। इसके अलावा, एआई जज ने लंबी योजनाओं को ग्रेड करते समय कभी-कभी गणितीय त्रुटियां कीं, जिसे शोधकर्ताओं को थोड़े अतिरिक्त कोड के साथ ठीक करना पड़ा। लेकिन कुल मिलाकर, साक्ष्य बताते हैं कि नॉलेज ग्राफ बनाना एआई-जनरेटेड सुरक्षा नियमों को वास्तव में टिकाऊ बनाने की कुंजी है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।