कल्पना कीजिए कि आप एक जासूस हैं जो एक अपराध को सुलझाने की कोशिश कर रहे हैं, लेकिन आप उंगलियों के निशान या पैरों के निशान खोजने के बजाय, एक कंप्यूटर द्वारा छोड़े गए डिजिटल पदचिह्नों की एक विशाल, अराजक धारा को देख रहे हैं। इस क्षेत्र को साइबर सुरक्षा (cybersecurity) कहा जाता है, और "अपराध स्थल" कंप्यूटर की आंतरिक लॉगबुक है। लंबे समय तक, जासूसों ने विशिष्ट, ज्ञात "मगशॉट्स" (तस्वीरों)—जैसे कि एक विशिष्ट फ़ाइल नाम या किसी ज्ञात हैकर का पता—को देखकर बुरे लोगों को पकड़ने की कोशिश की। लेकिन आधुनिक हैकर्स चतुर हैं; वे अपने कपड़े और मास्क लगातार बदलते रहते हैं, इसलिए वे पुराने "मगशॉट्स" अक्सर विफल हो जाते हैं।

इन रूप बदलने वालों को पकड़ने के लिए, वैज्ञानिक अब एक अलग दृष्टिकोण अपना रहे हैं: केवल एकल पदचिह्नों को देखने के बजाय, वे उस कहानी को देखते हैं जो पदचिह्न बताते हैं। वे हमलावर के व्यवहार को समझना चाहते हैं। इसे इस प्रकार समझें: यदि आप देखते हैं कि एक व्यक्ति बैंक में प्रवेश करता है, फिर तिजोरी की ओर दौड़ता है, फिर एक खिड़की तोड़ता है, और अंत में एक बैग लेकर बाहर भाग जाता है, तो आपको उसका नाम जानने की आवश्यकता नहीं है ताकि आप जान सकें कि वह बैंक लूट रहा है। आपको बस क्रियाओं के क्रम को देखने की आवश्यकता है। यह शोधपत्र इस बात पर केंद्रित है कि कंप्यूटर लॉग्स के एक अव्यवized ढेर को एक स्पष्ट, पठनीय कहानी में कैसे बदला जाए, और फिर यह समझने के लिए स्मार्ट कंप्यूटर प्रोग्रामों का उपयोग किया जाए कि हमलावर वास्तव में किस तरह की "चाल" चल रहा है।

---

डिजिटल जासूस का नया टूलकिट

कंप्यूटर सुरक्षा की दुनिया में, एक प्रसिद्ध प्लेबुक है जिसे MITRE ATT&CK कहा जाता है। इसे सभी अलग-अलग चालों का एक विशाल विश्वकोश मान लें जो हैकर्स सिस्टम में घुसपैठ करने के लिए उपयोग करते हैं। यह केवल "बुरे लोगों" को सूचीबद्ध नहीं करता है; यह उनकी विशिष्ट गतिविधियों को वर्गीकृत करता है, जैसे कि "पासवर्ड चुराना," "फ़ाइलें छिपाना," या "अन्य कंप्यूटरों तक पार्श्व रूप से आगे बढ़ना (lateral movement)।" इस शोध का लक्ष्य एक ऐसा सिस्टम बनाना था जो कंप्यूटर के कच्चे गतिविधि लॉग्स को देख सके और कह सके, "आह, मैं देख रहा हूँ कि यहाँ क्या हो रहा है; यह 'क्रेडेंशियल डंपिंग' की चाल है," या "यह 'लेटरल मूवमेंट' की चाल है।"

शोधकर्ताओं ने Sysmon नामक एक विशेष उपकरण का उपयोग किया। कल्पना करें कि Sysmon एक कंप्यूटर के भीतर एक अत्यंत चौकस सुरक्षा कैमरे की तरह है जो कभी पलक नहीं झपकाता। यह सब कुछ रिकॉर्ड करता है: हर प्रोग्राम जो शुरू होता है, हर फ़ाइल जो बनाई जाती है, इंटरनेट से किया गया हर कनेक्शन, और सिस्टम की सेटिंग्स में किया गया हर बदलाव। लेकिन समस्या यह है: Sysmon सब कुछ रिकॉर्ड करता है, और यह इसे अविश्वसनीय रूप से शोर भरे और अस्त-व्यस्त तरीके से करता है। यह एक सुरक्षा कैमरे की तरह है जो शहर के हर व्यक्ति की हर पलक, हर सांस और हर कदम को रिकॉर्ड करता है, लेकिन यह नहीं बताता कि कौन किसके साथ चल रहा है या किस क्रम में। यदि आप केवल एक पलक को देखते हैं, तो आप कुछ भी नहीं सीखते। आपको पूरी फिल्म देखने की आवश्यकता है।

बड़ा सवाल: हम डॉट्स (बिंदुओं) को कैसे जोड़ सकते हैं?

शोधकर्ताओं ने एक सरल लेकिन महत्वपूर्ण प्रश्न पूछा: हम इन बिखरे हुए डिजिटल पदचिह्नों को एक सुसंगत कहानी बताने के लिए सबसे अच्छी तरह से कैसे जोड़ सकते हैं?

उन्होंने घटनाओं को एक साथ जोड़ने के दो मुख्य तरीकों का परीक्षण किया:

1. "आपका माता-पिता कौन है?" विधि (GUID-आधारित): कंप्यूटर में, प्रत्येक प्रोग्राम की एक विशिष्ट आईडी संख्या होती है। जब एक प्रोग्राम दूसरे प्रोग्राम को शुरू करता है, तो यह एक माता-पिता के बच्चे होने जैसा है। शोधकर्ताओं ने इन घटनाओं को "पारिवारिक वृक्ष" (family trees) का अनुसरण करके जोड़ने का प्रयास किया। यदि प्रोग्राम A ने प्रोग्राम B को शुरू किया, और प्रोग्राम B ने एक फ़ाइल खोली, तो उन्होंने उन घटनाओं को एक साथ जोड़ा क्योंकि वे एक ही "परिवार" से संबंधित हैं। यह एक अपराधी गिरोह को उनके पारिवारिक वंश का पीछा करके ट्रैक करने जैसा है, चाहे वे दिन के किसी भी समय कार्य करें।
2. "पहले क्या हुआ?" विधि (टेम्पोरल-आधारित): यह विधि घटनाओं को केवल समय के आधार पर जोड़ती है। यदि दो चीजें एक सेकंड के भीतर हुईं, तो शोधकर्ताओं ने माना कि वे आपस में संबंधित हैं। यह कहने जैसा है कि, "ये दो लोग एक ही समय में एक ही कमरे में थे, इसलिए वे निश्चित रूप से साथ काम कर रहे हैं।"

प्रयोग: कंप्यूटर को कहानी पढ़ना सिखाना

इन तरीकों का परीक्षण करने के लिए, शोधकर्ताओं ने वास्तविक बैंक में वास्तविक हैकर्स के घुसपैठ का इंतजार नहीं किया। इसके बजाय, उन्होंने एक सुरक्षित, नियंत्रित प्रयोगशाला स्थापित की और वास्तविक हमलों का अनुकरण करने के लिए Atomic Red Team नामक उपकरण का उपयोग किया। उन्होंने MITRE ATT&CK प्लेबुक से विशिष्ट चालों को प्रदर्शित किया, जिससे हजारों Sys-mon लॉग उत्पन्न हुए जो बिल्कुल एक वास्तविक हमले की तरह दिखते थे।

फिर उन्होंने इन लॉग्स को दो प्रकार के "छात्र" कंप्यूटरों में डाला:

• पारंपरिक छात्र: ये क्लासिक मशीन लर्निंग मॉडल (जैसे Random Forest और LightGBM) थे। ये पैटर्न पहचानने में अच्छे हैं लेकिन इन्हें डेटा के बहुत साफ और व्यवस्थित होने की आवश्यकता होती है।
• सुपर-रीडर्स: ये ट्रांसफॉर्मर्स (विशेष रूप से SecBERT और SecureBERT) नामक उन्नत AI मॉडल थे। ये उन कंप्यूटरों की तरह हैं जिन्होंने पूरा इंटरनेट पढ़ा है और शब्दों और अनुक्रमों के अर्थ और संदर्भ को समझने में विशेषज्ञ हैं। वे एक वाक्य को पढ़ सकते हैं और उसके पीछे की कहानी को समझ सकते हैं।

शोधकर्ताओं को एक कठिन समस्या का भी सामना करना पड़ा: क्लास इम्बैलेंस (Class Imbalance)। उनके डेटा में, कुछ चालें (जैसे "सिस्टम बाइनरी प्रॉक्सी एक्जीक्यूशन") सैकड़ों बार हुईं, जबकि अन्य (जैसे "सबवर्ट ट्रस्ट कंट्रोल्स") केवल कुछ ही बार हुईं। यह एक ऐसी कक्षा की तरह है जहाँ 90% छात्रों का नाम "जॉन" है, और केवल एक छात्र का नाम "ज़ोई" है। यदि आप एक शिक्षक को नाम पहचानने के लिए प्रशिक्षित करते हैं, तो वह हर बार "जॉन" ही अनुमान लगाएगा और उच्च स्कोर प्राप्त करेगा, लेकिन वह कभी भी "ज़ोई" को नहीं सीख पाएगा। शोधकर्ताओं ने इस दुर्लभ चालों को ठीक करने के लिए विभिन्न तरीकों का परीक्षण किया, जैसे कि दुर्लभ चालों के अतिरिक्त उदाहरण बनाना (एक तकनीक जिसे SMOTE कहा जाता है) या कंप्यूटर को उन दुर्लभ चीज़ों पर विशेष ध्यान देने के लिए सिखाना (विशेष गणित का उपयोग करना जिसे "फोकल लॉस" कहा जाता है)।

परिणाम: फैमिली ट्री जीत गया, और कम ही बेहतर है

सैकड़ों सिमुलेशन चलाने के बाद, परिणाम स्पष्ट और आश्चर्यजनक थे।

1. "फैमिली ट्री" विधि श्रेष्ठ है
GUID-आधारित सहसंबंध (प्रक्रिया पारिवारिक वृक्ष का अनुसरण करना) टेम्पोरल-आधारित सहसंबंध (केवल समय देखना) से लगातार बेहतर रहा।

• क्यों? शोधपत्र सुझाव देता है कि केवल समय के करीब होना यह साबित करने के लिए पर्याप्त नहीं है कि दो घटनाएं संबंधित हैं। एक कंप्यूटर एक सेकंड में लाखों असंबंधित चीजें कर सकता है। लेकिन यदि प्रोग्राम A ने प्रोग्राम B को शुरू किया, तो वह एक ठोस, अटूट लिंक है। "फैमिली टरी" विधि ने घटनाओं के बीच वास्तविक संबंधों को संरक्षित किया, जिससे AI को पढ़ने के लिए एक बहुत अधिक स्पष्ट कहानी मिली।
• स्कोर: "फैमिली ट्री" विधि का उपयोग करने वाले सर्वश्रेष्ठ मॉडल (SecureBERT) ने 0.586 की सटीकता प्राप्त की (इसका अर्थ है कि इसने लगभग 58.6% बार सही उत्तर दिया)। "समय" विधि का उपयोग करने वाले सर्वश्रेष्ठ मॉडल ने केवल 0.504 प्राप्त किया।

2. "सुपर-रीडर्स" "पारंपरिक छात्रों" को हरा देते हैं
उन्नत AI मॉडल (SecureBERT) ने पारंपरिक मशीन लर्निंग मॉडल को लगातार पछाड़ दिया।

• स्कोर: फैमिली ट्री विधि के साथ SecureBERT ने 0.586 की सटीकता प्राप्त की। सर्वश्रेष्ठ पारंपरिक मॉडल (LightGBM) केवल 0.501 तक ही पहुँच सका।
• क्यों? "सुपर-रीडर्स" कहानी के जटिल संदर्भ को समझने में बेहतर थे। वे देख सकते थे कि घटनाओं का एक विशिष्ट क्रम "हैकिंग" का संकेत देता है, भले ही व्यक्तिगत भाग अपने आप में हानिरहित लगें।

3. आश्चर्यजनक मोड़: AI को बहुत अधिक न सिखाएं
शोधकर्ता उम्मीद कर रहे थे कि "क्लास इम्बैलेंस" (दुर्लभ चालों की समस्या) को ठीक करने से AI बेहतर सीख पाएगा। उन्होंने पारंपरिक मॉडलों के लिए अतिरिक्त उदाहरण बनाने (SMOTE) का प्रयास किया, और यह अच्छा काम कर गया।

• हालाँकि, उन्नत "सुपर-रीडर्स" (SecureBERT) के लिए, कुछ न करना ही वास्तव में सबसे अच्छी रणनीति थी।
• जब उन्होंने विशेष गणित (Focal Loss) का उपयोग करके AI को दुर्लभ चालों पर विशेष ध्यान देने के लिए मजबूर किया, तो AI का समग्र प्रदर्शन गिर गया।
• निष्कर्ष: बेसलाइन मॉडल (मानक AI जिसमें असंतुलन को ठीक करने के लिए कोई विशेष ट्रिक नहीं थी) ने उच्चतम सटीकता (0.586) और सबसे अच्छा समग्र संतुलन प्राप्त किया। शोधपत्र सुझाव देता है कि "फैमिली ट्री" विधि द्वारा उत्पन्न जटिल, सहसंबंधित कहानियाँ इतनी समृद्ध और अर्थपूर्ण थीं कि AI बिना किसी दबाव या "ओवर-करेक्शन" के स्वाभाविक रूप से दुर्लभ चालों को सीख सकता था।

इसका भविष्य के लिए क्या अर्थ है

यह शोधपत्र यह दावा नहीं करता है कि इसने साइबर सुरक्षा की सभी समस्याओं को हल कर दिया है। यह यह नहीं कहता कि हैकर्स अब 100% पकड़े जाते हैं। इसके बजाय, यह सुझाव देता है कि डेटा को कैसे व्यवस्थित किया जाता है, यह उस विशिष्ट कंप्यूटर प्रोग्राम से अधिक महत्वपूर्ण है जिसका उपयोग उसे पढ़ने के लिए किया जाता है।

घटनाओं को केवल उनके टाइमस्टैम्प के बजाय उनके "फैमिली ट्री" (प्रक्रिया संबंधों) के माध्यम से जोड़कर, हम एक हमलावर क्या कर रहा है, इसकी बहुत अधिक समृद्ध और सटीक कहानी बनाते हैं। और जब हम इन समृद्ध कहानियों को उन्नत AI मॉडल में फीड करते हैं, तो वे व्यक्तिगत हिस्सों की तुलना में हैकर की विशिष्ट चालों को बेहतर ढंग से पहचान सकते हैं—भले ही उन्हें दुर्लभ चालों पर ध्यान देने के लिए कृत्रिम रूप से मजबूर न किया जाए।

यह अध्ययन एक सीमा को भी रेखांकित करता: ये परिणाम एक नियंत्रित प्रयोगशाला में सिम्युलेटेड हमलों का उपयोग करके प्राप्त किए गए थे। शोधकर्ता स्वीकार करते हैं कि वास्तविक दुनिया के कंप्यूटर वातावरण अधिक अव्यवस्थित और जटिल होते हैं। इसलिए, हालांकि यह एक आशाजनक नई दिशा है, अगला कदम यह देखना है कि क्या ये "फैमिली ट्री" कहानियाँ तब भी कायम रहती हैं जब कंप्यूटर का उपयोग वास्तव में एक कार्यालय में वास्तविक लोगों द्वारा किया जा रहा हो, न कि केवल एक टेस्ट लैब में।

संक्षेप में, यह शोधपत्र हमें सिखाता है कि डिजिटल चोर को पकड़ने के लिए, आपको केवल घड़ी नहीं देखनी चाहिए; आपको यह देखना चाहिए कि वे किसके साथ चल रहे हैं। और कभी-कभी, सबसे स्मार्ट कंप्यूटर वह होता है जिसे बिना किसी अधिक हस्तक्षेप के अपनी गति से सीखने की अनुमति दी जाती है।