From Telemetry to Techniques: Behavior-Centric MITRE ATT&CK Technique Classification Through Sysmon Event Correlation
यह शोध पत्र एक व्यवहार-केंद्रित ढांचे का प्रस्ताव करता है जो MITRE ATT&CK तकनीक वर्गीकरण में सुधार करने के लिए Sysmon घटनाओं को GUID-सह-संबंधित अनुक्रमों में पुनर्गठित करता है, यह प्रदर्शित करते हुए कि प्रक्रिया-स्तरीय संदर्भ (process-level context) को संरक्षित करना टेम्पोरल ग्रुपिंग की तुलना में बेहतर प्रदर्शन करता है और एक बेसलाइन SecureBERT मॉडल स्पष्ट क्लास असंतुलन शमन (class imbalance mitigation) के बिना भी श्रेष्ठ परिणाम प्राप्त करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक जासूस हैं जो एक विशाल, अराजक शहर में रहस्य सुलझाने की कोशिश कर रहे हैं। यह शहर आपका कंप्यूटर है, और "संदिग्ध" वे साइबर अपराधी हैं जो अंदर घुसने की कोशिश कर रहे हैं। लंबे समय तक, जासूसों (सुरक्षा प्रणालियों) ने विशिष्ट, पहले से लिखे गए "वांटेड" पोस्टरों को देखकर अपराधियों को पकड़ने की कोशिश की। उन्होंने देखा कि क्या किसी अपराधी का एक विशिष्ट चेहरा (एक हैश) है या उसने एक विशिष्ट टोपी (एक आईपी पता) पहनी है। लेकिन आधुनिक अपराधी चालाक हैं; वे अपने चेहरे और टोपियां लगातार बदलते रहते हैं, इसलिए पुराने पोस्टर काम नहीं करते।
यह शोध पत्र उन्हें पकड़ने का एक नया तरीका सुझाता है: केवल एक स्नैपशॉट देखने के बजाय, हमें उनके द्वारा किए जाने वाले पूरे कथानक (story) को देखने की आवश्यकता है।
सुराग की किताब: Sysmon
शोधकर्ताओं ने Sysmon नामक एक विशेष नोटबुक का उपयोग किया। Sysमन को एक अति-सतर्क सुरक्षा गार्ड के रूप में समझें जो कंप्यूटर शहर में होने वाली हर एक चीज़ को लिखता है। यह लॉग करता है कि कब एक प्रोग्राम शुरू हुआ, कब एक फ़ाइल बनाई गई, कब इंटरनेट से कोई कनेक्शन बनाया गया, और यहाँ तक कि जब किसी ने चतुराई से किसी फ़ाइल के टाइमस्टैम्प को बदलने की कोशिश की (जैसे कि एक चोर द्वारा दरवाजे के हैंडल से अपनी उंगलियों के निशान मिटाना)।
समस्या क्या है? गार्ड बहुत अधिक लिख देता है। यह एक डायरी जैसा है जिसमें 427,774 प्रविष्टियाँ हैं, लेकिन उनमें से अधिकांश केवल शोर (noise) हैं। इसे समझने के लिए, शोधकर्ताओं को इस डायरी को साफ करना पड़ा और प्रविष्टियों को सार्थक कहानियों में समूहित करना पड़ा।
सुरागों को समूहबद्ध करने के दो तरीके
शोधकर्ताओं ने इन बिखरी हुई डायरी प्रविष्टियों को एक सुसंगत कहानी में जोड़ने के दो अलग-अलग तरीकों का परीक्षण किया ताकि यह देखा जा सके कि कौन सा तरीका अपराधी की "चाल" (जिसे MITRE ATT&CK तकनीक कहा जाता है) को पहचानने में मदद करता है।
1. "वंश वृक्ष" विधि (GUID-आधारित सहसंबंध/Correlation)
कल्पना कीजिए कि कंप्यूटर पर चलने वाले प्रत्येक प्रोग्राम को एक स्थायी, अपरिवर्तनीय आईडी कार्ड मिलता है जिसे GUID कहा जाता है। भले ही प्रोग्राम बंद हो जाए और एक नया प्रोग्राम उसी नाम से शुरू हो जाए, उसे एक नया आईडी कार्ड मिलता है। पुराना आईडी कार्ड उस प्रोग्राम के "वंश वृक्ष" (family tree) के साथ रहता है।
- यह कैसे काम करता है: शोधकर्ताओं ने उन सभी सुरागों को जोड़ा जो एक ही आईडी कार्ड से संबंधित थे। यदि एक पैरेंट प्रोग्राम (जैसे
explorer.exe) ने एक चाइल्ड प्रोग्राम शुरू किया, और उस चाइल्ड प्रोग्राम ने एक फ़ाइल खोली और फिर एक फोन नंबर डायल किया, तो सिस्टम उन सभी को एक साथ जोड़ देता है क्योंकि वे एक ही पारिवारिक आईडी साझा करते हैं। - परिणाम: यह विधि एक पूर्ण वंश वृक्ष की तरह थी जो अपराधी के कार्यों को दर्शाती थी। इसने दिखाया कि वास्तव में किसने क्या किया और किस क्रम में किया, जिससे घटनाओं के बीच के संबंधों को संरक्षित किया गया।
2. "टाइम-स्टैम्प" विधि (टेम्पोरल-आधारित सहसंबंध)
इस विधि ने वंश वृक्षों को अनदेखा कर दिया और केवल घड़ी को देखा।
- यह कैसे काम करता है: शोधकर्ताओं ने कहा, "यदि दो चीजें एक सेकंड के भीतर हुईं, तो वे संबंधित होनी चाहिए।" उन्होंने उन घटनाओं को समूहबद्ध किया जो समय में एक-दूसरे के करीब हुईं।
- परिणाम: यह भीड़ में खड़े लोगों को देखने जैसा था और यह मान लेना कि जो भी उनके पास खड़ा है वह एक टीम है। हालांकि यह कभी-कभी सच होता है, लेकिन इसने गहरे संबंधों को मिस कर दिया। दो असंबंधित घटनाएं संयोग से एक ही समय पर हो सकती हैं, या अपराधी की एक क्रिया कुछ सेकंड में फैली हो सकती है, जिससे "एक-सेकंड" का नियम टूट जाता है।
फैसला: वंश वृक्ष की जीत
शोधकर्ताओं ने एक नियंत्रित लैब में Atomic Red Team नामक टूल का उपयोग करके साइबर हमलों का अनुकरण करते हुए एक बड़ा प्रयोग चलाया। उन्होंने इन "कहानियों" को विभिन्न प्रकार के जासूसों (मशीन लर्निंग मॉडल) में डाला ताकि यह देखा जा सके कि कौन अपराधी की तकनीक का सबसे अच्छी तरह से अनुमान लगा सकता है।
बड़ी खोज:
"वंश वृक्ष" विधि (GUID-आधारित) ने हर क्षेत्र में "टाइम-स्टैम्प" विधि (टेम्पोरल-आधारित) को लगातार पछाड़ दिया।
- सबसे अच्छा जासूस SecureBERT नामक एक सुपर-स्मार्ट AI (साइबर सुरक्षा के लिए एक विशेष भाषा मॉडल) था।
- जब SecureBERT ने "वंश वृक्ष" की कहानियाँ पढ़ीं, तो इसकी सटीकता 0.586 (इसका मतलब है कि इसने लगभग 58.6% बार सही उत्तर दिया) थी।
- जब इसने "टाइम-स्टैम्प" कहानियों को पढ़ा, तो इसकी सटीकता गिरकर 0.504 हो गई।
शोध पत्र स्पष्ट रूप से इस विचार के खिलाफ तर्क देता है कि केवल समय के आधार पर घटनाओं को समूहबद्ध करना पर्याप्त है। यह सुझाव देता है कि बिना "वंश वृक्ष" (प्रोसेस लीनेज) के, आप उस संदर्भ को खो देते हैं कि कैसे एक क्रिया दूसरी क्रिया की ओर ले गई। शोध पत्र ने यह भी पाया कि उन्नत AI मॉडल (ट्रांसफॉर्मर्स) के लिए, डेटा को "ठीक" करने के लिए अतिरिक्त नकली उदाहरण बनाने (SMOTE नामक तकनीक) का प्रयास करना या तो स्थिति को बदतर बना देता है या कोई मदद नहीं करता है। सबसे अच्छी रणनीति यह थी कि AI को वास्तविक, बिना छेड़छाड़ किए गए "वंश वृक्ष" की कहानियों से सीखने दिया जाए।
"कौन" और "क्या"
शोधकर्ताओं ने कई अलग-अलग आपराधिक तकनीकों का परीक्षण किया (जैसे "T1059: Command and Scripting Interpreter" या "T1218: System Binary Proxy Execution")।
- आसान जीत: कुछ तकनीकें पहचानना बहुत आसान था। उदाहरण के लिए, T1588 (Obtain Capabilities) को 1.00 के सटीक स्कोर (100% सटीकता) के साथ पहचाना गया। यह एक ऐसे अपराधी की तरह है जिसने अपने शरीर पर नियॉन साइन पहना है जिस पर लिखा है "मैं एक अपराधी हूँ।"
- कठिन मामले: कुछ तकनीकें जिन्हें अलग करना लगभग असंभव था। T1553 (Subvert Trust Controls) को 0.00 का स्कोर मिला, जिसका अर्थ है कि AI एक भी सही उदाहरण नहीं ढूंढ सका। शोध पत्र नोट करता है कि कई तकनीकें, विशेष रूप से जिनमें "डिफेंस इवेजन" (छिपना) शामिल है, लॉग में इतनी समान दिखती हैं कि सबसे अच्छा AI भी भ्रमित हो जाता है। यह एक जैसे मुखौटे पहने दो जुड़वा बच्चों के बीच अंतर करने की कोशिश करने जैसा है।
मुख्य निष्कर्ष
यह शोध पत्र यह दावा नहीं करता है कि इसने साइबर अपराध को हमेशा के लिए हल कर दिया है। यह एक सिमुलेशन अध्ययन है, न कि वास्तविक दुनिया के युद्ध क्षेत्र की रिपोर्ट। हालाँकि, यह दृढ़ता से सुझाव देता है कि यदि आप यह समझना चाहते हैं कि एक हैकर क्या कर रहा है, तो आपको केवल समय के करीब हुई घटनाओं की सूची को नहीं देखना चाहिए। आपको प्रोसेस लीनेज (process lineage)—यानी सॉफ्टवेयर के वंश वृक्ष—को पुनर्गठित करने की आवश्यकता है।
घटनाओं को जोड़ने के लिए GUID-आधारित विधि का उपयोग करके और डेटा को कृत्रिम रूप से संतुलित करने का प्रयास किए बिना उसे SecureBERT मॉडल को खिलाकर, आप हमले की सबसे स्पष्ट तस्वीर प्राप्त करते है। यह एक याद दिलाता है कि डिजिटल दुनिया में, संदर्भ (context) ही सर्वोपरि है, और यह जानना कि कौन किससे संबंधित है, यह जानने से अधिक महत्वपूर्ण है कि वे कब दिखाई दिए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।