RABIS:Ransomware Analysis Based on Information Theory and System Calls
यह शोध पत्र RABIS का प्रस्ताव करता है, जो एक हल्का सांख्यिकीय दृष्टिकोण है जो रैनसमवेयर को सामान्य प्रक्रियाओं से अलग करने के लिए सिस्टम कॉल पैटर्न का विश्लेषण करता है, और न्यूनतम प्रदर्शन ओवरहेड के साथ 98.05% पहचान सटीकता प्राप्त करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, कंप्यूटर प्रोग्राम द्वारा की जाने वाली प्रत्येक कार्रवाई को ऑपरेटिंग सिस्टम को भेजी जाने वाली अनुरोधों की एक श्रृंखला के रूप में रिकॉर्ड किया जाता है। जब किसी प्रोग्राम को कोई फ़ाइल खोलने, दस्तावेज़ सहेजने या नेटवर्क से जुड़ने की आवश्यकता होती है, तो उसे यह करने के लिए कंप्यूटर के मुख्य सॉफ़्टवेयर से पूछना पड़ता है। इन अनुरोधों को 'सिस्टम कॉल' कहा जाता है। दशकों से, सुरक्षा विशेषज्ञ परेशानी का पता लगाने के लिए इन अनुरोधों पर नज़र रखते रहे हैं। इसका तर्क सीधा है: एक सामान्य प्रोग्राम, जैसे कि वर्ड प्रोसेसर या वेब ब्राउज़र, जटिल और विविध तरीके से व्यवहार करता है क्योंकि वह एक मानव उपयोगकर्ता की प्रतिक्रिया दे रहा होता है जो अप्रत्याशित पैटर्न में सोच रहा होता है, क्लिक कर रहा होता है और टाइप कर रहा होता है। कंप्यूटर के प्रति उसके अनुरोध विविध और अनियमित होते हैं। हालाँकि, एक दुर्भावनापूर्ण (मैलीशियस) प्रोग्राम का अक्सर एक एकल, कठोर लक्ष्य होता है। यदि वह लक्ष्य डेटा चुराना या नष्ट करना है, तो प्रोग्राम बार-बार एक ही कुछ क्रियाओं को दोहराएगा, कंप्यूटर से हजारों फ़ाइलों को खोलने, पढ़ने, एन्क्रिप्ट करने और नाम बदलने के लिए निरंतर, यांत्रिक लय में अनुरोध करेगा। यह दोहराव प्रकृति एक विशिष्ट फिंगरप्रिंट छोड़ती है जो रोजमर्रा के सॉफ़्टवेयर के अराजक शोर से अलग होती है।
भारत में नेशनल फॉरेंसिक साइंसेज यूनिवर्सिटी और हैदराबाद के सी. आर. राव एडवांस्ड इंस्टीट्यूट ऑफ मैथमेटिक्स के शोधकर्ताओं ने उस लय को मापकर इन दुर्भावनापूर्ण प्रोग्रामों को पकड़ने का एक नया तरीका विकसित किया है। वे अपने इस तरीके को RABIS कहते हैं। किसी वायरस को उसके नाम या उसके कोड से पहचानने की कोशिश करने के बजाय, जो कि हैकर्स आसानी से बदल सकते हैं, यह दृष्टिकोण प्रोग्राम के व्यवहार के सांख्यिकीय पैटर्न को देखता है। वे सिस्टम कॉल के अनुक्रम को डेटा की एक धारा की तरह मानते हैं और मापते हैं कि इसके भीतर कितनी विविधता मौजूद है। उनके दृष्टिकोण में, एक स्वस्थ प्रोग्राम आश्चर्यों और विविधता से भरा होता है, जबकि एक रैनसमवेयर प्रोग्राम उबाऊ रूप से पूर्वानुमानित होता है। इस अनिश्चितता के स्तर को दर्शाने वाले एक मान (वैल्यू) की गणना करके, वे यह जाने बिना कि वायरस का नाम क्या है या इसे कैसे बनाया गया है, सुरक्षित प्रोग्रामों को खतरनाक प्रोग्रामों से अलग कर सकते हैं।
इस विचार का परीक्षण करने के लिए, टीम ने एक नियंत्रित वातावरण बनाया जहाँ वे सुरक्षित और खतरनाक दोनों प्रकार के सॉफ़्टवेयर को कार्य करते हुए देख सके। उन्होंने सामान्य, रोजमर्रा के प्रोग्रामों के 150 उदाहरण एकत्र किए, जैसे कि टेक्स्ट एडिटर, कैलकुलेटर, वेब ब्राउज़र और सिस्टम एडमिनिस्ट्रेटर द्वारा उपयोग किए जाने वाले कमांड-लाइन टूल्स। उन्होंने चार विशिष्ट, वास्तविक दुनिया के रैनसमवेयर नमूने भी प्राप्त किए जिन्हें कोंटी (Conti), रेविल (REvil), मोंटी (Monti) और सौगोलॉक (SougoLock) जैसे नामों से जाना जाता है। ये दुर्भावनापूर्ण प्रोग्राम उपयोगकर्ता की फ़ाइलों को लॉक करने और चाबी के बदले पैसे मांगने के लिए डिज़ाइन किए गए हैं। शोधकर्ताओं ने इन सभी प्रोग्रामों को एक कंप्यूटर सिस्टम पर चलाया जिसमें फ़ाइलों का एक बड़ा संग्रह था, जो एक वास्तविक उपयोगकर्ता की हार्ड ड्राइव का अनुकरण करता था। जैसे ही प्रत्येक प्रोग्राम चला, एक निगरानी उपकरण (मॉनिटरिंग टूल) ने ऑपरेटिंग सिस्टम को किए गए प्रत्येक अनुरोध को रिकॉर्ड किया, जिससे उसके व्यवहार का एक विस्तृत लॉग तैयार हुआ।
उनकी जांच का मुख्य हिस्सा इन लंबे लॉग्स को तीन अनुरोधों के छोटे, ओवरलैपिंग समूहों में तोड़ना था। फिर उन्होंने गिना कि प्रत्येक विशिष्ट तीन के समूह कितनी बार दिखाई दिए। सामान्य प्रोग्रामों के लिए, लॉग ने विभिन्न समूहों का एक विस्तृत मिश्रण दिखाया, जिसमें कोई भी एक पैटर्न बहुत अधिक बार नहीं दोहराया गया। हालाँकि, दुर्भावनापूर्ण प्रोग्रामों ने एक बहुत ही अलग तस्वीर पेश की। क्योंकि रैनसमवेयर को एक ही तरीके से एक के बाद एक फ़ाइलों को प्रोसेस करना होता है, इसलिए यह अनुरोधों के बिल्कुल समान अनुक्रम को बार-बार दोहराता रहा। शोधकर्ताओं ने इस अंतर को मापने के लिए 'एन्ट्रॉपी' नामक एक गणितीय अवधारणा का उपयोग किया। सरल शब्दों में, एन्ट्रॉपी डेटा के सेट में मौजूद विकार या यादृच्छिकता (रैंडमनेस) को मापती है। उच्च एन्ट्रॉपी का अर्थ है कि डेटा विविध और पूर्वानुमानित रूप से कठिन है, जैसा कि उन्होंने सुरक्षित प्रोग्रामों में देखा। कम एन्ट्रॉपी का अर्थ है कि डेटा दोहराव वाला और पूर्वानुमानित है, जो उन्हें रैनसमवेयर में मिला।
परिणाम चौंकाने वाले थे। जब टीम ने अपने तरीके को लागू किया, तो दुर्भावनापूर्ण प्रोग्राम भीड़ से स्पष्ट रूप से अलग दिखाई दिए। चारों रैनसमवेयर नमूनों ने बहुत कम एन्ट्रॉपी मान दिखाए, जो उनकी दोहराव वाली, यांत्रिक प्रकृति की पुष्टि करते हैं। 150 सुरक्षित प्रोग्रामों ने बहुत उच्च मान दिखाए, जो उनके जटिल और विविध व्यवहार को दर्शाते हैं। सिस्टम ने प्रत्येक रैनसमवेयर नमूने को सफलतापूर्वक खतरनाक के रूप में पहचाना। इसने सुरक्षित प्रोग्रामों की एक छोटी संख्या को खतरे के रूप में गलत वर्गीकृत किया, विशेष रूप से वे जो दोहराव वाले कार्य करते हैं, जैसे कि कुछ बैकअप टूल्स या एंटीवायरस सॉफ़वेयर जो कई फ़ाइलों को स्कैन करते हैं। हालाँकि, विधि की समग्र सटीकता 98.05 प्रतिशत तक पहुँच गई। शोधकर्ताओं ने पाया कि रैनसमवेयर जितनी अधिक फ़ाइलों के संग्रह को एन्क्रिप्ट करने की कोशिश करता है, उसका दोहराव वाला पैटर्न उतना ही स्पष्ट होता जाता है, जिससे इसे पहचानना और भी आसान हो जाता है।
यह दृष्टिकोण उन पुराने तरीकों की तुलना में एक महत्वपूर्ण लाभ प्रदान करता है जो जटिल आर्टिफिशियल इंटेलिजेंस मॉडल या ज्ञात वायरस हस्ताक्षरों (सिग्नेचर) के विशाल डेटाबेस पर निर्भर करते हैं। वे पुराने सिस्टम धीमे हो सकते हैं, भारी कंप्यूटिंग शक्ति की आवश्यकता होती है, और अक्सर विफल हो जाते हैं जब एक हैकर वायरस को नया दिखाने के लिए उसमें थोड़ा बदलाव कर देता है। RABIS विधि हल्की और तेज़ है क्योंकि यह केवल पैटर्न को गिनती है और उनकी विविधता को मापती है। इसे काम करने के लिए हजारों मैलवेयर उदाहरणों पर प्रशिक्षित होने की आवश्यकता नहीं है; इसे केवल मानव-चालित प्रोग्राम के अराजक व्यवहार और मशीन-चालित हमले के कठोर, दोहराव वाले व्यवहार के बीच के अंतर को समझने की आवश्यकता है। शोधकर्ताओं ने प्रदर्शित किया कि सॉफ़्टवेयर के कंप्यूटर से बात करने के मौलिक लय (रिदम) पर ध्यान केंद्रित करके, वे रैनसमवेयर हमले का पता चलते ही उसे पकड़ सकते हैं, भले ही वह वायरस पहले कभी न देखा गया हो।
हालाँकि यह विधि अत्यधिक प्रभावी है, शोधकर्ता स्वीकार करते हैं कि यह पूर्ण नहीं है। जिन कुछ सुरक्षित प्रोग्रामों को खतरों के रूप में चिह्नित किया गया था, वे वे थे जो स्वाभाविक रूप से दोहराव वाले फ़ाइल संचालन करते हैं, जो कभी-कभी हमलावर के व्यवहार की नकल कर सकते हैं। इसे संभालने के लिए, टीम का सुझाव है कि भविष्य के संस्करणों में सिस्टम गतिविधियों के संदर्भ (कॉन्टेक्स्ट) को देख सकता है, जैसे कि कितनी फ़ाइलें छुई जा रही हैं या प्रक्रिया कितनी तेज़ी से चल रही है, ताकि इन गलत अलार्मों को कम किया जा सके। वे इस प्रणाली को विभिन्न प्रकार के कंप्यूटरों पर काम करने के लिए विस्तारित करने की भी योजना बना रहे हैं, न कि केवल उस विशिष्ट ऑपरेटिंग सिस्टम पर जिसका उन्होंने परीक्षण किया है। फिलहाल, यह अध्ययन सिद्ध करता है कि सॉफ़्टवेयर के व्यवहार पर एक सरल सांख्यिकीय नज़र साइबर अपराध के सबसे विनाशकारी रूपों में से एक के खिलाफ एक शक्तिशाली ढाल हो सकती है, जो कल्पना की कमी के माध्यम से खतरे को पहचानने का एक तरीका प्रदान करती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।